La Commission européenne a saisi la Cour de justice de l'Union européenne le 8 juillet 2026 contre la France pour défaut de transposition de la directive NIS2. Les États membres devaient intégrer le texte dans leur droit national avant le 17 octobre 2024. L'Assemblée nationale reprend l'examen du projet de loi Résilience à la rentrée de septembre 2026, mais le vote final reste incertain. Environ 15 000 entités françaises sont dans la cible de la directive. Ce délai n'est pas une parenthèse indolore pour les organisations concernées.
Ce que le renvoi devant la CJUE signifie
La procédure en manquement suit un chemin balisé. La Commission a mis la France en demeure fin 2024, peu après l'expiration du délai de transposition. Elle a émis un avis motivé en mai 2025. Le renvoi devant la Cour de justice, acté le 8 juillet 2026, constitue la troisième et dernière étape de cette procédure. La France se retrouve dans cette situation aux côtés de l'Espagne, de l'Irlande et des Pays-Bas, tous renvoyés pour le même motif le même jour.
Les sanctions financières potentielles, en cas de condamnation par la Cour, comprennent une amende forfaitaire et des astreintes journalières calculées jusqu'à la mise en conformité effective. Pour un retard de cette ampleur sur un texte de sécurité publique, les montants peuvent atteindre plusieurs dizaines de millions d'euros pour l'État français.
Ce que ce renvoi ne fait pas : il ne crée pas d'obligations nouvelles immédiates pour les entités privées françaises. La Cour de justice constate un manquement étatique et impose des sanctions financières à la France. Ce sont les finances publiques qui en pâtissent, pas directement les opérateurs dans le champ d'application de NIS2.
Ce qui s'applique malgré l'absence de transposition
NIS2 est une directive. Sans transposition dans le droit français, ses dispositions ne s'imposent pas directement aux entités privées. Ce raisonnement juridique est exact, mais il masque trois dynamiques qui créent des obligations de fait.
L'ANSSI a publié le ReCyF le 17 mars 2026. Ce référentiel cybersécurité, structuré autour de 15 objectifs et 76 mesures, traduit les exigences de NIS2 en actions concrètes. L'Agence l'utilise comme cadre de référence dans ses échanges avec les entités qu'elle préenregistre — et ce préenregistrement est en cours. Une entité enregistrée auprès de l'ANSSI sans programme de conformité au ReCyF expose un écart documenté, qui sera le premier point de contrôle lors de la mise en application de la loi.
Le règlement DORA, lui, s'applique directement au secteur financier depuis janvier 2025. C'est un règlement européen, pas une directive : il ne nécessite pas de transposition nationale. Les entités financières dans le champ simultané de DORA et de NIS2 ont des obligations actives sur la gestion des risques ICT, la notification d'incidents et la résilience opérationnelle. NIS2 viendra en couche supplémentaire, mais le cadre de base est déjà exigible.
Enfin, les marchés publics dans les secteurs sensibles intègrent progressivement le ReCyF et les cadres NIS2 dans leurs critères de sélection. Un intégrateur de systèmes industriels répondant à un appel d'offres pour une installation de traitement d'eau a dû documenter son programme de gestion des risques cyber selon les critères NIS2 pour valider les critères de qualification — alors même que le texte n'était pas encore transposé en droit français. La loi attendait ; le marché n'attendait pas.
Trois risques à ne pas sous-estimer pendant l'attente
Le premier risque est celui de la décélération. Des équipes qui ont engagé des programmes de mise à niveau en 2025 peuvent être tentées de ralentir face à l'incertitude du calendrier législatif. Ce serait une erreur de stratégie : lorsque la Loi Résilience sera adoptée, les délais d'entrée en vigueur seront courts. Les entités qui auront maintenu leur élan disposeront d'un avantage réel sur celles qui auront marqué une pause.
Le deuxième risque concerne les incidents survenus pendant cette période d'attente. La directive NIS2 impose une alerte précoce dans les 24 heures suivant la détection d'un incident significatif, et une notification complète dans les 72 heures. Ces délais ne s'appliquent pas encore formellement en France. Mais l'ANSSI encourage les déclarations volontaires, et l'absence d'un processus de notification rôdé sera un facteur aggravant lors du premier contrôle post-adoption. Les pièges opérationnels les plus fréquents dans ces procédures sont documentés dans l'article sur les cinq pièges de la notification NIS2 en 24 heures.
Le troisième risque est celui du malentendu sur le décompte. La date d'adoption de la Loi Résilience ne sera pas une date de départ. L'ANSSI a publié ses guides, le ReCyF est disponible, les entités ont été préenregistrées. La logique réglementaire favorisera une mise en conformité rapide pour les entités qui ne l'auront pas anticipée, pas un démarrage en douceur.
Ce que votre programme de sécurité doit intégrer maintenant
Confirmer le périmètre. Vérifier si votre entité entre dans la catégorie des entités essentielles ou importantes selon les seuils NIS2 : taille, chiffre d'affaires, secteur d'activité. L'ANSSI a publié ses critères de classification. Ce périmètre ne variera pas avec l'adoption de la loi.
Cartographier les actifs critiques et les tiers ICT. La directive exige une gestion documentée des risques sur la chaîne d'approvisionnement. Cette cartographie prend plusieurs mois. L'engager maintenant, c'est gagner directement sur le calendrier de conformité post-adoption.
Exercer les procédures de notification. Construire et tester un processus de notification d'incident conforme aux délais NIS2, même en régime volontaire. C'est l'investissement dont le retour est le plus immédiat : une procédure testée réduit concrètement l'impact d'un incident réel, et sa trace écrite démontre la bonne foi lors d'un contrôle.
La rentrée parlementaire de septembre 2026 pourrait enfin aboutir à l'adoption de la Loi Résilience. Ou le calendrier glissera encore. Ce qui ne glisse pas, en revanche, c'est l'exposition des 15 000 entités françaises visées. Le renvoi devant la CJUE illustre que la Commission entend faire appliquer NIS2 dans l'ensemble de l'Union, avec ou sans loi nationale finalisée. Les organisations qui l'auront traité comme un signal ont une longueur d'avance sur celles qui ont attendu le vote.