Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France. Motif : défaut de transposition de la directive NIS2. L'Espagne, l'Irlande et les Pays-Bas sont visés dans le même mouvement. On change d'étage. Après la mise en demeure de fin 2024 et l'avis motivé de mai 2025, on quitte le registre de l'avertissement diplomatique pour entrer dans celui du contentieux. Et le contentieux, lui, a un prix.
Du rappel à l'ordre à la sanction financière
Les montants ne relèvent pas du symbole. La Commission demande à la Cour une somme forfaitaire assortie d'astreintes journalières, qui continueront de courir tant que la transposition ne sera pas notifiée. Plusieurs sources évoquent des sanctions pouvant atteindre plusieurs dizaines de millions d'euros. Et cette procédure NIS2 ne tombe pas dans le vide : fin avril 2026, Bruxelles avait déjà renvoyé la France devant la CJUE pour la directive REC, portée par le même véhicule législatif. Deux contentieux européens sur un seul projet de loi bloqué. Ça en dit long sur l'enlisement.
Un blocage politique, pas administratif
Il serait commode de mettre ce retard sur le compte de la lourdeur du texte. La loi Résilience fusionne en effet NIS2, REC et DORA en un seul projet, ce qui a alourdi l'examen. Mais le vrai point de crispation est ailleurs. Il tient dans un article, le 16 bis, qui interdit à l'État d'imposer des portes dérobées aux fournisseurs de services chiffrés. Derrière cet article se joue un désaccord de fond entre les défenseurs du chiffrement et les services de renseignement. Ce bras de fer a gelé le parcours parlementaire et transformé une transposition technique en arbitrage de souveraineté. Le calendrier cyber de milliers d'entreprises est suspendu à un débat qui n'a, sur le papier, rien à voir avec elles.
Ce que la procédure change pour les directions IT
L'important, pour un DSI ou un RSSI, n'est pas de suivre le feuilleton judiciaire. C'est d'en tirer la bonne conclusion opérationnelle. La saisine de la CJUE agit comme un accélérateur. La pression contentieuse raccourcira le tempo une fois le texte voté, et l'histoire récente des transpositions le confirme : les délais de mise en conformité accordés après adoption sont courts. Le scénario le plus probable n'est donc pas un report qui s'éternise, mais une fenêtre de conformité comprimée, décrétée sous contrainte.
Le périmètre concerné donne la mesure de l'enjeu. Plus de 15 000 entités en France, dans dix-huit secteurs. Des PME, des hôpitaux, des collectivités, des administrations. Beaucoup entrent pour la première fois dans le champ de la réglementation cyber et devront produire, sous 24 heures pour une alerte initiale, une chaîne de notification d'incident qu'elles n'ont pas encore. La bonne question n'est pas de savoir quand la loi passera. C'est de savoir dans quel état sera votre socle cyber le jour où le compteur de mise en conformité démarrera pour de bon.
