Posted by 
La Commission saisit la Cour de justice de l’UE d’un recours contre la France pour défaut de transposition des règles en matière de cybersécurité
Eléonore Scaramozzino, Avocate partenaire, Constellation Avocats
La Commission européenne a décidé de saisir la Cour de justice de l’Union européenne d’un recours notamment contre la France pour défaut de notification des mesures de transposition en droit national de la directive NSI2 sur la sécurité des réseaux et des systèmes d’information [directive (UE) 2022/2555]. La directive NSI 2 impose aux États membres de renforcer leurs capacités en matière de cybersécurité et d’introduire des mesures de gestion des risques et des obligations de signalement des incidents pour les entités publiques ou privées (entités importantes et essentielles) de 18 secteurs critiques, dont la finance, la santé, les transports. Les entités désignées comme critiques, au titre de la directive (UE) 2022/2557 sur la résilience des entités critiques (REC) sont en effet automatiquement considérées comme entités essentielles au titre de la directive NIS 2, et sont dès lors soumises aux dispositions de cette directive.
Dans le cadre de cette saisine, la Commission demande à la Cour de Justice de l’UE d’imposer des sanctions financières, consistant en une somme forfaitaire et des astreintes journalières jusqu’à la notification de la transposition complète
.
Modifications ciblées de NIS2 : « Proposition de directive modifiant la directive (UE) 2022/2555 en ce qui concerne l’introduction de mesures de simplification et l’alignement sur [la proposition de règlement sur la cybersécurité 2] »
Le 20 janvier 2026, dans le cadre de mesures en matière de cybersécurité, la Commission a proposé des modifications ciblées de la directive NIS2 afin d’apporter une plus grande clarté juridique.
L’objectif de la proposition de cette directive modificative devrait être considéré comme faisant partie des objectifs généraux du paquet de révision du règlement sur la cybersécurité, qui comprend la proposition de règlement du Parlement européen et du Conseil relatif à l’Agence de l’Union européenne pour la cybersécurité (ENISA), au cadre européen de certification de cybersécurité et à la sécurité de la chaîne d’approvisionnement des TIC, et abrogeant le règlement (UE) 2019/881.
Les modifications envisagées permettent aux entreprises essentielles et importantes des 18 secteurs concernés opérant dans l’UE de se conformer plus facilement aux règles de cybersécurité et aux exigences en matière de gestion des risques. Le train de mesures introduit des mesures visant à simplifier le respect des règles de cybersécurité de l’UE et des exigences en matière de gestion des risques pour les entreprises exerçant leurs activités dans l’UE, en complément du point d’entrée unique pour la notification des incidents proposé dans l’omnibus numérique.
Ces mesures visent notamment à
- simplifier les règles de compétence,
- rationaliser la collecte de données sur les attaques par ransomware ;
- faciliter la surveillance des entités transfrontières, l’ENISA jouant un rôle de coordination renforcée
Transposition en France du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité
En France, le gouvernement a engagé la procédure accélérée sur le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, le 15 octobre 2024.
- Sénat :
- déposé le 15 octobre 2024,
- Adoption en première lecture le mercredi 12 mars 2025. https://www.senat.fr/leg/tas24-078.html
- Assemblée nationale :
- Projet de loi, adopté par le Sénat, après engagement de la procédure accélérée, relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, n° 1112, déposé le jeudi 13 mars 2025.
- Examen en commission : Commission spéciale chargée d’examiner le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité : texte de la commission déposé le 10 septembre 2025
https://www.assemblee-nationale.fr/dyn/17/textes/l17b1779_texte-adopte-commission
En attente …..
Articulation NIS2 et autres réglementations
La directive NIS 2 prévoit un fonctionnement coopératif entre les autorités nationales NIS 2 et les autorités d’autres réglementations, en particulier avec la Commission nationale de l’informatique et des libertés (CNIL), l’Autorité de contrôle prudentiel et de résolution (ACPR), l’Autorité des Marchés Financiers (AMF) ainsi que la Banque de France.
NIS2 /Cyber Resilience Act (CRA)
le CRA vise à sécuriser les produits numériques (produits composé d’un ou plusieurs éléments numériques) commercialisés dans l’UE par les entreprises et le grand public alors que NIS 2 a pour objectif de sécuriser les moyens de production des entreprises et administrations de l’UE.
NIS 2/DORA (règlement Digital Operational Resilience Act)
Le règlement DORA vise à assurer l’intégrité et la disponibilité du secteur financier en adressant 21 types d’entités définies précisément dans le règlement. Ces 21 types d’entités du secteur financier concernées par DORA n’appliqueront pas les mesures de la directive concernant la gestion des risques de cybersécurité, les obligations d’information ainsi que la supervision (au sens du contrôle) et l’exécution mais celles du règlement DORA.
Par ailleurs, conformément à l’article 4 de la directive NIS 2, lorsque des actes juridiques sectoriels de l’Union ne couvrent pas toutes les entités d’un secteur spécifique relevant du champ d’application de la présente directive, les dispositions pertinentes de la présente directive continuent de s’appliquer aux entités non couvertes par ces actes juridiques sectoriels de l’Union européenne.
Dans le cas plus complexe où votre entité relèverait des secteurs « infrastructures numériques » ou « gestion des services TIC » régulés par la directive NIS 2, mais qu’elle travaillerait pour le secteur financier, les obligations de la directive NIS 2 s’appliquent. Toutefois, les mesures de gestion des risques en matière de cybersécurité à mettre en œuvre sont celles prévues par l’acte d’exécution, conformément à l’article 21.5 de la directive, même si le règlement DORA s’applique aux acteurs du secteur financier et concerne effectivement la chaîne de sous-traitance. Néanmoins, un chantier de coopération entre les autorités NIS 2 et les autorités DORA est actuellement mené pour la régulation des tiers critiques du secteur. Son contenu pourra être précisé ultérieurement.
NIS 2/ RGPD
La directive NIS 2 prévoit des mécanismes de fonctionnement rapprochés entre les autorités nationales NIS 2 et les autorités d’autres réglementations, en particulier avec la Commission nationale de l’informatique et des libertés (CNIL) au regard du RGPD et l’Autorité de contrôle prudentiel et de résolution (ACPR)
DPO/RSSI : Rôle du DPO dans NIS2
La directive NIS 2 traite des systèmes d’information et de la continuité d’activité alors que le RGPD traite des données à caractère personnel. La notion de DPO, qui est pertinente pour le RGPD, n’est pas entièrement transposable dans NIS 2 comme elle ne l’était déjà pas dans NIS 1. Dès lors, rien ne s’opposera à l’utilisation du dispositif RGPD et des DPO s’ils concourent aux objectifs de NIS 2.
Ce qui a été mis en place au titre du RGPD est potentiellement mutualisable avec la directive NIS 2 et ce sera à chaque entité de déterminer le meilleur fonctionnement possible.
La directive NIS 2 : le référentiel CYBER France (ReCyF) de l’ANSSI
Alors que la menace cyber augmente et que les systèmes d’information restent pour partie vulnérables, la directive NIS 2 (Network and Information Security), s’appuie sur les acquis de la directive NIS 1, marque un changement de paradigme, tant à l’échelon national qu’à l’échelon européen. Elle élargit en effet ses objectifs et son périmètre d’application pour apporter davantage de protection en matière Cyber. Elle amène aussi les Etats membres à renforcer leur coopération en matière de gestion de crise cyber, en donnant notamment un cadre formel au réseau CyCLONe (Cyber Crisis Liaison Organisation Network) qui rassemble l’ANSSI et ses homologues européens.
Depuis le 17 mars 2026, l’ANSSI met à disposition le Référentiel Cyber France (ReCyF), qui liste les mesures recommandées par l’ANSSI pour atteindre les objectifs de sécurité fixés par NIS 2.
Le ReCyF, diffusé à ce stade en tant que document de travail, correspond au référentiel de cybersécurité mentionné à l’article 14 du projet de loi Résilience. Ce référentiel, par défaut non-obligatoire, permettra aux futurs assujettis qui décident de l’appliquer de s’en prévaloir en cas de contrôle de l’ANSSI.
Critères de désignation unitaire « Entité Essentielle » ou « Entité Importante »
Sur la base de critères exposés ci-après, des désignations unitaires peuvent être décidées par le gouvernement français, au cas par cas :
- une entité a priori non incluse par défaut dans le périmètre des entités régulées NIS 2 peut être désignée entité essentielle ou entité importante ;
- une entité a priori importante par défaut peut être désignée entité essentielle.
Les critères de désignation unitaire sont les suivants :
- l’entité est, dans un État membre, le seul prestataire d’un service qui est essentiel au maintien d’activités sociétales ou économiques critiques ;
- une perturbation du service fourni par l’entité pourrait avoir un impact important sur la sécurité publique, la sûreté publique ou la santé publique ;
- une perturbation du service fourni par l’entité pourrait induire un risque systémique important, en particulier pour les secteurs où cette perturbation pourrait avoir un impact transfrontière ;
- l’entité est critique en raison de son importance spécifique au niveau national ou régional pour le secteur ou le type de service en question, ou pour d’autres secteurs interdépendants dans l’État membre.
Toute entité régulée par la directive (UE) 2022/2557 concernant la Résilience des Entités Critiques (REC) sera également soumise à NIS 2, en tant qu’entité essentielle.
RECYF : référentiel de cybersécurité
RECYF constitue le référentiel de cybersécurité mentionné au 6ème alinéa de l’article 14 du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (PJL).
L’objectif de sécurité est l’obligation fixée par le décret pris en application de l’article 14 du PJL à laquelle doit se conformer l’entité. Les objectifs sont applicables aux entités importantes (EI), entités essentielles (EE) et aux opérateurs d’importance vitale sur leurs SI autres que leurs SIIV.
Les Moyens acceptables de conformité sont les mesures à mettre en œuvre proposées par l’ANSSI aux assujettis pour atteindre l’objectif. Ils ne sont pas d’application obligatoire (sauf cas particuliers prévus à l’article 16 du PJL) mais permettent aux entités qui décideraient de les appliquer de pouvoir se prévaloir de leur mise en œuvre pour démontrer leur atteinte des objectifs de sécurité.
Ce référentiel précise les modalités selon lesquelles les entités importantes et essentielles peuvent se prévaloir auprès de l’autorité nationale de sécurité des systèmes d’information lors d’un contrôle du recours à des prestations qualifiées par l’Agence nationale de la sécurité des systèmes d’information ou à une certification à des normes internationales ou européennes précisées par l’autorité nationale de sécurité des systèmes d’information pour démontrer leur respect de tout ou partie d’un objectif de sécurité.