La France risque d'être traînée devant la Cour de justice de l'Union européenne pour avoir raté une échéance importante : l'application d'une directive européenne sur la cybersécurité, baptisée NIS2. Sur 27 pays membres, seuls 4 ont respecté la date limite d'octobre 2024. Mais ce retard n'est pas qu'une simple formalité administrative mal gérée.
Derrière ce dossier technique se cache quelque chose qui nous concerne tous : la capacité de nos hôpitaux, de nos réseaux électriques, de nos transports publics ou de nos stations d'épuration à résister aux cyberattaques.
Qu'est-ce que cette fameuse directive NIS2 ?
Adoptée en 2022 par l'Union européenne, la directive NIS2 (pour "Network and Information Security") impose aux opérateurs des secteurs les plus sensibles de renforcer leur défense contre les cyberattaques. On parle ici d'énergie, de transports, d'eau potable, de santé, d'infrastructures numériques...
L'idée est d'obliger ces acteurs critiques à mettre en place des mesures de sécurité minimales, à déclarer les incidents graves, et à se coordonner entre eux. Parce qu'une cyberattaque sur un hôpital ou une centrale électrique, ce n'est pas la même chose qu'un piratage de compte Facebook.
Pourquoi la France est-elle en retard ?
Chaque pays devait "transposer" cette directive dans son droit national avant octobre 2024. La France a raté le coche, tout comme 22 autres pays européens. Seuls quatre États ont été dans les temps.
Côté français, le gouvernement souhaite combiner dans un seul texte de loi les exigences du NIS2 avec celles d'une autre directive européenne sur la résilience des infrastructures critiques (CER). Une approche qui peut sembler logique sur le papier, mais qui accumule les retards.
Entre-temps, la Commission européenne a envoyé des lettres de mise en demeure en novembre 2024, puis un avis motivé en mai 2025. La prochaine étape est une saisine de la Cour de justice européenne, probablement cette année, qui pourrait aboutir à plusieurs dizaines de millions d'euros d'amende pour la France.
Les cyberattaques continuent : hôpitaux paralysés, services publics à l'arrêt, données de santé volées... Ces incidents se multiplient, et ce retard montre que la cybersécurité n'est pas encore traitée comme une priorité absolue par nos institutions, malgré les discours.