La Commission européenne a décidé de renvoyer Irlande, Espagne, France et Pays-Bas devant la Cour de Justice de l'Union européenne pour non-notification des mesures transposant la directive Nis2 sur la sécurité des réseaux et des systèmes d’information en droit national.
La décision de la Commission
Pour les dirigeants des institutions bruxelloises, il s'agit une grave lacuneétant donné que la directive a pour objectif spécifique de renforcer cybersécurité de l'Union en fixant des normes élevées pour les entités opérant dans 18 secteurs critiques, notamment la santé, l'énergie, les transports et le secteur public. Sa pleine mise en œuvre est donc essentielle pour améliorer la résilience et la capacité de réponse aux incidents des organismes publics et privés opérant dans ces secteurs critiques, ainsi que de l’UE dans son ensemble.
Les États membres ils avaient jusqu'au 17 octobre 2024 pour transposer la directive. Même si la plupart s'y sont conformés, l'Espagne, la France, l'Irlande et les Pays-Bas n'ont pas encore notifié leur transposition complète. La Commission a envoyé des lettres de mise en demeure le 28 novembre 2024 et des avis motivés le 7 mai 2025.
Les références comprennent une demande à la Cour d'imposer des sanctions financièresconsistant en une somme forfaitaire et des sanctions journalières jusqu'à ce que la transposition complète soit notifiée.
En quoi consiste la procédure formelle ?
Celui de la Commission c'est une décision évidentecohérente avec la procédure formelle déclenchée automatiquement en cas d’infraction. Si un pays de l'UE intéressé ne communique pas les mesures qui mettent pleinement en œuvre les dispositions des directives ou ne remédie pas à la prétendue violation du droit de l'Union, la Commission peut engager une procédure formelle qui suit une série d'étapes définies dans les traitésdont chacun se termine par une décision formelle. Le processus est généralement le suivant :
1. La Commission envoyer une lettre de mise en demeure au pays concernédemander des informations complémentaires. Le pays est tenu de fournir une réponse détaillée dans un délai spécifié, généralement 2 mois.
2. Si la Commission conclut que le pays ne remplit pas ses obligations en vertu du droit de l'UE, peut adresser un avis motivé : une demande formelle de mise en conformité avec la loi. Cet avis explique pourquoi la Commission estime que le pays le viole et exige que le pays informe la Commission des mesures prises, dans un délai déterminé, généralement deux mois.
3. Si le pays continue de ne pas se conformer, la Commission peut décider de saisir la Cour de justicecomme dans le cas en question. La plupart des cas sont résolus avant d'être renvoyés devant la Cour.
4. Si un État membre de l'UE ne communique pas rapidement les mesures mettant en œuvre une directive, la Commission peut demander à la Cour de justice d'imposer des sanctions.
5. Si la Cour de justice estime qu'un État membre a violé le droit de l'UE, les autorités nationales sont tenues de prendre des mesures pour se conformer à la décision.
Que prévoit la directive Nis2
Là Directive Nis2 établit un cadre juridique unifié pour garantir la cybersécurité dans 18 secteurs critiques à travers l’UE. Il invite également les États membres à définir stratégies nationales de cybersécurité et collaborer avec l’UE en matière de réponse et d’application transfrontalières.
La cybersécurité implique la protection des réseaux et des systèmes d'information, de leurs utilisateurs et des autres personnes affectées par les cyberincidents et menaces. Pour répondre à l'exposition croissante de l'Europe aux cybermenaces, la directive 2022/2555, également connue sous le nom de Nis2, elle a remplacé la précédente directive 2016/1148 (Nis).
Le nouveau cadre élève le niveau d’ambition commune de l’UE en matière de cybersécuritégrâce à un champ d’application plus large, des règles plus claires et des outils de contrôle plus efficaces. Il oblige les États membres à renforcer leurs capacités en matière de cybersécurité, tout en introduisant des mesures de gestion des risques et des obligations de déclaration pour les entités d'un plus grand nombre de secteurs et en établissant des règles de coopération, de partage d'informations, de surveillance et d'application des mesures de cybersécurité.
La directive impose également à chaque État membre de adopter une stratégie nationale de cybersécuritéy compris des politiques relatives à la sécurité de la chaîne d’approvisionnement, à la gestion des vulnérabilités et à la formation et à la sensibilisation à la cybersécurité. Les États membres ils doivent également établir et mettre à jour régulièrement une liste des opérateurs de services essentielsveiller à ce que ces entités respectent les exigences de la directive.
Quoi de neuf par rapport au premier Nis
Outre les secteurs déjà couverts par la directive Nis – énergie, transports, santé, finance, gestion de l'eau et infrastructures numériques – les nouvelles règles s'appliquent également aux fournisseurs de communications électroniques publiquesdavantage de services numériques (tels que les plateformes sociales), la gestion des déchets et des eaux usées, la production de biens essentiels, les services postaux et de messagerie et l'administration publique aux niveaux central et régional, ainsi que le secteur spatial. En règle générale, les moyennes et grandes entreprises opérant dans ces secteurs critiques devra adopter des mesures adéquates de gestion des risques informatiques et informer les autorités nationales compétentes des incidents importants. Il s’agit d’incidents susceptibles de provoquer des perturbations ou des dommages importants.
La directive comprend également dispositions relatives à la surveillance, à l'application et aux examens volontaires entre pairs pour renforcer la confiance mutuelle et les capacités de cybersécurité dans l’ensemble de l’UE. Il introduit également la responsabilité de la haute direction en cas de non-respect des mesures de gestion des cyber-risques, attirant ainsi la cybersécurité à l'attention du conseil d'administration.
Enfin, la directive établit un réseau d’équipes de réponse aux incidents de cybersécurité (CSIRT) pour échanger des informations sur les cybermenaces et répondre aux incidents. Ces équipes sont essentielles au maintien d’une connaissance de la situation et à l’offre d’assistance. Pour gérer des incidents ou des crises de cybersécurité à grande échelle, la directive crée le réseau européen de relais de cyber-crise (Eu-Cyclone). Ce réseau soutient une gestion coordonnée et assure un échange régulier d'informations entre les États membres et les institutions de l'UE en cas d'incidents et de crises à grande échelle.
Le 20 janvier 2026, dans le cadre d'un nouveau paquet de cybersécuritéla Commission a proposé des modifications ciblées de la directive Nis2 afin d'en accroître la clarté juridique. Les changements simplifieront le respect des règles de l'UE en matière de cybersécurité et des exigences en matière de gestion des risques pour les organisations commerciales (la cible est composée de 28 700 entreprises, dont 6 200 micro et petites entreprises) opérant dans l'Union.