Parrainage NIS2 : Quatre États devant le CJUE

Début juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne (CJUE) contre l’Irlande, l’Espagne, la France et les Pays-Bas pour non-respect de la transposition de la directive NIS2. Pour les RSSI allemands, ce dossier n’est pas une simple affaire à suivre : ceux qui possèdent des filiales ou des fournisseurs critiques dans ces pays doivent continuer à viser une cible mouvante.

À consulter également :Qu’est-ce que les infrastructures critiques ? Opérateurs, obligations et seuils  /  NIS2 et CLOUD Act : la faille des États tiers

Mesures concrètes prises par la Commission

Qu’est-ce que le recours de la Commission devant la CJUE concernant la directive NIS2 ? La Commission européenne a saisi la Cour de justice de l’Union européenne (CJUE) contre l’Irlande, l’Espagne, la France et les Pays-Bas pour ne pas avoir notifié intégralement la transposition de la directive NIS2 avant la date butoir du 17 octobre 2024. Elle demande l’imposition d’une amende forfaitaire et de pénalités coercitives à ces États. Ce recours n’a pas d’impact direct sur les obligations nationales des entreprises.

Dans son paquet d’avril 2026 sur les infractions, la Commission a renvoyé l’Irlande (INFR(2024)0279), l’Espagne (INFR(2024)0270), la France (INFR(2024)0274) et les Pays-Bas (INFR(2024)0288) devant la CJUE. L’accusation porte sur l’absence de notification complète des mesures nationales de transposition de la directive NIS2 (UE) 2022/2555.

La procédure était prévisible : lettre de mise en demeure en novembre 2024, avis motivé en mai 2025, et désormais l’étape finale avec la demande de sanctions financières (amende forfaitaire et pénalités coercitives). Les destinataires sont les États membres. Les amendes NIS2 applicables aux opérateurs restent inchangées. La directive impose des exigences strictes aux opérateurs dans 18 secteurs critiques – de l’énergie et des transports à la santé et à l’administration publique.

Pour les responsables de la sécurité, l’effet symbolique prime : Bruxelles ne tolère plus de délais supplémentaires pour la transposition. Les entreprises opérant dans plusieurs États membres se retrouvent face à une mosaïque de conformités nationales plutôt qu’à un cadre unique « prêt à l’emploi » au niveau de l’UE.

Ce que cela signifie pour les entreprises allemandes

L’Allemagne ne fait pas partie des quatre États mis en cause. Cela n’allège que partiellement l’histoire de la gouvernance. De nombreux groupes DACH disposent de filiales essentielles, de services partagés ou de fournisseurs critiques en France, en Espagne, aux Pays-Bas ou en Irlande. Dans ces pays, la situation juridique reste floue pour l’instant. Les Pays-Bas ont adopté leur loi sur la cybersécurité (Cyberbeveiligingswet) le 7 juillet 2026, qui entrera en vigueur le 15 août 2026. L’Irlande prévoit de notifier sa transposition d’ici la fin de l’année.

Deuxièmement, la logique allemande d’enregistrement et de déclaration reste le levier opérationnel clé : vérification de l’exposition, enregistrement, chaînes de déclaration, responsabilité de la direction. Ceux qui planifient encore en interne avec un simple « NIS2 arrivera un jour » se heurtent aux services achats, aux assureurs et aux audits de diligence des clients, qui intègrent déjà la pression européenne dans leurs questionnaires et annexes contractuelles.

Troisièmement : les entités multi-pays nécessitent une matrice de localisation plutôt qu’un simple guide opérationnel allemand. Le périmètre, les délais, les autorités compétentes et les voies de déclaration diffèrent – même si la directive établit un cadre commun.

Communication au conseil d’administration sans mise en scène

Pour la direction générale, une simple diapositive indiquant « La cybersécurité est importante » ne suffit pas. Trois messages clairs sont nécessaires : (1) Quelles entités sont concernées, selon la transposition nationale en vigueur ? (2) Quelles preuves (gouvernance, réponse aux incidents, gestion des fournisseurs) sont auditable ? (3) Quels écarts disposent d’un délai et d’un responsable identifié ?

L’avis de renvoi de la Cour de justice de l’Union européenne (CJUE) modifie le ton : un retard au niveau des États ne constitue pas une autorisation en or pour les entreprises. Les autorités de surveillance, les assureurs et les grands clients interprètent ce signal comme « la mise en œuvre sera imposée ». La réponse pertinente consiste à prioriser la résolution des écarts plutôt que d’investir dans un maximum d’outils.

Ce que la cybersécurité priorise désormais

Sur le plan technique, la liste reste sobre : visibilité des actifs et de leurs dépendances, gestion des accès privilégiés, tests de sauvegarde et de restauration, journalisation jusqu’à la capacité de signalement, ainsi que les fournisseurs disposant d’un accès à distance. Sur le plan organisationnel, les rôles, les remplacements et les décisions documentées de la direction comptent – précisément ce que les autorités de surveillance et les commissaires aux comptes examineront ultérieurement.

Les organisations disposant déjà d’un SMSI (Système de Management de la Sécurité de l’Information) ou d’un cadre ISO 27001 peuvent cartographier les exigences de la directive NIS2 sur ces systèmes existants, plutôt que de créer un univers parallèle. Celles qui partent de zéro devraient commencer par définir le périmètre et la chaîne de signalement, sans se lancer dans une comparaison d’outils.

Foire aux questions

Chaque question est verrouillée. Un clic déverrouille la réponse.

L’Allemagne est-elle concernée par la plainte déposée auprès de la Cour de justice de l’Union européenne (CJUE) ?

Non, en tant qu’État membre défendeur. Restent pertinents la transposition et l’enregistrement allemands ainsi que les sociétés du groupe et les fournisseurs dans les quatre États défendeurs.

Quelles accusations ont été portées contre les quatre États ?

Notification incomplète des mesures nationales de transposition de la directive NIS2. La Commission demande des sanctions financières devant la Cour de justice de l’UE.

Est-ce que le dépôt de la plainte modifie du jour au lendemain mes obligations en matière de protection des données (DSGVO) en Allemagne ?

Pas automatiquement. Cela accroît la pression politique et réglementaire et renforce les attentes en matière de diligence raisonnable dans les configurations multi-juridictionnelles et les chaînes d’approvisionnement.

Que devrait voir le conseil d’administration ensuite ?

Une matrice d’entités intégrant le périmètre, les échéances, les preuves en attente et les propriétaires désignés, complétée par trois risques prioritaires assortis de délais et de budgets.

Une simple mise à niveau de l’outil suffit-elle comme réponse ?

Non. La directive NIS2 exige une gouvernance contrôlable, une capacité de reporting et un contrôle des fournisseurs. Des outils seuls ne suffisent pas à le prouver. La gouvernance fournit cette preuve.

Les choix de la rédaction

À lireCursor lance git.exe depuis la racine du dépôtÀ lirePoC LegacyHive et correctifs Windows récentsÀ lireDeux vulnérabilités Joomla ajoutées au catalogue CISA KEV

Plus du réseau MBF Media

cloudmagazinQuand les agents d’IA voyagent : la résidence des données comme défi opérationnelMyBusinessFuturePlus de faillites, des cas plus modestes : qu’est-ce qui compte