La France accuse un retard significatif dans la transposition de la directive européenne NIS 2, censée renforcer la cybersécurité des infrastructures critiques. Initialement prévue pour être transposée en droit national d’ici le 17 octobre 2024, cette directive vise à étendre et durcir les obligations de cybersécurité pour les entités essentielles et importantes, notamment en imposant des obligations de gouvernance, de gestion des risques et de notification d’incidents. (legiwatch.fr)
Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose simultanément NIS 2, la directive REC (résilience des entités critiques) et le règlement DORA, a été présenté en Conseil des ministres le 15 octobre 2024. Après son adoption en première lecture par le Sénat le 12 mars 2025, le texte a été déposé à l’Assemblée nationale, où il n’a pas encore fait l’objet d’un examen en commission ni d’une inscription à l’ordre du jour de la séance publique. (aide.monespacenis2.cyber.gouv.fr)
Ce retard de transposition place les administrations françaises dans une zone d’incertitude réglementaire, alors même que l’administration publique représente déjà 17 % des notifications de violations de données enregistrées par la CNIL en 2024. (nis2-pro.fr)
La Commission européenne a engagé 19 procédures d’infraction en novembre 2024 contre les États n’ayant pas transposé la directive NIS 2 dans les délais, dont la France. (legiwatch.fr)
Ce retard menace la continuité du service public et la capacité de gestion de crise de l’État, en exposant les infrastructures critiques à des cyberattaques potentielles.
