La Commission européenne s’apprêterait à saisir la Cour de justice de l’UE contre Paris et Madrid pour non-transposition de la directive phare sur la cybersécurité. Une procédure rare, aux conséquences financières potentiellement lourdes, qui illustre l’impatience croissante de Bruxelles face à l’inertie de ses États membres.
Une escalade en trois actes
La mécanique procédurale est connue, mais elle arrive rarement à ce stade. Selon nos confreres de chez Politico, qui cite un responsable de la Commission sous couvert d’anonymat, l’exécutif européen porterait l’affaire devant la Cour de justice de l’UE à Luxembourg juste avant ou juste après les vacances d’été, en tout cas avant la fin de l’année. La France et l’Espagne n’auraient pas respecté la date limite d’octobre 2024 pour transposer dans leur droit national la directive NIS2, adoptée en 2022 pour contraindre les opérateurs des secteurs les plus sensibles (énergie, transports, eau, infrastructures numériques) à renforcer leur protection face aux cyberattaques. La Commission les aurait rappelés à l’ordre à deux reprises depuis : une première lettre de mise en demeure en novembre 2024, puis un avis motivé adressé à dix-neuf pays retardataires en mai 2025. La saisine de la CJUE constituerait donc l’étape suivante de la procédure formelle d’infraction. Le même responsable de la Commission précise que d’autres pays seraient visés simultanément, sans les nommer. Seuls quatre États membres, rappelons-le, avaient transposé NIS2 dans les délais.
Paris dans une position délicate
Du côté français, un responsable a confirmé à Politico que le secrétariat général aux affaires européennes prépare sa défense devant la CJUE. La France avait fait le choix de fusionner la transposition de NIS2 avec celle de la directive CER sur les infrastructures critiques dans un texte législatif unique. Ce projet de loi a accumulé les retards et ne devrait plus être présenté avant fin septembre. Un calendrier d’autant plus inconfortable que Bruxelles avait déjà renvoyé la France et six autres États membres devant la plus haute juridiction de l’UE fin avril pour non-transposition de cette même directive CER.
La Cour disposerait de deux options : infliger des sanctions financières ou accorder un délai supplémentaire. La Commission peut proposer une amende au moment de la saisine, ce qu’elle fait fréquemment dans ce type de procédures, une escalade qui pourrait conduire à des dizaines de millions d’euros.
L’exécutif européen n’aurait toutefois pas encore arrêté de position quant à d’éventuelles sanctions financières dans ce dossier précis. Le porte-parole Thomas Regnier s’est borné à indiquer que la Commission pourrait saisir la Cour à l’encontre de certains États membres, sans autre commentaire sur les procédures en cours.
