Un point sur la transposition de la directive NIS 2

Cela n’est un secret pour personne, les cyberattaques sont de plus en plus nombreuses et le développement des LLMs (et particulièrement ce qui est appelé l’« IA agentique ») rendent très accessibles les actes malveillants à l’encontre des structures non ou peu protégées contre ce type de menaces.

Afin de répondre à ces enjeux croissants, la directive européenne 2022/2555 Network and Information Security 2 (NIS 2), qui abroge et succède à la directive NIS 1 adoptée en 2016, opère, selon les termes du projet de loi de transposition, un « changement de paradigme ». Loin de ne viser qu’un groupe restreint d’entités « critiques », la directive vise à encadrer la résilience des infrastructures dites « importantes » ou « essentielles ».

Étant une directive, et contrairement aux règlements, l’application de ce texte ne peut avoir lieu qu’après une transposition par les États membres. Les directives européennes sont définies par l’article 288 du TFUE qui dispose qu’une directive « lie tout État membre destinataire quant au résultat à atteindre, tout en laissant aux instances nationales la compétence quant à la forme et aux moyens ». Cette transposition est, en outre, une obligation constitutionnelle en vertu de l’art. 88-1 de la Constitution, intégrée en 1992 pour permettre la ratification du traité de Maastricht, ainsi que l’a affirmé le Conseil constitutionnel en 2004¹.

La directive NIS 2, adoptée le 14 décembre 2022, a prévu un délai de transposition qui a expiré le 17 octobre 2024, jour de son entrée en vigueur. Afin d’opérer cette transposition, un projet de loi fut déposé par Antoine ARMAND, ministre de l’économie, des finances et de l’industrie et Patrick HETZEL, ministre de l’enseignement supérieur et de la recherche le 15 octobre 2024 soit quelques jours avant l’expiration, menant la France à faire partie des retardataires dans la transposition de cette directive². En outre de NIS 2, le texte a pour objet de transposer la directive REC (2022/2557) et la directive relative à la résilience opérationnelle numérique du secteur financier (2022/2556), qui accompagne le règlement DORA (2022/2554).

Le 12 mars 2025, le texte est adopté après une première lecture par le Sénat. Il est ensuite déposé devant l’Assemblée nationale, mais les remous du gouvernement en septembre / octobre 2025 (qui, on le rappelle, ont mené à la démission du gouvernement Bayrou, la nomination de Lecornu puis sa démission dès le lendemain avant de stabiliser, quelques jours plus tard, le gouvernement actuel) ont prorogé, sans espoir immédiat de reprise, la discussion sur le texte. Aujourd’hui, le texte est en attente de discussion devant l’Assemblée nationale.

Politico nous rappelait en juin dernier que la Commission européenne avait mis en demeure la France en 2024, et les autres retardataires, d’opérer cette transposition, sous peine de saisir la CJUE, ce qui a été fait en avril dernier, qui a la possibilité de prononcer une sanction. Le fait que le projet de loi vise la transposition de trois directives différentes n’aidant pas, au vu de la complexité du secteur et des discussions, qui impliquent non seulement l’intégration de dispositifs juridiques de garanties et de contrôle, mais aussi la détermination de procédés techniques.

Le point bloquant se situerait, selon l’Usine Digitale, dans un amendement porté par Olivier Cadic relatif à l’interdiction de l’intégration de backdoors dans les services de messageries chiffrées. Le sénateur rappelle notamment que de tels dispositifs avaient été « exploités par les hackers chinois, donc pour compromettre des millions de télécommunications ». On se souviendra de l’émoi provoqué par les dispositions du texte surnommé Chat Control qui prévoyait l’intégration de procédés semblables afin d’aider à la détection de contenu pédopornographique sur les messageries privées. Dans les deux cas, les problèmes de sécurité sont importants : en laissant ouverte la possibilité pour les autorités d’avoir accès à des conversations chiffrées, elle laisse aussi la porte ouverte pour des attaquants potentiels, qui pourraient exploiter la backdoor à leur profit.

Cette difficulté, qui se situe sur un terrain technique, semble révéler, au fond, les tensions inhérentes à l’exercice des libertés, en ligne ou non. D’un côté, l’administration cherche, pour des raisons légitimes, à conserver une maitrise et des moyens de détection, prévention et répression des infractions. De l’autre, les citoyens, qui cherchent, à raison, à conserver leur liberté de communication, de parole et d’expression. Car si l’argument mobilisé par le sénateur est bien celui du risque technique d’exposition de la backdoor à des attaquants potentiels, une telle backdoor laisserait avant tout la capacité, non seulement aux entreprises gestionnaires des services, mais aussi à l’État, de relever, en dépit d’un chiffrement, le contenu des messages échangés — le chiffrement perdant, du même coup, sa raison d’être.

Aussi, peut-être que ce retard de transposition n’est pas fortuit et indique plutôt une difficulté importante dans l’éternelle détermination du seuil entre liberté de communication et sécurité.

Pour l’heure, donc, les acteurs du secteur semblent en attente de cette adoption qui tarde, et qui laisse incertain encore l’étendue exacte et les modalités d’application précise de la directive. Dans un contexte où non seulement les entreprises privées, mais aussi les administrations publiques³ sont affectées par des cyberattaques de plus en plus nombreuses, il est d’autant plus important que le texte puisse trouver à s’appliquer.

Néanmoins, le retard n’a pas empêché certains acteurs à anticiper son adoption. Le projet de loi de transposition, en son article 14, prévoit notamment l’adoption d’un référentiel technique, dont les conditions d’élaboration doivent être prévues par un décret en Conseil d’État. Ce référentiel doit prévoir les « exigences techniques et organisationnelles qui sont adaptées aux différentes personnes mentionnées au premier alinéa, en fonction de leur degré d’exposition aux risques, de leur taille, de la probabilité de survenance d’incidents et de la gravité de ceux‑ci, y compris leurs conséquences économiques et sociales ». L’ANSSI, en charge de la conception de ce document, a mis en ligne ce référentiel appelé ReCyF depuis le 17 mars 2026, tout en rappelant qu’il ne s’agit que d’un document de travail. L’objectif étant, à défaut de transposition déjà opérée, d’accompagner les structures désignées par la directive de se mettre en conformité.

Dans le même sens, le 9 avril dernier a été publiée une feuille de route pour la période 2026-2027 visant à préciser les « efforts prioritaires en matière de sécurité numérique de l’État ». Ce document, qui s’inscrit explicitement dans la perspective future de l’application de NIS 2, prévoit 10 ensembles d’actions concrètes à mettre en œuvre au sein des administrations publiques, par exemple le renforcement de la gouvernance en matière de cybersécurité, l’homologation des SI et la maîtrise de l’écosystème, ou encore, la préparation de la transition vers la cryptographie post-quantique.

L’enseignement à tirer de tout cela doit être que la sécurité des SI ne doit pas attendre une loi. Les enjeux, qui sont d’ordres variés (extraction de données, extorsion, déni de service, ingérences étrangères) relèvent tous d’une grande importance que la régulation européenne vise à encadrer et harmoniser.