La Commission européenne s'apprête à saisir la Cour de justice de l'Union européenne (CJUE) contre la France pour ne pas avoir transposé la directive NIS 2 dans son droit national. Cette directive, adoptée en 2022, vise à renforcer la cybersécurité des secteurs économiques et administratifs critiques dans tous les États membres, avec une date limite fixée au 17 octobre 2024. La majorité des pays ont été rappelés à l'ordre en novembre 2024 puis en mai 2025, mais la France fait partie des rares à n'avoir toujours pas mis à jour sa législation.

Le retard français s'explique par un projet de fusion entre NIS 2 et une autre directive sur la résilience des entités critiques, une initiative qui a pris du retard. Si la CJUE confirme une sanction, la France pourrait être condamnée à une amende de plusieurs millions d'euros, bien que la cour puisse aussi accorder un délai supplémentaire.

En France, la directive couvrirait plus de 15 000 entités classées comme « essentielles » ou « importantes » dans 18 secteurs, notamment les transports maritimes, particulièrement exposés aux cyberattaques. Une fois transposée, elle imposera des obligations strictes en matière de gestion des risques, de déclaration d'incidents et de partage d'informations.