La France accuse un retard dans la directive NIS2

La France n'a pas encore transposé la directive NIS2, qui devait être entièrement intégrée au droit national au plus tard le 17 octobre 2024. Le pays a retardé le processus : le projet de loi correspondant a été débattu à l'Assemblée nationale, puis retiré de l'ordre du jour sans nouvelle échéance.

Le projet de loi « Résilience » accumule les retards

Le projet de loi « Résilience », qui vise à renforcer la cybersécurité et les infrastructures critiques, a connu plusieurs reports. Des désaccords sur certaines dispositions, notamment celles liées à la messagerie chiffrée, ont contribué à ces revers. La Commission européenne a également engagé des poursuites contre la France, ainsi que contre l'Irlande, l'Espagne et les Pays-Bas, pour non-respect de la directive.

L'ANSSI peine à mettre en œuvre le dispositif

L'Agence nationale de la sécurité des systèmes d'information (ANSSI) est chargée de superviser une forte hausse du nombre d'entités concernées, passé de quelques centaines à environ 15 000, réparties dans 18 secteurs. L'enregistrement obligatoire de ces entités a été reporté : seule une fenêtre de préenregistrement devrait ouvrir à l'automne 2025.

La France fait figure de retardataire en Europe

Par rapport à ses voisins européens, la France accuse un retard important dans la mise en œuvre de la directive NIS2. L'Allemagne a déjà appliqué l'obligation, avec environ 17 700 entités enregistrées, tandis que l'Italie a fixé une échéance claire pour son premier groupe d'entités. La France, en revanche, continue de tarder, malgré la persistance des cybermenaces.

La chaîne d'approvisionnement, une faille majeure

La chaîne d'approvisionnement occupe une place centrale dans la directive NIS2, qui impose aux entités de gérer la sécurité de leurs chaînes d'approvisionnement. Toutefois, la directive fait peser la responsabilité sur le client plutôt que sur le fournisseur, laissant certaines vulnérabilités sans réponse. Une récente attaque par rançongiciel contre Harvest SA, qui a exploité une machine virtuelle compromise appartenant à un prestataire de services, illustre ce risque.

Les fuites de données alimentent les attaques à venir

Le vol de données chez les fournisseurs n'est pas un incident isolé. Les données dérobées peuvent servir à préparer de futures cyberattaques. Lors d'un récent sommet sur la cybersécurité, Vincent Strubel, de l'ANSSI, a souligné que des failles de sécurité élémentaires restent très répandues, malgré une année marquée par d'importantes fuites de données. Le général Patrick Touak a averti que ces données servent à cibler des personnes à forte valeur, notamment dans le secteur des cryptomonnaies, avec des conséquences physiques potentielles.

Les cyberattaques visent la logistique et le transport de fret

Une campagne recensée par le CERT-UE entre septembre 2025 et février 2026 a visé des organisations de logistique et de transport de fret en Allemagne, en France, en Lituanie et aux États-Unis. L'attaque a permis de dérober plus de 1 600 identifiants uniques, de perturber les opérations et d'utiliser des techniques d'hameçonnage et d'usurpation d'identité pour accéder à des informations sensibles.

Une mise en œuvre inégale des exigences de formation

Si la directive NIS2 impose une formation de base à la cybersécurité pour les employés et la direction, la mise en œuvre de ces exigences varie fortement d'un pays à l'autre. L'Allemagne n'a pas explicitement inclus la formation des employés dans sa transposition de la directive, contrairement à l'Italie. L'approche française reste incomplète, laissant de nombreuses responsabilités mal définies.