Contrairement à la plupart des autres pays européens, la France accuse un retard dans la transposition de la directive NIS2 dans son droit, qui aurait déjà dû avoir lieu depuis octobre 2024 selon le calendrier fixé par l’Union européenne, mais qui ne devrait pas se faire avant juillet 2026 au plus tôt. La raison ? Un différend institutionnel lié à un blocage parlementaire sur l’un des articles du texte de loi.
Tribune par Patrick Rohrbasser, Regional Vice President South EMEA – Depuis son entrée en vigueur, NIS2 contribue à placer au cœur des préoccupations des entreprises européennes les enjeux de sécurité et de conformité, en imposant aux entreprises de mettre en place une stratégie de gestion des risques cyber, accompagnée de contraintes techniques et organisationnelles.
Selon une étude menée par Veeam en 2024 à l’occasion de l’entrée en vigueur de la directive, 95 % des entreprises françaises avaient subi des incidents de cybersécurité que la conformité à NIS2 aurait pu prévenir. Pourtant, malgré cette prise de conscience, 68 % des entreprises disaient ne pas être en mesure de respecter les délais de mise en conformité fixés initialement. Enfin, 77 % des personnes interrogées en France considéraient que la directive NIS2 était bénéfique, mais 39 % doutaient aussi que son impact soit significatif sur la posture globale de l’UE en matière de cybersécurité.
Le retard actuellement pris dans la transposition de NIS2 fait peser sur la France plusieurs types de risques, notamment l’érosion de la confiance des Français dans la capacité de l’État à protéger leurs données.
Les dirigeants et les décideurs doivent pourtant comprendre l’importance d’accélérer leurs efforts de mise en conformité à NIS2, à la fois pour éviter des sanctions lourdes, mais aussi et surtout pour renforcer leur résilience face aux cybermenaces croissantes. Car comme l’a révélé notre dernière étude en date, les menaces de cybersécurité constituent le principal élément perturbateur pour les entreprises en 2026, selon 49% des répondants à travers le monde, et le renforcement de la cybersécurité est considéré comme « incontournable » en 2026 pour 45%. Cela s’explique notamment par l’essor des projets d’IA menés par les entreprises, qui impliquent des risques accrus en raison de l’utilisation de données massivement non structurées, provenant d’une multitude de sources où le contrôle est essentiel mais extrêmement difficile, voire quasi impossible quand les entreprises utilisent une multitude de solutions diverses et variées sans vue consolidée de la donnée, de ses relations, de ses accès et sa sécurité.
Le risque dépasse désormais les enjeux liés au piratage et aux demandes de rançons, et concerne davantage la compréhension, la confiance, la gouvernance et l’usage de la donnée avec les notions d’accès et de gestion des identités. En plus de consolider leur stratégie de sauvegarde, de protection et de résilience des données, les entreprises doivent veiller à ne pas utiliser de mauvaises données, ou des données normalement inaccessibles ou qui ne sont pas conformes aux réglementations en vigueur. Et ce, sans attendre que la transposition de la directive NIS2 dans le droit français soit effective.
La cybersécurité n’est pas une option, mais une nécessité stratégique pour assurer la continuité des activités, le développement des projets IA à l’échelle et sans risque et (re)gagner la confiance des clients.
