NIS 2 : la Commission européenne assigne la France devant la CJUE, la santé numérique en première ligne

Le dossier NIS 2 franchit une nouvelle étape, et elle est judiciaire. Le 8 juillet 2026, la Commission européenne a annoncé qu’elle saisissait la Cour de justice de l’Union européenne (CJUE) contre la France pour défaut de transposition de la directive sur la sécurité des réseaux et de l’information (NIS 2). Une procédure identique vise également l’Irlande, l’Espagne et les Pays-Bas.

De la mise en demeure à l’assignation en justice

Le calendrier illustre la patience épuisée de Bruxelles. La directive NIS 2 devait être transposée dans les droits nationaux au plus tard le 17 octobre 2024. Face au silence législatif français, la Commission avait déjà adressé deux avertissements successifs — une lettre de mise en demeure puis un avis motivé — avant d’annoncer, en juin dernier, l’ouverture d’une procédure d’infraction à l’encontre de Paris et Madrid (lire notre article du 10 juin 2026).

Cette fois, l’étape est différente : il ne s’agit plus d’un simple avertissement mais d’une action en justice. La Commission demande à la Cour d’imposer à la France une somme forfaitaire ainsi que des astreintes journalières, applicables jusqu’à la notification d’une transposition complète du texte. En France, le projet de loi de transposition — intégré à un texte plus large sur la résilience des infrastructures critiques — reste bloqué en amont de son examen en séance publique à l’Assemblée nationale, les débats achoppant notamment sur la question des « portes dérobées » réclamées par certains services de renseignement.

Un impact direct et massif sur la santé numérique

Pour le secteur de la santé, l’enjeu dépasse largement la procédure diplomatique entre Paris et Bruxelles. NIS 2 étend et renforce considérablement les obligations de cybersécurité applicables aux opérateurs de services essentiels et aux entités importantes — une catégorie qui inclut directement les établissements de santé, les hébergeurs de données de santé (HDS) et de nombreux éditeurs de logiciels du secteur.

Concrètement, la directive impose des obligations renforcées de signalement des incidents dans des délais contraints, une gouvernance engageant la responsabilité personnelle des dirigeants, ainsi qu’un élargissement sensible du périmètre des structures régulées par rapport à la première version de NIS. Selon les estimations relayées par la presse spécialisée, plusieurs milliers d’entités de santé seraient concernées en France une fois le texte transposé.

Ce contentieux a donc une conséquence pratique immédiate pour les DSI hospitalières et les éditeurs : l’incertitude sur le calendrier de transposition se prolonge, alors que la pression réglementaire — désormais assortie d’un risque financier tangible pour l’État — ne fait que croître. Les acteurs les plus prudents du secteur ont déjà commencé à anticiper les exigences de NIS 2 sans attendre la publication du texte français, une stratégie que cet épisode judiciaire vient conforter.

Ce qu’il faut retenir

• La Commission saisit la CJUE contre la France, l’Irlande, l’Espagne et les Pays-Bas pour retard de transposition de NIS 2, avec demande de sanctions financières.
• En France, le texte reste en attente d’examen à l’Assemblée nationale, freiné par le débat sur les portes dérobées.
• Le secteur de la santé, qui compte des milliers d’entités régulées par NIS 2, est directement concerné par ce retard.

Sources

• La Commission européenne poursuit la France devant la CJUE pour défaut de transposition de la directive NIS 2 — TICsanté
• “La France est trop en retard sur la cybersécurité” : l’Europe l’attaque en justice — Siècle Digital
• Santé numérique : la France sous pression sur NIS 2 face à la montée des cyberattaques stratégiques — Application Santé Numérique