Ce que signifie le procès NIS2 pour vous

Pourquoi l’UE poursuit quatre pays pour NIS2 — et ce que cela signifie pour la sécurité des sauvegardes 

La Commission européenne a saisi la Cour de justice de l’Union européenne contre l’Irlande, la France, l’Espagne et les Pays-Bas pour ne pas avoir mis en œuvre la directive NIS2. Cette affaire constitue l’une des plus importantes actions menées à ce jour par l’UE pour faire appliquer la cybersécurité. Dans cet article, nous expliquons l’objet de la procédure, les prochaines étapes, et pourquoi NIS2 est déterminante pour la sécurité des sauvegardes et de la restauration.  

Pourquoi l’UE a fait monter le dossier d’un cran 

Le problème central est que la date limite de transposition n’a pas été respectée. NIS2 est une directive de l’UE, ce qui signifie que chaque pays de l’UE doit adopter ses propres lois nationales pour la mettre en œuvre. L’Irlande, la France, les Pays-Bas et l’Espagne n’ont pas notifié à la Commission qu’ils avaient entièrement transposé la directive.  

En droit de l’UE, le fait de ne pas transposer une directive avant l’échéance constitue en soi une violation. La Commission a suivi la séquence standard de procédure en manquement : mise en demeure, avis motivé, puis, saisine de la Cour. La Commission a fait monter le dossier en juillet 2026, environ 20 mois après la date limite officielle. 

L’article 41(1) constitue la base juridique spécifique de la procédure. Il impose aux États membres de l’UE d’adopter et de publier des mesures nationales mettant en œuvre NIS2, et le non-respect de cette obligation a déclenché la saisine de la Cour.

Vous souhaitez consulter l'outil de suivi la directive NIS2 ? Découvrez la carte interactive de l'ECSO qui suit les progrès réalisés par chaque pays.

État de la procédure et prochaines étapes 

L’affaire est désormais devant la Cour de justice. La Commission a demandé à la fois des amendes forfaitaires et des astreintes journalières jusqu’à ce que chaque pays achève la transposition. La Cour examinera le manquement et déterminera les conséquences financières. 

Les États membres accélèrent généralement le travail législatif une fois que le dossier atteint ce stade. Les Pays-Bas ont déjà adopté leur loi ; l’Irlande, la France et l’Espagne devraient finaliser la leur afin de limiter les pénalités en cours. 

Pourquoi la conformité NIS2 est essentielle pour la sécurité des données de sauvegarde 

NIS2 met en évidence la nécessité d’une restauration et d’une continuité fiables. Le stockage Sauvegarde joue un rôle direct dans le respect de plusieurs exigences de gestion des risques de la directive : 

• Disponibilité des données : les sauvegardes garantissent que les données restent accessibles lorsque les systèmes primaires cèdent face à un rançongiciel, à des menaces internes ou à des catastrophes naturelles. 

• Continuité d’activité : les plans de reprise s’appuient sur des données de sauvegarde saines et exploitables pour rétablir les opérations dans les délais requis. 

• Résistance aux rançongiciels : des sauvegardes immuables empêchent les attaquants de modifier ou de supprimer les données de sauvegarde. 

• Preuves d’incident : les sauvegardes conservent les informations historiques nécessaires à l’enquête et aux obligations de notification. 

• Vitesse de restauration : des processus de restauration fiables réduisent les temps d’arrêt après une perturbation opérationnelle. 

Si les données de sauvegarde ne peuvent pas être restaurées — sans altération et de manière fiable — et dans les délais requis par l’article 23 (alerte précoce sous 24 heures, notification d’incident sous 72 heures et rapport final sous 30 jours), une organisation ne peut pas satisfaire aux obligations NIS2 en matière de réponse aux incidents, de notification ou de continuité. 

Avec cette procédure, l’UE démontre à quel point elle prend au sérieux la mise en application de NIS2 dans les États membres. Par conséquent, les organisations dans toute l’UE peuvent s’attendre à un contrôle plus étroit de leur propre conformité à la réglementation. 

Ressources pour vous aider à respecter les exigences NIS2 

Object First met à disposition quelques ressources qui expliquent ce qu’exige NIS2 et comment les organisations peuvent évaluer leur niveau de préparation.  

Le livre blanc sur la directive NIS2 explique le périmètre de la directive, la différence entre entités essentielles et entités importantes, les mesures spécifiques de gestion des risques requises au titre de l’article 21, et la manière dont des sauvegardes sécurisées et immuables s’intègrent aux exigences de continuité d’activité et de réponse aux incidents . Il décrit également comment NIS2 modifie la supervision des autorités de contrôle et ce à quoi les organisations doivent s’attendre une fois que l’application nationale commencera. 

La check-list de conformité NIS2 fournit un moyen pratique d’évaluer la posture actuelle. Elle passe en revue les contrôles de sécurité requis, la préparation à la notification d’incident , la résilience de la sauvegarde et de la restauration, les considérations liées à la chaîne d’approvisionnement , ainsi que les exigences de documentation. Les équipes peuvent l’utiliser pour identifier les écarts, prioriser les actions correctives et se préparer aux audits une fois la transposition achevée dans leur pays.