La transposition de NIS2, État par État : ce que montre le registre de la Commission elle-même

Chaque cabinet doté d'une pratique en cybersécurité publie un tableau de suivi de la transposition de NIS2, et il n'en existe pas deux qui concordent, parce que chacun est la lecture qu'une personne fait de la production de 27 parlements. Il existe une liste qui n'est pas une lecture : le registre des mesures nationales que les États membres eux-mêmes ont communiquées à la Commission au titre de l'article 41 de la directive (UE) 2022/2555, qu'EUR-Lex affiche sous l'onglet « transposition nationale » de la directive et que l'Office des publications détient sous forme de données. C'est la liste au regard de laquelle les décisions d'infraction de la Commission sont vérifiées. Cet article est ce registre, lu le 12 septembre 2026, avec la liste complète de chaque mesure communiquée, par État, sur sa propre page, et les deux conclusions que le registre autorise et que les tableaux de suivi tendent à brouiller.

Ce qu'est le registre

L'article 41(1) imposait aux États membres d'adopter et de publier « les mesures nécessaires pour se conformer à la présente directive » au plus tard le 17 octobre 2024, d'« en informer immédiatement la Commission », et d'appliquer ces mesures à partir du 18 octobre 2024. Chaque mesure qu'un État communique devient un enregistrement : le titre que l'État lui a donné, dans sa propre langue ; le type d'acte ; sa date ; la date de communication ; et, lorsque l'État les a fournis, l'entrée en vigueur et le journal officiel national. L'entrepôt CELLAR de l'Office des publications relie chaque enregistrement à la directive, ce qui permet à une machine de lire l'ensemble d'un coup, et c'est ainsi que la page et le jeu de données derrière cet article sont régénérés plutôt que ressaisis.

Deux propriétés du registre comptent plus que n'importe quelle ligne. Il ne contient que ce qui a été communiqué : un État dont le parlement a adopté une loi le mois dernier sans l'avoir encore notifiée n'y montre rien, et un État qui a communiqué son cadre de 2018 sur la sécurité des réseaux et des systèmes d'information comme transposition partielle montre ce cadre, quel que soit l'acte ultérieur qui le remplace. Et il ne dit pas laquelle des mesures d'un État est « la loi NIS2 ». Le tableau ci-dessous en désigne une par État, choisie selon une règle énoncée : la mesure communiquée de rang le plus élevé dont le titre nomme la directive, la cybersécurité ou la sécurité des réseaux et des systèmes d'information, la plus récente lorsqu'il y en a plusieurs. C'est notre lecture, et la page la signale comme telle.

Ce qu'il montre au 12 septembre 2026

25 des 27 États membres ont communiqué au moins une mesure, 303 mesures à eux tous. 24 ont communiqué un acte dont le titre nomme la directive ou la cybersécurité. L'Espagne et l'Irlande n'ont rien communiqué. La France a communiqué 15 textes, tous datés entre 2005 et 2023 : la loi, le décret et l'arrêté de 2018 qui ont transposé la première directive NIS, des articles du code de la défense et des instructions interministérielles sur la sécurité des systèmes d'information de l'État, et aucun acte nommant NIS2.

Les dates disent le reste. Six des 24 actes principaux sont datés au plus tard du 17 octobre 2024, la date limite : celui de la Croatie, le plus ancien, de février 2024 ; la loi belge d'avril 2024, en vigueur à partir du 18 octobre 2024, le jour où la directive s'appliquait ; ceux de la Lettonie, de la Lituanie et de l'Italie à l'été et à l'automne 2024 ; et celui de la Slovaquie, qui est la loi de 2018 telle que modifiée, en vigueur depuis le 1er janvier 2025. Les 18 autres sont postérieurs à la date limite, et six d'entre eux sont entrés en vigueur en 2026 : l'Estonie et la Suède en janvier, la Bulgarie en février, la Pologne en avril, le Luxembourg en mai, et les Pays-Bas, dont la Cyberbeveiligingswet du 8 juillet 2026 s'applique à partir du 15 août 2026 et est l'acte le plus récent du registre.

Le nombre de mesures renseigne sur la manière dont les États notifient, pas sur la quantité de droit qu'ils ont. Les 83 enregistrements de la Tchéquie comprennent des actes communiqués dès 2004 et rattachés ensuite à la directive ; les 39 de la Hongrie et les 28 de l'Estonie suivent le même schéma de notification du corpus législatif environnant ; les 20 de l'Allemagne sont pour l'essentiel les règles d'application propres des Länder pour leurs administrations, communiquées une à une, à côté de la loi fédérale de décembre 2025. La Bulgarie, Chypre, l'Italie, le Luxembourg, Malte et la Slovénie ont communiqué un acte chacun.

Le registre, une ligne par État

La liste complète derrière chaque ligne, avec les types, les dates, les journaux officiels et les liens nationaux, se trouve sur la page de la transposition, et les mêmes enregistrements figurent dans les jeux de données que StandardOS publie à partir des sources primaires.

Ce qu'un éditeur de logiciels en fait

Laquelle de ces lois vous atteint est décidé par l'article 26, pas par l'emplacement de vos clients. Une entité essentielle ou importante relève de la compétence de l'État membre où elle est établie. Pour les fournisseurs numériques de l'article 26(1)(b), parmi lesquels les services d'informatique en nuage, les centres de données, les fournisseurs de services gérés et de services de sécurité gérés, les places de marché en ligne, les moteurs de recherche et les réseaux sociaux, la compétence revient à l'État membre de l'établissement principal dans l'Union, défini à l'article 26(2) comme l'État « où les décisions relatives aux mesures de gestion des risques en matière de cybersécurité sont principalement prises ». La loi d'un seul État, un seul superviseur, un seul enregistrement, quelle que soit la répartition de vos utilisateurs. Les mêmes fournisseurs devaient transmettre leur nom, leur secteur, leurs adresses, leurs coordonnées, les États membres desservis et leurs plages d'adresses IP à l'autorité compétente au plus tard le 17 janvier 2025 au titre de l'article 27(2), pour le registre de l'ENISA. Si la directive atteint votre entreprise, comme entité essentielle ou importante, et sous la loi de quel État, trouve ici une réponse écrite.

Ce qui diffère selon l'État est ce qu'un acte national fixe : qui supervise, où et quand vous vous enregistrez, comment les amendes sont fixées dans les plafonds de la directive, et la forme et le canal de la notification d'incident. Ce qui est identique partout est le propre de la directive : les mesures de l'article 21, section par section face à ISO 27001 ; les horloges de l'article 23, qui courent à côté de celles du CRA pour une entreprise qui livre un produit en plus d'un service ; et, pour les fournisseurs de services en nuage et les autres fournisseurs numériques, les seuils d'incident du règlement d'exécution (UE) 2024/2690, d'application directe, qui n'a besoin d'aucune transposition. Une entreprise située dans l'un des deux États dont le registre ne contient rien n'est pas hors de la directive : le règlement s'applique à elle aujourd'hui, et la question de savoir si NIS2 ou le CRA est sa loi a la même réponse que partout ailleurs.

Sources

• Directive (UE) 2022/2555 (NIS2), article 26(1) et (2), article 27(1) et (2), article 41(1).
• Les mesures nationales d'exécution reliées au CELEX 32022L2555 dans CELLAR, l'entrepôt de l'Office des publications derrière EUR-Lex, lues via SPARQL le 12 septembre 2026 ; titres, types et dates tels que communiqués.
• Règlement d'exécution (UE) 2024/2690 de la Commission, article 1.

Ceci n'est pas un avis juridique. Le registre consigne ce que les États membres ont communiqué ; savoir si un État a transposé la directive correctement ou complètement est une question pour la Commission et, en dernier ressort, pour la Cour, et cet article n'y répond pas.