D’un côté, la Commission européenne saisit la CJUE contre la France, l’Espagne, l’Irlande et les Pays-Bas pour défaut de transposition complète de la directive NIS 2.
De l’autre, une étude Cohesity indique que 62 % des entreprises françaises interrogées estimeraient déjà que NIS 2 ne va pas assez loin et souhaiteraient un durcissement des règles de cybersécurité.
Un paradoxe assez rare pour être relevé : l’Europe reproche à certains États de ne pas appliquer assez vite une directive que beaucoup d’entreprises jugent déjà insuffisante.
À première vue, la situation semble contradictoire, car mes entreprises demandent rarement plus de normes et dénoncent souvent leur complexité.
Pourquoi, dans ce cas, réclamer davantage de règles cyber avant même que NIS 2 soit pleinement transposée ? La réponse tient probablement à la nature même du risque.
NIS 2 impose un socle commun : gouvernance, gestion des risques, sécurité de la chaîne d’approvisionnement, notification des incidents, responsabilité des dirigeants, supervision renforcée et sanctions.
Son objectif est clair : faire entrer beaucoup plus d’acteurs dans une culture minimale de résilience numérique.
En France, l’enjeu est considérable, puisque le périmètre passerait de quelques centaines d’acteurs régulés à plusieurs milliers d’entités.
Pourtant, ce socle arrive dans un environnement déjà transformé :
- Les attaques par rançongiciel se professionnalisent.
- Les dépendances aux prestataires cloud deviennent stratégiques.
- Les chaînes de sous-traitance sont plus exposées.
- L’IA accélère les capacités d’attaque.
- Les infrastructures critiques reposent de plus en plus sur des services numériques extraterritoriaux.
Dans ce contexte, certaines entreprises ne réclament pas forcément de la norme par réflexe bureaucratique, elles cherchent peut-être autre chose : un cadre commun qui oblige tout l’écosystème à élever son niveau de sécurité.
C’est particulièrement vrai lorsque la faiblesse d’un fournisseur, d’un sous-traitant ou d’un partenaire peut contaminer toute une chaîne économique.
La cybersécurité n’est plus seulement une affaire interne.
Elle devient une question de dépendance collective.
C’est aussi ce qui explique l’intérêt croissant de l’Union européenne pour le cloud, l’IA et la souveraineté numérique. Le futur cadre européen sur le cloud et l’IA s’inscrit dans la même logique : ne plus traiter la cybersécurité comme un simple sujet technique, mais comme une condition de résilience économique.
Le vrai débat n’est donc pas de savoir si l’Europe produit trop ou pas assez de normes.
La question est plutôt de savoir si elle norme au bon rythme, au bon niveau et avec les bons outils.
Une norme trop tardive laisse les entreprises seules face au risque.
Une norme trop lourde peut ralentir l’innovation, décourager les PME et transformer la conformité en exercice administratif.
Entre ces deux écueils, NIS 2 révèle une tension très européenne : vouloir protéger l’économie numérique sans l’asphyxier.
La conclusion me semble assez nette : Les entreprises ne demandent pas nécessairement plus de réglementation par goût de la contrainte. Elles demandent surtout que la règle devienne un levier de sécurité collective, de confiance entre partenaires et de réduction des dépendances critiques.
Le risque serait alors double :
- Ne pas transposer assez vite les règles existantes.
- Puis découvrir qu’elles étaient déjà en retard sur la réalité de la menace.