Deux instruments, deux logiques
L'article 288 du traité sur le fonctionnement de l'Union européenne distingue plusieurs actes juridiques. Deux nous intéressent ici.
Le règlement est obligatoire dans tous ses éléments et directement applicable dans chaque État membre. Aucun texte national ne s'intercale. Le jour où il entre en application, il produit ses effets de la même façon à Lisbonne, à Bruxelles et à Paris.
La directive lie les États quant au résultat à atteindre. Chaque pays choisit ensuite la forme et les moyens, puis adopte sa propre loi dans le délai que la directive a fixé. C'est cette loi nationale que vous appliquez, pas la directive.
Ce que cela change pour vous
Pour un règlement, le texte européen fait foi. Vous le lisez dans la langue de votre choix, puisque toutes les versions publiées au Journal officiel de l'UE ont la même valeur juridique. L'IA Act, règlement (UE) 2024/1689, fonctionne ainsi. Le PART-IS en aviation également.
Pour une directive, le texte européen vous donne l'esprit et le périmètre. Votre obligation, elle, se trouve dans la loi de votre pays. Si vous êtes implanté dans plusieurs États membres, vous avez autant de textes à lire que de pays d'implantation.
La transposition laisse en effet de la marge. Les seuils d'assujettissement, les délais de notification, le régime des sanctions et les autorités compétentes varient d'un pays à l'autre, dans les limites posées par la directive.
NIS 2, trois pays, trois situations
La directive (UE) 2022/2555, dite NIS 2, devait être transposée au plus tard le 17 octobre 2024. Les trois pays où nous intervenons illustrent trois trajectoires différentes.
La Belgique a tenu le calendrier. Sa loi de transposition est entrée en vigueur le 18 octobre 2024. Le Centre pour la cybersécurité Belgique s'appuie sur son référentiel CyberFundamentals pour accompagner les entités concernées.
Le Portugal a transposé plus tard, par le décret-loi n° 125/2025. Le Centre national de cybersécurité portugais a complété ce régime par un règlement d'application publié en juin 2026.
La France n'a toujours pas transposé. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été déposé en octobre 2024, adopté au Sénat, puis voté en commission spéciale à l'Assemblée nationale en septembre 2025. Son examen en séance a été reporté à plusieurs reprises, en dernier lieu début octobre 2026. La Commission européenne a saisi la Cour de justice de l'Union européenne le 8 juillet 2026 et demande des sanctions financières. L'Irlande, l'Espagne et les Pays-Bas font l'objet de la même décision.
Une entreprise présente dans ces trois pays vit donc trois situations pour une seule directive. En Belgique elle est soumise depuis octobre 2024. Au Portugal elle l'est depuis 2025. En France elle attend un texte dont la date reste inconnue.
Ce que nous en faisons en audit
Le retard d'un État ne suspend rien. Les exigences de vos donneurs d'ordre, les clauses de vos contrats et les attentes de vos assureurs n'attendent pas le Journal officiel. Beaucoup d'organisations françaises se préparent déjà sur la base du texte européen et du projet de loi.
Nous auditons donc sur deux plans. Nous vérifions la conformité au texte national lorsqu'il existe. Nous mesurons l'écart par rapport à la directive lorsqu'il n'existe pas encore. Le second travail prépare le premier.
À retenir
Avant de vous demander comment vous conformer, demandez-vous de quel texte vous parlez. Un règlement vous renvoie à Bruxelles. Une directive vous renvoie à votre législateur national, et à lui seul.
Sources
- Traité sur le fonctionnement de l'Union européenne, article 288.
- Directive (UE) 2022/2555 du 14 décembre 2022, dite NIS 2.
- Règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle.
- Loi belge du 26 avril 2024, en vigueur le 18 octobre 2024.
- Décret-loi portugais n° 125/2025 et règlement du Centre national de cybersécurité, juin 2026.
- Décision de la Commission européenne du 8 juillet 2026 de saisir la Cour de justice de l'UE.