L'Irlande, l'Espagne, la France et les Pays-Bas sont les seuls États membres à n'avoir pas encore intégré la directive NIS2 dans leur droit national.
L'Irlande est l'un des quatre pays déférés devant la plus haute juridiction de l'Union européenne pour avoir omis d'adopter des directives sur la cybersécurité. La décision de la Commission européenne intervient alors que l'Irlande entame sa présidence tournante de six mois à la tête du Conseil de l'UE.
La directive sur la sécurité des réseaux et de l'information 2 (NIS2) est entrée en vigueur en janvier 2023 et fixe des normes de sécurité élevées dans 18 secteurs critiques, dont la santé, l'énergie, les transports et le secteur public, obligeant les organisations à mettre en œuvre des mesures de sécurité appropriées et à signaler tout incident pertinent aux autorités.
Toutefois, les directives doivent être intégrées dans la législation nationale des États membres de l'UE avant d'entrer en vigueur. Les États membres avaient jusqu'en octobre 2024 pour procéder à la transposition.
Mais fin novembre 2024, 23 États membres, dont le Danemark, l’Allemagne, la Finlande et la Suède, n’avaient pas encore transposé la directive, alors qu’en mai 2025, 19 ne l’avaient toujours pas fait.
Dans sa saisine hier (8 juillet), qui inclut également l'Espagne, la France et les Pays-Bas, la Commission a demandé à la Cour de justice de l'Union européenne d'imposer des sanctions financières aux États membres contrevenants, consistant en une somme forfaitaire et des amendes journalières jusqu'à ce que NIS2 soit intégré dans la législation nationale.
Le paysage des menaces de cybersécurité évolue rapidement, car les nouvelles technologies telles que l’IA fournissent aux acteurs malveillants des outils avancés pour commettre des attaques de phishing, des escroqueries et des effractions dans les infrastructures, tandis que les violations sont sous-estimées en Irlande, selon un récent rapport du Compliance Institute.
« Même si l'Irlande n'est pas la seule à avoir raté la date limite, ce n'est pas un bon début pour l'Irlande dans notre présidence du Conseil de l'Union européenne », a déclaré David Kirton, associé de Dentons.
« Le gouvernement a cité la compétitivité et la sécurité comme deux de ses trois piliers clés pour la présidence, donc la mise en œuvre de cette législation serait un symbole fort de cet engagement. »
Le gouvernement a publié un schéma général du projet de loi national sur la cybersécurité en août 2024, ainsi qu'une stratégie nationale en matière de numérique et d'IA en février, dans lesquels il s'est engagé à « donner la priorité à la législation pour mettre en œuvre la directive européenne NIS2 », mais n'a pas fourni de calendrier.
Le projet de loi reste en cours d'examen pré-législatif et ne devrait être soumis à l'Oireachtas qu'en septembre au plus tôt.
La transposition de la directive ne sera pas simple, a déclaré Kirton, « dans la mesure où certaines parties de la législation sont de nature technique et présentent un changement majeur en habilitant le Centre national de cybersécurité à agir dans un rôle d'application aux côtés d'autres autorités compétentes ».
« Le gouvernement devra donner la priorité à la préparation d'un projet de loi, promis par le ministre de la Justice pour la fin de cette année, qui suscitera sans aucun doute de nouveaux débats au fur et à mesure qu'il avancera dans le processus législatif avant d'entrer en vigueur », a-t-il ajouté.
Plus tôt cette année, la Commission a proposé des amendements visant à simplifier NIS2 dans le cadre de sa refonte omnibus numérique qui vise à réduire les formalités administratives réglementaires et à faciliter les affaires dans le bloc.
Les modifications apportées à NIS2 visent à accroître la clarté juridique en simplifiant les règles juridictionnelles, en rationalisant la collecte de données sur les attaques de ransomwares et en facilitant la surveillance des entités transfrontalières, a fait valoir l'UE.
