Le 8 juillet 2026, la Commission européenne a annoncé sa décision de saisir la Cour de justice de l'Union européenne (CJUE) contre la France, l'Irlande, l'Espagne et les Pays-Bas pour défaut de notification des mesures de transposition de la directive NIS2, avec demande de sanctions financières. En parallèle, l'examen du projet de loi Résilience — qui doit transposer NIS2 et le règlement REC en droit français — a de nouveau glissé, au mieux à la rentrée parlementaire de septembre 2026. Pour les établissements financiers, l'enjeu est de bien distinguer ce qui reste suspendu au vote français de ce qui, via DORA, est déjà et pleinement applicable.
Ce que confirme la Commission européenne
Dans un communiqué du 8 juillet 2026, la Commission européenne a annoncé avoir décidé de renvoyer l'Irlande, l'Espagne, la France et les Pays-Bas devant la CJUE pour ne pas avoir notifié les mesures de transposition de la directive NIS2 dans leur droit national. L'échéance de transposition, fixée par l'article 41 de la directive, était le 17 octobre 2024. La Commission avait ouvert une procédure d'infraction contre ces États membres en novembre 2024, puis adressé un avis motivé le 7 mai 2025, leur accordant un délai supplémentaire de deux mois pour se mettre en conformité — délai resté sans effet pour les quatre États concernés.
La Commission demande à la Cour d'imposer des sanctions financières sous forme d'une somme forfaitaire assortie d'une astreinte journalière, applicable jusqu'à la notification complète de la transposition.
La loi Résilience à nouveau reportée
En France, le texte censé transposer NIS2 (ainsi que le règlement REC sur la résilience des entités critiques, et une partie du volet institutionnel de DORA) est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit « loi Résilience ». Son examen à l'Assemblée nationale, initialement envisagé pour juillet 2026, a été reporté : début juillet 2026, le ministre chargé du numérique a indiqué que l'examen ne pourrait intervenir qu'à partir de la rentrée parlementaire de septembre 2026 au plus tôt.
Ce nouveau report tiendrait notamment à des débats non tranchés en commission autour de dispositions sur le chiffrement (encadrement des obligations imposées aux fournisseurs de services de chiffrement), un point de friction politique distinct des enjeux de fond de la cybersécurité financière mais qui continue de retarder l'ensemble du texte.
La date de reprise de l'examen du projet de loi Résilience (« rentrée de septembre 2026 ») est une intention annoncée par l'exécutif début juillet 2026, pas une date inscrite à l'ordre du jour parlementaire à la date de rédaction. Elle doit être reconfirmée avant toute communication engageante auprès de clients sur un calendrier de mise en conformité national.
Le point de confusion à lever : DORA n'attend pas la loi française
C'est le point sur lequel Ōri Advisory constate le plus de confusion chez les établissements financiers : la saisine de la CJUE et le report de la loi Résilience concernent la transposition de NIS2 (directive) et du REC — pas le règlement DORA, qui est d'application directe dans tous les États membres depuis le 17 janvier 2025, sans nécessiter de loi de transposition nationale.
Concrètement, pour un établissement financier soumis à DORA (banques, entreprises d'investissement, établissements de paiement et de monnaie électronique, gestionnaires d'actifs, assureurs, ainsi que leurs prestataires TIC critiques) :
- Déjà pleinement applicable, indépendamment du calendrier français : gestion du risque lié aux TIC, cadre de gestion des incidents et notification aux autorités compétentes, tests de résilience opérationnelle numérique, cadre de gestion du risque lié aux prestataires tiers TIC, dispositif de surveillance des prestataires critiques.
- Encore suspendu au vote de la loi Résilience : la désignation formelle de l'ANSSI comme autorité compétente pour le volet NIS2/REC en France, l'articulation précise entre le régime de sanctions national NIS2/REC et le régime de sanctions déjà applicable sous DORA, ainsi que les obligations spécifiquement issues du REC pour les entités critiques hors périmètre strict de DORA.
Un établissement financier sous DORA n'a aucune raison d'attendre le vote de la loi Résilience française pour se mettre en conformité : les obligations DORA sont en vigueur depuis le 17 janvier 2025 et s'appliquent indépendamment de l'état de la transposition de NIS2. Le report du texte français retarde uniquement le volet institutionnel national (désignation de l'ANSSI, régime de sanctions NIS2/REC) et l'articulation avec les entités non couvertes par DORA.
Ce que cela change concrètement pour les plans de mise en conformité
Le risque identifié par Ōri Advisory dans ses missions est double, et symétrique :
- Le sous-anticipation : des établissements qui, en lisant les titres sur le « report de la loi Résilience », relâchent à tort leurs efforts sur des chantiers pourtant déjà exigibles au titre de DORA — cartographie des prestataires TIC critiques, tests de résilience, procédure de notification d'incident majeur.
- La sur-anticipation : des équipes conformité qui engagent des ressources sur des obligations purement NIS2/REC (désignation d'un référent ANSSI, par exemple) alors que le cadre juridique national qui les activerait n'est pas encore en vigueur, au détriment de chantiers DORA plus urgents.
La bonne pratique reste de conduire les deux chantiers en parallèle mais avec des priorités distinctes : le calendrier DORA est fixe et déjà en cours d'application effective par les autorités de supervision ; le calendrier NIS2/REC français reste, à ce stade, sous réserve de l'issue parlementaire de la rentrée 2026 — issue qu'aucun établissement ne devrait présumer acquise avant un vote effectif.
À surveiller dans les prochaines semaines
- L'inscription effective du projet de loi Résilience à l'ordre du jour de l'Assemblée nationale à la rentrée de septembre 2026.
- La suite de la procédure devant la CJUE et un éventuel calendrier de sanctions financières applicables à la France.
- Les publications de l'ACPR précisant l'articulation pratique entre supervision DORA et futur cadre NIS2/REC national.
Ōri Advisory actualisera cette analyse dès la publication d'éléments de calendrier confirmés par les autorités compétentes.
- Commission européenne, communiqué de presse IP/26/1499, *Commission refers Ireland, Spain, France and the Netherlands to the Court of Justice for failing to transpose the rules on cybersecurity*, publié le 08/07/2026.
- Directive (UE) 2022/2555 (NIS2), article 41 — échéance de transposition au 17 octobre 2024 : https://eur-lex.europa.eu
- Règlement (UE) 2022/2554 (DORA), applicable depuis le 17 janvier 2025 : https://eur-lex.europa.eu
- ACPR, publications relatives à la supervision DORA des établissements financiers français : https://acpr.banque-france.fr
- Le calendrier précis de reprise de l'examen du projet de loi Résilience à l'Assemblée nationale (rentrée de septembre 2026) est une annonce ministérielle de début juillet 2026, non confirmée par une inscription formelle à l'ordre du jour au moment de la rédaction — à vérifier avant toute communication engageante.
Sources consultées le 21/08/2026.
Recevez nos prochaines publications par email — France-Europe et/ou Zone UEMOA.