L'Irlande risque des millions d'euros d'amendes de l'UE pour son retard de transposition de la loi sur la cybersécurité

L'Irlande s'expose à une sanction financière d'environ 2,8 millions d'euros, à laquelle s'ajoutent des astreintes journalières croissantes, pour ne pas avoir inscrit dans le droit interne les règles de cybersécurité de l'UE près de deux ans après l'échéance fixée. La Commission européenne a renvoyé la République, ainsi que l'Espagne, la France et les Pays-Bas, devant la Cour de justice de l'Union européenne (CJUE) en raison de ce retard.

Le renvoi concerne la directive NIS2, que les États membres étaient tenus de transposer en droit national avant le 17 octobre 2024. Le cabinet de conseil Aon, qui a calculé l'estimation de la sanction selon la propre méthodologie de la Commission, a averti cette semaine que l'Irlande demeurait en situation de non-conformité et que les astreintes journalières continueraient de s'accumuler jusqu'à l'adoption de la législation.

Ce que NIS2 exige des États membres

La directive sur la sécurité des réseaux et de l'information, dite NIS2, remplace la directive NIS initiale de 2016 et constitue une montée en puissance considérable dans la manière dont l'UE aborde la réglementation de la cybersécurité. Là où sa devancière couvrait un ensemble relativement restreint d'opérateurs de services essentiels, NIS2 jette un filet beaucoup plus large. Elle soumet à des obligations de cybersécurité obligatoires de nouveaux secteurs, notamment l'agroalimentaire, la chimie, l'industrie manufacturière, le spatial et l'administration publique. Elle renforce également les règles de notification des incidents, en imposant aux organisations de signaler les cyberincidents significatifs dans des délais serrés, et introduit une responsabilité personnelle des organes de direction qui n'exerceraient pas une surveillance adéquate des risques de cybersécurité.

Pour l'Irlande, la directive va considérablement élargir le nombre d'organisations soumises à la réglementation sur la cybersécurité. Des entreprises qui ne se sont jamais considérées comme faisant partie des infrastructures critiques vont découvrir qu'elles ont de nouvelles obligations de notification et de gouvernance. Les chaînes d'approvisionnement sont également concernées : une entreprise irlandaise de taille moyenne fournissant des services à une entité réglementée pourrait se retrouver soumise à des clauses contractuelles de cybersécurité qu'elle n'a jamais eu à respecter auparavant.

Pourquoi la transposition est au point mort

Le gouvernement irlandais a invoqué la complexité du texte pour expliquer ce retard. Le National Cyber Security Bill, qui doit transposer la directive, traverse le parcours législatif de l'Oireachtas mais n'a pas encore achevé son cheminement. Le projet de loi doit franchir plusieurs étapes restantes avant de pouvoir être promulgué.

La complexité est un argument recevable. NIS2 exige des États membres qu'ils définissent les entités relevant de son champ d'application, qu'ils établissent des régimes réglementaires proportionnés selon la taille et le secteur, et qu'ils mettent en place des mécanismes de sanction dotés de pénalités significatives. La directive laisse également aux États membres une certaine latitude dans la mise en œuvre de certaines dispositions, ce qui signifie que rédiger une législation à la fois conforme et opérationnelle prend du temps.

Cela dit, l'Irlande n'est pas la seule à avoir manqué l'échéance, ce qui suggère que la directive posait de réelles difficultés à travers plusieurs traditions juridiques. L'Espagne, la France et les Pays-Bas sont dans la même situation. Mais la plupart des États membres ont tout de même réussi à transposer à temps, ce qui affaiblit quelque peu l'argument selon lequel la tâche était simplement trop ardue. La question est de savoir si le retard reflète une complexité législative réelle ou un manque d'urgence politique.

Le timing embarrassant de la présidence de l'UE

L'Irlande assume actuellement la présidence tournante du Conseil de l'Union européenne, une fonction qui consiste à définir l'agenda du Conseil, à présider les réunions ministérielles et à représenter le Conseil dans les négociations avec le Parlement européen. La position est inconfortable pour un État membre renvoyé devant la CJUE pour non-respect du droit de l'UE.

Aon a relevé ce point dans sa mise en garde, suggérant que la présidence offre à l'Irlande l'occasion d'achever la transposition et d'apporter aux organisations la certitude dont elles ont besoin quant au cadre qui régira la cybersécurité dans les secteurs critiques. L'implication est claire : un pays qui pilote les travaux législatifs du Conseil ne devrait pas figurer parmi les retardataires dans la mise en œuvre de ses décisions.

La présidence tourne tous les six mois. L'Irlande a succédé à la Pologne en juillet 2026 et passera le relais à l'État qui suivra. Ce calendrier signifie que, durant le second semestre 2026, l'Irlande pilote à la fois les travaux législatifs de l'UE et fait l'objet d'une procédure d'infraction pour ne pas avoir transposé une pièce majeure de ce même corpus juridique.

Comment les sanctions sont calculées

Le chiffre de 2,8 millions d'euros n'est pas une amende fixe infligée par la Cour. Il s'agit d'une estimation issue de la méthodologie standard de la Commission pour calculer les amendes forfaitaires dans les affaires d'infraction. Cette méthodologie prend en compte la gravité de l'infraction, sa durée et la capacité de paiement de l'État membre, laquelle dépend elle-même du revenu national brut. Aon a appliqué cette méthodologie pour estimer l'exposition de l'Irlande.

Au-delà du forfait, des astreintes journalières s'accumuleraient pour chaque jour où l'Irlande resterait en infraction après un arrêt de la Cour. Ces amendes journalières peuvent atteindre des montants considérables, en particulier en cas de non-conformité prolongée. La Commission propose généralement à la fois une amende forfaitaire pour la période d'infraction courant jusqu'au jugement et une astreinte journalière pour la persistance de l'infraction au-delà. La CJUE a le dernier mot sur les montants.

Un schéma de transposition lente

Ce n'est pas la première fois que l'Irlande s'expose à des sanctions financières pour avoir traîné les pieds sur la législation européenne. L'État avait déjà écopé d'une amende de 4,5 millions d'euros pour un retard de trois ans dans la transposition du Code européen des communications électroniques. Cette directive, qui actualisait les règles de l'UE en matière de télécommunications, a été adoptée en 2018 et aurait dû être transposée avant décembre 2020. L'Irlande n'a achevé sa transposition que bien après l'échéance.

Cette récurrence soulève des questions sur la capacité législative et les priorités de l'Irlande. Pour un petit État qui a énormément bénéficié de son adhésion à l'UE, tant par les fonds structurels que par le marché unique, des manquements répétés à ses obligations donnent une image embarrassante. Cela entraîne aussi des coûts financiers directs qui finissent par peser sur les contribuables.

Il existe des raisons structurelles pour lesquelles l'Irlande rencontre parfois des difficultés. L'Oireachtas siège relativement peu de jours comparé à de nombreux parlements européens. Les projets de loi gouvernementaux se disputent un temps parlementaire limité. Les gouvernements de coalition, qui constituent la norme en Irlande depuis des décennies, peuvent ralentir la législation lorsque les partis négocient les dispositions. Mais ce sont là des explications, pas des excuses. D'autres petits États soumis à des contraintes similaires ont réussi à transposer NIS2 à temps.

Ce que les entreprises devraient faire dès maintenant

Leann Moroney, directrice associée en gestion des risques cyber chez Aon Irlande, n'a pas mâché ses mots sur les implications. « NIS2 représente l'un des changements les plus significatifs de la réglementation sur la cybersécurité de ces dernières années et aura des implications pour des milliers d'organisations en Irlande, directement ou via leurs chaînes d'approvisionnement », a-t-elle déclaré.

Moroney a également mis en garde contre l'idée d'attendre l'adoption de la législation avant d'agir. « Les cybermenaces n'attendent pas la législation, et les entreprises non plus », a-t-elle déclaré. « La direction est déjà claire, et le risque cyber doit être traité dès maintenant comme une priorité au niveau du conseil d'administration. »

Ce conseil est sensé, même s'il émane d'un cabinet qui vend des services de conseil en risque cyber. Les exigences fondamentales de NIS2 sont déjà connues. Les organisations qui fournissent des services essentiels ou importants, selon la définition de la directive, devront mettre en place des mesures de gestion des risques, des procédures de notification des incidents et des structures de gouvernance qui engagent la responsabilité de la direction. La transposition irlandaise ajoutera des précisions nationales, mais le fond ne devrait pas diverger significativement du texte de la directive.

Les entreprises qui retardent leurs préparatifs risquent de se retrouver en non-conformité dès l'entrée en vigueur de la législation. Étant donné que la transposition accuse déjà près de deux ans de retard, il est probable que la législation irlandaise prévoie, une fois adoptée, un délai de mise en conformité relativement court, précisément pour éviter de nouvelles procédures d'infraction.

La procédure de renvoi devant la CJUE

Un renvoi devant la CJUE n'est pas le point de départ de la procédure d'infraction, mais son aboutissement. La Commission commence généralement par une mise en demeure formelle, qui donne à l'État membre la possibilité de répondre. Si la réponse n'est pas satisfaisante, la Commission émet un avis motivé. Ce n'est que si l'État membre persiste dans son manquement que la Commission saisit la Cour. À ce stade, à Luxembourg, l'État membre a déjà eu de multiples occasions d'agir.

La Cour peut infliger à la fois une amende forfaitaire pour la période de non-conformité et des astreintes journalières jusqu'à ce que l'État membre se mette en conformité. Les procédures d'infraction de la Commission sont suivies publiquement sur sa base de données des procédures d'infraction, où l'on peut consulter l'état d'avancement des dossiers concernant chaque État membre.