Les pirates attaquent, les fichiers fuient, Bruxelles poursuit la France et le contribuable va encore payer l’addition.

Le 8 juillet 2026, la Commission européenne a donc décidé de saisir la Cour de justice de l’Union européenne contre la France pour défaut de transposition complète de la directive NIS2.

La date limite était pourtant assez simple à retenir : 17 octobre 2024. La Commission avait envoyé une première mise en demeure le 28 novembre 2024, puis un avis motivé le 7 mai 2025. Faute de transposition complète, Bruxelles a finalement transmis le dossier à la justice européenne avec une demande de sanctions financières, comprenant une somme forfaitaire et des astreintes journalières jusqu’à régularisation.

La France n’est pas seule, puisque l’Espagne, l’Irlande et les Pays-Bas sont également poursuivis. Mais pour Paris, l’épisode possède une saveur particulière.

Car pendant que les gouvernements successifs réfléchissaient à la meilleure manière de transposer une directive destinée à protéger les secteurs critiques, la France se transformait tranquillement en championne européenne du piratage informatique.

Bienvenue à France Passoire

Le surnom n’est même plus vraiment méchant. Il devient descriptif. En avril 2026, l’ANTS a été victime d’un piratage susceptible d’avoir compromis jusqu’à 19 millions de données d’identité. Quelques mois plus tard, c’était encore la DGFiP qui rejoignait la grande famille des administrations percées, après une intrusion touchant le fichier des comptes bancaires (FICOBA).

Le bilan était déjà spectaculaire auparavant : France Travail, Viamedis, Almerys, Free, services publics, organismes sociaux. En mai, nous revenions sur des dizaines de millions de données compromises, notamment des numéros de Sécurité sociale.

La CNIL elle-même rappelait en juillet 2026 avoir enregistré 6 167 notifications de violations de données en 2025, un record, particulièrement dans la santé, l’administration publique et la finance. En septembre, elle a sanctionné l’Hôpital privé de la Loire de 500 000 euros après une intrusion ayant permis l’accès aux données de 524 867 patients et de 202 246 personnes désignées comme tiers de confiance.

Et face à cette succession d’incendies, NIS2 était précisément censée muscler les obligations de cybersécurité dans 18 secteurs critiques : santé, énergie, transports, administrations publiques, infrastructures numériques ou encore eau potable.

Très rapides pour contrôler, beaucoup moins pour protéger

C’est là que la farce devient franchement macronienne. Ces dernières années, le pouvoir a multiplié les projets d’identité numérique, de vérification d’âge, d’empreintes digitales, de contrôle des réseaux sociaux et de centralisation des informations personnelles. On demande toujours davantage de données au citoyen au nom de sa sécurité.

Pour les protéger une fois collectées, en revanche, l’enthousiasme semble plus mesuré.

Même France Travail avait déjà laissé exposer les données personnelles de dizaines de millions de personnes. Mais que chacun se rassure : l’État travaille activement à vérifier votre âge sur Internet.

La Commission européenne estime désormais que l’attente a suffisamment duré. La France devra donc expliquer devant la justice européenne pourquoi un texte consacré à la sécurisation des réseaux et systèmes d’information est resté incomplètement transposé depuis octobre 2024.

On résume : les pirates attaquent, les fichiers fuient, Bruxelles poursuit la France et le contribuable risque de payer l’addition.

Pour la cyberdéfense, la France Passoire vient peut-être d’inventer une nouvelle stratégie : laisser entrer tout le monde, puis adopter la serrure.