par Stéphane 
Tribune d’Olivier Arous, CEO d’OGO Security
La France se dit puissance cyber souveraine. Pourtant, selon l’auteur, elle n’a toujours pas transposé sa propre loi de cybersécurité.
Le 8 juillet 2026, la Commission européenne a renvoyé la France devant la Cour de justice de l’Union européenne (CJUE) pour défaut de transposition de la directive NIS2 (Network and Information Security 2, le socle commun européen d’obligations de cybersécurité). Deux ans après l’entrée en vigueur du texte, le pays qui revendique l’une des ambitions cyber les plus élevées d’Europe se retrouve en défaut devant ses partenaires.
Un renvoi devant la Cour de justice révèle un décalage entre le discours et le droit
En janvier 2026, le Secrétariat général de la défense et de la sécurité nationale a présenté une stratégie nationale de cybersécurité portant l’ambition d’une France souveraine dans le numérique, appuyée sur des institutions comme l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Le renvoi devant la Cour de justice ne porte pas sur l’intention, mais sur l’écart avec le droit censé l’organiser.
La doctrine de souveraineté ne remplace pas la loi qui l’organise
Une doctrine décrit une intention ; elle ne crée ni obligation, ni contrôle, ni sanction. La directive NIS2 impose des obligations aux entités qu’elle qualifie de critiques, dont la notification des incidents. Tant qu’elles ne sont pas inscrites dans le droit national, elles ne s’appliquent pas. Un État peut se penser souverain tout en restant en retrait par rapport à des voisins qui ont transposé le texte à temps.
Souveraineté déclarée et souveraineté exercée ne se confondent pas
Cette affaire éclaire une distinction que le seul dossier NIS2 n’épuise pas. Il existe une souveraineté qui se déclare, dans des discours, et une souveraineté qui s’exerce, dans la capacité à fixer des règles et à en répondre devant ses partenaires. La première est nécessaire ; elle ne suffit pas sans la seconde, qui se mesure à des faits vérifiables : un texte transposé, une autorité dotée de moyens, un contentieux assumé plutôt que subi.
L’écart se rejoue dans les choix quotidiens des organisations, pas seulement au Parlement
Le même écart se retrouve à l’échelle des organisations. Beaucoup se déclarent attentives à leur souveraineté numérique sans avoir traduit cette attention en critères précis : qui héberge la donnée, qui peut y accéder, quelle clause protège en cas de rupture. L’externalisation reste un choix légitime, à condition de rester un choix maîtrisé.
Un hébergement en France ne garantit pas, à lui seul, la maîtrise recherchée
Le lieu d’hébergement d’une donnée alimente souvent ce malentendu. Il rassure sur le droit applicable, mais ne dit rien de la manière dont cette donnée est protégée au quotidien. Des qualifications comme SecNumCloud, le référentiel par lequel l’ANSSI reconnaît des prestataires de cloud dignes de confiance, jouent un rôle utile, mais portent sur l’infrastructure. Localiser n’est pas sécuriser.
Ce renvoi n’est ni un scandale ni un détail administratif. Il rappelle qu’une ambition, même sincère, ne vaut que par ce qu’elle produit en droit et en pratique. L’enjeu n’est pas de choisir entre l’affichage et l’action, mais de ne plus les confondre.
Olivier Arous, CEO d’OGO Security