Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice contre la France, faute de transposition de la directive sur la résilience des infrastructures. Le texte, adopté par le Sénat en mars 2025, reste bloqué à l'Assemblée.

Le président a annoncé avoir demandé au gouvernement de préparer un « plan de protection de nos infrastructures critiques ». Emmanuel Macron a annoncé, vendredi 18 septembre, à l'issue d'une réunion confidentielle avec les principaux candidats à la présidentielle ou leur bras droit à l'Élysée, avoir demandé au gouvernement de préparer un plan de protection des infrastructures critiques, des sites les plus sensibles de la base industrielle et technologique de défense, contre les attaques de drones et les cyberattaques. Le président de la République a prévenu que la nature de l'agressivité russe et des menaces en Europe changeait. Selon lui, cette décision fait suite à un Conseil de défense nationale et de sécurité tenu mercredi dernier, après lequel le Premier ministre a donné plusieurs instructions à ses ministres et services.

Quatre ans plus tôt, presque au jour près de la rentrée, un autre président avait déjà tranché la question. La Revue nationale stratégique 2022, dévoilée par le président de la République le 9 novembre de la même année, fait le point sur la défense et la sécurité de la France. Le troisième point de son deuxième objectif stratégique s'intitule, mot pour mot, « Renforcer la protection des infrastructures critiques ».

Rien n'a été décidé vendredi. Quelque chose a simplement été redemandé.

Un régime juridique vieux de vingt ans

L'architecture juridique qui doit porter ce renforcement ne date d'ailleurs ni de 2022 ni de 2026. Le code de la défense encadre depuis vingt ans le régime des opérateurs d'importance vitale : les entreprises publiques ou privées dont l'arrêt d'activité affaiblirait gravement le potentiel militaire ou économique, la sécurité ou la survie de la nation doivent, à leurs frais, protéger leurs établissements et installations contre toute menace, notamment terroriste. Cette autorité administrative est désignée depuis le décret n° 2006-212 du 23 février 2006, publié au Journal officiel le lendemain. Le dispositif est opérationnel. Il est aussi confidentiel par construction : les arrêtés désignant les opérateurs d'importance vitale ne sont pas publiés, mais seulement notifiés aux opérateurs concernés et aux autorités administratives compétentes, sans être communicables au public. Personne, pas même un rédacteur en chef, ne peut donc vérifier combien de sites sont réellement couverts.

Ce socle national a été complété, sous présidence française, par un étage européen. La directive (UE) 2022/2557 sur la résilience des entités critiques a été négociée durant la présidence française de l'UE, portée par la Représentation française auprès de l'Union européenne et appuyée par le SGDSN. Elle devait être transposée dans le droit national d'ici le 17 octobre 2024.

La France a laissé passer l'échéance qu'elle avait elle-même contribué à fixer. Le 28 novembre 2024, la Commission européenne a adressé à la France une lettre de mise en demeure pour défaut de notification des mesures de transposition. Le 7 mai 2025, la Commission a fait suivre un avis motivé, visant la France parmi un ensemble de dix-neuf États membres. Le 8 juillet 2026, la Commission européenne a porté l'affaire devant la Cour de justice de l'Union européenne contre la France, ainsi que contre l'Espagne, l'Irlande et les Pays-Bas, réclamant une somme forfaitaire et une astreinte journalière.

Vingt mois de retard se sont ainsi transformés en contentieux devant les juges de Luxembourg.

Le projet de loi bloqué depuis 2024

Le texte censé mettre la France en conformité existe pourtant depuis octobre 2024 : il s'agit du projet de loi sur la résilience des infrastructures critiques et le renforcement de la cybersécurité. Le Sénat a voté ce projet de loi en première lecture le 12 mars 2025, avant sa transmission à l'Assemblée nationale. Le 10 septembre 2025, la commission spéciale de l'Assemblée nationale a adopté un texte amendé. Il n'a jamais été inscrit en séance publique depuis.

Ce blocage n'est pas administratif. Il est politique, et il vient de l'intérieur même de l'appareil d'État que Macron mobilise aujourd'hui contre la « menace hybride ». Le projet de loi achoppe notamment autour de la sanctuarisation du chiffrement des données, à l'article 16 bis du texte. Il semble que les services de renseignement souhaiteraient avoir la possibilité d'accéder à des données protégées sans le consentement de leurs auteurs ou destinataires. Ce débat de souveraineté et de libertés publiques n'a rien à voir avec le cœur technique de NIS2, mais il immobilise l'ensemble.

« Elle devait être transposée dans le droit national d'ici le 17 octobre 2024. »

Autrement dit : ce sont les mêmes services que le président charge de protéger les infrastructures qui bloquent, depuis un an, la loi censée organiser cette protection.

« Vingt mois de retard se sont ainsi transformés en contentieux devant les juges de Luxembourg. »

La conséquence se mesure en droit, pas seulement en communiqués. À ce jour, aucune loi française n'a été promulguée, aucun décret d'application n'existe, et aucune obligation nationale ne s'impose juridiquement aux entités privées. Pour les quelque quinze mille entreprises, hôpitaux et collectivités que la directive doit faire entrer dans son périmètre, l'incertitude a un prix. Fabrice Bru, président du CESIN, l'association française des responsables de la sécurité des systèmes d'information, regrette que l'incertitude réglementaire perturbe la commande cyber, ralentisse les décisions d'investissement, et touche l'ensemble des organisations, y compris celles déjà soumises à des cadres réglementaires.

Un G7 déjà programmé

L'autre pilier de l'annonce présidentielle, un G7 consacré à l'énergie, relève de la même mécanique de réemploi. Emmanuel Macron a annoncé son intention de réunir, dans les prochaines semaines, un G7 consacré notamment à l'énergie. Il omet de préciser que cette convocation n'exige aucune initiative diplomatique particulière : en 2026, la France a pris la présidence tournante du G7, dont le sommet des chefs d'État s'est tenu à Évian-les-Bains du 15 au 17 juin. Réunir un G7 énergie, cette année, n'est pas un geste de puissance. C'est une prérogative de calendrier que la France exerce depuis le 1er janvier.

Sur la matière même de la menace, l'attribution à Moscou n'est pas non plus systématique dès qu'un drone survole un site sensible. En décembre 2025, plusieurs drones ont survolé la base de l'Île Longue, où sont stationnés les sous-marins de la dissuasion nucléaire française, sans qu'un lien avec la Russie ait pu être établi ; le procureur Frédéric Teillet a indiqué qu'aucun lien avec une ingérence étrangère n'était établi à ce stade. Pour la période antérieure, la synthèse 2022-2023 de l'Anssi sur la menace visant les collectivités territoriales recensait 187 incidents, parmi lesquels de rares actions de sabotage, moins fréquentes qu'ailleurs en Europe ou aux États-Unis.

La même conférence de presse a servi à autre chose. Emmanuel Macron a réuni à l'Élysée les chefs de partis pour leur présenter une situation économique difficile, marquée par des prix de l'énergie très élevés et la nécessité de trouver 54 milliards d'euros d'économies dans le budget. Sur les carburants, dont la hausse nourrit la colère depuis des semaines, le président a été explicite. Emmanuel Macron a rappelé que la hausse des prix des carburants tenait au contexte géopolitique, et non à des décisions gouvernementales. Il a ajouté vouloir s'attaquer aux causes de la hausse des prix de l'énergie avant de dépenser davantage d'argent public, ce qui se traduirait selon lui soit par un déficit accru, soit par des impôts supplémentaires.

Interrogé sur un possible retour des gilets jaunes, il a répondu par un appel à l'unité plutôt que par un chiffre. Emmanuel Macron a suggéré que la division rendrait le pays moins fort pour affronter ces crises.

La menace russe explique le drone au-dessus de Leipzig. Elle n'explique pas l'article 16 bis, ni les 54 milliards à trouver, ni l'année écoulée sans séance publique à l'Assemblée.

La procédure devant la CJUE, elle, suit son cours. L'astreinte, si elle est prononcée, continuera de courir chaque jour où le texte reste dans un tiroir.

Macron réclame un plan de protection déjà prévu par la loi depuis 2006

Macron réclame un plan de protection déjà prévu par la loi depuis 2006