27 août 2026
Transposition et adaptation de plusieurs directives et règlements européens en droit français en matière de cybersécurité
Les exigences européennes en matière de cybersécurité et de résilience se renforcent. NIS2, DORA, CER… Plusieurs textes européens imposent ou vont imposer de nouvelles obligations aux organisations concernées : gestion des risques cyber, notification des incidents, continuité d’activité, sécurité des prestataires ou encore gouvernance renforcée. Les cabinets d’avocats ne sont pas directement soumis à ces différents dispositifs. Ils peuvent néanmoins être concernés indirectement lorsqu’ils accompagnent des clients qui le sont.
1) NIS2
La Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) no 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2), dite NIS2, a pour objectif est de relever le niveau de cybersécurité dans l’ensemble de l’Union européenne.
En plus d’élargir massivement le champ d’application, qui concerne désormais 18 secteurs d’activité (énergie, transport, santé, infrastructures numériques, administration publique, gestion des déchets, fournisseurs de services numériques, etc.), le texte communautaire introduit également une logique fondée sur la taille de l’organisation (moyennes et grandes entreprises) et distingue les entités essentielles des entités importantes. Il prévoit également une nouvelle obligation de gouvernance au plus haut niveau et enjoint les entités concernées à mettre en œuvre des mesures techniques, organisationnelles et opérationnelles adaptées aux risques.
En cas d’incident significatif, une procédure de notification auprès de l’ANSSI doit être engagées, sur le modèle de ce qui se fait déjà en matière de violations de données personnelles conformément au RGPD.
Les États membres devaient transposer la directive NIS2 avant le 17 octobre 2024, mais la France n’a pas respecté cette échéance à l’heure où nous parlons.
Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, transposant notamment la directive NIS2 en droit français, a été adopté par le Sénat en première lecture le 12 mars 2026 et son examen par l’Assemblée nationale devrait avoir lieu à partir de septembre.
Même si la profession d’avocat n’est pas explicitement visée comme secteur NIS2, plusieurs structures de l’écosystème numérique des barreaux pourraient être concernées indirectement :
En plus d’élargir massivement le champ d’application, qui concerne désormais 18 secteurs d’activité (énergie, transport, santé, infrastructures numériques, administration publique, gestion des déchets, fournisseurs de services numériques, etc.), le texte communautaire introduit également une logique fondée sur la taille de l’organisation (moyennes et grandes entreprises) et distingue les entités essentielles des entités importantes. Il prévoit également une nouvelle obligation de gouvernance au plus haut niveau et enjoint les entités concernées à mettre en œuvre des mesures techniques, organisationnelles et opérationnelles adaptées aux risques.
En cas d’incident significatif, une procédure de notification auprès de l’ANSSI doit être engagées, sur le modèle de ce qui se fait déjà en matière de violations de données personnelles conformément au RGPD.
Les États membres devaient transposer la directive NIS2 avant le 17 octobre 2024, mais la France n’a pas respecté cette échéance à l’heure où nous parlons.
Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, transposant notamment la directive NIS2 en droit français, a été adopté par le Sénat en première lecture le 12 mars 2026 et son examen par l’Assemblée nationale devrait avoir lieu à partir de septembre.
Même si la profession d’avocat n’est pas explicitement visée comme secteur NIS2, plusieurs structures de l’écosystème numérique des barreaux pourraient être concernées indirectement :
- exploitants d’infrastructures numériques,
- prestataires TIC essentiels,
- opérateurs de plateformes,
- sous-traitants participant à la chaîne d’approvisionnement numérique.
Par ailleurs, les bonnes pratiques NIS2 (analyse de risques, gestion des incidents, continuité d’activité, sécurité des fournisseurs, gouvernance cyber, etc.) constituent désormais une référence de marché qui dépasse largement les seules entités juridiquement assujetties.
2) DORA
Le règlement (UE) 2022/2554 du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier (« DORA») établit un cadre harmonisé de gestion des risques liés aux TIC applicable aux entités financières relevant de son champ d'application. Il est applicable dans l'ensemble de l'Union européenne depuis le 17 janvier 2025.
- DORA repose principalement sur cinq volets :
- la gouvernance et la gestion des risques liés aux TIC ;
- la notification et le traitement des incidents majeurs liés aux TIC ;
- les testes de résilience opérationnelle numérique ;
- la gestion du risque lié aux prestataires tiers de services TIC ;
- les mécanismes d'échange d'informations sur les cybermenaces.
Les cabinets d'avocats ne relèvent pas du champ d'application direct du règlement DORA. Ils ne figurent pas parmi les entités financières visées à l'article 2 du règlement et ne constituent, en principe, pas des prestataires tiers de services TIC au sens de ce texte. Lorsqu'ils interviennent pour des entités assujetties à DORA, ils peuvent néanmoins être amenés à respecter, sur une base contractuelle, certaines exigences renforcées en matière de sécurité des systèmes d'information, de confidentialité, de continuité d'activité ou de gestion des incidents. Cette situation procède des obligations de conformité de leurs clients et non d'une soumission directe des cabinets au règlement.
3) CER
La directive (UE) 2022/2557 du 14 décembre 2022 sur la résilience des entités critiques (« CER - Critical Entities Resilience ») vise à renforcer la résilience des entités dont les activités sont essentielles au maintien de fonctions sociétales ou économiques vitales.
Elle remplace la directive 2008/114/CE relative aux infrastructures critiques européennes et adopte une approche plus large fondée sur la continuité des services essentiels face à l'ensemble des risques susceptibles d'affecter leur fonctionnement.
La directive couvre notamment les secteurs suivants :
Elle remplace la directive 2008/114/CE relative aux infrastructures critiques européennes et adopte une approche plus large fondée sur la continuité des services essentiels face à l'ensemble des risques susceptibles d'affecter leur fonctionnement.
La directive couvre notamment les secteurs suivants :
- énergie ;
- transport ;
- banque ;
- infrastructures des marchés financiers ;
- santé ;
- eau potable ;
- eaux usées ;
- infrastructures numériques ;
- administration publique ;
- espace ;
- certains secteurs de la chaîne alimentaire.
Les États membres doivent identifier les entités qualifiées d'« entités critiques » et veiller à ce que celles-ci mettent en œuvre des mesures appropriées de gestion des risques et de continuité d'activité.
De la même manière que pour NIS2, les Etats devaient transposer la directive REC avant le 17 octobre 2024, transposition qui passe par le projet de loi précité.
La directive CER instaure un régime destiné aux seules entités critiques identifiées par les Etats membres dans le secteurs qu'elle couvre. Les cabinets d'avocats, en tant que tels, n'entrent pas dans ce périmètre et ne sont pas soumis aux obligations qu'elle prévoit. Leur intervention auprès d'une entité critique peut toutefois les conduire à s'inscrire dans certains dispositifs de résilience mis en place par celle-ci, notamment en matière de gestion de crise, de protection des informations sensibles ou de continuité des activités. Ces contraintes procèdent alors de l'organisation et des exigences propres à l'entité critique concernée, sans emporter assujettissement du cabinet au régime de la directive.
De la même manière que pour NIS2, les Etats devaient transposer la directive REC avant le 17 octobre 2024, transposition qui passe par le projet de loi précité.
La directive CER instaure un régime destiné aux seules entités critiques identifiées par les Etats membres dans le secteurs qu'elle couvre. Les cabinets d'avocats, en tant que tels, n'entrent pas dans ce périmètre et ne sont pas soumis aux obligations qu'elle prévoit. Leur intervention auprès d'une entité critique peut toutefois les conduire à s'inscrire dans certains dispositifs de résilience mis en place par celle-ci, notamment en matière de gestion de crise, de protection des informations sensibles ou de continuité des activités. Ces contraintes procèdent alors de l'organisation et des exigences propres à l'entité critique concernée, sans emporter assujettissement du cabinet au régime de la directive.