Le tribunal de l'EFTA juge que l'Islande a enfreint le droit de l'EEE concernant la réglementation sur la cybersécurité

La Cour de l’AELE a déclaré que l’Islande a manqué à ses obligations au titre de l’Accord sur l’EEE en n’intégrant pas le Règlement sur la cybersécurité dans son ordre juridique interne. L’arrêt, rendu le 3 juillet 2026 dans l’affaire E-21/25, Autorité de surveillance de l’AELE c. Islande, a été publié au Journal officiel de l’Union européenne le 8 octobre 2026 sous la référence C/2026/5260.

Le litige concerne le Règlement (UE) 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA (l’Agence de l’Union européenne pour la cybersécurité) et à la certification de la cybersécurité des technologies de l’information et de la communication, lequel a abrogé le Règlement (UE) n° 526/2013 — le soi-disant Règlement sur la cybersécurité. En vertu de l’Accord sur l’EEE, l’acte est énuméré au point 5cp de l’annexe XI et au point 48 du protocole 37, et s’applique aux États de l’AELE membres de l’EEE tel qu’adapté par le protocole 1. L’article 7 de l’Accord sur l’EEE oblige les parties contractantes à intégrer les actes pertinents pour l’EEE dans leur ordre juridique interne.

Le dispositif de l’arrêt

La Cour a déclaré que l’Islande a manqué à ses obligations au titre de l’article 7 de l’Accord sur l’EEE en n’intégrant pas l’acte mentionné au point 5cp de l’annexe XI et au point 48 du protocole 37 de l’Accord sur l’EEE dans son ordre juridique interne.

Le dispositif de la décision comprend deux points :

• Une déclaration constatant que l’Islande a manqué à ses obligations au titre de l’article 7 de l’Accord sur l’EEE.
• Une ordonnance condamnant l’Islande à supporter les frais de la procédure.

L’affaire et la composition de la Cour

La procédure a été engagée par l’Autorité de surveillance de l’AELE dans l’affaire E-21/25, par le biais d’un recours visant à obtenir une déclaration constatant que l’Islande n’avait pas adopté les mesures nécessaires pour intégrer l’acte dans son ordre juridique interne.

L’affaire est classée sous les rubriques : manquement d’un État de l’AELE à ses obligations, défaut de mise en œuvre, article 3 EEE, principe de coopération loyale, obligation de fournir des informations, cybersécurité, et communications électroniques, services audiovisuels et société de l’information.

La Cour était composée de :

• Páll Hreinsson, Président
• Bernd Hammermann, Juge
• Michael Reiertsen, Juge-rapporteur

Champ d’application du règlement

Le Règlement (UE) 2019/881 concerne l’ENISA, l’Agence de l’Union européenne pour la cybersécurité, et le cadre européen de certification de la cybersécurité des technologies de l’information et de la communication. Il a remplacé le Règlement (UE) n° 526/2013.

Parce que l’acte a été incorporé dans l’Accord sur l’EEE au point 5cp de l’annexe XI et au point 48 du protocole 37, il est devenu contraignant pour les États de l’AELE membres de l’EEE une fois adapté par le protocole 1. C’est le défaut de transposition par l’Islande que l’Autorité de surveillance de l’AELE a contesté devant la Cour.

Conséquences de l’arrêt

L’arrêt est une déclaration de non-conformité à l’Accord sur l’EEE, et il impute les frais de la procédure à l’Islande. La publication de la décision au Journal officiel de l’Union européenne lui confère un effet public et général dans tout l’EEE.

Pour les lecteurs, la décision confirme que les États de l’AELE membres de l’EEE sont tenus de transposer les règles de l’UE en matière de cybersécurité et que l’Autorité de surveillance de l’AELE poursuivra tout défaut de mise en œuvre devant la Cour de l’AELE. Elle signale également que les lacunes dans les cadres nationaux de certification de la cybersécurité entraînent un coût juridique et financier direct pour les États concernés.

Source : Journal officiel de l’Union européenne, série C, C/2026/5260, 8 octobre 2026, Section I (référence officielle : C/2026/5260).