Ce mardi 10 novembre 2026, l’Assemblée nationale a supprimé l’article 16 bis du projet de loi Résilience. Cet article interdisait à l’État d’imposer des portes dérobées aux messageries chiffrées. Le vote s’est joué sur 69 voix pour, 37 contre et une abstention.
Ajouté par le Sénat en mars 2025, l’article visait les fournisseurs de services de chiffrement, comme WhatsApp ou Signal. Il leur interdisait de se voir imposer des dispositifs qui affaiblissent volontairement leur sécurité, par exemple des portes dérobées ou des clés de déchiffrement maîtresses. Une porte dérobée est une ouverture laissée dans un logiciel, qui permet d’y revenir après sa conception. Elle peut être créée volontairement par les développeurs ou résulter d’erreurs de conception.
Le texte devait transposer la directive européenne NIS 2 sur la cybersécurité, et l’article y avait été glissé. La suppression a été votée par le RN, les groupes du bloc central, la Droite républicaine, LIOT et une partie des socialistes. La France insoumise et les écologistes s’y sont opposés.
Une mesure ajoutée en réponse à un autre texte
L’article 16 bis faisait suite à une mesure adoptée dans une autre loi. Le Sénat avait voté, dans la loi contre le narcotrafic, un article 8 ter qui obligeait les messageries chiffrées à donner aux enquêteurs l’accès aux échanges des personnes visées. Les éditeurs de messageries s’y étaient vivement opposés, plusieurs députés avaient exprimé leurs réserves, et l’Assemblée avait finalement retiré cette mesure.
Les sénateurs ont alors, à l’initiative d’Olivier Cadic, président de la commission spéciale chargée du texte, inscrit dans le projet de loi Résilience une interdiction d’imposer ce type de dispositif. Le ministère de l’Intérieur et les services de renseignement s’y étaient opposés dès le départ. Lors de son audition devant la commission spéciale de l’Assemblée en juillet 2025, Mahamadou Diarra, secrétaire général de la coordination nationale du renseignement et de la lutte contre le terrorisme, avait affirmé que « l’article 16 bis n’a pas sa place dans le projet de loi ».
Le gouvernement s’est finalement rangé à l’avis de l’ancien député Florent Boudié. Le Premier ministre Sébastien Lecornu lui avait confié, en janvier 2026, une mission sur le chiffrement. Remis en septembre, son rapport recommande de renoncer aux portes dérobées et de supprimer l’article 16 bis, selon Le Monde.
En contrepartie, la ministre déléguée au Numérique, Anne Le Hénanff, s’est engagée à ne pas réintroduire de mesure comparable « d’ici la fin de la session parlementaire ». Le ministre de l’Intérieur, Laurent Nuñez, a parlé d’un engagement valable jusqu’à « la fin de l’actuelle mandature ». Aucune de ces deux promesses n’a de valeur juridique.
Un texte encore loin de s’appliquer
Le sort de la loi Résilience n’est pas réglé pour autant. Les députés poursuivent l’examen du texte, avant une probable commission mixte paritaire, où ils devront accorder leur version avec celle du Sénat. Il faudra ensuite attendre les décrets d’application, sans lesquels les obligations de NIS 2 ne s’appliqueront pas en France.
Adoptée par l’Union européenne en 2022, la directive NIS 2 impose aux secteurs jugés essentiels, comme l’énergie, la santé ou les administrations, de renforcer leur cybersécurité et de signaler leurs incidents graves aux autorités. En France, elle doit concerner environ 15 000 entités, contre quelques centaines sous la première directive. Elle devait être transposée avant le 17 octobre 2024, et la Commission européenne a saisi la Cour de justice de l’UE pour ce manquement.
Product offers are temporarily unavailable.
