Le projet de loi Résilience doit être examiné à l’Assemblée nationale du 9 au 13 novembre, après plusieurs reports. Son adoption doit permettre de préciser le cadre réglementaire applicable aux milliers d’organisations concernées par la directive NIS 2.
La France engage enfin la dernière étape parlementaire de la transposition de NIS 2, plus de deux ans après la date limite fixée par Bruxelles. La directive européenne est entrée en vigueur le 16 janvier 2023, et les États membres avaient jusqu’au 17 octobre 2024 pour l’intégrer à leur droit national. La France a manqué cette échéance et accumulé les retards.
Présenté en Conseil des ministres le 15 octobre 2024, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat en mars 2025. Il a ensuite été approuvé à l’unanimité par la commission spéciale de l’Assemblée nationale en septembre de la même année. Son examen en séance publique a depuis été repoussé à plusieurs reprises. Une disposition introduite par les sénateurs, portant sur la protection des solutions de chiffrement contre l’installation de portes dérobées, est notamment à l’origine de ces blocages.
Près de 15 000 organisations concernées
Avec NIS 2, le périmètre de la réglementation change d’échelle. Le nombre de secteurs couverts passe de 6 à 18, et celui des organisations concernées, de quelques centaines à près de 15 000. Ces organisations se répartissent entre entités essentielles et entités importantes. Le champ d’application ne se limite plus aux opérateurs d’importance vitale et aux grands acteurs des infrastructures numériques : il englobe notamment l’énergie, les transports, la santé et les télécommunications. Les régions, les départements et les communes de plus de 30 000 habitants sont également concernés.
Les obligations portent sur la gestion des risques cyber, la sécurité des systèmes d’information, la gestion des incidents et la sécurisation de la chaîne d’approvisionnement. Les dirigeants devront également s’impliquer davantage dans la supervision de ces dispositifs.
Les sanctions financières sont elles aussi prévues. Les entités essentielles s’exposent à des amendes pouvant atteindre 10 M€ ou 2 % de leur chiffre d’affaires annuel mondial. Pour les entités importantes, le plafond est fixé à 7 M€ ou 1,4 % du chiffre d’affaires mondial. L’État et les collectivités territoriales échappent toutefois à ces sanctions.
Le chiffrement, point de friction
Les débats devraient se concentrer sur l’article 16 bis, ajouté par le Sénat. Cet article vise à empêcher que les fournisseurs de solutions de chiffrement soient contraints d’installer des portes dérobées, c’est-à-dire des accès cachés dans leurs produits. Il oppose deux approches de la sécurité. D’un côté, les services de renseignement souhaitent préserver leurs capacités d’investigation. De l’autre, les défenseurs du chiffrement estiment qu’une porte dérobée fragilise la sécurité de l’ensemble des utilisateurs, car un mécanisme conçu pour faciliter l’accès aux communications pourrait aussi être exploité par des cybercriminels.
Le gouvernement demande la suppression de cet article, en suivant les recommandations du rapport Boudié remis à Matignon. Anne Le Hénanff, ministre déléguée chargée de l’Intelligence artificielle et du Numérique, le considère comme un « cavalier législatif », autrement dit une disposition sans lien suffisamment direct avec l’objet du projet de loi. Le sujet est d’autant plus sensible que la délégation parlementaire au renseignement avait déjà alerté, en mai, sur les risques que cette disposition ferait peser sur les capacités des services.
La cryptographie post-quantique absente du texte
Le projet de loi ne prévoit pas de dispositions spécifiques sur la cryptographie post-quantique, c’est-à-dire les techniques de chiffrement conçues pour résister à l’informatique quantique. Pourtant, les recommandations européennes invitent les organisations à engager leur transition vers ces technologies. La feuille de route européenne recommande de commencer cette migration d’ici à la fin 2026 et de protéger les usages les plus sensibles au plus tard en 2030.
Si les députés adoptent le texte, le parcours législatif ne sera pas nécessairement terminé. Une commission mixte paritaire pourrait être convoquée pour rapprocher les versions de l’Assemblée nationale et du Sénat. Viendront ensuite les décrets d’application, indispensables pour préciser les modalités concrètes de mise en œuvre.
Product offers are temporarily unavailable.
