NIS 2 : la loi Résilience arrive enfin à l’Assemblée

Le projet de loi Résilience est examiné en séance publique après plusieurs reports. Son adoption doit permettre de préciser le cadre réglementaire applicable aux milliers d’organisations concernées.

Mieux vaut tard que jamais. Plus de deux ans après la date limite fixée par Bruxelles, la France engage enfin la dernière étape parlementaire de la transposition de NIS 2. Le projet de loi Résilience est examiné à l’Assemblée nationale du 9 au 13 novembre.

La directive européenne NIS 2 est entrée en vigueur le 16 janvier 2023. Les États membres avaient jusqu’au 17 octobre 2024 pour la transposer dans leur droit national. La France a manqué cette échéance et accumulé les retards. Présenté en Conseil des ministres le 15 octobre 2024, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat en mars 2025, puis à l’unanimité par la commission spéciale de l’Assemblée nationale en septembre de la même année. Depuis, son examen en séance publique a été repoussé à plusieurs reprises. Une disposition introduite par les sénateurs, portant sur la protection des solutions de chiffrement contre l’installation de portes dérobées, est notamment à l’origine de ces blocages.

Près de 15 000 organisations concernées

Avec NIS 2, le périmètre de la réglementation change d’échelle. Le nombre de secteurs couverts passe de 6 à 18, et celui des organisations concernées de quelques centaines à près de 15 000, réparties entre entités essentielles et entités importantes. Le champ d’application ne se limite plus aux opérateurs d’importance vitale et aux grands acteurs des infrastructures numériques. Il englobe notamment l’énergie, les transports, la santé et les télécommunications. Les régions, les départements et les communes de plus de 30 000 habitants sont également concernés.

Les obligations portent notamment sur la gestion des risques cyber, la sécurité des systèmes d’information, la gestion des incidents et la sécurisation de la chaîne d’approvisionnement. Les dirigeants des organisations devront également s’impliquer davantage dans la supervision de ces dispositifs. Le volet répressif est à la hauteur de cette ambition. Les entités essentielles s’exposent à des amendes pouvant atteindre 10 M€ ou 2 % de leur chiffre d’affaires annuel mondial. Pour les entités importantes, le plafond est fixé à 7 M€ ou 1,4 % du chiffre d’affaires mondial. L’État et les collectivités territoriales échappent toutefois à ces sanctions financières.

Le chiffrement, point de friction entre députés et gouvernement

Les débats devraient toutefois se concentrer sur l’article 16 bis, ajouté par le Sénat. Celui-ci vise à empêcher que les fournisseurs de solutions de chiffrement soient contraints d’installer des portes dérobées dans leurs produits. Cette disposition oppose deux approches de la sécurité. D’un côté, les services de renseignement souhaitent préserver leurs capacités d’investigation. De l’autre, les défenseurs du chiffrement estiment qu’une porte dérobée fragilise la sécurité de l’ensemble des utilisateurs : un mécanisme conçu pour faciliter l’accès aux communications pourrait aussi être exploité par des cybercriminels.

Le gouvernement demande la suppression de cet article, suivant ainsi les recommandations du rapport Boudié remis à Matignon. Anne Le Hénanff, ministre déléguée chargée de l’Intelligence artificielle et du Numérique, le considère comme un cavalier législatif, autrement dit une disposition sans lien suffisamment direct avec l’objet du projet de loi. Le débat est d’autant plus sensible que la délégation parlementaire au renseignement avait elle-même alerté, en mai dernier, sur les risques que cette disposition ferait peser sur les capacités des services. L’article devrait donc constituer l’un des principaux points de discussion de la semaine.

La cryptographie post-quantique absente du texte

Autre sujet qui aurait pu trouver sa place dans cette loi : la préparation à l’arrivée de l’informatique quantique. Le projet de loi ne prévoit pas de dispositions spécifiques sur la cryptographie post-quantique, alors que les recommandations européennes invitent les organisations à engager leur transition vers ces technologies. La feuille de route européenne recommande notamment de commencer cette migration d’ici à la fin 2026 et de protéger les usages les plus sensibles au plus tard en 2030.

Même si les députés adoptent le texte cette semaine, le parcours législatif ne sera pas nécessairement terminé. Une commission mixte paritaire pourrait encore être convoquée pour rapprocher les versions de l’Assemblée nationale et du Sénat. Viendront ensuite les décrets d’application, indispensables pour préciser les modalités concrètes de mise en œuvre.