Plus de deux ans après l’échéance européenne, la transposition française de NIS2 franchit une nouvelle étape. Les députés ont achevé l’examen du projet de loi Résilience, supprimé l’article controversé sur le chiffrement et précisé certaines obligations, notamment pour les collectivités. Le vote solennel est fixé au 17 novembre, sans garantir pour autant une entrée en vigueur rapide des nouvelles règles.
Le chiffrement écarté, la transposition reprend son chemin
Il aura donc fallu plus de deux ans à la France pour avancer vers la transposition d’une directive destinée à renforcer la cybersécurité des organisations les plus sensibles. Depuis l’échéance européenne du 17 octobre 2024, les entreprises sont invitées à préparer leur conformité sans disposer d’un cadre national définitif, tandis que Paris fait l’objet d’une procédure d’infraction engagée par la Commission européenne. Après son passage au Sénat en mars 2025 et plusieurs mois d’attente, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a finalement été examiné les 9 et 10 novembre à l’Assemblée nationale.
Les députés ont notamment tranché l’un des désaccords les plus sensibles du texte en supprimant, par 69 voix contre 37, l’article 16 bis introduit au Sénat. Celui-ci interdisait d’imposer aux fournisseurs de services de chiffrement des mécanismes susceptibles d’affaiblir la confidentialité des communications, notamment des portes dérobées permettant d’accéder aux échanges protégés.
Le gouvernement défendait cette suppression au nom de la préservation des techniques d’enquête et de renseignement légalement autorisées, tout en s’engageant à ne pas réintroduire de dispositif imposant un affaiblissement du chiffrement. La disparition de l’article ne crée donc aucune obligation d’installer des portes dérobées, mais elle retire du projet de loi une interdiction explicite que ses défenseurs jugeaient nécessaire. Les engagements ministériels ne disposent pas, à cet égard, de la même portée qu’une garantie inscrite dans la loi. Le débat aura surtout occupé une place considérable dans l’examen d’un texte dont l’objet premier reste la transposition de NIS2, de la directive sur la résilience des entités critiques (REC) et des adaptations liées au règlement DORA.
Des obligations précisées pour les collectivités
Les discussions ont également porté sur les moyens de faire respecter les nouvelles exigences de cybersécurité. Un amendement adopté le 10 novembre, par 25 voix contre 12, précise notamment le dispositif de remédiation applicable aux collectivités territoriales qui ne respecteraient pas leurs obligations.
Le mécanisme prévoit la présentation d’un plan de remédiation dans un délai de trois mois, avec l’appui de l’ANSSI. En cas de manquement, la commission des sanctions pourrait imposer à la collectivité de présenter ce plan devant son assemblée délibérante et de le rendre public. La publicité des insuffisances constatées devient ainsi un levier de contrôle, dans un secteur où les moyens financiers et les compétences disponibles varient considérablement d’un territoire à l’autre.
Lors de l’ouverture des débats, la ministre déléguée chargée de l’Intelligence artificielle et du Numérique, Anne Le Hénanff, a évoqué plus de 18 000 entités concernées par NIS2, réparties dans dix-huit secteurs critiques et hautement critiques. Pour ces organisations, les obligations de gestion des risques, de sécurisation des fournisseurs et de notification des incidents sont déjà connues dans leurs grandes lignes. Les modalités françaises de supervision, les exigences techniques et les délais de mise en conformité devront toutefois être stabilisés avant que les entreprises puissent disposer d’une visibilité complète sur leurs responsabilités.
Un vote le 17 novembre, des règles encore à finaliser
L’Assemblée nationale a fixé le vote solennel du projet de loi au mardi 17 novembre, après les questions au Gouvernement. Son adoption en première lecture constituerait une avancée attendue, mais ne suffirait pas à clore le parcours législatif. Les divergences avec le texte adopté par le Sénat devront encore être réglées, avant la promulgation et la publication des mesures d’application.
Pour les organisations concernées, cette incertitude ne justifie pas l’attentisme. L’ANSSI met déjà à leur disposition le Référentiel Cyber France (ReCyF), destiné à faciliter la préparation aux exigences de NIS2. La cartographie des systèmes, la gestion des risques liés aux prestataires, la continuité d’activité ou encore l’organisation des notifications d’incidents nécessitent des travaux qui ne peuvent raisonnablement attendre les derniers décrets.
Après deux années de retard, le calendrier parlementaire commence enfin à se préciser, sans résoudre toutes les difficultés de mise en œuvre. Les entreprises devront absorber de nouvelles obligations, parfois avec des ressources limitées, tandis que les collectivités devront composer avec des exigences accrues de sécurité et de contrôle. Reste à savoir si les modalités retenues leur laisseront les moyens et le temps nécessaires pour s’y conformer.
