Après des mois d’attente, les députés reprennent ce 9 novembre l’examen du projet de loi Résilience, destiné notamment à transposer la directive européenne NIS2. Quelque 15 000 organisations pourraient être concernées par ces nouvelles obligations de cybersécurité. Mais entre les désaccords sur le chiffrement et les modalités d’application encore à préciser, les entreprises ne disposent toujours pas d’un calendrier réglementaire définitif.
Une transposition attendue depuis octobre 2024
Il aura donc fallu plus de deux ans à la France pour reprendre sérieusement l’examen d’un texte censé renforcer sa cybersécurité. Les entreprises sont régulièrement appelées à mieux anticiper les risques et à accélérer leur mise en conformité, mais l’État peine lui-même à respecter les échéances européennes. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité revient ce lundi 9 novembre devant l’Assemblée nationale, avec des débats programmés jusqu’au 13 novembre.
Adopté par le Sénat en mars 2025, puis examiné en commission spéciale à l’Assemblée en septembre de la même année, le texte doit permettre à la France de transposer les directives NIS2 et REC, tout en adaptant le droit national au règlement DORA applicable au secteur financier.
L’échéance européenne de transposition de NIS2 était pourtant fixée au 17 octobre 2024. Face au retard français, la Commission européenne a engagé une procédure d’infraction, avec une mise en demeure en novembre 2024, suivie d’un avis motivé en mai 2025. Et cette reprise des débats ne signifie pas que le chantier réglementaire touche à sa fin puisque le texte devra encore franchir les dernières étapes parlementaires, avant la publication des mesures d’application nécessaires.
Des obligations connues, des modalités encore à préciser
Les grandes exigences de NIS2 sont déjà définies au niveau européen. Les organisations concernées devront notamment renforcer leur gestion des risques, sécuriser leurs relations avec les fournisseurs, prévoir des dispositifs de continuité d’activité et déclarer leurs incidents importants. La directive prévoit une première alerte dans les 24 heures suivant la prise de connaissance d’un incident important, puis une notification plus détaillée sous 72 heures.
La transposition française doit toutefois préciser les conditions d’application de ces obligations, les modalités de contrôle et les délais accordés aux organisations pour se mettre en conformité. Le projet de loi distingue notamment les entités essentielles, soumises à une supervision plus étendue, des entités importantes, pour lesquelles les contrôles interviennent principalement lorsqu’un manquement est suspecté.
Les entreprises ne sont pas pour autant condamnées à attendre l’adoption définitive du texte. Depuis le 17 mars 2026, l’ANSSI met à leur disposition le Référentiel Cyber France (ReCyF), conçu pour les aider à préparer leur mise en conformité. Encore diffusé comme document de travail, ce référentiel rassemble des mesures de sécurité alignées sur les objectifs de NIS2. L’agence propose également un outil permettant de comparer ces recommandations avec d’autres référentiels déjà utilisés par les organisations.
Cette préparation anticipée reste d’autant plus importante que la mise en conformité ne se limitera pas à quelques ajustements techniques. La sécurité des prestataires, la gestion des incidents ou la capacité à maintenir une activité pendant une cyberattaque supposent des arbitrages organisationnels et financiers qui peuvent nécessiter plusieurs mois.
Le chiffrement, point de crispation politique
Un autre désaccord accompagne le retour du texte à l’Assemblée. Introduit par le Sénat, l’article 16 bis interdit d’imposer aux fournisseurs de services de chiffrement des dispositifs destinés à affaiblir volontairement la sécurité des communications, notamment des clés de déchiffrement maîtresses ou des mécanismes permettant un accès non consenti aux données protégées.
Le gouvernement demande sa suppression. Dans son amendement n° 358, il estime que cette rédaction pourrait compromettre des techniques d’enquête et de renseignement légalement encadrées. D’autres députés défendent au contraire le maintien d’une interdiction explicite des portes dérobées, considérant que tout affaiblissement volontaire du chiffrement pourrait aussi être exploité par des cybercriminels ou des services de renseignement étrangers.
La controverse dépasse toutefois le cadre de NIS2, qui n’impose aucune disposition comparable. Plusieurs parlementaires favorables à la suppression de l’article reconnaissent d’ailleurs la nécessité de protéger le chiffrement, mais contestent la portée juridique de cette interdiction et son introduction dans un texte consacré à la résilience.
Le débat intervient dans une France qui doit encore achever une transposition attendue depuis plus de deux ans. Pour les entreprises concernées, l’urgence demeure de disposer de règles stabilisées, suffisamment précises pour préparer les investissements, répartir les responsabilités et organiser les contrôles. L’examen parlementaire qui s’ouvre cette semaine doit permettre de rapprocher cette échéance, sans garantir à lui seul la fin des incertitudes.
