par Nessrine BELLACHE, étudiante du Master 2 Droit des communications électroniques
Les députés auraient dû commencer à étudier le projet de loi le mercredi 7 octobre qui s’est vu retiré de l’ordre du jour dans l’hémicycle. Ce texte prévoyait la transposition de trois directives dans le but de renforcer les dispositifs nationaux d’importance vitale (SAIV) et lutter contre les menaces cyber. Cette décision de transposition s’inscrit dans plusieurs contextes. Tout d’abord dans un contexte politique, car les risques d’attaques cyber sont devenus systémiques à la veille des élections présidentielles. De plus, ce projet de loi fait également suite aux différentes fuites de données, notamment celles ayant touché la DGFiP. Enfin, ce projet de loi s’inscrit également dans un contexte géopolitique marqué notamment par les tensions avec la Russie et le développement de stratégies de guerre hybride visant les États européens rendant ainsi indispensable la résilience de nos infrastructures essentielles.
Une volonté européenne d’harmonisation du cadre de la cybersécurité
La multiplication des cybermenaces, notamment des rançongiciels, a contribué au renforcement du cadre européen et a conduit à l’adoption de trois directives ayant chacune leur propre champ d’application :
- La directive (UE) 2022/2557 du Parlement Européen et du conseil du 14 décembre 2022 sur la résilience des entités critiques, dite « REC ». Elle vise à passer d’une logique de protection des infrastructures à une logique plus large de résilience des entités critiques.
- La directive (UE) 2022/2555 du Parlement Européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite « NIS2 ». Elle élargit considérablement le nombre d’entités soumises à des obligations en matière de cybersécurité et devrait englober, selon les estimations du Sénat, environ 15 000 entités essentielles et importantes en France.
- La directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 en ce qui concerne la résilience opérationnelle numérique du secteur financier, dite « DORA ».
Un projet de loi suivant l’articulation des directives
Le projet de loi transpose dans son premier titre la directive 2022/2557 dite REC modifie le code de la défense en apportant tout d’abord une nouvelle définition de la résilience comme étant “la capacité d’un opérateur à prévenir, à se protéger et à résister contre tout type d’incident afin d’assurer la continuité de la ou des activités d’importance vitale qu’il exerce”. Le projet de loi actualise le dispositif français de sécurité des activités d’importance vitale (SAIV) qui sera piloté par le Secrétariat général de la défense et de la sécurité nationale (SGDSN) et supervisé, pour le volet cyber, par l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Conformément à la directive, le projet de loi oblige alors les opérateurs d’importance vitale à réaliser une analyse des risques formalisée dans un “plan de résilience opérateur”. Enfin, une nouvelle commission des sanctions rattachée au Premier ministre sera mise en place pouvant prononcer des amendes jusqu’à 10 M€ et 2 % du chiffre d’affaires mondial en cas de manquement des OIV.
Dans un second titre, le projet de loi transpose la directive 2022/2555 dite NIS2 qui conduit alors à un changement de paradigme : elle s’inscrit dans le prolongement de la directive 2016/1148 dite NIS1 (qui pose une base de sécurisation des infrastructures communes) tout en élargissant considérablement son champ d’application. Alors que NIS1 concernait principalement quelques opérateurs et infrastructures critiques, NIS2 permettra d’assurer la résilience d’environ 15 000 entités opérant dans 18 secteurs critiques. Le projet de loi prévoit que l’ANSSI aura pour mission la mise en œuvre et le contrôle de la politique gouvernementale en matière de sécurité des systèmes d’information. Les entités devront alors déclarer leurs incidents de sécurité à l’ANSSI qui pourra sanctionner jusqu’à 10 M€ et 2 % du chiffre d’affaires annuel mondial à l’encontre des entités essentielles et une amende pouvant aller jusqu’à 7 M€ et 1,4 % du chiffre d’affaire annuel mondial à l’encontre des entités importantes en cas de manquement. En revanche, ne seront pas concernées par ces amendes l’état, les collectivités locales et leurs établissements publics administratifs.
Dans un dernier titre, le projet de loi transpose la directive 2022/2556 dite DORA qui modifie le code monétaire et financier ainsi que le code des assurances. La directive encadre l’usage des technologies numériques dans le cadre financier. Elle permet également d’harmoniser le cadre de prévention, de détection et de compte rendu des incidents applicables aux entités financières. Elle renforce aussi la gestion des incidents, les tests de résilience et la gestion des risques liés aux prestataires informatiques.
Un retard de transposition qui pourrait coûter cher à la France
Alors que les trois directives ont été adoptées en 2022, le projet de loi n’a été déposé au Sénat que le 15 octobre 2024 après l’engagement de la procédure accélérée par le Gouvernement. Le texte a ensuite été adopté en première lecture le 12 mars 2025 avant d’être transmis à l’Assemblée Nationale le 13 mars 2025. Le projet de loi aurait dû être examiné qu’à compter du 7 octobre par l’Assemblée Nationale, or, ce délai a été repoussé à deux voire trois semaines.
Les débats parlementaires ont notamment été marqués par l’introduction de l’article 16 bis, ajouté par le Sénat consacré à l’interdiction de contraindre les messageries instantanées à installer des portes dérobées (backdoors) ou autres mécanismes d’affaiblissement volontaire de la sécurité. Selon les sénateurs à l’origine de cet amendement, ces dispositifs présentent des risques considérables pour la sécurité informatique et pour les droits fondamentaux.
Dans ce contexte, la Commission européenne a annoncé renvoyer devant la Cour de justice de l’Union européenne le 8 juillet 2026 quatre États membres pour ne pas avoir notifié la transposition complète de la directive NIS2. La France avait jusqu’au 17 octobre 2024 pour transposer la directive, faute de réponse, la Commission européenne a envoyé des lettres de mise en demeure le 28 novembre 2024, puis des avis motivés le 7 mai 2025 avant d’annoncer le renvoi de la France devant la CJUE. La Commission européenne demande ainsi à la CJUE d’imposer des sanctions financières assorties d’astreintes jusqu’à la notification de la transposition complète.
Sources :
Projet de loi résilience infrastructures critiques cybersécurité | Vie publique
NIS 2 encore repoussé : la France traînée devant la justice européenne