☕️ Alléluia ! La transposition de NIS2 est enfin à l’ordre du jour de l’Assemblée nationale
Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité est programmé à l’Assemblée nationale à partir du mercredi 7 octobre 2026. Il s’agit, pour rappel, de transposer en France les directives européennes NIS2, DORA et REC.
La France s'apprête à transposer la directive européenne NIS2, un texte visant à renforcer la cybersécurité des infrastructures critiques. Ce projet de loi, appelé projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, sera examiné à l'Assemblée nationale à partir du 7 octobre 2026. La transposition de NIS2 est obligatoire pour tous les États membres de l'Union européenne, avec une date limite initialement fixée au 17 octobre 2024. La France a pris du retard en raison de la dissolution de l'Assemblée nationale en juin 2024, qui a perturbé le calendrier législatif. Ce texte s'inscrit dans un ensemble plus large incluant également les directives DORA (pour le secteur financier) et REC (pour les réseaux de communications électroniques).
La transposition de NIS2 a connu plusieurs blocages depuis 2024. Après une adoption au Sénat en début d'année 2025, le texte a été retardé par un point de clivage politique : l'article 16 bis, introduit par le Sénat. Cet article stipule que les fournisseurs de services de chiffrement, y compris les prestataires de services de confiance qualifiés, ne peuvent pas être contraints d'intégrer des dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d'information, comme des clés de déchiffrement maîtresses. Ce débat oppose les impératifs de sécurité nationale et la protection de la vie privée. La Commission supérieure du numérique et des postes (CSNP) espérait un examen du texte en juillet 2026, mais celui-ci a été reporté.
L'article 16 bis est au cœur des tensions autour de ce projet de loi. Il interdit explicitement aux autorités de demander aux entreprises de chiffrement d'affaiblir leurs systèmes, une pratique parfois appelée backdoor ou porte dérobée. Ce principe s'appuie sur le considérant 98 de la directive NIS2, qui souligne que le chiffrement de bout en bout est essentiel pour protéger les données et la vie privée. Cependant, un considérant dans une directive européenne n'a pas de valeur contraignante directe : il sert de guide pour l'interprétation des textes. Le débat porte donc sur la manière dont la France va transposer ce principe en droit national, tout en respectant ses obligations de sécurité publique.
Le retard de la France dans la transposition de NIS2 expose le pays à des risques juridiques et financiers. L'Union européenne a déjà lancé une procédure contre la France pour non-respect de la directive, ce qui pourrait entraîner des sanctions. Ces dernières pourraient prendre la forme d'amendes ou de mesures coercitives, bien que leur montant exact ne soit pas précisé dans l'article. La pression européenne, combinée à l'urgence de renforcer la cybersécurité face à la multiplication des cyberattaques, a probablement poussé le gouvernement à accélérer l'examen du texte. Le calendrier législatif reste cependant serré, avec d'autres priorités comme le budget et la loi de financement de la Sécurité sociale (PLFSS).
Plusieurs institutions et acteurs jouent un rôle clé dans ce processus. Le gouvernement français est responsable de la fixation du calendrier législatif pour ce type de lois, bien que les députés aient une marge de manœuvre limitée. Le Sénat a introduit l'article 16 bis, reflétant les débats sur l'équilibre entre sécurité et libertés individuelles. La Commission supérieure du numérique et des postes (CSNP) a également joué un rôle dans l'analyse et la promotion du texte. Enfin, des députés comme Florent Boudié ont été impliqués dans des missions liées à ces enjeux, bien que leur rôle exact ne soit pas détaillé dans l'article.
