Texte intégral
M. le président Philippe Latombe. Madame la ministre, nous sommes heureux de vous accueillir dans cette commission spéciale, que vous connaissez bien pour avoir rapporté le titre II du projet de loi qui en est l'objet.
Enfin ! C'est par ce mot que je voudrais commencer cette audition : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité est enfin inscrit à l'ordre du jour de la séance publique de l'Assemblée nationale, à compter du 7 octobre prochain. Le calendrier de l'examen de ce projet de loi très attendu laisse perplexe : le texte a été déposé sur le bureau du Sénat le 15 octobre 2024 et adopté le 12 mars 2025. Notre commission spéciale lui a consacré un travail rigoureux et approfondi, d'abord par un cycle d'auditions puis par l'examen du texte les 9 et 10 septembre 2025, au lendemain de la démission du gouvernement de François Bayrou. Il s'est donc écoulé près d'un an entre l'adoption du texte en commission et son inscription à l'ordre du jour. Madame la ministre, notre commission serait désireuse d'en savoir plus sur les raisons qui ont conduit le gouvernement à différer autant cette inscription.
Ce projet de loi est pourtant urgent puisqu'il vise essentiellement à assurer la transposition de trois textes européens adoptés en 2022 : la directive sur la résilience des entités critiques, dite REC, qui fait l'objet du titre Ier du projet de loi rapporté par Catherine Hervieu ; la directive NIS 2 dont les mesures visent à assurer un niveau commun de cybersécurité élevé dans l'ensemble de l'Union, qui fait l'objet du titre II désormais rapporté par Vincent Thiébaut ; le règlement Dora sur la résilience opérationnelle numérique du secteur financier, qui fait l'objet du titre III rapporté par Mickaël Bouloux. Le rapporteur général, Éric Bothorel, supervise l'ensemble du texte. La directive REC et la directive NIS 2 auraient dû être transposées avant le 17 octobre 2024 et le règlement Dora avant le 17 janvier 2025. Nous sommes donc très en retard.
La France a subi plusieurs cyberattaques d'envergure au cours de l'année. Je n'en citerai que quelques-unes, qui ont particulièrement marqué nos concitoyens : en avril 2026, l'Agence nationale des titres sécurisés (ANTS) a détecté un incident de sécurité pouvant impliquer une divulgation de données ; en août 2026, un acteur malveillant a revendiqué un vol de données par le biais d'accès illégitimes aux systèmes d'information de la direction générale des finances publiques (DGFIP), dans des circonstances qui n'étaient pas « la conséquence d'une attaque sophistiquée » d'après le rapport d'incident publié le 29 septembre par l'Anssi (Agence nationale de la sécurité des systèmes d'information). Ces exemples montrent à quel point il est crucial d'élever notre capacité de résilience face aux attaques.
La commission d'enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l'indépendance de la France, que j'ai eu l'honneur de présider, a rendu son rapport en juillet 2026. Elle n'a pas traité de la cybersécurité et des failles des entités nationales, publiques et privées, parce que j'avais la conviction que ce projet de loi essentiel serait rapidement examiné, et qu'il n'était pas nécessaire que la commission l'abordât. Je me réjouis qu'il le soit à partir de la semaine prochaine.
Son article 16 bis a fait couler beaucoup d'encre et a amené le gouvernement à confier à notre ancien collègue Florent Boudié la rédaction d'un rapport à son sujet. Nous sommes très désireux d'en connaître les principales conclusions.
Mme Anne Le Hénanff, ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l'intelligence artificielle et du numérique. Je suis très heureuse d'évoquer avec vous le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui me tient particulièrement à cœur ; j'en étais rapporteure pour le titre II lors de son examen par cette commission spéciale, il y a un an.
La présente audition se tient dans un contexte particulier : la reprise de l'examen parlementaire de ce texte après une longue attente et une recrudescence sans précédent de la menace cyber. Je tiens à remercier chacune et chacun d'entre vous de votre engagement en la matière : c'est aussi grâce à votre ténacité que nous sommes réunis aujourd'hui pour parler de ce projet de loi et, plus largement, de l'action du gouvernement en ce domaine.
Avant d'entrer dans le vif du sujet et de revenir sur les mesures prévues par ce projet de loi " résilience ", permettez-moi d'évoquer la mission sur le chiffrement des messageries, confiée à l'ancien député Florent Boudié. Le président Latombe m'a fait part de la demande unanime du bureau de votre commission de disposer d'informations relatives à ses conclusions. Le rapport sera publié très prochainement, dans un format respectant les impératifs de sécurité nationale ; vous y aurez donc accès.
L'article 16 bis constitue à mon sens un cavalier législatif qui n'a pas sa place dans le projet de loi. Le gouvernement soutiendra en séance publique un amendement visant à le supprimer et s'engagera à ne pas réintroduire ni soutenir la réintroduction de l'article 8 ter de la loi " narcotrafic " d'ici à la fin de la session parlementaire.
Depuis près d'un an, ma priorité consiste à améliorer la cyber-résilience de la nation. La menace cyber est plus intense que jamais, touchant toutes les strates de notre économie et de notre société. Elle fait peser sur les entreprises un risque relatif à la continuité de leur activité, voire à leur survie économique ; quant aux organisations publiques, elles doivent préserver la continuité des services publics et conserver la confiance des usagers.
Je laisse à Vincent Strubel, directeur général de l'Anssi que vous auditionnez cet après-midi, le soin de vous détailler l'état de la menace, afin de me concentrer davantage sur les moyens que l'État – notamment le présent gouvernement – mobilise pour y faire face. Ces moyens concernent la cybersécurité des entreprises, des collectivités territoriales et de l'État.
Je ne reviendrai pas de manière exhaustive sur les récentes cyberattaques menées contre les services de l'État, mais je ne me cacherai pas non plus derrière mon petit doigt. Il me semble essentiel de vous faire part de notre vision de cet immense défi.
La dernière cyberattaque majeure contre l'État, qui a ciblé la DGFIP, est particulièrement grave. Au-delà des dommages informationnels et informatiques, elle met en péril la crédibilité de l'État quant à sa capacité de protection des données des citoyens et des entreprises. Le ministre David Amiel s'en est largement expliqué lors de la conférence de presse qu'il a organisée avec la directrice générale des finances publiques.
Cette cyberattaque a démontré, s'il en était besoin, que personne n'est à l'abri – ni les entreprises, ni les collectivités, ni même l'État. Quelle que soit l'entité concernée, mon message est identique : la cybersécurité n'est pas uniquement une affaire de techniciens, qu'on délègue aux DSI (directions des systèmes d'information) en invoquant sa complexité ou sa technicité. Elle est un enjeu de gouvernance au même titre que la stratégie financière, la gestion des ressources humaines ou la mise en conformité réglementaire.
En avril dernier, j'ai adressé le même message aux directeurs des administrations centrales (DAC) de Bercy : la cybersécurité doit être une priorité stratégique, intégrée à toutes les étapes de décision et aux plus hauts niveaux de gouvernance. À ce titre, elle doit engager personnellement et directement les directeurs d'administration, les maires, les présidents de département et de région, les chefs d'entreprise.
Le gouvernement n'a pas attendu la cyberattaque contre la DGFIP pour agir. En janvier dernier, au campus cyber de Nouvelle-Aquitaine, j'ai présenté la stratégie nationale de cybersécurité 2026-2030, qui s'articule autour de cinq axes. Parmi ses mesures concrètes figure la création d'un portail national de la cybersécurité du quotidien.
Le 30 avril dernier, à la suite de la cyberattaque contre l'ANTS, le premier ministre a annoncé des mesures fortes. La feuille de route récapitulant les efforts prioritaires de sécurité numérique de l'État, qui se décline en quarante actions, a été rendue publique à la demande du premier ministre.
La Dinum (direction interministérielle du numérique), transformée en Autorité référente pour l'intelligence artificielle et le numérique de l'État (Ariane), a un mandat renforcé pour définir, imposer et contrôler les règles d'architecture, les spécifications et les bonnes pratiques dans l'ensemble de l'État. La création de l'Ariane résulte d'un constat simple : les systèmes d'information de l'État demeurent trop fragmentés, hétérogènes et insuffisamment sécurisés. Cette trop grande hétérogénéité crée de nombreuses vulnérabilités ; la dette technique s'y ajoute. L'Ariane aura donc pour mission de consolider le socle numérique de l'État. Enfin, à la demande du premier ministre, les ministères ont dorénavant un objectif clair de dépenses consacrées à la cybersécurité : 5% de leur budget numérique dès 2027 et jusqu'à 10% en 2030.
La stratégie nationale de cybersécurité contient d'autres mesures ; je vous invite à la consulter sur le site internet du SGDSN, le secrétariat général de la défense et de la sécurité nationale.
La cyberattaque de la DGFIP nous a fait franchir un nouveau seuil : le premier ministre nous a demandé d'aller plus vite, plus loin. L'Anssi doit ainsi développer une capacité renforcée de réaction, d'intervention et d'assistance aux services de l'État. Baptisé Reactiv (Réponse et action interministérielle face aux violations de données), ce dispositif vise à permettre de mieux circonscrire les attaques et de lutter plus efficacement contre les exfiltrations de données.
Le renforcement de la cybersécurité de la nation passe également par le soutien à notre écosystème d'entreprises cyber, qui est extraordinaire. En 2025, les jeunes pousses de la cybersécurité ont mené 866 opérations de levées de fonds – un record –, pour un total de 15,6 milliards représentant une hausse de 32% en un an. Ces chiffres montrent l'attractivité du secteur, mais aussi la nécessité de structurer le marché. Le " radar de l'innovation cybersécurité français ", élaboré par Wavestone et BPIFrance, met en évidence un fait incontestable : l'écosystème cyber français n'a jamais compté autant d'entreprises innovantes, avec 234 start-up, 43 scale-up et 2 licornes.
Deux tendances illustrent l'effervescence du secteur : un nombre sans précédent de nouvelles start-up ont été créées cette année – plus de 105, contre 44 l'année dernière ; le niveau de financement est toujours aussi dynamique, avec 304 millions levés en 2026. Dans le cadre de France 2030, nous soutenons cette dynamique avec l'objectif de faire émerger des champions français et européens de la cybersécurité, pour garantir à notre pays la maîtrise des technologies essentielles à sa souveraineté numérique. Dans le même cadre, le premier ministre a annoncé une nouvelle enveloppe de 200 millions dédiés à la cybersécurité.
Nous ne sommes pas restés inactifs face à la menace cyber, mais au-delà de ces mesures essentielles, l'adoption du projet de loi " résilience " qui nous occupe aujourd'hui demeure la mesure la plus efficace pour rendre notre pays cyber-résilient.
Il transpose deux directives et un règlement européens, qui ont vocation à renforcer la cyber-résilience : la directive REC et la directive NIS 2, qui prévoit le renforcement du niveau de cybersécurité d'au moins 15 000 entités essentielles et importantes relevant de dix-huit secteurs critiques ou hautement critiques. Son objectif est clair : renforcer la sécurité et la résilience de l'ensemble du tissu économique et social européen. Enfin, le règlement Dora vise à renforcer la résilience opérationnelle numérique du secteur financier face à la dépendance croissante de ses acteurs à l'égard des systèmes d'information et des prestataires technologiques.
Le titre Ier du projet de loi, qui transpose la directive REC, vise deux objectifs : offrir un socle minimal de protection à l'ensemble des infrastructures critiques de l'Union européenne, dont dépendent nos propres entités, et assurer l'égalité des règles du jeu entre opérateurs au sein du marché intérieur, désormais soumis à des standards communs. Ces objectifs se traduisent par l'introduction de plusieurs mesures phares de planification, d'anticipation, de rationalisation et de communication.
Le titre III vise à mettre en œuvre les adaptations rendues nécessaires par l'entrée en application du règlement Dora concernant les établissements bancaires, les entreprises d'investissement, les infrastructures de marché, les assureurs et les autres entités financières. Il prévoit l'envoi d'une double notification simplifiée aux autorités financières et à l'Anssi, pour les acteurs relevant simultanément de ces deux cadres. Ce dispositif vise à conserver l'expertise sectorielle des superviseurs financiers et la vision transversale de l'Anssi en matière de menace cyber.
Compte tenu du nombre d'entités visées et des quarante-six articles assurant sa transposition, la directive NIS 2 constitue le cœur du projet de loi. La cybersécurité n'est plus une option mais un impératif stratégique. Les dix-huit secteurs critiques identifiés sont les piliers de notre souveraineté. Avec plus de 15 000 entités visées, ce projet de loi couvre un périmètre large mais nécessaire. Loin d'être théorique, il leur impose trois obligations fondamentales et concrètes : leur enregistrement auprès de l'Anssi, pour assurer une traçabilité et une coordination nationale des acteurs critiques, la notification obligatoire des incidents à l'Anssi et l'application de mesures concrètes pour sécuriser les systèmes d'information, préparer les crises, garantir la continuité de l'activité et protéger les chaînes d'approvisionnement.
Quelles sont les implications de ces trois obligations ? Premièrement, une gouvernance renforcée : comme les risques juridiques ou financiers, le risque numérique doit être traité au plus haut niveau et les dirigeants doivent assumer leurs responsabilités. Deuxièmement, la mise en place de mesures de protection proactives pour limiter les incidents avant qu'ils surviennent. Troisièmement, le développement de capacités de défense et de résilience pour réagir rapidement aux attaques et en limiter les impacts, afin de rétablir une situation normale dans les meilleurs délais.
Qui dit règles dit contrôle : l'Anssi se voit ainsi dotée de pouvoirs de contrôle renforcés, grâce à la directive NIS 2 et aux règlements européens eIDAS (electronic Identification, Authentication and trust Services), CSA (Cybersecurity Act) et CRA (Cyber Resilience Act). Une commission des sanctions, indépendante, sera créée pour garantir l'impartialité et l'efficacité des mesures prises. En cas de non-respect des règles de mise en conformité, les entités recevront une sanction financière. Les récents incidents qui auraient pu être évités grâce à une hygiène numérique rigoureuse nous rappellent que l'inaction a un prix.
Ce projet de loi envoie un signal fort. Aux entreprises tout d'abord, il dit qu'elles ne sont plus seules, l'État les accompagne, mais leur demande aussi de s'engager. Aux dirigeants, il rappelle que la cybersécurité n'est pas une question technique réservée aux experts, mais une responsabilité stratégique. Enfin, il explique aux citoyens que leur sécurité, celle de leurs données et des services publics dépend de leur capacité collective à anticiper et à résister.
Un service de pré-enregistrement a été mis en ligne dès novembre 2025, permettant aux organisations volontaires d'anticiper cette obligation et de se familiariser avec le processus, mais aussi d'accéder à des ressources spécifiques pour mieux comprendre leurs obligations. Cette plateforme est aussi un moyen de tester leur éligibilité à NIS 2. Le référentiel cyber France, appelé RecyF, propose un cadre clair, proportionné ; il recense les mesures recommandées pour atteindre les objectifs de mise en conformité avec NIS 2 et propose également un recueil de fiches pratiques pour passer à l'action.
J'insiste sur un point : ce projet de loi traite de la cybersécurité et non de la souveraineté numérique, pour laquelle les leviers d'action sont européens. À cet égard, les discussions sont déjà bien engagées, dans le cadre du projet de règlement européen Cada (Cloud on AI Development Act). Le périmètre de ce texte ne doit pas être étendu à ces enjeux.
La cybersécurité est l'affaire de tous, du citoyen aux grands groupes, à l'État et aux collectivités territoriales. L'adoption de ce projet de loi va nous permettre de nous mettre en conformité avec nos obligations européennes. Nous ferons ainsi un pas de géant en matière de cyberprotection de notre société ; d'autres devront suivre.
Mesdames et messieurs, je vous remercie par avance de votre engagement pour faire aboutir ce texte, sans surtransposition ni sous-transposition des directives européennes.
M. Éric Bothorel, rapporteur général. Nous sommes à quelques jours – en principe – de l'examen en séance publique du projet de loi sur la résilience et la cybersécurité. Vous comprendrez que cette année écoulée depuis nos travaux en commission spéciale m'a appris à être prudent. En retirant la poussière accumulée sur le texte issu de la commission spéciale, enregistré par la présidence de l'Assemblée le 10 septembre 2025, je n'ai pu retenir un sourire : sur la couverture figure, entre parenthèses, la mention « procédure accélérée ». Je n'ose imaginer où nous en serions si la procédure ne l'avait pas été.
Vous étiez rapporteure, vous êtes désormais ministre : c'est la bonne nouvelle de cette année de patience. Nous étions quelques parlementaires convaincus de l'importance de la cybersécurité. L'actualité nous a violemment rattrapés. " Le réel, c'est quand on se cogne ", aurait dit Jacques Lacan. Vous devez être cabossée, madame la ministre, bien que cela ne se voie pas. Le même Lacan a dit que " la psychanalyse est un remède contre l'ignorance, elle est sans effet sur la connerie. " Il en est de même s'agissant de la cybersécurité et de ce projet de loi, qui doit permettre de lutter contre l'ignorance, mais sera bien démuni face à la connerie – pardon, la bêtise ou l'étourderie d'acteurs qui utilisent parfois les mêmes mots de passe pour se connecter à la piscine municipale, au site sécurisé des impôts, à l'espace de travail de leur entreprise ou à celui de leur association.
En tant que rapporteur général, je serai vigilant, afin que ce texte gigogne – au sens où il transpose trois réglementations européennes – ne devienne pas un texte attrape-tout. Nous entendons régulièrement la plainte contre la surtransposition des règlements européens ; il ne s'agit donc pas d'y contribuer à notre tour.
Le cyber connaît peu de frontières, et elles ne sont pas nationales : il ne serait pas pertinent d'établir vingt-sept réglementations nationales, car seule la réglementation américaine s'imposerait, voire, plus probablement, la seule loi du marché et des grands acteurs américains ou chinois. Nous devons traiter ces enjeux en Européens et les transposer dans notre droit national, tout en nous assurant de la constitutionnalité de nos propositions. L'épisode de la loi visant à protéger les mineurs des risques auxquels les expose l'utilisation des réseaux sociaux est là pour nous le rappeler collectivement, s'il en était besoin.
Je n'ai que trois questions. Une année aura été nécessaire entre nos travaux en commission spéciale et l'examen en séance. Pourquoi ? J'ai bien une petite idée de la réponse, mais je souhaite que la représentation nationale soit éclairée sur les raisons de ce blocage.
Un rapport parlementaire a été nécessaire pour lever quelques doutes : nous devons en prendre connaissance avant l'examen du projet de loi en séance publique. Pouvez-vous nous confirmer que ce sera bien le cas ?
Enfin, après l'adoption de ce texte, nous entrerons dans le tunnel de l'examen du budget de l'État. L'attaque de la DGFIP a montré que nous ne manquions pas nécessairement de besoins humains, mais de réactivité et de coordination interministérielle. Nous disposons de services, d'une stratégie et d'agents de valeur – j'apporte mon soutien à ceux de l'Anssi, dont je connais l'expertise et la mobilisation. Je ne vous demande pas si votre budget sera en augmentation, mais nous sera-t-il permis de progresser concrètement dans la mise en synergie opérationnelle et sécurisée de tous les informaticiens publics ? Il y a urgence.
Mme Anne Le Hénanff, ministre déléguée. Je suis également très heureuse de vous retrouver, monsieur le rapporteur général. Vous savez combien ce texte est important : il est crucial que nous puissions nous retrouver pour réenclencher les travaux qui ont été arrêtés.
Vous me demandez pourquoi autant de temps s'est écoulé depuis la fin des travaux de la commission spéciale. De nombreux textes de loi attendent d'être examinés par l'Assemblée nationale et diverses priorités ont décalé l'examen de celui-ci. Par ailleurs, permettez-moi de rappeler en toute transparence que son article 16 bis soulevait de nombreuses craintes. Afin de les lever, le premier ministre a confié une mission gouvernementale d'une durée de six mois au député Florent Boudié. Le rapport a été remis à Matignon, qui m'a indiqué qu'il serait rendu public dans les prochains jours. Je ne saurais vous en dire davantage et j'ignore la date précise de sa publication. Je saisirai de nouveau Matignon pour demander que le rapport soit communiqué aux rapporteurs et au bureau de la commission spéciale avant l'examen en séance.
On a eu tendance à l'oublier après l'attaque de la DGFIP, mais la cybersécurité relève de la responsabilité du premier ministre. Les autorités compétentes pour appliquer le plan de cybersécurité et de cyber-résilience de la nation dépendent du SGDSN et de l'Anssi, toutes deux placées sous l'autorité du premier ministre. Ce plan est donc piloté depuis Matignon et je suis chargée de sa bonne application.
Nous avons porté la sécurité de l'ANTS à un cran supplémentaire et créé l'Ariane. Le premier ministre a imposé à chaque ministère de consacrer 10% de son budget numérique à la cybersécurité d'ici à 2030. Il a récemment débloqué 200 millions pour accompagner les industriels de la filière et faire monter en compétences les services de l'État.
Le premier ministre établit la feuille de route et les moyens d'augmenter la cybersécurité et la cyber-résilience de notre pays ; il appartient ensuite à chaque ministre d'appliquer les quarante actions prioritaires et de vérifier qu'elles sont mises en œuvre par les plus hauts responsables – les directeurs d'administration et les RSSI (responsables de la sécurité des systèmes d'information), qui doivent devenir plus visibles dans les organigrammes des ministères.
Ce plan de cybersécurité et de cyber-résilience a été lancé avant les attaques contre l'ANTS et la DGFIP. Le premier ministre nous a demandé d'aller plus vite, plus loin et plus fort dans son application. C'est ce que nous faisons : à Bercy, nous avons réuni les DAC à deux reprises pour faire le point – et faire notre autocritique, en quelque sorte. La cybersécurité de l'État est ainsi devenue une priorité. Avec le projet de loi « résilience », c'est la sécurité de la nation tout entière qui deviendra prioritaire.
M. Vincent Thiébaut, rapporteur pour le titre II. Je partage votre avis sur l'article 16 bis et comme vous, il me tient à cœur d'éviter les surtranspositions ; quelques-unes figurent dans le texte, concernant notamment le secteur médico-social et les éditeurs de logiciels, qui sont déjà soumis à des obligations par des directives européennes. Quelle est la position du gouvernement au sujet des surtranspositions figurant dans le texte issu des travaux de la commission spéciale ?
Celle-ci a également adopté des amendements visant à confier de nouvelles missions à l'Anssi, notamment en matière de pédagogie et de territorialisation. L'Agence ne risque-t-elle pas de s'en trouver débordée, sa charge de travail étant déjà alourdie par la transposition des directives et règlement européens ? Vous semble-t-il pertinent de les conserver ou serait-il préférable d'envisager d'autres dispositifs ?
Mme Anne Le Hénanff, ministre déléguée. Quand je serai au banc du gouvernement dans l'hémicycle, le mot " surtransposition " reviendra souvent dans mes propos. Il pourrait être tentant d'ajouter toutes sortes de choses, mais une directive doit être transposée en l'état.
Vous avez mis le doigt sur certaines surtranspositions, notamment l'inclusion des éditeurs de logiciels. Elle résulte d'un amendement de votre collègue Véronique Riotton, adopté en commission spéciale : un hôpital de son territoire ayant été cyberattaqué, elle avait vu dans le projet de loi " résilience " l'occasion de viser les éditeurs de logiciels de santé. Or ces éditeurs sont déjà soumis à un autre texte européen, le Cyber Resilience Act, qui impose aux produits logiciels des exigences de cybersécurité très fortes ; il est applicable depuis le 11 septembre 2026, du moins pour l'obligation de faire des déclarations à l'Anssi. En outre, certains éditeurs, notamment ceux qui proposent des services de cloud ou des logiciels de santé en mode SaaS (logiciel en tant que service), relèvent déjà du texte en tant qu'entités essentielles ou importantes. Leur inclusion constitue donc une surtransposition.
Quant au médico-social, c'est moi qui l'avais introduit, à la demande du secteur : le monde hospitalier ne se reconnaissait pas dans la liste des entités concernées, puisqu'il n'était mentionné explicitement ni dans le projet de loi ni dans NIS 2 et relevait à l'époque de la catégorie dite des entreprises. À ce stade, je ne défendrai pas son retrait du texte parce que, au vu du nombre de cyberattaques, il est logique que les établissements hospitaliers et médico-sociaux soient clairement identifiés. Il n'y a pas là de surtransposition.
S'agissant de l'Anssi, nous pouvons tous saluer le travail exceptionnel de ses équipes, qui sont très sollicitées. Le budget proposé pour l'Agence en 2027 est identique à celui de 2026, mais le premier ministre lui a demandé de recentrer ses activités. La nouvelle feuille de route de l'Anssi est plus claire et précise : certaines missions passeront avant d'autres.
M. Mickaël Bouloux, rapporteur pour le titre III. Plus d'un an s'est écoulé depuis l'examen de ce projet de loi en commission. Or le titre III transpose la directive Dora, qui donnait aux États membres jusqu'au 17 janvier 2025 – il y a six cent vingt-deux jours – pour l'appliquer. Il va sans dire qu'il devenait urgent d'inscrire le texte en séance.
Je nourris un regret, celui de ne toujours pas disposer du rapport de notre ancien collègue Florent Boudié sur l'article 16 bis. Cet article ne concerne certes pas ma partie, mais il est, disons-le, le véritable point d'achoppement du texte et a justifié le report sine die de son examen en séance.
J'ai alerté à plusieurs reprises par courrier, au début de cette année, le ministre chargé des relations avec le Parlement sur l'urgence d'inscrire ce projet de loi à l'ordre du jour ; il m'a été répondu que le gouvernement attendait la remise de ce rapport. Il est donc assez curieux que nous examinions le texte dans une semaine sans connaître les tenants et les aboutissants de ce rapport. Vous nous avez dit que nous en aurions connaissance, mais nous ne savons ni quand ni si ce sera avant l'expiration du délai de dépôt des amendements.
J'ai entendu votre position : le gouvernement soutiendra la suppression de l'article 16 bis, en contrepartie de son engagement à ne pas réintroduire, d'ici la fin de la session parlementaire, un article 8 ter tel que nous l'avons connu dans la proposition de loi " narcotrafic ". Si j'étais taquin, je vous demanderais ce que vaut cet engagement, alors que, du fait des échéances électorales, ce gouvernement ne sera plus là en juin prochain.
Un point m'échappe, sur lequel je vous interroge explicitement puisque vous l'avez éludé : vous semblez dire que vous-même n'avez pas lu le rapport. Est-ce le cas ?
J'en viens au titre III, dont j'ai l'honneur d'être le rapporteur. Je me félicite des modifications que nous y avons apportées l'an dernier en commission spéciale. Le travail est bien avancé, et ce titre ne sera pas, je pense, le point d'achoppement du texte.
Deux points restent néanmoins à trancher ou à éclaircir, sur lesquels je souhaite recueillir votre avis.
Le premier concerne la double notification, que vous avez évoquée, des incidents et des menaces à l'Anssi et à l'autorité de supervision financière compétente. Les articles 43 A et 45 bis retiennent chacun ce principe, mais ne prévoient pas de la même manière le recours à un formulaire unique : il nous faut trouver une rédaction harmonisée. Quelle est la position du gouvernement ?
Le second concerne l'entrée en application du titre III, sur laquelle le retard pris dans l'examen du texte nous oblige à nous pencher. La question se pose surtout pour les sociétés de financement de petite taille, pour lesquelles nous avions retenu la date du 17 janvier 2027 – une échéance désormais très proche. Une date comme le 17 janvier 2028 vous semblerait-elle envisageable ?
Mme Anne Le Hénanff, ministre déléguée. L'article 16 bis est né en réaction à l'article 8 ter, quasiment la même nuit. J'étais dans l'hémicycle avec vous lors de l'examen de la proposition de loi " narcotrafic ", dont les députés ont supprimé l'article 8 ter qui avait été introduit par les sénateurs. Au même moment, pour aider les députés et empêcher définitivement le retour de cet article, un sénateur a inscrit l'article 16 bis dans le projet de loi « résilience ». Cet article interdit radicalement l'introduction de nouveaux outils permettant de lire en clair des messages chiffrés pour les besoins des services de sécurité intérieure. Par la suite, il a été étendu aux processus par un amendement que le président Latombe a défendu en commission spéciale ; il affecte donc aussi les outils dont dispose la justice, à droit constant, pour ses enquêtes.
L'article 16 bis aurait éventuellement du sens si l'article 8 ter existait ; or ce n'est plus le cas. C'est donc un cavalier, qui n'a rien à faire dans ce texte ; surtout, il a un effet délétère, puisqu'il dégrade les conditions d'enquête de la justice et des services de sécurité intérieure. Telle est, sur le fond, la principale raison de ma position, même si je ne suis pas spécialiste de ces questions : mon sujet, dans le projet de loi " résilience ", c'est la cybersécurité, non les techniques de renseignement. Laissons au moins la justice et les services de sécurité intérieure agir à droit constant.
S'agissant de la mission Boudié, je vous demande de me faire confiance : je ne peux pas vous dire autre chose. Lorsque le premier ministre et les services de Matignon m'assurent que vous aurez accès aux conclusions du rapport, dans le respect de la sécurité nationale, je n'ai aucune raison de le mettre en doute, et vous non plus. Je pense que le délai ne sera pas long, et je ferai tout pour que vous en disposiez, si possible, avant le début de l'examen du texte.
Le ministre de l'intérieur lui-même a accepté de venir débattre avec vous de l'article 16 bis en séance, ce qui montre combien cet article est anormal : sur un texte qui relève de ma compétence, c'est lui qui détient les éléments de réponse sur le fond. En l'état du droit, les services peuvent à peu près faire leur travail, même s'il en ira peut-être autrement un jour, après la fin du mandat du président de la République ; Laurent Nuñez est prêt à venir vous dire publiquement, au banc, qu'aucun nouvel article 8 ter ne sera proposé d'ici là. Je précise que l'examen du texte sera un peu morcelé : soyez attentifs au calendrier.
Pour ce qui est de l'articulation entre la directive NIS 2 et le règlement Dora, celui-ci impose des règles de cybersécurité aux secteurs bancaire et assurantiel, qui devront en outre accomplir deux démarches auprès de l'Anssi : s'enregistrer une fois auprès d'elle, comme toute entité relevant de NIS 2, et lui déclarer tout incident au moyen d'un formulaire commun, envoyé par deux canaux distincts à l'Anssi et à l'ACPR (Autorité de contrôle prudentiel et de résolution) ou à l'AMF (Autorité des marchés financiers). L'avantage est que l'Anssi assure une permanence vingt-quatre heures sur vingt-quatre, sept jours sur sept, contrairement aux autorités bancaires et financières ; or, en cas d'incident, les délais de déclaration imposent d'agir immédiatement. L'Anssi et la Banque de France ont d'ailleurs signé, le 3 juillet 2026, un accord qui renforce leur échange d'informations et leur coopération dans le cadre de NIS 2 et de Dora.
M. le président Philippe Latombe. Nous en venons aux interventions des orateurs des groupes.
M. Emeric Salmon (RN). Je souhaite vous interroger sur les conséquences concrètes de ce texte pour les entreprises et les collectivités territoriales, qui devront renforcer leur cybersécurité et qui sont demandeuses d'accompagnement pour ce faire. Elles ont conscience de leur vulnérabilité et, surtout, des conséquences que peut avoir une cyberattaque : interruption des activités ou des services publics, perte de données, remise en état des systèmes informatiques pendant plusieurs jours, voire plusieurs semaines. Renforcer leur cybersécurité est donc une nécessité et, bien souvent, un investissement qui permet d'éviter des conséquences potentiellement beaucoup plus coûteuses.
Toute la question est de savoir comment accompagner cet investissement. L'article 14 prévoit que les organismes concernés mettent en œuvre à leurs frais les mesures nécessaires pour atteindre un niveau de sécurité adapté aux risques : sécurisation des réseaux, détection et gestion des attaques, continuité et reprise d'activité, formation des personnels et des dirigeants. Une grande entreprise ou une métropole dotée de services informatiques importants pourra facilement intégrer ces obligations. Mais qu'en sera-t-il d'une très petite, petite ou moyenne entreprise (TPE-PME), d'un petit établissement médico-social ou d'une communauté de communes rurale, dont les moyens humains et financiers sont beaucoup plus limités ?
Par exemple, la communauté de communes où je réside, celle du Pays de Lure, forte de 19 200 habitants, sera concernée, parce qu'elle a choisi d'exercer la compétence eau et assainissement. Il en ira de même de la plus petite communauté de communes de mon département, celle des Monts de Gy, qui compte 6 300 habitants et exerce elle aussi cette compétence.
La question se pose d'autant plus que le texte accroît le nombre de structures concernées. Nos travaux préparatoires soulignent d'ailleurs explicitement le coût et la charge administrative que ces nouvelles obligations pourraient représenter pour les plus petites d'entre elles. Il faut également être attentif aux effets de seuil : le franchissement d'un seuil de population, d'effectifs ou de chiffre d'affaires ne doit pas entraîner brutalement des dizaines de milliers d'euros d'investissements supplémentaires. Le texte prévoit un principe de proportionnalité, ainsi qu'un fonds destiné à accompagner certaines collectivités dans leur mise en conformité.
Avez-vous déjà reçu des remontées de la part des entreprises et des collectivités sur le coût prévisible de ces obligations ? Surtout, comment comptez-vous accompagner financièrement et techniquement les structures les plus modestes, et éviter les effets de seuil, afin que le renforcement nécessaire de notre cybersécurité ne se transforme pas en une nouvelle contrainte financière qu'elles seraient incapables d'assumer ?
Mme Anne Le Hénanff, ministre déléguée. La montée en cybersécurité, comme toute mise en conformité réglementaire, est évidemment un investissement. Je le dis toutefois en préambule, pour l'avoir vécu moi-même à la ville de Vannes : une cyberattaque coûte dix, voire cinquante fois plus cher que la protection. Il ne faut jamais l'oublier.
Vous avez raison : cela suppose la mobilisation des entités concernées, parmi lesquelles des PME classées comme entités importantes. Elles doivent faire cet effort, dans l'intérêt de la cyber-résilience de la nation, mais elles ne seront pas seules.
D'abord, toutes les régions – sauf une – disposent d'un CSIRT (centre de réponse aux incidents de sécurité informatique), qui accompagne les entités et les prépare aux exigences de NIS 2. Ensuite, les campus cyber sont en contact avec les CCI (chambres de commerce et d'industrie), les chambres de métiers et de l'artisanat, les antennes de la CPME (Confédération des petites et moyennes entreprises) et du Medef de leur département, afin de sensibiliser les entreprises et de les mettre sur les rails. Il existe aussi, dans toutes les régions, un écosystème privé de cybersécurité, à proximité des collectivités et des entreprises, notamment des PME. Enfin, l'Anssi élabore avec cet écosystème un label de confiance, une certification qui permettra aux entités d'attester leur conformité.
C'est vrai, cet effort représente une charge pour les entités qui ne l'ont pas encore engagé. Mais la plupart des entreprises concernées par Dora sont déjà en conformité, de même que la plupart de celles concernées par REC ; elles seront donc prêtes plus vite. Depuis l'examen du texte en commission spéciale, il y a un an, le message de Vincent Strubel, directeur général de l'Anssi, consiste à inviter les PME à ne pas attendre la transposition pour se mettre en conformité. C'est d'ailleurs à cela que sert le fameux Recyf dont je vous ai parlé tout à l'heure : il recense toutes les actions à mener. J'espère que les entités ont amorcé la démarche par nécessité, ne serait-ce que pour se protéger ; elles n'auront bientôt plus le choix, puisque ce sera la loi. C'est un travail lourd, je le comprends, mais nécessaire, comme pour n'importe quel règlement.
Pour répondre à votre question, aucun accompagnement financier n'est prévu à ce jour : c'est la responsabilité de chaque entité. Nous restons toutefois prêts à aider, par l'intermédiaire des organismes que j'ai cités, les entités qui rencontreraient des difficultés. En revanche, celles qui, après la promulgation de la loi et la publication des décrets, n'auront pas entamé les démarches s'exposeront, en cas de contrôle, à des mesures pouvant aller jusqu'à des sanctions financières.
M. Arnaud Saint-Martin (LFI-NFP). Ce texte pose un problème avant même que l'on en examine le contenu, comme l'a souligné le président dans son propos liminaire : pourquoi seulement maintenant ? La menace cyber n'est pourtant pas nouvelle ; elle frappe nos services publics et les entreprises depuis des années, et elle s'aggrave. En 2025, 3 586 événements de sécurité ont été portés à la connaissance de l'Anssi, dont 1 366 incidents confirmés, contre 1 112 en 2023 et 831 en 2022.
Le collapse de la DGFIP, l'été dernier, est un précédent malheureux et inquiétant. Ça fuit de partout ! Pas plus tard qu'hier, nous apprenions que le laboratoire d'innovation de l'Anssi, qui développe des outils utiles aux politiques publiques de cybersécurité, avait lui aussi subi une compromission fâcheuse. C'est tout de même un comble !
La directive NIS 2, qui répond à une menace connue de longue date et contre laquelle nous n'avons cessé de mettre en garde, devait être transposée avant octobre 2024. Nous constatons donc un défaut d'anticipation, de préparation et de planification de la réponse.
La question des moyens retient particulièrement notre attention, puisque vous élargissez considérablement les obligations de cybersécurité : jusqu'à 15 000 entités seront concernées, dont de nombreuses collectivités territoriales qui voient, dans le même temps, leurs dotations coupées à ras. Or, derrière chaque nouvelle obligation, il y a des moyens humains, des équipements, des formations, des dépenses. Pour renforcer la sécurité sans faire peser la facture sur les collectivités territoriales ni sur les services publics, qui représentent à eux seuls 76% des incidents, il est grand temps de rompre avec les logiques de coupes budgétaires en déployant des moyens substantiels, à la mesure des menaces. Au bout du compte, les défaillances coûtent en effet très cher, sans parler des ruptures de service qui mettent les activités à l'arrêt.
Enfin et surtout, comment comptez-vous garantir que ces nouvelles obligations seront bel et bien mises en œuvre et dûment contrôlées ? Il ne faudrait pas que nous votions une loi « théorique », que, faute de moyens, les acteurs et opérateurs exposés soient laissés seuls face à la menace, et que l'État, déjà sous tension, soit incapable de superviser l'application de ses propres exigences légales.
Madame la ministre, la menace est sérieuse et notre retard est constaté ; vous en êtes convenue. Il s'agit donc de joindre les actes à la parole, pour l'intégrité et la cyber-résilience de nos services publics et, de fait, de notre société, au vu de l'encastrement numérique des relations sociales et économiques.
Mme Anne Le Hénanff, ministre déléguée. Pourquoi maintenant ? J'y ai répondu ; je vous renvoie à mes propos précédents sur ces onze mois écoulés. Ce qu'il faut retenir, c'est que nous y sommes enfin et que l'examen du texte va reprendre son cours normal. J'espère, comme nous tous, que la transposition interviendra le plus rapidement possible.
S'agissant de l'incident qui a touché l'Anssi, vous aurez la chance d'entendre son directeur général juste après moi : je vous propose de lui poser la question.
Quant aux collectivités territoriales, rappelez-vous d'abord que, contrairement aux autres entités, notamment les entreprises, elles ne sont pas passibles de sanctions financières : nous l'avons inscrit dans le texte. Elles pourront éventuellement faire l'objet de contrôles. Sont concernées les collectivités de plus de 30 000 habitants : essentiellement les intercommunalités, ainsi que les villes de cette taille. Or une communauté de communes dispose normalement d'une DSI, donc de techniciens qui travaillent sur ces sujets. Le principe de l'intercommunalité, c'est la mutualisation : nous avons mutualisé le DPO (délégué à la protection des données) prévu par le RGPD (règlement général sur la protection des données), et je plaide depuis dix ans pour que l'on mutualise également le RSSI.
Pour moi, l'intercommunalité est l'échelon le plus efficace pour la cybersécurité des collectivités territoriales : elle dispose de davantage de moyens, d'une vision globale du territoire – et donc de sa cyber-résilience –, et surtout de techniciens capables d'assister et d'accompagner les communes, même les plus petites. Intercommunalités de France, avec qui j'en discute, en est bien consciente.
Par ailleurs, aucun accompagnement financier destiné à faire monter les communes en cybercompétences n'est prévu pour l'heure dans le budget.
M. Sébastien Saint-Pasteur (SOC). Une cyberattaque peut commencer par une clé USB envoyée dans un ours en peluche, entrer dans un laboratoire de la Nasa par un ordinateur connecté sans autorisation ou mobiliser les distributeurs de boissons d'une université pour perturber son réseau. Ces exemples, bien réels, nous rappellent que la cybersécurité doit partir des réalités de terrain, des équipements et des usages ; c'est un point de vigilance important pour notre groupe.
Ce texte est attendu, comme l'est le rapport récemment remis par notre ancien collègue Florent Boudié ; nous vivons une sorte de supplice de Tantale. Nous attendons donc avec grande impatience la communication de ces éléments et nous jugerons à l'épreuve du réel, en espérant ne pas être les spectateurs d'une version 2.0 d'En attendant Godot.
Nous serons attentifs à la prise en compte globale des risques, à ce qui se passe dans les tuyaux mais aussi aux tuyaux eux-mêmes. Les incendies en Gironde l'ont illustré. Entre Le Porge et La Jenny, les secours ont dû recourir aux réseaux mobiles, notamment à WhatsApp, pour pallier les trous de couverture de leur réseau radio Antares (adaptation nationale des transmissions aux risques et aux secours). Leurs communications pouvaient donc dépendre d'une antenne, de son alimentation électrique et du câble qui la relie au réseau. Or, au Cap-Ferret, un câble sectionné lors de la création d'un pare-feu a mis vingt antennes mobiles hors service. La robustesse de ces infrastructures engage directement la capacité des secours à communiquer en pleine crise : c'est un point essentiel.
Nous serons également attentifs à l'accompagnement des acteurs concernés. Identifier les risques, former les équipes et préparer la continuité de l'activité exigent des compétences, du temps et des moyens. Les collectivités, les associations et les entreprises, particulièrement les plus petites, doivent trouver un interlocuteur de proximité ainsi qu'un appui technique et financier adapté. Ce maillage territorial – vous avez parlé des campus cyber et des centres de réponse aux incidents – sera décisif pour faire de ce texte une protection effective, dont les résultats soient mesurables pour toutes les entités concernées.
Je vous interroge donc sur la prise en compte, dans le périmètre du texte, des infrastructures tant logiques que physiques, sur les moyens – vous y avez répondu, mais votre réponse est, de mon point de vue, un peu décevante – et sur l'accompagnement au plus près du terrain par les interlocuteurs de proximité.
Mme Anne Le Hénanff, ministre déléguée. Ce qui s'est passé dans votre département cet été – non pas une cyberattaque, mais des incendies géants qui ont mis en péril des infrastructures – nous fait prendre conscience que la résilience passe aussi par la protection physique.
Le titre Ier, c'est-à-dire la partie consacrée à la directive REC, concerne exclusivement les OIV (opérateurs d'importance vitale), pour lesquels la résilience repose d'abord sur la sécurité des sites ; les obligations de NIS 2 s'y ajoutent pour la protection cyber. Le titre Ier répond toutefois lui aussi à votre préoccupation concernant la protection des infrastructures ; car la partie REC comporte des obligations de protection périmétrique.
S'agissant des télécommunications, j'ai réuni les opérateurs après les incendies pour savoir comment les choses s'étaient passées : ils m'ont indiqué que leurs infrastructures, téléphoniques, de fibre ou autres, n'avaient pas subi trop de dégâts. Une mission est par ailleurs en cours sur la résilience de leurs réseaux, notamment sur le sujet très important du réseau radio du futur, qui devra pouvoir fonctionner lors d'événements climatiques extrêmes ou de grands incendies comme ceux que vous avez connus en Gironde. Il s'agit de protéger des réseaux indispensables à la sécurité publique.
Mme Virginie Duby-Muller (DR). Cet été, l'éducation nationale, la DGFIP, le ministère du logement et plusieurs services départementaux d'incendie et de secours (Sdis) ont été victimes de cyberattaques. Les données de millions de Français ont été dérobées. Dans le même temps, le 9 juillet, la Commission européenne saisissait la Cour de justice de l'Union européenne contre la France en raison de notre retard de près de deux ans dans la transposition de la directive NIS 2. Elle réclame une somme forfaitaire et des astreintes. Alors que nos finances publiques sont sous forte tension et qu'un effort est demandé à tous les Français, quel est le montant des sanctions réclamées par la Commission et combien la France risque-t-elle de payer pour chaque jour de retard supplémentaire ?
Le texte que nous nous apprêtons à adopter en séance repose sur une conviction juste : la résilience face aux cyberattaques ne se joue pas seulement dans les systèmes d'information, mais aussi dans les équipements et matériels. Le rapporteur comme la ministre déléguée de l'époque avaient précisé au Sénat que les plans particuliers de résilience visaient " l'ensemble des mesures prises ou envisagées par l'opérateur, lesquelles concernent aussi les équipements et les matériels ". Encore faut-il en tirer les conséquences. Pour le référentiel d'exigence technique et opérationnelle, dont l'Anssi a établi une excellente version de travail en mars dernier, le projet de loi prévoit la concertation avec les ministères, les associations d'élus et les représentants des entités, c'est-à-dire les utilisateurs et les équipements. Leur place est légitime, mais ne saurait être exclusive. Il manque ceux qui conçoivent et fabriquent les équipements. Les utilisateurs disent ce dont ils ont besoin, les industriels savent ce qui est réalisable, à quel coût et dans quel délai. Sans eux, nous risquons un référentiel hors sol, difficile à appliquer, ce qui accroîtrait notre dépendance à l'égard de fournisseurs étrangers, alors que la souveraineté technologique est au cœur de nos préoccupations. Les ministères techniques – industrie, intérieur, énergie – y ont aussi certainement leur place.
Où en est-on dans la préparation des décrets et du référentiel ? Pouvez-vous vous engager à associer à la concertation, pour les décrets comme pour le référentiel, les industriels, concepteurs et fabricants d'équipements qui le souhaitent ?
Mme Anne Le Hénanff, ministre déléguée. Nous ne connaissons pas le montant de l'amende qui nous serait infligée pour notre retard. Notre priorité désormais, c'est de montrer que nous agissons et que nous allons transposer les trois textes européens le plus rapidement possible. Nous souhaitons évidemment éviter cette amende.
S'agissant des décrets, je le dis sans cynisme aucun, le délai de onze mois a donné le temps aux administrations concernées par les trois textes – direction générale du Trésor, SGDSN et Anssi – de les anticiper, si bien qu'ils sont quasiment prêts, ce qui nous permettra de les publier dès que la loi sera promulguée.
Enfin, le référentiel relatif à la mise en conformité existe déjà et fixe vingt objectifs. Recyf n'est pas en cours d'élaboration ; il est déjà disponible en ligne dans son intégralité parmi les ressources du site de l'Anssi. Comme à vous, il me paraît indispensable d'y associer l'écosystème. Il est ainsi prévu de l'impliquer dans le cadre de la stratégie nationale cyber et il sera partie prenante des discussions sur les décrets.
M. le président Philippe Latombe. Je vais vous poser trois questions au nom de mon groupe, Les Démocrates, afin d'estimer notamment la pertinence de déposer tel ou tel amendement.
En ce qui concerne le règlement Dora, vous avez évoqué la possibilité d'un formulaire qui serait commun à l'Anssi, à l'ACPR et à l'AMF. Qu'en est-il de la Cnil (Commission nationale de l'informatique et des libertés) ? Certaines failles peuvent en effet imposer une déclaration auprès de cette instance. Serait-il également possible de généraliser ce formulaire à NIS 2, afin d'éviter de multiplier les déclarations ?
Une question qui fâche : qu'en est-il des sanctions pour le secteur public ? Dans son avis sur ce projet de loi, le Conseil d'État a relevé une inégalité de droit entre les secteurs privé et public. Si les entreprises et les citoyens doivent être responsables, qu'en est-il des fonctionnaires et des collectivités, lorsque des failles provoquent des fuites de données aussi importantes que celles que nous avons connues ? Cet été, la Cour des comptes a sanctionné quatre hauts fonctionnaires, à titre personnel, pour des manquements avérés dans la constitution d'un système d'information. Nos concitoyens demandent de trouver des responsables. Au-delà des collectivités, des sanctions sont-elles prévues pour l'État central et ses opérateurs ?
Beaucoup d'entreprises, notamment des petites entreprises considérées comme des entités importantes aux termes de NIS 2, souhaiteraient que nous réfléchissions à un référentiel équivalent au référentiel belge, qui établit une présomption de conformité dès lors qu'il existe une certification ISO 27 001. Pourquoi écarter cette réflexion, en imposant Recyf à toutes les entreprises, quelle que soit leur taille ? Recyf est certainement aisément applicable par des entreprises de très grande taille, mais une petite entreprise sous-traitante de rang 2 n'a peut-être pas besoin d'y être systématiquement conforme.
Mme Anne Le Hénanff, ministre déléguée. La perte de contrôle sur des données est la conséquence directe la plus fréquente d'une cyberattaque. Lors de la déclaration obligatoire d'un incident à l'Anssi, il doit être fait mention d'un éventuel impact sur les données à caractère personnel, ce qui générerait automatiquement, le cas échéant, l'envoi d'un formulaire à la Cnil. Dans un souci d'harmonisation entre les trois textes, il n'a pas été prévu de déclaration commune. L'objectif est de simplifier les déclarations, en évitant leur multiplication. La génération automatique d'un formulaire à la Cnil permettra d'alléger le processus administratif. Le directeur général de l'Anssi pourra revenir sur ce point au cours de son audition.
En ce qui concerne le secteur public, ce sera aux parlementaires de décider s'il faut sanctionner financièrement les collectivités territoriales. Les cyberattaques visant des ministères prouvent que la chaîne des responsabilités n'est pas claire. Parmi les quarante actions prévues, l'une consiste précisément à définir cette chaîne. Constitutionnellement, on ne peut pas limoger un directeur d'administration à la suite d'une cyberattaque, dans la mesure où il est nommé par le président de la République. Il est donc compliqué de réagir face à des défaillances humaines, à un non-respect des règles d'hygiène de base par les fonctionnaires dans leur usage des outils professionnels. Nous souhaitons toutefois aller vers une meilleure responsabilisation des agents qui seraient à l'origine d'une cyberattaque, par exemple par la compromission d'un identifiant ou d'un mot de passe. Quant à sanctionner financièrement l'État, l'État ne peut se sanctionner lui-même. La réponse adaptée consiste donc à identifier, à responsabiliser et à sanctionner sous d'autres formes les agents défaillants ou les services qui n'auraient pas fait respecter les règles d'hygiène informatique.
La norme ISO 27 001, à laquelle vous êtes très attaché, monsieur le président, est utile mais insuffisante, et surtout non conforme aux exigences de la directive NIS 2. La Belgique, qui fait partie des premiers pays à l'avoir transposée, a certes introduit l'ISO 27 001, mais en y ajoutant d'autres critères qui, mis bout à bout, correspondent aux exigences de NIS 2. On ne saurait appliquer NIS 2 à géométrie variable. De surcroît, la norme ISO 27 001 omet un volet essentiel de ce projet de loi et de NIS 2 : la gestion de crise. Or le principe de la résilience repose précisément sur la capacité de remédiation et le pilotage pour rétablir au plus vite une situation normale.
Mme Marie-Agnès Poussier-Winsback (HOR). Il est rare qu'en commission spéciale nous partagions tous le même constat : une politique solide de protection des données n'est désormais plus une option, mais une urgence. Les cyberattaques contre nos services publics se multiplient et menacent la confiance des Français dans leur administration. Au-delà de l'atteinte à notre souveraineté, ces attaques, comme celle qui a visé la DGFIP cet été, mettent nos concitoyens en danger, les données dérobées facilitant les usurpations d'identité, le hameçonnage et diverses fraudes.
Alors que la France accuse deux ans de retard dans la transposition de la directive NIS 2, au point que la Commission européenne a saisi la Cour de justice cet été, le groupe Horizons & indépendants salue la décision du gouvernement d'inscrire enfin ce texte en priorité à notre ordre du jour. Cette urgence impose une méthode que nous partageons : ne pas surtransposer. Chaque exigence ajoutée au-delà du droit européen retarderait l'adoption du texte et alourdirait une mise en œuvre qui sollicitera fortement l'État, les collectivités, les entreprises, les établissements publics et l'Anssi, dont le périmètre d'entités régulées va passer de quelques centaines à plus de 15 000.
Le gouvernement entend-il maintenir, tout au long de l'examen du texte, une ligne claire de non-surtransposition, y compris face aux amendements qui alourdiraient les obligations ? Par ailleurs, selon quel calendrier rapide mais réaliste envisagez-vous la mise en œuvre du texte, en particulier de son titre II ? Dans quels délais précis les décrets et le référentiel d'exigences seront-ils publiés, et de combien de temps disposeront les entités pour se mettre en conformité ?
Mme Anne Le Hénanff, ministre déléguée. S'agissant de la non-surtransposition, une directive offre peu de marges de manœuvre et nous devons nous en tenir à l'épure, quitte à ce que les parlementaires se saisissent de certains sujets dans d'autres textes ou des missions.
Pour ce qui est du calendrier, notre objectif est d'accélérer la mise en œuvre du projet de loi, particulièrement pour NIS 2, qui concerne 15 000 entités. L'Anssi adoptera une approche progressive des contrôles, en commençant par les structures les plus critiques, telles que les entités essentielles et les OIV, afin d'accorder aux acteurs le temps nécessaire pour se mettre en conformité. Les PME seront accompagnées, notamment grâce à des relais territoriaux et au dispositif cybermalveillance.gouv.fr.
Initialement, le texte issu de la commission spéciale prévoyait un délai de trois ans pour une mise en œuvre globale de NIS 2. En tenant compte de l'année écoulée sans promulgation, nous visons désormais une mise en conformité à l'horizon de la fin de l'année 2028, ce qui laisse un délai effectif d'un an et demi à deux ans aux entités concernées. Par ailleurs, dès la promulgation de la loi, l'Anssi présentera sa stratégie de contrôle dans un esprit constructif, afin d'éviter toute inquiétude excessive des acteurs.
En ce qui concerne les décrets d'application, ceux du titre Ier relatifs à la directive REC seront publiés dans les trois mois suivant la promulgation. Ceux du titre II nécessiteront sept à neuf mois, en raison des consultations préalables indispensables de l'écosystème, de la Cnil et de la Commission européenne. S'agissant du règlement Dora, la direction générale du Trésor m'a confirmé que les décrets étaient prêts et qu'ils seraient publiés dès la promulgation du texte.
M. le président Philippe Latombe. Nos rapporteurs ont deux dernières questions.
M. Éric Bothorel, rapporteur général. Il ne saurait y avoir d'audition sur la cybersécurité sans que soit évoqué le filtre anti-arnaque. Si la lutte contre les infostealers, les logiciels voleurs d'informations, est essentielle, le hameçonnage demeure une menace majeure à laquelle ce filtre doit apporter une réponse efficace. Ce projet au long cours est désormais suivi par l'Office anti-cybercriminalité (Ofac). Pouvez-vous nous indiquer le calendrier envisagé et obtenir de votre collègue du ministère de l'intérieur des précisions sur les modalités d'application de ce dispositif voté par le Parlement il y a bien des mois ?
M. Vincent Thiébaut, rapporteur. La commission spéciale a fait le choix de supprimer les sanctions financières à l'encontre des collectivités territoriales. Néanmoins, ces dernières constituent souvent un maillon faible en matière de cybersécurité. Comment les inscrire dans une trajectoire de mise en conformité sans que la suppression des sanctions renvoie un signal désincitatif ou crée un décalage injustifié entre les secteurs public et privé ? Ne pourrait-on envisager une feuille de route claire assortie de sanctions graduelles ?
Mme Anne Le Hénanff, ministre déléguée. L'Ofac est effectivement chargé de la mise en œuvre opérationnelle du filtre anti-arnaque. Toutefois, l'avis circonstancié émis par la Commission européenne sur le projet de décret impose une réécriture du texte, qu'il faudra de nouveau lui soumettre. À ce délai s'ajoute la nécessité de renforcer les moyens humains de l'Ofac pour assurer le déploiement du dispositif. J'ai bon espoir que nous finissions par avoir notre filtre anti-arnaque.
S'agissant des collectivités territoriales, la commission spéciale avait estimé opportun d'écarter les sanctions financières, considérant que ces entités, déjà soumises à de lourdes contraintes réglementaires, sont très respectueuses des lois et qu'une telle sanction ne serait pas déterminante. En revanche, pour un élu local, le risque réputationnel découlant d'un défaut de protection des données de leurs concitoyens, de la ville, de l'intercommunalité, du département, ou de la région, s'avère bien plus dissuasif. De plus, le texte prévoit une approche graduelle reposant sur des contrôles et des mesures d'exécution proportionnées. C'est à vous qu'il reviendra de débattre dans l'hémicycle de l'opportunité d'introduire des sanctions financières graduelles.
M. le président Philippe Latombe. Pour appuyer les propos du rapporteur général, les fuites de données issues des services publics alimentent directement des tentatives de hameçonnage, qui érodent la confiance de nos concitoyens. La mise en place du filtre anti-arnaque répond à une préoccupation quotidienne exprimée dans nos circonscriptions. Il est indispensable d'accélérer le travail de réécriture du décret.
source https://www.assemblee-nationale.fr, le 8 octobre 2026
