Les députés examinent enfin la loi de cybersécurité NIS2, qui viserait 15 000 organisations

Le texte attend depuis le 13 mars 2025, date de son dépôt à l'Assemblée nationale. Lundi 9 novembre, les députés ouvrent enfin en séance publique le débat sur le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, selon le dossier législatif de l'Assemblée. Les discussions sont prévues jusqu'au vendredi 13 novembre, sauf le 11, jour férié, précise le site Silicon.

Ce projet de loi transpose trois textes européens adoptés en 2022 : la directive NIS2 sur la cybersécurité, la directive sur la résilience des entités critiques et un volet lié à DORA, le règlement sur la résilience numérique du secteur financier. La France avait jusqu'au 17 octobre 2024 pour transposer NIS2 et la directive sur les entités critiques, et jusqu'au 17 janvier 2025 pour le volet lié à DORA. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union contre la France, faute de transposition de NIS2.

Un texte plusieurs fois déprogrammé

Adopté par le Sénat le 12 mars 2025, le projet devait être examiné lors de la session extraordinaire de juillet, puis le 7 octobre. La veille, le 6 octobre, la conférence des présidents de l'Assemblée l'a retiré de l'ordre du jour : l'examen d'un autre texte prenait plus de temps que prévu, comme Cyberiack l'avait raconté. Le rapporteur Éric Bothorel espérait alors une réinscription « d'ici quinze jours ou trois semaines », selon le Projet Arcadie. Le texte revient finalement un mois plus tard.

De 300 à 15 000 organisations concernées

L'enjeu est considérable pour les entreprises et les collectivités. Le volet NIS2 ferait passer le nombre d'organisations soumises à des obligations de cybersécurité d'environ 300 à 15 000, dans dix-huit secteurs, dont près de 1 500 collectivités, selon NosParlementaires. La santé, l'industrie manufacturière, la chimie, la recherche, les services postaux ou les infrastructures numériques entrent dans le champ, détaille Silicon. Pour les entités dites essentielles, les sanctions pourraient atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial.

L'autre volet modernise le dispositif de protection des activités d'importance vitale, créé en 2006. Il y ajoute notamment les réseaux de chaleur et de froid, l'hydrogène et l'assainissement.

Le chiffrement, point de friction

Les députés devront examiner 397 amendements, selon NosParlementaires. Les plus attendus portent sur l'article 16 bis, ajouté par le Sénat sur un amendement du sénateur Olivier Cadic et adopté par 181 voix contre 134. Il interdit d'imposer aux fournisseurs de services de chiffrement des dispositifs qui affaibliraient volontairement leur sécurité, comme des clés de déchiffrement maîtresses. Le 1er octobre, la ministre Anne Le Hénanff a annoncé que le gouvernement soutiendrait sa suppression. Il a déposé un amendement en ce sens au nom de la sécurité nationale, rapporte NosParlementaires. Dix amendements visent cet article.

Que faire en attendant ?

Le vote ne marquera pas la fin du parcours. Comme le gouvernement a engagé la procédure accélérée, une commission mixte paritaire, réunissant députés et sénateurs, pourra être convoquée pour trouver un texte commun. Il faudra ensuite attendre les décrets d'application. Les organisations susceptibles d'être concernées ont pourtant intérêt à s'y préparer dès maintenant :

• vérifier si leur secteur et leur taille les placent dans le champ de la directive ;
• désigner qui, en interne, rendra compte de la cybersécurité à la direction ;
• préparer la procédure de signalement des incidents à l'ANSSI, l'agence nationale de la sécurité des systèmes d'information.

Notre guide sur ce que change NIS2 détaille ces obligations. Une inconnue demeure : la date à laquelle elles s'appliqueront vraiment en France.

Mise à jour du 12 novembre 2026

Les députés ont tranché la question du chiffrement dès le deuxième jour des débats sur le projet de loi qui transpose la directive NIS2. Le mardi 10 novembre, ils ont supprimé l'article 16 bis, ajouté par le Sénat. Cet article interdisait d'imposer aux fournisseurs de messageries chiffrées des « portes dérobées », ces accès cachés qui permettent de lire les échanges. La suppression a été votée par 69 voix contre 37, selon LCP et Next.

Le gouvernement soutenait cette suppression. La ministre déléguée au Numérique, Anne Le Hénanff, s'est engagée à ne pas réintroduire de disposition affaiblissant le chiffrement des messageries d'ici la fin de la session parlementaire. Le ministre de l'Intérieur, Laurent Nuñez, a repris cet engagement et jugé l'article « écrit de manière trop large ». Pour le rapporteur Éric Bothorel (Ensemble pour la République), cette disposition « mettrait demain en difficulté nos services enquêteurs ». La France insoumise et le groupe Écologiste et social ont voté contre. Le député LFI Arnaud Saint-Martin a dénoncé « un immense recul pour nos libertés numériques », rapporte Next. Philippe Latombe (Les Démocrates), président de la commission spéciale, a nuancé : « Ce n'est pas en rejetant l'article 16 bis que les portes dérobées seront autorisées pour autant. »

Selon LCP, le vote solennel sur l'ensemble du texte est prévu le mardi 17 novembre. Le gouvernement a engagé la procédure accélérée. Une commission mixte paritaire, composée de sept députés et de sept sénateurs, pourra donc ensuite être réunie pour accorder la version de l'Assemblée avec celle du Sénat, qui avait voté l'article 16 bis.