Lors de l’examen du projet de loi Résilience à l’Assemblée nationale, les députés ont voté la suppression de l’article 16 bis, qui visait à empêcher l’État d’imposer aux fournisseurs de services de chiffrement des dispositifs affaiblissant volontairement leur sécurité. La suppression a recueilli 69 voix sur 107, soit environ 64,5 % des suffrages exprimés.

Un article reposant sur la notion de vie privée rejeté

37 députés ont voté contre en majorité à gauche, une députée du groupe gouvernemental Ensemble pour la République, Mme Danièle Carteron. Cependant un député s’est abstenu au sein du Parti Socialiste M. Mickaël Bouloux. Malgré ces votes et abstentions, une partie du PS, suivi d’une majorité du groupe gouvernemental et de la majorité de la droite et de l’extrême droite ont voté pour, soit 69 députés, le rejet de l’article 16 bis, comme relaté par nos confrères de Numerama sur le site de l’Assemblée nationale.

Concrètement qu’est-ce que cet article rejeté ? Toujours selon le média, cet article fut ajouté par le Sénat en mars 2025 visant à interdire l’État d’imposer aux fournisseurs de services de chiffrement, comme Signal, WhatsApp, Telegram, etc. des dispositifs affaiblissant volontairement leur sécurité, avec par exemple des portes dérobées (failles dans le système permettant d’y accéder après conception, volontairement ou non de la part des développeurs ndlr.) ou encore des clés de déchiffrement maîtresses.

Cet article fut glissé dans ce projet de loi, qui devrait transposer la directive européenne NIS 2 sur la cybersécurité.

Un article remplacé par une promesse

D’après le média français, qui rappelle qu’en 2025 la chambre haute du Parlement avait adopté dans la loi narcotrafic, un article 8 ter devait obliger les messageries chiffrées à donner aux enquêteurs l’accès des conversations des personnes visées.

Les éditeurs de messageries s’étaient vivement opposés, plusieurs députés avaient exprimé leurs réserves, à tel point que la chambre basse du Parlement avait fini par retirer la mesure. Contraignant donc les sénateurs à prendre le problème à l’envers et, à la suite de l’initiative du sénateur Olivier Cadic, président de la commission spéciale chargée du texte, inscrit dans ce projet de loi le fameux article 16 bis.

Le ministère de l’Intérieur ainsi que les services de renseignement s’y étaient opposés dès le départ, dans une audition spéciale de l’Assemblée en juillet 2025, Mahamadou Diarra, secrétaire général de la coordination nationale du renseignement et de la lutte contre le terrorisme, avait affirmé que « l’article 16 bis n’a pas sa place dans le projet de loi ».

Pourtant le gouvernement avait, par le biais de Sébastien Lecornu, confié à Florent Boudié en janvier 2026 une mission sur le chiffrement. Ce dernier a remis son rapport en septembre, en recommandant de renoncer aux portes dérobées, mais aussi de supprimer l’article 16 bis, à la suite de quoi l’État s’est finalement rangé, comme le détaille Le Monde.

La ministre déléguée au Numérique Anne Le Hénanff, en échange, s’est engagée à ne pas réintroduire de mesure comparable « d’ici la fin de la session parlementaire », alors que Laurent Nuñez a parlé d’un engagement valable jusqu’à « la fin de l’actuelle mandature ». Ces deux promesses n’ont aucune valeur juridique.

Un texte qui est loin de s’appliquer

Malgré cela le sort de cette loi n’est pas réglé pour autant. Les députés poursuivent encore cette semaine l’examen du texte, avant une potentielle commission mixte paritaire où ils devront accorder leur version avec celle du Sénat. Il faudra ensuite attendre les décrets d’application, sans lesquels les obligations de NIS 2 ne s’appliqueront pas dans le pays.

Ce retard pèse tout autant sur les secteurs jugés essentiels. La directive NIS 2 adoptée par l’Union européenne en 2022, impose aux secteurs comme l’énergie, la santé ou l’administration le renforcement de leur cybersécurité et de signaler les incidents graves aux autorités.

Cette mesure doit concerner dans l’Hexagone environ 15 000 entités, contre quelques centaines dans la première directive. Pour donner suite à un retard de transposition de la France devait intervenir le 17 octobre 2024, la Commission européenne a saisi la Cour de justice de l’UE pour ce manquement.