Alors que la date limite fixée par l’Union européenne est dépassée depuis plus de deux ans, l’Assemblée nationale a entamé le 9 novembre 2026 l’examen en séance de la loi résilience NIS2, le projet qui transpose notamment la directive européenne NIS2 sur la cybersécurité. Les débats sont programmés jusqu’au 13 novembre et portent sur un texte qui concernerait environ 15 000 organisations en France.
Le parcours de ce projet de loi résume à lui seul les difficultés du chantier. Examiné par le Sénat en mars 2025, puis par une commission spéciale de l’Assemblée en septembre 2025, il était attendu lors de la session extraordinaire de juillet 2026, avant d’être repoussé à octobre. Le 6 octobre 2026, la conférence des présidents l’avait finalement retiré de l’ordre du jour des 7 et 9 octobre, sans fixer de nouvelle date.
Ce que contient la loi résilience NIS2
La loi résilience NIS2 regroupe la transposition de trois textes européens adoptés en 2022. La directive REC renforce la résilience des entités critiques (énergie, eau, transports), la directive NIS2 élargit les obligations de cybersécurité, et un troisième volet accompagne le règlement DORA, consacré à la résistance numérique du secteur financier.
Le volet cybersécurité est celui qui touche le plus d’organisations. Le nombre de secteurs régulés passe de 6 à 18, avec l’entrée de la santé, de l’industrie manufacturière, de la chimie, de la recherche, des services postaux ou encore des infrastructures numériques. Le texte distingue deux catégories : les entités essentielles, soumises à un contrôle étendu, et les entités importantes, contrôlées surtout lorsqu’un manquement est soupçonné.
Concrètement, la loi résilience NIS2 imposera une gestion formalisée des risques, la sécurisation de la chaîne de fournisseurs, des plans de continuité d’activité et une déclaration rapide des incidents : une première alerte dans les 24h suivant la découverte d’un incident important, puis une notification détaillée sous 72h.
La France devait transposer NIS2 avant le 17 octobre 2024. Faute de l’avoir fait, elle a reçu une mise en demeure de la Commission européenne en novembre 2024, un avis motivé en mai 2025, puis a été renvoyée devant la Cour de justice de l’Union européenne.
Le chiffrement, point de friction avec le gouvernement
Le principal désaccord ne porte pas sur les obligations des entreprises, mais sur un article ajouté par les sénateurs. L’article 16 bis interdit d’imposer aux fournisseurs de services de chiffrement des dispositifs qui affaibliraient volontairement la sécurité des communications, comme une clé de déchiffrement maîtresse ou un accès aux données sans le consentement de l’utilisateur. Le chiffrement de bout en bout, utilisé par des messageries comme WhatsApp ou Signal, rend les messages lisibles uniquement par l’expéditeur et le destinataire.
Le gouvernement a déposé un amendement, le numéro 358, pour supprimer cet article, au motif qu’il entraverait certaines techniques d’enquête et de renseignement. Ce choix s’inscrit dans un débat récurrent sur les portes dérobées, ces accès cachés que les autorités souhaiteraient obtenir pour lire des échanges chiffrés. Le président de la commission spéciale, le député Philippe Latombe, a indiqué qu’un compromis restait envisageable si l’exécutif renonçait à toute atteinte au chiffrement de bout en bout.
Un contexte de cyberattaques en série
L’examen intervient après une série d’attaques d’ampleur contre des organisations françaises, dont France Travail, des administrations et des établissements scolaires. La plus récente, la cyberattaque contre les réfrigérateurs de quelque 700 supermarchés, fait désormais l’objet d’une information judiciaire visant un groupe lié aux Gardiens de la révolution iraniens. D’autres incidents, comme le piratage des chambres froides de l’Établissement français du sang, ont touché des structures directement concernées par les futures obligations.
Tant que le texte français n’est pas promulgué, les obligations de NIS2 ne s’appliquent pas en droit national, ce qui laisse les organisations concernées dans l’attente pour arbitrer leurs budgets de sécurité.
Quelles étapes après le vote ?
Les amendements adoptés en séance peuvent encore modifier le texte de la commission spéciale. Une fois votée par les députés, la loi résilience NIS2 devra probablement passer par une commission mixte paritaire, réunissant sept députés et sept sénateurs, pour aboutir à une version commune avant sa promulgation et la publication des décrets d’application. Les débats sur l’article 16 bis et le chiffrement doivent se tenir dans l’hémicycle d’ici au vendredi 13 novembre 2026.
