NIS 2 arrive à l’Assemblée : 15 000 opérateurs, le chiffrement attend demain

L’Assemblée nationale a ouvert le 9 novembre 2026 l’examen du projet de loi sur la résilience des infrastructures critiques et le renforcement de la cybersécurité, qui doit transposer la directive européenne NIS 2 plus de deux ans après l’échéance du 17 octobre 2024.

De 500 à plus de 15 000 opérateurs

Le texte, n° 1779, transpose aussi la directive sur la résilience des entités critiques et s’articule avec le règlement DORA, déjà applicable, qui prévoit pour la finance une notification d’incident sous 24 heures. Le compte rendu de la première séance du 9 novembre était encore marqué, en milieu de page, comme partiellement « en cours de finalisation ».

Anne Le Hénanff, ministre déléguée chargée de l’intelligence artificielle et du numérique, a replacé l’examen dans « une menace cyber plus intense que jamais » et a cité les attaques contre les installations frigorifiques. Elle a rappelé la stratégie nationale de cybersécurité 2026-2030, présentée en janvier, et l’annonce du premier ministre, le 30 avril, d’une feuille de route de quarante actions. Les ministères devront consacrer 5 % de leurs budgets numériques à la cybersécurité dès 2027, et 10 % en 2030.

Vincent Thiébaut, rapporteur du titre II, a chiffré le saut de périmètre. Le droit actuel, a-t-il dit, n’encadre la cybersécurité que de 500 opérateurs. Le titre II l’étendrait à plus de 15 000 opérateurs et à leurs sous-traitants, soit un périmètre de l’ANSSI multiplié par trente. Les régions, les départements, les communes de plus de 30 000 habitants, les communautés d’agglomération et les métropoles entreraient dans le champ, selon leur taille et leur secteur. Les directions devraient approuver les mesures de gestion des risques et notifier à l’ANSSI les incidents importants.

Les amendes pourraient atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, et 7 millions d’euros ou 1,4 % pour les entités importantes. Les collectivités n’en encourraient pas : le rapporteur explique que la puissance publique ne peut pas s’infliger à elle-même une sanction pécuniaire. Philippe Latombe, président de la commission spéciale, y voit au contraire un angle mort. Il a rappelé que le Conseil d’État préconise d’aligner les sanctions du public et du privé, et que ni les particuliers ni les entreprises ne comprennent l’absence de responsable désigné après des incidents dans des services de l’État.

L’article 16 bis n’est pas encore retiré

L’article 16 bis, introduit au Sénat, dispose qu’on ne peut pas imposer aux fournisseurs de services de chiffrement, y compris aux prestataires de confiance qualifiés, une clé de déchiffrement maîtresse ou un autre mécanisme d’accès non consenti. L’amendement n° 358 demande sa suppression, au motif qu’il entraverait les services judiciaires et de renseignement.

Vincent Thiébaut a dit en séance qu’il soutiendra cette suppression : l’article n’a pas de lien avec le texte et son adoption entraverait des techniques d’enquête et de renseignement autorisées sous le contrôle d’un magistrat. Éric Bothorel, rapporteur général, l’a traité de cavalier législatif, dont l’adoption menacerait les capacités d’enquête. Philippe Latombe a prévenu que le texte « ne se résume pas à l’article 16 bis ». Il a ajouté que le gouvernement s’exprimerait le 10 novembre à 16 h 30 et que, s’il renonce à porter atteinte au chiffrement de bout en bout, la suppression pourrait alors être annoncée.

Des articles de presse, dont 01net en citant Le Monde, écrivent déjà qu’Anne Le Hénanff a promis de soutenir la suppression et de ne pas réintroduire de portes dérobées jusqu’à la fin de la session parlementaire. Cette phrase ne figure pas dans le compte rendu publié de la séance du 9 novembre. Le rendez-vous indiqué par le président de la commission reste le 10 novembre à 16 h 30. Rien n’est donc voté.

Pour éviter la surtransposition, Vincent Thiébaut proposera de retirer les éditeurs de logiciels de la liste des entités essentielles.

Les attaques contre les installations frigorifiques, citées à la tribune, sont déjà décrites à part. Vincent Thiébaut a aussi fait remarquer que l’hémicycle débattrait plusieurs jours tout en consultant WhatsApp et Telegram.

Sources

Compte rendu de la première séance du 9 novembre 2026, Assemblée nationale.

Amendement n° 358 au projet de loi n° 1779, Assemblée nationale.

01net, 9 novembre 2026 à 12 h 00, qui cite Le Monde pour les propos prêtés à Anne Le Hénanff.