Gouvernance
NIS 2 : la loi Résilience entre enfin dans l’hémicycle, deux ans après l’échéance…
Par Laurent Delattre, publié le 09 novembre 2026
Déprogrammé en octobre, le projet de loi qui transpose NIS 2 en droit français arrive ce lundi devant les députés : une dernière ligne droite, sous la menace d’une condamnation européenne et sur fond de bataille du chiffrement.
« Mieux vaut tard que jamais », dit l’adage. Entrée en vigueur le 16 janvier 2023, la directive NIS 2 laissait aux États membres jusqu’au 17 octobre 2024 pour la transposer. Plus de deux ans après, le « projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité », plus communément appelé « loi Résilience », est enfin débattu en séance publique du 9 au 13 novembre.
Faux départs et menace de sanctions
Un projet qui a connu jusqu’ici un parcours chaotique. Présenté en Conseil des ministres le 15 octobre 2024, deux jours avant la date butoir et après une dissolution qui avait tout figé, il a été voté par le Sénat en mars 2025, puis à l’unanimité en commission spéciale à l’Assemblée en septembre 2025. Depuis, plus rien… La raison ? Un article 16 bis ajouté par les sénateurs, qui interdit d’obliger les fournisseurs de chiffrement à installer des « portes dérobées ». Une disposition qui déplaît aux services de renseignement. Philippe Latombe, député (Les Démocrates) et président de la commission spéciale, accusait la DGSI de vouloir « mettre un tuyau sur le pipeline ». Promis pour juillet, puis pour le 7 octobre, l’examen avait encore été déprogrammé la veille, faute de place à l’ordre du jour.
Et à Bruxelles, on s’impatiente. Après une mise en demeure en novembre 2024 et un avis motivé en mai 2025, la Commission européenne a saisi le 8 juillet la CJUE contre la France, mais aussi l’Espagne, l’Irlande et les Pays-Bas. Elle réclame une somme forfaitaire et des astreintes journalières jusqu’à transposition complète. En février, Philippe Latombe expliquait que le pays était « sous une épée de Damoclès ». La lame se rapproche : il y a urgence.
NIS 2 : quinze mille entités dans le viseur
Le texte transpose trois directives de 2022 : REC pour la résilience des entités critiques, NIS 2, et la directive qui accompagne DORA dans le secteur financier. Le volet NIS 2 fait passer le périmètre régulé de 6 à 18 secteurs et de quelques centaines d’opérateurs à près de 15 000 entités « essentielles » ou « importantes », régions, départements et communes de plus de 30 000 habitants compris. Les amendes pourront atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les premières, 7 millions ou 1,4 % pour les secondes, l’État et les collectivités y échappant toutefois. Vincent Strubel, directeur général de l’ANSSI, salue dans le texte une « réponse adaptée à l’état de la menace et à ses évolutions anticipées », dont les mesures auraient, selon lui, enrayé la plupart des récents vols de données en France.
Le chiffrement, ultime pomme de discorde
Reste l’article 16 bis, qui devrait cristalliser les débats. Le gouvernement en demande la suppression, comme le recommandait le rapport Boudié remis à Matignon. Anne Le Hénanff, ministre déléguée chargée de l’Intelligence artificielle et du Numérique, parle d’un « cavalier législatif qui n’a pas sa place dans le projet de loi », tout en promettant de ne pas revenir à la charge contre le chiffrement… d’ici la fin de la session. La délégation parlementaire au renseignement dénonçait en mai « un risque majeur pour la politique publique du renseignement ». En face, on rappelle qu’une porte dérobée peut aussi servir aux attaquants.
Plus étonnant, le projet de loi reste muet sur la cryptographie post-quantique, alors que la feuille de route européenne recommande d’engager la transition d’ici fin 2026 et de protéger les usages à haut risque au plus tard fin 2030. Certains y verront une belle opportunité perdue de faire bouger les choses en la matière.
Même voté cette semaine, le texte n’en aura pas fini : resteront une éventuelle commission mixte paritaire, puis les décrets sans lesquels NIS 2 ne s’appliquera pas. Vincent Strubel a d’ailleurs souligné combien ces atermoiements pesaient sur la préparation des entités, budgets compris. En tout cas, pour tous les DSI et RSSI qui attendent avec impatience une date pour débloquer leurs investissements, le compte à rebours reprend. Espérons que le décollage ne tardera plus…
Photo : Richard Ying et Tangui Morlier, CC BY-SA 3.0, via Wikimedia Commons
À LIRE AUSSI :
À LIRE AUSSI :
À LIRE AUSSI :
À LIRE AUSSI :
