Chiffrement : l'État ne doit pas fragiliser ce qui le protège

En fragilisant le chiffrement au nom de la sécurité, l'État prendrait le risque d'affaiblir l'un de ses principaux boucliers contre la cybercriminalité et les atteintes à la souveraineté numérique.

Le chiffrement de bout en bout a ceci de particulier qu’il dérange précisément parce qu’il fonctionne. L’affaiblir reviendrait-il à scier la branche sur laquelle reposent nos administrations, nos entreprises et nos services de renseignement ? Au nom de la sécurité nationale, certains responsables publics veulent rouvrir un débat sur lequel les experts techniques, eux, ont déjà tranché.

Le 4 mai 2026, la Délégation parlementaire au renseignement (DPR) a remis une communication[1] très attendue sur les messageries chiffrées. Sa position : “un accès ciblé des services de renseignement et de la justice aux communications chiffrées est à la fois nécessaire et légitime”. Trois semaines plus tôt, la DPR s’inquiétait déjà des conséquences de l’article 16 bis du projet de loi Résilience[2], adopté en mars dernier par le Sénat, visant à empêcher la mise en place de portes dérobées aux fournisseurs de services chiffrés.

L’Etat est divisé. D’un côté, ses services de renseignements poussent pour un “accès légal” aux contenus chiffrés. De l’autre, le Sénat adopte le projet de loi Résilience, qui transpose la directive NIS 2 et dont l’article 16 bis sanctuarise le chiffrement.

Résultat : le texte, attendu depuis fin 2024, est désormais reporté à juillet 2026 sous réserve d’une session extraordinaire. Un retard qui expose la France à une procédure d’infraction européenne et nos infrastructures critiques à un cadre juridique incomplet.

Une porte dérobée reste une porte dérobée

Le débat public souffre d’un malentendu technique tenace. L’idée séduisante d’un “accès ciblé, encadré et réservé aux autorités” se heurte à une réalité cryptographique élémentaire : une faille volontairement introduite dans un système de chiffrement n’a pas de propriétaire exclusif. Quiconque la trouve, l’utilise. Et l’histoire récente montre que les acteurs malveillants la trouvent toujours : en octobre 2024, le Wall Street Journal[3] révèle l’opération Salt Typhoon. Un groupe affilié à l’État chinois s’est introduit dans les réseaux de grands télécoms américains. La porte d’entrée ? Les dispositifs d’interception légale imposés par la loi CALEA. Ces mêmes “accès légaux” conçus pour les enquêtes judiciaires et le renseignement intérieur. Pékin a ainsi pu accéder aux métadonnées de plus d’un million d’utilisateurs, à des écoutes de personnalités politiques de premier plan, et à la liste des cibles que les services américains surveillaient sur le sol chinois. L’ancien conseiller à la sécurité nationale Jamil Jaffer a parlé d’un “échec de premier ordre en matière de contre-espionnage”.

La leçon est simple, et elle vaut pour Paris comme pour Bruxelles. Créer une porte dérobée (ou backdoor) revient à inviter à la fois la justice française, les services chinois, et les groupes mafieux organisés à entrer. Les organisations criminelles dotées de moyens et d’une grande agilité migreront sans peine vers d’autres canaux (applications signal-like marginales, protocoles maison, terminaux dédiés). Ceux qui resteront exposés sont précisément ceux que ces dispositifs prétendent protéger : les entreprises stratégiques, les hôpitaux, les collectivités, les administrations, les journalistes, les avocats, et les lanceurs d’alerte.

Pour l’Europe, même ambivalence, mêmes risques

Le règlement CSAR (Chat Control), projet européen de surveillance des messageries, a connu un parcours chaotique avec l’annulation du vote du Conseil le 14 octobre 2025 après l’opposition ferme de l’Allemagne. Sa version 2.0, proposant un recul inédit pour la confidentialité des communications, vise désormais un accord pour juillet 2026 avec l'ambition d'imposer un scan volontaire en amont des messages chiffrés. Le chiffrement survit dans le texte, l’anonymat moins.

La France, jusqu’ici plutôt favorable à ce texte controversé, doit maintenant entendre les voix nombreuses qui s’inquiètent des conséquences de l’adoption de ce texte pour la cybersécurité. Un encadrement strict de l’application de ce règlement devra permettre de protéger les libertés publiques et la souveraineté numérique européenne.

Rappelons que le chiffrement de bout en bout reste à ce jour l’unique technologie permettant d’assurer la confidentialité des communications et de garantir deux des droits fondamentaux de l’Union européenne : le respect de la vie privée (article 7) et la protection des données à caractère personnel (article 8).

Avec le Chat Control, l’Europe se contredit elle-même dans la mesure où la directive NIS 2 recommande explicitement le chiffrement de bout en bout pour les communications sensibles des entités essentielles et critiques.

Le chiffrement n’est pas l’ennemi de l’État, il en est l’infrastructure

Dans un monde marqué par les guerres hybrides, les opérations d’influence, le cyber espionnage industriel et l’industrialisation des cyberattaques, le chiffrement de bout en bout n’est plus un luxe de défenseur des libertés. Il est un rempart de souveraineté. Le briser revient à transformer un remède en vulnérabilité.

En maintenant l’article 16 bis du projet de loi Résilience, la France accélérera la transposition de NIS 2 et assumera une politique de cybersécurité cohérente avec ses propres ambitions de souveraineté numérique.

[1] Communication de la délégation parlementaire au renseignement - Sénat

[2] Projet de loi, adopté par le Sénat, après engagement de la procédure accélérée, relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, n° 1112, déposé le jeudi 13 mars 2025.

[3] U.S. Officials Race to Understand Severity of China’s Salt Typhoon Hacks - lien