NIS2 : l'Assemblée adopte enfin la transposition, et la réécrit contre l'avis du gouvernement

L'Assemblée a adopté la transposition de NIS2 avec deux ans de retard. Elle a supprimé l'article 16 bis et réécrit le texte contre l'avis du gouvernement. Vote solennel le 17 novembre.

Avec deux ans de retard sur l’échéance européenne, les députés ont achevé les 9 et 10 novembre l’examen du projet de loi "résilience", qui transpose les directives NIS2 et REC ainsi que le volet DORA. Le texte a été adopté article par article à une écrasante majorité. Mais dans un hémicycle souvent clairsemé, le gouvernement a perdu de nombreux arbitrages face à une coalition transpartisane emmenée par Philippe Latombe, président de la commission spéciale. Vote solennel le 17 novembre.

Un texte "tant attendu", resté quatorze mois dans un tiroir

La directive (UE) 2022/2555, dite NIS2, a été adoptée le 14 décembre 2022. Elle devait être transposée au plus tard le 17 octobre 2024. Deux ans plus tard, la France n’y est toujours pas. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité avait pourtant été déposé au Sénat en octobre 2024, adopté par les sénateurs au printemps 2025 puis examiné par une commission spéciale de l’Assemblée en septembre 2025. Il a ensuite attendu quatorze mois son inscription à l’ordre du jour.

Ce retard a été dénoncé sur tous les bancs. La rapporteure du titre Ier, Catherine Hervieu, a rappelé que la Commission européenne a renvoyé la France devant la Cour de justice de l’Union européenne en juillet, avec un risque de sanctions financières. Le député socialiste Sébastien Saint-Pasteur a ironisé sur une "slow motion nation". Le président de la commission spéciale, Philippe Latombe, a résumé l’état d’esprit général d’un "Ouf ! Enfin, c’est pas trop tôt".

La ministre déléguée chargée de l’intelligence artificielle et du numérique, Anne Le Hénanff, qui fut elle-même rapporteure du titre II en commission avant d’entrer au gouvernement, a ouvert les débats en fixant une ligne claire : transposer fidèlement, sans surtransposition, et "ne pas se tromper de débat" en transformant l’examen en discussion sur la souveraineté numérique ou la commande publique. Cette ligne a été largement contournée.

Un contexte de menace qui a pesé sur les débats

Presque chaque orateur a ouvert son intervention par une liste d’attaques. Le piratage des systèmes de froid de centaines de supermarchés à la mi-octobre, avec des chambres froides portées à des températures qui ont imposé la destruction des stocks, est revenu sans cesse, tout comme l’attaque similaire visant l’Établissement français du sang via un prestataire frigorifique. Les fuites de données à la DGFiP, à l’ANTS ou à France Travail, et l’incident récent au Crédit Mutuel Arkéa, ont nourri un même constat : la cybersécurité "n’est plus une affaire de techniciens", selon les mots de la ministre.

La ministre a rappelé les mesures prises par l’exécutif : la stratégie nationale de cybersécurité 2026-2030 présentée en janvier, une feuille de route de 40 actions pour l’État et un objectif de 5 % des budgets numériques des ministères consacrés à la cybersécurité dès 2027, puis 10 % en 2030.

Ce que change NIS2 : un changement d’échelle

La directive NIS1 de 2016 ne visait que quelques centaines d’opérateurs de services essentiels. NIS2 remplace cette approche par un critère de taille appliqué à 18 secteurs. Selon la ministre, 18 000 à 20 000 organisations seront concernées. Les rapporteurs parlent d’environ 15 000 entités, dont près de 1 500 collectivités. Le rapporteur du titre II, Vincent Thiébaut, a souligné que le périmètre de contrôle de l’ANSSI sera "multiplié par 30".

Le texte distingue deux catégories. Les entités essentielles regroupent les entreprises des secteurs hautement critiques (énergie, transports, banque, santé, eau, infrastructures numériques, espace…) employant au moins 250 personnes ou réalisant plus de 50 M€ de chiffre d’affaires et 43 M€ de bilan, ainsi que plusieurs catégories publiques : la France a choisi d’y inclure les régions, les départements, les communes de plus de 30 000 habitants, les métropoles, les communautés d’agglomération et les SDIS. Les entités importantes rassemblent les structures moyennes (50 salariés ou 10 M€) des secteurs hautement critiques ou critiques (poste, déchets, chimie, agroalimentaire, industrie, services numériques, recherche), ainsi que les communautés de communes.

Ces entités devront prendre des mesures de gestion des risques approuvées et supervisées par leurs organes de direction, dont les membres devront être formés. Elles devront notifier leurs incidents importants à l’ANSSI selon un calendrier en trois temps : une alerte sous 24 heures, une notification sous 72 heures et un rapport final dans le mois. Les sanctions peuvent atteindre 10 M€ ou 2 % du chiffre d’affaires mondial pour les entités essentielles, et 7 M€ ou 1,4 % pour les entités importantes. L’État et les collectivités sont exonérés d’amende.

Le gouvernement fait corriger les surtranspositions de la commission

Sur le périmètre, l’exécutif et les rapporteurs ont obtenu satisfaction. Deux ajouts de la commission spéciale, jugés excessifs, ont été supprimés à l’article 8. Les éditeurs de logiciels ne sont plus classés entités essentielles sans condition de taille : Horizons avait illustré le problème avec l’exemple d’une start-up de cinq salariés exposée aux amendes les plus lourdes, alors que ces éditeurs relèvent déjà du Cyber Resilience Act européen. Les établissements de santé et les établissements sociaux et médico-sociaux sont, eux, ramenés aux seuils de droit commun : les plus grands sont entités essentielles, les moyens entités importantes, et les plus petits sortent du champ.

Les tentatives d’élargir la liste des secteurs hautement critiques à l’alimentation, à l’enseignement supérieur, à l’éducation, à la protection sociale, à la culture, aux câbles sous-marins ou aux satellites ont toutes été rejetées. Les seuils de 30 000 habitants pour les communes et de taille pour les entreprises ont été maintenus.

Sur le calendrier, la ministre a écarté l’inscription d’un délai de mise en conformité dans la loi, jugée contraire au droit européen. Elle a rappelé l’objectif fixé par le directeur général de l’ANSSI : des contrôles progressifs, avec une conformité de toutes les entités visée pour fin 2028.

Philippe Latombe, l’homme qui a fait plier le banc des ministres

Sur le contenu des obligations, en revanche, le gouvernement a enchaîné les défaites. Le principal artisan de ces revers est le président de la commission spéciale, Philippe Latombe (Les Démocrates). Son argument, répété amendement après amendement, retournait celui de l’exécutif : il ne surtranspose pas, il transpose ce que le texte avait oublié de la directive. "Une sous-transposition législative entraînerait une surtransposition administrative", a-t-il plaidé, refusant de tout renvoyer aux décrets et au référentiel de l’ANSSI.

La liste des amendements qu’il a fait adopter contre l’avis du gouvernement est longue. La stratégie nationale intègre désormais la souveraineté numérique, la dépendance numérique et l’autonomie stratégique, ainsi que des exigences de cybersécurité dans les marchés publics, en s’appuyant sur l’article 7 de la directive ; ses indicateurs de performance sont même fixés par la loi.

L’article 14, consacré aux mesures de gestion des risques, précise désormais les mesures physiques et logiques, la sécurité des ressources humaines, le contrôle des accès et la sécurité de la chaîne d’approvisionnement. Il intègre aussi les facteurs de risque non techniques mentionnés par la directive : influence d’un pays tiers, portes dérobées, verrouillage technologique et coupure à distance, le fameux "kill switch". Un principe "appliquer ou expliquer" impose en outre une analyse de risque spécifique pour le recours à des logiciels à code source fermé dans les systèmes critiques, avec une réflexion sur la réversibilité. Philippe Latombe a illustré l’enjeu avec le cas d’un éditeur français racheté par un fonds étranger et accusé d’avoir multiplié ses tarifs. Les critères d’auditabilité, de transparence et d’interopérabilité ajoutés en commission ont été maintenus, l’amendement du gouvernement visant à les supprimer ayant été rejeté.

Les députés ont également adopté une déclaration d’incident unique couvrant l’ANSSI, la CNIL et, pour le secteur financier, l’ACPR et l’AMF, avec l’ANSSI comme chef de file, alors que la ministre jugeait ce guichet unique juridiquement impossible en l’état du droit européen. Les plateformes de facturation électronique agréées deviennent des entités essentielles, après les attaques visant plusieurs d’entre elles depuis la généralisation de la réforme. L’identification des entités ne repose plus seulement sur l’autodéclaration : l’État devra repérer les entités concernées, par exemple à partir des codes NAF, sur le modèle belge.

Deux votes ont particulièrement agacé le banc du gouvernement. Le premier reconnaît la veille en sources ouvertes (OSINT) sur les données volées comme une mesure attendue des entités, afin de sécuriser juridiquement une pratique aujourd’hui exposée au délit de recel. La ministre et le rapporteur général Éric Bothorel s’y sont fermement opposés, la ministre proposant d’ouvrir un chantier dédié, mais l’amendement a été adopté. Le second prévoit des sanctions pour les responsables publics qui n’appliqueraient pas les mesures de remédiation connues. Philippe Latombe a fait valoir que la décision de la Cour des comptes sur le projet SCB, avec des amendes de quelques milliers d’euros, ne suffit pas à responsabiliser l’administration.

Il n’a pas tout obtenu. Son amendement soumettant les collectivités à une amende graduée, en cas de refus d’appliquer un plan de remédiation, a été rejeté. Celui permettant aux entités financières de récuser un cabinet d’audit DORA en conflit d’intérêts l’a été aussi, à deux voix près.

La souveraineté numérique s’invite malgré tout

Le gouvernement voulait tenir la souveraineté numérique hors du texte. L’hémicycle en a décidé autrement à plusieurs reprises, avec des majorités de circonstance mêlant LFI, le RN, le PS, les Démocrates et parfois des élus du socle commun. Un amendement LFI impose ainsi aux entités essentielles des solutions d’hébergement non soumises à des lois extraterritoriales ; il a été adopté par 36 voix contre 29. Un amendement GDR instaure une préférence pour des prestataires qualifiés par l’ANSSI et imposés en France, complété par un sous-amendement de Philippe Latombe excluant les prestataires condamnés pour manquement à la sécurité au titre du RGPD. Des critères de souveraineté ont aussi été ajoutés aux marchés publics des opérateurs d’importance vitale. Éric Bothorel a fait adopter, en s’inspirant de la transposition allemande, la possibilité d’interdire dans les systèmes les plus sensibles des composants contrôlés par un État tiers. Enfin, l’ANSSI devra garantir une qualification "équitable", accessible aux PME et aux logiciels libres.

La ministre a répété que "cybersécurité ne veut pas dire souveraineté", et le rapporteur Vincent Thiébaut a plusieurs fois invoqué le traité sur le fonctionnement de l’UE et la libre prestation de services. Alexandre Sabatou (RN) l’a résumé avec malice : "c’est pas un texte sur la souveraineté nationale, pourtant on arrive quand même à y inclure plusieurs amendements sur ce sujet".

Les collectivités : pas d'amende, mais plus d’obligations

Le sort des collectivités a occupé une large part des débats. Le texte maintient l’exonération d’amende, au motif qu’une amende infligée à une collectivité est payée par ses habitants. Mais les députés ont multiplié les leviers alternatifs. L’ANSSI pourra rendre publiques ses mesures d’exécution, une disposition du texte initial rétablie à l’initiative d’Horizons. Un amendement socialiste, adopté par 25 voix contre 12, crée un mécanisme de remédiation : en cas de manquement, la collectivité devra établir un plan avec l’appui de l’ANSSI, l’inscrire à l’ordre du jour de son assemblée délibérante et en informer le public. Le plan communal de sauvegarde devra intégrer le risque cyber dans toutes les communes, et pas seulement celles de plus de 30 000 habitants, malgré l’opposition de la ministre, qui jugeait la mesure "discriminatoire" pour les petites communes. Le risque cyber devra aussi figurer dans le document unique d’évaluation des risques (DUERP) de tous les employeurs, publics comme privés.

En revanche, la prise en charge par l’ANSSI du coût des audits imposés aux collectivités et l’inscription d’office de crédits de cybersécurité dans leurs budgets ont été rejetées.

Des garanties de procédure renforcées

Plusieurs amendements ont encadré les pouvoirs de l’ANSSI et de la commission des sanctions. Conformément à la directive, les entités importantes ne feront l’objet que de contrôles déclenchés par des indices de manquement, tandis que les entités essentielles restent soumises à un contrôle continu. Le délai de mise en conformité après une injonction est encadré entre un et douze mois, et le montant des astreintes, plafonnées à 5 000 € par jour, devra tenir compte de la taille et des moyens de l’entité. Les personnes entendues par la commission des sanctions devront être informées de leur droit de se taire, et les membres de cette commission auront un mandat de cinq ans non renouvelable. Le partage de leur nomination avec les présidents des deux assemblées a en revanche été rejeté à une voix près.

Les victimes de fuites de données devront aussi recevoir une information utile sur les risques encourus, les bons réflexes et les recours possibles, notamment via Cybermalveillance.gouv.fr.

L’article 16 bis : le chiffrement, enjeu politique du texte

L’article 16 bis, introduit au Sénat, interdisait d’imposer aux fournisseurs de chiffrement des clés maîtresses ou "tout autre mécanisme permettant un accès non consenti aux données protégées". Il avait été conçu comme une réponse à l’article 8 ter de la loi narcotrafic, qui voulait imposer un accès aux messageries chiffrées avant d’être supprimé par l’Assemblée. Plusieurs orateurs l’ont accusé d’avoir retardé l’inscription du texte.

Cet article est surtout au cœur des explications sur les quatorze mois de blocage. Le 4 février 2026, lors d’une conférence de presse commune, Philippe Latombe et le sénateur Olivier Cadic (Union centriste), à l’origine de l’article 16 bis au Sénat, ont publiquement accusé la DGSI de freiner la transposition. Selon eux, les services de renseignement, qui souhaitent pouvoir accéder aux messageries chiffrées, voulaient la disparition de cet article, et c’est lui qui empêchait l’inscription du texte à l’ordre du jour par le gouvernement. Les deux parlementaires citaient le précédent américain de portes dérobées exploitées par des pirates chinois. La Commission supérieure du numérique et des postes (CSNP) a elle aussi désigné l’article 16 bis comme le "point de clivage" retardant le texte et pressé le Parlement de l’examiner sans délai. Le 1er octobre, la ministre a annoncé que le gouvernement soutiendrait la suppression de l’article en séance, dans le sillage du rapport Boudié sur le chiffrement qui recommandait d’y renoncer.

Le gouvernement, représenté pour l’occasion par le ministre de l’Intérieur, a défendu sa suppression avec un argument juridique : par définition, une interception judiciaire ou une technique de renseignement est un accès non consenti. Selon l’exécutif et les rapporteurs, la rédaction trop large menaçait la géolocalisation, le recueil des données de connexion et les écoutes, y compris dans les procédures en cours. Le ministre a pris l’engagement solennel de ne pas réintroduire de dispositif de type 8 ter d’ici la fin de la législature.

Sur cette base, le Rassemblement national, qui soutenait l’article, a changé de position et voté sa suppression. Les socialistes ont fait de même, tout en dénonçant un rapport Boudié sur le chiffrement arrivé "bien tard". LFI et les écologistes ont défendu son maintien ; ces derniers plaident pour une constitutionnalisation du droit au chiffrement. L’article a été supprimé par 69 voix contre 37, lors du scrutin le plus fréquenté des deux jours.

Et maintenant ?

Le vote solennel sur l’ensemble du projet de loi est prévu le mardi 17 novembre, après les questions au gouvernement. Le texte partira ensuite en commission mixte paritaire. Les sénateurs y retrouveront un texte profondément remanié, et plusieurs acteurs ont déjà prévenu que la CMP servirait à "corriger" des dispositions adoptées, selon Éric Bothorel, "dans une forme d’élan" : déclaration unique d’incident, OSINT, sanctions des agents publics, hébergement non soumis aux lois extraterritoriales ou extension du plan communal de sauvegarde.

Viendront ensuite les décrets en Conseil d’État, le référentiel de l’ANSSI et la stratégie de contrôle de l’agence. Pour les milliers d’entreprises et de collectivités concernées, le message de la ministre reste le même : ne pas attendre la promulgation pour engager leur mise en conformité.