Deux ans. Il aura fallu deux ans pour que le projet de loi sur la cybersécurité daigne franchir les portes de l'Assemblée nationale. Les députés l'examinent enfin en séance publique ce lundi, après un parcours législatif digne d'un feuilleton administratif, comme le rapporte SudOuest.fr.
Le texte, officiellement baptisé projet de loi sur la résilience des infrastructures critiques et le renforcement de la cybersécurité, doit transposer en droit français trois textes européens. Pendant ce temps, les pirates informatiques, eux, n'ont pas attendu la fin des débats parlementaires. L'été a été marqué par de nouvelles cyberattaques, dont des vols de données massifs qui ont touché le fisc. Ben voyons. Pendant que nos élites déconnectées ergotaient sur les messageries chiffrées, c'est Nicolas qui payait, données personnelles comprises.
Un retard que même Bruxelles n'a pas digéré
Le parcours de ce texte est un modèle du genre. Déposé au Sénat en octobre 2024, deux jours avant la date limite de transposition de deux directives, il a été voté en commission l'année suivante avant de végéter. La procédure législative accélérée n'aura rien accéléré du tout. Un retour était annoncé début octobre; il a été reporté pour cause de calendrier parlementaire. À ce rythme, on transposera la directive suivante à la Saint-Glinglin.
Résultat: début juillet, la Commission européenne a engagé un recours contre trois pays, dont la France, pour sanctionner l'absence de transposition de l'une des directives. Même Bruxelles, pourtant peu regardante sur bien des sujets, en a eu marre. C'est dire.
«C'est à la fois un soulagement de voir qu'enfin on est capable d'examiner ce texte et en même temps le regret qu'on ne l'ait pas fait plus tôt»
a commenté le député Éric Bothorel, l'un des rapporteurs du texte. Au moins quelqu'un qui appelle un chat un chat.
L'Anssi réclame des armes, la menace monte
Le directeur de l'Agence nationale de la sécurité des systèmes d'information (Anssi), Vincent Strubel, auditionné début octobre par la commission parlementaire spéciale, a insisté sur l'urgence d'aboutir. Certaines mesures prévues par les textes européens «auraient été efficaces contre la majorité des vols de données qui ont été constatés en France, contre l'État, contre des entreprises [...] ces derniers mois», a-t-il assuré. Traduction: on a laissé la porte du bastion grande ouverte pendant que les assaillants pillaient les réserves.
Vincent Strubel a aussi souligné que ces textes confèrent à l'Anssi un «pouvoir contraignant qui lui manque aujourd'hui». On ne peut que saluer: enfin un renforcement des moyens de nos sentinelles numériques, elles qui défendent nos infrastructures pendant que d'autres débattent de la couleur des tapis de l'hémicycle.
La transposition de la directive Nis 2 est particulièrement attendue dans le secteur. Selon une cartographie du Campus cyber, jusqu'à 19 000 entreprises pourraient être concernées par de nouvelles obligations en matière de cybersécurité, rappelle Corse Matin. La ministre chargée du Numérique, Anne Le Hénanff, a évoqué un contexte de «recrudescence sans précédent de la menace cyber», rapporte La Nouvelle République. Près de 400 amendements ont été déposés. La séance promet d'être longue.
Messageries chiffrées: le point sensible qui bloque tout
Le débat qui a retardé le texte tourne autour de l'article 16 bis, hérité d'une controverse de plusieurs mois sur WhatsApp, Telegram ou Signal. Au Sénat, les parlementaires avaient d'abord glissé dans le projet de loi Narcotrafic un article 8 ter imposant à ces messageries d'ouvrir, sur réquisition judiciaire, l'accès aux conversations de personnes mises sur écoute. Une mesure plébiscitée par les services de renseignement. Tout le monde sait que nos services de police ne demandent pas la lune: ils demandent simplement à pouvoir travailler sur des écoutes déjà autorisées par la justice.
L'article n'a pas survécu à la navette, mais il a provoqué en réaction ce fameux 16 bis, qui garantit l'inviolabilité des messageries chiffrées. Le gouvernement a déposé un amendement de suppression, suivi par des députés LR, Horizons, Renaissance et Liot, estimant que l'article présente «un risque majeur pour la sécurité nationale» en «interdisant d'imposer tout mécanisme ou processus permettant d'accéder à des données protégées».
Voilà le paradoxe à la française: on renforce la cybersécurité de l'État d'une main, et de l'autre on verrouille l'accès aux outils des trafiquants. Les amateurs de souveraineté et d'ordre public auront une lecture claire: un État qui ne peut pas lire les écoutes qu'un juge a lui-même autorisées, c'est un État qui se ligote les mains de son plein gré.
Ce qui attend le texte cette semaine
Les députés doivent donc examiner le texte et ses quelque 400 amendements dans un climat de menace accrue. Les précédentes cyberattaques contre le fisc ont donné au dossier un caractère urgent que deux ans de procrastination parlementaire avaient fini par diluer. L'issue du vote sur l'article 16 bis dira si le législateur choisit le camp des services de renseignement ou celui des plateformes californiennes.
Foire aux questions
Quand le projet de loi cybersécurité arrive-t-il à l'Assemblée nationale?
Le projet de loi sur la résilience des infrastructures critiques et le renforcement de la cybersécurité est examiné en séance publique à l'Assemblée nationale ce lundi 9 novembre 2026.
Pourquoi ce texte a-t-il pris deux ans de retard?
Déposé au Sénat en octobre 2024, il a été ralenti par un débat de plusieurs mois sur les messageries chiffrées et par le calendrier parlementaire, malgré la procédure législative accélérée.
Combien d'entreprises seront concernées par la directive Nis 2?
Selon une cartographie du Campus cyber, jusqu'à 19 000 entreprises pourraient être soumises aux nouvelles obligations de cybersécurité prévues par la directive Nis 2.
Que dit l'article 16 bis contesté?
Il garantit l'inviolabilité des messageries chiffrées comme WhatsApp ou Telegram. Le gouvernement et plusieurs groupes de députés demandent sa suppression, estimant qu'il présente un risque majeur pour la sécurité nationale.