Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Chronologie

1. —

   1ère lecture (1ère assemblée saisie)

2. 15 octobre 2024

   1er dépôt d'une initiative.

3. 15 octobre 2024

   Le gouvernement déclare l'urgence / engage la procédure accélérée

4. —

   Travaux des commissions

5. —

   Travaux de la commission saisie au fond

6. 15 octobre 2024

   Renvoi en commission au fond

7. —

   Nomination de rapporteur

8. 4 mars 2025

   Dépôt de rapport

9. —

   Discussion en séance publique

10. 12 mars 2025

    Discussion en séance publique

11. 12 mars 2025

    Décision — adopté

12. —

    1ère lecture (2ème assemblée saisie)

13. 13 mars 2025

    Dépôt d'une initiative en navette

14. —

    Travaux des commissions

15. —

    Travaux de la commission saisie au fond

16. 13 mars 2025

    Renvoi en commission au fond

17. 8 avril 2025

    Nomination de rapporteur

18. 9 septembre 2025

    Réunion de commission

19. 9 septembre 2025

    Réunion de commission

20. 9 septembre 2025

    Réunion de commission

21. 10 septembre 2025

    Réunion de commission

22. 1 octobre 2026

    Réunion de commission

23. 7 octobre 2026

    Réunion de commission

24. 14 octobre 2026

    Réunion de commission

25. 10 septembre 2025

    Dépôt de rapport

26. —

    Discussion en séance publique

27. 7 octobre 2026

    Discussion en séance publique

28. 7 octobre 2026

    Discussion en séance publique

29. 9 octobre 2026

    Discussion en séance publique

30. 9 octobre 2026

    Discussion en séance publique

31. 9 octobre 2026

    Discussion en séance publique

Scrutins liés

Aucun scrutin public lié à ce dossier. L'adoption d'un texte peut se faire à main levée, sans trace nominative.

Amendements

100 premiers amendements (par date de dépôt).

• 384·ARTICLE 33

  Cet amendement encadre la possibilité pour l'ANSSI de suspendre une certification ou une autorisation en cas de non-conformité. S'il est légitime de sanctionner les manquements aux obligations de cybersécurité, une suspension peut entraîner, pour une très petite, petite ou moyenne entreprise, la perte de son activité, une faillite et des licenciements. Les grandes entreprises disposent de capacités de résilience que les petites structures n'ont pas. En prévoyant une exception pour les services vitaux à la survie des TPE-PME, sauf en cas de menace grave et immédiate, cet amendement introduit une garantie de proportionnalité permettant de sauvegarder l'activité et les emplois. Les autres mesures de contrôle, de mise en conformité et de sanction demeurent applicables. Il s'agit ainsi de concilier les exigences de cybersécurité avec les conséquences économiques et sociales de leur mise en œuvre.

• 192·ARTICLE 9

  La directive NIS2 prévoit que les prestataires de soins appartiennent au secteur hautement critique « Santé ». Ce secteur est soumis aux critères de taille pour déterminer si l'entité est régulée, et si elle est essentielle ou importante aux termes du a) du 1. et du 2. de l'article 3 de la directive. En l'état de sa rédaction, le projet de loi ne traite pas explicitement des établissements de santé et les catégories retenues ne permettent pas de refléter de façon adéquate la nature de certains d'entre eux. Le cas des établissements privés lucratifs ne présente pas d'ambigüité : ils constituent des entreprises, et sont donc couverts par les dispositions du 1° des articles 8 et 9 du présent projet de loi. Le cas des établissements publics de santé est moins explicite, car si le droit européen reconnait de manière constante la nature d'entreprise de tout établissement de santé, quel que soit son statut, les établissements publics de santé ne sont pas au regard du droit national des entreprises. Ils bénéficient ainsi d'un statut spécifique dans le code de la santé publique (art. L. 6141-1) et ne disposent en outre pas d'un chiffre d'affaires, critère permettant d'évaluer si certaines entités entrent ou non dans le dispositif. Les établissements de santé privés d'intérêt collectif, ainsi que les établissements et services médico-sociaux gérés par des organismes de droit privé à but non lucratif, lorsqu'ils délivrent des prestations de soins, n'entrent pas non plus dans ces catégories, gérés pour beaucoup par une association ou une fondation, dépourvues elles aussi de chiffre d'affaires. L'amendement proposé permet de lever cette ambiguïté, en ajoutant un alinéa qui leur est dédié dans les articles 8 et 9, et qui utilise la notion de produits d'exploitation en lieu et place de celle de chiffre d'affaires, cette notion existant bien pour les établissements concernés.

• 193·ARTICLE 12

  Les organismes constituant ou susceptibles de constituer des entités essentielles ou importantes sont définis aux articles 8 à 10 du projet de loi au regard de critères objectifs. L'établissement de la liste de ces entités et de celles fournissant des services d'enregistrement des noms de domaine ainsi que son actualisation régulière, rendus obligatoires par l'article 3 de la directive dite NIS 2, n'est qu'une concaténation automatique d'éléments remontés par les entités via l'enregistrement, tel que cela est prévu au considérant 18 de la directive NIS 2 qui invite les Etats membres à prévoir des mécanismes nationaux permettant aux entités de s'enregistrer elles-mêmes sur la liste. Il est toutefois prévu au niveau règlementaire que cette liste des entités essentielles et importantes et des bureaux d'enregistrement et leurs agents soit mise à la disposition des ministères concernés qui pourront s'en saisir a posteriori. Une consultation préalable systématique des ministres compétents avant l'établissement de la liste ou à l'occasion de son actualisation pour les secteurs mentionnés à l'article 7 serait donc inopérante et ne présenterait pas de plus-value particulière du point de vue des ministères. Elle alourdirait au surplus la procédure de transmission de cette liste à la Commission européenne et pourrait ainsi retarder indûment celle-ci.

• 200·ARTICLE 16 BIS

  L'article 16 bis interdit d'imposer aux fournisseurs de services de chiffrement tout dispositif, mécanisme ou processus permettant un accès non consenti aux données protégées. Le présent amendement du groupe Horizons & Indépendants le supprime, pour trois raisons. Premièrement, l'article 16 bis est un cavalier législatif. Il a été introduit au Sénat en séance publique, contre l'avis de la commission et du Gouvernement. Il transpose un débat né lors de l'examen de la proposition de loi visant à sortir la France du piège du narcotrafic : son article 8 ter, adopté au Sénat, avait été supprimé par l'Assemblée nationale et n'avait pas été rétabli en commission mixte paritaire. Son lien avec le présent texte est, au mieux, indirect. Le maintenir exposerait la loi de transposition à une censure au titre de l'article 45 de la Constitution et fragiliserait l'ensemble du dispositif. Deuxièmement, il ajoute à la transposition une règle que la directive ne prévoit pas. La directive NIS 2 traite du chiffrement comme d'une mesure de gestion des risques à la charge des entités. Elle ne comporte aucune interdiction de cette nature. Inscrire dans une loi de transposition une interdiction générale et absolue, sans équivalent dans la directive, c'est surtransposer. C'est aussi trancher par avance, sans étude d'impact ni avis du Conseil d'État, une question qui relève de la politique de sécurité nationale. Troisièmement, la suppression ne tranche pas le débat sur le fond. Elle ne crée aucune obligation nouvelle pour les fournisseurs et ne modifie en rien le droit existant. Elle renvoie la question au véhicule et au moment appropriés. La question mérite un débat serein et approfondi, pas une disposition isolée glissée dans une loi de transposition.

• 326·ARTICLE 16

  Le présent article prévoit que l'ANSSI pourra prescrire la réalisation d'audits à des organismes indépendants, dans le cadre de l'application des obligations de cybersécurité prévues pour les OIv. Toutefois, la nature hautement sensible des contrôles en question implique des exigences particulières en matière de confiance, d'intégrité et de souveraineté. Ces contrôles peuvent en effet conduire à accéder à des informations confidentielles, voire classifiées, ou à mettre au jour des vulnérabilités majeures susceptibles d'être exploitées à des fins hostiles si elles venaient à être connues de puissances étrangères. Dans ce contexte, il est impératif que les organismes auxquels l'ANSSI pourra déléguer ces missions soient français.

• 256·ARTICLE 14

  L'article 14 prévoit déjà que le choix des mesures de sécurité vise à minimiser les dépendances envers des prestataires tiers « ne présentant pas de garanties suffisantes ». Il ne précise pas comment ces garanties s'apprécient. Cet amendement complète les critères d'appréciation des risques liés aux fournisseurs en s'appuyant sur l'article 21, paragraphe 3, de la directive, qui impose de tenir compte des vulnérabilités propres aux fournisseurs et prestataires de services directs, ainsi que sur l'article 22 et les considérants 90 et 91, qui reconnaissent explicitement la pertinence des facteurs de risque non techniques, notamment l'influence d'un pays tiers, les vulnérabilités cachées, les ruptures d'approvisionnement systémiques et les situations de verrouillage technologique ou de dépendance à un fournisseur. Cet amendement est soutenu par Hexatrust, l'AFNIC et le CESIN.

• 277·ARTICLE 14Retiré après publication

  Cet amendement vise à réintroduire à l'article 14 la notion de « destinataires ». D'une part cet amendement poursuit un objectif de cohérence, cette notion étant présente dans la directive et reprise dans l'ensemble des dispositions du présent projet de loi. D'autre part car la notion d'usager est traditionnellement utilisée pour désigner les usagers d'un service public, ce qui est plus restrictif que les destinataires des services, et de nature à créer un risque de confusion quant aux personnes visées par la disposition.

• 232·ARTICLE 19

  Le présent amendement vise à supprimer la précision, introduite en commission spéciale [de l'Assemblée nationale], selon laquelle un décret viendra préciser les procédures de vérification mises en place par les offices d'enregistrement, bureaux d'enregistrement et agents agissant pour leur compte pour la vérification des données d'enregistrement des noms de domaine. Le paragraphe 3 de l'article 28 de la directive 2022/2555, éclairé par son considérant 111, impose aux offices et bureaux d'enregistrement, ainsi qu'aux agents agissant pour leur compte, de mettre en place des procédures de vérification des données collectées. Or, la directive ne prévoit aucune modalité précise de vérification de ces données et laisse aux offices et bureaux d'enregistrement, ainsi qu'aux agents agissant pour leur compte, le soin de définir leurs propres procédures. Dès lors, préciser au niveau réglementaire les procédures de vérification des données d'enregistrement des noms de domaine relève d'une surtransposition de la directive.

• 333·ARTICLE 28

  L'article 28 punit d'une amende pouvant atteindre dix millions d'euros ou 2 % du chiffre d'affaires annuel mondial le fait de faire obstacle aux contrôles de l'ANSSI, notamment en fournissant des renseignements incomplets ou inexacts. En l'état, une erreur ou une omission de bonne foi, fréquente dans des procédures techniques complexes, en particulier pour des structures nouvellement assujetties, pourrait être sanctionnée comme une obstruction délibérée. La prise en compte de la bonne foi, prévue au VII de l'article 37, ne vise expressément que les sanctions prévues à cet article. Le présent amendement réserve la sanction à l'obstruction délibérée, conformément à l'exigence de proportionnalité des sanctions posée par l'article 34 de la directive (UE) 2022/2555.

• 299·ARTICLE 62Retiré après publication

  L'article 62 prévoit actuellement une entrée en vigueur des dispositions du titre III dès le lendemain de la promulgation de la loi, tout en différant au 17 janvier 2027 l'application des articles 46, 47 et 54 aux sociétés de financement remplissant les conditions prévues au point 145 du paragraphe 1 de l'article 4 du règlement (UE) n° 575/2013. Cette échéance avait été retenue lors de l'examen du texte en commission afin de ménager aux sociétés de financement concernées un délai suffisant pour adapter leur organisation et leurs dispositifs aux nouvelles exigences. Le décalage du calendrier parlementaire a toutefois substantiellement réduit ce délai, alors même que les adaptations nécessaires peuvent être particulièrement importantes pour les acteurs de plus petite taille. L'amendement vise donc à préserver un délai d'adaptation effectif, tout en tenant compte du principe de proportionnalité consacré par DORA. Le délai proposé est de fixer au 17 juillet 2027 une date commune d'application des articles 46, 47 et 54 à l'ensemble des sociétés de financement.

• 241·ARTICLE 14

  L'article 14 impose aux entités de mettre en place « des outils et des procédures pour assurer la défense des réseaux et des systèmes d'information et gérer les incidents » (3°). La veille sur les fuites de données (data breaches), en fait partie : concrètement, elle permet aux entités soumises à NIS2 ou à leurs prestataires à faire de la veille sur les fuites de données (concrètement : surveiller les sites cybercriminels afin d'y repérer toute fuite de données). Or les entreprises réalisant ces prestations peuvent, dans le cadre de ces activités, se voir accusées de recel. Cette situation de flou juridique freine d'ailleurs le développement d'une offre française ou européenne de prestataires en « threat intelligence ». Les entreprises ayant besoin de recourir vers de tels prestataires se tournent souvent vers des solutions étrangères, ce qui affecte l'objectif d'une résilience souveraine. Le présent amendement précise que ces veilles entrent dans les mesures exigées et les autorise lorsqu'ils sont accomplis de bonne foi par les entités soumises à l'article 14 ou par leurs prestataires de cybersécurité, dans des conditions strictes : nécessité et proportionnalité, finalité exclusive de cybersécurité, absence d'intrusion dans un système et de réutilisation, respect des données personnelles, transmission à l'ANSSI des informations utiles aux victimes. Il s'inspire de la protection accordée aux personnes de bonne foi signalant une vulnérabilité

• 380·ARTICLE 25

  Cet amendement vise à instaurer un délai minimal de trois mois pour la mise en œuvre des mesures prescrites par l'ANSSI aux très petites, petites et moyennes entreprises, sauf en cas de menace grave et immédiate. Les petites entreprises ne disposent pas des mêmes moyens humains, techniques et financiers que les grandes entreprises pour répondre aux exigences de cybersécurité. Leur imposer des délais trop courts reviendrait à les placer face à une injonction irréalisable, accentuant le fossé avec les grandes entreprises mieux armées. Cet amendement vise donc à garantir une application proportionnée et socialement équitable de la loi, en permettant aux petites entreprises de réaliser les mesures demandées dans un délai adapté. L'exception prévue en cas de menace grave et immédiate préserve la capacité d'intervention rapide de l'ANSSI.

• 201·ARTICLE 17

  Les fuites massives de données se multiplient : organismes sociaux, opérateurs et, cet été encore, la direction générale des finances publiques, dont le système d'information a fait l'objet d'accès illégitimes. Ces données alimentent l'usurpation d'identité et les escroqueries par hameçonnage ciblé, qui surviennent souvent des mois après l'incident. Les victimes reçoivent pourtant un message laconique qui ne leur dit ni quels risques elles courent, ni quoi faire, ni vers qui se tourner. L'article 17 permet à l'ANSSI, lorsque la divulgation d'un incident est dans l'intérêt public, d'exiger de l'entité qu'elle informe le public ou de le faire elle-même. Le présent amendement du groupe Horizons & Indépendants garantit que cette information soit utile : risques encourus, bons réflexes, orientation vers Cybermalveillance.gouv.fr. Rattaché à ce pouvoir de l'autorité publique, il ne crée pas d'obligation nouvelle à la charge des entités au-delà de la directive, dont il met en œuvre l'article 23, paragraphe 7. Il ne modifie pas non plus le contenu de la communication aux personnes concernées prévue par l'article 34 du RGPD, que le droit national ne peut pas modifier. Il s'applique également lorsque la victime de l'incident est une administration de l'État.

• 377·ARTICLE 5 BIS

  Il ne peut y avoir de stratégie nationale de cybersécurité déconnectée d'une véritable stratégie en faveur de la souveraineté numérique. C'est le sens de cet amendement. Les travaux en commission ont permis de renforcer la place de la souveraineté numérique, de la formation publique et des logiciels libres dans la stratégie nationale. Ces avancées ne répondent toutefois pas aux demandes de financement de la formation et de la recherche, d'autonomie technologique maximale en matière de renseignement et de cyberdéfense, ni d'évaluation du coût des dépendances extra-européennes et de l'externalisation des services numériques publics. Le présent amendement reprend donc ces quatre exigences. Il s'agit de donner à la souveraineté numérique des moyens concrets et de faire du recours aux technologies extra-européennes une exception motivée dans les domaines du renseignement et de la cyberdéfense.

• 288·ARTICLE 29Retiré après publication

  L'amendement vient préciser le type d'organisme indépendant apte à la réalisation des audits ciblés prescrits par l'autorité nationale dans le cadre d'un contrôle, à savoir des prestataires de services qualifiés par l'autorité nationale de sécurité des systèmes d'information (PASSI). Le recours aux prestataires qualifiés permet de s'assurer de garanties de compétence, d'indépendance et d'impartialité, dont le référentiel de qualification qui leur est applicable exige le respect lors de la réalisation de l'audit, ce que l'autorité nationale peut, en outre, vérifier au titre de ses pouvoirs de contrôle (art. 26 5°). La liste de ces prestataires est publiée sur le site Internet de l'ANSSI. L'amendement vise en outre à substituer au mécanisme de désignation par l'autorité nationale de la sécurité des systèmes d'information du prestataire réalisant l'audit prévu au 2° bis de l'article 29 un choix par l'entité contrôlée. Il prévoit ainsi que l'entité contrôlée peut choisir ce prestataire parmi les prestataires de service qualifiés par l'ANSSI. De la même manière, dans le cadre des contrôles menés en vertu des règlements e-IDAS, CSA et de la certification nationale, des essais et analyses peuvent être menés sur des produits, à la demande de l'autorité nationale, par des organismes indépendants que sont les centres d'évaluation de la sécurité des technologies de l'information (CESTI), lesquels sont agréés. Enfin, pour des raisons de cohérence, l'amendement vise à harmoniser les modalités de réalisation des audits à la demande de l'autorité nationale de sécurité des systèmes d'information s'agissant des audits en cas d'incident ou de violation des obligations mentionnées à l'article 26. Ainsi, ceux-ci pourront être réalisés soit par l'autorité nationale de sécurité des systèmes d'information elle-même, soit par un prestataire de services qualifié. En conséquence, la prise en charge des coûts sera répartie de manière similaire au cas des audits de sécurité réguliers et ciblés.

• 356·ARTICLE 2

  Amendement rédactionnel. L'article L. 1332-6-1 A du code de la défense est renuméroté en tant qu'article L. 1332-10 par l'article premier du présent projet de loi.

• 352 (Rect)·ARTICLE 6

  Amendement rédactionnel de cohérence. La rédaction actuelle de cette disposition réduit la portée de la définition de la résilience à la seule continuité des activités d'importance vitale. Or le chapitre II du projet de loi, qui transpose la directive NIS2, oblige (à l'art. 14) les entités essentielles, les entités importantes, les administrations et leurs établissements publics administratifs à garantir un niveau de sécurité et de résilience adapté et proportionné au risque existant, et ne se limite pas aux seules activités d'importance vitale. En outre, cet amendement permet d'harmoniser les définitions de la notion de résilience entre les titres I et II du projet de loi, et de mettre en conformité cette définition avec celle prévue dans les directives transposées 2022/2557 et 2022/2555.

• 332·ARTICLE 23

  L'article 23 permet à l'ANSSI de communiquer des informations couvertes par le secret de l'enquête ou par d'autres secrets protégés par la loi non seulement aux autorités françaises et européennes, mais aussi à des centres de réponse aux incidents et à des organismes internationaux, sans distinguer selon qu'ils relèvent ou non de l'Union Européenne. La coopération internationale peut être indispensable face à des menaces qui ignorent les frontières. Mais la levée de secrets protégés par la loi au profit d'entités relevant d'États tiers doit être entourée de garanties. Le présent amendement subordonne ces échanges à des garanties de confidentialité au moins équivalentes à celles du droit français et au respect de la réciprocité.

• 198·ARTICLE 8

  La commission a qualifié d'entités essentielles l'ensemble des établissements et services sociaux et médico-sociaux, quelle que soit leur taille. L'objectif était de lever une ambiguïté, certains établissements contestant relever de la catégorie des « entreprises ». Mais la rédaction retenue fait entrer dans le régime le plus lourd des milliers de très petites structures : services d'aide à domicile, résidences autonomie, foyers, souvent gérés par des CCAS ou des CIAS. De nombreuses petites communes, pourtant exclues en tant que telles sous le seuil de 30 000 habitants, y seraient ainsi soumises indirectement. La directive ne vise les prestataires de soins qu'au-delà des seuils de la grande entreprise pour les entités essentielles. Le présent amendement applique ces seuils, appréciés au niveau de la personne morale gestionnaire, comme le prévoit déjà le 2° du présent article pour les établissements publics industriels et commerciaux. Il préserve l'objectif de clarification de la commission et reprend la position de l'ANSSI : « on n'assujettira pas la pharmacie du quartier ». Les structures plus petites mais critiques peuvent être désignées au titre de l'article 10.

• 258·ARTICLE PREMIER

  Cet amendement vise à assurer la cohérence des obligations applicables aux opérateurs d'importance vitale avec le champ prévu par la réglementation européenne et à éviter d'étendre ces obligations au-delà de celui-ci. Les sites chimiques désignés comme OIV au titre du 2° du I de l'article L. 1332-2 du code de la défense, dans sa rédaction proposée par le Sénat, le sont en raison du « danger d'une particulière gravité pour la population ou l'environnement » que pourrait présenter la destruction ou l'avarie de certaines de leurs installations. Il convient donc de préserver cette spécificité dans la définition de l'analyse des risques qui leur est applicable. Pour ces opérateurs, cette analyse doit porter sur les risques susceptibles de mettre en cause la sécurité de leurs infrastructures critiques au regard des dangers pour la population ou l'environnement, sans leur appliquer les obligations relatives à la continuité des activités prévues pour les autres catégories d'OIV.

• 388·APRÈS L'ARTICLE 61, insérer l'article suivant:

  Cet amendement introduit un principe de préférence encadrée pour l'externalisation des services numériques des institutions de prévoyance et unions. Il repose sur des critères objectifs, tout en prévoyant une dérogation permettant d'éviter toute distorsion excessive dans l'accès aux services de technologies de l'information et de la communication. Les organismes concernés doivent privilégier des prestataires présentant des garanties de sécurité reconnues et assujettis en France à l'impôt sur les sociétés. Cette orientation contribue à soutenir la filière et à renforcer la maîtrise des services numériques dont dépendent leurs activités. Le renforcement de la résilience opérationnelle numérique doit s'accompagner d'une politique de souveraineté agissant sur les dépendances technologiques. La possibilité de dérogation, soumise à une autorisation expresse de l'autorité de contrôle compétente et à la démonstration de l'absence d'offre répondant aux critères, préserve la continuité des activités.

• 212·ARTICLE 62

  L'article 62 prévoit actuellement une entrée en vigueur des dispositions du titre III dès le lendemain de la promulgation de la loi, tout en différant au 17 janvier 2027 l'application des articles 46, 47 et 54 aux sociétés de financement remplissant les conditions prévues au point 145 du paragraphe 1 de l'article 4 du règlement (UE) n° 575/2013. Cette échéance avait été retenue lors de l'examen du texte en commission afin de ménager aux sociétés de financement concernées un délai suffisant pour adapter leur organisation et leurs dispositifs aux nouvelles exigences. Le décalage du calendrier parlementaire a toutefois substantiellement réduit ce délai, alors même que les adaptations nécessaires peuvent être particulièrement importantes pour les acteurs de plus petite taille. L'amendement vise donc à préserver un délai d'adaptation effectif, tout en tenant compte du principe de proportionnalité consacré par DORA. Le délai proposé est de fixer au 17 juillet 2027 une date commune d'application des articles 46, 47 et 54 à l'ensemble des sociétés de financement.

• 319·ARTICLE 14

  La commission a introduit à l'article 14 un critère de souveraineté : le choix des mesures de sécurité doit tenir compte de la maîtrise qu'elles permettent d'acquérir sur les systèmes d'information, afin de réduire les dépendances envers les prestataires qui ne présentent pas de garanties suffisantes. Ce critère reste général et difficilement contrôlable. Le législateur a déjà défini, pour les données les plus sensibles de l'État, une exigence précise. L'article 31 de la loi du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique impose aux administrations de l'État et à leurs opérateurs qui confient des données d'une sensibilité particulière à un service d'informatique en nuage de s'assurer que ce service les protège contre tout accès non autorisé des autorités d'États tiers. Le décret n° 2026-272 du 14 avril 2026 en a fixé les modalités ; le recours à une offre qualifiée SecNumCloud par l'ANSSI permet d'y satisfaire. Rien ne justifie que des données dont la compromission menacerait la sécurité nationale, la santé des personnes ou la continuité des services essentiels soient protégées lorsqu'elles sont détenues par l'État, mais puissent être exposées aux législations extraterritoriales, telles que le CLOUD Act ou la section 702 du FISA américains, lorsqu'elles sont détenues par un opérateur d'électricité, un hôpital ou un grand service d'eau. Le présent amendement étend cette exigence aux entités essentielles, avec un délai de mise en conformité de trois ans au plus.

• 244·ARTICLE 27

  Cet amendement vise à permettre aux agents et personnels chargés de rechercher et constater les manquements aux obligations mentionnées à l'article 26 du projet de loi pour lesquels il est nécessaire que ces derniers puissent se rendre dans les lieux d'exécution de prestations de l'entité contrôlée, lorsqu'il s'agit en particulier des organismes d'évaluation de la conformité relevant du règlement CSA mentionné au 2° de l'article 26 et des prestataires de services de confiance du règlement e-IDAS mentionné au 1° de l'article 26. En effet dans ces cas, les contrôles du respect de leurs obligations par les entités pourront inclure des constatations faites lorsque l'entité contrôlée délivre une prestation à ses clients, puisqu'elles sont soumises pour certaines au respect d'exigences qui supposent d'en vérifier concrètement le déroulement, dans des locaux à usage professionnel autres que ceux de l'entité. Le cas de contrôles dans des lieux d'exécution de prestations de service dont bénéficie l'entité contrôlée est également envisagé, notamment en lien avec la vérification de la maîtrise par l'entité de sa chaîne d'approvisionnement, dont la meilleure sécurisation est l'un des objectifs de la directive NIS2. Les termes de « lieux d'exécution d'une prestation de services » sont par ailleurs ceux retenus pour les modalités d'accès aux locaux prévues à l'article 1er alinéa 68 du projet de loi.

• 213·ARTICLE 8

  Cet amendement vise à revenir sur l'assujettissement des éditeurs de logiciels en tant qu'entités essentielles, quelle que soit leur taille. L'intégration de l'ensemble des éditeurs de logiciels comme entités essentielles serait une surtransposition manifeste de la directive NIS 2. Celle-ci ne prévoit l'assujetissement que d'une partie de cette filière, à savoir les fournisseurs de services cloud ainsi que les fournisseurs de services gérés et fournisseurs de services de sécurité gérés selon la logique de seuil prévue aux articles 8 et 9 du projet de loi. L'assujetissement de l'ensemble de la filière, sans logique de seuil comme le prévoit l'amendement adopté en commission, pénaliserait directement la filière française du logiciel qui serait la seule concernée au sein de l'Union européenne. Enfin, l'objectif de l'amendement adopté en commission était notamment de s'assurer du niveau de sécurité des produits que les éditeurs mettent sur le marché. Or le règlement sur la cyberrésilience (CRA), qui entrera en vigueur en 2027, répond à cet objectif en imposant à ces acteurs un certain nombre d'exigences minimales de sécurité. A ce titre, le projet de loi DADDUE qui adaptera prochainement notre droit au CRA sera le bon véhicule pour discuter de ce sujet.

• 279·ARTICLE 14

  Le présent amendement tend à supprimer une disposition ajoutée en commission spéciale qui instaure des critères dont la prise en compte complexifie le choix ainsi que la mise en œuvre des mesures de sécurité par les entités. Celle-ci prévoit en effet que le choix des mesures de sécurité devrait tenir compte « leur capacité à être audités, de la transparence de leur fonctionnement, de leur interopérabilité, de leur résilience et de la maîtrise qu'elles permettent d'acquérir sur les systèmes d'information afin de minimiser les dépendances technologiques à l'égard de prestataires tiers ne présentant pas de garanties suffisantes de conformité aux exigences de cybersécurité et de souveraineté numérique ». Ce faisant, cette disposition pose trois difficultés. En premier lieu, elle ferait peser sur les entités concernées une charge supplémentaire disproportionnée, a fortiori à l'égard des entités importantes, au regard de la complexité de l'évaluation de ces critères ainsi que du coût financier important qu'elle représente. En deuxième lieu, cette disposition ne paraît pas satisfaisante du point de vue de la sécurité juridique. Elle fait ainsi référence à des notions, telles que l'auditabilité ou la transparence de leur fonctionnement, mal définies, voire inexistantes en droit, compliquant d'autant plus leur appréciation par les entités dans le choix de leurs mesures et créant un flou juridique potentiellement préjudiciable aux entités. En dernier lieu, faire peser une telle contrainte sur les entités entrainerait un risque de surtransposition de la directive NIS 2, qui ne prévoit pas de telles modalités dans la détermination des mesures à mettre en place pour les entités. Une telle contrainte ne paraît par ailleurs pas réellement opérante pour les entités déjà soumises au règlement d'exécution 2024/2690[1]. [1] Fournisseurs de services de systèmes de noms de domaine, aux offices d'enregistrement, aux fournisseurs de services d'informatique en nuage, aux fournisseurs de services de centres de données, aux fournisseurs de réseaux de diffusion de contenu, aux fournisseurs de services gérés, aux fournisseurs de services de sécurité gérés ainsi qu'aux fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux et aux prestataires de services de confiance

• 220·ARTICLE 13

  Cet amendement vise à améliorer le cadre juridique prévu à l'alinéa 9 de l'article 14 en garantissant sa pérennité pour les acteurs du numérique et en l'élargissant à l'ensemble des entités essentielles et importantes qui pourraient être assujetties à un acte d'exécution établissant des exigences techniques et méthodologiques et le cas échéant sectorielles pris en application de la directive NIS 2. En effet, en application du 5. de l'article 21 de la directive NIS 2, certaines entités essentielles ou importantes peuvent être assujetties à un acte d'exécution et ainsi être tenues d'appliquer des exigences techniques et méthodologiques, ainsi que, le cas échéant, des exigences sectorielles liées aux mesures visées au paragraphe 2 du même article, par exception aux exigences définies par les Etats membres. Tel est le cas notamment pour les entités importantes ou essentielles fournisseurs de services de systèmes de noms de domaine, offices d'enregistrement, fournisseurs de services d'informatique en nuage, fournisseurs de services de centres de données, fournisseurs de réseaux de diffusion de contenu, fournisseurs de services gérés, fournisseurs de services de sécurité gérés, fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux et prestataires de services de confiance, ci-après « les acteurs du numérique », qui sont tenus de mettre en œuvre les exigences techniques et méthodologiques définies par le règlement d'exécution (UE) 2024/2690 de la Commission du 17 octobre 2024. Bien que le gouvernement partage l'objectif de clarification traduit par l'alinéa 9 de l'article 14 adopté en commission spéciale, il apparaît que cette disposition est incomplète en l'état et ne permet pas de s'adapter à l'adoption : - De nouveaux actes d'exécution de la directive NIS 2 concernant les acteurs du numérique ; - De nouveaux actes d'exécution de la directive NIS 2 qui seraient applicables à d'autres types d'acteurs puisqu'en application du deuxième alinéa du paragraphe 5 de l'article 21 de la directive, d'autres entités essentielles ou importantes pourraient à l'avenir être concernées par de tels actes d'exécution. Cet amendement vise ainsi à garantir la pérennité de l'adéquation des dispositions de la loi à l'acte d'exécution applicable aux acteurs du numérique et aux éventuels futurs actes d'exécution sectoriels pris en application de la directive NIS 2.

• 371·ARTICLE 17

  Comme le souligne l'alinéa 14 de cet article, un incident important peut avoir des conséquences graves, ce qui justifie que les autorités compétentes du secteur d'activité concerné et éventuellement la CNIL en soient informées afin de prendre les mesures nécessaires. Selon le principe du « dites-le nous une fois » et afin que l'entité victime de l'incident important se concentre sur son traitement, l'autorité nationale de sécurité des systèmes d'information, première destinatrice de la notification doit assurer la transmission des notifications aux administrations ou autorités concernées. L'entité victime sera réputée avoir rempli les obligations légales de notification propres à son activité par la notification de l'incident au guichet unique opéré par l'autorité nationale de sécurité des systèmes d'information. Amendement travaillé avec le Cybercercle.

• 191·ARTICLE 8

  La directive NIS2 prévoit que les prestataires de soins appartiennent au secteur hautement critique « Santé ». Ce secteur est soumis aux critères de taille pour déterminer si l'entité est régulée, et si elle est essentielle ou importante aux termes du a) du 1. et du 2. de l'article 3 de la directive. En l'état de sa rédaction, le projet de loi ne traite pas explicitement des établissements de santé et les catégories retenues ne permettent pas de refléter de façon adéquate la nature de certains d'entre eux. Le cas des établissements privés lucratifs ne présente pas d'ambigüité : ils constituent des entreprises, et sont donc couverts par les dispositions du 1° des articles 8 et 9 du présent projet de loi. Le cas des établissements publics de santé est moins explicite, car si le droit européen reconnait de manière constante la nature d'entreprise de tout établissement de santé, quel que soit son statut, les établissements publics de santé ne sont pas au regard du droit national des entreprises. Ils bénéficient ainsi d'un statut spécifique dans le code de la santé publique (art. L. 6141-1) et ne disposent en outre pas d'un chiffre d'affaires, critère permettant d'évaluer si certaines entités entrent ou non dans le dispositif. Les établissements de santé privés d'intérêt collectif, ainsi que les établissements et services médico-sociaux gérés par des organismes de droit privé à but non lucratif, lorsqu'ils délivrent des prestations de soins, n'entrent pas non plus dans ces catégories, gérés pour beaucoup par une association ou une fondation, dépourvues elles aussi de chiffre d'affaires. L'amendement proposé permet de lever cette ambiguïté, en ajoutant un alinéa qui leur est dédié dans les articles 8 et 9, et qui utilise la notion de produits d'exploitation en lieu et place de celle de chiffre d'affaires, cette notion existant bien pour les établissements concernés.

• 189·ARTICLE 43 A

  Il convient de rectifier le comptage des lignes du tableau compteur Lifou des articles L. 783-2, L. 784-2 et L. 785-2 car celui-ci, depuis son écriture initiale en 2024, a été modifié par l'ordonnance n° 2026-255 du 8 avril 2026. La création de l'article L. 612-24-1 nécessite une adaptation concernant la directive du 14 décembre 2022 qui ne peut pas s'appliquer en l'état dans les collectivités ultramarines du Pacifique que sont la Nouvelle-Calédonie, la Polynésie française et les îles Wallis et Futuna qui sont des pays et territoires d'outre-mer où le droit européen ne s'applique pas.

• 341·ARTICLE 39

  Correction. L'article modifié du code des postes et des communications électroniques est l'article L. 45-4, et la définition des agents agissant pour le compte d'un bureau d'enregistrement figure au 1° bis de l'article 6 du présent projet de loi, qui ne comporte pas de 2° ter.

• 381·ARTICLE 26

  Cet amendement limite l'intervention des experts privés à un rôle consultatif et réserve aux agents publics la constatation des manquements. Le texte issu de la commission prévoit déjà que les experts habilités interviennent sous le contrôle des agents publics. Il les autorise néanmoins à concourir à la recherche des manquements, sans limiter explicitement leur intervention à un rôle consultatif. La cybersécurité relève d'une mission régalienne intimement liée à la souveraineté nationale. Le recours à une expertise extérieure ne doit pas conduire à externaliser la capacité de contrôle de l'État, avec les risques de conflits d'intérêts et de dilution des responsabilités que cela comporte. Le présent amendement précise donc la frontière entre l'appui apporté par des experts privés et l'exercice des prérogatives publiques. Il permet de mobiliser des compétences techniques extérieures tout en maintenant la responsabilité du contrôle entre les mains des agents publics. Le renforcement des moyens et des compétences de l'ANSSI doit demeurer la priorité pour assurer une application indépendante et effective des obligations de cybersécurité.

• 334·ARTICLE 29

  Les audits de sécurité réalisés par un organisme indépendant désigné par l'ANSSI donnent accès aux informations les plus sensibles des entités contrôlées, à commencer par leurs vulnérabilités. Ces informations ne doivent pas pouvoir être captées au profit d'une puissance étrangère. Le présent amendement réserve ces audits à des organismes dont le siège social est situé dans l'Union européenne, première garantie de leur soumission au droit européen.

• 314·ARTICLE 9

  Le présent amendement réserve le statut d'entité importante aux communautés de communes de 30 000 habitants et plus, soit environ 210 intercommunalités, par cohérence avec le seuil retenu pour les communes à l'article 8. Il reprend une proposition de l'Association des maires de France, portée en commission par des députés de plusieurs groupes.

• 382·ARTICLE 28

  Cet amendement vise à exonérer les collectivités territoriales, leurs groupements et leurs établissements publics administratifs de l'amende prévue à l'article 28 pour obstacle au contrôle. Le texte issu de la commission les exclut déjà des amendes sanctionnant les manquements aux obligations de cybersécurité, prévues à l'article 37. L'article 28 conserve toutefois une sanction financière distincte pour obstacle au contrôle, dont seuls l'État et ses établissements publics administratifs sont expressément exemptés. Imposer de telles sanctions financières aux collectivités pourrait aggraver leurs contraintes budgétaires et réduire les ressources qu'elles peuvent consacrer à l'amélioration de leur cybersécurité et à la continuité des services publics locaux. Il convient de privilégier l'accompagnement, la formation et le soutien technique pour permettre aux collectivités de répondre effectivement aux exigences de sécurité et de contrôle. La cybersécurité des services publics ne sera pas renforcée en prélevant sur les budgets nécessaires à leur sécurisation. Le présent amendement maintient l'obligation de coopération avec les agents chargés du contrôle. Il écarte uniquement l'amende administrative prévue au présent article, afin de concilier les impératifs de cybersécurité avec la réalité budgétaire des collectivités territoriales.

• 331·ARTICLE 17

  Un même incident peut devoir être déclaré à plusieurs autorités, dans des formes et des délais distincts. De plus devant la commission spéciale, le 1er octobre 2026, le directeur général de l'ANSSI a reconnu qu'un même incident pouvait devoir être notifié quatre fois à cette entité... Un hôpital public désigné opérateur d'importance vitale et frappé par un rançongiciel devra le notifier à l'ANSSI dans les vingt-quatre heures (article 17) et à l'autorité administrative dans le même délai (article L. 1332-7 du code de la défense), le signaler sans délai à l'agence régionale de santé (article L. 1111-8-2 du code de la santé publique), puis à la CNIL sous soixante-douze heures au titre du RGPD, alors même que ses équipes sont mobilisées pour rétablir les soins. Le présent amendement applique à ces notifications la solution retenue par la commission pour les entités financières contrôlées par l'Autorité des marchés financiers (article 45 bis) : un document unique, transmis simultanément à toutes les autorités destinataires. Il ne modifie ni les délais ni le contenu des notifications, et laisse intacte la notification à la CNIL, qui relève du règlement européen. La Commission européenne a d'ailleurs proposé, le 19 novembre 2025, un point d'entrée unique pour les notifications d'incidents à l'échelle de l'Union Européenne.

• 362·ARTICLE PREMIER

  Le présent amendement vise à préciser la transposition de la directive européenne sur la résilience des entités critiques. Le projet de loi emploie la notion de perturbation d'une activité d'importance vitale, sans préciser les critères permettant d'en apprécier concrètement l'ampleur. Or, la directive prévoit explicitement que cette appréciation repose notamment sur le nombre de personnes concernées, les dépendances d'autres activités essentielles, l'étendue géographique, la durée et l'intensité de la perturbation, ainsi que l'existence de solutions alternatives. Tout comme la directive, il est donc proposé de préciser ces critères dans la loi. De telles dispositions permettraient de donner aux pouvoirs publics comme aux opérateurs un cadre commun pour distinguer les incidents susceptibles d'affecter réellement la continuité des fonctions essentielles du pays de ceux dont les conséquences demeurent limitées. Il ne s'agit pas d'alléger les exigences de résilience, mais de les proportionner à l'impact réel d'une interruption de service. Cette précision est particulièrement nécessaire pour les services territoriaux, tels que les petits réseaux de chaleur et de froid : des obligations conçues sans considération de l'ampleur effective d'un incident pourraient générer des coûts disproportionnés, in fine supportés par les collectivités et les usagers, sans bénéfice équivalent pour la sécurité des services. Amendement travaillé avec la FEDENE.

• 387·APRÈS L'ARTICLE 60, insérer l'article suivant:

  Cet amendement introduit un principe de préférence encadrée pour l'externalisation des services numériques des mutuelles et unions. Il repose sur des critères objectifs, tout en prévoyant une dérogation permettant d'éviter toute distorsion excessive dans l'accès aux services de technologies de l'information et de la communication. Les organismes concernés doivent privilégier des prestataires présentant des garanties de sécurité reconnues et assujettis en France à l'impôt sur les sociétés. Cette orientation contribue à soutenir la filière et à renforcer la maîtrise des services numériques dont dépendent leurs activités. Le renforcement de la résilience opérationnelle numérique doit s'accompagner d'une politique de souveraineté agissant sur les dépendances technologiques. La possibilité de dérogation, soumise à une autorisation expresse de l'autorité de contrôle compétente et à la démonstration de l'absence d'offre répondant aux critères, préserve la continuité des activités.

• 243·ARTICLE 27

  Cet amendement procède à une harmonisation avec les modalités de contrôle énoncées par les dispositions de l'alinéa 70 de l'article 1er.

• 237·ARTICLE 37

  Cet amendement poursuit deux objectifs : - viser clairement à l'alinéa 1er les dispositions dont relèvent les sanctions applicables aux entités mentionnées au I de l'article 37, notamment aux opérateurs d'importance vitale ; - clarifier les modalités de calcul du quantum de la sanction pour les entités mentionnées à l'alinéa 4 et le quantum de la sanction applicable aux cas de manquement aux obligations prévues au chapitre III (obligations de coopération dans le cadre d'un contrôle et obstacle) pour les prestataires, organismes et fournisseurs mentionnés aux alinéas 7 et 8, de façon analogue aux entités mentionnées au I de l'article 37.

• 300·ARTICLE 16 BIS

  Le présent amendement supprime l'article 16 bis, conformément à la recommandation n° 14 du rapport remis au Premier ministre par notre ancien collègue, M. Florent Boudié, « Les politiques publiques de sécurité à l'ère numérique » (septembre 2026). Introduit au Sénat contre l'avis du Gouvernement et de la commission, cet article a été modifié par la commission spéciale de l'Assemblée nationale. Supprimer cet article ne revient pas à défendre les « portes dérobées ». Le même rapport recommande d'écarter toute disposition comparable à l'ancien article 8 ter[i] tant qu'aucune solution technique ne permet un accès ciblé aux contenus sans affaiblir le chiffrement (recommandation n° 17). L'objectif de protéger l'intégrité du chiffrement est légitime, singulièrement en matière de cyber sécurité. Toutefois, la rédaction adoptée en commission dépasse cet objectif. La commission a en effet ajouté le terme de « processus » à celui de « mécanisme ». Elle entendait ainsi interdire aussi des dispositifs qui ne sont pas intégrés techniquement aux systèmes de chiffrement, comme la conservation ou la transmission de copies de clés privées. Cet ajout étend l'interdiction au-delà de l'architecture technique des services, jusqu'aux obligations de coopération elles-mêmes. Il entre ainsi en contradiction avec le droit existant, en particulier avec l'article L. 871-1 du code de la sécurité intérieure, qui impose aux prestataires de cryptologie de remettre leurs conventions de déchiffrement. Le Conseil constitutionnel pourrait d'ailleurs être amené à censurer ces dispositions normatives contradictoires, rappelant que la loi doit être claire, précise et exécutoire. Ce champ élargi s'ajoute à trois imprécisions du texte. 1. Aucune technique de renseignement ou d'enquête ne repose sur le consentement de la personne visée : interception, réquisition, captation de données informatiques. Interdire tout « processus » permettant un « accès non consenti » menace donc le principe même de ces techniques. 2. Les « données protégées » ne sont pas définies. Elles pourraient désigner non seulement les données chiffrées, mais aussi toute donnée accessible par un identifiant, un code PIN ou un dispositif biométrique. 3. La notion de « fournisseur de services de chiffrement » ne correspond à aucune catégorie juridique. Elle pourrait englober des réseaux sociaux, des plateformes collaboratives ou des services de visioconférence. Ces ambiguïtés produiraient des effets que les auteurs du texte ne maîtrisent pas. Les opérateurs ne manqueraient pas d'invoquer la portée générale de l'article pour tenter de se soustraire à leurs obligations en matière d'interceptions légales. Il en résulterait un contentieux abondant et une insécurité juridique pour nos services d'enquête administratifs et judiciaires. La Délégation parlementaire au renseignement a elle-même alerté sur ce risque. En outre, en adoptant seule ce principe, la France s'isolerait au moment où les États membres de l'Union recherchent une réponse commune au chiffrement « de bout en bout ». Aucun autre État membre ne s'est doté d'une telle disposition. Enfin, l'article 16 bis est le principal point de blocage de ce projet de loi, qui doit transposer la directive NIS 2. Cette transposition aurait dû intervenir au plus tard le 17 octobre 2024. La Commission européenne a engagé une procédure en manquement contre la France, avec une mise en demeure le 28 novembre 2024 puis un avis motivé le 7 mai 2025. Comme l'écrit le rapport de Florent Boudié, dans sa conclusion : "Il faut donc ici renverser le raisonnement : ce n'est pas de l'obligation juridique que peut naître la solution technique ; c'est de l'identification préalable d'une solution technique, permettant un accès ciblé aux contenus protégés, sans compromettre l'intégrité du chiffrement, et donc en protégeant notre sécurité numérique comme nos libertés publiques, que pourrait procéder, le cas échéant, une nouvelle obligation légale." Cette condition n'est pas aujourd'hui réunie, c'est la conclusion du rapport Boudié. Elle n'en conclut pas qu'il faille renoncer à la rechercher. Au contraire, elle préconise d'intensifier les travaux déjà engagés par les services de l'État pour identifier les différentes hypothèses de travail, dont certaines ont été décrites dans son rapport. Plus encore, la mission préconise de porter ces travaux à une échelle plus structurée et offensive, d'en modéliser et éprouver la faisabilité, ainsi que les garanties, puis d'en organiser le développement et la confrontation, y compris avec les plateformes. Il nous revient donc d'écarter toute disposition comparable à l'ancien article 8 ter ou en miroir à cet article 16 bis, tant que n'a pas été établie la faisabilité d'une solution technique permettant un accès strictement ciblé aux contenus protégés, sans compromettre le chiffrement, la confidentialité des échanges ni la sécurité des systèmes numériques. Cet article 16 bis n'a rien à voir avec le projet de loi, sans que cet article n'ait de portée normative réelle (c'est-à-dire sans créer de véritables obligations, droits ou sanctions), mais en laissant planer des menaces qui seraient assurément exploitées pour parvenir au classement de nombre de procédures judiciaires en cours et venir. En droit français, le Conseil constitutionnel censure d'ailleurs régulièrement ces dispositions dépourvues de portée normative, rappelant que la loi doit être claire, précise et exécutoire. Pour ces raisons, il est proposé de supprimer cet article. [i] Inscrit par le Sénat et rejeté par l'Assemblée, dans la Ioi n° 2025-532 du 13 juin 2025 visant à sortir la France du piège du narcotrafic.

• 236·ARTICLE 36

  Rédactionnel, en lien avec l'amendement rédactionnel de l'article 35 visant à spécifier les règles dont la commission des sanctions statuera sur les manquements.

• 257·APRÈS L'ARTICLE 24, insérer l'article suivant:

  Le présent amendement vise à mieux prendre en compte, dans la commande publique, les manquements graves aux obligations de sécurité susceptibles d'affecter la résilience des systèmes et services numériques. Cette articulation est cohérente avec le règlement (UE) 2016/679, dont l'article 32 impose au responsable du traitement et au sous-traitant de mettre en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque. Ces mesures doivent notamment permettre d'assurer la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et services de traitement, ainsi que de rétablir l'accès aux données dans des délais appropriés en cas d'incident. Un manquement grave à ces obligations, lorsqu'il fait l'objet d'une sanction définitive, peut ainsi révéler une insuffisance affectant directement la sécurité ou la résilience des services numériques fournis à un acheteur public. Le dispositif est toutefois limité aux manquements relevant de la sécurité des traitements. Il ne permet donc pas d'assimiler à un risque de résilience tout manquement au règlement général sur la protection des données. L'amendement s'inscrit par ailleurs dans la continuité de l'article L. 2141-7 du code de la commande publique, qui permet déjà à l'acheteur d'exclure un opérateur ayant fait l'objet, au cours des trois années précédentes, de certaines sanctions en raison d'un manquement grave ou persistant à ses obligations contractuelles. Enfin, l'exclusion demeure facultative et soumise au mécanisme de rétablissement de la fiabilité prévu à l'article L. 2141-11. L'opérateur peut ainsi démontrer qu'il a pris des mesures correctrices suffisantes pour prévenir la réitération du manquement. Cet amendement a été travaillé par Hexatrust.

• 351·ARTICLE 39

  Rédactionnel. Conséquence du texte non traité à l'article L. 212-2 du CRPA.

• 286·ARTICLE 27Retiré après publication

  Cet amendement vise à permettre aux agents et personnels chargés de rechercher et constater les manquements aux obligations mentionnées à l'article 26 du projet de loi pour lesquels il est nécessaire que ces derniers puissent se rendre dans les lieux d'exécution de prestations de l'entité contrôlée, lorsqu'il s'agit en particulier des organismes d'évaluation de la conformité relevant du règlement CSA mentionné au 2° de l'article 26 et des prestataires de services de confiance du règlement e-IDAS mentionné au 1° de l'article 26. En effet dans ces cas, les contrôles du respect de leurs obligations par les entités pourront inclure des constatations faites lorsque l'entité contrôlée délivre une prestation à ses clients, puisqu'elles sont soumises pour certaines au respect d'exigences qui supposent d'en vérifier concrètement le déroulement, dans des locaux à usage professionnel autres que ceux de l'entité. Le cas de contrôles dans des lieux d'exécution de prestations de service dont bénéficie l'entité contrôlée est également envisagé, notamment en lien avec la vérification de la maîtrise par l'entité de sa chaîne d'approvisionnement, dont la meilleure sécurisation est l'un des objectifs de la directive NIS2. Les termes de « lieux d'exécution d'une prestation de services » sont par ailleurs ceux retenus pour les modalités d'accès aux locaux prévues à l'article 1er alinéa 68 du chapitre I du titre I.

• 350·ARTICLE 62 A

  Le présent amendement, de nature rédactionnelle et clarificatrice, vise à reconnaître l'équivalence entre le règlement DORA et le cadre issu de la directive NIS2 pour les entités financières concernées. En matière de résilience opérationnelle numérique, le secteur financier est un précurseur. Avec le règlement DORA, ce dernier prévoit un cadre commun pour la gestion des risques liés aux technologies de l'information et de la communication (TIC). Il définit des règles en matière de cybersécurité et de gestion des risques informatiques qui s'appliquent à un grand nombre d'entités financières. Ce règlement fixe notamment des obligations en matière de gouvernance, de gestion des risques informatiques, de notification des incidents, de tests de résilience et de maîtrise des risques liés aux prestataires tiers. Cette articulation est expressément reconnue par la commission européenne, dont les lignes directrices de septembre 2023 précise que le règlement DORA constitue, pour les entités financières concernées, le cadre sectoriel spécifique applicable en matière de résilience opérationnelle numérique et se substitue aux dispositions correspondantes de NIS2. Il consacre ainsi un niveau d'exigence adapté aux spécificités du secteur financier, sans qu'il soit nécessaire d'y superposer un second cadre poursuivant les mêmes objectifs. Dans ce contexte, l'application d'un cadre supplémentaire aux entités financières concernées serait source d'insécurité juridique, dès lors que deux exigences poursuivant un objet comparable pourraient néanmoins être interprétées ou appréciées différemment par les autorités compétentes. Elle ferait en outre peser un risque de double supervision, notamment entre l'Agence nationale de la sécurité des systèmes d'information (ANSSI) et l'Autorité de contrôle prudentiel et de résolution (ACPR), pour des entités relevant déjà du régime spécifique prévu par DORA. Le présent amendement vise ainsi à sécuriser l'articulation entre le cadre sectoriel prévu par DORA et les exigences issues de NIS2 applicables aux entités d'assurance. Il précise que, pour les entités assujetties au règlement DORA, les dispositions de ce règlement s'appliquent en lieu et place des exigences correspondantes de NIS2, notamment en matière de gestion des risques de cybersécurité, de notification des incidents et de supervision. Cette clarification permet d'éviter des exigences redondantes ou divergentes entre autorités, tout en maintenant un niveau d'exigence élevé et en garantissant une application plus lisible et cohérente du cadre européen.

• 374·APRÈS L'ARTICLE 2, insérer l'article suivant:

  Les réseaux de communications électroniques constituent une infrastructure critique. Ils ont fait l'objet de sabotages répétés sur le territoire national : sectionnements coordonnés de câbles de fibre optique en avril 2022 et à l'été 2024, et atteintes aux câbles sous-marins en Europe. Ces actes ont été facilités par la grande disponibilité de cartographies publiques et précises des artères, des chambres et des sites techniques. Le présent amendement interdit la diffusion au public de ces informations, quel qu'en soit le support et quel qu'en soit l'auteur. Il respecte les exigences constitutionnelles de nécessité, d'adaptation et de proportionnalité : – seules les informations dont la précision permet de localiser les infrastructures sont visées, selon un seuil fixé par décret en Conseil d'État après avis de l'ANSSI et de l'Arcep ; – l'infraction suppose une intention, et ses peines sont graduées selon le but poursuivi ; – les données agrégées, l'information journalistique et les échanges nécessaires à la régulation, à la sécurité des travaux et aux relations entre opérateurs restent libres ; – les mesures de retrait relèvent du juge judiciaire. Le dispositif est conforme au droit de l'Union. Le règlement (UE) 2024/1309 autorise expressément la restriction de l'accès aux informations sur les infrastructures physiques pour des motifs de sécurité. Les mesures visant les intermédiaires s'inscrivent dans le cadre de l'article 9 du règlement (UE) 2022/2065. Cet amendement présente un lien direct avec l'objet du projet de loi, qui porte sur la résilience des infrastructures critiques.

• 242·ARTICLE 27

  Amendement de clarification sur le rôle des agents et personnels, dont ceux des organismes indépendants, et des experts mentionnés à l'article 26 et à l'article 27. Cet amendement vise à préciser, en lien avec l'alinéa 9 de l'article 26, que les agents et personnels des organismes indépendants et les experts peuvent également accéder aux locaux et accomplir certaines tâches dans le cadre des contrôles, dans le respect des conditions de l'article 26 et du cadre de leur habilitation. Il vise également à ce que les garanties de secret professionnel leur soient applicables dès lors qu'ils seront susceptibles d'avoir connaissance d'informations sensibles dans l'exercice de leur mission.

• 254·ARTICLE 5 BIS

  L'article 7, paragraphe 2, point b), de la directive (UE) 2022/2555 prévoit que la stratégie nationale en matière de cybersécurité comprend une politique relative à « l'inclusion et la spécification d'exigences liées à la cybersécurité pour les produits et services TIC dans les marchés publics », notamment en matière de certification de cybersécurité, de chiffrement et d'utilisation de produits de cybersécurité en sources ouvertes. Le présent amendement vise à assurer la pleine prise en compte de cette exigence dans la stratégie nationale. Il complète cette politique en prévoyant la prise en compte des facteurs de risque non techniques liés aux fournisseurs et prestataires de services. Cette approche est cohérente avec l'article 21, paragraphe 3, de la directive, qui impose de tenir compte des vulnérabilités propres aux fournisseurs et prestataires de services directs, ainsi qu'avec l'article 22, qui prévoit que les évaluations coordonnées des risques pour la sécurité des chaînes d'approvisionnement critiques tiennent compte, le cas échéant, de facteurs de risque non techniques. Les considérants 90 et 91 mentionnent quant à eux l'influence de pays tiers, les vulnérabilités cachées ou portes dérobées, les ruptures systémiques d'approvisionnement, le verrouillage technologique et la dépendance à l'égard d'un fournisseur. Dans ce cadre, la soumission d'un fournisseur, ou d'une entité qui le contrôle, à une législation d'un État non membre de l'Union européenne susceptible de permettre un accès non consenti aux données ou aux systèmes d'information constitue un facteur de risque pertinent dans l'appréciation de la sécurité de la chaîne d'approvisionnement. L'amendement vise également les mécanismes susceptibles de permettre la désactivation, l'interruption ou la restriction à distance du fonctionnement d'un produit ou service, dès lors qu'ils peuvent affecter la maîtrise, la continuité ou la résilience des solutions numériques acquises par les acteurs publics. Cet amendement est soutenu par Hexatrust, AFNIC et le CESIN

• 395·ARTICLE 5 BIS

  Le présent amendement vise à inclure explicitement les collectivités territoriales parmi les acteurs devant bénéficier des actions de sensibilisation à la cybersécurité prévues par le plan national. Les collectivités territoriales sont aujourd'hui fortement dépendantes des systèmes numériques pour assurer leurs missions de service public. Elles sont déjà exposées à des attaques par rançongiciel, à des tentatives d'hameçonnage, à des vols de données ou à des interruptions de leurs services numériques. Le renforcement de leur niveau de cyberprotection, de cyberhygiène et la diffusion de bonnes pratiques constituent ainsi un enjeu important de résilience, tant pour la protection des systèmes d'information que pour la continuité des services publics locaux.

• 215·APRÈS L'ARTICLE 15, insérer l'article suivant:Retiré avant publication
• 190·ARTICLE 45 BIS

  Cet amendement vise à désigner l'Autorité des marchés financiers comme autorité compétente chargée de recevoir les déclarations d'incidents et les notifications de cybermenaces de la part des entités financières relevant de sa surveillance, conformément au deuxième alinéa du paragraphe 1 de l'article 19 du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier (DORA). Une communication additionnelle est toutefois prévue au bénéfice de l'ANSSI, de manière obligatoire pour les entités assujetties à NIS2 et sur base volontaire pour les autres entités, afin de faciliter l'information rapide et le traitement de ces incidents et menaces par l'ANSSI. Les collectivités ultramarines du Pacifique que sont la Nouvelle-Calédonie, la Polynésie française et les îles Wallis et Futuna régies par le principe de spécialité législative où toute création, modification ou abrogation d'articles métropolitains relevant de la sphère de compétence de l'Etat, en l'occurrence en matière bancaire et financière, doivent être rendues applicables par mention expresse.

• 216·ARTICLE 31Retiré avant publication
• 224·ARTICLE 14

  Cet amendement vise à supprimer la prise en compte du degré d'exposition au risque des personnes dans la formation des membres des organes de direction. Cette disposition est contraire à la directive, qui prévoit la formation de tous les membres des organes de direction des entités indépendamment de leur exposition au risque. En outre, cette disposition oblige les entités à évaluer l'exposition au risque des membres de ses organes de direction et d'adapter son plan de formation en conséquence, faisant peser sur les entités une charge supplémentaire qui n'est pas prévue par la directive et peut paraître disproportionnée, a fortiori à l'égard des entités importantes, au regard de la complexité de cette évaluation et du coût financier qu'elle représente. Enfin, le Gouvernement prévoit dans les objectifs de sécurité qui seront définis au niveau réglementaire l'obligation pour les entités de sensibiliser à la sécurité numérique l'ensemble des personnels et en particulier les dirigeants et de former les personnes occupant des fonctions à responsabilités dans le domaine du numérique, permettant ainsi d'assurer un niveau de sensibilisation et de formation homogène au sein de l'entité.

• 353·ARTICLE PREMIER

  Cet amendement vise à harmoniser les définitions de la notion de résilience entre les titres I et II du projet de loi, et à mettre en conformité cette définition avec celle prévue dans les directives transposées 2022/2557 et 2022/2555.

• 338·ARTICLE 37

  Amendement de correction.

• 385·APRÈS L'ARTICLE 54, insérer l'article suivant:

  Cet amendement introduit un principe de préférence encadrée qui repose sur des critères objectifs, tout en prévoyant une dérogation permettant d'éviter toute distorsion excessive dans l'accès aux services de technologies de l'information et de la communication. Lorsque les entités du secteur financier externalisent leurs services numériques, elles doivent privilégier des prestataires présentant des garanties de sécurité reconnues et assujettis en France à l'impôt sur les sociétés. Cette orientation contribue à soutenir la filière et à renforcer la maîtrise des services numériques dont dépendent les infrastructures financières. Les exigences de résilience doivent s'accompagner d'une politique de souveraineté numérique agissant sur les dépendances technologiques. La possibilité de dérogation, soumise à une autorisation expresse de l'autorité de contrôle compétente et à la démonstration de l'absence d'offre répondant aux critères, préserve la continuité des activités.

• 364·ARTICLE 14

  Le présent amendement vise à encadrer l'élaboration du futur référentiel d'exigences techniques et organisationnelles afin que les obligations de cybersécurité soient adaptées à la réalité des risques. Ce référentiel déterminera concrètement les mesures que devront mettre en œuvre plusieurs milliers d'entités. Il est donc essentiel que son niveau d'exigence ne soit pas défini de manière uniforme, mais qu'il tienne compte de l'exposition au risque, de la taille de l'entité, de la probabilité et de la gravité des incidents, ainsi que de l'ampleur des perturbations qu'ils seraient susceptibles de provoquer. L'ajout de la notion d'« effet perturbateur important », tel que proposé dans le présent amendement, permet de mieux apprécier les conséquences réelles d'une défaillance sur les usagers, les territoires et les autres activités essentielles. Il donne ainsi une traduction concrète au principe de proportionnalité, sans remettre en cause l'ambition du projet de loi en matière de cybersécurité. Cette précision assure également la cohérence entre les exigences de résilience applicables aux activités d'importance vitale et les obligations de cybersécurité prévues par le présent projet de loi. Les deux volets doivent poursuivre le même objectif : permettre aux opérateurs de mettre en œuvre des mesures adaptées aux menaces auxquelles ils sont exposés et à l'impact réel qu'aurait une interruption de leurs services. La directive NIS 2 impose bien une appréciation tenant compte notamment de la taille de l'entité, de son exposition au risque, de la probabilité et de la gravité des incidents, y compris de leurs conséquences sociales et économiques. À défaut, l'application uniforme du référentiel pourrait faire peser sur des services locaux des charges financières et opérationnelles disproportionnées au regard des risques encourus. Tel pourrait notamment être le cas de petits réseaux de chaleur et de froid, pour lesquels le coût de ces obligations serait nécessairement répercuté sur les abonnés. Cet amendement a été travaillé avec la FEDENE.

• 278·ARTICLE 14

  Cet amendement vise à prévoir la possibilité de prescrire, par décret et non dans le référentiel mentionné à l'article 14, le recours à des produits, services ou processus certifiés dans le cadre de schémas européens de certification de cybersécurité adoptés conformément à l'article 49 du règlement (UE) 2019/881. En effet, en l'état du texte, l'alinéa 8 du présent article ouvre la possibilité pour le référentiel d'exigences techniques de prescrire le recours à des produits, ce qui reviendrait à lui conférer une portée contraignante à l'égard de l'ensemble des personnes mentionnées à l'article 14, y compris en matière de recours à des produits, services ou processus certifiés. Ce référentiel n'ayant pas vocation à avoir une telle portée, il est proposé de corriger cette erreur de plume. Par cohérence, il est proposé de supprimer l'alinéa 8, devenu sans objet.

• 348·ARTICLE 13

  Le présent amendement, de nature rédactionnelle et clarificatrice, vise à reconnaître l'équivalence entre le règlement DORA et le cadre issu de la directive NIS2 pour les entités financières concernées. En matière de résilience opérationnelle numérique, le secteur financier est un précurseur. Avec le règlement DORA, ce dernier prévoit un cadre commun pour la gestion des risques liés aux technologies de l'information et de la communication (TIC). Il définit des règles en matière de cybersécurité et de gestion des risques informatiques qui s'appliquent à un grand nombre d'entités financières. Ce règlement fixe notamment des obligations en matière de gouvernance, de gestion des risques informatiques, de notification des incidents, de tests de résilience et de maîtrise des risques liés aux prestataires tiers. Cette articulation est expressément reconnue par la commission européenne, dont les lignes directrices de septembre 2023 précise que le règlement DORA constitue, pour les entités financières concernées, le cadre sectoriel spécifique applicable en matière de résilience opérationnelle numérique et se substitue aux dispositions correspondantes de NIS2. Il consacre ainsi un niveau d'exigence adapté aux spécificités du secteur financier, sans qu'il soit nécessaire d'y superposer un second cadre poursuivant les mêmes objectifs. Dans ce contexte, l'application d'un cadre supplémentaire aux entités financières concernées serait source d'insécurité juridique, dès lors que deux exigences poursuivant un objet comparable pourraient néanmoins être interprétées ou appréciées différemment par les autorités compétentes. Elle ferait en outre peser un risque de double supervision, notamment entre l'Agence nationale de la sécurité des systèmes d'information (ANSSI) et l'Autorité de contrôle prudentiel et de résolution (ACPR), pour des entités relevant déjà du régime spécifique prévu par DORA. Le présent amendement vise à clarifier le régime applicable aux entités financières soumises à DORA lorsqu'elles sont également qualifiées d'entités essentielles, importantes ou d'opérateurs d'importance vitale (OIV). Il précise que le règlement DORA est applicable en lieu et place des dispositions équivalentes issues de NIS2, notamment en matière de gestion des risques, de notification des incidents et de supervision. Il sécurise ainsi l'application d'un cadre unique, sans créer d'obligation nouvelle ni réduire le niveau d'exigence applicable, les OIV demeurant soumis aux exigences spécifiques relatives à leurs systèmes d'information d'importance vitale.

• 268·ARTICLE 2

  Amendement de coordination.

• 251·ARTICLE 40

  Cet amendement rédactionnel vise à corriger une omission dans les références textuelles mentionnées à la fin de l'alinéa 6 de l'article 40.

• 291·ARTICLE 36Retiré après publication

  Rédactionnel, en lien avec l'amendement rédactionnel de l'article 35 visant à spécifier les règles dont la commission des sanctions statuera sur les manquements.

• 397·ARTICLE 16 BIS

  L'article 16 bis du présent projet de loi, inséré par voie d'amendement lors de l'examen au Sénat, dispose qu'« il ne peut être imposé aux fournisseurs de services de chiffrement, y compris aux prestataires de services de confiance qualifiés, l'intégration de dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d'information et des communications électroniques tels que des clés de déchiffrement maitresses ou tout autre mécanisme ou processus permettant un accès non consenti aux données protégées ». Ces dispositions présentent un risque majeur pour la sécurité nationale puisqu'elles entraveraient l'action des services judiciaires et de renseignement en interdisant d'imposer tout mécanisme ou processus permettant d'accéder à des données protégées. Le conflit normatif avec le cadre actuel des interceptions légales en France, qui découlerait de l'adoption de l'article 16 bis, serait de nature à permettre aux opérateurs de communications électroniques, dont les opérateurs de téléphonie « classiques », de s'exonérer de leurs obligations de coopération avec les autorités judiciaires et administratives. Cela fragiliserait gravement la capacité des services de police et de justice à agir contre la criminalité. En matière judiciaire, une très large part des investigations dépend de l'accès aux preuves numériques, dans un contexte technologique en constante évolution. En premier lieu, l'interdiction de l'accès aux données protégées entraverait les moyens aujourd'hui accessibles tant aux services d'enquête judiciaire qu'aux services de renseignement, pour l'ensemble des menaces à la sécurité contre lesquelles nous devons lutter. Pour rappel, une interception légale peut être autorisée par un juge d'instruction, pour les crimes et délits punis d'une peine égale ou supérieure à trois ans d'emprisonnement, ou par un juge des libertés et de la détention pour les seuls crimes et délits relevant de la criminalité et de la délinquance organisées ou du terrorisme (articles 706-73 et 706-73-1 du code de procédure pénale (CPP)). Elle peut également être autorisée par le Premier ministre, après avis de la commission nationale de contrôle des techniques de renseignement (CNCTR), pour permettre aux services de l'État de recueillir des renseignements relatifs à la défense et à la promotion des intérêts fondamentaux de la Nation. Les opérateurs de communications électroniques et les fournisseurs de services numériques doivent répondre aux demandes formulées dans le cadre des techniques de renseignement et d'enquête judiciaire numérique. En effet, les opérateurs de communications électroniques doivent « mett[re] en place et assure[r] la mise en œuvre des moyens nécessaires pour répondre aux demandes effectuées dans le cadre des techniques d'enquêtes numériques judiciaires (…) et des techniques de renseignements formulés en application du livre VIII du code de la sécurité intérieure » (article D. 98-7 du code des postes et des communications électroniques). Il ne peut être dérogé à ces obligations que « lorsque des obstacles techniques le justifient ou lorsque les coûts à exposer pour satisfaire à ces conditions sont disproportionnés (…) ». Pour assurer l'effectivité de la coopération des opérateurs, l'article L. 871-1 du code de la sécurité intérieure (CSI) prévoit que « les personnes physiques ou morales qui fournissent des prestations de cryptologie visant à assurer une fonction de confidentialité sont tenues de remettre [aux autorités] les conventions permettant le déchiffrement des données transformées au moyen des prestations qu'elles ont fournies », sauf si celles-ci démontrent qu'elles ne sont pas en mesure de satisfaire à ces réquisitions. Par principe, ces techniques judiciaires et administratives reposent sur l'accès non consenti à des données protégées. Or, l'interdiction des « mécanismes ou processus permettant un accès non consenti » sape les fondements mêmes des investigations pénales ou en renseignement, rendant de facto inapplicables des techniques essentielles à la résolution des affaires ou à la prévention des atteintes aux intérêts fondamentaux de la Nation. Au-delà de son impact en matière de lutte antiterroriste, cette interdiction pourrait notamment mettre en danger la manifestation de la vérité et l'appréhension des auteurs dans des dossiers correspondant aux politiques pénales prioritaires du Gouvernement : Les violences sexuelles sur mineurs : dans ces procédures, les techniques spéciales d'enquête sont essentielles. En cas d'enlèvement de mineur, l'accès à la géolocalisation de l'auteur est, par exemple, indispensable pour le retrouver le plus rapidement possible et ainsi secourir la victime. De manière plus générale, la démonstration des violences sexuelles sur mineurs s'appuie largement sur l'analyse des données de connexion des mis en cause. Les atteintes aux personnes : l'élucidation des affaires de violences repose, en large part, sur l'exploitation des données de géolocalisation afin d'identifier l'auteur. S'agissant des violences par conjoint, l'accès aux communications entre l'auteur et la victime est d'une importance cruciale pour caractériser les violences et pour évaluer la dangerosité de l'auteur. La lutte contre la criminalité organisée : Les délinquants sont rompus aux techniques mises en œuvre par les enquêteurs et utilisent les nouvelles technologies au service de leur recherche de l'impunité, à travers l'utilisation quasi exclusive de moyens de communication cryptés. Cette situation, combinée à leur utilisation d'exécutants pour réaliser les tâches les plus risquées, rend illusoire l'identification des donneurs d'ordre sans utilisation des techniques spéciales d'enquête. En administratif, l'accès à des données chiffrées a permis des avancées décisives dans des dossiers majeurs : l'entrave d'organisations criminelles recrutant des professionnels de la mer pour acheminer des tonnes de cocaïne sur le territoire national ou actives sur les grandes plateformes aéroportuaires nationales et recrutant des personnels ayant accès aux zones sûreté pour sortir les stupéfiants de la plate-forme. À ce titre, la possibilité de requérir le concours des opérateurs a été récemment confirmée par le législateur, qui a, dans la loi n° 2021-998 du 30 juillet 2021 relative à la prévention d'actes de terrorisme et au renseignement (dite loi PATR), étendu le champ des techniques de renseignement pour lesquelles l'autorité administrative peut solliciter les opérateurs au recueil de données informatiques (article L. 853-2 du CSI) et à la collecte de données de connexion par des IMSI catchers (article L. 851-6 du CSI). En deuxième lieu, en raison d'un périmètre large, cette interdiction concernerait l'ensemble des données protégées et l'ensemble des services de communications électroniques, y compris en matière de téléphonie ou de fourniture d'accès à internet, qui mobilisent aujourd'hui ou à l'avenir des mécanismes de protection des données, au-delà des seules messageries chiffrées. Si le rapport de la commission spéciale de l'Assemblée nationale texte précise que l'objectif de l'article est « d'interdire l'introduction de « portes dérobées » […] pour permettre aux services de renseignement d'accéder au contenu des messageries chiffrées », il assume également une ambition plus large, l'interdiction de pratiques diverses et notamment « la création d'un accès non consenti aux données protégées ». Or, les techniques de renseignement ou d'enquêtes numériques judiciaires répondent toutes, par essence, à cette définition, au titre des impératifs liés à la sécurité nationale ou de l'objectif à valeur constitutionnelle de recherche des auteurs d'infractions pénales. S'agissant des services concernés, en raison d'une formulation très extensive (« fournisseurs de services de chiffrement, y compris aux prestataires de services de confiance qualifiés »), toute entreprise proposant un moyen de chiffrement, même rudimentaire ou sans lien avec les informations requises par les autorités, serait considérée comme étant un fournisseur de service de chiffrement. S'agissant de la nature des mesures que la disposition vise à interdire, la rédaction porte non seulement sur les « dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d'information et des communications », mais aussi sur les « mécanismes ou processus permettant un accès non consenti aux données protégées ». L'interdiction englobe ainsi tout mécanisme de sécurité minimal mis en œuvre par l'opérateur ou l'utilisateur visé. Cela pourrait à l'extrême conduire à la constitution d'une forme d'« Eldorado français » pour les entreprises criminelles européennes. En dernier lieu, l'ensemble des techniques de renseignement prévues à l'article L. 871-6 du CSI ainsi que les techniques d'enquêtes numériques judiciaires seraient rendues inapplicables, alors que le recours à ces techniques est strictement encadré. Les techniques concernées seraient les suivantes : Interception des correspondances (articles L. 852-1 du CSI et 100, 706-95 du CPP) en incluant l'interception des conversations, des messages ou des données de connexion ; Accès à distance aux correspondances stockées par la voie des communications électroniques accessibles au moyen d'un identifiant informatique (articles 706-95-1 à 706-95-3 du CPP) ; Recueil de données de connexion (articles L. 851-1 du CSI et 60-1, 60-1-2, 60-2, 77-1-2, 99-3 et 99-4 du CPP) ; Recueil de données de connexion en temps réel (article L. 851-2 du CSI) ; Technique de l'algorithme (article L. 851-3 du CSI) ; Géolocalisation (article L. 851-4 du CSI et 230-32 à 230-42 du CPP) ; Recueil de données de connexion par IMSI catchers (articles L. 851-6 du CSI et 706-95-20 du CPP) ; Captation ou recueil de données informatiques (articles L. 853-2 du CSI et 706-102-1 du CPP). À titre d'exemple, pour le seul volet judiciaire, au mois d'octobre 2026 : La géolocalisation de téléphones mobiles représente plus de 51 000 mesures ; Il est dénombré plus de 4 millions de demandes de données de connexion ; 50 000 lignes téléphoniques ont été placées sous interceptions judiciaires. Ces techniques, qui permettent aux services de l'État, administratifs comme judiciaires, d'accéder à des données protégées, sont strictement encadrées. Elles sont contrôlées, selon les cas, par une autorité indépendante ou un magistrat. En matière judiciaire, l'accès aux données est conditionné à une autorisation préalable, motivée en droit et en fait, d'un juge d'instruction ou d'un juge des libertés et de la détention. En matière de renseignement, l'accès aux données est conditionné à une autorisation préalable du Premier ministre, après avis de la commission nationale de contrôle des techniques de renseignement (CNCTR), autorité administrative indépendante composée de parlementaires, de membres du Conseil d'État, de magistrats de la Cour de cassation et d'une personnalité qualifiée. Le service de renseignement doit formuler une demande écrite et motivée qui précise la technique, la proportionnalité de l'atteinte à la vie privée, les finalités (prévention du terrorisme, de la criminalité organisée, des ingérences étrangères, etc.) et les motifs qui justifient le recours aux techniques. Si le Premier ministre délivre une autorisation contre l'avis de la CNCTR, cette dernière saisit immédiatement le Conseil d'État d'un recours visant à contrôler la légalité de cette autorisation. Un tel cas de figure ne s'est encore jamais présenté. Pour toutes ces raisons, il est impérieux de supprimer l'article 16 bis qui représente une menace considérable pour la sécurité des Français. Au demeurant, il s'agit d'un cavalier dépourvu de lien direct ou indirect avec le projet de loi, dont l'objectif est de procéder à des adaptations de notre droit interne au droit de l'Union européenne en matière de cybersécurité.

• 354·ARTICLE 39

  Rédactionnel. Conséquences du projet de loi non traitées à l'article L. 112-11 du code des relations entre le public et à l'administration.

• 376·APRÈS L'ARTICLE 61, insérer l'article suivant:

  Cet amendement vise à mieux appréhender la dépendance des entités concernées aux prestataires de services de technologies de l'information et de la communication, en particulier étrangers. L'objectif est de mesurer la part des entreprises extra-communautaires et d'identifier les risques liés à la souveraineté et à la sécurité des infrastructures numériques essentielles.

• 250·ARTICLE 37

  Cet amendement poursuit deux objectifs : - viser clairement à l'alinéa 1er les dispositions dont relèvent les sanctions applicables aux entités mentionnées au I de l'article 37, notamment aux opérateurs d'importance vitale ; - clarifier les modalités de calcul du quantum de la sanction pour les entités mentionnées à l'alinéa 4 et le quantum de la sanction applicable aux cas de manquement aux obligations prévues au chapitre III (obligations de coopération dans le cadre d'un contrôle et obstacle) pour les prestataires, organismes et fournisseurs mentionnés aux alinéas 7 et 8, de façon analogue aux entités mentionnées au I de l'article 37.

• 344·ARTICLE 43 A

  Pour les entités financières contrôlées par l'Autorité des marchés financiers, l'article 45 bis prévoit que les déclarations d'incidents et les notifications de cybermenaces sont réalisées au moyen d'un document unique, transmis simultanément à l'AMF et à l'ANSSI. Rien de tel n'est prévu pour les entités contrôlées par l'Autorité de contrôle prudentiel et de résolution, soit l'essentiel des banques et des assureurs, qui devront effectuer deux déclarations distinctes pour un même incident.

• 285·ARTICLE 27Retiré après publication

  Cet amendement procède à une harmonisation avec les modalités de contrôle énoncées par les dispositions de l'alinéa 70 de l'article 1er du chapitre I du titre I.

• 349·ARTICLE 43 A

  Le présent amendement, de nature rédactionnelle et clarificatrice, vise à reconnaître l'équivalence entre le règlement DORA et le cadre issu de la directive NIS2 pour les entités financières concernées. En matière de résilience opérationnelle numérique, le secteur financier est un précurseur. Avec le règlement DORA, ce dernier prévoit un cadre commun pour la gestion des risques liés aux technologies de l'information et de la communication (TIC). Il définit des règles en matière de cybersécurité et de gestion des risques informatiques qui s'appliquent à un grand nombre d'entités financières. Ce règlement fixe notamment des obligations en matière de gouvernance, de gestion des risques informatiques, de notification des incidents, de tests de résilience et de maîtrise des risques liés aux prestataires tiers. Cette articulation est expressément reconnue par la commission européenne, dont les lignes directrices de septembre 2023 précise que le règlement DORA constitue, pour les entités financières concernées, le cadre sectoriel spécifique applicable en matière de résilience opérationnelle numérique et se substitue aux dispositions correspondantes de NIS2. Il consacre ainsi un niveau d'exigence adapté aux spécificités du secteur financier, sans qu'il soit nécessaire d'y superposer un second cadre poursuivant les mêmes objectifs. Dans ce contexte, l'application d'un cadre supplémentaire aux entités financières concernées serait source d'insécurité juridique, dès lors que deux exigences poursuivant un objet comparable pourraient néanmoins être interprétées ou appréciées différemment par les autorités compétentes. Elle ferait en outre peser un risque de double supervision, notamment entre l'Agence nationale de la sécurité des systèmes d'information (ANSSI) et l'Autorité de contrôle prudentiel et de résolution (ACPR), pour des entités relevant déjà du régime spécifique prévu par DORA. Le présent amendement, de nature rédactionnelle et clarificatrice, précise qu'en application de l'article 43 A, la transmission à l'ANSSI des déclarations d'incidents majeurs et des notifications de cybermenaces effectuées par les entités financières s'opère dans des conditions équivalentes à celles applicables aux transmissions à l'ACPR, avec un contenu et un format identique. Il ne crée aucune obligation nouvelle ; il garantit simplement l'harmonisation des exigences déjà prévues et évite les divergences d'interprétation.

• 305·ARTICLE PREMIER

  L'article L. 1332-9 du code de la défense permet à la Commission européenne, sur demande motivée, de conduire auprès d'un opérateur d'importance vitale désigné comme entité critique d'importance européenne particulière une mission de conseil au cours de laquelle l'opérateur doit garantir l'accès à ses informations, à ses systèmes et à ses installations. Cette mission est subordonnée à l'accord de l'autorité administrative, mais le Parlement n'en est à aucun moment informé. L'intervention d'une institution de l'Union Européenne au sein d'un opérateur dont l'activité est vitale pour la Nation doit pouvoir faire l'objet d'un contrôle parlementaire. Le présent amendement prévoit l'information des commissions chargées de la défense des deux assemblées, dans le respect du secret de la défense nationale.

• 269·ARTICLE 2

  Amendement de coordination.

• 265·ARTICLE 2

  Amendement de coordination.

• 217·ARTICLE 14Retiré avant publication
• 221·ARTICLE 14

  Cet amendement vise à réintroduire à l'article 14 la notion de « destinataires ». D'une part cet amendement poursuit un objectif de cohérence, cette notion étant présente dans la directive et reprise dans l'ensemble des dispositions du présent projet de loi. D'autre part car la notion d'usager est traditionnellement utilisée pour désigner les usagers d'un service public, ce qui est plus restrictif que les destinataires des services, et de nature à créer un risque de confusion quant aux personnes visées par la disposition.

• 369·ARTICLE 16

  Cet amendement a pour objectif de garantir que la promotion de solutions de cybersécurité certifiées, prévue par l'article 16, ne crée pas d'effets pervers en défavorisant l'écosystème français et européen de l'innovation, notamment les acteurs du logiciel libre et les PME. L'article 16 permet au Premier ministre de prescrire le recours à des produits ou services certifiés ou qualifiés par l'ANSSI pour les systèmes les plus sensibles de la Nation. Cette démarche est un gage de sécurité. Toutefois, il existe un risque avéré que les processus de certification, par leur complexité ou leur coût, favorisent de facto les grands éditeurs, souvent extra-européens, au détriment d'alternatives innovantes et souveraines. Le rapport d'information de l'Assemblée nationale « Bâtir et promouvoir une souveraineté numérique nationale et européenne » (n°4299, 2021) souligne la nécessité de « faire confiance à nos entreprises technologiques » et de « privilégier, en matière de commande publique, le recours aux solutions d'acteurs technologiques français ou européens » (Proposition n°26). Cet amendement vise à prévenir ce risque en prévoyant une obligation pour l'ANSSI de concevoir des processus de qualification équitables et ouverts. Il s'agit de s'assurer que : 1. L'évaluation est fondée sur le mérite technique : Les critères doivent être objectifs et basés uniquement sur la robustesse et la sécurité de la solution, indépendamment du modèle économique (libre, propriétaire) ou de la taille du fournisseur. 2. Les barrières à l'entrée sont réduites : Les modalités ne doivent pas constituer un obstacle insurmontable pour les PME et les structures (associations, fondations) qui portent de nombreux projets de logiciels libres, en cohérence avec l'esprit de l'article 16 de la loi pour une République numérique qui en encourage l'utilisation. 3. La souveraineté numérique est renforcée : En garantissant une compétition équitable, nous permettons aux solutions françaises et européennes les plus performantes, y compris celles issues du logiciel libre, d'obtenir les qualifications nécessaires pour être déployées sur nos infrastructures critiques, renforçant ainsi notre filière technologique. Cet amendement est une mesure de sauvegarde pragmatique qui garantit que le renforcement de notre cybersécurité se fera en s'appuyant sur l'ensemble de nos forces vives, favorisant ainsi l'émergence d'une filière de confiance diversifiée et véritablement souveraine.

• 180·ARTICLE PREMIER

  L'ajout en commission spéciale d'une extension de l'analyse des dépendances à l'égard des sous-traitants représenterait une telle complexité supplémentaire pour les entités régulées qu'il convient de la limiter aux sous-traitants de premier rang. Rappelons d'ailleurs que le dispositif prévu par la directive REC traite déjà de la chaîne d'approvisionnement, qui couvre la question de la sous-traitance. Il s'agit donc d'une surtransposition supplémentaire qui représente un coût non négligeable pour des entités ayant recours à de nombreux sous-traitants. C'est pourquoi il est proposé de rester aux sous-traitants de premier rang.

• 336·ARTICLE 30

  L'ANSSI et la Commission nationale de l'informatique et des libertés disposent de pouvoirs de contrôle susceptibles de porter sur les mêmes entités, notamment après un incident de sécurité entraînant une violation de données à caractère personnel. Afin d'éviter les doublons, les appréciations contradictoires et une charge excessive pour les entités contrôlées, le présent amendement prévoit que le décret d'application précise les modalités de coordination de leurs contrôles.

• 325·ARTICLE 16

  Amendement rédactionnel supprimant une redondance (« la réalisation régulière d'audits de sécurité réguliers »).

• 266·ARTICLE 2

  Amendement de coordination

• 390·ARTICLE 7

  Le présent amendement vise à reconnaître le secteur de la culture comme un secteur critique pour le fonctionnement de l'économie et de la société. La culture et le patrimoine constituent une composante essentielle de la société française. Ils contribuent à la transmission de notre histoire, de notre mémoire ainsi qu'à la cohésion de la Nation et à l'attractivité de nos territoires. Au cours de son histoire, le patrimoine culturel français a été exposé aux destructions, aux pillages et aux spoliations. Cette vulnérabilité demeure une préoccupation lorsque les biens et activités culturels peuvent être pris pour cible dans le cadre de menaces contemporaines. La transformation numérique des activités culturelles a profondément accru la dépendance des établissements et opérateurs culturels à leurs infrastructures numériques. Billetterie, gestion administrative et financière, gestion des collections, catalogage, archives, conservation numérique, recherche, diffusion des œuvres, relations avec les publics ou encore gestion des droits reposent désormais largement sur ces infrastructures. Les incidents survenus ces dernières années démontrent que cette dépendance n'est pas théorique. Par exemple, en août 2024, la Réunion des musées nationaux – Grand Palais a été victime d'une cyberattaque ayant affecté son système informatique central. Ces incidents ont des conséquences sur la continuité des activités culturelles et la préservation des données patrimoniales. Cette vulnérabilité est désormais identifiée. Le ministère de la Culture a publié son « Plan d'action de sûreté des établissements patrimoniaux et des lieux de conservation de biens culturels » en juillet 2026. Elle fait également l'objet de travaux parlementaires, comme le rapport Marion sur la sûreté des établissements patrimoniaux remis au gouvernement en juin 2026, ainsi que le rapport de la commission d'enquête sur la protection du patrimoine national et la sécurisation des musées, adopté le 6 mai 2026. Le secteur culturel présente ainsi plusieurs caractéristiques justifiant son intégration parmi les secteurs critiques : forte dépendance aux infrastructures numériques, conservation de données et d'actifs difficilement remplaçables, importance de la continuité des services au public et possibilité d'effets en cascade en cas de compromission d'un opérateur ou d'un prestataire commun. L'ajout du secteur de la culture permet d'intégrer cette réalité au dispositif de résilience et de cybersécurité et prévu par le présent projet de loi. La rédaction retenue est volontairement large car il appartiendra au pouvoir réglementaire de préciser les sous-secteurs et les entités concernés, en fonction de leur activité, de leur taille, de leur niveau de dépendance numérique et de la criticité des services fournis.

• 292·ARTICLE 37Retiré après publication

  Cet amendement poursuit deux objectifs : - viser clairement à l'alinéa 1er les dispositions dont relèvent les sanctions applicables aux entités mentionnées au I de l'article 37, notamment aux opérateurs d'importance vitale ; - clarifier les modalités de calcul du quantum de la sanction pour les entités mentionnées à l'alinéa 4 et le quantum de la sanction applicable aux cas de manquement aux obligations prévues au chapitre III (obligations de coopération dans le cadre d'un contrôle et obstacle) pour les prestataires, organismes et fournisseurs mentionnés aux alinéas 7 et 8, de façon analogue aux entités mentionnées au I de l'article 37.

• 358·ARTICLE 16 BIS

  L'article 16 bis du présent projet de loi, inséré par voie d'amendement lors de l'examen au Sénat, dispose qu'« il ne peut être imposé aux fournisseurs de services de chiffrement, y compris aux prestataires de services de confiance qualifiés, l'intégration de dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d'information et des communications électroniques tels que des clés de déchiffrement maitresses ou tout autre mécanisme ou processus permettant un accès non consenti aux données protégées ». Ces dispositions présentent un risque majeur pour la sécurité nationale puisqu'elles entraveraient l'action des services judiciaires et de renseignement en interdisant d'imposer tout mécanisme ou processus permettant d'accéder à des données protégées. Le conflit normatif avec le cadre actuel des interceptions légales en France, qui découlerait de l'adoption de l'article 16 bis, serait de nature à permettre aux opérateurs de communications électroniques, dont les opérateurs de téléphonie « classiques », de s'exonérer de leurs obligations de coopération avec les autorités judiciaires et administratives. Cela fragiliserait gravement la capacité des services de police et de justice à agir contre la criminalité. En matière judiciaire, une très large part des investigations dépend de l'accès aux preuves numériques, dans un contexte technologique en constante évolution. En premier lieu, l'interdiction de l'accès aux données protégées entraverait les moyens aujourd'hui accessibles tant aux services d'enquête judiciaire qu'aux services de renseignement, pour l'ensemble des menaces à la sécurité contre lesquelles nous devons lutter. Pour rappel, une interception légale peut être autorisée par un juge d'instruction, pour les crimes et délits punis d'une peine égale ou supérieure à trois ans d'emprisonnement, ou par un juge des libertés et de la détention pour les seuls crimes et délits relevant de la criminalité et de la délinquance organisées ou du terrorisme (articles 706-73 et 706-73-1 du code de procédure pénale (CPP)). Elle peut également être autorisée par le Premier ministre, après avis de la commission nationale de contrôle des techniques de renseignement (CNCTR), pour permettre aux services de l'État de recueillir des renseignements relatifs à la défense et à la promotion des intérêts fondamentaux de la Nation. Les opérateurs de communications électroniques et les fournisseurs de services numériques doivent répondre aux demandes formulées dans le cadre des techniques de renseignement et d'enquête judiciaire numérique. En effet, les opérateurs de communications électroniques doivent « mett[re] en place et assure[r] la mise en œuvre des moyens nécessaires pour répondre aux demandes effectuées dans le cadre des techniques d'enquêtes numériques judiciaires (…) et des techniques de renseignements formulés en application du livre VIII du code de la sécurité intérieure » (article D. 98-7 du code des postes et des communications électroniques). Il ne peut être dérogé à ces obligations que « lorsque des obstacles techniques le justifient ou lorsque les coûts à exposer pour satisfaire à ces conditions sont disproportionnés (…) ». Pour assurer l'effectivité de la coopération des opérateurs, l'article L. 871-1 du code de la sécurité intérieure (CSI) prévoit que « les personnes physiques ou morales qui fournissent des prestations de cryptologie visant à assurer une fonction de confidentialité sont tenues de remettre [aux autorités] les conventions permettant le déchiffrement des données transformées au moyen des prestations qu'elles ont fournies », sauf si celles-ci démontrent qu'elles ne sont pas en mesure de satisfaire à ces réquisitions. Par principe, ces techniques judiciaires et administratives reposent sur l'accès non consenti à des données protégées. Or, l'interdiction des « mécanismes ou processus permettant un accès non consenti » sape les fondements mêmes des investigations pénales ou en renseignement, rendant de facto inapplicables des techniques essentielles à la résolution des affaires ou à la prévention des atteintes aux intérêts fondamentaux de la Nation. Au-delà de son impact en matière de lutte antiterroriste, cette interdiction pourrait notamment mettre en danger la manifestation de la vérité et l'appréhension des auteurs dans des dossiers correspondant aux politiques pénales prioritaires du Gouvernement : Les violences sexuelles sur mineurs : dans ces procédures, les techniques spéciales d'enquête sont essentielles. En cas d'enlèvement de mineur, l'accès à la géolocalisation de l'auteur est, par exemple, indispensable pour le retrouver le plus rapidement possible et ainsi secourir la victime. De manière plus générale, la démonstration des violences sexuelles sur mineurs s'appuie largement sur l'analyse des données de connexion des mis en cause.Les atteintes aux personnes : l'élucidation des affaires de violences repose, en large part, sur l'exploitation des données de géolocalisation afin d'identifier l'auteur. S'agissant des violences par conjoint, l'accès aux communications entre l'auteur et la victime est d'une importance cruciale pour caractériser les violences et pour évaluer la dangerosité de l'auteur.La lutte contre la criminalité organisée : Les délinquants sont rompus aux techniques mises en œuvre par les enquêteurs et utilisent les nouvelles technologies au service de leur recherche de l'impunité, à travers l'utilisation quasi exclusive de moyens de communication cryptés. Cette situation, combinée à leur utilisation d'exécutants pour réaliser les tâches les plus risquées, rend illusoire l'identification des donneurs d'ordre sans utilisation des techniques spéciales d'enquête. En administratif, l'accès à des données chiffrées a permis des avancées décisives dans des dossiers majeurs : l'entrave d'organisations criminelles recrutant des professionnels de la mer pour acheminer des tonnes de cocaïne sur le territoire national ou actives sur les grandes plateformes aéroportuaires nationales et recrutant des personnels ayant accès aux zones sûreté pour sortir les stupéfiants de la plate-forme.À ce titre, la possibilité de requérir le concours des opérateurs a été récemment confirmée par le législateur, qui a, dans la loi n° 2021-998 du 30 juillet 2021 relative à la prévention d'actes de terrorisme et au renseignement (dite loi PATR), étendu le champ des techniques de renseignement pour lesquelles l'autorité administrative peut solliciter les opérateurs au recueil de données informatiques (article L. 853-2 du CSI) et à la collecte de données de connexion par des IMSI catchers (article L. 851-6 du CSI). En deuxième lieu, en raison d'un périmètre large, cette interdiction concernerait l'ensemble des données protégées et l'ensemble des services de communications électroniques, y compris en matière de téléphonie ou de fourniture d'accès à internet, qui mobilisent aujourd'hui ou à l'avenir des mécanismes de protection des données, au-delà des seules messageries chiffrées. Si le rapport de la commission spéciale de l'Assemblée nationale texte précise que l'objectif de l'article est « d'interdire l'introduction de « portes dérobées » […] pour permettre aux services de renseignement d'accéder au contenu des messageries chiffrées », il assume également une ambition plus large, l'interdiction de pratiques diverses et notamment « la création d'un accès non consenti aux données protégées ». Or, les techniques de renseignement ou d'enquêtes numériques judiciaires répondent toutes, par essence, à cette définition, au titre des impératifs liés à la sécurité nationale ou de l'objectif à valeur constitutionnelle de recherche des auteurs d'infractions pénales. S'agissant des services concernés, en raison d'une formulation très extensive (« fournisseurs de services de chiffrement, y compris aux prestataires de services de confiance qualifiés »), toute entreprise proposant un moyen de chiffrement, même rudimentaire ou sans lien avec les informations requises par les autorités, serait considérée comme étant un fournisseur de service de chiffrement. S'agissant de la nature des mesures que la disposition vise à interdire, la rédaction porte non seulement sur les « dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d'information et des communications », mais aussi sur les « mécanismes ou processus permettant un accès non consenti aux données protégées ». L'interdiction englobe ainsi tout mécanisme de sécurité minimal mis en œuvre par l'opérateur ou l'utilisateur visé. Cela pourrait à l'extrême conduire à la constitution d'une forme d'« Eldorado français » pour les entreprises criminelles européennes. En dernier lieu, l'ensemble des techniques de renseignement prévues à l'article L. 871-6 du CSI ainsi que les techniques d'enquêtes numériques judiciaires seraient rendues inapplicables, alors que le recours à ces techniques est strictement encadré. Les techniques concernées seraient les suivantes : Interception des correspondances (articles L. 852-1 du CSI et 100, 706-95 du CPP) en incluant l'interception des conversations, des messages ou des données de connexion ;Accès à distance aux correspondances stockées par la voie des communications électroniques accessibles au moyen d'un identifiant informatique (articles 706-95-1 à 706-95-3 du CPP) ;Recueil de données de connexion (articles L. 851-1 du CSI et 60-1, 60-1-2, 60-2, 77-1-2, 99-3 et 99-4 du CPP) ;Recueil de données de connexion en temps réel (article L. 851-2 du CSI) ;Technique de l'algorithme (article L. 851-3 du CSI) ;Géolocalisation (article L. 851-4 du CSI et 230-32 à 230-42 du CPP) ;Recueil de données de connexion par IMSI catchers (articles L. 851-6 du CSI et 706-95-20 du CPP) ;Captation ou recueil de données informatiques (articles L. 853-2 du CSI et 706-102-1 du CPP).À titre d'exemple, pour le seul volet judiciaire, au mois d'octobre 2026 : La géolocalisation de téléphones mobiles représente plus de 51 000 mesures ;Il est dénombré plus de 4 millions de demandes de données de connexion ;50 000 lignes téléphoniques ont été placées sous interceptions judiciaires.Ces techniques, qui permettent aux services de l'État, administratifs comme judiciaires, d'accéder à des données protégées, sont strictement encadrées. Elles sont contrôlées, selon les cas, par une autorité indépendante ou un magistrat. En matière judiciaire, l'accès aux données est conditionné à une autorisation préalable, motivée en droit et en fait, d'un juge d'instruction ou d'un juge des libertés et de la détention. En matière de renseignement, l'accès aux données est conditionné à une autorisation préalable du Premier ministre, après avis de la commission nationale de contrôle des techniques de renseignement (CNCTR), autorité administrative indépendante composée de parlementaires, de membres du Conseil d'État, de magistrats de la Cour de cassation et d'une personnalité qualifiée. Le service de renseignement doit formuler une demande écrite et motivée qui précise la technique, la proportionnalité de l'atteinte à la vie privée, les finalités (prévention du terrorisme, de la criminalité organisée, des ingérences étrangères, etc.) et les motifs qui justifient le recours aux techniques. Si le Premier ministre délivre une autorisation contre l'avis de la CNCTR, cette dernière saisit immédiatement le Conseil d'État d'un recours visant à contrôler la légalité de cette autorisation. Un tel cas de figure ne s'est encore jamais présenté. Pour toutes ces raisons, le Gouvernement estime qu'il est impérieux de supprimer l'article 16 bis qui représente une menace considérable pour la sécurité des Français. Au demeurant, il s'agit d'un cavalier dépourvu de lien direct ou indirect avec le projet de loi, dont l'objectif est de procéder à des adaptations de notre droit interne au droit de l'Union européenne en matière de cybersécurité.

• 238·ARTICLE 40

  Cet amendement rédactionnel vise à corriger une omission dans les références textuelles mentionnées à la fin de l'alinéa 6 de l'article 40.

• 282·ARTICLE 15Retiré après publication

  Cet amendement rédactionnel vise à corriger des erreurs de renvoi.

• 263·ARTICLE PREMIERRetiré après publication

  Il s'agit d'un amendement rédactionnel afin de lever toute ambiguïté sur la procédure suivie pour l'émission de l'avis de l'autorité administrative compétent qui intervient après l'enquête administrative.

• 275·ARTICLE 12Retiré après publication

  Les organismes constituant ou susceptibles de constituer des entités essentielles ou importantes sont définis aux articles 8 à 10 du projet de loi au regard de critères objectifs. L'établissement de la liste de ces entités et de celles fournissant des services d'enregistrement des noms de domaine ainsi que son actualisation régulière, rendus obligatoires par l'article 3 de la directive dite NIS 2[1], n'est qu'une concaténation automatique d'éléments remontés par les entités via l'enregistrement, tel que cela est prévu au considérant 18 de la directive NIS 2 qui invite les Etats membres à prévoir des mécanismes nationaux permettant aux entités de s'enregistrer elles-mêmes sur la liste. Il est toutefois prévu au niveau règlementaire que cette liste des entités essentielles et importantes et des bureaux d'enregistrement et leurs agents soit mise à la disposition des ministères concernés qui pourront s'en saisir a posteriori. Une consultation préalable systématique des ministres compétents avant l'établissement de la liste ou à l'occasion de son actualisation pour les secteurs mentionnés à l'article 7 serait donc inopérante et ne présenterait pas de plus-value particulière du point de vue des ministères. Elle alourdirait au surplus la procédure de transmission de cette liste à la Commission européenne et pourrait ainsi retarder indûment celle-ci. [1] Directive (UE) 2022/2555 du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148

• 368·ARTICLE 17

  Cet amendement du groupe Écologiste et social vise à intégrer les phénomènes de rançongiciel dans les notifications faites auprès de l'ANSSI. En effet, à l'heure actuelle, le phénomène de rançongiciel est une menace majeure pour les entreprises, les établissements de santé et les collectivités. Cependant, l'État ne dispose pas de données fiables sur ce phénomène et son importance, les sommes réglées ou encore les établissements visés. L'objectif de cet amendement est de permettre une connaissance plus fine afin de mieux anticiper les attaques et permettre un meilleur suivi des enquêtes. L'amendement vient compléter les notifications prévues à cet article pour que l'ANSSI et les services d'enquête soient informées. Pour ne pas dissuader les victimes de se signaler, l'usage des données signalées est strictement encadré et ne peut fonder de sanction.

• 253·ARTICLE 39

  Rédactionnel.

• 372·ARTICLE 5 BIS A

  Le présent amendement vise à améliorer sensiblement le degré de préparation des collectivités territoriales face à la menace cyber en intégrant explicitement le risque de cyberattaque au sein du Plan Communal de Sauvegarde (PCS). Alors que les collectivités jouent un rôle essentiel dans la continuité des services publics et la gestion des crises locales, elles sont devenues ces dernières années des cibles privilégiées des cybercriminels et d'acteurs étatiques hostiles. Selon l'ANSSI, plus de 350 collectivités ont été victimes d'une cyberattaque en 2023, dont une majorité de communes de taille moyenne, souvent démunies en matière de protection informatique. Les exemples concrets abondent. En septembre 2024, la mairie de Caen a été victime d'une attaque par rançongiciel paralysant plusieurs de ses services administratifs pendant plusieurs jours. À la même période, la ville de Chaville (Hauts-de-Seine) a vu son système d'information compromis, entraînant la perte d'accès à des documents sensibles et des données personnelles. En 2022, la ville de La Rochelle avait également subi une cyberattaque majeure, impactant la gestion de ses services numériques. Ces incidents démontrent la vulnérabilité des collectivités et l'impact potentiel de ces attaques : paralysie administrative, interruption des services aux usagers, atteinte à la confidentialité des données des citoyens, voire mise en danger de la sécurité des populations en cas d'atteinte aux systèmes d'alerte ou de gestion de crise. Or, le Plan Communal de Sauvegarde, prévu par l'article L. 731‑3 du code de la sécurité intérieure, constitue l'outil de référence permettant d'organiser la réponse opérationnelle de la commune en cas d'événement grave : catastrophes naturelles, risques technologiques, sanitaires… Il apparaît aujourd'hui indispensable que les risques cyber soient explicitement intégrés à ce dispositif, au même titre que les autres menaces susceptibles de désorganiser la vie locale. Le présent amendement vise donc à améliorer sensiblement le degré de préparation des collectivités en ajoutant le risque cyber au sein du plan communal de sauvegarde. Cet amendement a été travaillé avec Hexatrust.

• 261·ARTICLE PREMIERRetiré après publication

  Le présent amendement tend à corriger une erreur matérielle. Dans le texte adopté par la commission spéciale, l'ensemble des membres sont nommés par le Premier ministre : il n'est donc nul besoin de prévoir que seuls les membres mentionnés au 1° de l'article L. 1332-16, soit les membres magistrats, seraient désignés par décret ; l'ensemble des membres ayant vocation à être désignés de cette façon. En outre, en l'état du texte, les personnalités qualifiées membres de la commission ne se voient appliquer aucune limitation de la durée de leur mandat. Le présent amendement prévoit en conséquence d'appliquer à l'ensemble des membres – et non aux seuls membres magistrats – la limitation de la durée de leur mandat à 5 ans. Par le renvoi auquel procède l'article 36 du projet de loi, cette limitation – ainsi que le caractère non renouvelable du mandat – s'applique en outre aux personnalités qualifiées compétentes en matière de cybersécurité dans la formation dédiée de la commission.

• 249·ARTICLE 36

  Rédactionnel, en lien avec l'amendement rédactionnel de l'article 35 visant à spécifier les règles dont la commission des sanctions statuera sur les manquements.

• 297·APRÈS L'ARTICLE 58 BIS, insérer l'article suivant:Retiré après publication

  L'article L. 12-10-1 du code des assurances, issu de la loi n° 2023-22 du 24 janvier 2023 d'orientation et de programmation du ministère de l'intérieur, subordonne l'indemnisation par l'assurance des dommages causés par une cyberattaque au dépôt d'une plainte dans les soixante-douze heures suivant la connaissance de l'atteinte par la victime. Cette obligation vise à améliorer le signalement des cyberattaques aux autorités et la connaissance de la menace. Sa mise en œuvre soulève toutefois des difficultés opérationnelles. La connaissance de l'atteinte ne constitue pas un point de départ certain, le caractère malveillant d'un incident pouvant n'être découvert que progressivement, à mesure des investigations conduites par l'entreprise. Le délai est en outre difficile à tenir pour une entreprise mobilisée par la maîtrise de l'attaque et le rétablissement de son activité. Le présent amendement maintient l'obligation de dépôt de plainte mais en fait courir le délai à compter de la déclaration de l'atteinte par la victime à son assureur. Il donne ainsi davantage de souplesse opérationnelle aux entreprises victimes, tout en préservant l'objectif de signalement rapide, la victime demeurant incitée à déclarer l'atteinte puis à porter plainte sans tarder pour être indemnisée. L'État étant compétent en matière assurantielle dans les îles Wallis et Futuna, régies par le principe de spécialité législative, la modification de l'article L. 12-10-1 y est rendue applicable par mention expresse.

• 329·ARTICLE 16 BIS

  Repli. La notion de « fournisseurs de services de chiffrement » n'est définie par aucun texte. Une lecture stricte pourrait exclure les messageries, qui sont juridiquement des services de communications interpersonnelles et non des services de chiffrement. Le présent amendement les vise expressément, par référence à la définition du code des postes et des communications électroniques.

• 260·ARTICLE PREMIER

  Cet amendement vise à assurer la cohérence du dispositif national avec le champ des obligations prévues par la directive REC et à éviter d'étendre celles-ci à des opérateurs qui n'y sont pas soumis au titre du droit européen. L'obligation d'analyser les dépendances à l'égard de tiers et les vulnérabilités des chaînes d'approvisionnement découle des exigences de résilience applicables aux entités critiques relevant de la directive REC. Il convient donc de réserver cette obligation aux opérateurs d'importance vitale désignés au titre du 1° du I de l'article L. 1332-2, auxquels s'appliquent ces exigences, et de ne pas l'étendre aux opérateurs désignés au titre du 2° du même I en raison du danger d'une particulière gravité que la destruction ou l'avarie de leurs installations pourrait présenter pour la population ou l'environnement.

• 252·ARTICLE PREMIER

  Rédactionnel

• 296·ARTICLE 56Retiré après publication

  Les articles L. 511-41 à L. 511-41-1-C dans leur rédaction résultant de l'ordonnance n° 2026-255 du 8 avril 2026 entreront en vigueur le 11 janvier 2027. Il convient de prévoir les compteurs de la date de promulgation de la présente loi jusqu'au 10 janvier 2027 puis à compter du 11 janvier 2027. En outre, les missions exercées par la Banque de France en métropole et dans les collectivités ultramarines de la zone euro, sont exercées par l'Institut d'émission d'outre-mer dans la zone du franc Pacifique et nécessitent donc une adaptation de l'article L. 521-10 dans les collectivités du Pacifique que sont la Nouvelle-Calédonie, la Polynésie française et les îles Wallis et Futuna

• 231·ARTICLE 28

  Cet amendement vise à corriger une erreur dans la rédaction adoptée en commission. Elle a introduit des plafonds différenciés selon le statut de l'entité pour les amendes pour obstacle mais en ne les appliquant qu'aux seules entités essentielles et importantes, et non aussi aux autres personnes contrôlées comme les offices et bureaux d'enregistrement, les organismes d'évaluation de la conformité, etc. Par un renvoi à l'article 37, cet amendement définit donc pour toutes les personnes susceptibles d'être contrôlées par l'autorité nationale de sécurité des systèmes d'information, le plafond du montant des amendes administratives susceptibles d'être prononcées en cas d'obstruction aux opérations de contrôle.

• 378·ARTICLE 14

  Si les objectifs de cybersécurité sont largement partagés, les moyens pour les atteindre doivent être adaptés aux réalités des collectivités territoriales. Les travaux en commission ont permis d'inscrire dans la stratégie nationale des modalités de soutien aux collectivités, notamment financier, ainsi qu'une concertation avec les associations d'élus sur les exigences techniques et organisationnelles. Ces avancées doivent s'accompagner d'une mise en conformité progressive, tenant compte des capacités humaines, techniques et financières des collectivités concernées. Le présent amendement prévoit ainsi, au cours des deux premières années suivant l'entrée en vigueur de l'article, une trajectoire fondée sur un diagnostic initial, une évaluation des moyens nécessaires et une feuille de route comportant des jalons adaptés. L'ANSSI devra tenir compte de cette trajectoire dans l'exercice de ses pouvoirs de contrôle et dans la détermination des délais de mise en conformité. Ce dispositif maintient l'application des obligations de sécurité et de notification des incidents, ainsi que la possibilité d'intervenir face aux menaces. Il permet d'articuler les exigences de cybersécurité avec les conditions concrètes de leur mise en œuvre. L'État doit accompagner cette montée en conformité. Les nouvelles exigences ne doivent pas devenir un transfert de charges laissant les collectivités seules face à des obligations qu'elles n'auraient pas les moyens de respecter.

• 396·ARTICLE 5 BIS

  Le présent amendement vise à prévoir une mise à jour au moins biennale de la stratégie nationale en matière de cybersécurité, contre une actualisation tous les trois ans prévue par le texte. Si la stratégie nationale doit naturellement s'inscrire dans le temps long, la rapidité d'évolution des technologies et du paysage des menaces justifie de pouvoir l'actualiser plus régulièrement. Le développement de l'intelligence artificielle, l'apparition de nouvelles vulnérabilités, l'évolution des modes opératoires des cyberattaquants et l'interconnexion croissante des systèmes numériques modifient rapidement les conditions dans lesquelles doit être assurée la cybersécurité de la Nation. Dans Threat Landscape 2026, l'ENISA souligne l'évolution constante des menaces et l'utilisation croissante de l'intelligence artificielle à des fins malveillantes. Une actualisation tous les deux ans permettrait ainsi de conserver une stratégie structurante, tout en garantissant sa capacité d'adaptation aux évolutions technologiques, aux nouvelles vulnérabilités et aux transformations du paysage des menaces. Cette périodicité est en outre cohérente avec le dispositif prévu par le texte, qui prévoit déjà la remise au Parlement, tous les deux ans, d'un rapport sur la mise en œuvre de la stratégie nationale en matière de cybersécurité. Il s'agit donc non pas de remettre en cause la stabilité nécessaire à une stratégie nationale, mais de garantir que celle-ci demeure régulièrement actualisée et adaptée aux réalités technologiques et opérationnelles.