L’essentiel en bref
La transposition de NIS 2 entre enfin en séance : l’Assemblée nationale examine la loi Résilience du 9 au 13 novembre 2026. Le gouvernement a désamorcé la controverse sur le chiffrement en soutenant la suppression de l’article 16 bis, tout en promettant de ne pas réintroduire de portes dérobées dans les messageries d’ici la fin de la session.
Pour les entreprises, le vote se rapproche et les obligations avec lui : 18 secteurs régulés au lieu de 6, gestion des risques, sécurité des prestataires, notification des incidents. Un audit de sécurité et un test d’intrusion permettent de mesurer l’écart avant la promulgation ; correctifs, accès et journalisation se traitent côté cloud et DevOps. En octobre, nous avions couvert le précédent report du texte et l’horizon 2028 fixé par l’ANSSI.
Que se passe-t-il à l’Assemblée cette semaine ?
Le projet de loi Résilience est inscrit à l’ordre du jour du lundi 9 au vendredi 13 novembre, le 11 novembre étant férié. Prévu pour la session extraordinaire de juillet, puis pour le 7 octobre, il avait été retiré de l’ordre du jour en raison de l’encombrement du calendrier parlementaire.
Le retard pèse désormais sur la France : le délai fixé par Bruxelles pour transposer NIS 2 a expiré le 17 octobre 2024, et le pays est poursuivi devant la justice européenne pour le retard pris sur l’une des directives. Le Sénat a adopté le texte dès mars 2025 ; il était depuis en attente à l’Assemblée, après son passage en commission spéciale.
Pourquoi le gouvernement renonce-t-il aux portes dérobées ?
Le blocage ne tenait pas qu’au calendrier. Au printemps 2025, lors de l’examen de la loi contre le narcotrafic, un amendement soutenu par le gouvernement voulait obliger les éditeurs de messageries à prévoir un accès au contenu des échanges chiffrés de personnes ciblées. L’Assemblée l’avait supprimé. En réaction, le Sénat a ajouté à la loi Résilience un article 16 bis interdisant d’imposer de tels dispositifs, article que les services de renseignement et une partie des juristes jugent mal rédigé et susceptible de fragiliser le cadre légal des interceptions.
Pour sortir de l’impasse, le gouvernement avait confié en janvier une mission à Florent Boudié, alors président de la commission des lois. Prévue pour trois mois, elle en a duré huit. Son rapport recommande d’abandonner à la fois les portes dérobées et l’article 16 bis. L’exécutif a suivi : Anne Le Hénanff, ministre déléguée chargée de l’IA et du numérique, a annoncé que le gouvernement « soutiendra » la suppression de l’article et « s’engagera à ne pas réintroduire ni soutenir une réintroduction » des portes dérobées « jusqu’à la fin de la session parlementaire ».
Le dossier n’est pas clos pour autant. Le rapport Boudié invite l’État à « identifier une solution technique permettant un accès ciblé aux contenus protégés sans compromettre l’intégrité du chiffrement ». Or le consensus scientifique considère qu’un tel accès, même sélectif, affaiblit la sécurité de l’ensemble des messages.
Que contient la loi Résilience pour les entreprises ?
Le texte transpose trois directives adoptées en 2022 : NIS 2 pour la cybersécurité, REC pour la résilience des entités critiques et la directive associée au règlement DORA pour le secteur financier.
- Titre I, résilience physique : modernisation du dispositif de sécurité des activités d’importance vitale (SAIV), créé en 2006 et applicable à plus de 300 opérateurs. Il s’étend à de nouveaux sous-secteurs, dont les réseaux de chaleur et de froid, l’hydrogène et l’assainissement, et impose des plans de résilience pour quelque 1 500 points d’importance vitale.
- Titre II, cybersécurité (NIS 2) : le périmètre régulé passe de 6 à 18 secteurs, notamment la santé, l’industrie manufacturière, la fabrication de produits chimiques, la recherche, les services postaux et les infrastructures numériques.
Le directeur général de l’ANSSI, Vincent Strubel, a appelé les députés à ne pas « surtransposer » la directive. Selon lui, ces mesures « auraient été efficaces contre la majorité des vols de données constatés en France » ces derniers mois. Il souligne aussi que l’incertitude sur le calendrier a retardé la préparation des entités concernées, jusque dans leurs arbitrages budgétaires.
Que préparer pendant l’examen du texte ?
Le contenu des obligations est stable depuis l’adoption au Sénat. Quelques chantiers peuvent avancer sans attendre la promulgation :
- Qualifier votre statut : vérifier si votre activité relève d’un des 18 secteurs et si vous serez entité essentielle ou importante.
- Revoir vos contrats de prestataires : exigences de sécurité, délais de notification et droit d’audit pour l’infogérance, le développement et l’hébergement.
- Formaliser la gestion des incidents : détection, escalade et notification, testées par un exercice.
- Prioriser les fondamentaux techniques : authentification multifacteur, correctifs par criticité, journalisation centralisée.
- Documenter le chiffrement : si vous éditez une application de communication, tenir à jour la description des flux chiffrés et de la gestion des clés, en prévision de futurs débats sur l’accès légal.
Questions fréquentes
Quand la loi Résilience est-elle examinée à l’Assemblée nationale ?
La discussion en séance publique est inscrite du lundi 9 au vendredi 13 novembre 2026, sans séance le 11 novembre. Le Sénat avait adopté le texte en mars 2025.
Que change l’abandon des portes dérobées ?
Le gouvernement soutient la suppression de l’article 16 bis, ajouté par le Sénat pour interdire les portes dérobées, et s’engage en contrepartie à ne pas réintroduire ni soutenir de tels dispositifs dans les messageries chiffrées jusqu’à la fin de la session parlementaire. Il s’agit d’un engagement politique limité dans le temps, pas d’une interdiction inscrite dans la loi.
Quelles directives européennes la loi transpose-t-elle ?
Trois directives adoptées en 2022 : NIS 2 sur la cybersécurité, REC sur la résilience des entités critiques et la directive associée au règlement DORA pour la résilience opérationnelle numérique du secteur financier. Le délai de transposition de NIS 2 a expiré le 17 octobre 2024.
Combien de secteurs seront concernés par NIS 2 en France ?
Le titre II du projet de loi élargit le périmètre régulé de 6 à 18 secteurs, dont la santé, l’industrie manufacturière, la chimie, la recherche, les services postaux et les infrastructures numériques.
Sources
Journal du Net — Loi résilience : le gouvernement renonce aux portes dérobées dans les messageries chiffrées (9 novembre 2026)
01net — WhatsApp, Signal, Messenger : la France renonce à forcer l’accès aux conversations chiffrées (9 novembre 2026)
Silicon.fr — NIS 2, le projet de loi de retour le 9 novembre (5 novembre 2026)