Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Le présent sous amendement vise à supprimer la mention du Groupement d’Intérêt Public Action contre la Cybermalveillance (GIP ACYMA), dont le Gouvernement souhaite le maintien au niveau réglementaire.

Ce sous-amendement complète la liste des conditions auxquelles les prestataires peuvent être soumis lors de l'externalisation de services de technologies de l'information et de la communication. Il s'agit de mieux prendre en compte les manquements graves aux obligations de sécurité susceptibles d'affecter la résilience des systèmes et services numériques. Cette articulation est cohérente avec le règlement règlement (UE) 2016/679 du 27 avril 2016.

L’amendement 203 tire les conséquences d’une distinction effectivement prévue par la directive dite NIS2. En effet, cette dernière impose un contrôle ex ante et ex post pour les entités essentielles, mais prévoit, pour les entités importantes, un seul contrôle ex post à la suite d’éléments de preuve ou de toute indication ou information portés à l’attention de l’ANSSI comme suggérant des violations potentielles de ladite directive. Le présent sous amendement vise à supprimer la notion "a posteriori", de portée juridique incertaine et qui n'est pas en tant que telle prévue par la directive.

Le Gouvernement partage l’objectif de l’amendement n° 178 visant à limiter l'impact de la mesure prévue à l’alinéa 3 de l’article 14 sur les entités essentielles et importantes. Toutefois, la notion « d’implication directe » proposée n’est pas définie et pourrait ainsi être interprétée de manière limitative par les entités et difficilement appréhendable en cas de contrôle de l’autorité compétente. Par ailleurs, la précision des responsabilités "autant que de possible" pourrait être insécurisante pour les entités essentielles et importantes. Ce sous amendement du Gouvernement vise à s'assure que la rédaction ne comporte pas de dispositions susceptibles de créer une insécurité juridique pour les entités.

Le Gouvernement partage l’objectif de cet amendement. Ainsi, tout délai de mise en conformité devrait pouvoir tenir compte des circonstances de l'espèce. Néanmoins, l’institution d’un délai maximal de mise en conformité de six mois pourrait, dans certaines situations, faire obstacle à la fixation d’un délai réellement proportionné aux circonstances particulières du manquement et aux mesures nécessaires pour y remédier, ce qui serait contraire à l’article 32 de la directive dite « NIS 2 ». Un délai maximal d'un an pourrait être préférable. Ce délai s'approche au surplus d'une réalité opérationnelle, les logiciels et certains matériels informatiques bénéficiant dans de nombreux cas d'un amortissement comptable annuel.

Sous amendement procédant aux corrections nécessaires des mesures d’application du titre III dans les collectivités du Pacifique, afin de tenir compte des modifications intervenues depuis la rédaction initiale du texte, notamment du fait de l’ordonnance n° 2026-255 du 8 avril 2026. Il adapte, d'une part, l’article L. 521-10 afin de substituer, dans les collectivités de la zone franc Pacifique, l’Institut d’émission d’outre-mer à la Banque de France. En outre, il met à jour le renvoi prévu aux articles L. 783-13, L. 784-13 et L. 785-12 afin de tenir compte de l’évolution de la numérotation des alinéas de l’article L. 631-1.

L’article 16 bis du présent projet de loi, inséré par voie d’amendement lors de l’examen au Sénat, dispose qu’« il ne peut être imposé aux fournisseurs de services de chiffrement, y compris aux prestataires de services de confiance qualifiés, l’intégration de dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d’information et des communications électroniques tels que des clés de déchiffrement maitresses ou tout autre mécanisme ou processus permettant un accès non consenti aux données protégées ». Ces dispositions présentent un risque majeur pour la sécurité nationale puisqu’elles entraveraient l’action des services judiciaires et de renseignement en interdisant d’imposer tout mécanisme ou processus permettant d’accéder à des données protégées. Le conflit normatif avec le cadre actuel des interceptions légales en France, qui découlerait de l’adoption de l’article 16 bis, serait de nature à permettre aux opérateurs de communications électroniques, dont les opérateurs de téléphonie « classiques », de s’exonérer de leurs obligations de coopération avec les autorités judiciaires et administratives. Cela fragiliserait gravement la capacité des services de police et de justice à agir contre la criminalité. En matière judiciaire, une très large part des investigations dépend de l’accès aux preuves numériques, dans un contexte technologique en constante évolution. En premier lieu, l’interdiction de l’accès aux données protégées entraverait les moyens aujourd’hui accessibles tant aux services d’enquête judiciaire qu’aux services de renseignement, pour l’ensemble des menaces à la sécurité contre lesquelles nous devons lutter. Pour rappel, une interception légale peut être autorisée par un juge d’instruction, pour les crimes et délits punis d’une peine égale ou supérieure à trois ans d’emprisonnement, ou par un juge des libertés et de la détention pour les seuls crimes et délits relevant de la criminalité et de la délinquance organisées ou du terrorisme (articles 706-73 et 706-73-1 du code de procédure pénale (CPP)). Elle peut également être autorisée par le Premier ministre, après avis de la commission nationale de contrôle des techniques de renseignement (CNCTR), pour permettre aux services de l’État de recueillir des renseignements relatifs à la défense et à la promotion des intérêts fondamentaux de la Nation. Les opérateurs de communications électroniques et les fournisseurs de services numériques doivent répondre aux demandes formulées dans le cadre des techniques de renseignement et d’enquête judiciaire numérique. En effet, les opérateurs de communications électroniques doivent « mett[re] en place et assure[r] la mise en œuvre des moyens nécessaires pour répondre aux demandes effectuées dans le cadre des techniques d'enquêtes numériques judiciaires (…) et des techniques de renseignements formulés en application du livre VIII du code de la sécurité intérieure » (article D. 98-7 du code des postes et des communications électroniques). Il ne peut être dérogé à ces obligations que « lorsque des obstacles techniques le justifient ou lorsque les coûts à exposer pour satisfaire à ces conditions sont disproportionnés (…) ». Pour assurer l’effectivité de la coopération des opérateurs, l’article L. 871-1 du code de la sécurité intérieure (CSI) prévoit que « les personnes physiques ou morales qui fournissent des prestations de cryptologie visant à assurer une fonction de confidentialité sont tenues de remettre [aux autorités] les conventions permettant le déchiffrement des données transformées au moyen des prestations qu'elles ont fournies », sauf si celles-ci démontrent qu’elles ne sont pas en mesure de satisfaire à ces réquisitions. Par principe, ces techniques judiciaires et administratives reposent sur l’accès non consenti à des données protégées. Or, l’interdiction des « mécanismes ou processus permettant un accès non consenti » sape les fondements mêmes des investigations pénales ou en renseignement, rendant de facto inapplicables des techniques essentielles à la résolution des affaires ou à la prévention des atteintes aux intérêts fondamentaux de la Nation. Au-delà de son impact en matière de lutte antiterroriste, cette interdiction pourrait notamment mettre en danger la manifestation de la vérité et l’appréhension des auteurs dans des dossiers correspondant aux politiques pénales prioritaires du Gouvernement : Les violences sexuelles sur mineurs : dans ces procédures, les techniques spéciales d’enquête sont essentielles. En cas d’enlèvement de mineur, l’accès à la géolocalisation de l’auteur est, par exemple, indispensable pour le retrouver le plus rapidement possible et ainsi secourir la victime. De manière plus générale, la démonstration des violences sexuelles sur mineurs s’appuie largement sur l’analyse des données de connexion des mis en cause. Les atteintes aux personnes : l’élucidation des affaires de violences repose, en large part, sur l’exploitation des données de géolocalisation afin d’identifier l’auteur. S’agissant des violences par conjoint, l’accès aux communications entre l’auteur et la victime est d’une importance cruciale pour caractériser les violences et pour évaluer la dangerosité de l’auteur. La lutte contre la criminalité organisée : Les délinquants sont rompus aux techniques mises en œuvre par les enquêteurs et utilisent les nouvelles technologies au service de leur recherche de l’impunité, à travers l’utilisation quasi exclusive de moyens de communication cryptés. Cette situation, combinée à leur utilisation d’exécutants pour réaliser les tâches les plus risquées, rend illusoire l’identification des donneurs d’ordre sans utilisation des techniques spéciales d’enquête. En administratif, l’accès à des données chiffrées a permis des avancées décisives dans des dossiers majeurs : l’entrave d'organisations criminelles recrutant des professionnels de la mer pour acheminer des tonnes de cocaïne sur le territoire national ou actives sur les grandes plateformes aéroportuaires nationales et recrutant des personnels ayant accès aux zones sûreté pour sortir les stupéfiants de la plate-forme. À ce titre, la possibilité de requérir le concours des opérateurs a été récemment confirmée par le législateur, qui a, dans la loi n° 2021-998 du 30 juillet 2021 relative à la prévention d’actes de terrorisme et au renseignement (dite loi PATR), étendu le champ des techniques de renseignement pour lesquelles l’autorité administrative peut solliciter les opérateurs au recueil de données informatiques (article L. 853-2 du CSI) et à la collecte de données de connexion par des IMSI catchers (article L. 851-6 du CSI). En deuxième lieu, en raison d’un périmètre large, cette interdiction concernerait l’ensemble des données protégées et l’ensemble des services de communications électroniques, y compris en matière de téléphonie ou de fourniture d’accès à internet, qui mobilisent aujourd’hui ou à l’avenir des mécanismes de protection des données, au-delà des seules messageries chiffrées. Si le rapport de la commission spéciale de l'Assemblée nationale texte précise que l’objectif de l’article est « d’interdire l’introduction de « portes dérobées » […] pour permettre aux services de renseignement d’accéder au contenu des messageries chiffrées », il assume également une ambition plus large, l’interdiction de pratiques diverses et notamment « la création d’un accès non consenti aux données protégées ». Or, les techniques de renseignement ou d’enquêtes numériques judiciaires répondent toutes, par essence, à cette définition, au titre des impératifs liés à la sécurité nationale ou de l’objectif à valeur constitutionnelle de recherche des auteurs d’infractions pénales. S’agissant des services concernés, en raison d’une formulation très extensive (« fournisseurs de services de chiffrement, y compris aux prestataires de services de confiance qualifiés »), toute entreprise proposant un moyen de chiffrement, même rudimentaire ou sans lien avec les informations requises par les autorités, serait considérée comme étant un fournisseur de service de chiffrement. S’agissant de la nature des mesures que la disposition vise à interdire, la rédaction porte non seulement sur les « dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d’information et des communications », mais aussi sur les « mécanismes ou processus permettant un accès non consenti aux données protégées ». L’interdiction englobe ainsi tout mécanisme de sécurité minimal mis en œuvre par l’opérateur ou l’utilisateur visé. Cela pourrait à l’extrême conduire à la constitution d’une forme d’« Eldorado français » pour les entreprises criminelles européennes. En dernier lieu, l’ensemble des techniques de renseignement prévues à l’article L. 871-6 du CSI ainsi que les techniques d’enquêtes numériques judiciaires seraient rendues inapplicables, alors que le recours à ces techniques est strictement encadré. Les techniques concernées seraient les suivantes : Interception des correspondances (articles L. 852-1 du CSI et 100, 706-95 du CPP) en incluant l’interception des conversations, des messages ou des données de connexion ; Accès à distance aux correspondances stockées par la voie des communications électroniques accessibles au moyen d'un identifiant informatique (articles 706-95-1 à 706-95-3 du CPP) ; Recueil de données de connexion (articles L. 851-1 du CSI et 60-1, 60-1-2, 60-2, 77-1-2, 99-3 et 99-4 du CPP) ; Recueil de données de connexion en temps réel (article L. 851-2 du CSI) ; Technique de l’algorithme (article L. 851-3 du CSI) ; Géolocalisation (article L. 851-4 du CSI et 230-32 à 230-42 du CPP) ; Recueil de données de connexion par IMSI catchers (articles L. 851-6 du CSI et 706-95-20 du CPP) ; Captation ou recueil de données informatiques (articles L. 853-2 du CSI et 706-102-1 du CPP). À titre d’exemple, pour le seul volet judiciaire, au mois d’octobre 2026 : La géolocalisation de téléphones mobiles représente plus de 51 000 mesures ; Il est dénombré plus de 4 millions de demandes de données de connexion ; 50 000 lignes téléphoniques ont été placées sous interceptions judiciaires. Ces techniques, qui permettent aux services de l’État, administratifs comme judiciaires, d’accéder à des données protégées, sont strictement encadrées. Elles sont contrôlées, selon les cas, par une autorité indépendante ou un magistrat. En matière judiciaire, l’accès aux données est conditionné à une autorisation préalable, motivée en droit et en fait, d’un juge d’instruction ou d’un juge des libertés et de la détention. En matière de renseignement, l’accès aux données est conditionné à une autorisation préalable du Premier ministre, après avis de la commission nationale de contrôle des techniques de renseignement (CNCTR), autorité administrative indépendante composée de parlementaires, de membres du Conseil d’État, de magistrats de la Cour de cassation et d’une personnalité qualifiée. Le service de renseignement doit formuler une demande écrite et motivée qui précise la technique, la proportionnalité de l’atteinte à la vie privée, les finalités (prévention du terrorisme, de la criminalité organisée, des ingérences étrangères, etc.) et les motifs qui justifient le recours aux techniques. Si le Premier ministre délivre une autorisation contre l’avis de la CNCTR, cette dernière saisit immédiatement le Conseil d’État d’un recours visant à contrôler la légalité de cette autorisation. Un tel cas de figure ne s’est encore jamais présenté. Pour toutes ces raisons, il est impérieux de supprimer l’article 16 bis qui représente une menace considérable pour la sécurité des Français. Au demeurant, il s’agit d’un cavalier dépourvu de lien direct ou indirect avec le projet de loi, dont l’objectif est de procéder à des adaptations de notre droit interne au droit de l’Union européenne en matière de cybersécurité.

Le présent amendement vise à prévoir une mise à jour au moins biennale de la stratégie nationale en matière de cybersécurité, contre une actualisation tous les trois ans prévue par le texte. Si la stratégie nationale doit naturellement s’inscrire dans le temps long, la rapidité d’évolution des technologies et du paysage des menaces justifie de pouvoir l’actualiser plus régulièrement. Le développement de l’intelligence artificielle, l’apparition de nouvelles vulnérabilités, l’évolution des modes opératoires des cyberattaquants et l’interconnexion croissante des systèmes numériques modifient rapidement les conditions dans lesquelles doit être assurée la cybersécurité de la Nation. Dans Threat Landscape 2026, l’ENISA souligne l’évolution constante des menaces et l’utilisation croissante de l’intelligence artificielle à des fins malveillantes. Une actualisation tous les deux ans permettrait ainsi de conserver une stratégie structurante, tout en garantissant sa capacité d’adaptation aux évolutions technologiques, aux nouvelles vulnérabilités et aux transformations du paysage des menaces. Cette périodicité est en outre cohérente avec le dispositif prévu par le texte, qui prévoit déjà la remise au Parlement, tous les deux ans, d’un rapport sur la mise en œuvre de la stratégie nationale en matière de cybersécurité. Il s’agit donc non pas de remettre en cause la stabilité nécessaire à une stratégie nationale, mais de garantir que celle-ci demeure régulièrement actualisée et adaptée aux réalités technologiques et opérationnelles.

Le présent amendement vise à inclure explicitement les collectivités territoriales parmi les acteurs devant bénéficier des actions de sensibilisation à la cybersécurité prévues par le plan national. Les collectivités territoriales sont aujourd’hui fortement dépendantes des systèmes numériques pour assurer leurs missions de service public. Elles sont déjà exposées à des attaques par rançongiciel, à des tentatives d’hameçonnage, à des vols de données ou à des interruptions de leurs services numériques. Le renforcement de leur niveau de cyberprotection, de cyberhygiène et la diffusion de bonnes pratiques constituent ainsi un enjeu important de résilience, tant pour la protection des systèmes d’information que pour la continuité des services publics locaux.

Le présent amendement vise à mentionner explicitement les élus parmi les publics auxquels doivent s’adresser les actions de promotion et de développement de l’éducation, de la formation et de la sensibilisation en matière de cybersécurité. Les élus, notamment les élus locaux, sont amenés à utiliser quotidiennement des outils numériques et peuvent avoir accès à des données sensibles dans le cadre de leurs fonctions. Les collectivités et leurs représentants sont par ailleurs régulièrement exposés aux cyberattaques, qui peuvent viser aussi bien les systèmes d’information des collectivités que les comptes et outils numériques utilisés par les élus, voire les associations d'élus. La sensibilisation des élus aux bonnes pratiques et aux réflexes à adopter en cas d’incident constitue ainsi un élément essentiel de la prévention et de la résilience face aux cyberattaques.

La directive (UE) 2022/2555 impose que les organes de direction puissent être tenus responsables des manquements de leur entité (art. 20, paragraphe 1). Elle exige aussi que les personnes physiques dirigeantes répondent de leur devoir de veiller au respect de ses obligations (art. 32, paragraphe 6). Le texte de la commission ne transpose pas ces dispositions. Pour les administrations, le texte exclut en outre toute amende administrative (art. 37). Faute de sanction, les obligations de cybersécurité risquent de rester sans effet dans le secteur public, qui est pourtant l’une des cibles principales des cyberattaques. Cet amendement ne sanctionne pas les structures. Il rattache les manquements graves au régime de responsabilité financière des gestionnaires publics, jugé par la Cour des comptes depuis l’ordonnance n° 2022‑408 du 23 mars 2022. La Cour a montré dans l’arrêt Projet Scribe (n° S-2026‑0975, 28 août 2026) qu’elle sait sanctionner les défaillances de gouvernance d’un projet informatique public.

L’article 14 transpose l’article 21 de la directive NIS 2 et impose aux entités essentielles et importantes de mettre en place « des outils et des procédures pour assurer la défense des réseaux et des systèmes d’information et gérer les incidents ». Dans le texte adopté par la commission spéciale le 10 septembre 2025, cette obligation pèse aussi sur les administrations de l’État chargées de la sécurité publique, de la défense et de la répression pénale ainsi que sur les juridictions administratives et judiciaires (art. 14, premier alinéa) ; elle se prolonge dans l’obligation de notifier les incidents ayant causé l’extraction de données sensibles (art. 17, III, 1°). Parmi ces outils figure la veille en sources ouvertes, notamment sur les fuites de données, que l’ENISA décrit comme une composante des mesures attendues. Le présent amendement précise que cette veille entre dans les mesures exigées par la loi, y compris lorsqu’elle porte sur des données publiées à la suite d’une cyberattaque. Il en tire la conséquence pénale : l’entité qui exécute son obligation, directement ou par un prestataire, accomplit un acte autorisé par la loi et ne peut être poursuivie pour recel. Ce dispositif vise les seules entités soumises au titre II, ainsi que les prestataires éventuels qui leurs permettent de remplir leurs obligations

Le présent amendement vise à reconnaître le secteur de la culture comme un secteur critique pour le fonctionnement de l’économie et de la société. La culture et le patrimoine constituent une composante essentielle de la société française. Ils contribuent à la transmission de notre histoire, de notre mémoire ainsi qu’à la cohésion de la Nation et à l’attractivité de nos territoires. Au cours de son histoire, le patrimoine culturel français a été exposé aux destructions, aux pillages et aux spoliations. Cette vulnérabilité demeure une préoccupation lorsque les biens et activités culturels peuvent être pris pour cible dans le cadre de menaces contemporaines. La transformation numérique des activités culturelles a profondément accru la dépendance des établissements et opérateurs culturels à leurs infrastructures numériques. Billetterie, gestion administrative et financière, gestion des collections, catalogage, archives, conservation numérique, recherche, diffusion des œuvres, relations avec les publics ou encore gestion des droits reposent désormais largement sur ces infrastructures. Les incidents survenus ces dernières années démontrent que cette dépendance n’est pas théorique. Par exemple, en août 2024, la Réunion des musées nationaux – Grand Palais a été victime d’une cyberattaque ayant affecté son système informatique central. Ces incidents ont des conséquences sur la continuité des activités culturelles et la préservation des données patrimoniales. Cette vulnérabilité est désormais identifiée. Le ministère de la Culture a publié son « Plan d’action de sûreté des établissements patrimoniaux et des lieux de conservation de biens culturels » en juillet 2026. Elle fait également l’objet de travaux parlementaires, comme le rapport Marion sur la sûreté des établissements patrimoniaux remis au gouvernement en juin 2026, ainsi que le rapport de la commission d’enquête sur la protection du patrimoine national et la sécurisation des musées, adopté le 6 mai 2026. Le secteur culturel présente ainsi plusieurs caractéristiques justifiant son intégration parmi les secteurs critiques : forte dépendance aux infrastructures numériques, conservation de données et d’actifs difficilement remplaçables, importance de la continuité des services au public et possibilité d’effets en cascade en cas de compromission d’un opérateur ou d’un prestataire commun. L’ajout du secteur de la culture permet d’intégrer cette réalité au dispositif de résilience et de cybersécurité et prévu par le présent projet de loi. La rédaction retenue est volontairement large car il appartiendra au pouvoir réglementaire de préciser les sous-secteurs et les entités concernés, en fonction de leur activité, de leur taille, de leur niveau de dépendance numérique et de la criticité des services fournis.

Cet amendement introduit un principe de préférence encadrée pour l’externalisation des services numériques des institutions de prévoyance et unions. Il repose sur des critères objectifs, tout en prévoyant une dérogation permettant d’éviter toute distorsion excessive dans l’accès aux services de technologies de l’information et de la communication. Les organismes concernés doivent privilégier des prestataires présentant des garanties de sécurité reconnues et assujettis en France à l’impôt sur les sociétés. Cette orientation contribue à soutenir la filière et à renforcer la maîtrise des services numériques dont dépendent leurs activités. Le renforcement de la résilience opérationnelle numérique doit s’accompagner d’une politique de souveraineté agissant sur les dépendances technologiques. La possibilité de dérogation, soumise à une autorisation expresse de l’autorité de contrôle compétente et à la démonstration de l’absence d’offre répondant aux critères, préserve la continuité des activités.