Cybersécurité : les députés examinent un projet de loi aux enjeux européens

Les députés examinent aujourd’hui un projet de loi qui doit renforcer la sécurité informatique des entreprises et des infrastructures stratégiques françaises. Présenté d’abord au Sénat en octobre 2024, le texte transpose trois législations européennes. Parmi elles figure la directive NIS 2, destinée à mieux protéger les activités essentielles face aux cyberattaques. L’examen intervient alors que le pays a pris près de deux ans de retard sur ses obligations européennes et qu’une procédure a été engagée devant la Cour de justice de l’Union européenne.

Le périmètre des obligations de sécurité serait considérablement étendu. Le nombre d’organisations concernées passerait d’environ 500 à près de 15 000. Banques, hôpitaux, fournisseurs d’énergie, acteurs des transports, collectivités territoriales et entreprises numériques figurent parmi les secteurs visés. Ils devraient améliorer leurs mesures de prévention et de protection, mais aussi signaler rapidement les incidents informatiques majeurs. Le projet leur demande également de renforcer la sécurité de leurs fournisseurs et sous-traitants, afin que leurs relations avec ces acteurs soient prises en compte dans leur protection.

Pour vérifier le respect de ces exigences, l’Agence nationale de la sécurité des systèmes d’information, ou Anssi, verrait ses moyens de contrôle et de sanction renforcés. En cas de manquements graves, les entreprises considérées comme les plus critiques pourraient se voir infliger des amendes allant jusqu’à 10 millions d’euros ou 2 % de leur chiffre d’affaires mondial. Ces sanctions potentielles s’inscrivent dans un dispositif qui imposerait à un ensemble beaucoup plus large d’organisations des règles renforcées en matière de sécurité informatique.

L’examen du texte s’ouvre après une série de piratages et de vols massifs de données qui ont notamment touché plusieurs administrations françaises durant l’été. Selon les professionnels du secteur, chaque report supplémentaire augmente les risques. Les conséquences des attaques peuvent s’étendre jusqu’à l’arrêt d’activités dans des hôpitaux, des entreprises ou des services publics. La réforme vise ainsi à mettre le droit français en conformité avec les législations européennes tout en élargissant la protection demandée aux organisations exerçant des activités jugées essentielles.

Le contenu définitif de la loi reste toutefois à déterminer au Parlement, où près de 400 amendements ont été déposés. Le chiffrement des messageries comme WhatsApp, Signal et Telegram concentre les désaccords. Le Sénat a introduit un article destiné à le protéger, mais le gouvernement veut le supprimer, estimant qu’il pourrait gêner certaines enquêtes de sécurité nationale. Le débat oppose la protection de la confidentialité des échanges aux besoins des enquêteurs dans la lutte contre la criminalité, sur fond de divergences entre défenseurs de la vie privée et services de renseignement.