rapport sur le projet de loi, adopté par le Sénat après engagement de la procédure accélérée, relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (n°1112). — Comptes rendus

M. Franck Bataille. Nos territoires sont très impliqués dans le développement économique. Les relations de la CPME avec les collectivités territoriales sont extrêmement fréquentes. Nous partageons avec elles un grand nombre d’informations, parfois stratégiques. Quelle que soit la taille des entreprises, nous sommes dans une relation de confiance, notamment concernant les informations que nous leur confions. De fait, les collectivités sont très souvent les premières informées de nos projets économiques, comme la construction de bâtiments. Nous croyons en leur accompagnement, en leur bienveillance et en leur aide, et nous ne voudrions pas que les informations que nous transférons soient dispersées ou fassent l’objet de fuites. C’est la raison pour laquelle les acteurs publics devraient aussi porter, selon nous, leur part de responsabilité, de la même manière que les collectivités locales sont aujourd’hui responsables en matière de RGPD.

Ces collectivités territoriales sont des partenaires, au même titre que l’ensemble de notre chaîne d’approvisionnement, elles font aussi partie de l’écosystème. Elles partagent également un certain retard dans l’appréhension des enjeux cyber, au même titre que les TPE et PME. Je le sais d’autant mieux que j’ai été sollicité la semaine dernière pour intervenir lors d’un congrès de maires de petites communes dans mon département, au titre d’expert cyber. Un grand travail reste à accomplir vis-à-vis de ces acteurs territoriaux, qu’il faudra aussi responsabiliser.

M. Marc Bothorel. S’agissant de la responsabilité du chef d’entreprise, nous avions déposé un amendement, qui avait été accepté, auprès de la commission sénatoriale, en faveur d’une proportionnalité en fonction de la gravité du manquement. Cette mesure vise à éviter des sanctions trop lourdes qui pourraient mettre en difficulté des entreprises.

Enfin, je souhaite vous faire part d’un exemple pour illustrer les difficultés auxquelles nous sommes confrontés pour transmettre les messages et informations. Nous avions organisé en Ardèche une réunion d’information conjointe avec la chambre de commerce, la préfecture, une importante communauté de communes, la gendarmerie et le conseil départemental au sujet de NIS 2, à destination des entreprises. Cet événement, qui devait se dérouler le 12 juin, vient d’être annulé. Seulement six personnes s’étaient inscrites.

M. le président Philippe Latombe. Je vous remercie. Nous ne savons pas encore quand ce texte sera étudié dans l’hémicycle, probablement en septembre. Dans l’intervalle, n’hésitez pas à faire parvenir des contributions écrites à nos rapporteurs, afin que nous puissions les intégrer à notre réflexion et produire un texte le plus lisible et efficace possible. L’objectif consiste en effet à éviter des zones d’ombre et des effets de bord.

9. Audition de représentants de la Commission nationale de l’informatique et des libertés (CNIL), mardi 10 juin 2025 à 16 heures 30

Lors de sa réunion du mardi 10 juin 2025, la commission spéciale a auditionné M. Michel Combot, directeur des technologies, de l’innovation, et de l’intelligence artificielle, M. Victor Nicolle, directeur des contrôles et des sanctions, M. Florent Della Valle, chef du service de l’expertise technologique et Mme Chirine Berrichi, conseillère pour les questions parlementaires et institutionnelles, représentant la Commission nationale de l’informatique et des libertés (CNIL).

M. le président Philippe Latombe. Nous poursuivons nos auditions sur le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, avec l’audition de représentants de la Commission nationale de l’informatique et des libertés (Cnil).

À titre liminaire et à toutes fins utiles, je tiens à indiquer que je suis membre du collège de la Cnil.

Le projet de loi que la commission spéciale est chargée d’examiner comporte trois titres. Le titre Ier, consacré à la résilience des activités d’importance vitale, procède à la transposition de la directive sur la résilience des entités critique, dite REC. Mme Catherine Hervieu en est la rapporteure. Le titre II vise à renforcer notre cadre juridique en matière de cybersécurité et procède à la transposition de la directive européenne NIS 2 (Network and Information Security 2). Mme Anne Le Hénanff en est la rapporteure. Enfin, le titre III est consacré à la résilience opérationnelle numérique du secteur financier et procède à la transposition du règlement sur la résilience opérationnelle numérique du secteur financier, dit Dora (Digital Operational Resilience Act). M. Mickaël Bouloux en est le rapporteur. Éric Bothorel est le rapporteur général du projet de loi.

Plusieurs dispositions du projet de loi sont relatives à la Cnil.

L’article 17 dispose que l’Agence nationale de la sécurité des systèmes d’information (Anssi) informe la Cnil des incidents ayant un impact important sur la fourniture des services des entités essentielles et importantes ainsi que de certaines administrations, et susceptibles d’entraîner une violation de données à caractère personnel. Cette notification permettra à la Cnil d’exercer ses missions de contrôle et de sanction, conformément au Règlement général sur la protection des données (RGPD).

Les articles 19 et 22 sur les données relatives aux noms de domaine renvoient leurs modalités d’application à deux décrets en Conseil d’État, pris après avis de la Cnil.

L’article 23 encadre les échanges d’informations, notamment entre l’Anssi et la Cnil.

Enfin, l’article 37, alinéa 5, dispose que si les manquements relevés dans le cadre du titre II constituent également une violation du RGPD donnant lieu à une amende administrative prononcée par la Cnil, la commission des sanctions ne peut prononcer de sanction sous forme d’amende administrative. Cette disposition suscite des interrogations, non sur le principe bien connu du non bis in idem, mais sur les modalités d’application concrètes des procédures et sur leur articulation.

Dans ce contexte, nous souhaitons vous entendre sur la manière dont vous percevez le projet de loi et sur les éventuels angles morts auxquels il faudrait remédier dans le cadre de l’examen du texte par l’Assemblée nationale. Je vous laisse la parole pour une intervention liminaire, avant que nos rapporteurs et l’ensemble de nos collègues puissent vous interroger.

M. Michel Combot, directeur des technologies, de l’innovation et de l’intelligence artificielle de la Cnil. Merci, monsieur le président, de nous donner l’occasion de nous exprimer sur ce projet de loi, lié au cœur des activités de la Cnil en matière de cybersécurité.

La Cnil doit veiller au respect de la vie privée et au développement des innovations et des nouveaux services. L’enjeu de la cybersécurité constitue l’une des priorités de la Commission, dont la prérogative principale en la matière est la gestion des incidents liés aux violations de données. Depuis 2018, en application du RGPD, les entreprises ont l’obligation de notifier vols et pertes de données à la Cnil, qui instruit ces incidents et considère, le cas échéant, si les entreprises ont bien appliqué certaines dispositions.

L’augmentation des incidents liés à la cybersécurité s’est traduite par une augmentation des violations de données, dont le nombre a été supérieur à 5 500 en 2024. Plus de 50 % de ces violations sont liées à des actes de piratage, soit des actes volontaires extérieurs, et près de 45 % sont liées à des problèmes rencontrés par l’entreprise. Par ailleurs, plus d’un tiers des incidents concernent des PME.

Du point de vue de la Cnil, le renforcement de la maturité des entreprises dans le domaine de la cybersécurité constitue un enjeu clé, notamment pour la protection des données personnelles détenues par les entreprises. À cet égard, la Cnil ne peut que soutenir l’objectif initial de la directive NIS 2 et de sa transposition dans le droit français. Plus les entreprises seront préparées, mieux elles seront à même de protéger les données de leurs clients et la vie privée de nos concitoyens.

La Cnil accompagne aussi de manière globale le secteur, en édictant les obligations dérivées du RGPD en matière de cybersécurité. À titre d’exemple, en ce qui concerne l’authentification multifacteurs, l’accès en interne doit être très sécurisé pour les grandes bases de données. Nous avons développé un programme de travail pour nous assurer que les bonnes pratiques sont appliquées par les entreprises, en ciblant des secteurs et des tailles d’entreprises correspondants aux violations de données constatées. La cybersécurité est l’une des priorités de notre plan d’action 2025-2028. L’un des enjeux sera d’intégrer les collectivités locales dans le champ des obligations dérivées de la directive NIS 2.

J’en viens au projet de loi, dont l’architecture nous convient. L’articulation de nos activités avec celles de l’Anssi constitue un enjeu. Cependant, nous collaborons déjà au quotidien depuis la création de l’Agence à la fin des années 2000. Cette question de l’articulation se pose pour plusieurs sujets, dont certains font l’objet d’articles du projet de loi et d’autres d’un travail opérationnel.

La transposition de la directive NIS 2 va décupler le nombre d’entreprises concernées par les exigences et les obligations en matière de cybersécurité. À cet égard, un minimum doit être mis en place quant à la protection des données personnelles, en l’adaptant à la capacité des entreprises. L’Anssi travaille à ce calibrage et nous collaborons très bien à ce stade. Le niveau de maturité des entreprises, en particulier les plus petites, et des collectivités locales s’en trouvera amélioré.

J’en viens au sujet de la notification. Le projet de loi prévoit que l’Anssi doit informer la Cnil de certains incidents, ce qui nous convient parfaitement. Pour nous, l’enjeu est d’agir le plus rapidement possible. La notification des violations de données permet d’abord d’informer les concitoyens touchés, afin de prévenir toute fraude ultérieure. La divulgation d’informations, notamment bancaires, peut se révéler très préjudiciable, en particulier pour les populations les plus défavorisées, moins enclines à identifier ce genre de fraudes. Plus la Cnil est informée en amont, mieux elle peut effectuer son travail de contrôle et de prévention des dommages liés aux violations de données.

Les contrôles peuvent être préalables à d’éventuelles sanctions. Le projet de loi garantit la possibilité de faire appel à des experts croisés, ce à quoi nous sommes très favorables. Nous pourrons croiser les expertises lors des contrôles menés par chaque entité : l’Anssi pourra bénéficier d’experts spécialisés dans le domaine de la protection de la vie privée et la Cnil faire appel à des experts de l’Agence.

L’échange d’informations, qui permettra d’améliorer l’efficacité des procédures, fait également l’objet de dispositions dans le projet de loi. Nous avons quelques interrogations concernant leur rédaction, notamment en ce qui concerne la notion d’« intérêts commerciaux des entités concernées ». Sans remettre en cause la nécessaire protection du secret des affaires, cette notion ne semble pas totalement bien définie. Il faudrait la supprimer ou la préciser, pour renvoyer plutôt à des « secrets protégés par la loi », afin de s’assurer que la transmission d’informations a uniquement pour objet des données nécessaires et suffisantes au contrôle et à la mise en place des procédures. Des définitions normées permettront d’éviter des problèmes a posteriori, en cas de contestation des procédures.

J’en viens à la coordination des sanctions. L’enjeu ne se situe effectivement pas autour du principe du non bis in idem, bien établi dans la jurisprudence, mais autour de l’existence d’un mécanisme qui soit complémentaire et pas surabondant. Au-delà du projet de loi, la coopération quotidienne entre les deux entités sera très importante. Il sera aussi important de prendre de manière complémentaire des mesures préalables aux sanctions, telles que des demandes de mise en conformité et des mises en demeure. Si une sanction doit être prise quand elle est nécessaire, l’objectif reste la mise en conformité. Notre collaboration avec l’Anssi est suffisamment ancienne pour que nous soyons confiants quant à notre capacité à développer une approche conjointe et non concurrentielle. Nous envisageons également de signer une convention.

Le projet de loi fait aussi référence à la stratégie nationale en matière de cybersécurité. La Cnil souhaite en être partie prenante, dans le respect de son indépendance. Notre vision est complémentaire à celle de l’Anssi. A contrario de ce qui se passe pour d’autres stratégies nationales, comme celle portant sur l’intelligence artificielle, nous souhaitons jouer toute notre part dans la stratégie de l’État en matière de cybersécurité.

Ce projet de loi nous convient, même s’il peut être amélioré. L’urgence est d’en mettre en œuvre les dispositions, afin d’assurer la nécessaire montée en maturité technologique de certaines entités, notamment les PME et les collectivités. Elles seront accompagnées et auront le temps, mais il leur faut comprendre qu’elles doivent désormais se mettre en conformité. Selon une étude que nous avons récemment publiée, l’application du RGPD au domaine de la cybersécurité aura un impact économique positif pour les entreprises. Les coûts évités pourraient s’élever à plus de 100 millions grâce à une baisse de la fraude. Ce coût évité est un élément important, qui nous conduit aussi à soutenir l’adoption rapide de ce projet de loi.

M. le président Philippe Latombe. La directive NIS 2 prévoit des sanctions, notamment financières. Celles-ci se cumuleraient-elles aux sanctions liées à la non-application du RGPD ? Lors de leur audition, les responsables de l’Anssi nous ont indiqué qu’en cas de fuite des données et de problème de cybersécurité, l’amende relative au RGPD serait retenue, notamment parce qu’elle serait plus élevée.

En cas de fuite de données personnelles, la Cnil est saisie et elle garde la main si un problème de cybersécurité se pose ensuite. A contrario, si un problème de cybersécurité survient d’abord et qu’on se rend compte ensuite qu’il a généré une fuite de données, l’Anssi reste-t-elle responsable ou la Cnil reprend-elle la main ? Ce cas est-il déjà prévu ou faut-il l’inclure de façon plus claire dans le projet de loi ?

Au cours de nos auditions, on nous a souvent fait part de la volonté des entreprises de pouvoir accéder à une déclaration commune pour signaler des incidents auprès de l’Anssi, de la Cnil et des autorités de tutelle telles que l’Autorité des marchés financiers (AMF) ou l’Autorité de contrôle prudentiel et de résolution (ACPR) pour l’application de Dora ; qu’en pensez-vous ?

Enfin, la Cnil prend des sanctions à l’encontre des collectivités au titre du RGPD ; pouvez-vous revenir sur votre expérience en la matière ? Nombre des personnes auditionnées ont signalé une différence de traitement entre les entreprises soumises à sanction et les collectivités locales, qui ne le sont pas.

Mme Catherine Hervieu, rapporteure. Les missions de la Cnil continuent de s’étendre, en raison des décisions des législateurs européens et français, mais cette extension advient dans un contexte budgétaire contraint.

Depuis 2024, vous avez dû reporter certains remplacements d’agents et plusieurs nouveaux recrutements, qui étaient pourtant importants pour l’atteinte de vos objectifs. Dans le rapport que vous avez publié en avril 2025, il est écrit que « de nouvelles remises en cause de ses moyens financiers et humains, mettraient en risque la capacité de la Cnil à assurer de manière satisfaisante des missions pourtant essentielles à la préservation des libertés fondamentales de chacun ». À cet égard, comment envisagez-vous l’application de ce projet de loi ?

Les collectivités sont très allantes sur le sujet du numérique, ayant compris l’importance des enjeux de gestion des données pour améliorer leur fonctionnement et des enjeux en matière de cybersécurité. Travailler avec vous représente pour elles une plus-value mais elles butent sur la question de la formation, initiale et continue des agents comme des élus, qui nécessite des moyens et des ressources humaines.

M. Michel Combot. Je comprends le besoin de simplifier les notifications d’incidents, mais le type d’informations remontées varie selon les entités ; la création d’un mécanisme unique ne serait pas neutre. Dans le cas du filtre anti-arnaque par exemple, tout le monde bute sur la question des moyens et du développement d’un système de transmission sécurisée, quand un schéma délocalisé semblerait préférable. Notre procédure est assez simple, fonctionne bien et nous évite d’avoir accès à des informations dont nous n’avons pas besoin, ce qui semble important, notamment au regard de notre objectif de minimisation des données.

Nos enjeux budgétaires ne sont pas propres au domaine de la cybersécurité. À titre d’exemple, l’entrée en vigueur prochaine du règlement sur l’intelligence artificielle posera aussi des questions de moyens.

En 2024, nous avons reçu 17 000 plaintes, dont le traitement est obligatoire au titre du RGPD. Si on les ignore, elles peuvent être contestées et les procédures peuvent remonter jusqu’au Conseil d’État voire jusqu’à la Cour de justice de l’Union européenne.

Une centaine de sanctions ont été prises, dont les deux tiers relèvent de la procédure simplifiée. Les sanctions ont une visée d’exemplarité mais doivent surtout servir à mettre en conformité et à mettre fin au préjudice, ce qui exige un traitement rapide nécessitant suffisamment de moyens.

Les collectivités doivent gagner en maturité et en compétence d’un point de vue technologique dans les domaines de la cybersécurité, de l’intelligence artificielle et de la vidéo. On sent leur volonté de bien faire, mais notre direction chargée de l’accompagnement doit avoir les moyens de mener à bien sa mission.

Les sujets que nous traitons se complexifient et représentent des enjeux forts pour nos concitoyens en matière de violations des données et de libertés. Ainsi, le sujet de l’intelligence artificielle et de la vidéo soulève des questions liées aux libertés publiques.

En ce qui concerne le développement des technologies, nous accompagnons le gouvernement sur les enjeux de protection des données et de souveraineté ; cette expertise requiert aussi des emplois. Nous avons émis nos demandes et sommes en dialogue avec les services de l’État. Il nous faut des moyens adaptés pour répondre à la demande croissante de nos concitoyens en matière de protection et d’accompagnement, pour faire face à des enjeux qui sont au cœur du débat politique.

M. Victor Nicolle, directeur des contrôles et des sanctions de la Cnil. En ce qui concerne les moyens dévolus par la Cnil à la chaîne dite répressive, un peu plus de 50 agents se consacrent aux contrôles et aux sanctions, parmi lesquels une grosse moitié se concentrent sur les contrôles et une petite moitié sur les sanctions. En 2024, nous avons pris 88 sanctions représentant un total de 55 millions d’euros. Environ 70 sanctions relevaient de la procédure simplifiée à juge unique, qui peut donner lieu à des amendes plafonnées à 20 000 euros. Les autres sanctions relevaient de la procédure ordinaire, qui permet d’avoir recours à des amendes plus importantes.

Le principe du non bis in idem est inscrit au cinquième alinéa de l’article 37 du projet de loi, avec des limites. Ainsi, si les pouvoirs de la commission des sanctions de l’Anssi sont restreints, ceux de la Cnil en la matière ne le sont pas. De plus, le principe porte sur les sanctions financières qui peuvent être prononcées par l’Anssi, laissant une souplesse pour prendre d’autres mesures correctrices, telles que des mises en demeure ou des rappels aux obligations légales. Ainsi, chaque institution peut mener à bien sa mission : la continuité des activités essentielles pour l’Anssi et la protection des données pour la Cnil.

Nous reconnaissons le besoin d’articulation entre les deux entités, qui figurait dans l’avis de la Cnil du 23 mai 2024. Nous procédons déjà à des échanges substantiels concernant la chaîne répressive. Ainsi, les référentiels de l’Anssi sont utilisés de façon quotidienne par la Cnil lors de ses missions de contrôle et sont visés dans les décisions de sanction adoptées par la formation restreinte de la Cnil, au titre de normes qui s’imposent. De plus, il y a un an, la Cnil a accueilli des agents de l’Anssi pour effectuer des missions de contrôle. Des éléments de coopération existent, qui auraient vocation à être développés grâce à la coordination envisagée dans le cadre du projet de loi.

La Cnil a appelé à la création d’un mécanisme d’orientation préalable qui pourrait consister, pour l’Anssi, à informer la Cnil de façon systématique lorsqu’elle est saisie d’un incident de cybersécurité mettant en cause des violations de données et, pour la Cnil, à signaler à l’Anssi les violations dont elle aurait connaissance, notamment dans le cadre de sa chaîne répressive. Si les choses sont bien faites au stade des contrôles, l’aiguillage sera bon et les doublons seront évités en matière de sanctions.

Les dispositions de l’article 23, sous réserve de ce qu’a mentionné Michel Combot concernant la formule retenue, permettraient d’asseoir la coordination entre les deux institutions, dans le cadre d’une convention qui reste à écrire mais autour de laquelle les échanges ont débuté.

J’en viens aux collectivités territoriales. Environ 17 % des notifications de violations de données faites à la Cnil concernent des administrations publiques et la moitié d’entre elles sont des collectivités territoriales, qui traitent des données particulièrement sensibles. L’Anssi a également relevé que ces dernières ont subi 14 % des incidents de cybersécurité qui leur ont été notifiés en 2024, soit 218.

La Cnil a déjà prononcé des sanctions à l’égard de collectivités et procède à des contrôles réguliers. Dans la perspective de la montée en régime qu’impose la transposition de la directive NIS 2, elle a fait de la cybersécurité des collectivités l’une de ses thématiques prioritaires de contrôle pour 2025. Ainsi, elle pourra contrôler les mesures organisationnelles et les mesures de sécurité interne mises en place par les collectivités pour sécuriser leurs données. Elle pourra aussi contrôler leurs sous-traitants, ce qui pourra avoir un impact important sur l’ensemble du réseau puisque certains marchés sont dévolus à seulement deux ou trois d’entre eux.

Les sanctions prononcées par la Cnil à l’encontre des collectivités territoriales tiennent compte de leurs moyens, selon les prescriptions du RGPD. Elles sont adaptées à l’objectif de mise en conformité des acteurs et peuvent prendre la forme de mises en demeure.

Mme Chirine Berrichi, conseillère pour les questions parlementaires et institutionnelles de la Cnil. Je voudrais apporter une précision quant à l’impact des décisions de la Cnil sur les collectivités territoriales. En 2022, nous avons prononcé des mises en demeure à l’encontre de vingt-deux communes de plus de 20 000 habitants. Dans les trois mois qui ont suivi, nous avons enregistré 2 000 désignations de délégués à la protection des données, qui visaient à répondre au manquement reproché à ces communes. Ces mesures répressives ont donc un effet dissuasif et d’entraînement.

M. le président Philippe Latombe. Nous en venons aux questions des autres députés.

M. Antoine Villedieu (RN). Le projet de loi prévoit que les agents de l’État pourront accéder sans autorisation judiciaire préalable aux locaux, aux documents, aux données informatiques, voire aux informations protégées par le secret professionnel des opérateurs d’importance vitale. Ces pouvoirs, notamment inscrits aux articles R. 1332-12 et suivants du code de la défense, s’appliqueraient à des entreprises privées, à des établissements publics et même à des collectivités territoriales.

Une telle extension du pouvoir administratif sans encadrement judiciaire clair n’ouvre-t-elle pas la voie à un déséquilibre profond entre exigence de sécurité et respect des libertés fondamentales ?

Comment la Cnil évalue-t-elle ce glissement, qui pourrait faire peser une menace sur la confidentialité des échanges ou la protection des données personnelles, dans des secteurs pourtant soumis à des obligations déontologiques ou professionnelles très strictes ?

Enfin, que pensez-vous de l’introduction de garanties juridictionnelles, ne serait-ce que d’un contrôle a posteriori, pour éviter que la sécurité numérique ne devienne un prétexte à une surveillance administrative généralisée ?

M. Victor Nicolle. Vous évoquez les pouvoirs de l’Anssi, que nous ne sommes pas les mieux placés pour commenter.

En ce qui concerne les contrôles conduits par la Cnil, la loi « informatique et libertés » prévoit une obligation de coopération de la part des acteurs à contrôler, qu’ils soient publics ou privés. Les contrôles qui ont lieu dans les locaux des entreprises peuvent faire l’objet d’un refus, que la Cnil et les agents en charge du contrôle peuvent outrepasser en saisissant le juge des libertés et de la détention. Ce cas de figure est peu fréquent et, en général, les entreprises collaborent aux contrôles.

Quant aux secrets, ils sont encadrés par la loi « informatique et libertés ». De plus, les agents de la Cnil sont soumis à une obligation de confidentialité.

M. Michel Combot. Toutes les décisions et procédures de la Cnil sont sous le contrôle du juge administratif et peuvent être contestées, tant sur le fond que sur la forme. Ce sera sûrement le cas aussi pour les procédures de l’Anssi, qui devront répondre aux mêmes obligations en matière de déontologie et garantir que seules les informations nécessaires et suffisantes sont collectées. L’activité des entités procédant à des sanctions administratives est encadrée et une jurisprudence existe dans ce domaine. En matière de protection des libertés des individus et des entreprises, des garde-fous suffisants sont en place.

M. le président Philippe Latombe. L’existence de sanctions à l’encontre des collectivités, même si vous n’y avez pas recours, vous semble-t-elle nécessaire pour que le dispositif fonctionne ? La question nous a été posée. Le Conseil d’État répond qu’on ne peut prévoir des sanctions pour le secteur privé sans en prévoir pour la sphère publique. Selon certains, puisque les collectivités ont le désir de monter en expertise et en maturité en matière de cybersécurité, les sanctions ne sont pas nécessaires. Selon d’autres, sans sanctions les collectivités seraient moins allantes. Pensez-vous qu’il soit possible de fonctionner sans sanctions ? S’il faut en prévoir, de quel type de sanctions doit-il s’agir ? Des plans de remédiation comme vous en mettez en place sont peut-être plus efficaces que des sanctions administratives pécuniaires.

M. Michel Combot. La nature et le montant des sanctions de la Cnil sont adaptés au préjudice subi et au chiffre d’affaires de l’entité sanctionnée. Le quantum s’appliquant aux collectivités est donc forcément différent. Je le répète : nous recherchons d’abord la remise en conformité. La sanction, qui a un caractère dissuasif, tombe notamment si un acteur a bénéficié d’une situation illégale. Il est difficile de dire si les choses fonctionneraient aussi bien sans sanctions ; il s’agit d’une question éminemment politique, à laquelle il vous revient de répondre.

M. le président Philippe Latombe. Le RGPD prévoyait explicitement le cas de figure, ce qui était plus simple.

M. Victor Nicolle. Il faut entendre la sanction de façon large et ne pas se limiter à la procédure de sanction diligentée devant la formation restreinte de la Cnil. À titre d’exemple, pour des acteurs publics qu’on ne peut pas sanctionner financièrement, les mises en demeure, qui peuvent être rendues publiques, peuvent constituer une incitation très forte à se remettre en conformité. La sanction n’est pas la panacée et la sanction financière n’est pas le seul levier dont dispose la Cnil.

M. Antoine Villedieu (RN). Que pensez-vous de l’absence de garantie contre la sous-traitance hors Union européenne des services essentiels ? Je pense aux data centers, aux clouds critiques et aux réseaux.

M. Michel Combot. La question est de savoir quelles sont les données dont il s’agit et par qui elles sont détenues. Il y a un enjeu de souveraineté. Nous soutenons pleinement la stratégie du gouvernement sur le « cloud au centre », qui a été notamment transposée par la loi, visant à sécuriser et à réguler l’espace numérique, dont nous attendons des décrets d’application sur lesquels la Cnil donnera son avis.

Il s’agit d’une question politique et c’est à l’État de décider quelles sont les données soumises à un type particulier de protection. Du point de vue la Cnil, la protection de la vie privée est importante et certaines données, notamment sensibles, doivent pouvoir être écartées de l’accès extraterritorial par des pays situés hors de l’Union européenne. La définition du champ de ces données revient à l’État, notamment quand ce dernier les détient.

Pour les entreprises, dans le domaine bancaire par exemple, nous recommandons que les entreprises puissent se saisir de ce sujet important. Les solutions technologiques à appliquer ne sont pas simples ; les développer constitue un enjeu collectif, auquel la Cnil prend toute sa part.

M. le président Philippe Latombe. Le projet de loi devrait être examiné en séance au mois de septembre, ce qui nous laisse du temps. Si des sujets n’ont pas été abordés aujourd’hui, n’hésitez pas à nous faire parvenir une contribution écrite. Le but est de clarifier le plus possible le projet de loi afin de le rendre efficace et relativement accessible pour les entreprises et les administrations. Le champ de la directive NIS 2 est large et de nombreux nouveaux acteurs vont être confrontés à la mise conformité ; nous avons besoin de faire les choses le plus sereinement possible.

10. Table ronde sur la lutte contre la cybercriminalité et la cybermalveillance, mercredi 25 juin 2025 à 16 heures 30

Lors de sa réunion du mercredi 25 juin 2025, la commission spéciale a auditionné M. Jérôme Notin, directeur général du groupement d’intérêt public Action contre la cybermalveillance (GIP-ACYMA), M. Christophe Husson, général de division et chef du commandement du ministère de l’intérieur dans le cyberespace (Comcyber-MI) et Mme Johanna Brousse, vice-procureure, cheffe de la section J3 (lutte contre la cybercriminalité) du parquet de Paris.

M. le président Philippe Latombe. Nous poursuivons nos auditions sur le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité par l’audition de M. Jérôme Notin, directeur général du groupement d’intérêt public Action contre la cybermalveillance (GIP Acyma) ; de M. Christophe Husson, général de division et chef du commandement du ministère de l’intérieur dans le cyberespace (Comcyber-MI) et de Mme Johanna Brousse, vice-procureure, cheffe de la section J3 (lutte contre la cybercriminalité) du parquet de Paris.

Le projet de loi que la commission spéciale est chargée d’examiner comporte trois titres. Le titre Ier, consacré à la résilience des activités d’importance vitale, procède à la transposition de la directive sur la résilience des entités critiques (REC) ; il est rapporté par Mme Hervieu. Le titre II vise à renforcer notre cadre juridique en matière de cybersécurité, procède à la transposition de la directive sur la sécurité des réseaux et des systèmes d’information (NIS 2) ; il est rapporté Mme Le Hénanff. Enfin, le titre III, consacré à la résilience opérationnelle numérique du secteur financier, procède à la transposition de la directive, connue sous son nom anglais, Digital Operational Resilience Ac, DORA. Il est rapporté par Mickaël Bouloux, qui s’excuse de ne pas pouvoir être présent aujourd’hui. Enfin, M. Éric Bothorel est le rapporteur général du projet de loi.

Nous avons souhaité vous entendre, car les institutions que vous représentez sont chargées à des titres très divers de lutter contre la cybercriminalité. Pourriez-vous nous dresser un état des lieux de la menace telle que vous la percevez et des moyens mis en place pour lutter contre ce phénomène inquiétant et en pleine croissance ? Je souhaiterais également recueillir votre avis sur le filtre anti-arnaque que nous avions inscrit dans la loi et qui n’est pas encore opérationnel. Quand celui-ci sera-t-il développé et mis en place ? Par ailleurs, quel est votre avis sur l’article introduit par le Sénat interdisant l’affaiblissement du chiffrement ? Dans ce contexte, nous souhaitons aussi vous entendre sur la manière dont vous percevez le projet de loi et les éventuels angles morts auxquels il faudrait remédier dans le cadre de l’examen du projet de loi par l’Assemblée nationale.

M. Christophe Husson, général de division et chef du commandement du ministère de l’intérieur dans le cyberespace (Comcyber-MI). Mon propos introductif a pour objet de vous présenter rapidement la manière dont le ministère de l’intérieur est organisé en matière de lutte contre la cybercriminalité, avant de mettre en lumière l’état de la menace et quelques réflexions dans le cadre de la transposition de NIS 2, en lien avec nos différentes observations sur le terrain, notamment du côté du monde de l’entreprise.

Le Comcyber-MI est un service à compétence nationale créé le 1er décembre dernier, que j’ai l’honneur de commander. J’ai pour adjoints un policier et un magistrat. L’ensemble des autres personnels sont des militaires de la gendarmerie et des personnels civils de la gendarmerie nationale. Ce dispositif, chargé de lutter contre la cybercriminalité est organisé autour de quatre grands piliers. Le premier pilier porte sur la stratégie, puisque nous sommes en charge de définir la stratégie ministérielle de lutte contre la cybercriminalité, qui a été annoncée par le ministre délégué François-Noël Buffet le 2 avril dernier à l’occasion du Forum InCyber à Lille. Elle a vocation à être déclinée par les services de police et de gendarmerie dans des plans d’action pour chacune des entités.

Nous avons également pour mission de contribuer à porter la parole du ministère de l’intérieur sur les évolutions réglementaires et législatives, de manière à permettre aux gendarmes et aux policiers de pouvoir travailler dans les meilleures conditions possibles. Nous conduisons également une action internationale et nous sommes chargés de différentes actions de prévention et de mise à disposition des contenus au profit des forces de police et de gendarmerie pour mener des actions de prévention dans les territoires.

Le deuxième pilier concerne l’anticipation, autour de deux composantes. La première a trait au renseignement d’intérêt cyber. Nous avons pour mission de publier tous les ans un rapport sur l’état de la menace. Le premier rapport a été publié l’année passée, au mois de juillet, et le rapport 2025 le sera dans les jours à venir. Au-delà, nous réalisons des fiches d’alerte flash sur différents phénomènes, que nous diffusons de manière très large, à la fois au sein du ministère, auprès des autres administrations, et de l’écosystème privé. À titre d’exemple, cette division de l’anticipation est d’ailleurs présente au sein du Campus Cyber, de manière à être connectée à l’écosystème privé, au monde de la recherche et au monde universitaire. Dans l’anticipation, nous menons également des actions en matière de gestion de crises, en particulier sur des sujets qui sont liés à la prévention.

Nous n’intervenons pas directement sur l’accompagnement à la gestion de crises, mais plutôt à la préparation, notamment des entreprises ou des collectivités. À ce titre, nous avons réalisé en collaboration avec cybermalveillance.gouv.fr un module de formation en ligne (Mooc) d’une durée d’à peu près deux heures, qui permet de se poser les bonnes questions sur une crise potentiellement naissante. Ce Mooc est régulièrement utilisé par des entreprises, dans le cadre de l’accompagnement et de la préparation à une gestion de crise cyber.

Le troisième pilier porte sur la formation. Notre centre national de formation continue de haut niveau en matière cyber est situé à Lille. Il forme des policiers et des gendarmes de la France entière, par exemple sur le blanchiment des cryptomonnaies ou encore l’enquête sous pseudonyme. Nous avons aussi élargi les formations au continuum de sécurité à différents acteurs en charge de la lutte contre la cybercriminalité tels que des magistrats, mais aussi quelques entités du ministère de l’économie et des finances.

Enfin, le quatrième pilier est d’ordre pilier opérationnel, c’est-à-dire apporter un appui aux services de police et de gendarmerie spécialisés dans le cadre des enquêtes judiciaires sur des compétences dites rares. Je pense en particulier au blanchiment des cryptomonnaies, sujet majeur aujourd’hui et largement utilisé dans le cadre de la criminalité organisée, mais aussi au traitement de la donnée de masse ou l’expertise numérique du haut du spectre sur tous les objets connectés.

Les différentes directions du ministère disposent, à leur niveau, d’un service spécialisé en matière d’enquête judiciaire. Pour la police nationale, il s’agit de l’Office anti-cybercriminalité (Ofac), qui est en charge de la coordination opérationnelle des services ; l’Unité nationale cyber (UNC) pour la gendarmerie et la Brigade de lutte contre la cybercriminalité (BL2C), sans parler de la direction générale de la sécurité intérieure (DGSI) dans un domaine de compétences très particulier.

S’agissant de l’état de la menace, notre prochain rapport sera publié dans quelques jours. Il portera à la fois sur les atteintes fortes aux biens et les atteintes aux personnes. Les atteintes aux biens, qui représentent globalement deux tiers des infractions enregistrées, correspondent, pour 80 % d’entre elles, à des escroqueries sur internet. Les 20 % restants portent sur des atteintes au système de traitement automatisé des données, notamment les attaques par rançongiciel, sans doute les plus dévastatrices sur les systèmes d’information. Ce phénomène important touche typiquement les territoires, en métropole ou en outre-mer, les collectivités territoriales de toute taille, les petites et moyennes entreprises (PME), les entreprises de taille intermédiaire (ETI), les hôpitaux, les professions de santé en général. Il y a quelques années, les grands groupes industriels étaient les principales victimes. L’adversaire s’est largement adapté et aujourd’hui, il part à la chasse sur tous les types de structures ; tout le monde peut être concerné. En conséquence, la mise à niveau de la maturité cyber dans les territoires pour les différentes entités est importante pour la résilience globale de notre système économique.

S’agissant des atteintes aux personnes, nous observons un certain nombre de sujets liés à la pédopornographie, au cyberharcèlement, sur les réseaux sociaux notamment, et internet en général.

Ensuite, je souhaite offrir un éclairage sur la partie prévention. Le Comcyber-MI est notamment en charge de transmettre aux services de police et de gendarmerie des éléments de langage pour mener la prévention dans le territoire. Je tiens à évoquer à ce titre une action historiquement conduite par la gendarmerie nationale, c’est-à-dire une action de diagnostic cyber, notamment au profit des collectivités territoriales, mais qui a ensuite été déclinée au profit des entreprises.

Elle a débuté en 2021 avec un questionnaire d’autodiagnostic de dix questions qui a démontré que les risques étaient plutôt de nature « rouge » que « verte », ce qui était assez problématique. La gendarmerie a souhaité aller plus loin, en développant un pré-diagnostic de 70 à 120 questions en fonction de la taille de la collectivité. Ce questionnaire comporte surtout des questions « de bon sens » posées à l’entité en charge de la collectivité, au-delà des directeurs des systèmes d’information (DSI). Il a permis de révéler que de nombreuses collectivités n’étaient pas au niveau de maturité cyber que l’on aurait pu espérer.

Dans cette action, nous avons souhaité nous rapprocher de l’Agence nationale de la sécurité des systèmes d’information (Anssi), à la suite de la création du Comcyber-MI. L’Anssi a ainsi développé l’outil MonAideCyber, vers lequel le ministère de l’intérieur s’oriente en matière de diagnostic. MonAideCyber figure aujourd’hui dans la stratégie ministérielle de lutte contre la cybercriminalité. Après les collectivités, nous nous sommes tournés vers les entreprises pour pouvoir assurer un certain nombre de diagnostics. Les différents outils disponibles (autodiagnostic, pré-diagnostic et audit) ne disposent pas tous de la même profondeur de champ, ce qui pose la question de savoir lesquels utiliser, selon quels besoins.

Ensuite, que faire ? Dès lors que le constat d’une maturité cyber insuffisante pour une collectivité ou pour une entreprise est posé, les services de police ou de gendarmerie n’orientent pas vers un prestataire de services mais vers cybermalveilliance.gouv.fr qui dispose dans les territoires d’une liste d’entités référencées ou labellisées, ou vers les CSIRT régionaux, qui disposent d’entités référencées. Dans ce cadre, l’enjeu de la coordination est essentiel, les entreprises ou les collectivités évoquant souvent les sujets de visibilité, ce qui soulève la question de la labellisation.

Le Comcyber-MI noue également des liens très étroits avec l’Anssi, incontournable sur NIS 2. Nous avons besoin que nos gendarmes et nos policiers disposent d’une bonne connaissance des éléments essentiels de NIS 2, afin qu’ils puissent communiquer et répondre aux questions. Nous élaborons actuellement avec l’Anssi un document simple à cet effet, mais également un document plus élaboré pour les personnels qui effectueront des diagnostics dans le cadre de MonAideCyber.

Par ailleurs, les forces de sécurité intérieure ont besoin d’être alertées dès lors qu’une attaque cyber est connue. Au-delà de la priorité principale d’une entreprise ou d’une collectivité qui cherchent à rétablir un système d’information, il nous faut récupérer des éléments techniques nous permettant de localiser, voire d’identifier un auteur. Nous avons donc besoin d’une coordination entre la victime, le cas échéant l’Anssi, les entités de remédiation et les services enquêteurs. Il s’agit là du principe du « Dites-le-nous une fois ».

S’agissant du filtre anti-arnaque, je préfère laisser Jérôme Notin évoquer le sujet, le Comcyber-MI n’étant pas directement impacté. Vous avez également mentionné l’affaiblissement du chiffrement. Plutôt que de répondre sur l’affaiblissement du chiffrement en tant que tel, je préfère évoquer la question du besoin des enquêteurs. La plupart des enquêtes judiciaires concernent une multitude de données, raison pour laquelle le Comcyber-MI dispose d’une compétence rare, le traitement de la donnée de masse.

Dès lors que la donnée est chiffrée, nous ne pouvons pas y accéder, ce qui affecte la recherche d’éléments permettant d’établir la manifestation de la vérité. Les messageries chiffrées EncroChat, Sky ECC ou plus récemment Ghost ou Matrix sont des dispositifs mis en place par des réseaux criminels, mais nous avons pu accéder aux données, ce qui nous a permis de démanteler un certain nombre de réseaux de criminalité organisée et conduire des interpellations à travers le monde. En résumé, les enquêteurs ont besoin de pouvoir accéder à la donnée.

Mme Johanna Brousse, vice-procureure, cheffe de la section J3 (lutte contre la cybercriminalité) du parquet de Paris. La section J3 dédiée à la lutte contre la cybercriminalité du parquet de Paris dispose d’une compétence nationale concurrente, c’est-à-dire qu’elle a vocation à se saisir des affaires du haut du spectre, les dossiers qui ont un intérêt pour la sécurité de la nation et qui impliquent de disposer d’une centralisation de l’information et de l’enquête. Le reste des dossiers sera quant à lui laissé aux parquets locaux. Naturellement, il existe un magistrat référent cyber dans chaque parquet de France, avec lequel il est possible de dialoguer, d’échanger.

La section J3 est une petite section composée de cinq magistrats ; de deux assistants spécialisés, c’est-à-dire du personnel spécialement formé techniquement pour nous aider ; une attachée de justice dédiée à la lutte contre la cybercriminalité qui apporte un soutien du point de vue de la coopération internationale ; et d’une équipe de greffiers. Cette section a crû au fil des années, à mesure que la menace s’est développée.

Le rôle de la justice consiste à traduire les cybercriminels devant des juridictions, afin qu’ils soient jugés et condamnés pour les infractions qu’ils ont commises. Lorsque ces auteurs sont situés dans des pays qui ne coopèrent pas, qui n’exécutent pas les demandes d’extradition, l’intérêt de l’enquête consiste à pouvoir émettre des mandats d’arrêt, ce qui signifie que les cybercriminels ne pourront plus quitter le pays. Même s’il n’y a pas de condamnation, cette menace du mandat d’arrêt est extrêmement forte et puissante.

Au-delà des questions d’arrestation et de jugement, qui constituent véritablement le cœur de notre métier, nous luttons ces dernières années contre les infrastructures criminelles. Ce faisant, en démantelant des réseaux de botnets derrière les attaques, nous empêchons les criminels de pouvoir attaquer nos institutions, nos entreprises. De même, nous saisissons des avoirs criminels, comme des wallets de cryptomonnaies riches de plusieurs dizaines de millions d’euros, affaiblissant ainsi les réseaux. Cet argent saisi permet d’indemniser les victimes, et lorsque celles-ci ne peuvent être identifiées, il est reversé à l’Agence de gestion et de recouvrement des avoirs saisis et confisqués (Agrasc), l’agence chargée de gérer les avoirs criminels pour la justice. Elle pourra ensuite l’utiliser pour mener d’autres actions, permettre aux magistrats et aux enquêteurs d’être plus efficaces.

Une autre action, plus novatrice, consiste à utiliser le canal judiciaire comme un canal diplomatique. Dans certains cas, notamment pendant les Jeux olympiques, nous avons pu identifier que des pays nous avaient attaqués, probablement à travers leurs services. Nous leur avons donc envoyé une demande d’entraide, par exemple pour identifier le titulaire de l’adresse IP utilisée. Nous savions parfaitement que nous n’obtiendrions pas de réponse, mais à travers le canal judiciaire, nous leur avons fait savoir que nous avions connaissance du fait qu’ils étaient responsables de l’attaque.

Les différents moyens mis en œuvre par la section cyber contribuent à la lutte contre la cybercriminalité de façon générale. De façon indirecte, nous parvenons aussi à capter des renseignements. Grâce à l’article 706-105-1 du code de procédure pénale, nous avons la possibilité de communiquer l’information judiciaire de nos dossiers cyber aux différents services de l’État : l’Anssi, la DGSI, la direction générale de la sécurité extérieure (DGSE), le Comcyber des armées. Ces éléments leur permettent d’avoir une meilleure compréhension de la menace, d’assembler les pièces du puzzle, et de pouvoir mener une riposte. De fait, la justice et l’action du parquet contribuent, avec celles des autres services de l’État, à une riposte globale de la France.

À présent, je souhaite vous dresser un rapide panorama de la menace. Comme le général Husson l’a signalé, la première menace concerne les rançongiciels, car ils frappent le tissu économique, déstabilisent nos hôpitaux, nos collectivités locales. Ces rançongiciels se sont perfectionnés et nous sommes aujourd’hui confrontés à des groupes extrêmement structurés, dotés d’une véritable organisation criminelle. Pour autant, nous parvenons à obtenir des résultats. Je pense par exemple au dossier LockBit ou à l’auteur du rançongiciel Ako que nous avons jugé le mois dernier au tribunal judiciaire de Paris.

Néanmoins, je dois vous faire part d’un constat plus préoccupant, qui concerne la transformation numérique de la délinquance. Lorsque j’ai commencé à la section de lutte contre la cybercriminalité en 2017, nous nous concentrions surtout sur les piratages en tant que tels. Aujourd’hui, nous nous apercevons que les groupes criminels, qui n’étaient pas présents dans le cyber initialement, se sont « numérisés ». Dans la mesure où la société est complètement digitalisée, les surfaces d’attaque ont augmenté.

À titre d’exemple, auparavant, les narcotrafiquants ne pratiquaient pas le piratage informatique. Aujourd’hui, ils piratent les logiciels dans les ports pour faire passer des conteneurs de cocaïne, s’adjoignent les services de hackers pour pouvoir être plus discrets dans la communication. Nous assistons à une transformation générale de cette délinquance. Dans certains de nos dossiers, des groupes de délinquance habituels ont recruté des ingénieurs informatiques pour des sommes extravagantes, parfois 1 million d’euros.

Il faut retenir que maintenant, tous les groupes criminels ont un intérêt à attaquer un système de traitement automatisé de données, qu’ils ne travaillent pas en silos, mais que les narcotrafiquants et les hackers voient leur intérêt à unir leurs forces. À ce titre, il convient de mentionner le dossier « Dark Bank », une banque occulte mise à jour grâce au dossier Sky ECC. Cette banque a blanchi l’argent des narcotrafiquants, c’est-à-dire du cash, soit 1 milliard de dollars en dix-huit mois. Les hackers avaient beaucoup de cryptomonnaies et voulaient du cash, quand les narcotrafiquants avaient la problématique inverse. En conséquence, cette banque a fait chambre de compensation entre ces deux univers.

Ces deux éléments doivent être gardés à l’esprit aujourd’hui lorsque l’on parle de résilience. Nous serons de plus en plus attaqués parce que nous sommes de plus en plus digitalisés, parce que les groupes criminels traditionnels auront besoin de s’attaquer à ces vecteurs pour commettre des infractions, par exemple de narcotrafic. Le constat n’est guère réjouissant : les organisations criminelles ont intégré la digitalisation et le vecteur numérique comme une composante à part entière de leur activité. Face à cette menace grandissante, nous devons être plus efficaces dans notre réponse, encore progresser d’un cran.

S’agissant des questions plus spécifiques de M. le Président, je laisserai Jérôme Notin évoquer le filtre anti-arnaque, sujet sur lequel il est très engagé. Ensuite, lors des débats sur l’affaiblissement du chiffrement dans le cadre de la loi de lutte contre le narcotrafic, le parquet de Paris a été sollicité pour prendre position. Nous ne l’avons pas fait, pour différentes raisons, notamment parce que nous estimions que cette question ne relevait pas de notre compétence.

Néanmoins, à mon niveau, je peux vous fournir quelques éléments d’analyse. Nous avons évidemment besoin de pouvoir déchiffrer de la donnée pour nos enquêtes. À ce titre, le véritable enjeu consiste à savoir si l’on peut déchiffrer cette donnée sans affaiblir le chiffrement. Le service technique national de captation judiciaire (STNCJ), qui dépend de la DGSI, est censé effectuer des captations, c’est-à-dire hacker les téléphones, les serveurs et les ordinateurs, pour récupérer la donnée au profit de la police, de la gendarmerie et, in fine, de la justice. Ce service, qui a mis du temps à éclore, a obtenu des résultats assez prometteurs ces dernières années. Il doit continuer à pouvoir disposer de capacités pour pouvoir progresser.

Mais, au-delà, j’ai déjà proposé la création d’une véritable direction technique, qui serait co-dirigée par les deux ministères de la justice et de l’intérieur. À ce titre, le SNCJ pourrait intégrer cette agence, au même titre que l’Agence nationale des techniques d’enquêtes numériques judiciaires (ANTENJ), qui est chargée des interceptions téléphoniques pour la justice, pour venir au soutien de nos enquêtes.

La question ne consiste pas à savoir s’il faut affaiblir le chiffrement, mais quels moyens techniques la justice, la police et la gendarmerie ont à leur disposition pour mener des enquêtes. En créant cette véritable direction technique, qui existe à la DGSI et à la DGSE, vous armeriez la justice pour répondre à ces enjeux. À titre d’exemple, notre section cyber est souvent sollicitée par des collègues magistrats, qui souhaitent notre éclairage sur les possibilités techniques dans des dossiers de droit commun. Si cette agence était créée et dotée de véritables moyens humains, techniques et financiers, elle pourrait accomplir ce travail au profit de toutes les juridictions.

M. Jérôme Notin, directeur général du groupement d’intérêt public Acyma. Je commencerai mes propos par une présentation succincte de notre dispositif, la manière dont nous percevons le projet de loi et dont nous pensons que nous pourrions être impliqués, avant d’aborder filtre anti-arnaque ainsi qu’un petit point d’actualité sur le chiffrement. Je précise également que la proposition de Mme Johanna Brousse concernant la création d’une direction technique co-dirigée par la justice et l’intérieur me paraît tout à fait opportune.

S’agissant de l’état de la menace, nous publions un rapport d’activité tous les ans, puisqu’en tant que dispositif national d’assistance aux victimes d’actes de cyberviolence, nous sommes au contact direct des victimes, particuliers, entreprises et collectivités. L’année dernière, la plateforme cyber-malveillance.gouv.fr a accueilli 5,4 millions d’utilisateurs, contre 3,7 millions en 2023. Sur cette plateforme, nous offrons des parcours de qualification de la menace, en fonction des différents profils, pour proposer aux victimes des conseils adaptés, une mise en relation avec des prestataires. Nous avons ainsi cartographié sur l’ensemble du territoire des prestataires référencés et des prestataires labellisés.

Depuis le 17 décembre dernier, il existe une mise en relation avec un policier, un gendarme, vingt-quatre heures sur vingt-quatre, sept jours sur sept, à travers le 17Cyber. Nous sommes passés de 280 000 parcours d’assistance toutes victimes confondues en 2023 à 420 000 parcours, soit une multiplication par deux depuis la mise en place du 17Cyber.

Les assujettis à NIS 2 sont du ressort de l’Anssi. En revanche, compte tenu du travail que nous avons effectué depuis de nombreuses années, nous pensons pouvoir intervenir à deux niveaux. Le premier niveau concerne la prévention et la sensibilisation. La directive fait à de nombreuses reprises référence à la nécessité d’actions de prévention. L’article 5 bis ajouté par le Sénat évoque la stratégie nationale et dans un de ses alinéas, il précise que des campagnes massives doivent être réalisées pour les différents assujettis. L’année dernière, le texte de la Commission supérieure du numérique et des postes (CSNP) sur NIS 2 recommandait aussi des actions de prévention.

Je propose ainsi qu’à l’article 5, nous puissions être identifiés comme le dispositif qui porte ces actions de prévention, en lien avec la stratégie nationale pour les années 2025-2030. Lors de vos auditions a souvent été évoqué le fait que la sensibilisation ne fonctionnait pas toujours ; mais ceci est dû à l’insuffisance de moyens dont nous disposons pour conduire des campagnes de sensibilisation sur le modèle de la sécurité routière, qui dispose d’un budget de 20 millions d’euros pour effectuer ses campagnes, depuis des dizaines d’années.

Ensuite, les prestataires labellisés constituent un début de réponse à une partie des problèmes sur la partie relative à la sécurisation et l’accompagnement des collectivités, des très petites, petites et moyennes entreprises (TPE-PME) dans les territoires qui seront assujettis à NIS 2. L’Anssi, qui est membre de notre comité de pilotage du label, a compris le rôle de nos prestataires experts cyber. Dans le cadre de groupes de travail avec l’Anssi, nous avons évalué le niveau de notre référentiel de labellisation et des référentiels techniques.

Le GIP est convaincu que grâce à une petite formation et avec l’aide complémentaire d’une structure qui pourrait être l’autorité nationale, nous serons en mesure d’identifier les prestataires. Pour le dire très simplement, il nous manque aujourd’hui des leviers pour fidéliser ces prestataires et nous sommes convaincus que NIS 2 constituerait une bonne opportunité pour leur permettre d’accompagner la sécurisation des structures qui en ont besoin, mais ne savent pas vers qui se tourner quand elles identifient cette problématique.

La directive précise par ailleurs que « Les États membres peuvent mettre en place au niveau national un mécanisme de financement destiné à couvrir les dépenses nécessaires à l’exécution des tâches des entités publiques chargées de la cybersécurité dans l’État membre en vertu de la présente directive ». La CSNP recommandait déjà en octobre dernier d’allouer des crédits supplémentaires au secrétariat général de la défense et de la sécurité nationale (SGDSN) dans le cadre du programme 129 pour le projet de loi de finances (PLF) pour 2025, fléchés vers le GIP Acyma.

De fait, il y a urgence ; le budget 2025 du GIP a baissé de 120 000 euros par rapport à 2024 et il continuera à diminuer l’année prochaine puisque l’un de nos nouveaux membres nous quitte. Or chaque année, je ne dispose que 200 000 à 300 000 euros pour engager des actions de prévention et de communication. De plus, deux personnes qui étaient mises à disposition par nos membres sont reprises par leur structure d’origine. En outre, le dernier rapport de la Cour des comptes sur NIS 2 souligne la problématique de lisibilité, mais le 17Cyber, en tant que guichet unique, devrait précisément apporter une réponse à cette problématique. J’estime que nous ne coûtons pas beaucoup d’argent à l’État français, mais que les impacts que nous pouvons engendrer sont quand même assez importants.

Ces contraintes budgétaires nous ont de fait conduits à stopper la campagne de prévention que nous menions avec l’Institut national de la consommation (INC) sous le format des Conso Mag, qui nous permettaient de toucher des millions de téléspectateurs. De la même manière, nous avons été contraints de refuser de travailler avec le Comcyber-MI sur la version 2 de SenCy-Crise, alors que nous étions très heureux de contribuer à la première mouture. Je n’étais pas en mesure d’allouer une somme qui vous paraîtra dérisoire, 20 000 à 30 000 euros, nécessaire à l’évolution de notre plateforme pour l’hébergement de la nouvelle version.

S’agissant du filtre anti-arnaque, j’ai eu l’occasion de dresser un historique puisque nous avions rendez-vous la semaine dernière avec le cabinet de Clara Chappaz. En septembre 2022 s’est déroulée une première réunion de lancement, portée par le ministère du numérique, qui a confié à notre GIP le soin d’étudier la mise en place du filtre anti-arnaque. En trois mois, nous avons produit un rapport, qui s’inspirait notamment du modèle belge, extrêmement pragmatique et qui fonctionne. Ce rapport a été remis au ministre Jean-Noël Barrot en janvier 2023. Nous indiquions à cette occasion que le délai de développement serait d’une dizaine de mois à partir du moment où nous recevrions les financements.

Le ministre a pris l’engagement d’un démonstrateur pour la Coupe du monde de rugby à l’automne 2023, puis d’un filtre opérationnel pour les Jeux olympiques. Mais plusieurs mois se sont passés sans nouvelle du ministère. Ensuite, pendant une longue période, nous avons été confrontés à un problème avec la direction générale des entreprises (DGE) à Bercy sur la qualification juridique de la convention nous concernant, ces services nous orientant vers une convention de mandat, laquelle ne nous permet pas de sous-traiter. Or nous devions construire et héberger un data center dans un SecNumCloud. Finalement, la DGE a décidé de passer un marché de gré à gré de 10,8 millions d’euros en février 2024, auquel nous avons répondu initialement par une offre à 7,2 millions d’euros, en l’assortissant de réserves par rapport à certaines exigences de sécurité.

La DGE nous a ensuite indiqué qu’elle ne disposait que de 5,9 millions d’euros. Nous avons aligné notre offre sur ce montant, mais en réduisant nécessairement le périmètre du maintien en condition opérationnelle et de sécurité, de 36 mois à 30 mois. En juillet 2024, la DGE nous a notifié que la procédure était déclarée sans suite pour un « motif d’intérêt général » tenant à l’insuffisance des ressources financières de la direction bénéficiaire, c’est-à-dire elle-même.

En janvier 2025, la direction interministérielle du numérique (Dinum) a été mandatée pour établir une contre-proposition à notre proposition et nous a contactés. Nous nous sommes rencontrés, avant de tenir une réunion en mars avec la dizaine d’autorités administratives impliquées dans la mise en place ou l’exploitation du filtre. Finalement, vendredi dernier, au cabinet de Clara Chappaz, nous avons échangé d’une manière très constructive avec la Dinum.

De son côté, la DGE nous a annoncé qu’elle ne voulait pas mettre en place le filtre, mais nous nous en doutions déjà, puisque cette administration remet en cause les choix de son ministre, voire du président de la République, dès lors que le filtre anti-arnaque était un engagement du président pour sa réélection. Cela ne peut que poser question. Finalement, la ministre arbitrera entre, a priori, la Dinum et Acyma pour décider de la structure qui développera et opérera le filtre anti-arnaque.

M. Éric Bothorel, rapporteur général. Vous êtes les grands témoins de la nécessité de ce projet de loi. À ce stade, je tiens, à travers vous, à remercier les équipes qui œuvrent chaque jour, au quotidien et dans vos domaines respectifs, à la lutte contre la cybercriminalité. Vous êtes au cœur de la stratégie nationale de cybersécurité qui vient d’être validée. Je centrerai mon intervention et mes questions sur les propositions et préconisations qui vous concernent dans cette stratégie et qui pourraient être intégrées à ce projet de loi.

Madame Brousse, face à l’escalade des cybermenaces et à cette sophistication croissante des cybercrimes, le renforcement des capacités judiciaires françaises en matière de lutte contre la cybercriminalité constitue une nécessité impérieuse. L’enjeu crucial pour la France est double : améliorer l’efficacité des investigations judiciaires pour identifier et traduire en justice les cybercriminels et renforcer ces capacités à décourager toute forme de cybercriminalité en envoyant le message que la cybercriminalité ne sera pas impunie.

Les capacités d’investigation spécialisée des services compétents seront renforcées. Cela implique d’une part de doter le parquet spécialisé de Paris, compétent au niveau national, de ressources nécessaires pour mener des enquêtes complexes et aboutir à des condamnations. Je n’évoquerai pas la compétition qui pourrait exister entre le parquet national anticriminalité organisée (Pnaco) récemment créé et le J3, dont l’excellence et l’expertise sont reconnues de tous. Vous avez clairement souligné que les criminels ne s’exonèrent pas de mettre en œuvre des moyens cyber. Disposez-vous des moyens à la hauteur des ambitions en matière de cybercriminalité ? En outre, vous avez évoqué l’existence de magistrats référents cyber dans chaque parquet. Ce dispositif fonctionne-t-il ? Faut-il poursuivre son développement ?

Par ailleurs, le cadre légal judiciaire, en particulier le code de procédure pénale, devra également évoluer pour tenir compte des spécificités de la cybercriminalité. Parmi les adaptations nécessaires, différents éléments sont cités. Il s’agirait d’abord de la création d’un cadre pour conduire les opérations de démantèlement et de désinfection à distance des supports informatiques utilisés par des systèmes criminels à l’insu de leurs propriétaires légitimes, afin de faire cesser l’infraction. Il s’agirait ensuite de la création d’une infraction spécifique de fraude informatique. Cette infraction permettrait de sanctionner plus efficacement les actes de piratage informatique, d’intrusion dans les systèmes informatiques et de vol de données.

Il est également question de la modification de l’infraction de plateformes en ligne. Cette infraction actuellement limitée à la diffusion de contenus illicites, devrait être élargie pour couvrir d’autres types d’infractions commises sur les plateformes en ligne, comme la cybercriminalité. Quel est votre point de vue sur ces évolutions du code de procédure pénale ?

Enfin, un débat a lieu concernant la fragilité du cadre juridique actuel sur la pratique du renseignement d’origine sources ouvertes (Osint), notamment pour des institutionnels comme vous. Est-il nécessaire de renforcer notre cadre légal pour la pratique de l’Osint, en établissant par exemple que certains acteurs soient plus légitimes que d’autres à le pratiquer ?

Mme Johanna Brousse. S’agissant des moyens alloués à la justice, nous espérons effectivement un renforcement des capacités de J3, à la fois en termes d’assistants spécialisés, d’attachés de justice, et de magistrats. Un sixième magistrat doit nous rejoindre en septembre ; nous espérons que cela sera effectif. Il est certain qu’il faut continuer à monter en puissance si nous voulons pouvoir nous donner les moyens de répondre à cette menace.

Il convient d’être extrêmement vigilant concernant le périmètre de la section de lutte contre la cybercriminalité. Nous défendons l’idée qu’une section cyber ait la primauté sur le Pnaco ou sur d’autres juridictions sur ce qui doit être centralisé ou non au niveau national. En effet, il ne faut pas que la centralisation de l’information s’effrite. La section cyber doit pouvoir continuer à disposer en priorité de ce droit de se saisir des dossiers cyber. La centralisation de l’information nous permet de créer des liens, de collecter des éléments et d’être efficaces.

S’agissant des nouvelles infractions suggérées, il est évident que notre arsenal législatif devra se renforcer pour pouvoir s’adapter aux nouvelles techniques émergentes. Aujourd’hui, plusieurs dossiers ont été classés ou ont même fait l’objet de relaxe, en raison d’un vide juridique.

Laissez-moi l’illustrer par un exemple très concret. Certains individus ont profité d’une vulnérabilité sur un site et ont rempli leur compte de cryptomonnaies simplement en cliquant. Ils sont devenus millionnaires. Ils ne pouvaient pas être poursuivis pour vol parce qu’il ne s’agissait pas d’une soustraction frauduleuse. Le ministère de la justice nous a incités à les poursuivre pour escroquerie, mais il n’y a pas eu de manœuvre frauduleuse. Ils ont donc obtenu une relaxe en première instance, puis en appel.

Face à ce vide juridique, il serait sans doute opportun de réfléchir à la création d’une nouvelle infraction, la fraude informatique. Elle existe déjà dans d’autres pays et permettrait d’étoffer utilement l’arsenal législatif français. Le délit d’administration de plateforme a été créé en 2023 dans la loi d’orientation et de programmation du ministère de l’intérieur (Lopmi) et nous a par exemple permis de faire fermer la plateforme Coco.gg. Le potentiel de cette infraction pourrait effectivement être renforcé si le texte était écrit de manière plus englobante, ce qui nous permettrait également de lutter plus efficacement contre les ingérences numériques étrangères.

De très grands efforts ont déjà été accomplis sur ce sujet, notamment avec la proposition de loi de Sacha Houlié sur la création d’une circonstance aggravante d’ingérence étrangère, mais il est possible d’aller encore plus loin. Plus globalement, il faudra réfléchir à certaines techniques spéciales d’enquête. Nous nous appuyons un texte générique, sur la perquisition et la captation pour les mettre en œuvre, mais nous ne sommes pas certains que les techniques utilisées rentrent dans ce cadre.

S’agissant de l’Osint, concrètement, nous utilisons ce que nous trouvons en sources ouvertes sur internet pour documenter nos procédures. Des propositions émergent en la matière, dans la mesure où des acteurs privés, mais aussi des enquêteurs peuvent se sentir en insécurité dans l’utilisation des leaks. Pour notre part, nous considérons que nous pouvons les employer en procédure. Peut-être faut-il en passer par un texte de loi pour clarifier la situation et rassurer l’ensemble de l’écosystème cyber. Mais la question se pose également en termes de compétitivité française. Certaines grandes entreprises m’indiquent ainsi qu’elles préfèrent acheter des solutions étrangères, qui ne se posent pas la question de savoir si les données ont été piratées ou non. Les entreprises françaises essayent de jouer le jeu, mais elles ne savent pas si elles ont le droit de récupérer les leaks. En conséquence, elles hésitent à agir de la sorte et me posent la question. Je leur réponds que je pratique de cette manière dans mes enquêtes, mais que je n’ai pas aujourd’hui l’autorisation de leur dire si elles ont la capacité de le faire, car cela peut correspondre à du recel de délit.

M. Christophe Husson. Ce point fait l’objet de nombreuses réflexions du ministère de l’intérieur, dans le cadre de l’entité CIRSO-MI, le centre des investigations et des recherches en source ouverte du ministère de l’intérieur. Elle rassemble l’ensemble des services de police et de gendarmerie, mais également les services de renseignement. Ces entités s’interrogent en effet sur les leaks qui seraient utilisés dans le cadre de l’enquête judiciaire ou du renseignement. Le ministère de l’intérieur a réfléchi à un texte qui pourrait être proposé dans ce cadre, mais uniquement sur son propre périmètre du ministère de l’intérieur.

Mme Anne Le Hénanff, rapporteure. Je vous ai écouté attentivement. Je rappelle en préambule qu’il ne s’agit pas non plus de surtransposer la directive. Ensuite, à la lumière des constats que vous dressez, j’observe que les moyens qui seront accordés seront essentiels dans la transposition de NIS 2, qu’il s’agisse des moyens financiers ou des moyens humains. Je déplore par ailleurs que 80 % des décrets d’application de la loi visant à sécuriser et à réguler l’espace numérique (Sren) que nous avons voté il y a peu, n’aient toujours pas été publiés.

Monsieur Notin, comment envisagez-vous l’impact direct, opérationnel sur vos sollicitations lorsque la loi de transposition de NIS 2 sera promulguée ? En avez-vous estimé le nombre ? Disposez-vous de suffisamment de moyens pour y répondre ? Visiblement, cela ne semble pas être le cas.

Je souhaite également évoquer les collectivités territoriales. L’Anssi a proposé un seuil de 30 000 habitants dans le cadre de NIS 2. Quel est votre avis à ce sujet ? Dans certains cas de figure, il apparaît pertinent, parce qu’il faut bien établir une limite, mais dans d’autres, il semble que cela n’ait pas de sens. Certaines communes n’ont pas de DSI, et encore moins de responsable de la sécurité des systèmes d’information (RSSI). Les systèmes d’information sont interconnectés avec ceux de l’intercommunalité. Certaines communes détiennent des compétences en matière d’eau, essentielles pour NIS 2, mais comportent moins de 10 000 habitants. J’aimerais connaître votre point de vue à ce sujet, ainsi que sur la chaîne des sous-traitants, dans la mesure où NIS 2 sera diffusée bien au-delà des 15 000 entités ciblées.

Madame Brousse, je vous remercie pour votre présentation. J’aimerais que vous puissiez également nous donner votre avis sur le hacker « éthique » qui, s’il n’est pas évoqué noir sur blanc dans le texte, figure en toile de fond. Cette notion a-t-elle un sens ? Je rappelle ainsi que le considérant 60 de la directive NIS 2 indique que les États membres doivent protéger les hackers éthiques sans les citer nommément. Que pensez-vous du cadre juridique existant en la matière ? Devrons-nous l’approfondir ?

Enfin, vous avez souligné que la voie judiciaire devient parfois une voie diplomatique, lorsque vous transmettez une adresse IP à un État étranger. En quoi est-ce efficace, concrètement ? Cela contribue-t-il à faire cesser les attaques ?

Mme Sabine Thillaye (Dem). La Cour des comptes a évoqué la confusion des écosystèmes cyber, la multiplicité des acteurs étatiques impliqués sans qu’il n’existe pour autant de véritable gouvernance unifiée. Pensez-vous qu’une telle gouvernance est souhaitable ?

Ensuite, nous comprenons bien que les financements sont le nerf de la guerre. Que se passera-t-il si ceux-ci ne peuvent être obtenus ? Par ailleurs, en tant que parlementaires, comment pouvons-nous mieux sensibiliser dans nos circonscriptions, dont certaines sont très rurales ?

Mme Laetitia Saint-Paul (HOR). Général, je m’interroge sur les enjeux de vidéosurveillance et de reconnaissance faciale. Dans quelles mesures les freins juridiques existant actuellement sur l’utilisation de ces moyens affectent notre efficacité pour arrêter les criminels ? Vous avez parlé du blanchiment des cryptomonnaies. Pourriez-vous détailler de quelle manière ce blanchiment rejaillit dans l’économie réelle ? J’ajoute qu’un rapport sénatorial traite de la place de l’or dans le blanchiment d’argent. Par ailleurs, pourriez-vous nous faire parvenir votre rapport sur l’état de la menace quand il sera publié ? S’agissant du partage de l’information, vous étiez plutôt rassurants, mais n’existe-t-il pas un émiettement des acteurs ? Ce partage fonctionne-t-il bien avec les armées, la DGSI, le SGDSN ?

Madame la procureure, je m’intéresse aux liens entre criminalité étatique et non étatique. Avez-vous des exemples à nous soumettre à ce titre ? Je souhaiterais également en savoir plus sur les liens entre les différentes criminalités, les enjeux de radicalisation en matière de terrorisme. Les mêmes outils sont-ils utilisés par les différents types de criminalité ? Ensuite, j’observe que l’époque n’est sans doute pas à la création de nouvelles agences, mais pourriez-vous revenir sur votre proposition d’agence technique ou nous faire parvenir une note à son propos ? Enfin, quelles sont vos suggestions pour nous, législateurs ?

M. Jérôme Notin. Les différents rapports existants en matière de cybersécurité, qu’ils soient parlementaires ou émanant de la Cour des comptes, font état d’un émiettement des dispositifs, préjudiciable à leur bonne compréhension sur le terrain. Les victimes ne perçoivent pas les différences entre la plateforme d’harmonisation, d’analyse, de recoupement et d’orientation des signalements (Pharos), le service Perceval et le traitement harmonisé des enquêtes et signalements pour les e-escroqueries (Thesee). À la demande du président de la République, nous avons travaillé collectivement à la mise en place du 17cyber.gouv.fr, qui a vocation à orienter la victime vers tous les dispositifs étatiques, les prestataires historiques référencés et labellisés cybermalveillance.gouv.fr. L’activité de cybercriminalité ne va cesser de croître et nous militons pour faire du 17Cyber la solution visible.

Madame la rapporteure, l’impact de NIS 2 sur le GIP dépendra en grande partie des métiers que nous exerçons. D’après ce que j’en comprends, 0,5 % des entreprises et des collectivités seront concernées par NIS 2, soit une masse assez faible par rapport à la masse que nous traitons quotidiennement sur la partie assistance. S’agissant de la prévention, même si l’Anssi sera leur point de contact, nous serons ravis de fournir aux opérateurs d’importance vitale nos supports de sensibilisation.

Ensuite, comme je l’ai indiqué un peu plus tôt, nous éprouvons des difficultés à fidéliser les prestataires labellisés. Ils doivent consacrer du temps aux procédures que nous leur demandons, à nous transmettre les rapports d’incidents, les rapports de sécurisation. Les candidats doivent également verser 800 euros à l’Association française de normalisation (Afnor). À cet égard, France Cybersecurity labellise un éditeur de solutions cyber, mais il ne garantit pas que son détenteur soit en capacité d’évaluer la maturité cyber d’une structure, publique ou privée, et d’émettre des recommandations.

La plupart des RSSI travaillant dans les structures privées consacrent beaucoup de temps à remplir des tableurs pour démontrer leur conformité à des règles que chaque donneur d’ordre, public ou privé, établit lui-même. NIS 2 sera à ce titre extrêmement positif, puisque grâce à l’Anssi, il existera un référentiel technique commun sur lequel chacun pourra s’appuyer et des structures conformes à NIS 2 seront en mesure d’accompagner les acteurs.

Mme Johanna Brousse. Madame la rapporteure, vous m’avez interrogée sur l’intérêt d’utiliser le canal judiciaire comme une voie diplomatique. Quand nous signifions à un pays que nous avons mis en lumière son attaque et notamment l’utilisation de telle ou telle adresse IP, telle ou telle infrastructure, il s’aperçoit qu’il n’est plus du tout furtif et anonyme. Cela impliquera pour lui de devoir redéployer de nouvelles infrastructures pour pouvoir mener d’autres attaques. Il devra donc se réorganiser, ce qui lui fera perdre du temps et des moyens.

Ensuite, il existe au niveau de l’Anssi un dispositif très utile qui permet à des hackers éthiques de réaliser des signalements, ce qui dispense l’Agence de procéder à un article 40 ou à un signalement au parquet. Néanmoins, si nous sommes saisis par une entité qui a été hackée par un hackeur éthique, même agissant pour de bonnes raisons, à l’instar d’un lanceur d’alerte, nous serons malgré tout obligés d’ouvrir une enquête et il n’est pas exclu que la victime se constitue partie civile auprès d’un juge d’instruction ou effectue une citation directe. Dès lors, il n’existe pas de véritable protection en tant que telle. Si l’on voulait pousser plus loin la protection des lanceurs d’alerte, il faudrait stipuler que ce hacking « éthique » constitue une cause d’exonération de la responsabilité pénale, ce qui n’est pas le cas à l’heure actuelle, même si le parquet reste maître de l’opportunité des poursuites.

Néanmoins, pour en avoir discuté récemment à Anssi, je sais que les acteurs de l’écosystème sont parfois réticents à signaler un événement, car ils redoutent d’encourir une responsabilité. Dès lors, il conviendrait peut-être de clarifier le dispositif, ce que je laisse à votre appréciation. Les personnes qui effectueraient des signalements légitimes devraient peut-être pouvoir disposer d’un cadre extrêmement protecteur et être incités à le faire.

Ensuite, nous constatons effectivement une réelle porosité. Les cybercriminels sont avant tout des mercenaires qui peuvent se mettre au service de certains États afin de mener à bien leurs actions. Régulièrement, des acteurs du rançongiciel travaillent directement pour des États, dans la mesure où le but du ransomware consiste certes à gagner de l’argent et à financer certaines opérations, mais aussi à entraver l’économie d’un pays.

Par ailleurs, le parquet national antiterroriste dispose d’un référent cyber avec lequel nous dialoguons. Des questions demeurent en suspens, néanmoins. Par exemple, si demain une cyberattaque de nature terroriste occasionne des morts, quelle sera la section chargée du dossier ? Il existe certes un plan de gestion de crise qui nous permet dans une certaine mesure de répondre à cette question. Mais peut-être conviendrait-il d’aller plus loin et de prévoir une possibilité de co-saisine de juridictions spécialisées, ce qui n’est pas le cas aujourd’hui.

Enfin, vous m’avez questionnée sur la proposition de création d’une agence technique pour le ministère de la justice et le ministère de l’intérieur. Différentes branches, ANTENJ et le SNCJ, existent aujourd’hui et effectuent un travail remarquable. Leur regroupement au sein d’une même agence dotée d’une mission globale et plus étendue permettrait de gagner en efficacité. Je pourrais vous transmettre un certain nombre d’éléments à ce sujet.

M. Christophe Husson. Depuis 2022, nous avons effectué 2 029 diagnostics sur les collectivités territoriales, dont trente étaient ultramarines et une sur onze avait été victime de rançongiciel. La plus petite était la mairie d’une commune de 200 habitants. Le dispositif a été étendu au PME ou aux ETI, qui s’est traduit par 338 diagnostics (dont neuf sur des entreprises ultramarines), dont une sur six avait été victime d’attaque par rançongiciel. Enfin, soixante-quatorze diagnostics ont été réalisés sur des hôpitaux en zone gendarmerie, dont un sur six a été victime d’un rançongiciel. Ces chiffres montrent bien qu’aujourd’hui, tout le monde est vulnérable, quelles que soient la structure et sa taille.

S’agissant de la gouvernance, notre entité est jeune au sein du ministère de l’intérieur et l’objectif consiste bien à assurer une meilleure coordination avec les services enquêteurs de la police et de la gendarmerie. Je partage avec Jérôme Notin l’idée que le 17Cyber doit constituer le point d’entrée, lisible pour tous.

Le dispositif MonAideCyber de l’Anssi a été conçu comme une communauté d’aidants dans les territoires, qui pourra mener des diagnostics. Il convient de promouvoir cette communauté : plus nous disposerons de personnes en mesure de mener un diagnostic MonAideCyber dans les territoires, plus les modalités de prévention seront efficaces.

S’agissant du blanchiment des cryptomonnaies, le Comcyber de la gendarmerie a démantelé il y a quelque temps la plateforme Bitzlato et a saisi près de 20 millions d’euros en cryptomonnaies. Cette expérience est utile pour le travail de formation que nous menons, notamment au sein de notre centre de formation cyber de Lille. En effet, nous ne formons pas uniquement des spécialistes au niveau central à l’Office anti-cybercriminalité, à l’Unité nationale cyber ou la Brigade de lutte contre la cybercriminalité ; nous formons également des militaires de la gendarmerie et des fonctionnaires de la police nationale dans les territoires. En effet, nous avons besoin de personnes qui maîtrisent les sujets de la traçabilité des cryptoactifs, au plus proche des territoires en métropole et en outre-mer. De fait, ayant échangé à de nombreuses reprises avec des procureurs dans les territoires, je confirme qu’il existe aujourd’hui un véritable besoin de proximité.

Le rapport sur l’état de la menace est public. Il sera publié et disponible sur le site du ministère de l’intérieur, mais je vous le transmettrai dès sa publication. S’agissant du partage de l’information et en particulier le renseignement d’intérêt cyber avec les autres acteurs, le Comcyber-MI est connecté à l’InterCERT. Ici, le partage de l’information intervient en matière de captation de données et, potentiellement, de leur transmission.

J’ajoute que nos relations avec le Comcyber des armées sont très régulières. Le Comcyber-MI dispose ainsi d’un officier de liaison au sein du Comcyber des armées. Des rencontres bilatérales interviennent par ailleurs tous les six mois avec mon homologue au sein du ministère des armées. Nos équipes échangent très régulièrement sur le renseignement d’intérêt cyber. Nous disposons au Comcyber-MI d’une plateforme de Cyber Threat Intelligence (CTI) et nous éclairons le Comcyber des armées, qui conduit un projet sur le sujet. Nous travaillons évidemment de manière commune sur les difficultés et les pratiques et l’échange de l’information stricto sensu.

Enfin, une question a porté sur la reconnaissance faciale. À ce titre, je rejoins les propos initiaux qui ont concerné l’accès à la donnée. Aujourd’hui, la société est particulièrement numérisée ; nous disposons d’images vidéo statiques ou dynamiques. Dans le cadre d’une enquête judiciaire, une reconnaissance faciale pourra toujours constituer un élément utile pour les enquêteurs, notamment par son exploitation à l’aide de l’intelligence artificielle. Naturellement, ceci doit toujours intervenir dans un cadre légal adapté et garant de nos principes démocratiques.

M. le président Philippe Latombe. Je vous remercie de votre présence et d’avoir répondu aux questions.

La commission se réunira début septembre. Dans l’intervalle, n’hésitez pas à faire parvenir des contributions écrites à nos rapporteurs, afin que nous puissions les intégrer à notre réflexion et produire un texte le plus lisible et efficace possible. L’objectif consiste en effet à éviter des effets de bord.

11. Audition de Mme Laure de La Raudière, présidente de l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (ARCEP) et M. Olivier Corolleur, directeur général de l’Autorité, mardi 8 juillet 2025 à 18 heures

Lors de sa réunion du mardi 8 juillet 2025, la commission spéciale a auditionné Mme Laure de La Raudière, présidente de l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (ARCEP) et M. Olivier Corolleur, directeur général de l’Autorité.

M. le président Philippe Latombe. Je souhaiterais tout d’abord évoquer le calendrier d’examen du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. La commission spéciale l’examinera à partir du mardi 9 septembre. L’examen en séance publique est, à ce stade, prévu au début de la session extraordinaire qui devrait s’ouvrir le lundi 22 septembre.

Nous poursuivons nos auditions en recevant la présidente et le directeur général de l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (Arcep).

Le Panorama de la cybermenace 2024 de l’Agence nationale de la sécurité des systèmes d’information (Anssi) illustre la diversité et la gravité des menaces qui pèsent, entre autres, sur le secteur des télécommunications. Cette étude distingue les menaces à visée lucrative, celles qui ont une finalité d’espionnage et celles qui visent à déstabiliser nos sociétés, les actes de sabotage relevant de cette dernière catégorie. Ainsi, l’Anssi a traité en 2024 la compromission et le chiffrement par le biais d’un rançongiciel d’une entité du secteur des télécommunications. Fait marquant de 2024, certaines rares attaques par déni de service distribué (DDOS) d’ampleur visant des infrastructures de télécommunications ont eu des conséquences importantes sur la disponibilité de services critiques. L’Anssi remarque également que le « ciblage d’opérateurs de télécommunications à des fins d’espionnage est intense ». Ces deux dernières années, l’Agence a ainsi traité plusieurs incidents affectant des entités du secteur des télécommunications en France à des fins d’espionnage.

Le projet de loi que la commission spéciale est chargée d’examiner comporte trois titres. Le titre Ier, consacré à la résilience des activités d’importance vitale, procède à la transposition de la directive sur la résilience des entités critiques (REC). Mme Catherine Hervieu en est la rapporteure. Le titre II vise à renforcer notre cadre juridique en matière de cybersécurité et procède à la transposition de la directive NIS 2, relative à la sécurité des réseaux et des systèmes d’information. Sa rapporteure thématique est Mme Anne Le Hénanff. Enfin, le titre III est consacré à la résilience opérationnelle numérique du secteur financier et procède à la transposition du règlement sur la résilience opérationnelle numérique du secteur financier, dit Dora. M. Mickaël Bouloux en est le rapporteur. M. Éric Bothorel, quant à lui, est le rapporteur général du projet de loi.

Mme Laure de La Raudière, présidente de l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse. Je suis accompagnée d’Olivier Corolleur, directeur général de l’Autorité, et de Virginie Mathot, ma conseillère à la présidence.

Dans le cadre de notre saisine pour avis sur le projet de loi, nous nous sommes concentrés sur les mesures qui s’appliquent spécifiquement au secteur que nous régulons, à savoir celles qui ont trait à la transposition de la directive NIS 2, à l’accès aux fréquences par les terminaux satellitaires terrestres et aux sanctions contre les auteurs de brouillages qui créent un préjudice. Nous nous sommes penchés notamment sur les questions qui pourraient avoir un impact, d’une part, sur le bon fonctionnement des réseaux et des services de communications électroniques, d’autre part, sur la sécurité juridique dont doivent bénéficier les opérateurs dans la mise en œuvre de leur obligation légale.

En comparaison de NIS, la directive NIS 2 s’applique à un éventail beaucoup plus large d’opérateurs : l’ensemble d’entre eux, quelle que soit leur taille, sont concernés – je ne parle pas des opérateurs d’importance vitale (OIV), qui sont couverts par le secret-défense et dont l’Arcep n’a pas à connaître. Dans le cadre de NIS, seuls les fournisseurs de DNS (systèmes de noms de domaine) et les points d’échange internet (IXP) étaient susceptibles de relever du périmètre des acteurs régulés au titre des opérateurs de services essentiels.

Dans le cadre de NIS 2, on parle d’entités essentielles et d’entités importantes – la catégorisation dépendant notamment de leur taille – mais tout le secteur des communications électroniques est concerné. Parmi les secteurs que nous régulons figurent les fournisseurs de services d’informatique en nuage, qui font partie du secteur hautement critique des infrastructures numériques et qui seront assujettis aux obligations de NIS 2, au même titre que les entités des services postaux et du courrier.

Les entités concernées se caractérisent donc par leur très grande diversité : dans le secteur que nous régulons, la directive s’applique à de très grands groupes comme à des entreprises de toute petite taille. À cet égard, nous appelons votre attention sur l’exigence de proportionnalité énoncée par la directive et rappelée par le Sénat à l’article 14 du projet de loi. Nous estimons qu’elle devrait être appréciée finement, en cohérence avec les moyens réels des entités assujetties.

Nous souhaitons également insister sur le délai de mise en conformité. Celle-ci nécessite en effet un effort substantiel en raison de l’ampleur des adaptations requises pour de nombreux acteurs. C’est valable pour les entités nouvellement assujetties – je pense aux très petites, petites et moyennes entreprises (TPE-PME), qui sont généralement les moins matures en matière de cybersécurité – mais cela peut aussi concerner les OIV ou les anciens opérateurs de services essentiels. Le champ d’application de NIS 2 étant beaucoup plus étendu que celui de NIS, c’est l’ensemble des systèmes d’information de l’entreprise qui sont concernés et non pas les seuls systèmes informatiques des infrastructures numériques sensibles.

C’est pourquoi, dans notre avis, nous avions appelé le gouvernement à prévoir une entrée en vigueur différée du projet de loi afin de laisser le temps aux acteurs de se conformer aux exigences de la nouvelle réglementation. Le gouvernement et le Parlement n’ont pas, pour l’instant, donné suite à cette demande. Toutefois, nos échanges avec l’Anssi ont mis en lumière le fait que l’Agence tiendrait compte de la capacité réelle des entités soumises à NIS 2 à respecter les obligations définies par le texte.

Nous avons aussi relevé des difficultés dans les critères d’assujettissement prévus par le projet de loi, notamment pour les entités implantées dans plusieurs pays ou qui y exercent différentes activités. Sur ce point, le projet de loi se borne à reprendre les critères de la directive sans apporter de précision, ce qui laisse perdurer des incertitudes. L’Anssi a indiqué que les textes réglementaires y répondraient en partie et qu’il était préférable de leur laisser le soin de préciser cette question, ce qui me paraît de bonne pratique.

Nous ne sommes pas directement concernés par NIS 2 puisque c’est l’Anssi qui mettra en œuvre la directive mais je voulais vous alerter sur l’ampleur de ce changement pour le secteur que nous régulons, laquelle variera néanmoins selon la taille des acteurs.

M. Éric Bothorel, rapporteur général. Le manifeste de l’Arcep commence par ces mots : « Les infrastructures numériques que sont les réseaux d’échanges internet, télécoms fixes, mobiles, les centres de données, ainsi que les réseaux postaux et de distribution de la presse, constituent des “infrastructures de libertés”. Liberté d’expression et de communication, liberté d’accès au savoir et de partage, liberté d’entreprise et d’innovation qui sont autant d’enjeux clés pour le développement économique et la cohésion de notre pays au sein de l’Europe. » Je tiens à saluer ces termes car j’entends surtout parler, en ce moment, d’interdiction, de contrôle, de sanction et de surveillance – certes légale. Comment l’Arcep contribuera-t-elle, dans le cadre de nos débats, à ce que nous œuvrions à la résilience des infrastructures « de libertés » ?

Vous avez produit, en mai, une note intitulée « La résilience des réseaux de communications électroniques », dans le cadre de votre cycle de réflexion « Réseaux du futur », dans laquelle vous mettez en exergue trois familles de risques : les risques organisationnels, technologiques et naturels.

Parmi les risques organisationnels, vous relevez notamment la fragmentation des acteurs impliqués dans l’exploitation des réseaux de communications électroniques. Du point de vue de l’Arcep, cela a-t-il un impact sur la cybersécurité ? Comment travaillez-vous sur ces questions ?

Compte tenu de l’émergence de nouveaux acteurs impliqués dans l’exploitation d’infrastructures de communications électroniques – je pense en particulier aux TowerCo (Tower Companies) et aux fournisseurs d’offres Telco Cloud –, vous préconisez une revue des obligations pesant sur l’ensemble des acteurs impliqués afin de s’assurer que celles-ci sont appropriées et proportionnées à l’objectif de sécurisation et de résilience. Le cas échéant, vous suggérez d’adapter et de préciser les règles. De votre point de vue, le projet de loi comporterait des lacunes : il ne garantirait pas que tous les opérateurs supportent bien les mêmes obligations. Pourriez-vous apporter des précisions à cet égard ?

S’agissant des risques technologiques, vous soulignez que « la virtualisation et la programmation logicielle des réseaux sont à l’origine d’une mutation profonde des architectures des opérateurs ». C’est un point de vue pertinent, sachant que le projet de loi évoque les infrastructures. Je vous cite encore : « Plus précisément, cette ouverture permet à des tiers (sociétés de services, fournisseurs d’applications, clients industriels /verticaux, MVNO, etc.) d’instancier et d’orchestrer eux-mêmes des services virtualisés. Elle implique donc que de nouveaux acteurs auront accès à certaines données et fonctions liées à l’exploitation du réseau, notamment celles de configuration et de souscription – ce qui relève du suivi de performance, de la supervision et de la maintenance du réseau devrait a priori rester sous contrôle exclusif de l’opérateur de réseaux ». À cet égard, des évolutions législatives vous paraissent-elles nécessaires, y compris pour renforcer vos compétences ?

Enfin, concernant les risques naturels, j’ai lu avec intérêt les développements que vous consacriez à l’organisation, aux moyens mis en œuvre et aux retours d’expérience en matière de gestion de crise. Vous citez un passage de la note d’analyse de France Stratégie intitulée « Risques climatiques, réseaux et interdépendances : le temps d’agir » : « les réseaux d’électricité, de transports routier et ferroviaire et de télécommunications […] sont associés, en fonctionnement normal comme en temps de crise, par de nombreux liens de dépendance, physiques ou découlant des relations entre les acteurs. » L’Arcep a-t-elle des recommandations à formuler concernant la gestion de crise et, plus spécifiquement, l’interdépendance des réseaux électriques et de télécommunications ?

Mme Laure de La Raudière. Je voudrais rappeler que l’Arcep est un régulateur économique qui intervient ex ante sur les marchés. Autrement dit, nous surveillons les marchés et regardons s’ils présentent des dysfonctionnements sur le plan concurrentiel et si les acteurs se conforment aux principes dont nous devons, de par la loi, contrôler le respect. Nous imposons aux opérateurs, dans un cadre précisément défini, le respect d’obligations d’intérêt général – relatives à l’aménagement du territoire, à la concurrence, à l’innovation, etc. Il s’agit de faire en sorte que les acteurs privés se conforment à ces principes, au-delà de leurs intérêts propres.

Le traitement des enjeux de sécurité et de cybersécurité est de la responsabilité du gouvernement et non de l’Arcep. Comme l’importance que prennent internet et les réseaux sociaux dans la vie sociale et économique ne cesse de croître, nous avons souhaité, en tant qu’experts des télécoms, mettre ce sujet à l’ordre du jour des travaux du comité des réseaux du futur. Le comité réfléchit de manière prospective à certains thèmes qu’il fait exister dans le débat public. L’Arcep n’agit pas dans ce domaine en tant que régulateur économique mais comme expert au service du débat public. L’Autorité a publié en mai une note intitulée « La résilience des réseaux de communications électroniques », puis a organisé, avec la direction générale des entreprises (DGE), un webinaire pour la présenter aux collectivités territoriales. L’objectif est de réfléchir ensemble aux actions à déployer pour conforter la résilience des réseaux. Le comité peut également se pencher sur des sujets relatifs à la cybersécurité, puisque la résilience est aussi celle des réseaux face aux attaques informatiques.

Nous avons soulevé la question de la virtualisation des réseaux : ces derniers intègrent progressivement des logiciels et des fournisseurs différents, lesquels fragilisent les architectures antérieures. Nous alertons ceux qui seront chargés de déployer la directive NIS 2 ainsi que les opérateurs, sur la nécessité de mener un travail fin de détection des nouvelles fragilités des réseaux.

M. le président Philippe Latombe. Des représentants du secteur des télécommunications nous ont fait part, lors d’une audition, de leur souhait d’obtenir des éclaircissements sur le règlement Dora. Les entités soumises à cette norme peuvent diligenter des audits auprès de leurs fournisseurs critiques, dont font partie certains opérateurs de télécommunications.

Ils souhaitent limiter le champ du règlement sur deux points. Tout d’abord, ils veulent que les audits des systèmes d’information ne portent que sur la partie critique de ceux-ci. Ensuite, ils demandent à pouvoir refuser un auditeur pour éviter qu’un cabinet étranger accède à des informations critiques et sensibles. Partagez-vous leurs requêtes ?

Mme Laure de La Raudière. Limiter les audits à la seule partie critique des systèmes d’information me semble logique. Pourquoi les acteurs soumis au règlement Dora auraient-ils besoin d’avoir accès aux services clients ou facturation ? Aux opérateurs de télécommunications de prouver l’étanchéité de leurs systèmes d’information. Il est normal d’auditer la composante qui pilote le cœur du réseau et les équipements de télécommunications qui rendent le service et non celle centrée sur les ressources. L’Anssi est la mieux placée pour répondre à la question, notamment sur le plan technique.

Il pourrait être opportun d’autoriser un tiers à refuser un auditeur pour des raisons tenant à sa nationalité. Cela étant, l’entreprise auditée est forcément juge et partie, donc il faut trouver un dispositif équilibré. Il convient de protéger les audités du risque d’espionnage ou de fuite d’informations vers les concurrents : les auditeurs doivent respecter une déontologie forte et un acteur extérieur pourrait être chargé de contrôler cette obligation. Le sujet est néanmoins éloigné des compétences de l’Arcep.

M. Olivier Corolleur, directeur général de l’Arcep. Dans la note que vous avez citée, monsieur le rapporteur général, nous pointions principalement la modification de l’organisation du secteur. Ce dernier était animé par quelques opérateurs nationaux ; les responsabilités étaient partagées entre les opérateurs d’infrastructures, les acteurs commerciaux et les fonds d’infrastructures. Notre action consiste à déployer de manière pertinente un dispositif : pour ce faire, il faut bien connaître l’organisation afin de choisir judicieusement les opérateurs d’importance vitale et de définir des obligations générales.

Nous n’identifions pas de lacune dans la directive NIS 2. Pour les raisons que la présidente a exposées dans son propos liminaire, nous ne connaissons pas précisément les choix effectués dans le champ des opérateurs d’importance vitale. Nous devons prendre en compte les bouleversements de l’organisation du secteur dans la désignation des opérateurs les plus sensibles. Le cadre juridique est très complet pour les opérateurs de communications électroniques.

M. Vincent Thiébaut (HOR). Comment évaluez-vous, à l’échelle européenne, le risque lié à notre faible production de matériels d’infrastructures, sachant que les systèmes d’infrastructures utilisés par les opérateurs peuvent presque jouer le rôle de cheval de Troie ?

M. Éric Bothorel, rapporteur général. Les échanges d’informations et de courrier sont couverts par le principe du secret de la correspondance. La loi du 1er août 2019 visant à préserver les intérêts de la défense et de la sécurité nationale de la France dans le cadre de l’exploitation des réseaux radioélectriques mobiles, dite loi « 5G », a rénové ce dispositif. Le Sénat a inséré dans le texte que la commission spéciale est chargée d’examiner une disposition relative à la protection du chiffrement. Jugez-vous cette mesure utile et nécessaire ?

Mme Laure de La Raudière. Monsieur Thiébaut, toute notre économie est exposée au risque de voir des équipements non européens utilisés sur nos réseaux. La question dépasse largement le champ des opérateurs de communication. Je défends la possibilité de privilégier les offres souveraines pour les services les plus critiques. Le rôle de l’Arcep est d’ouvrir les marchés numériques. Ces ouvertures permettent à des acteurs émergents d’apparaître, mais il faut s’assurer que ces derniers offrent des solutions de niveau et de qualité suffisants pour les entreprises. À l’échelle européenne, il convient de donner aux entreprises souveraines accès aux marchés publics. Les marchés privés sont très concurrentiels et les entreprises peuvent avoir peur de tester des solutions par peur de perdre des parts de marché si leur modèle n’est pas le plus avancé ; même si l’exigence de qualité de service est élevée pour les citoyens, les marchés publics sont moins compétitifs, donc ils représentent un domaine intéressant. Dans le secteur des télécoms, deux équipementiers, Ericsson et Nokia, sont européens, donc nous bénéficions d’une certaine protection. Dans une loi qui devait s’appeler la loi Bothorel, on a fait en sorte que tous les équipementiers utilisés par nos opérateurs de télécommunications respectent certaines règles et soient habilités par l’Anssi.

Sur le secret des correspondances, nous sommes très attachés au chiffrement. C’est à la représentation nationale de décider du cadre juridique de celui-ci. L’absence de chiffrement ou l’accès aux clés de chiffrement fragilisent la protection des correspondances.

M. le président Philippe Latombe. Je vous remercie d’avoir répondu à nos questions.

12. Table ronde sur le chiffrement réunissant des représentants de la coordination nationale du renseignement et de la lutte contre le terrorisme (CNRLT), du groupement interministériel de contrôle (GIC) et de la direction générale de la sécurité intérieure (DGSI), mercredi 9 juillet 2025 à 14 heures

Lors de sa première réunion du mercredi 9 juillet 2025, la commission spéciale a procédé à l’audition, ouverte à la presse, puis à huis clos, de M. Mahamadou Diarra, secrétaire général de la coordination nationale du renseignement et de la lutte contre le terrorisme (CNRLT) ; M. Pascal Chauve, directeur du groupement interministériel de contrôle (GIC) ; et Mme Céline Berthon, directrice générale de la sécurité intérieure (DGSI).

M. le président Philippe Latombe. Dans le cadre de nos auditions sur le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, nous allons traiter du chiffrement, sujet particulièrement important que nous n’avions pas encore abordé et sur lequel nous souhaitions avoir l’éclairage de la communauté du renseignement. Cette audition et la suivante seront entièrement consacrées à l’examen de l’article 16 bis du projet de loi, de ses implications concrètes et de son insertion dans le corpus législatif.

Disons-le d’emblée, si la question du chiffrement est importante, il n’était pas évident qu’elle trouve sa place dans le débat sur ce projet de loi au regard des dispositions de l’article 45 de la Constitution et du contrôle qu’en effectue le Conseil constitutionnel. Mais le Sénat ayant adopté un amendement d’Olivier Cadic, président de la commission spéciale, cet article 16 bis est désormais dans la navette parlementaire et il nous revient de l’examiner avec toute l’attention qu’il mérite.

La question du chiffrement avait fait l’objet de débats animés lors de l’examen de la loi du 13 juin 2025 visant à sortir la France du piège du narcotrafic. Dans sa formulation actuelle, l’article 16 bis dispose : « Il ne peut être imposé aux fournisseurs de services de chiffrement, y compris aux prestataires de services de confiance qualifiés, l’intégration de dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d’information et des communications électroniques tels que des clés de déchiffrement maîtresses ou tout autre mécanisme permettant un accès non consenti aux données protégées. »

M. Mahamadou Diarra, secrétaire général de la coordination nationale du renseignement et de la lutte contre le terrorisme (CNRLT). Vous souhaitez disposer de l’éclairage de la communauté du renseignement sur cet article 16 bis. Dans le propos introductif dont j’ai été chargé, je vais vous présenter l’avis technique des services. Nous serons ensuite à votre disposition pour répondre à vos questions, sous réserve du respect du secret de la défense nationale. Nous pourrons entrer davantage dans les détails lors de la partie de l’audition qui se déroulera à huis clos, même si nous devons respecter les obligations qui s’imposent à nous.

Sur le fond, nous considérons que l’article 16 bis n’a pas sa place dans le projet de loi. Les services de renseignement sont confrontés au quotidien aux enjeux du chiffrement, évolution majeure de nos moyens de communication, qu’ils soient interpersonnels ou entre machines. Le chiffrement permet de sécuriser nos transactions bancaires, nos investigations sur internet, nos échanges de messages ou nos appels. C’est un élément essentiel de la politique française de cybersécurité, édicté dans la posture nationale sur le chiffrement. La mission des services de renseignements est de protéger la propriété intellectuelle de nos industries et de sécuriser les communications des autorités de l’État. Pour le dire simplement, le chiffrement concourt en tant que moyen technique à la sécurité des systèmes d’information de la nation.

Dans leur travail quotidien, les services de renseignements constatent que certains moyens, notamment les messageries chiffrées, sont utilisés par des personnes mal intentionnées. Il ne s’agit pas ici de pointer du doigt les opérateurs de messageries chiffrées qui ne sont que des outils, mais de rappeler que certains usages ayant des impacts sur la sécurité nationale se développent à l’aide de ces outils. Nous ne sommes pas les seuls à faire ce constat. Il me semble que Johanna Brousse, cheffe de la section de lutte contre la cybercriminalité du parquet de Paris, et le général Christophe Husson, chef du commandement du ministère de l’intérieur dans le cyberespace, ont pu vous le rappeler pour ce qui concerne le judiciaire.

Dans tous les pays européens, cette évolution préoccupante fait l’objet d’un constat partagé. En avril 2024, les chefs de police européenne ont alerté via Europol sur les risques associés au fait de voir se développer des espaces de non-droit sur les plateformes numériques grâce au chiffrement et ils ont appelé les industriels du numérique à trouver le juste équilibre entre vie privée et sécurité publique. Un rapport de juin 2024, corédigé par Europol et Eurojust, dresse un état des lieux technico-opérationnel factuel de l’impact du chiffrement au-delà des seules communications chiffrées. Ultime exemple, le groupe d’experts de haut niveau HLEG a rendu un rapport mettant en relief trois nécessités : préservation des bénéfices du chiffrement pour nos sociétés ; transparence des entreprises du numérique en matière de données collectées ; coopération entre les États et les opérateurs pour mettre en œuvre des systèmes d’accès légal à leurs données, encadrés strictement par la loi et contrôlés.

La complexité du sujet – bénéfice du chiffrement et enjeux associés – implique de développer une approche nuancée, fondée sur un principe de proportionnalité. Rappelons le cadre d’action des services de la communauté du renseignement qui regroupe 20 000 agents au sein de dix services relevant de quatre ministères – intérieur, armées, justice, économie et finances. Consacrée par la loi du 24 juillet 2015, la politique publique de renseignement est fondée sur la défense et la promotion de sept intérêts fondamentaux de la nation, définis à l’article L. 811-3 du code de la sécurité intérieure, notamment la prévention du terrorisme et la prévention de la criminalité et de la délinquance organisées – ce sont les 4° et 6° dudit article.

Bénéficiant d’outils d’enquête importants dont nous sommes conscients, les techniques de recueil du renseignement (TRR), les services de renseignement font l’objet de mécanismes de contrôle stricts définis par le législateur, afin de s’assurer que ces outils sont utilisés dans le cadre défini par la loi et de manière proportionnée. La loi a ainsi institué la Commission nationale de contrôle des techniques de renseignement (CNCTR), composée de magistrats de l’ordre judiciaire et de l’ordre administratif ainsi que de parlementaires. Elle est systématiquement saisie pour avis par le premier ministre de chaque demande de techniques de renseignement et elle effectue un contrôle a posteriori sur pièces et sur place. Elle élabore chaque année un rapport public dont la dernière édition a été diffusée le 25 juin dernier. La délégation parlementaire au renseignement (DPR) est composée de quatre députés et quatre sénateurs habilités qui exercent la mission de contrôle parlementaire de la politique publique du renseignement. Son dernier rapport public date du 30 avril dernier.

Les services de renseignement doivent adapter leurs moyens d’action aux évolutions technologiques, comme il a fallu le faire par le passé avec l’apparition de la poste, du télégraphe ou des réseaux téléphoniques. Le principe de proportionnalité est au cœur du dispositif légal en vigueur à travers l’article L. 801-1 du code de la sécurité intérieure : « Le respect de la vie privée, dans toutes ses composantes, notamment le secret des correspondances, la protection des données à caractère personnel et l’inviolabilité du domicile, est garanti par la loi. L’autorité publique ne peut y porter atteinte que dans les seuls cas de nécessité d’intérêt public prévus par la loi, dans les limites fixées par celle-ci et dans le respect du principe de proportionnalité. »

Selon notre analyse, cet équilibre fondamental serait ébranlé par l’article 16 bis du projet de loi qui pourrait avoir des effets de bord au-delà de la seule consécration du chiffrement. Nous en concluons qu’il convient de laisser sa place au travail technique approfondi et exhaustif, qui prend du temps au regard de la technicité du sujet, afin d’englober les problématiques très différentes et de restituer au gouvernement et au législateur un ensemble factuel leur permettant d’évaluer en toute connaissance de cause l’opportunité d’une évolution du dispositif légal. C’est ce qui occupe actuellement l’administration et singulièrement la communauté du renseignement. Étant donné la nature des droits en cause, aucune évolution ne se fera sans revenir devant le Parlement, ce qui garantit votre rôle majeur, votre office, dans toute éventuelle décision en la matière.

En résumé, les dispositions de l’article 16 bis nous interdiraient de réfléchir aux différentes options sur un sujet aussi central. A contrario, laisser à l’administration le temps de travailler permet de documenter plusieurs options. L’une d’elles consiste à apporter des réponses aux enjeux de sécurité posés par le chiffrement si et seulement si un équilibre et des garanties sont trouvées en termes de secret des correspondances et de sécurité des systèmes d’information. Autre option : ne pas donner accès aux communications chiffrées, mais prendre ces décisions en conscience sur la base d’un travail étoffé sur les plans juridique, technique et opérationnel, qui est en cours.

Laisser à l’administration le temps d’approfondir ses travaux permet d’éviter de prendre des initiatives à l’emporte-pièce, sous le coup de l’émotion, dans un sens ou un autre, ce qui est probablement le plus important. Il me semble que Nicolas Roche, secrétaire général de la défense nationale et de la sécurité nationale (SGDSN), a adopté cette même position lorsque vous l’avez auditionné, il y a quelques semaines.

M. Éric Bothorel, rapporteur général. Avant toute chose, je voulais remercier les hommes et les femmes des services qui concourent à la sécurité de nos concitoyens.

Vous avez donné votre opinion sur l’article 16 bis, mais nous ne manquerons pas de revenir sur le sujet car la porte est ouverte à des évaluations techniques permettant de concilier liberté et sécurité.

Comment adapter la sécurité informatique de la société aux vulnérabilités des appareils personnels ? De telles mesures pourraient-elles être introduites dans la loi ?

Comme la direction générale de la sécurité intérieure (DGSI) le souligne de temps à autre, le facteur humain est le principal vecteur de compromission des systèmes d’information, notamment au travers de la mauvaise utilisation d’une messagerie professionnelle. Comment remédier à ces cas de figure ?

En quoi consiste la réalisation d’investigations en sources ouvertes du premier niveau sur internet et les réseaux sociaux et dans le cadre de dossiers opérationnels d’évaluation de la menace par la DGSI ? Nous nous écartons là du chiffrement, mais nous nous intéressons aussi au renseignement d’origine sources ouvertes (Osint). Actuellement, la récupération de données volées constitue un recel en droit pénal. Ayant été attentifs à l’audition de Johanna Brousse et de Christophe Husson, vous n’ignorez pas que c’est un sujet qui nous préoccupe. Êtes-vous favorables à l’idée de permettre une telle récupération pour un motif légitime ? Comment concilier à la fois le droit pénal, le droit de propriété intellectuelle, la protection des données à caractère personnel et la cybersécurité en ce qui concerne l’Osint ? Plus largement, quelle est votre opinion sur le recours à l’Osint pour améliorer la cybersécurité ?

Mme Céline Berthon, directrice générale de la sécurité intérieure (DGSI). Nombre de questions dépassent le cadre de l’article 16 bis et portent sur des modalités d’action ou de recueil de renseignement, que je préfèrerais aborder à huis clos.

Pour le reste, il s’agit de rechercher un équilibre entre la protection des libertés individuelles et collectives et ce qui relève de la sécurité nationale. Nous devons tenir compte des évolutions technologiques et ne pas remettre en cause les règles de sécurité numérique dont nous bénéficions sans réduire à néant l’efficacité des services de renseignement – qui relèvent de mon champ de compétences – et des services d’enquêtes judiciaires.

Depuis des décennies, l’État dispose légalement du droit d’intercepter des communications téléphoniques. Il l’exerce de façon ciblée dans un cadre administratif pour ce qui relève des techniques de renseignement ou dans un cadre judiciaire pour ce qui concerne les interceptions de sécurité. Les interceptions s’effectuent sous le contrôle de la CNCTR dans le cadre administratif et sous l’autorité d’un magistrat dans le cadre judiciaire. Tous les services du monde – de renseignement ou judiciaires – sont cependant confrontés à une réalité : l’usage de plus en plus développé des messageries chiffrées rend cette technique obsolète. En conséquence, nous perdons de la visibilité sur les activités criminelles des cibles, la détermination de leur projet criminel et, ce qui préoccupe le plus la DGSI, la préparation de leurs projets violents.

Pour schématiser la situation avec mes mots, c’est-à-dire selon une approche qui n’est pas nécessairement technique, je dirais que l’objectif auquel nous devons concourir dans le cadre des travaux évoqués, c’est de tenter de voir si nous pouvons étendre les pratiques que nous avons actuellement avec les opérateurs téléphoniques à d’autres opérateurs, les plateformes de messagerie chiffrées. Pourrions-nous agir dans les mêmes conditions d’exigence légale et de contrôle que celles qui existent pour les interceptions téléphoniques ou les écoutes judiciaires, selon le cadre dans lequel on se place ? Ce sont ces travaux qu’il nous faut poursuivre. Les mutations technologiques nous imposent de trouver un nouvel équilibre technique et juridique entre le secret des correspondances et la protection de la sécurité nationale. Si le choix était fait de ne pas retrouver cet équilibre, il faudrait au moins être en mesure de l’assumer, en en mesurant les conséquences techniques, politiques et, pour ce qui me concerne, opérationnelles.

M. Pascal Chauve, directeur du groupement interministériel de contrôle (GIC). En effet, tout est question d’équilibre en cette matière. Nous l’avons trouvé avec les opérateurs de communication électronique, entre nécessité d’un accès et garantie de la protection de la confidentialité et de l’intégrité des communications. L’Agence nationale de la sécurité des systèmes d’information (Anssi) joue un rôle éminent à l’articulation entre ces deux mondes, l’article 226-3 du code pénal faisant la mesure entre les deux impératifs.

Tout est une question d’équilibre car les techniques de renseignement sont décidées par le premier ministre à la suite d’un examen de leur proportionnalité – l’atteinte au secret et à la vie privée versus l’impératif de sécurité nationale. Cet équilibre, que nous avons trouvé avec les opérateurs de communications électroniques, nous le cherchons encore avec les opérateurs d’extrémité ou lesdites plateformes.

Comment tout cela fonctionne-t-il ? Le GIC – et lui seul – adresse des réquisitions aux opérateurs de communications électroniques en application d’autorisations d’interception de sécurité prises par le premier ministre sur la base d’identifiants, c’est-à-dire des numéros de téléphone, des adresses IP ou n’importe quel sélecteur en fonction de l’autorisation délivrée et de l’utilisation qu’en fait la personne désignée dans l’autorisation. Les opérateurs de communications électroniques sont coopératifs avec les pouvoirs publics. Je profite d’ailleurs de l’occasion pour saluer les directions des obligations légales des opérateurs. Leurs agents sont soumis à des enquêtes de sécurité ; ils travaillent entourés de murs épais ; ils se rendent disponibles vingt-quatre heures sur vingt-quatre pour répondre aux réquisitions du GIC. Je les en remercie.

La suite, vous la connaissez : les opérateurs de communications électroniques se contentent désormais de transporter des flux qui leur sont impénétrables, car chiffrés de bout en bout. Ils dupliquent vers le GIC des communications chiffrées dont le chiffrement leur échappe puisqu’il est à la main des opérateurs d’extrémité ou des plateformes. Depuis les révélations d’Edward Snowden en 2013, le chiffrement s’est en effet généralisé. Il est activé par défaut. Nos logiciels nous alertent d’ailleurs par des pop-ups assez angoissants lorsqu’il n’est pas actif. Ce chiffrement des communications s’est traduit par une bascule économique majeure : les opérateurs de réseaux se sont trouvés privés de la valeur marchande que constituent nos données au profit des opérateurs d’extrémité qui les détiennent et qui en font un commerce lucratif.

Ces derniers connaissent, ou ont toute latitude pour connaître, notre vie privée et professionnelle – nous leur confions les deux. En revanche, les services de renseignement sont privés de leur outil de travail de base. Le législateur avait prévu en 2015, de façon encadrée, un recueil de données informatiques grâce auquel les services peuvent légalement récupérer le contenu des terminaux électroniques, là où les données sont en clair, conformément à l’article L. 853-2 du code de la sécurité intérieure. Or cette récupération est coûteuse et difficilement généralisable. C’est pourquoi la coopération des opérateurs de réseaux ou de transport ne suffit pas : il nous faut absolument celle des opérateurs d’extrémité, dits OTT, over the top, ou plateformes.

La coopération avec les opérateurs de réseaux fait l’objet de standards techniques. Elle est encadrée par l’article 226-3 du code pénal, et l’administration s’est organisée pour que tout fonctionne, au bénéfice des enquêtes judiciaires comme du renseignement. Les opérateurs sont dédommagés des surcoûts liés à leurs obligations, en application d’arrêtés tarifaires.

La coopération entre les pouvoirs publics et les plateformes existe, mais elle ne repose pas encore sur des standards techniques. Il n’y a d’ailleurs aucune offre industrielle d’interface normalisée pour accéder aux données des plateformes. Les textes d’application de l’article 226-3 du code pénal se concentrent sur les réseaux de transport. Si l’État s’est organisé pour ce qui est de la coopération avec les opérateurs de réseaux, il ne l’a pas encore fait de manière formelle s’agissant des plateformes, pour donner corps à la coopération. C’est un défi absolument considérable. Nous en sommes, pour l’instant, à examiner de grandes orientations, qu’il faudra ensuite confronter à la réalité de chaque service de communication de chaque plateforme. Nous pourrons ensuite trouver avec ces acteurs un intérêt commun à élaborer et adopter des standards. Tout cela nécessite un travail posé et approfondi, comme l’a indiqué Nicolas Roche devant votre commission. À ce stade, nous ne sommes pas en mesure de décrire une solution. De toute façon, il n’en existera pas qu’une : le one size fits all (taille unique) ne vaut pas dans ce domaine.

L’essor des technologies de communication nous facilite la vie, mais il facilite aussi grandement le crime, les violences collectives, l’espionnage et le terrorisme. L’article 16 bis du projet de loi a certes pour but d’affirmer le principe absolument fondamental de la protection de la vie privée, mais cela dans le cadre d’une loi technique, portant sur un mécanisme particulier, le chiffrement, et en exigeant de lui une propriété qui n’est pas indispensable à la protection de la vie privée. Ce texte érige, en fait, le chiffrement en totem, ce qui tuera dans l’œuf toute discussion avec les plateformes, alors que celle-ci est nécessaire pour préserver des capacités d’enquête essentielles, dans un domaine où prévaut la recherche d’une solution équilibrée, de proportionnalité entre atteinte à la vie privée et sécurité nationale. En transcrivant sans nuance dans la loi une position à la fois technique et radicale, on briserait un équilibre savamment entretenu par la Constitution, le législateur, jusqu’à présent, et l’autorité indépendante qu’est la CNCTR, au quotidien. C’est pour ces raisons que le gouvernement vous a demandé de supprimer l’article 16 bis et de lui laisser le temps de travailler sereinement, avec les plateformes, à des solutions équilibrées.

Que se passerait-il si la loi sanctifiait le chiffrement ? D’une part, cela reviendrait à annoncer aux criminels que les outils de communication de M. Tout-le-monde leur permettent de préparer en toute impunité leurs actes. Le seul moyen qu’il nous resterait pour pénétrer les communications des criminels serait de pénétrer leurs moyens de communication, conformément à l’article L. 853-2 du code de la sécurité intérieure, ce qui irait à l’encontre des intentions des auteurs de l’article 16 bis du projet de loi, puisque cela nous donnerait accès à plus de données que ce qui nous serait nécessaire. En prenant le contrôle d’un smartphone, on n’accède pas seulement aux communications, c’est-à-dire au flux, mais aussi aux fichiers enregistrés, c’est-à-dire au stock, ainsi qu’aux brouillons, aux contacts, à l’appareil photo, au microphone, etc. Il en résultera donc automatiquement un effet pervers. Des techniques plus intrusives, que la loi réserve à des cas subsidiaires, lorsqu’aucun autre moyen n’est disponible, seront parfaitement justifiables sur le plan légal puisqu’il n’existera aucun autre moyen d’accéder aux communications. Par conséquent, au motif qu’on ne pourra pas accéder aux communications, on accédera potentiellement à bien plus.

D’autre part, la sanctuarisation du chiffrement augmentant la demande d’accès aux données en clair, une offre va se créer. Un autre équilibre prévaudra donc, celui de l’offre et de la demande. Nous verrons alors proliférer un secteur commercial lucratif, constitué de sociétés privées offrant des prestations ou des logiciels d’intrusion à des services de police judiciaire ou administrative. L’article 16 bis créera un business de la vulnérabilité et du hacking, dont nous devinons qu’il sera dominé par des acteurs dont nous ne voulons pas.

L’article 16 bis porte sur des moyens techniques, dont la place dans une loi peut être discutée. Il est absolutiste, puisqu’il ferait également tomber « tout autre mécanisme ». Le gouvernement, par la voix de la ministre chargée du numérique, a déjà alerté vos collègues sénateurs sur les effets de bord de cette disposition. L’article s’appliquera de façon indifférenciée aux enquêtes judiciaires et au renseignement et aura pour conséquence le développement d’un marché des vulnérabilités et du hacking, qui fera la part belle à des prestataires étrangers. Il conduira les services à mettre en œuvre des techniques de renseignement plus intrusives, plus attentatoires à la vie privée. Il percutera, par ailleurs, les réflexions en cours au niveau européen – la Commission s’est saisie du sujet, comme l’a rappelé le secrétaire général de la CNRLT. Cela signifie que l’adoption de cet article conduira la France à s’exclure de la démarche engagée par l’UE. Enfin, il ruinera la coopération entre l’État français et les plateformes, qu’il est susceptible de faire reculer.

Mme Anne Le Hénanff, rapporteure. Je rappelle, tout d’abord, que l’article 16 bis n’est pas apparu dans le texte par hasard : c’était une réaction d’un collègue sénateur, Olivier Cadic, à l’introduction surprise d’une disposition autorisant des backdoors (portes dérobées) dans la proposition de loi dite narcotrafic.

Vous nous demandez de vous laisser du temps, ce que je comprends totalement. Je n’ai pas, à ce stade, d’opinion sur l’article 16 bis, mais il me paraît bon de pouvoir discuter de ces questions dans le cadre du groupe transpartisan lancé par Florent Boudié – j’espère que vous y serez associés. Cela me paraît une bonne perspective temporelle.

Pouvez-vous préciser quelle est la part, parmi toutes les demandes d’accès aux données que vous adressez aux entreprises, de celles concernant la lutte contre la pédocriminalité et la lutte contre le narcotrafic ? Je crois savoir qu’elle est tout à fait négligeable, alors que la lutte contre le narcotrafic et la lutte contre la pédocriminalité étaient les deux arguments principaux pour justifier l’introduction de l’article 8 ter dans la proposition de loi « narcotrafic ».

La technique dite du fantôme, qui permet à un utilisateur invisible de participer à une conversation sur une messagerie chiffrée, ne constitue-t-elle, de votre point de vue, ni une vulnérabilité informatique ni un affaiblissement du chiffrement ?

Quid du filtre de détection de contenus spécifiques mis en place par Apple, notamment pour ce qui est des contenus pédopornographiques échangés sur WhatsApp ou Messenger ?

Que répondez-vous à celles et ceux qui estiment que l’introduction d’une vulnérabilité informatique permettant aux services de l’État d’accéder au contenu des messageries chiffrées pourrait être exploitée par des puissances étrangères à des fins de cyberespionnage ?

Comment expliquez-vous que la gendarmerie nationale ait réussi à accéder au contenu des messages échangés entre des criminels sur le réseau chiffré EncroChat ?

Êtes-vous associés, de près ou de loin, aux discussions qui ont lieu au niveau européen dans le cadre de la stratégie de sécurité intérieure ProtectEU ?

M. Pascal Chauve. La pédopornographie ne fait pas partie des finalités légales du renseignement au sens de l’article L. 811-3 du code de la sécurité intérieure. Il n’existe donc pas de demandes reposant spécifiquement sur ce motif. Le dernier rapport annuel de la Commission nationale de contrôle des techniques de renseignement, évoqué par M. Diarra, rend parfaitement compte de ces questions : la prévention de la criminalité organisée représente 16,1 % des finalités poursuivies par les techniques de renseignement en 2024. Je suis incapable de vous dire la part exacte de la lutte contre le narcotrafic, mais il est certain que celui-ci est au cœur de la criminalité organisée, qui entretient des mafias brassant un argent absolument considérable et qui est susceptible de porter atteinte aux intérêts fondamentaux de la nation. C’est ce que recouvre, en très grande majorité, la sixième finalité de l’article L. 811-3 du code de la sécurité intérieure.

Mme Céline Berthon. En matière de renseignement, les finalités des réquisitions ne sont pas communiquées aux opérateurs. Dire pourquoi on s’intéresse à un numéro de téléphone – contre-terrorisme, contre-espionnage ou contre-ingérence – serait totalement contraire au principe de protection de l’activité de renseignement. Cela rend d’autant plus complexe l’identification précise des éléments en question.

M. Pascal Chauve. Cela protège non seulement l’enquête mais aussi la personne visée.

M. Mahamadou Diarra. Nous avons bien conscience du contexte dans lequel l’article 16 bis a été introduit, mais il me semble que l’article de la proposition de loi « narcotrafic » auquel vous avez fait référence n’a pas été adopté. Il constituait l’une des options possibles, avec l’article 16 bis.

Quand je demande de laisser du temps pour mener un travail de fond, c’est que les travaux en cours seraient entravés, ou en tout cas mis en difficulté, si cette disposition était adoptée. On aurait, en effet, tranché, de même que si d’autres dispositions étaient adoptées. La position de l’administration et des autorités dans la discussion avec les opérateurs serait extrêmement entravée.

Je confirme que les services de l’État sont impliqués dans les discussions européennes, la Commission s’étant saisie du sujet, notamment sous l’angle judiciaire, compte tenu des compétences qui sont les siennes. Nous participons à ces discussions, mais les travaux sur la doctrine de sécurité européenne, proposée par la Commission, en sont encore à leurs débuts.

La question de l’utilisateur fantôme fait partie du travail en cours sur les techniques qui pourraient permettre, ou non – nous partons du postulat que la discussion est ouverte –, d’avoir accès à des informations sans affaiblir le chiffrement. Il faudra que les administrations continuent d’y travailler pour que le gouvernement et le Parlement puissent, le moment venu, se reposer la question. Je n’ai pas à me prononcer sur des initiatives parlementaires, mais nous sommes prêts à concourir à la réflexion et à revenir devant vous si besoin.

Mme Catherine Hervieu, rapporteure. Je m’intéresse plus particulièrement à la nécessité pour les collectivités territoriales, les services publics et les entreprises de protéger leurs données, spécifiquement celles à caractère personnel, dans le cadre de leurs différentes activités. Pouvez-vous nous donner des éléments sur la manière dont ces acteurs sont accompagnés et conseillés face aux enjeux du chiffrement ?

M. Mahamadou Diarra. Le sujet de la protection fait l’objet d’une mobilisation de l’ensemble des acteurs, singulièrement le SGDSN, à travers l’Anssi. Vous avez parlé des collectivités territoriales, mais on pourrait également évoquer les hôpitaux, qui sont des acteurs sensibles, exposés aux enjeux concernant les données.

Des travaux de sécurité des systèmes d’information sont menés par l’Anssi. Son directeur général, que vous verrez prochainement, me semble-t-il, pourra y revenir. Par ailleurs, mais je m’exprime là sous le contrôle de ma collègue, les services de renseignement, la DGSI comme la DNRT, la direction nationale du renseignement territorial, mènent des actions de sensibilisation envers les entreprises et les acteurs publics, notamment les collectivités territoriales, au sujet des messageries, sous l’angle de la protection – ne pas se faire piéger, sécuriser ses données, éviter les mésusages des téléphones personnels et professionnels lorsqu’on manie des données sensibles. Tout un écosystème est mobilisé, au sein duquel l’Anssi joue un rôle central, sous l’autorité du SGDSN et avec l’appui de la CNRLT et la mobilisation des services de renseignement sur le territoire national.

Mme Céline Berthon. Je crois qu’il ne faudrait pas prendre le risque de tomber dans une confusion entre, d’une part, ce qui relève de l’enjeu de la sécurité numérique générale, qui concerne la société dans son ensemble et doit nous conduire, eu égard à la place de l’outil informatique dans nos vies et dans les systèmes d’information de toutes les organisations, privées comme publiques, à intégrer des réflexes de sécurité numérique dans les comportements, y compris au sein des administrations publiques, des collectivités territoriales et des sociétés privées, dont un certain nombre sont effectivement couvertes et accompagnées par nous en matière de protection économique, et d’autre part ce dont il est question aujourd’hui, à savoir d’envisager et éventuellement d’accepter techniquement la construction d’un dispositif qui soit légalement autorisé, contrôlé et dirigé sur certaines personnes qui seraient des cibles au titre des finalités poursuivies, dans un cadre administratif ou judiciaire.

Les dispositifs que nous évoquons à demi-mot n’ont pas vocation à s’appliquer à M. et Mme Tout-le-monde. Nous en avons besoin pour les missions qui nous sont confiées en matière de protection de la sécurité nationale ou des intérêts fondamentaux de l’État, dans le domaine du renseignement, ou en matière de lutte contre les phénomènes majeurs de crime organisé qui ont été évoqués. Le rapport annuel de la Commission nationale de contrôle des techniques de renseignement illustre à quel point les mesures de surveillance technique que nous pourrons être amenés à mobiliser dans les services de renseignement français couvrent un nombre limité de personnes, dans un cadre réglementaire et légal très strict et extrêmement contrôlé a priori et a posteriori.

Je comprends tout à fait les enjeux de sécurité numérique qui s’appliquent à tous ; notre propos est d’essayer de vous convaincre de l’importance d’avoir un débat serein et le plus rationnel possible, afin de ne pas priver les appareils sécuritaires, judiciaires ou de renseignement d’un moyen de travailler de manière très ciblée sur des gens qui sont des dangers soit pour la sécurité nationale soit pour le vivre-ensemble en France.

M. Thomas Gassilloud (EPR). Je remercie les sénateurs de nous donner l’occasion d’échanger sur le chiffrement, même si tel n’est pas le premier objet du projet de loi.

Quelles sont les pistes qui s’offrent à nous, aux échelons national et européen, pour résoudre le problème ? Quel est le degré de coopération des messageries instantanées en matière d’accès ciblé à tel ou tel service ?

Quelles sont, hors de l’Union européenne, les modalités de coopération entre les autorités et ces messageries ? Certains États ont-ils imposé l’implantation de backdoors – portes dérobées – ou l’accès massif et automatisé à certaines données des messageries instantanées ?

Par ailleurs, vos observations étayent la nécessité de disposer d’une messagerie instantanée européenne. Ce sujet est-il à l’ordre du jour de la discussion avec nos collègues européens ?

M. René Pilato (LFI-NFP). Qui donne les ordres ? Est-il normal ou gênant que l’ordre vienne du premier ministre ? Faut-il opter pour une personnalité indépendante ou neutre ou pour des fonctionnaires du ministère de la justice ? Qui vous donne l’autorisation ?

La possibilité de déverrouiller un chiffrement au nom de la sûreté de l’État ne me pose aucun problème. Ce que je souhaite, c’est savoir qui décide quoi lorsque vous avez repéré quelque chose qui peut tourner mal. J’aimerais que nous discutions de la question de savoir qui, lorsqu’il s’agit de sécurité nationale, doit être habilité à donner les ordres quand vous détectez quelque chose de dangereux, afin de prévenir toute dérive politique, quelle que soit la personne au pouvoir.

M. Vincent Thiébaut (HOR). J’aimerais savoir, très naïvement, comment vous analysez l’impact sur la sécurité intérieure de vos difficultés à accéder à certaines données d’outils de messagerie, alors qu’aux États-Unis, leurs éditeurs agissent dans le cadre de la législation américaine « Cloud Act » qui leur impose des engagements auprès de l’État fédéral.

Mme Céline Berthon. La mise en œuvre des techniques de renseignement obéit à une procédure strictement encadrée par la loi du 24 juillet 2015 relative au renseignement. Elle prévoit notamment que, pour avoir recours à des techniques de renseignement, les services doivent émettre des demandes, qui sont préalablement examinées par la CNCTR, dont les membres sont notamment issus du haut de la hiérarchie de la juridiction administrative et de l’autorité judiciaire ainsi que du Parlement.

Elle se prononce de manière collégiale sur les techniques qui lui sont soumises. Son avis est transmis à l’autorité politique. Il incombe au premier ministre, sur cette base, d’autoriser ou non la mise en œuvre des techniques visées.

Par ailleurs, la loi fixe une liste limitative et précise des techniques et des finalités. Selon les domaines, les moyens sont mobilisables en totalité ou désignés de façon très limitative. Leur utilisation est bornée dans le temps.

Il s’agit donc d’une procédure très carrée, inscrite dans un cadre légal très clair. La CNCTR exerce son contrôle avec finesse et exigence. Elle n’autorise pas toujours la mise en œuvre des techniques demandées et rend compte de ses refus, de façon très transparente, dans son rapport annuel – le plus récent a été publié en avril dernier.

M. René Pilato (LFI-NFP). Si je comprends bien, la CNCTR est neutre et indépendante, mais le premier ministre peut passer outre son avis.

M. Pascal Chauve. Dans le processus qui vient de vous être décrit, la demande est formulée par un service, endossée par un ministre et visée par la CNCTR. C’est bien le premier ministre qui décide – il ne saurait, dans notre pays, en aller autrement dans ce domaine.

Si le premier ministre décide de passer outre l’avis négatif de la CNCTR et d’autoriser la mise en œuvre d’une technique de renseignement, le Conseil d’État est saisi de façon automatique, ce qui offre une garantie supplémentaire. L’alignement entre la commission et l’autorité décisionnaire est impératif, sous peine de déclencher un mécanisme très complexe, que n’avons jamais dû activer, de saisine du Conseil d’État contre le premier ministre.

M. Mahamadou Diarra. Tout cela démontre la reconnaissance dont jouit la CNTCR auprès des autorités.

S’agissant des questions des membres de la commission, il nous sera impossible d’y apporter une réponse précise, même à huis clos.

M. Pascal Chauve. Je dirai, pour atténuer la frustration des membres de la commission spéciale, que nous avons choisi, en France, un système de supervision effective des techniques de renseignement. Le législateur a confié à la CNCTR un pouvoir énorme, en lui offrant un accès permanent, complet et direct aux renseignements recueillis et à ce que les services de renseignement en font.

J’ai l’honneur de diriger un service centralisant les techniques de renseignement pour le premier ministre, qui peut ainsi vérifier que les services de renseignement ont bien agi dans les limites qu’il a fixées dans son autorisation et dans les décisions qu’il a prises. Cette centralisation bénéficie à la CNCTR, qui peut exercer son contrôle a posteriori en disposant, comme le prescrit la loi, d’un accès permanent, complet et direct aux données.

M. Éric Bothorel, rapporteur général. Ce n’est pas parce que j’ai été l’un des artisans de la lutte contre l’article 8 ter de la proposition de loi sur le narcotrafic que je suis un fan absolu de l’article 6 bis en question. J’ai plutôt un avis assez tranché sur le fait que l’on ne répond pas aux excès d’une proposition de loi par les excès d’un projet de loi. À ce titre, je comprends les éléments que vous avez détaillés.

Vous dressez le constat qu’il est nécessaire d’opter pour une réponse technique faute de parvenir à collaborer avec les plateformes. N’aurions-nous pas pu parvenir à une telle collaboration grâce à un dialogue renforcé par l’intermédiaire d’outils tels que le groupe de contact permanent (GCP) ? Créé au lendemain des attentats de janvier 2015, il s’est réuni à de multiples reprises en 2015 et en 2016, très peu en 2017 et en 2018 et pour la dernière fois en 2019. Cette instance, à laquelle sont associées les plateformes, pourrait être un lieu de délibération des évolutions technologiques des uns et des autres ainsi que du rôle de chacun. Sa réunion régulière a été proposée après les émeutes urbaines de l’été 2023.

Je suis surpris que l’on dresse le constat définitif selon lequel nous ne parviendrons pas, par la collaboration, l’échange et le droit, à obliger les plateformes à collaborer et à participer à des coopérations judiciaires de même niveau que celles auxquelles participent les opérateurs téléphoniques au motif que les uns sont nationaux et les autres ne le sont pas. Le droit européen devrait nous aider à y parvenir, ainsi que des instances ne relevant pas du droit dur, telles que le GCP. Je fais partie de ceux qui s’étonnent que l’on fasse peu de cas du GCP, qui, à ses débuts, a porté ses fruits, et qui est désormais abandonné. Quel est votre sentiment à ce sujet ?

Mme Céline Berthon. Nous vous répondrons à huis clos.

*

La commission spéciale a ensuite auditionné, à huis clos, MM. Mahamadou Diarra, secrétaire général de la coordination nationale du renseignement et de la lutte contre le terrorisme (CNRLT) ; M. Pascal Chauve, directeur du groupement interministériel de contrôle (GIC) ; et Mme Céline Berthon, directrice générale de la sécurité intérieure (DGSI).

En raison du huis clos, la teneur des propos tenus au cours de cette réunion ne donne pas lieu à une retranscription écrite, ni à un enregistrement accessible depuis le portail vidéo de l’Assemblée nationale.

13. Table ronde sur le chiffrement réunissant des entreprises et des experts de la cryptographie, mercredi 9 juillet 2025 à 15 heures

Lors de sa deuxième réunion du mercredi 9 juillet 2025, la commission spéciale a auditionné sous la forme d’une table ronde, ouverte à la presse, MM. Thomas Baignères et Matthieu Finiasz, docteurs en cryptographie, co-fondateurs de la société Olvid et M. Benjamin Beurdouche, chercheur en ingénierie de sécurité et de confidentialité chez Mozilla.

M. le président Philippe Latombe. Nos auditions sur le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité concernent aujourd’hui la question du chiffrement.

Cette audition est entièrement consacrée à l’examen de l’article 16 bis du projet de loi, de ses implications concrètes et de son insertion dans le corpus législatif. La commission spéciale n’avait pas encore abordé ce sujet lors de ses auditions.

Si la question du chiffrement est importante, il n’était pas évident qu’elle trouve sa place dans le débat sur ce projet de loi au regard des dispositions de l’article 45 de la Constitution et du contrôle qu’en effectue le Conseil constitutionnel. En tout état de cause, cet article est désormais dans la navette et il nous revient de l’examiner avec toute l’attention qu’il mérite.

M. Benjamin Beurdouche, chercheur en ingénierie de sécurité et de confidentialité chez Mozilla. Je remercie la commission pour son invitation à discuter d’un sujet aussi complexe et important que celui de la résilience de la nation et en particulier de l’impact de la cryptographie dans cet écosystème.

Je suis chercheur en cryptographie chez Mozilla, titulaire d’un doctorat de cryptographie et méthodes formelles de l’École normale supérieure (ENS) et spécialiste de la conception, de l’analyse et de l’implémentation des protocoles cryptographiques.

Je suis l’un des co-auteurs de TLS (Transport layer security), principal protocole utilisé pour sécuriser internet et le web, et de l’un des nouveaux protocoles qui vont être utilisés pour protéger les communications audio-vidéo et pour la téléphonie mobile.

Je vais centrer mon propos sur les aspects relatifs à la cryptographie, mais suis à votre disposition pour échanger sur les questions plus larges de cybersécurité.

La menace qui pèse sur nos sociétés dans le monde numérique est multiforme. La connectivité et la numérisation permettent de grands progrès technologiques et sociétaux, mais rapprochent aussi chaque jour la menace des attaquants au plus proche de nos infrastructures critiques et des populations française et européenne. Il faudra donc être de plus en plus vigilant.

Dans ce contexte, la transposition des directives REC (Résilience des entités critiques), NIS 2 (Network and Information Security) et la réglementation Dora (Digital Operational Resilience Act) sont extrêmement importantes. Il est nécessaire que la loi prévoie un cadre minimal rigoureux pour l’ensemble des acteurs, mais définisse aussi une ligne directrice permettant aux acteurs les plus proactifs de mener l’effort efficacement sans se trouver confrontés à des incertitudes juridiques. De nombreux efforts ont déjà été effectués et sont en cours pour protéger les utilisateurs des services numériques des entreprises de la BITC (base industrielle et technologique de cybersécurité), dont je considère que Mozilla fait partie. Il faut toutefois que cette démarche soit poursuivie par l’ensemble de l’écosystème économique et pas uniquement par le secteur numérique.

Ces directives visent à rehausser le niveau de sécurité des entités les plus critiques. Les sénateurs ont jugé opportun d’ajouter au titre II un article 16 bis afin de sanctuariser les outils les plus fondamentaux de cette sécurité, c’est-à-dire la cryptographie.

La cryptographie est l’outil principal qui nous permet de créer de la confiance dans l’intégrité, la confidentialité et l’authentification de nos données, peu importe le moyen, qu’elles soient en transit au sein de communications ou stockées sur des systèmes pour emploi futur. Il est extrêmement important de se rendre compte que cette pierre angulaire protège nos transactions financières, les communications du gouvernement, des institutions, des services d’urgence, de la sécurité opérationnelle de nos forces armées, de nos journalistes et est utilisée pour la diplomatie. Elle est donc absolument critique.

Il faut également être conscient que la moindre vulnérabilité dans un système cryptographique est dans une certaine mesure démultipliée par rapport à une faiblesse que l’on introduirait dans un système de sécurité informatique classique, car elle est systémique. La cryptographie étant une pierre angulaire, chaque atteinte qui lui est portée affaiblit le dispositif de sécurité de manière très systématique. Il est donc extrêmement important de veiller à prévenir les fragilités susceptibles d’intervenir silencieusement comme dans n’importe quel système d’information et d’être utilisées contre des journalistes, des opposants politiques, des forces de l’ordre, voire dans des situations plus courantes de violences conjugales ou domestiques.

D’un point de vue technique, je pense que l’article 16 bis est une bonne chose puisqu’il renforce la sécurité. Nous pourrions toutefois discuter la terminologie utilisée, notamment l’emploi du mot « chiffrement » en lieu et place du terme « cryptographie ». En effet, le chiffrement renvoie uniquement à la confidentialité, tandis que la cryptographie concerne également l’intégrité et l’authentification.

J’ai noté par ailleurs au chapitre IV, titre II, article 38 une révision des articles 30 et 35 du titre III de la loi pour la confiance dans l’économie numérique (LCEN) sur l’importation et l’exportation des moyens cryptologiques, qui a été introduite par le Sénat. Cela va dans le bon sens, mais doit sans doute être encore discuté.

Je souhaiterais clarifier un point qui ne me semble pas toujours suffisamment visible dans la position des chercheurs notamment. Nous n’avons pas de position idéologique sur le chiffrement, seulement une vision technique. Je comprends tout à fait les problématiques de sécurité défense, qui me sont assez familières, et les besoins opérationnels exprimés auparavant. Toutefois, je ne pense pas qu’il y ait de problématique particulière, si ce n’est la capacité d’accéder aux outils existants. Nous disposons en effet déjà d’outils ciblés qui nous permettent par exemple de faire du renseignement, des techniques d’enquête spéciales et tout ce dont nous avons besoin.

En revanche, il existe peut-être un problème de réorganisation des moyens de l’État pour définir qui y a accès, pour quels besoins, etc. Sans doute vaudrait-il mieux, au lieu de systématiser l’affaiblissement du chiffrement, aller vers l’emploi de ces outils ciblés en replaçant les moyens situés par exemple au ministère des armées vers de l’interministériel, ce qui permettrait au ministère de l’intérieur d’avoir également accès à ce type d’outils dans le cadre de sa lutte contre la criminalité du haut du spectre. On pourrait ainsi imaginer une discussion entre le président de la République chef des armées et le premier ministre sur la désignation de la priorité stratégique à donner à chaque typologie de cible et les moyens à y consacrer, sans affecter la pierre angulaire que constitue le chiffrement. Selon moi, moins on touche au chiffrement, mieux on se porte.

En conclusion, je suis favorable à l’article 16 bis. Une cryptographie solide est bien évidemment nécessaire, mais reste insuffisante. Il convient d’envisager également l’ensemble des problématiques de sécurité des systèmes d’information qui s’y rattachent, dont NIS 2, Dora et REC essaient de faire monter le niveau.

M. Thomas Baignères, cofondateur de la société Olvid. Matthieu Finiasz et moi représentons la société Olvid, qui développe la messagerie éponyme. Nous en sommes respectivement CTO (Chief Technology Officer) et CEO (Chief Executive Officer). Nous faisions partie de l’équipe qui a développé le projet et sommes tous deux docteurs en cryptographie, la science du secret.

Notre objectif avec Olvid était de permettre à tous d’avoir accès à un moyen de communication sur internet. Nous sommes évidemment très directement touchés par le projet de loi et en particulier par l’article 16 bis. Nous souhaitons avant tout partager ici notre avis d’experts en cryptographie. Il ne s’agit pas simplement de défendre les intérêts de notre société. Le sujet est bien trop important pour se contenter de défendre son pré carré.

Sur le fond, l’article 16 bis nous semble, tel que nous le comprenons, très positif : c’est une excellente chose que d’écrire noir sur blanc que la France refuse de se voir imposer des backdoors dans des systèmes de chiffrement et d’affirmer que la cybersécurité en France ne sera pas intrinsèquement plus faible que celle d’autres pays. On peut effectuer un parallèle avec le RGPD (règlement général sur la protection des données), qui avait permis aux utilisateurs européens de voir leurs données mieux protégées, faisant de l’Europe une exception par rapport au reste du monde. Il serait dommage qu’une directive européenne imposant un affaiblissement du chiffrement vienne à nouveau faire de l’Europe une exception, mais dans l’autre sens.

Nous sommes, chez Olvid, favorables à l’idée défendue par l’article 16 bis. Toutefois, cela ne nous empêche pas d’être à l’écoute de l’ensemble des parties prenantes et en particulier des forces de l’ordre. Notre objectif est aussi de comprendre leurs problématiques. Leur travail est évidemment fondamental et il est de notre devoir de prendre en compte leur point de vue dans notre réflexion. Notre conviction est que seul un dialogue dépassionné, scientifique et précis permettra d’apporter une solution mesurée à ces problématiques de fond. C’est la raison pour laquelle nous nous tenons à votre disposition, ainsi qu’à celle de toutes les parties prenantes, pour répondre de façon aussi transparente que possible à l’ensemble des questions soulevées par ce sujet si sensible.

M. Éric Bothorel, rapporteur général. Vous succédez à d’autres organisations qui n’ont pas tenu exactement le même discours que vous sur l’article 16 bis, dont je pense qu’il n’est pas forcément écrit comme il devrait l’être et qu’il peut être compromettant pour l’avenir. Nous aurons l’occasion d’y revenir.

Concernant les recommandations d’usage de la messagerie Olvid, savez-vous si la circulaire du 22 novembre 2023 est respectée ? Pensez-vous qu’il faille l’étendre à d’autres organismes publics ? Vous aviez alors bénéficié d’une belle exposition grâce à l’exécutif. Quels sont selon vous les obstacles au développement de messageries instantanées chiffrées dites souveraines ? Comment réduire la dépendance aux applications les plus connues du grand public et, de manière plus générale, aux grands éditeurs de logiciels américains ?

A-t-on vraiment d’autres choix, lorsque les plateformes refusent de coopérer avec les autorités françaises, que d’imaginer des dispositifs venant compromettre le chiffrement ? Cet enjeu, majeur, est au cœur de nos débats. Force est de constater que certains acteurs ne veulent pas coopérer. Or cette coopération semble indispensable pour recueillir des informations et pouvoir mener des actions allant parfois jusqu’à l’interpellation. Comment procéder lorsque les plateformes refusent de coopérer ?

M. Matthieu Finiasz, cofondateur de la société Olvid. Intégrer dans la loi des règles imposant une backdoor pour permettre de déchiffrer des communications ne changera pas forcément grand-chose, car si les plateformes refusent de coopérer, elles ne le feront pas davantage pour la backdoor.

Cela soulève un premier problème de fond : comment s’assurer que les plateformes partagent avec les autorités, c’est-à-dire au moins avec la police et la gendarmerie, les données auxquelles elles ont déjà accès ? Il s’agit d’un problème de coopération. Une société qui propose une messagerie instantanée va-t-elle par exemple donner accès à tous ses logs, à toutes les données qu’elle a collectées grâce aux différents moyens à sa disposition dans cette opération ? Apparemment, certaines messageries coopèrent très bien, d’autres pas du tout. L’arrestation de Pavel Dourov était, me semble-t-il, liée à cela.

Un second problème, très différent, se pose ensuite : veut-on obliger les plateformes à fournir plus que les données auxquelles elles ont accès pour créer leur service ? Cela va à l’encontre du RGPD et de tous les dispositifs visant, en Europe, à protéger la vie privée. Cette collecte doit-elle par ailleurs être systématique pour tout le monde ou ciblée sur certains individus ? Les forces de l’ordre souhaitent évidemment qu’elle soit ciblée. La question est de savoir s’il est techniquement possible d’effectuer une collecte de données ciblée, sur demande, sans que cela n’implique une collecte généralisée des informations de l’ensemble des usagers. Mon point de vue est qu’une collecte ciblée n’est pas forcément possible techniquement. Cela signifie en effet que le système doit affaiblir le chiffrement, la cryptographie et la sécurité en général pour tout le monde, afin de pouvoir de temps en temps piocher dans un nouveau pool de données que l’on aura forcé des opérateurs à collecter afin d’en extraire quelques informations. Cela conduit à affecter le niveau de sécurité de l’ensemble d’une solution.

Lorsque nous avons conçu la messagerie, l’un des objectifs de base d’Olvid était, par opposition à toutes les autres messageries, de rendre impossible toute attaque de masse sur notre solution. La cryptographie d’Olvid a été conçue pour qu’il n’y ait jamais de tiers de confiance obligatoire pour tous les utilisateurs. Cela signifie que si l’on veut récupérer des données d’un utilisateur, il faut s’attaquer spécifiquement à lui, à son téléphone, à son ordinateur. Il n’est pas possible de les collecter en un seul point commun à tous les utilisateurs, comme un serveur de distribution de messages ou autres dispositifs de ce type. Cela fait partie des fondements qui ont présidé à la création d’Olvid. Toute tentative de mise en place de mesures permettant de collecter les données de tout le monde en un point unique irait à l’encontre de cette démarche et viendrait abaisser le niveau de sécurité.

M. Thomas Baignères. Ces mesures imposeraient nécessairement abaisser le niveau de sécurité car on ne sait pas a priori, au moment où l’on conçoit la solution, quelles personnes on pourrait être amené à cibler. Cela suppose donc que les moyens à déployer pour cibler une personne six mois après la conception du système soient intégrés d’emblée pour l’intégralité des utilisateurs. Il faut nécessairement mettre en place un dispositif qui touche tout le monde afin de pouvoir l’activer a posteriori. Il ne sera pas possible selon nous de réaliser un ciblage réellement fin ; le dispositif concernera nécessairement tout le monde, dès le départ, avec un abaissement général du niveau de sécurité.

La directive de Mme Borne nous a effectivement été très bénéfique. Certaines sociétés en France font l’effort de développer des solutions pas simplement prétendument sûres, mais qui démontrent leur niveau de sécurité, par du code open source et de la documentation technique expliquant le code et permettant aux personnes chargées d’en effectuer l’audit de le faire dans les meilleures conditions. Il est désormais possible, grâce à l’Anssi (Agence nationale de la sécurité des systèmes d’information), de passer en France des CSPN (certifications de sécurité de premier niveau). Nous ne sommes pas les seuls à l’avoir fait. Il nous semblerait naturel de mettre en avant toutes les sociétés qui font cet effort et engagent des fonds pour aller au bout du processus et démontrer leur qualité.

Mme Anne Le Hénanff, rapporteure. Pouvez-vous préciser en quoi le fait d’intégrer un système donnant a priori la capacité au service de cibler une personne six mois plus tard le fragilise ?

Quel est par ailleurs le type de données demandé par les services de l’État et dans quelle mesure y répondez-vous ? Certains services de l’État indiquent que des entreprises refusent de transmettre des données auxquelles elles ont pourtant accès tout en acceptant de les fournir aux services américains.

Dans quelle mesure la technique dite de l’utilisateur fantôme, qui permet à un utilisateur invisible de participer à une conversation via une messagerie cryptée, ne constitue-t-elle selon vous ni une vulnérabilité informatique ni un affaiblissement du chiffrement ?

Je souhaiterais enfin vous entendre sur l’enjeu spécifique de la cryptographie post-quantique. On entend dire en effet que le système quantique fera disparaître toute protection de messagerie cryptée. Est-ce un mythe ou une réalité ?

M. Benjamin Beurdouche. La technique de l’utilisateur fantôme est un affaiblissement d’un protocole cryptographique qui sous-entend que l’on ajoute dans les destinataires légitimes d’une communication sécurisée un tiers invisible par les utilisateurs. Cela n’est possible que dans certains cas. Cette technique affaiblit le but de sécurité qui veut qu’une communication chiffrée ait pour destination une cible définie, constituée d’individus bien particuliers. Le recours à l’utilisateur fantôme étend cette cible de manière anormale et rompt les propriétés de sécurité du protocole et du système. Cette rupture des promesses de sécurité peut s’effectuer au niveau du protocole cryptographique ou de l’application, qui peut utiliser le protocole correctement mais être activement malicieuse et contourner le chiffrement. De manière générale, cela n’est possible que dans le cas où le protocole cryptographique ne construit pas la propriété de consensus sur les participants au groupe.

Dans les protocoles modernes, notamment ceux qui vont être déployés dans les téléphones mobiles Android IRC (Internet Relay Chat) et iOS (iPhone Operating System) pour la prochaine génération de messageries chiffrées, le protocole ne permet pas d’ajouter des participants invisibles. L’application peut toujours tricher, mais le protocole cryptographique en lui-même prend des dispositions en ce sens.

Tout est possible, mais cela revient à réduire la sécurité du système et à donner potentiellement un accès aux données, puisqu’il faut ajouter la personne fantôme : qui l’ajoute ? Comment procéder de manière ciblée ? Autant de questions auxquelles on ne peut pas répondre, puisque lorsque l’on distribue un logiciel de manière générale à toute la population, soit on affaiblit le système d’emblée, avec une réserve qui fait que toute personne en ayant connaissance peut utiliser cette faiblesse, soit on procède de manière active, ciblée, avec des outils offensifs – ce qui est à mon avis beaucoup plus sûr. Mais autant, en réalité, ne pas le faire et attaquer directement le terminal de la personne. Une démarche offensive ciblée est préférable à une vulnérabilisation de l’ensemble des utilisateurs.

Il existe, en matière de cryptographie post-quantique, une problématique de transition post ordinateurs quantiques. Depuis plusieurs années, nous déployons, lors de la conception des logiciels de sécurité des protocoles de communication, notamment pour internet, des protocoles dits hybrides, qui protègent contre les ordinateurs classiques et quantiques. Cela existe depuis très longtemps pour les sites de très haute valeur ajoutée comme internet, avec le protocole HTTPS (Hypertext Transfer Protocol Secure ou protocole de transfert hypertexte sécurisé), les transactions financières, etc. Si vous utilisez par exemple Firefox, il faut savoir que 20 % environ de vos connexions se déroulent dans le cadre d’un protocole protégeant contre l’apparition d’un ordinateur quantique.

L’idée est que les attaquants collectent les messages chiffrés transitant sur internet en essayant par exemple de cibler une ambassade non protégée contre le post-quantique et dont ils savent que le diplomate va, à une heure donnée, passer un appel. Quand un ordinateur quantique suffisamment fort pour casser la cryptographie apparaîtra, il sera capable de déchiffrer les communications collectées jusqu’alors. Si nous sommes actuellement incapables d’estimer quand cet ordinateur apparaîtra, nous sommes en revanche scientifiquement convaincus qu’il arrivera. Nous prenons donc depuis plusieurs années déjà des dispositions visant à protéger tous nos protocoles de première classe en hybridant le système, c’est-à-dire en incluant à la fois de la cryptographie classique et de la cryptographie résistant à un ordinateur quantique, afin de sécuriser rapidement le maximum de cas d’usage.

Cela s’avère toutefois très compliqué, notamment dans les déploiements de matériel qui prennent souvent beaucoup de temps, parfois des décennies. Á titre d’exemple, le dernier gros déploiement cryptographique effectué sur internet remonte à 2018, lors de la conception du protocole précédemment évoqué. Or en 2025, il apparaît que 70 % seulement des personnes cibles utilisent la dernière version du protocole. Cela signifie donc que 30 % des gens utilisent des protocoles vieux de parfois vingt ou trente ans. Dans ce contexte, il est très important que les règlementations NIS 2 ou Dora insistent sur l’effort quantique qu’il convient d’effectuer. Cela s’annonce critique. Il est donc essentiel de commencer le plus tôt possible.

M. Matthieu Finiasz. Il est important de savoir qu’il existe déjà des algorithmes cryptographiques post-quantiques capables de résister aux ordinateurs quantiques ; encore faut-il les intégrer dans les différents logiciels. Olvid dispose d’une certification Anssi et il est question que l’Agence impose à tous les produits certifiés d’avoir une résistance post-quantique, donc du chiffrement hybride, afin de conserver leur certification. Nous allons progressivement travailler sur ce point. Nous n’avons pas intégré cet élément dès l’origine, car lorsque nous avons conçu la cryptographie d’Olvid, les protocoles en question n’étaient pas complètement standardisés. Des standards existent dorénavant, sur lesquels nous pouvons nous appuyer, considérant que, tout le monde ayant les mêmes standards, le système devrait résister.

Cela ne signifie pas que les ordinateurs quantiques vont arriver demain – bien malin qui pourrait dire quand apparaîtra un ordinateur quantique capable de casser réellement la cryptographie. Nous savons en tout cas nous en protéger en cas de besoin. Il ne restera qu’à effectuer le déploiement et la mise à jour des protocoles, afin d’effectuer la bascule d’un univers cryptographique classique sujet à des attaques d’ordinateurs quantiques vers une cryptographie hybride post-quantique.

Sur des systèmes comme TLS pour du chiffrement de sessions web, c’est assez simple parce qu’il n’y a pas forcément beaucoup de persistance dans le temps. Il s’agit de protocoles qui ont été conçus pour prévoir des évolutions au cours du temps. Dans les cas de systèmes hardware, rien n’est parfois prévu et il faut changer les puces. Dans du logiciel, cela va souvent plus vite.

Olvid a été conçu pour ne jamais avoir un point de faiblesse face à une attaque de masse de tous les utilisateurs en un seul coup. L’utilisateur fantôme, c’est exactement cela. En gros, c’est un moyen applicable à n’importe quel utilisateur, qui va permettre de récupérer le contenu de ses communications parce que ses messages vont partir vers un utilisateur fantôme. Donc dans les cas où on peut mettre en place cet utilisateur fantôme, on peut générer une attaque de masse. Le problème, c’est que ce qui déclenche cette attaque de masse, ce n’est pas de la cryptographie.

Quand on fait un protocole cryptographique entre plusieurs utilisateurs, on a une preuve scientifique que si les conditions d’application du modèle de sécurité sont respectées, la sécurité va tenir. C’est une preuve scientifique. Dans un système avec utilisateur fantôme, on n’a plus de preuve scientifique et il faut alors se demander comment protéger l’accès avec le déclenchement de l’ajout. On sort complètement du cadre de la cryptographie. Il y a quelque part dans un bureau quelqu’un qui a un bouton lui permettant d’activer l’utilisateur fantôme pour telle personne. Ce n’est plus de la cryptographie, ce n’est plus de la science et il est difficile de mesurer l’impact que cela peut avoir. Ce qui est sûr, c’est que cela a un impact négatif sur la sécurité. Dans le cas où l’application de l’utilisateur fantôme n’est pas sélective, le problème est le même : comment contrôler l’accès au pool de données ? Ce n’est plus de la cryptographie, c’est de la sécurité standard, physique, pour empêcher l’accès aux disques durs sur lesquels se trouvent les données. C’est précisément ce que nous voulons absolument éviter. La sécurité de la cryptographie de notre système est scientifiquement prouvée et nous ne voulons pas retomber dans un dispositif à l’ancienne avec des informations cachées dans un cahier placé au fond d’un coffre-fort. Ce serait dommage de revenir à cela au XXIe siècle.

M. le président Philippe Latombe. Récemment, le gouvernement fédéral américain a demandé aux fonctionnaires fédéraux de ne plus utiliser une certaine application de messagerie chiffrée au bénéfice d’une autre, jugée plus sûre. Ces questions de chiffrement, de déchiffrement et d’affaiblissement du chiffrement traversent-elles selon vous de la même façon toutes les sociétés démocratiques ? Si c’est le cas, les réponses sont-elles les mêmes ?

Les sénateurs, lors de l’examen du projet de loi sur la cybersécurité, ont ajouté un article 16 bis, en réaction à un amendement adopté lors des débats sur la loi contre le narcotrafic qui visait à affaiblir le chiffrement. Avez-vous été associés, en tant que spécialistes de la cryptographie, à la réflexion globale menée à l’époque par le ministère de l’intérieur ? Le ministre de l’intérieur nous avait expliqué, lors des débats, que l’utilisateur fantôme ne représentait pas un affaiblissement du chiffrement.

M. Thomas Baignères. La question se pose clairement de manière globale. Elle s’est posée aux États-Unis et une première réponse a été apportée. Selon moi, celle-ci ne sera pas la même partout. Nous verrons la réponse qui sera apportée en France, mais elle sera potentiellement différente de celle des États-Unis. Le RGPD est un dispositif profondément européen. L’état d’esprit ici est différent de celui de pays plus lointains.

Non, nous n’avons pas été consultés préalablement aux réflexions scientifiques, notamment sur l’utilisateur fantôme. Nous avons participé au débat, de manière un peu précipitée, alors que c’était quasiment déjà trop tard, si j’ose dire. Nous avons été pris au dépourvu.

Je reviens sur la question de l’utilisateur fantôme. Certes, nous sommes passionnés par les mathématiques derrière le chiffrement ; elles sont en effet suffisamment belles pour qu’on s’y intéresse. Cela étant, je comprends que la plupart des gens s’intéressent, non pas au chiffrement en lui-même, mais aux garanties de confidentialité, d’authenticité et d’intégrité qu’il apporte. Or avec une solution comme l’utilisateur fantôme, ces garanties ne sont plus nécessairement présentes. Certes, mathématiquement, elle ne touche pas au chiffrement et notamment pas à l’algorithme AES (Advanced Encryption Standard), qui est utilisé majoritairement, mais, en envoyant des messages en clair à une autre source, le chiffrement lui-même est contourné. La question est donc de savoir, non pas si on touche au chiffrement, mais si on continue à garantir la confidentialité, l’authenticité et l’intégrité des communications. Le chiffrement n’est pas une fin en soi : c’est un moyen d’apporter ces garanties. De notre point de vue, une solution telle que l’utilisateur fantôme affaiblit nécessairement les communications de tous ceux qui utilisent des systèmes comme le nôtre.

M. Benjamin Beurdouche. D’un point de vue scientifique, quand on conçoit un système de sécurité informatique, on part des propriétés de sécurité de la session de télécommunication, par exemple la confidentialité, l’authentification et l’intégrité. Si un attaquant est présent dans une session, par exemple en raison d’un malware installé sur le téléphone, on va jouer son jeu au niveau des primitifs cryptographiques, au niveau des protocoles cryptographiques, au niveau des applicatifs, puis vers les infrastructures pour arriver jusqu’à internet. La cryptographie n’est que le moyen d’obtenir les garanties de confiance attendue du système, notamment ces trois propriétés.

Tout le monde doit faire face aux mêmes problématiques. Les recommandations de changement d’outils de sécurité pour les communications viennent du fait que les applicatifs sont maîtrisés par différentes parties. Tout le monde est d’accord pour dire que la cryptographie doit être solide, mais l’effort de sécurité doit être fait pour chaque couche. Olvid est maîtrisé par une entreprise de confiance et son système peut donc être utilisé pour des informations de plus haut niveau de sensibilité. Signal a un très bon protocole, mais l’application est opérée aux États-Unis. Un système open source permet de vérifier qu’il se comporte comme il est censé se comporter. Même si le code est fait pas un ensemble hétérogène de personnes de différentes nationalités, il est possible de vérifier, grâce à l’ouverture du code, les propriétés de sécurité de ce dernier. Dans un système de messagerie, on ne fait pas confiance à l’infrastructure et on fait donc en sorte qu’elle voie le moins de choses possible. Une messagerie souveraine nécessite donc des infrastructures souveraines aux niveaux français et européen.

Personnellement, je ne connais aucun collègue qui aurait été auditionné au préalable sur l’article 8 ter, sur les backdoors, sur les propriétés de sécurité ou sur les objectifs des forces de sécurité intérieure et du ministère de l’intérieur. Je plaide pour une discussion ouverte avec le ministère de l’intérieur et les services de renseignement au niveau purement technique. Je pense que nous sommes tous à disposition.

Mme Anne Le Hénanff, rapporteure. Considérez-vous, déontologiquement, qu’une demande des services de sécurité intérieure, encadrée par la justice et ciblée, entraînerait nécessairement une vulnérabilité ? Les messageries sont utilisées par des trafiquants notamment. Est-il dès lors possible de hiérarchiser ? Face à l’évolution de la menace, envisagez-vous d’évoluer dans votre approche de la cryptographie ?

M. Thomas Baignères. La menace n’est pas dans la question qui nous serait posée, car nous avons pleine confiance dans notre système démocratique. Nous sommes à la disposition des forces de l’ordre pour discuter de manière générale des propriétés du chiffrement ou sur des cas particuliers. Notre inquiétude porte sur notre capacité à développer un système qui conserve les mêmes propriétés de sécurité que nous sommes aujourd’hui en mesure d’offrir tout en leur permettant d’avoir accès à certaines données d’un système de messagerie comportant l’échange de message avec des métadonnées. Nous sommes aujourd’hui dans l’incapacité scientifique d’ouvrir de manière hypersélective le contenu des communications sans compromettre leur sécurité. Ce n’est pas une position politique ou un parti pris : c’est une question scientifique. Celle-ci n’est d’ailleurs pas nouvelle puisque les cryptologues s’y intéressaient avant qu’elle devienne un sujet sociétal important. Personne n’a apporté de solution à ce problème dans une conférence publique.

Je vais essayer d’expliquer de façon compréhensible pourquoi nous considérons qu’un accès sélectif à certaines conversations affaiblirait le chiffrement de manière massive. Il est déjà relativement complexe de développer un système sans faille. Il peut paraître simple d’envoyer un message d’un point A à un point B. Tel n’est pas le cas, et nous avons beaucoup souffert pour y parvenir. La contrainte supplémentaire que constituerait la possibilité d’ouvrir un message spécifique à un instant T dans le futur rend impossible le maintien du même niveau de sécurité. Elle affaiblirait donc nécessairement la sécurité de l’application.

M. Benjamin Beurdouche. Cette possibilité d’ouvrir un message implique de casser une propriété de sécurité bien particulière appelée forward secrecy (confidentialité persistante). Les protocoles modernes protègent les anciens messages. Au fur et à mesure que l’on consomme le déchiffrement des messages reçus, les anciens messages sont protégés et ne sont plus déchiffrables. L’ouverture d’un message de manière sélective casserait la propriété de sécurité empêchant l’ouverture des messages antérieurs. Nous nous trouvons donc dans une impasse technique de base. C’est donc impossible.

En revanche, tout le monde est d’accord pour dire que l’accès légitime, mandaté par la justice, à des téléphones ou à des systèmes d’information pour lutter contre le crime organisé ou favoriser le renseignement, doit être effectif dans une démocratie. Les moyens pour le faire, qui permettent de contourner le chiffrement ou d’attaquer directement les terminaux, existent déjà et sont réglementés par la loi. Ils ne sont peut-être pas assez nombreux ni assez disponibles. Plutôt que de chercher à toucher à la sécurité globale du chiffrement, qui affaiblirait tout le monde, sans doute est-il donc préférable de favoriser l’utilisation des outils déjà existants, dans lesquels le ministère de l’intérieur a peut-être moins investi que le ministère des armées.

M. le président Philippe Latombe. Une messagerie soumise à un dispositif équivalent à celui que prévoyait l’article 8 ter verrait-elle la confiance des utilisateurs et sa capacité à se développer entamées ? Signal avait dit que, en cas d’adoption définitive de l’article, elle ne serait plus disponible en France. Quel risque représente un tel dispositif pour une entreprise comme la vôtre ?

M. Matthieu Finiasz. Si Olvid annonçait la mise en place d’un système permettant d’ouvrir les messages sur demande de la justice, nous perdrions des utilisateurs. Les forces de l’ordre ont besoin à la fois de garantir la protection de leurs communications et de pouvoir accéder à des informations sur des actions criminelles. C’est donc compliqué pour elles, car les outils qu’elles utilisent peuvent être aussi utilisés par des personnes malveillantes. Je pense que les utilisateurs des ministères, auxquels la directive Borne a imposé l’utilisation d’Olvid, s’arrêteraient d’utiliser notre système du jour au lendemain. Nous perdrions également nos certifications Anssi qui ne se sont accordées qu’à des applications protégées par de la bonne cryptographie. Cela aurait donc pour nous un énorme impact, d’autant plus que notre but n’est pas d’aller chercher des marchés hors de France. Notre application peut être utilisée partout dans le monde, mais nous avons créé cette société pour pouvoir protéger les communications des administrations et des entreprises françaises, car il y avait un manque en Europe et en France d’une messagerie avec notre modèle de sécurité.

M. Thomas Baignères. Nous aurions dû mettre la clé cryptographique sous la porte. Nous perdrions en effet notre avantage – une garantie cryptographique mathématique de sécurité – par rapport à celui d’autres solutions, comme Signal ou d’autres, qui repose davantage sur leur infrastructure. Nous ne nous contentons en effet pas de chiffrement de bout en bout puisque nous y ajoutons l’authentification de bout en bout. Notre sécurité ne dépend pas d’un serveur qui distribue des clés. Notre modèle de sécurité a mis la barre plus haut par rapport à de nombreuses autres messageries grand public au niveau mondial. Une solution backdoor intégrée à Olvid nous ferait perdre tout avantage concurrentiel.

Je n’aime pas l’approche qui consiste à menacer de quitter la France. D’ailleurs, si d’autres pays décidaient de voter le même genre de loi, la messagerie ne serait plus utilisée par personne. Nous préférons discuter et expliquer les choses, comme nous le faisons aujourd’hui et continuerons à le faire.

M. Benjamin Beurdouche. Ce ne seraient pas seulement les utilisateurs de l’administration qui quitteraient l’application, mais aussi ceux de la criminalité organisée. Il faut prendre en compte l’ensemble de l’écosystème. Même si la criminalité organisée – ou les services de renseignement étrangers – utilise ses propres clients, comme EncroChat, elle a recours également aux messageries grand public.

Mme Anne Le Hénanff, rapporteure. Nous avons la possibilité de supprimer l’article 16 bis du projet de loi. Êtes-vous prêts à discuter pour trouver des solutions ou demandez-vous impérativement de le maintenir ?

M. Matthieu Finiasz. Cela fait des années que nous vivons sans une telle disposition et nous arrivons à nous en sortir, mais le maintenir serait une très bonne chose. Il s’agirait, non pas de gêner les forces de l’ordre, mais d’exprimer une position forte de l’Assemblée nationale en faveur de la protection des données personnelles de la population. Nous pourrons survivre sans, nous n’en avons pas un besoin impérieux, mais il nous rassurerait contre le retour éventuel d’un article 8 ter.

M. Benjamin Beurdouche. Je ne suis pas très âgé, mais j’ai déjà vu revenir ce type de discussion plusieurs fois et, à chaque fois, nous devons refaire un effort scientifique d’explication. L’avis de la communauté scientifique n’a pas bougé d’un iota sur ce point depuis des décennies.

Personnellement, je préférerais que cet article soit maintenu, car il apporte un confort de sécurité, sans changer la vie des services de renseignement. Il n’empêche pas non plus la discussion et nous sommes totalement disponibles. Si, un jour, une proposition scientifique validée par la communauté permettait d’ouvrir les messages sans compromettre leur sécurité, il serait alors toujours possible de supprimer cette disposition.

M. le président Philippe Latombe. Je vous remercie.

14. Deuxième audition de M. Vincent Strubel, directeur général de l’ANSSI, mardi 15 juillet 2025 à 17 heures

Lors de sa réunion du mardi 15 juillet, la commission spéciale a procédé à une nouvelle audition, ouverte à la presse, de M. Vincent Strubel, directeur général de l’Agence nationale de sécurité des systèmes d’information (ANSSI).

M. le président Philippe Latombe. L’audition – la dernière du cycle – des représentants de l’Agence nationale de la sécurité des systèmes d’information (Anssi), en particulier de son directeur général, vise à répondre aux questions qu’ont soulevées celles qui l’ont précédée.

M. Éric Bothorel, rapporteur général. Intercommunalités de France défend une trajectoire d’indépendance numérique européenne (TIE Break), pour que l’Anssi évalue les outils des collectivités et fasse des préconisations. Qu’en pensez-vous ?

La Martinique a subi une cyberattaque mais les techniciens n’ont pas pu rester sur place jusqu’à la fin du sinistre. Pourriez-vous rassurer nos collègues d’outre-mer ?

L’Anssi pourrait délivrer un label de conformité à la directive NIS 2. Y êtes-vous favorable ?

La mise à jour de votre référentiel gagnerait-elle à se faire en concertation avec les organisations professionnelles de la filière cyber française ? Faut-il intégrer ce référentiel dans la loi ? Plusieurs acteurs s’inquiètent d’être renvoyés à un trop grand nombre de décrets. Le législateur doit-il détailler la transposition de NIS 2 ?

La nouvelle revue nationale stratégique (RNS) a été publiée hier. Son quatrième objectif est d’atteindre une résilience cyber de premier rang. Quelles sont les implications pour l’Anssi ? Le projet de loi va-t-il assez loin en la matière ?

La RNS prévoit « des financements d’amorçage au profit des secteurs et des acteurs les plus vulnérables » ainsi que le renforcement des centres de réponse aux incidents de sécurité informatique (CSIRT). Vos orientations budgétaires en tiennent-elles compte ?

M. Vincent Strubel, directeur général de l’Agence nationale de la sécurité des systèmes d’information. Le chiffrement est un problème complexe, que le projet de loi ne suffira pas à résoudre. Mon point de vue n’est pas politique – vous entendrez par ailleurs celui de la ministre déléguée Clara Chappaz. Comme l’a dit mon chef, le secrétaire général de la défense et de la sécurité nationale (SGDSN), il faut du temps pour expertiser les différentes options, dont aucune n’est pleinement satisfaisante. Il appartiendra ensuite au législateur de choisir.

En qualité de représentant de l’Anssi, je peux difficilement me prononcer contre l’article 16 bis. Toutefois, ce dernier visait à répondre à l’article 8 ter de la proposition de loi « narcotrafic », supprimé au cours de la navette. Il n’est peut-être pas nécessaire de le conserver.

La RNS prévoit de maintenir une cyber-résilience de premier rang. En matière de cybersécurité, grâce aux moyens dont dispose l’Anssi et à son organisation adéquate, la France n’a pas à rougir de son positionnement. Toutefois, nous sommes à un moment de bascule ; il faut redoubler d’efforts pour conserver notre niveau. La transposition et la bonne application de NIS 2 constituent un chantier majeur.

Ce n’est pas le seul. Nous devons également travailler sur la formation pour créer le vivier de talents qui nous fait défaut. Il faut améliorer le Centre de coordination des crises cyber (C4) pour actionner tous les leviers possibles en cas d’attaque du haut du spectre – de niveau étatique. Dans le domaine international, nous devons continuer à développer des alliances car cela favorise la stabilité. Nous devons enfin redoubler d’efforts dans le domaine de l’autonomie stratégique et de la maîtrise des technologies.

Évidemment, notre principal défi sera de développer la cybersécurité à très grande échelle, au-delà du cœur régalien et des entreprises les plus stratégiques, déjà bien protégées – même si elles ne peuvent s’endormir sur leurs lauriers. Il est donc normal que la transposition et l’application de NIS 2 figurent en bonne place dans la liste des objectifs stratégiques, pour répondre à une menace de plus en plus massive. Le texte issu du Sénat prévoit d’ailleurs une stratégie nationale en matière de cybersécurité, conformément à la directive. Tout cela, qui forme le cœur de la réponse de l’État, sera précisé dans les prochains mois – il ne m’appartient pas d’en définir le calendrier.

Des financements seront nécessaires. En la matière, il revient au premier ministre de donner les orientations. La revue nationale stratégique exprime le souhait de pérenniser les CSIRT, en suivant plutôt une logique de cofinancement. Ils sont devenus des relais : dans un champ connexe à celui de l’Anssi, ils apportent aux victimes une aide précieuse. Parfois, ils choisissent de s’intégrer aux dispositifs d’accompagnement que les régions déploient en faveur du développement économique, en gardant une liberté d’organisation et de positionnement. Ce sont donc des acteurs importants de l’élargissement que nous appelons tous de nos vœux.

Vous nous interrogez sur l’opportunité de nous concerter avec les acteurs de la filière pour mettre à jour le référentiel de mesures. C’est notre souhait ; d’ailleurs nous agissons en ce sens depuis le début. La première version a été communiquée aux fédérations professionnelles représentant les assujettis et les futurs assujettis à NIS 2 – ceux du domaine privé ainsi que les associations d’élus représentant les collectivités territoriales. Depuis, nous leur avons transmis une nouvelle version qui prend en compte leurs retours. Tout l’écosystème a intérêt à y travailler ensemble, afin que chacun comprenne les mesures : les destinataires comme ceux qui les accompagneront pour les mettre en œuvre.

L’Anssi doit relever un autre défi dans le défi : il faut placer la barre à la juste hauteur. Si le niveau d’exigence est trop élevé par rapport à la maturité des entités concernées, celles-ci, confrontées à des exigences contradictoires et à des obstacles insurmontables, n’amélioreront pas leur cybersécurité. Si nous plaçons la barre trop bas, elles seront contraintes de prendre des mesures qui auront un coût mais pas d’efficacité. Nous y travaillons donc étroitement avec les acteurs de l’écosystème.

De manière générale, dans un domaine aussi mouvant que le numérique, il vaut mieux éviter d’inscrire dans la loi des mesures techniques car cela empêche de les actualiser au rythme de l’évolution générale. S’agissant du référentiel en particulier, cela nous priverait des avantages du dialogue avec les fournisseurs de solutions et avec les assujettis. Or nous aurons besoin de le préciser et de le corriger, grâce aux retours d’expérience du début de l’application de NIS 2 – la copie initiale comportera sûrement des erreurs. Nous serions par ailleurs empêchés de poursuivre l’indispensable travail d’harmonisation avec les autres États membres et avec la Commission européenne. En effet, même si l’application ne sera pas strictement équivalente dans tous les pays – ce n’est pas un règlement –, il conviendra de gommer les difficultés de mise en œuvre transfrontalière. Pour toutes ces raisons, il est nécessaire d’en rester au niveau réglementaire ou infraréglementaire.

Le Sénat a prévu que l’Anssi pourrait approuver un label de confiance attestant la conformité à NIS 2. Il serait délivré aux entités assujetties, qui pourraient par exemple s’en prévaloir auprès des assureurs. L’idée nous intéresse. Des amendements rédactionnels seront peut-être nécessaires pour assurer la sécurité juridique du dispositif. Pour le reste, l’équilibre trouvé au Sénat est le bon : il faut un moyen de garantir la conformité, non une exigence de conformité. Imposer la labellisation à tous serait excessif.

Je précise que les fournisseurs de solutions numériques et les prestataires de services ne sont pas concernés. Des labels spécifiques existent déjà. L’Anssi délivre des qualifications et un label ExpertCyber. Un travail a été engagé pour les faire converger et pour les adapter aux exigences de la directive. J’y crois davantage qu’à la création d’un label supplémentaire dans un système déjà complexe : aucun de ceux qui existent n’est superflu mais il n’est pas besoin d’en ajouter. Avec le groupement d’intérêt public Action contre la cybermalveillance (GIP Acyma), nous travaillons à intégrer le rôle des experts cyber dans le dispositif d’accompagnement à l’application de NIS 2.

Vous avez raison, l’Anssi est intervenue en 2023 pour la collectivité territoriale unique (CTU) de Martinique, qui avait subi une attaque par rançongiciel. Toute paralysie d’une collectivité est dramatique mais c’est particulièrement vrai des collectivités uniques car de nombreuses missions de service public essentielles sont touchées. L’Anssi a donc dépêché une équipe. Nous le faisons rarement : le plus souvent, les experts travaillent mieux en restant à leur poste, où tous les outils sont à leur disposition. Dans ce cas, l’équipe a gagné du temps sur la phase initiale de diagnostic en allant sur place, où elle a pu prendre tous les contacts nécessaires et établir un état des lieux. Ensuite, elle est rentrée dans nos locaux à Paris, non parce qu’elle avait renoncé à assister la victime, mais parce qu’elle y était plus efficace.

Je veille particulièrement à réserver le meilleur traitement possible aux cyberattaques affectant les services publics des territoires d’outre-mer – d’autres ont aussi reçu des équipes dans ce cadre. En effet, les conséquences sont beaucoup plus vite dramatiques en cas d’insularité : on ne peut les modérer en recourant à une substitution de service d’un voisinage proche ou à un plan blanc. Toutefois, le déplacement a pour seul objectif de poser un diagnostic ; nos agents effectuent le travail de remédiation depuis nos locaux, en lien avec les équipes sur place.

Votre première question concernait les technologies des collectivités. Sans me prononcer sur une initiative en particulier, je confirme que nous avons intérêt à travailler avec elles sur les solutions qu’elles déploient. Dans le domaine du numérique en général, à plus forte raison dans celui de la cybersécurité, les difficultés vont croissant. Pour les surmonter, nous avons donc également intérêt à encourager, sans les forcer, les logiques naturelles de mutualisation des efforts. C’est pour cette raison que la transposition de NIS 2 concerne les intercommunalités plutôt que les communes – à l’exception des plus grosses. Certains acteurs ne peuvent entrer dans le périmètre du texte, comme les opérateurs publics de services numériques (OPSN), dont les statuts sont variés. Ils participent néanmoins à la mutualisation. L’Anssi travaille déjà avec eux, elle continuera a fortiori dans le cadre de l’application de NIS 2.

Mme Anne Le Hénanff, rapporteure. Vous avez évoqué les possibles différences de transposition. Elles risquent de poser des difficultés aux entreprises qui possèdent des filiales dans d’autres États membres. Le projet de loi peut-il les résoudre ?

Certaines dispositions devront être précisées par décret, en particulier concernant le référentiel prévu à l’article 14 ; les entreprises, notamment, s’en inquiètent. Sommes-nous allés assez loin dans ce domaine ? Pouvez-vous garantir que les décrets seront pris suffisamment tôt après la promulgation de la loi d’une part, qu’ils seront élaborés en concertation avec toutes les parties prenantes d’autre part ?

D’autres inquiétudes concernent l’indépendance des organismes qui effectueront les contrôles. Le projet de loi doit-il exclure certains acteurs ?

La loi s’appliquera-t-elle aux sous-traitants des principales entités concernées ? Seront-ils en mesure d’en respecter les exigences ?

Après la promulgation de la loi, la question se posera des compétences respectives des CSIRT et du GIP Acyma ainsi que de leur articulation. À ce jour, la réponse n’est pas claire. Le texte mentionne les premiers, dont l’avenir financier est incertain, mais non le second.

M. Vincent Strubel. S’agissant d’abord de la directive REC (directive du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques), nous avons collectivement choisi ce type d’acte normatif, car il nous semblait déraisonnable de procéder à une harmonisation maximale à l’échelle de l’Union européenne. Sa transposition est donc par définition différente d’un État membre à l’autre.

Par ailleurs, concernant l’articulation entre le siège et les filiales, tout n’est pas flou, la directive établissant qu’une entité juridique est soumise au cadre juridique établi par l’État membre dans lequel elle est présente. Il n’y a pas d’ambiguïté sur ce point.

En revanche, je reconnais qu’il y en a une au sujet de la soumission, ou non, aux différents seuils, selon lesquels une société est considérée comme une entité importante ou essentielle. Une certaine souplesse demeure – ce qui est peut-être une bonne chose – quant au regroupement, ou non, des différentes filiales au sein d’un même groupe. Nous poursuivons le dialogue avec les États membres et la Commission européenne sur ce point, afin d’éventuellement apporter des éclaircissements, ce qui pourrait être bénéfique, sans toutefois, j’y insiste, chercher à tout rigidifier.

Il convient en effet de conserver une liberté de choix concernant les différentes entités. Je ne vois pas d’inconvénient à ce qu’un groupe choisisse d’uniformiser son traitement et de déclarer que toutes ses filiales sont assujetties au même statut et aux mêmes règles ou, au contraire, opte pour un traitement différencié, en fonction de l’activité des entités. Imposer une solution unique se ferait nécessairement au détriment des acteurs car, selon les situations, il est plus intelligent d’uniformiser ou de spécialiser.

Cela me conduit à votre question suivante : oui, l’équilibre entre la loi et le décret est le bon. Là aussi, nous aurons des éclaircissements à mesure que la Commission nous en apportera et que nous appliquerons la directive. En effet, comme je l’ai dit, il ne faudra pas moins de trois ans, une fois que le cadre sera posé, pour que nous vérifiions la conformité complète à la directive. C’est pourquoi j’estime qu’il faut conserver cette souplesse entre les dispositions législatives et réglementaires, voire infraréglementaires. Je suis conscient que ne pas avoir un texte législatif unique regroupant l’ensemble des critères, y compris techniques, est source de frustration chez certains acteurs, mais je pense que c’est le bon équilibre.

Je précise à cet égard que l’ajout, par le Sénat, de certaines définitions dans la loi contribue à ce bon équilibre, car il ne s’agissait pas d’éléments particulièrement techniques. Cela étant, je ne crois pas qu’il faille faire de même d’autres aspects, qui ont vocation à figurer dans les décrets.

Quant au fait que ces derniers soient élaborés tôt et de manière concertée, j’y suis naturellement favorable. Les décrets seront, in fine, pris par le premier ministre, aussi n’ai-je pas à me prononcer en son nom, mais la concertation avec tous les acteurs est engagée depuis septembre 2023 concernant le projet de loi et elle a depuis été étendue aux futurs textes réglementaires. Il y a des choses que nous ne pourrons pas faire avant que la loi soit adoptée, car les décrets ne feront que décliner ses dispositions, mais je répète que nous avons commencé à échanger avec plus de soixante-dix fédérations professionnelles et l’ensemble des associations d’élus, car c’est bien dans notre intérêt que d’avoir quelque chose de compréhensible, qui place la barre au bon niveau et qui soit de nature à être appliqué rapidement par l’ensemble de l’écosystème. Le travail est appelé à se poursuivre et, comme je l’ai dit, je suis attaché à ce que le cadre législatif et réglementaire soit fixé le plus vite possible, puis que nous laissions passer au moins trois années – temps nécessaire et incompressible – avant d’exiger une conformité complète.

S’agissant ensuite des audits de sécurité, la loi prévoit que l’Anssi peut recourir à des organismes compétents pour les mener ou y participer. Dans les deux cas, l’établissement de la liste des organismes habilités nous revient et nous serons vigilants pour ne pas nous exposer à des risques de compromission ou d’ingérence étrangère. Je ne suis donc pas certain qu’il faille définir les règles de recours à des auditeurs au niveau législatif, sachant que le code de la défense prévoit déjà un cadre – mais il serait malvenu de ma part de m’opposer à ce que ce soit le cas si cela devait être jugé nécessaire. L’Anssi recourt à des prestataires qualifiés qui apportent l’ensemble des garanties nécessaires. Même si des inquiétudes légitimes peuvent être soulevées, je crois que nous saurons y répondre. En quelque sorte, nous ne jouerons pas contre notre propre camp.

Pour ce qui est des sous-traitants, ils ne sont pas directement soumis aux exigences de la directive NIS 2. Y remédier serait une surtransposition, ce que je ne pense pas souhaitable. En revanche, ils seront inclus dans le référentiel de mesures, dont nous avons partagé la version intermédiaire avec les futures entités concernées.

D’abord, il faut dans tous les cas établir une cartographie des sous-traitants numériques. Cette recommandation se fonde sur notre expérience. Quand nous intervenons en tant que pompiers, nous nous retrouvons souvent face à des assaillants qui comprennent mieux l’environnement de la victime que la victime elle-même, car elle ne dispose pas de la cartographie de ses sous-traitants. Or quand on doit tout reconstruire, on part avec un sacré handicap ! Conserver une traçabilité fera donc partie des exigences, d’autant que ce n’est pas un élément très complexe.

Ensuite, répercuter les exigences applicables aux sous-traitants par voie contractuelle coule de sens. Cela ne s’écrit d’ailleurs pas de manière très détaillée, car les choses dépendent fortement de la nature des sous-traitants.

Enfin, si les sous-traitants ne sont pas intrinsèquement soumis à la directive, les acteurs du numérique, eux, le sont et font l’objet d’un acte d’exécution harmonisé à l’échelle européenne, qui, sauf erreur, a été pris en octobre dernier par la Commission. Ainsi, les sous-traitants numériques seront directement régulés en tant qu’entités importantes ou essentielles. Quant aux autres, les relations seront d’ordre contractuel et une traçabilité s’impose.

J’en viens à votre dernière question, qui n’est pas la moins importante : l’équilibre entre les CSIRT et le GIP Acyma. Ils ne sont pas redondants, mais complémentaires. Le GIP, que j’ai l’honneur de présider, ne répond pas lui-même aux incidents ; il en serait d’ailleurs bien incapable compte tenu de ses moyens. Il oriente les victimes de cybermalveillance vers les acteurs susceptibles de les aider par l’intermédiaire de la plateforme cybermalveillance.gouv.fr. Au total, 1 200 prestataires privés sont référencés, parmi lesquels 200 sont labellisés comme experts cyber, et depuis le 17 décembre dernier, un renvoi vers les forces de sécurité intérieure – police ou gendarmerie – est possible au travers du service 17Cyber, par exemple pour instruire un pré-dépôt de plainte.

Demain, en vertu des travaux financés par l’Anssi et lancés conjointement avec le GIP, les CSIRT territoriaux feront partie des répondants. Leur métier est de traiter les incidents, de coordonner la réponse, voire de renvoyer vers des prestataires privés, mais en concertation avec les victimes, ce que ne peut pas faire le GIP Acyma.

Ainsi, le GIP est appelé à répondre aux actes de cybermalveillance et la plateforme 17Cyber à remplacer progressivement le site cybermalveillance.gouv.fr afin d’avoir une signalétique simple. Selon leurs choix et leurs besoins, les victimes seront orientées vers les prestataires privés, les CSIRT s’ils sont adaptés à leur cas, ou les forces de l’ordre. Au fond, un guichet unique renverra vers les bons répondants. Le fonctionnement sera donc comparable à celui du Samu qui, selon les cas, envoie un véhicule de secours, oriente vers la médecine de ville, engage à se rendre aux urgences par ses propres moyens, etc. Avoir une plateforme de référence renvoyant vers la réponse adaptée est selon moi la bonne approche, car les besoins sont très variables suivant la nature de l’attaque.

Je précise que la mission du GIP Acyma ne se résume pas à la réception des actes de cybermalveillance et inclut un important travail de prévention. L’organisme accomplit d’ailleurs une action formidable en la matière en sensibilisant à grande échelle, ce qu’il est le seul à faire au niveau national en ce qui concerne les particuliers et les petites structures. C’est un rôle essentiel qu’il continuera de jouer.

Quant au financement des CSIRT, l’objectif est de trouver un modèle de cofinancement au sein de la revue nationale stratégique, ce qui renvoie aux débats budgétaires sur lesquels je ne suis pas légitime à m’exprimer.

M. Mickaël Bouloux, rapporteur. J’aurai deux questions concernant le titre III du projet de loi, qui transpose le règlement Dora (règlement sur la résilience opérationnelle numérique du secteur financier).

La première a trait à un sujet régulièrement soulevé lors de nos auditions : les relations entre les entités financières et leurs prestataires de services en technologies de l’information et de la communication (TIC). Vous le savez, le règlement Dora prévoit des obligations plus strictes en matière de contractualisation, afin de se conformer au nouveau cadre de gestion des risques liés à l’utilisation des TIC. Dès lors, les prestataires pourraient se voir soumis à des audits. Cependant, ce faisant, ces derniers ne seront-ils pas amenés à communiquer des données sensibles, voire à devoir se soumettre à des enquêtes intrusives de la part de cabinets étrangers, quand bien même ils agiraient pour le compte d’entités financières françaises ? Il revient au législateur de réfléchir aux moyens d’éviter toute ingérence économique étrangère, en trouvant un dispositif comparable à la loi dite de blocage de 1968, ou encore en confiant à une autorité tierce l’arbitrage entre les demandes des cabinets d’audit et les objections des entreprises contrôlées. Qu’en pensez-vous ? Partagez-vous ces inquiétudes ou estimez-vous que nos entreprises sont suffisamment à l’abri de ce type d’intrusion ? La présidente de l’Arcep (Autorité de régulation des communications électroniques, des postes et de la distribution de la presse) nous a suggéré de vous interroger sur cette question.

Quant à ma seconde question, elle porte sur le délai d’application des dispositions du titre III pour les sociétés de financement. Le texte issu du Sénat prévoit que les mesures liées aux exigences prudentielles spécifiques aux prestataires de services bancaires – dont font partie les sociétés de financement – n’entreront en vigueur qu’au 1er janvier 2030, quelle que soit la taille des sociétés. De plus, les sénateurs ont retenu un principe de proportionnalité s’agissant de l’application des mesures par les sociétés de financement les plus petites. Quelle est votre opinion ? Une application tardive du projet de loi pour les sociétés de financement présente-t-elle des risques ?

M. Vincent Strubel. Auditer un système d’information ou plus généralement une entreprise n’est pas une opération à exécuter à la légère. C’est pour cette raison que la définition de la liste des prestataires demeure, aux termes du titre II, à la main de l’Anssi et que nous avons établi, en 2014, une qualification spécifique pour les prestataires d’audit de la sécurité des systèmes d’information – le référentiel Passi –, qui atteste de la compétence technique des sociétés et des garanties qu’elles présentent pour protéger les données, voire les détruire à l’issue de l’audit.

Je ne me risquerai pas à émettre des préconisations dans un champ qui relève plutôt de l’Autorité de contrôle prudentiel et de résolution (ACPR) et de la Banque de France, mais il serait de bon aloi de prévoir un encadrement ou des recommandations. À l’instar de ce que prévoit la directive NIS 2, il ne s’agit pas nécessairement de définir dans la loi un référentiel pour les prestations d’audit, mais de prévoir l’établissement d’une liste de prestataires approuvés par une autorité indépendante.

Quant aux délais d’application, je ne m’avancerai pas sur le cas spécifique des sociétés de financement, mais la question se pose aussi s’agissant des mesures prévues au titre II du projet de loi. La menace cyber est en augmentation et préexistait même à l’élaboration de la directive NIS 2. Ainsi, plus on attend et plus il y aura de victimes. Pour autant, je suis bien placé pour savoir que répondre à cette menace et se mettre en conformité avec la directive NIS 2 et le règlement Dora demandent du temps. Le contrôle de conformité avec les actes européens n’aura lieu que trois ans après l’établissement du cadre national complet, c’est-à-dire des lois et décrets.

Il est délicat de se prononcer sur un délai raisonnable s’agissant du secteur financier. Je laisse aux acteurs qui le connaissent mieux que moi le soin de s’exprimer sur l’horizon 2030 fixé par le Sénat.

Mme Catherine Hervieu, rapporteure. L’Anssi a vu son budget baisser cette année de 3,5 millions d’euros. L’établissement avait pourtant demandé 35 millions d’euros de crédits hors salaires et la création de soixante emplois afin de conduire la réforme que nous évoquons aujourd’hui. Maintenez-vous ces demandes budgétaires et en personnels pour l’année prochaine afin de mener à bien les missions qui vous sont confiées et l’approfondissement prévu par le projet de loi ? J’ai bien compris que vous n’étiez pas présent aujourd’hui pour aborder ce sujet, mais la question des moyens ne saurait être éludée.

Par ailleurs, la résilience numérique dépend aussi de la formation et des compétences. En Ukraine, par exemple, la cyberadministration est très avancée. Quelle devrait être l’implication de la société civile et pourrait-elle devenir un outil asymétrique redoutable ?

À cet égard, que pensez-vous de la création d’un module de formation destiné aux élus locaux ? Vous avez dit souhaiter placer la barre au bon niveau. Il faut que le texte que nous examinerons en septembre soit cohérent avec la proposition de loi portant création du statut de l’élu local, que nous venons d’adopter.

M. Vincent Strubel. Concernant le budget de l’Anssi, non, le besoin n’a pas changé, mais il faut le confronter à la situation financière que nous connaissons tous. Comme l’ensemble des administrations, l’agence connaît une année 2025 particulièrement contrainte et il n’y a pas de raison pour qu’elle bénéficie d’un traitement de faveur. La revue nationale stratégique remet les enjeux de sécurité et de défense, ainsi que les besoins qui les sous-tendent, sur le devant de la scène et s’intégrera dans les débats budgétaires éminemment complexes sur lesquels je ne m’avancerai pas.

De fait, l’application de la directive NIS 2 requiert la création de 50 à 60 équivalents temps plein (ETP) : c’est le nerf de la guerre pour que l’Anssi puisse assurer ses missions de supervision et de contrôle. Même si nous ne sommes pas dans une logique punitive, sans contrôleurs, toutes les préconisations légales resteraient sans effet et notre crédibilité serait amoindrie. De même, nous avons besoin de personnels pour renforcer notre accompagnement des différents secteurs et territoires. Notre objectif n’est pas de faire les choses à la place des acteurs de terrain, mais de travailler efficacement avec eux de manière complémentaire. Cela fait écho aux échanges que nous venons d’avoir au sujet des CSIRT. Ainsi, ce n’est donc pas tant pour ses propres activités que l’Anssi a besoin de crédits, mais pour financer les différents dispositifs d’accompagnement.

S’agissant des compétences, il s’agit du point le plus essentiel de la transposition et de l’application de la directive NIS 2 et plus généralement de notre plus grand défi. Actuellement, le facteur qui limite le plus nos ambitions en matière de cybersécurité est notre capacité à trouver des personnes formées. On parle de 40 000 voire 60 000 personnels manquants dans ce domaine. L’Anssi agit pour y remédier, mais il faut changer d’échelle. Nous travaillons depuis longtemps avec les formations supérieures aux niveaux BTS (brevet de technicien supérieur), licence et master, mais celles-ci ne font pas le plein, ce qui signifie que nous n’attirons pas suffisamment de jeunes vers ces parcours. Avec le ministère de l’éducation, nous œuvrons pour que le service Pix intègre la cybersécurité dans les questionnaires proposés aux collégiens et aux lycéens, ou encore pour que le Campus cyber promeuve ce secteur auprès des plus jeunes et les attire vers ces métiers formidables où on manque de monde. Enfin, des actions sont aussi engagées dans le domaine de la formation professionnelle, afin de permettre davantage de reconversions. C’est un enjeu clé de la cyber-résilience, évoqué dans le quatrième objectif stratégique de la revue nationale stratégique.

La formation ne se limite pas aux métiers de la cybersécurité. Former les élus, les décideurs est un enjeu fondamental. La bonne compréhension des enjeux de la cybersécurité et, plus généralement, du numérique est une des clés de la résilience de notre société face à une menace hybride qui ne va pas en s’amenuisant. Tout ce qui peut favoriser cette compréhension est bon à prendre ; je continuerai à y travailler. L’Anssi propose, depuis de nombreuses années, un Mooc (module de formation en ligne), qu’il nous faudra, si nos moyens nous le permettent, ajuster et faire évoluer pour diffuser des messages de sensibilisation à grande échelle.

Nous n’avons pas à rougir de notre capacité à mobiliser le secteur privé, surtout si nous nous comparons à nombre de nos homologues étrangers. Nous avons su construire une action efficace en la matière grâce à différents cadres de qualification, à des prestataires de services, à des solutions du secteur privé, à des labels comme ExpertCyber – qui n’émanent pas de l’Anssi mais qui sont très complémentaires de notre activité –, au travail mené avec les filières – qui se concrétise par exemple par les campus cyber et les comités stratégiques de filière… Nous avons, en ce domaine, une véritable équipe de France qui transcende la frontière entre le public et le privé. Cette réalité n’est pas nouvelle. Nous avons remporté, collectivement, la médaille d’or lors des Jeux olympiques et paralympiques. Nous avons passé un test grandeur nature de notre capacité à agir collectivement : le succès que nous avons obtenu a dépassé toutes les attentes. La mobilisation de la société civile, à tout le moins du secteur privé, est une réalité et un modèle que nous essayons de diffuser à l’échelle européenne en introduisant, dans le champ du Cybersecurity Act, une certification des prestataires de services en matière de cybersécurité et en insistant sur ce volet dans le cadre de la réserve de cybersécurité prévue par le règlement européen sur la cybersolidarité.

Mme Anne Le Hénanff, rapporteure. L’article 19 du projet de loi indique que les offices et les bureaux d’enregistrement sont responsables du traitement des données nécessaires à l’enregistrement des noms de domaine et tiennent des bases de données à jour. À cette fin, prévoit le texte, « ils mettent en place des procédures, accessibles au public permettant de vérifier ces données lors de leur collecte […]. » La mention « lors de leur collecte » constitue, aux yeux de l’Afnic (Association française pour le nommage internet en coopération), une surtransposition. Qu’en pensez-vous ?

L’article 20 impose de conserver les données précitées pendant un an alors que, semble-t-il, les offices et les bureaux les conservent déjà pendant une durée bien supérieure. Pourquoi avoir ajouté cet article ?

Les représentants du secteur de la santé nous ont dit que les établissements de santé et médico-sociaux ne sont pas explicitement inclus dans le périmètre du projet de loi. Que leur répondez-vous ?

Les articles 38, 41 et 42 figurent dans le titre II bien qu’ils ne transposent pas NIS 2. Ils traitent respectivement de l’allègement de la procédure d’exportation des biens de cryptologie, du renforcement des sanctions pénales dans l’objectif d’améliorer la lutte contre les brouillages et du renforcement des conditions d’accès à une assignation de fréquence. Pourquoi figurent-ils dans le projet de loi ?

M. Éric Bothorel, rapporteur général. Je voudrais vous faire part de plusieurs préoccupations exprimées par CyberCercle et d’autres organismes.

La première concerne l’exclusion des ministères des étapes clés du processus de la transposition de NIS 2, contrairement à ce qui s’est fait pour REC et Dora.

La deuxième concerne les audits effectués par l’organisme indépendant mentionné à l’article 29. On nous a dit que le texte instaurait une inégalité de traitement, dans la mesure où il prévoit que certains contrôles seront à la charge des entités et d’autres, à celle de l’Anssi.

La troisième préoccupation porte sur le fait que l’article 37 ne prévoit pas de sanctions à l’encontre des administrations et des collectivités territoriales.

Le dernier motif d’inquiétude dont il nous a été fait part concerne l’incohérence entre les dispositifs de partage de l’information prévus par Dora et NIS 2. On nous a suggéré de transposer l’article 29 de NIS 2 pour éviter des inégalités entre entités.

Par ailleurs, le point 509 de la revue nationale stratégique indique qu’un « filtre de cybersécurité à destination du grand public visant à prévenir l’accès aux sites web malveillants sera déployé dès 2025 ». Cette mesure sera-t-elle réellement appliquée cette année ?

Enfin, le point 479 de la RNS énonce que « L’intérêt d’un véhicule législatif plus général sera examiné pour porter des mesures renforçant la résilience de la Nation […] dans le nouveau contexte géostratégique (politique de stockage stratégique […]) ». Est-il question d’avoir un nouveau texte et, le cas échéant, à quel horizon ?

M. Vincent Strubel. La question du stockage stratégique renvoie plutôt à la directive REC. La question de savoir s’il faut imposer la création de stocks stratégiques est toujours débattue.

Nous sommes toutes et tous convaincus de l’intérêt du filtre anti-arnaque que la RNS réaffirme. Je ne me prononcerai pas sur la question de savoir quelle est l’autorité la plus légitime pour le mettre en œuvre car cela relève des débats interministériels, au sens large. Le GIP Acyma fait partie des acteurs qui pourraient jouer ce rôle. La loi définit les signalements qui pourraient donner lieu à un blocage – cela concerne plutôt des autorités administratives.

Le règlement Dora contient des règles particulièrement complexes concernant les données financières. Je ne porterai pas d’avis sur cette strate normative supplémentaire.

Le choix a été fait de ne pas étendre aux collectivités la logique des sanctions financières, qui s’appliquent uniquement au secteur privé. La ministre saurait, mieux que moi, expliquer ce choix politique. En tout état de cause, une collectivité ne fonctionne pas comme une entreprise, ne fournit pas le même service, n’est pas pilotée selon la même logique. Une sanction financière, qui est très opérante pour un acteur privé, l’est moins pour une collectivité ; elle s’applique au détriment des usagers et des missions de service public. Les moyens les plus efficaces à l’égard d’une collectivité résident dans les mesures d’exécution, notamment dans la possibilité de rendre publique une injonction. Cela revient à mettre un élu face à ses responsabilités en rendant public le fait qu’il ne respecte pas les mesures élémentaires de sécurité prescrites par la loi.

S’agissant de la prise en charge des contrôles, le point d’équilibre le plus naturel consiste à revenir aux dispositions de la directive, qui distingue les audits spécifiques, mis à la charge des entités contrôlées, et les contrôles plus génériques. Lorsque l’Anssi effectuera elle-même l’audit, celui-ci ne sera pas à la charge de l’entité ; il en ira autrement en cas de recours à des prestations spécifiques, comme des audits complémentaires. Le fait de mettre un contrôle à la charge de l’entité ne constitue pas une nouveauté. Le code de la défense prévoit déjà cette modalité pour les OIV (opérateurs d’importance vitale).

Les ministères n’ont pas exprimé le souhait d’endosser un rôle particulier dans le cadre de ce processus. Tout cela a fait l’objet, comme à l’accoutumée, d’une concertation interministérielle avant le dépôt du projet de loi. Le modèle qui a été choisi, et qui fait consensus, consiste à désigner une autorité centrale coordinatrice, comme y incite NIS 2. Cela se fera naturellement – conformément au fonctionnement normal de l’Anssi – en concertation avec les ministères. Cela étant, ces derniers jouent un rôle de coordination s’agissant des OIV, notamment pour leur désignation. Il s’agit là d’une compétence métier liée à chaque secteur d’activité. La directive NIS 2 ne prévoit pas de désignation individuelle des entités auxquelles elle s’applique : elle suit une logique de seuils conçue pour n’oublier personne. Des désignations individuelles sont toutefois prévues dans certains cas, qui nécessiteront l’expertise des ministères. Il n’y a pas lieu de prévoir, dans la loi, une compétence spécifique des ministères, qui n’aurait pas de sens eu égard à NIS 2.

Il serait en effet opportun que des corrections soient apportées à l’article 19. Nous vous proposerons un amendement à ce sujet.

Les établissements de santé seront soumis à la même logique de seuils que les autres acteurs. Il existe toutefois des cas limites qui appellent une désignation individuelle. Dans le domaine de la santé, en effet, la logique des seuils ne permettra pas nécessairement d’appréhender certains acteurs critiques. En concertation avec le ministère de la santé, voire avec les opérateurs, qui sont déjà, pour certains, des opérateurs de services essentiels au sens de la directive NIS 1, nous procéderons à la désignation individuelle d’acteurs. Cela étant, on n’assujettira pas la pharmacie du quartier : dans ce domaine comme dans d’autres, un seuil minimal doit être atteint, correspondant à la maturité ou à la taille de la structure.

Les dispositions relatives aux fréquences répondent à une demande de l’Agence nationale des fréquences (ANFR) ; leur présence dans le texte est assez légitime car il s’agit de la protection du spectre, qui s’inscrit aussi dans le champ de la directive.

L’article 38 propose – en écho à des demandes récurrentes des acteurs industriels – un allègement du régime de contrôle des exportations de prestations et de moyens de cryptologie, lequel avait été institué par la loi pour la confiance dans l’économie numérique de 2004. Ce texte, qui avait marqué l’aboutissement d’un long processus, avait libéralisé l’usage de la cryptographie tout en soumettant l’exportation à certains contrôles.

Deux régimes coexistent en matière d’exportation : un régime déclaratif et un régime d’autorisation, qui sont l’un et l’autre contrôlés par l’Anssi. Nous procédons, en cette matière, à une consultation interministérielle. Ces règles complexes donnent lieu à des récriminations légitimes de la part des acteurs qui souhaitent exporter des solutions numériques intégrant de la cryptographie – ce qui recouvre à peu près tout, à l’heure actuelle, dans le domaine numérique. Les critiques portent notamment sur le fait que le régime d’autorisation se superpose à un régime plus général, qui est celui du contrôle des biens à double usage : les entreprises doivent donc obtenir une double autorisation.

Le projet de loi propose, à titre de simplification, d’imposer un seul régime, de nature déclarative. Il est en effet nécessaire de recueillir des déclarations dans le domaine cryptographique pour comprendre les mécanismes et nourrir la capacité de l’Anssi à évaluer l’impact d’une vulnérabilité cryptographique. À titre d’exemple, lorsqu’un algorithme fondateur de la cryptographie fait l’objet d’une publication scientifique qui amenuise sa sécurité, il nous faut savoir dans quelles solutions il est déployé afin de coordonner très rapidement les efforts. En revanche, un régime d’autorisation n’a pas nécessairement d’utilité et est dans une certaine mesure redondant avec le contrôle des biens à double usage. L’Anssi appelle de ses vœux cette simplification, le double régime d’autorisation ayant perdu de son sens.

M. le président Philippe Latombe. Comme l’a montré le rapport d’enquête du Sénat sur les cabinets de conseil, la réalisation d’audits financiers ou technologiques peut permettre de capter des informations. Les cabinets ne mettent pas toujours en pratique la muraille de Chine qui est souvent invoquée. Avez-vous des propositions de rédaction en ce domaine ?

Plus globalement, si vous avez des idées d’amendements à introduire dans le texte, n’hésitez pas à nous les communiquer le plus rapidement possible.

Pourriez-vous nous apporter des précisions sur la règle non bis in idem ?

Pouvez-vous vous engager sur la fréquence de publication – annuelle, bisannuelle, trisannuelle… – de la stratégie pluriannuelle de l’Anssi ?

Le choix de ne pas soumettre les collectivités à des sanctions financières répond certes à des considérations politiques, mais il faut aussi prendre en compte l’aspect juridique – le Conseil d’État s’est prononcé sur cette question dans son avis. Les collectivités nous ont dit que, faute de sanction, elles se sentiraient relativement libres d’agir à leur guise. Le RGPD (règlement général sur la protection des données), qui prévoit de telles sanctions pour les collectivités, n’a pas eu d’effet significatif sur leurs ressources. La question est de savoir si, le cas échéant, on rend passible de sanctions l’ensemble du secteur public, y compris les groupements hospitaliers de territoire (GHT), les GIP et les agences de l’État. On peut s’interroger sur la volonté d’un certain nombre de GHT de monter en compétences dans le domaine cyber. En outre, ne pensez-vous pas que le fait d’inclure dans le champ des sanctions des entités très sensibles, comme France Travail, serait un moyen de les faire progresser dans ce domaine ?

La norme ISO est-elle un référentiel suffisant ? Les éléments publiés par l’Enisa (Agence européenne de cybersécurité) prendront-ils le pas sur votre référentiel ?

Avez-vous une idée du montant de l’effort financier que représenterait le maintien des CSIRT ? Serait-il opportun d’autoriser leur cofinancement ?

Les dispositions de NIS 2, Dora et REC relèvent-elles du domaine régalien et, à ce titre, pourraient-elles relever de la responsabilité du futur État de la Nouvelle-Calédonie, si la réforme constitutionnelle allait à son terme ? Pouvez-vous prendre l’attache du ministère des outre-mer pour déterminer si l’on doit prévoir une disposition spécifique afin d’anticiper l’éventuelle validation de l’accord sur la Nouvelle-Calédonie ?

M. Vincent Strubel. S’agissant des cabinets d’audit, il est légitime de se préoccuper de la sécurité des données mais je ne pense pas que vous arriviez à traiter cette question globalement par le prisme étroit de l’encadrement des prestations d’audit en cybersécurité – lequel conserve, dans la plupart, des cas, un caractère non contraignant. Le référentiel Passi comprend plusieurs dizaines de pages éminemment techniques et prévoit des procédures de vérification assez lourdes. Des dispositions pourraient être insérées dans la loi au sujet d’autres domaines d’application de l’audit. Je demeure toutefois prudent concernant le domaine financier, que je ne maîtrise pas dans ses ramifications métiers autres que la cybersécurité.

Le principe non bis in idem renvoie à l’articulation entre NIS 2 et le RGPD. Il est possible qu’à l’avenir, la Cnil (Commission nationale de l’informatique et des libertés) et la commission des sanctions instituée par le projet de loi pour réprimer les manquements à NIS 2 envisagent l’une et l’autre de sanctionner un même fait, qui constituerait à la fois un manquement au RGPD et à la directive. Le projet de loi prévoit que, dans ce cas, les sanctions financières ne pourraient être prises qu’au titre du RGPD, lequel fixe un quantum de peine double par rapport à celui de NIS 2. En revanche, les mesures d’exécution, les mises en demeure, qui sont décidées avant la sanction financière, peuvent se cumuler – du moins la loi ne l’exclut-elle pas. Cela étant, la coordination existante entre l’Anssi et la Cnil, dans le respect du statut de chacun, permet d’éviter que l’on se marche sur les pieds en cette matière. Si des mesures de contrôles, d’exécution, de pré-sanction financière étaient prises, elles feraient l’objet d’une coordination entre nos deux institutions.

Il est un cas qui ne figure pas dans la loi et qui n’a pas vocation à y être : c’est celui dans lequel une même entité fait l’objet de plusieurs procédures de sanction au titre de deux manquements distincts, l’un au RGPD, l’autre à NIS 2. Dans cette hypothèse, le principe non bis in idem ne s’applique évidemment pas. En revanche, la synchronisation des politiques de contrôle, qui existe de longue date, est amenée à se développer. Cela n’aurait pas grand sens, en effet, que la Cnil contrôle une entreprise et que l’Anssi fasse de même la semaine suivante. Nous pouvons travailler en bonne intelligence pour nous assurer que, dans le cadre des contrôles que nous menons, les critères d’appréciation soient similaires et qu’une forme de conseil soit apporté.

La mission de contrôle et de supervision placée au sein de l’Anssi, qui veillera, le cas échéant, à l’application de NIS 2, sera en lien étroit avec la Cnil comme avec d’autres autorités indépendantes. Nous avons besoin d’apprendre comment effectuer ce type de mission de contrôle – ce n’est pas inné pour l’Anssi. Il me paraît rassurant que ce ne soit pas une nouveauté pour la Cnil. En effet, celle-ci a l’habitude de se coordonner, par exemple avec la DGCCRF (direction générale de la concurrence, de la consommation et de la répression des fraudes), avec laquelle elle partage certains domaines de compétence.

M. le président Philippe Latombe. Pour que ce soit bien clair, un acte qui constituerait à la fois un manquement à NIS 2 et au RGPD ne fera pas l’objet de deux sanctions cumulatives ?

M. Vincent Strubel. Non.

M. le président Philippe Latombe. La sanction applicable en raison d’un manquement au RGPD serait-elle, dans ce cas de figure, majorée compte tenu du manquement simultané à NIS 2, ou la Cnil appliquerait-elle le même quantum de peine ?

M. Vincent Strubel. Dans cette hypothèse, la sanction serait prononcée au titre du RGPD sur le fondement du quantum de peine prévu par ce dernier. Le collège de la Cnil pourra décider souverainement de majorer la sanction, dans la limite prévue par le RGPD, en fonction de la gravité des faits.

M. le président Philippe Latombe. La plupart de vos homologues, dans les États européens, suivent-ils la logique du non-cumul des sanctions ? Certaines autorités pourraient-elles demander une majoration de la sanction pour manquement au RGPD au titre de la non-application de NIS 2 ?

M. Vincent Strubel. Une partie de la réponse dépend de la mise en œuvre des textes par chaque État membre : il faudra voir pour juger. Cela étant, le principe non bis in idem est, me semble-t-il, contenu dans la directive NIS 2, qui prévoit le cas de l’articulation avec le RGPD et la primauté de ce dernier en cas de manquement aux deux textes.

Vous m’interrogez sur la stratégie pluriannuelle. L’Anssi publie son propre plan stratégique – celui pour 2025-2027 a été mis à jour en mars. Quant à la stratégie en cybersécurité de la France, qui dépasse l’Anssi, elle paraîtra, avec le détail des mesures spécifiques, dans les prochaines semaines ou les prochains mois – il ne m’appartient pas de la révéler. On en retrouve les grandes orientations dans l’objectif stratégique 4 de la RNS. Le président de la République avait confié son élaboration au SGDSN et à un rapporteur qui n’est pas membre de l’Anssi : celle-ci y a été étroitement associée mais il est sain de bénéficier d’un regard extérieur. La fréquence de révision s’établirait sans doute à cinq ans. C’est raisonnable : le domaine est mouvant mais on ne peut établir une nouvelle stratégie tous les ans car cela nécessite une mobilisation intense de toutes les parties prenantes.

S’agissant des sanctions financières, la logique juridique tendrait à assujettir les collectivités au régime des entreprises privées. Il n’en va pas de même des administrations de l’État, qui dépendent du budget général. L’avis du Conseil d’État a bien été lu et entendu mais le choix, politique, a été fait de ne pas le suivre en la matière. D’autres sanctions et mesures d’exécution existent par ailleurs, en particulier la publication des manquements.

La norme ISO 27001 est un sujet aux multiples ramifications. Elle ne couvre pas tous les objectifs de NIS 2, seulement ceux relatifs à la gouvernance. Pour les entités importantes, deux objectifs de sécurité sur quinze sont concernés ; pour les entités essentielles, c’est deux sur vingt. En cumulant les exigences d’ISO 27001 et d’ISO 27002, qui la complète, le taux de couverture atteint 80 %. Les 20 % restants relèvent de la résilience et de la gestion de crise.

Le modèle belge requiert la conformité à ISO 27001 et le respect de mesures complémentaires issues de l’Institut national des normes et de la technologie (NIST) des États-Unis – d’autres normes internationales peuvent jouer le même rôle. Pour la France, nous souhaitons plutôt que soient d’abord définis des objectifs de sécurité puis que soient établies les normes afférentes. Je crois que les Allemands adoptent la même démarche. Le référentiel listera les objectifs ; la conformité à ISO 27001 vaudra, par exemple, conformité aux objectifs 1 et 2, relatifs à la gouvernance ; la conformité à ISO 27002 à tel autre. En revanche, nous n’exigerons pas la conformité à ISO 27001, qui exige un travail intense : on pourra démontrer sa conformité autrement. En effet, ce n’est pas indispensable pour les entités importantes, qui ne pourraient pas toutes y parvenir – les concernant, l’exigence en matière de gouvernance sera sans doute inférieure à celle d’ISO 27001.

L’Agence européenne de cybersécurité (Aesri) a publié un guide d’exécution technique de NIS 2, non contraignant. Elle a ainsi contribué aux travaux menés, en France avec le concours de l’Anssi, pour clarifier les conditions d’application de la directive. Il faut néanmoins préciser que ce guide n’est applicable qu’aux acteurs du numérique, dont le traitement dépend de l’État d’implantation. Les autres acteurs relèvent de la transposition en droit national. Ses annexes dessinent les prémices d’une comparaison des différents référentiels nationaux. Cela confirme notamment que la norme ISO 27001 ne couvre pas tous les aspects. Nous allons poursuivre ce travail sur la déclinaison nationale dans les autres champs.

Combien coûtent les CSIRT ? En application du plan France relance, l’Anssi a versé à chacun 1 million d’euros pour trois ans. Il serait hâtif d’en déduire qu’un CSIRT coûte 333 333 euros par an. Ce fonds d’amorçage devait couvrir trois années de fonctionnement ; s’agissant d’une période d’incubation et de montée en puissance, elles ne sont pas forcément révélatrices.

Dès le départ, le choix a été fait de placer les CSIRT auprès des régions, qui pouvaient librement apprécier l’opportunité d’en créer un. Toutes ne l’ont pas fait. Le cas échéant, l’État, par l’intermédiaire de l’Anssi, soutenait l’initiative. Mieux vaut ne pas imposer un modèle unique assorti d’un financement intégral. L’échelon régional permet d’intégrer les CSIRT à la politique de développement économique, complémentaire de la politique régalienne de sécurité, qui relève de l’État. Les centres se trouvent ainsi à la croisée des deux chemins. Tout cela milite à la fois pour le cofinancement et pour une marge d’initiative locale.

Du point de vue de l’Anssi, il faut surtout que chaque CSIRT respecte un protocole standard. Plusieurs domaines, comme le traitement, la diffusion et la protection de l’information, doivent respecter des normes internationales. Nous pouvons ainsi parler à tous les CSIRT, sectoriels comme territoriaux, de la même manière. Si par ailleurs ils développent des activités annexes de conseil et d’accompagnement, s’ils adoptent des modèles de financement variables, tant mieux. Ils disposent ainsi d’un degré de liberté qui leur permet de mieux s’intégrer dans le contexte local. Certains, par exemple, s’adossent aux campus cyber territoriaux – c’est très bien. Il ne serait pas pour autant pertinent d’imposer à chaque région de créer son campus et de le financer pour que, à son tour, celui-ci contribue à financer un CSIRT. Il faut se laisser une marge de manœuvre.

Pour conclure sur ce point, la logique de cofinancement garantit que la démarche a un sens au niveau local. Toutefois, il ne faut pas laisser les régions assumer seules la charge des CSIRT, dont la mission est d’intérêt général. Il ne faut pas non plus trop cadrer les logiques de financement, tant qu’elles respectent la neutralité des centres.

M. René Pilato (LFI-NFP). Je suis d’accord avec vous, les mesures techniques n’ont pas à être inscrites dans la loi. Mais qu’en est-il des seuils relatifs au nombre de salariés et au chiffre d’affaires ?

Par ailleurs, vous disiez qu’il convenait d’établir une cartographie des sous-traitants numériques, ce qui est une excellente idée. Or il s’agit souvent de très petites entreprises, susceptibles de subir des actes de cybermalveillance, particulièrement avec les usages de l’intelligence artificielle, qui évolue constamment. Ces sociétés sont les chevilles ouvrières des grandes entreprises et leur fragilité m’interroge.

Enfin, la durée d’un an pour la conservation des données me paraît très courte, sachant que vous disiez qu’il faudrait trois ans pour se mettre en conformité avec la loi. Je rappelle, par exemple, que les relevés de comptes doivent être conservés pendant dix ans. Une durée d’un an est-elle suffisante pour assurer une traçabilité en cas d’enquête ?

M. Vincent Strubel. Les seuils applicables aux entités importantes et essentielles sont prévus par la directive REC. C’est pour cette raison que, dans la version initiale du gouvernement, le projet de loi ne les reprenait pas. Ils ont été ajoutés par le Sénat, dans une logique tout aussi légitime de lisibilité. Je m’en remettrai à votre sagesse sur ce point. D’ailleurs, même s’il était question d’inclure les seuils dans les décrets, seule une paraphrase de la directive serait envisageable, au risque de procéder à une surtransposition qui n’aurait pas lieu d’être.

Cela étant, il faut évidemment se préoccuper des plus petites entités et leur apporter des solutions. L’analyse partagée au niveau européen était que, compte tenu de leur niveau de maturité, il était déraisonnable de leur imposer par la loi des exigences en matière de cybersécurité. Quant aux structures de taille intermédiaire, potentiellement concernées par la directive NIS 2, il convient de les aider à monter en gamme avant d’envisager de les réguler.

Je ne saurais dire s’il faudra un jour réguler les plus petites entités. Le cas échéant, cela demandera une profonde refonte du cadre législatif européen. Appliquer la directive NIS 2 représente déjà une tâche importante. À cet égard, les labellisations qui pourraient être introduites dans ce cadre pourront peut-être être ensuite étendues aux structures plus petites, avec un degré d’exigence similaire ou réduit, en s’appuyant sur le secteur assurantiel ou financier. En effet, un banquier qui prête de l’argent à une très petite entreprise a de plus en plus vocation à se préoccuper du risque cyber. Peut-être fournit-il donc un levier suffisant, sur le fondement d’un référentiel établi dans ce domaine. Il y a plusieurs pistes de réflexion.

Quant aux règles de conservation des données d’enregistrement des noms de domaine, elles évoluent régulièrement. Ce n’est pas comparable avec les registres de compte et le but n’est pas nécessairement de conduire des enquêtes. Dans la mesure où il s’agit plutôt de répondre aux attaques dans un délai relativement court, il n’y a pas lieu de préconiser une très longue conservation des données, qui sont d’ailleurs assez volumineuses. Il y a un équilibre à trouver et le projet de loi devra certainement faire l’objet d’amendements en ce sens, notamment sur le fondement des retours de l’Afnic.

M. le président Philippe Latombe. Nous vous remercions, monsieur Strubel, de vous être rendu disponible pour cette seconde audition.

II. discussion générale

Première réunion du mardi 9 septembre 2025 à 15 heures

La commission spéciale a procédé à la discussion générale sur le projet de loi, adopté par le Sénat après engagement de la procédure accélérée, relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (n° 1112) (M. Éric Bothorel, rapporteur général, Mme Catherine Hervieu, Mme Anne Le Hénanff, M. Mickaël Bouloux, rapporteurs).

M. le président Philippe Latombe. Nous nous retrouvons aujourd’hui pour l’examen d’un texte important : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité.

Ce texte, déposé sur le bureau du Sénat le 15 octobre 2024, a été adopté par la Chambre haute le 12 mars 2025, après engagement de la procédure accélérée par le gouvernement.

Notre commission a consacré un travail long, rigoureux et approfondi à ce projet. Ce travail s’est notamment traduit par un cycle d’auditions dense, organisé entre le 7 mai et le 15 juillet 2025. Quatorze auditions en plénière au total, réunissant près de soixante personnes, nous ont permis de croiser les regards, d’entendre des analyses variées, d’appréhender les enjeux à la fois techniques, juridiques, économiques et stratégiques.

À la demande du rapporteur général, nous avons ouvert et conclu ce cycle d’auditions avec l’Agence nationale de la sécurité des systèmes d’information, l’Anssi, institution incontournable de la politique nationale de cybersécurité. Nous avons également entendu le secrétariat général de la défense et de la sécurité nationale, le SGDSN, dont le rôle de coordination interministérielle est décisif.

Nous avons associé les associations d’élus, qui portent la voix des territoires et qui nous rappellent combien la résilience ne peut être pensée seulement depuis Paris. Nous avons entendu de nombreuses entreprises et associations du secteur numérique et industriel, directement concernées par l’application de ces nouvelles obligations. Nous avons auditionné la Commission nationale de l’informatique et des libertés, la Cnil, garante de nos libertés individuelles dans un contexte où sécurité et protection des données doivent avancer de concert. Nous avons aussi entendu le parquet de Paris, compétent en matière de cybercriminalité, le groupement d’intérêt publique Action contre la cybermalveillance et le Comcyber (commandement de la cyberdéfense) du ministère de l’intérieur. N’oublions pas l’audition consacrée à la régulation financière. Le sujet des télécommunications a été abordé au cours d’auditions dédiées. Enfin, nous avons consacré deux auditions spécifiques à la question du chiffrement, sujet complexe, sensible, mais central pour la confiance numérique et introduit dans le projet de loi par un amendement sénatorial.

Je remercie l’ensemble des personnes auditionnées, ainsi que notre rapporteur général, Éric Bothorel, et nos rapporteurs thématiques pour la qualité et l’intensité du travail accompli.

Notre calendrier politique a été bouleversé par la démission du gouvernement. Mais il importe que notre assemblée puisse poursuivre ses travaux, en particulier sur des textes comme ce projet de loi. En effet, il vise essentiellement à transposer trois directives européennes adoptées en 2022.

D’abord, la directive REC, sur la résilience des entités critiques, acte un changement fondamental : nous passons d’une logique de protection à une véritable approche de résilience face aux risques. Ce sera l’objet du titre Ier du projet de loi, rapporté par Mme Hervieu.

La directive NIS 2 – Network & Information Security – doit élever de manière substantielle le niveau de cybersécurité dans l’ensemble de l’Union européenne en renforçant les obligations des opérateurs et en améliorant la coopération entre États membres. C’est l’objet du titre II, rapporté par Mme Le Hénanff.

Enfin, la directive Dora, le Digital Operational Resilience Act, vise à assurer la résilience opérationnelle numérique du secteur financier, bancaire et assurantiel, dont la sécurité conditionne l’ensemble de l’économie. Ce sera l’objet du titre III, rapporté par M. Bouloux.

Ces transpositions sont urgentes. Les directives REC et NIS 2 auraient dû être transposées avant le 17 octobre 2024. Quant à la directive Dora, elle aurait dû l’être avant le 17 janvier 2025.

Nous sommes donc déjà en retard, et chaque mois qui passe accroît le risque d’infraction de la France par rapport à ses engagements européens. Du reste, la note du secrétariat général du gouvernement sur les contours de la notion d’affaires courantes de juillet 2024 a rappelé que, si la question de la possibilité juridique d’une activité législative sous l’empire de la Constitution de 1958 était inédite et d’une résolution délicate, l’échéance de transposition d’une directive pourrait justifier une telle activité. Dans ce contexte, notre commission a la responsabilité d’avancer.

La conférence des présidents du 8 juillet dernier avait acté la demande du Gouvernement d’examiner dix-neuf articles selon la procédure de législation en commission. Compte tenu des circonstances, j’ai décidé d’utiliser pour l’ensemble des articles la faculté prévue par le dernier alinéa de l’article 107-1 du règlement de notre assemblée, qui dispose : « À l’issue de l’examen du texte par la commission, […] le président de la commission saisie au fond […] peut obtenir, de droit, le retour à la procédure ordinaire, le cas échéant sur certains articles seulement, au plus tard quarante-huit heures après la mise à disposition du texte adopté par la commission. » La commission pourra ainsi travailler utilement, même en l’absence du gouvernement, tout en garantissant que l’exécutif puisse, le moment venu, amender l’ensemble des articles.

M. Éric Bothorel, rapporteur général. Enfin ! Un an de retard et nous ne sommes pas à l’abri de prendre encore un peu plus de temps que prévu. La transposition de ces directives européennes est un train qui ne cesse de prendre du retard ; ce n’est peut-être pas un train fantôme, mais il est tout de même un peu maudit.

Nous n’avons plus de gouvernement, mais nous n’en examinons pas moins un projet de loi et non une proposition de loi. Précisons d’emblée les choses : nous pouvons étudier ce texte car il s’agit de transposer des directives. Le cadre existe ; nous devons simplement l’adapter aux spécificités françaises.

Dès le début de nos travaux, ma ligne de conduite a été d’éviter la surtransposition comme la sous-transposition des directives NIS 2, Dora et REC. L’absence de gouvernement ne nous autorise pas à nous émanciper du cadre réglementaire européen et de la législation nationale. En ma qualité de rapporteur général, je veillerai à ce que nous restions dans les clous du réel, du possible, voire du constitutionnel.

Le travail avec les rapporteurs thématiques s’est déroulé dans un esprit de collaboration et de confiance. Je reprends à mon compte un grand nombre de leurs amendements et propositions ; je leur laisserai bien évidemment le soin de les défendre. Notre commission est transpartisane, vos rapporteurs sont presque tous bretons et Catherine Hervieu mériterait de l’être.

Je veux d’ores et déjà remercier les administrateurs de l’Assemblée qui ont œuvré dans un calendrier flou, avec un gouvernement – depuis hier – flou et sur une matière parfois floue. En revanche, les menaces, elles, n’ont rien de flou. Si l’on se réfère aux seules actualités du mois dernier, nous mesurons bien l’ampleur de la menace, sous toutes ses formes : le CCAS (centre communal d’action sociale) de la ville de Poitiers ; le logiciel Kairos de France Travail ; le constructeur automobile Jaguar Land Rover, obligé d’arrêter ses usines ; le Muséum national d’histoire naturelle, contraint d’annuler une exposition ; Naval Group ; les services sociaux du conseil départemental de l’Aude ; Auchan ; Orange et Bouygues Télécom. Grandes et plus petites entreprises, grandes collectivités ou simples CCAS, comme l’a écrit La Fontaine dans « Les Animaux malades de la peste » : « Ils ne mouraient pas tous, mais tous étaient frappés. »

La menace cyber peut nous affecter toutes et tous. Par ce projet de loi, nous devons œuvrer à la résilience de tous les maillons de la chaîne. Ce texte répond à la nécessité de renforcer la résilience de notre économie et de notre société face à une menace qui n’épargne plus personne. Selon Vincent Strubel, cette menace actuellement opportuniste pourrait un jour, dans un contexte géopolitique plus large, s’avérer coordonnée avec des menaces étatiques.

Face à cette situation, l’Europe a collectivement élaboré la directive NIS 2 avec une forte impulsion française. Cette directive complète un paysage normatif européen préexistant, notamment la directive NIS 1, tout en s’inscrivant dans une logique différente. NIS 2 représente un changement d’échelle s’agissant du nombre d’entités régulées. En France, nous passerons de quelques centaines à environ 15 000 entités régulées, avec des ordres de grandeur similaires dans les autres pays européens. NIS 2 n’est pas une évolution de NIS 1 mais un changement d’échelle radical, et nous devons être à la hauteur.

La résilience n’est pas un sujet nouveau ; ces dix dernières années, nous avons œuvré, légiféré. Dès 2015, dans sa stratégie nationale, l’État est parti du constat que s’il était plutôt en mesure de protéger ses propres infrastructures ou les infrastructures vitales du pays, il se devait d’apporter une réponse structurée aux autres composantes de la société, souvent désarmées face à une cybercriminalité en plein essor. C’est de cette volonté qu’est né en mars 2017 le GIP Acyma (groupement d’intérêt public Action contre la cybermalveillance) qui, en octobre 2017, a piloté l’ouverture de la plateforme cybermalveillance.gouv.fr, le dispositif national de sensibilisation, de prévention et d’assistance aux victimes d’actes de cybermalveillance pour les particuliers, entreprises et collectivités territoriales.

Nous avons renforcé les effectifs de l’Anssi et nous devons poursuivre cet effort au regard des nouvelles compétences que ce projet de loi lui confère. Il existe désormais un parquet spécialisé dans le numérique qui instruit des plaintes contre quelques grands acteurs du numérique. Qui sait ? Demain, le filtre antiarnaque que le président de la République a promis aux Français et que les administrations ne cessent de raffiner administrativement, sera peut-être mis en œuvre.

La sécurisation et la régulation de l’espace numérique progressent mais les attaquants avancent toujours plus vite. Les acteurs du numérique attendent ce projet de loi de précision, de cadrage, de normalisation et d’adaptation du droit européen, et ils le veulent clair et précis. Des investissements seront nécessaires ; les grandes entreprises en ont bien conscience, les collectivités sont assez timorées et nos concitoyens font probablement preuve d’une grande naïveté sur ces sujets. Ce projet de loi doit ainsi être l’occasion de sensibiliser toutes et tous.

Nous aurons quelques désaccords sur des sujets précis mais, pour l’essentiel, ce texte peut être approuvé par le plus grand nombre des parlementaires. À nous d’être pédagogues et efficaces.

Mme Catherine Hervieu, rapporteure pour le titre Ier. Le titre Ier transpose la directive REC, adoptée en 2022 par le Parlement européen. Cette directive, négociée sous présidence française de l’Union européenne, fixe des standards minimums de résilience aux opérateurs européens. Elle permettra de disposer d’un fort niveau d’harmonisation et de partage d’information entre les États membres de l’Union. La crise environnementale et sociale, et le retour de la guerre sur le continent européen témoignent précisément de l’importance de la coopération transfrontalière en matière de résilience.

Cette directive devait être transposée avant le 17 octobre 2024. En avril dernier, j’avais interpellé le gouvernement sur l’urgence d’inscrire ce texte à l’ordre du jour de l’Assemblée. Or il a privilégié l’inscription de la proposition de loi relative à la réforme de l’audiovisuel public et à la souveraineté audiovisuelle qui affaiblit l’accès à l’information à celle de ce texte relatif à la défense nationale. Je remercie chacun d’entre vous d’être présent en vue d’examiner un texte majeur et sensible.

Le titre Ier du projet de loi révise le dispositif national de sécurité des activités d’importance vitale (SAIV) institué en 2006, pour y intégrer les obligations prévues par la directive et étendre son champ d’application. Il s’applique aux opérateurs d’importance vitale (OIV), publics et privés, qui exploitent les établissements et ouvrages dont l’indisponibilité menacerait la continuité de la vie de la nation ou qui pourraient constituer un danger grave pour la population. Le dispositif concerne environ 300 OIV, dont environ 40 appartenant au secteur de la défense, et 1 500 PIV (points d’importance vitale). Le dispositif repose sur des plans établis par les opérateurs et validés par l’autorité administrative, pour sécuriser les points d’importance vitale. Il est coordonné par le SGDSN et animé par chaque ministre coordonnateur pour leurs secteurs respectifs et décliné à l’échelle territoriale par le préfet de zone de défense et de sécurité.

Afin de préparer l’examen de ce texte, j’ai auditionné une trentaine d’interlocuteurs : les fédérations professionnelles de l’eau, de l’hydrogène et de l’environnement ; une entreprise de réseau ; un préfet ; la DGA (direction générale de l’armement) ; le SGDSN ; la direction de la protection des installations, moyens et activités de la défense (DPID), ainsi que les hauts fonctionnaires de défense et de sécurité du ministère de l’économie, du ministère des armées et du ministère de la transition écologique.

Les interlocuteurs auditionnés ont souligné l’efficacité et la robustesse du dispositif, qui a fait ses preuves face à la menace terroriste ou à l’occasion des Jeux olympiques et paralympiques. Celui-ci a permis de créer une culture de la sécurité au sein des entreprises et des établissements publics, avec une collaboration efficace entre les services de l’État et les opérateurs.

Le projet de loi renforce le dispositif SAIV, prévoit une analyse des risques par les opérateurs, fusionne le plan résilience avec le plan de continuité de l’activité, élargit le champ des enquêtes administratives aux accès à distance des sites, oblige les opérateurs à signaler les incidents. Il prévoit d’instaurer une commission des sanctions qui acterait le passage d’une logique de sanctions pénales à une logique de sanctions administratives plus efficaces et graduées. Les opérateurs pourront recourir de manière exceptionnelle à des régimes dérogatoires aux marchés publics pour se protéger du risque d’ingérence. En outre, la transposition de la directive étend le dispositif à trois secteurs : réseaux de chaleur et de froid, hydrogène et assainissement de l’eau. Je salue ces mesures qui permettront de renforcer le dispositif, que les opérateurs ont déjà bien compris, sans en modifier l’équilibre global.

Enfin, j’ai fait le choix de déposer plusieurs amendements que j’estime nécessaires pour améliorer le projet tel qu’il a été déposé. Je propose d’ajouter la préservation de l’environnement à la définition d’activité d’importance vitale. L’absence de cette mention me semble un oubli grave, alors même que la plupart des secteurs auxquels le dispositif s’applique sont directement liés à la préservation de l’environnement. Je propose également de mettre en exergue l’importance de l’accès à l’information pour la société en l’ajoutant aux secteurs d’infrastructures critiques. Il me semble également utile d’étendre l’analyse des dépendances aux sous-traitants, ce qui avait été fait en commission spéciale au Sénat. Nous investissons de plus en plus dans l’intelligence économique ; lors des tentatives d’ingérence, les sous-traitants sont une porte d’entrée. Par ailleurs, afin de renforcer l’indépendance des membres de la commission des sanctions, je propose, comme plusieurs d’entre vous, de prévoir que leur mandat ne sera pas renouvelable. Enfin, je tiens à signaler un point de vigilance crucial quant aux moyens financiers et humains des collectivités territoriales : il est impérieux de les soutenir et de les protéger dans la mise en œuvre de ces nouveaux objectifs.

Pour terminer, je tiens à remercier le président, le rapporteur général, mes corapporteurs thématiques, ainsi que les administrateurs et les collaborateurs, pour la qualité du travail fourni durant ces derniers mois.

Mme Anne Le Hénanff, rapporteure pour le titre II. Le titre II transpose la directive européenne NIS 2. C’est peu dire que ce projet de loi est attendu depuis longtemps. Il l’est d’abord par les acteurs de la filière qui s’y préparent depuis plusieurs mois – pour ne pas dire plusieurs années – afin de se hisser au niveau des exigences de la directive. Ce texte est d’ailleurs l’occasion de parler de la cybersécurité, sujet qui pâtit malheureusement trop souvent de sa technicité alors qu’il est d’abord et avant tout un sujet de gouvernance. À cet égard, si nous sommes réunis pour examiner le projet de loi, nous le sommes aussi pour débattre d’un sujet fondamental pour la résilience de la nation.

Ce texte est également attendu par les entités qui se verront appliquer les dispositions du projet de loi. J’ai eu l’occasion de m’entretenir avec de très nombreuses d’entre elles au cours des auditions que j’ai menées entre mai et juillet derniers. Nos échanges ont été l’occasion de rentrer dans le détail des dispositions du projet de loi, de recueillir leurs observations, leurs suggestions et parfois leurs craintes. Et pour cause, le passage de NIS 1 à NIS 2 est un véritable bond en avant. Avec la directive NIS 2, ce seront 15 000 entités qui seront assujetties aux dispositions exigeantes du projet de loi. Une telle évolution ne peut se concevoir sans une préparation adéquate, une association de l’ensemble des acteurs de la filière et des parties prenantes et une sensibilisation accrue. Le projet de loi répond clairement à ces impératifs.

Je ne doute pas que nos débats seront à la hauteur des enjeux. S’il est bien un sujet qui doit toutes et tous nous rassembler, c’est bien la cyber-résilience de la nation, objet même du projet de loi. À la lecture des amendements déposés, je sais que c’est ce qui vous anime.

Je résumerai la philosophie qui a guidé mes prises de position en deux points : d’une part, éviter la surtransposition ; de l’autre, parvenir à une rédaction équilibrée. Tout d’abord, j’ai eu à cœur d’éviter toute surtransposition de la directive dans le projet de loi, ce qui se justifie sur le plan juridique, politique, mais également au regard de l’objectif poursuivi. Il n’est dans l’intérêt de personne de surtransposer. Or plusieurs amendements versent dans cette tendance.

Le second principe est le souci de parvenir à une rédaction équilibrée du texte. De ce point de vue, je salue le travail de nos collègues sénateurs qui ont enrichi le texte à l’occasion de son examen. Nous faisons la loi, ce qui implique de faire du droit, mais nous ne sommes pas des juristes. Nous sommes des élus, donc des politiques, mais le devoir de responsabilité doit nous guider avec, chevillé au corps, l’intérêt général des Françaises et des Français. J’aurai l’occasion d’illustrer mon propos de manière plus concrète lors de l’examen des amendements relatifs notamment aux collectivités territoriales.

Par ailleurs, le titre II du projet de loi ne se contente pas de transposer les dispositions de la directive NIS 2. C’est le cas de certains articles qui ont été inscrits dans la version initiale du projet de loi, mais c’est également le cas d’articles introduits par le Sénat. Je pense notamment à l’article 16 bis sur la proscription de l’affaiblissement du chiffrement dont chacune et chacun connaît l’historique.

Pour conclure, sans surprise j’appellerai à l’adoption des dispositions du titre II et, plus généralement, de l’ensemble du projet de loi. C’est un texte utile, nécessaire et attendu. Il nous revient à toutes et à tous d’être à la hauteur du rendez-vous pour renforcer la cyber-résilience de la nation qui nous permettra de faire face aux défis de demain.

M. Mickaël Bouloux, rapporteur pour le titre III. Le titre III a pour objet la transposition de la directive du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier, dite Dora. Elle-même a pour but de mettre en conformité avec le règlement Dora adopté le même jour plusieurs directives et réglementations sectorielles déjà transposées dans notre droit interne. Il s’agit notamment de la directive DSP 2 concernant les services de paiement dans le marché intérieur ; de la directive Mifid II concernant les marchés d’instruments financiers ; de la directive CRD concernant l’accès à l’activité des établissements de crédit et la surveillance prudentielle des établissements de crédit et des entreprises d’investissement ; du paquet législatif IFR/IFD sur la surveillance prudentielle ; de la directive OPCVM sur les organismes de placement collectif en valeurs mobilières ; de la directive BRRD établissant un cadre pour le redressement et la résolution des établissements de crédit et des entreprises d’investissement ; de la directive « solvabilité II » sur l’accès aux activités de l’assurance et de la réassurance.

En conséquence, le titre III modifie un certain nombre de dispositions du code monétaire et financier principalement, mais aussi du code des assurances, du code de la mutualité et du code de la sécurité sociale en raison de la mise en conformité de la directive « solvabilité II » avec le règlement Dora. Celui-ci renforce les obligations opérationnelles imposées aux entités financières, qu’il s’agisse des différents acteurs du secteur bancaire, des salles de marché ou encore des assurances. Il fixe ainsi un nouveau cadre pour la gestion du risque et des incidents liés aux technologies de l’information et de la communication (TIC) en ce qui concerne les tests de résilience opérationnelle numérique, le partage d’information ou encore l’intervention des autorités compétentes.

Il s’agit donc de dispositions assez techniques qui, parfois, ne font qu’inscrire dans la loi des bonnes pratiques d’ores et déjà mises en œuvre. Il ressort de mes auditions que le secteur financier français n’accuse pas de retard concernant la gestion des risques TIC.

Si l’essentiel des articles du projet de loi initial a été adopté sans modification par le Sénat, quelques sujets, qui font l’objet d’amendements, seront débattus. Je pense notamment à la question de l’autorité destinataire des déclarations des incidents majeurs liés aux TIC et celle des notifications volontaires des cybermenaces importantes émises par les entités financières qui font l’objet, respectivement, des articles 43 A et 45 bis. De mes auditions ressort une idée largement partagée : l’Agence nationale de sécurité des systèmes d’information (Anssi) doit être, aux côtés de l’Autorité des marchés financiers (AMF) et de l’Autorité de contrôle prudentiel et de résolution (ACPR), destinataire de ces déclarations, tout en veillant à atteindre l’objectif de simplification des démarches pour les entreprises grâce à un guichet unique ou à un formulaire commun. Il reste donc à trouver la bonne rédaction.

Plus largement, il existe un débat sur l’articulation entre la directive Dora et la directive NIS 2 qui fait l’objet du titre II. Dans un nouvel article 62 A, les sénateurs ont tenu à prémunir les entités financières de tout risque de double assujettissement, malgré la reconnaissance du principe lex specialis selon lequel l’acte sectoriel, en l’occurrence le règlement Dora, l’emporte sur la directive – NIS 2 – lorsque ses exigences ont un effet équivalent à celles prévues par la directive. Ce principe n’est pas forcément simple à appliquer.

Par ailleurs, l’article 58 bis vise à inverser la charge de la preuve s’agissant de l’indemnisation par les assurances des dommages causés par les cyberattaques dont peuvent être victimes les entités financières. Le problème est que la rédaction adoptée au Sénat en séance ne semble pas vraiment correspondre à l’intention des sénateurs et des sénatrices, voire d’avoir l’effet inverse à celui qui était recherché. Lors d’une audition, la direction générale du Trésor, l’Anssi et la fédération France Assureurs sont parvenues à s’entendre sur une proposition de rédaction que je défendrai.

Enfin, notre dernier débat portera sur la date d’entrée en vigueur du titre III pour les sociétés de financement, c’est-à-dire, pour résumer, les entreprises qui effectuent des opérations de crédit sans être des banques à proprement parler. Le Sénat a décidé que les exigences prudentielles n’entreront en vigueur qu’à compter du 1er janvier 2030 pour toutes les sociétés de financement, sans distinction de taille, tandis que le projet de loi initial prévoyait un délai d’un an pour les sociétés les plus petites. Nous devons trouver un juste milieu.

M. le président Philippe Latombe. Nous passons aux orateurs des groupes.

M. Aurélien Lopez-Liguori (RN). « La question n’est pas de savoir si vous serez attaqué mais quand » : cette vérité, que tous les experts cyber répètent, s’impose désormais aux institutions, aux entreprises, aux communes. Les cyberattaques ne sont plus l’exception, elles sont devenues la règle. Les hôpitaux paralysés, les administrations bloquées, les mairies prises en otage : voilà la réalité quotidienne. Qu’elles viennent d’États étrangers ou de mafias numériques, ces attaques frappent au cœur de la vie des Français. La menace s’accroît sans cesse puisque, en 2024, l’Anssi a traité près de 4 400 incidents, soit une augmentation de 15 % en un an.

Voilà pourquoi ce projet de loi suscite beaucoup d’espoir. Il représente une véritable opportunité pour notre pays. Il transpose plusieurs textes européens : les directives REC et Dora relatives au secteur financier, et surtout la directive NIS 2, qui aura l’impact le plus important puisqu’elle s’appliquera à 15 000 entités. L’effort immense qui sera demandé à ces entités doit être accompagné avec souplesse, car toutes ne disposent pas des mêmes moyens, mais aussi avec fermeté, en particulier pour celles qui gèrent les données les plus sensibles.

Dans ce contexte, un principe, qui a guidé les amendements que le groupe Rassemblement national a déposés, doit nous servir de boussole : la cybersécurité et la souveraineté sont indissociables. Sans souveraineté, la cybersécurité n’est qu’une illusion. Dépendre de prestataires soumis à des puissances étrangères, c’est s’exposer à leur ingérence. Sans cybersécurité, la souveraineté n’est qu’une façade. Comment parler d’indépendance nationale si nos infrastructures vitales peuvent être arrêtées par un simple rançongiciel ? Or les gouvernements successifs ne l’ont pas compris ou ont refusé de le comprendre. Nous aurions d’ailleurs aimé débattre de cette question avec Mme Chappaz.

Comment justifier que le conseil et la formation en cybersécurité des ministères aient été attribués à une entreprise canadienne, pour une facture de plusieurs centaines de millions d’euros ? Comment justifier que des entreprises cyber françaises – Sqreen, Sentryo, Alsid – aient été rachetées par des Américains sans aucune réaction de l’État ? Et comment justifier que l’éducation nationale et de nombreux ministères aient recours à des entreprises qui sont soumises à des règles d’extraterritorialité ?

Les gouvernements successifs ont fait mille annonces relatives à notre souveraineté numérique. Malheureusement, très peu d’actes ont suivi. Au Rassemblement national, nous avons une volonté politique, celle de protéger notre souveraineté, notre pays et notre écosystème numérique.

À travers les amendements que nous avons déposés, nous proposons, dans le cadre de la commande publique, de privilégier les entreprises françaises ou européennes s’agissant du traitement des données sensibles. Nous souhaitons ajouter le principe de souveraineté dans la stratégie nationale, ce mot ayant d’ailleurs été inséré par le Sénat. Nous avions également proposé d’instaurer un crédit d’impôt cyber pour accompagner les entreprises dans leur sécurisation ; notre amendement a malheureusement été déclaré irrecevable Enfin, nous proposons de responsabiliser l’administration s’agissant des fuites de données. En effet, il est inadmissible que les données des Français soient compromises sans qu’aucun responsable ait eu à rendre des comptes – je pense par exemple à Pôle emploi, devenu France Travail. Pour que ce texte soit utile, ces mesures doivent être adoptées.

Nous le répéterons lors de nos interventions : sans souveraineté, pas de cybersécurité et, sans cybersécurité, pas de souveraineté. L’absence du gouvernement peut nous offrir davantage de liberté, à nous, législateurs, pour trouver des solutions pour la France, son avenir et nos enfants.

M. Denis Masséglia (EPR). En matière de cybersécurité, nous faisons face à une réalité qui est implacable : les attaques se multiplient, elles frappent partout et personne n’est épargné. Entre 2022 et 2023, les attaques par rançongiciel ont augmenté de 30 %, elles ont touché 34 % des TPE (très petites entreprises) et PME (petites et moyennes entreprises), 24 % des collectivités mais aussi des hôpitaux, des universités et des entreprises stratégiques – soit le cœur de la vie économique, sociale et démocratique.

Face à ce défi, l’Union européenne a pris ses responsabilités en adoptant, en 2022, trois directives majeures – REC, NIS 2 et Dora – que ce projet de loi transpose dans notre droit. C’est un texte attendu, ambitieux et surtout nécessaire. La directive REC modernise et étend le dispositif de sécurité des activités d’importantes vitales jusqu’ici limité à quelques secteurs – l’énergie, le transport. Il s’appliquera désormais à onze secteurs parmi lesquels l’hydrogène, les réseaux de chaleur ou encore l’assainissement. C’est une avancée majeure pour notre résilience collective.

Avec NIS 2, c’est un véritable changement de paradigme. Nous ne parlons plus de la sécurité de quelques centaines d’infrastructures critiques ; désormais, près de 15 000 entités essentielles ou importantes, publiques comme privées, seront concernées, tout comme les collectivités territoriales.

En 2024, l’Anssi a traité 218 incidents ayant affecté les collectivités, dont 44 au niveau départemental et 39 au niveau régional. Ces chiffres suffisent à rappeler que la cybersécurité n’est pas un sujet théorique ; c’est une menace du quotidien. Le seuil retenu de 30 000 habitants devra faire l’objet d’un débat pour garantir un équilibre entre protection et proportionnalité.

Enfin, le règlement Dora garantira que les banques et les assurances disposent des moyens de résilience indispensables dans un monde où les flux numériques conditionnent la stabilité de nos économies.

Au-delà des transpositions, ce texte soulève trois grands enjeux. Tout d’abord, trouver l’équilibre entre souveraineté numérique et libre concurrence. Certains aimeraient d’ailleurs imposer le recours exclusif à des prestataires français ou européens. Bien entendu, nous partageons l’objectif de souveraineté, mais l’ériger en dogme absolu au détriment de l’efficacité pourrait, ici ou là, fragiliser nos entreprises. Ensuite, il est de notre rôle de garantir que les nouvelles compétences en matière de contrôle confiées à l’Anssi, pilier de notre cybersécurité, s’exerceront avec transparence, dialogue et, surtout, pédagogie. Enfin, s’agissant de la protection des collectivités, celles-ci doivent être mieux armées, mais nous devons éviter de prévoir des obligations qui seraient irréalistes pour les plus petites d’entre elles. Notre travail doit donc être guidé par un principe : protéger sans asphyxier.

Par ailleurs, l’article 16 bis interdit par principe toute backdoor (porte dérobée) dans les messageries chiffrées. Certes, le chiffrement est essentiel pour protéger la vie privée de nos concitoyens, mais refuser par principe toute coopération avec les services de renseignement pose question. Il faudra, là encore, chercher un chemin d’équilibre.

La cybersécurité n’est pas une option technique, c’est une condition de notre souveraineté, de notre sécurité et de la confiance de nos concitoyens. Le groupe Ensemble pour la République soutiendra ce projet de loi avec la volonté d’améliorer encore son équilibre et son efficacité.

M. Arnaud Saint-Martin (LFI-NFP). Permettez-moi tout d’abord de souligner l’absurdité – le scandale même – qu’une commission spéciale puisse tenir ses travaux au lendemain de la révocation du premier ministre et de son gouvernement. L’Assemblée nationale ayant décidé que le gouvernement n’était définitivement plus légitime, seules les affaires courantes peuvent encore être traitées par les ministres démissionnaires. Bien que ce projet de loi transpose des directives européennes – REC, NIS 2 et Dora –, il ne relève en rien de l’intendance des affaires courantes, de la formalité administrative. En effet, il touche à des sujets sensibles pour notre pays. Il comporte un ensemble d’articles très politiques qui engagent notre souveraineté pour longtemps. Nous examinons un projet de loi en l’absence de ministre pour répondre : c’est une rupture dans les formes instituées, un accroc légal considérable, un précédent inquiétant. Quand bien même ce texte est important – nous en convenons toutes et tous –, il n’y avait pas d’autres options que d’en reporter l’examen. Or cette option de sagesse n’a pas été retenue. C’est grave, mais soit : examinons donc ce texte dans un contexte dégradé, la veille d’un blocage du pays.

Autant le dire d’emblée, ce projet de loi est nécessaire mais largement incomplet. En particulier, il n’alloue pas les moyens humains, financiers et matériels suffisants à l’Anssi pour accomplir ses nouvelles missions. Ce problème central a été largement souligné.

Ici comme ailleurs, la dilution de l’action publique dans les chaînes d’interdépendance et de sous-traitance qui font la part belle à l’initiative privée fragilise notre souveraineté, surtout lorsque ces acteurs ne sont pas à 100 % français.

Néanmoins, notons certaines avancées, comme l’article 16 bis qui interdit les portes dérobées sur les messageries cryptées, alors que le ministre de l’intérieur démissionnaire avait pourtant tenté de les réintroduire au Sénat, sous prétexte de lutter contre le narcotrafic. Les amendements de suppression de cet article sont inadmissibles : interdire tout mécanisme qui craque le chiffrement des messageries protégées est une exigence fonctionnelle voire démocratique qu’il convient de sanctuariser.

Je le dis en guise d’alerte, ces dispositions, pour utiles qu’elles soient, seront forcément en retard sur les évolutions des menaces cyber d’attaquants qui auront toujours un temps d’avance. La puissance publique n’a pas pris la mesure de ce qui se passe alors que nous vivons dans une société toujours plus en réseau, que nous sommes en interconnexion permanente les uns avec les autres, que les liens sociaux se tissent autour du tout numérique en marche forcée, poussé par les marchands de connectivité, et que l’intelligence artificielle vient de plus en plus se mêler à tout ça. Depuis des années, nous interpellons sur les conséquences de la guerre hybride, des déstabilisations étrangères et des dangers pour la cybersécurité ; sur le fait de pouvoir disposer de cloud souverain sous juridiction française et non soumis aux règles néocoloniales nord-américaines. De même, nous interpellons sur la nécessité absolue de protéger nos câbles sous-marins et nos satellites. Or les gouvernements macronistes prennent du retard ou détraquent les mécanismes de défense.

Alors qu’elle aurait dû lever le pied, la start-up nation a accéléré sa cyber-sujétion : on verse dans le technosolutionnisme en appliquant des correctifs et des pansements, quand il faudrait donner des moyens, changer de braquet et repenser l’encastrement social, économique et politique des systèmes concernés.

De la fintech à l’edtech, en passant par les services publics en ligne – pas si accessibles –, c’est une fuite en avant. Bien que largement encouragé, ce mouvement nuit à notre souveraineté et, de surcroît, coûte cher aux administrations, aux entreprises de toutes tailles et de tous secteurs et aux particuliers ciblés par les rançongiciels : des dizaines de milliards d’euros sont perdus chaque année à la suite d’attaques.

Son dernier avatar est un mégacampus ultrapolluant de l’IA qu’un fonds émirien finance au nord de ma circonscription. Le champ du petit village seine-et-marnais de Fouju en sera dévasté. J’ai interrogé le gouvernement Bayrou sur les problèmes de souveraineté numérique liés à ce mégacentre de données et pseudo-campus à 50 milliards d’euros, qu’il faudra sécuriser, ainsi que sur son impact environnemental. Malheureusement, les gouvernements actuels sont illégitimes et obsolescents : on pourra attendre encore longtemps la réponse.

Nous avons examiné le texte et déposé des amendements, mais on ne peut pas travailler sur des sujets aussi critiques avec un gouvernement démissionnaire.

Mme Marie Récalde (SOC). Le groupe Socialistes et apparentés prend acte de la décision d’examiner ce texte, certes utile et nécessaire, malgré le contexte incertain et le fait qu’il s’agisse d’un projet de loi et non d’une proposition de loi.

Nous partageons le constat de la hausse et de l’évolution des menaces. Sources d’inquiétude légitime pour nos concitoyens, celles-ci rendent nécessaire la transposition des trois directives européennes relatives au renforcement de la résilience de la nation. Nous devons d’abord chercher à améliorer notre cybersécurité, notamment en élevant la maturité des acteurs, grâce à une nouvelle dynamique vertueuse.

La quatrième orientation de la nouvelle revue nationale stratégique, publiée cette année, prévoit déjà de maintenir une cyber-résilience de premier rang. L’enjeu est grave et les dangers réels, pour les acteurs économiques et pour tous nos concitoyens.

Si nous partageons pleinement l’objectif visé, nous mettons en garde : plusieurs difficultés majeures persistent.

Comment croire à la volonté d’obtenir des résultats quand la loi de finances pour 2025 a diminué les budgets de l’Anssi, de Viginum – service de vigilance et de protection contre les ingérences numériques étrangères – et de la Cnil ? Nous regrettons ces choix budgétaires incompatibles avec l’importance des enjeux. L’Anssi a été particulièrement contrainte cette année : elle avait demandé 35 millions supplémentaires mais le montant de ses crédits a diminué de 3,5 millions. Sa direction estime qu’elle aurait besoin de 50 à 60 équivalents temps plein (ETP) supplémentaires pour assurer les missions de supervision, de contrôle et d’accompagnement qui lui reviendront en application de NIS 2.

Par ailleurs, à l’issue des auditions, certaines questions demeurent. Nous manquons d’informations concernant le coût des nouvelles dispositions pour les entités concernées : l’application doit être possible financièrement et techniquement, et progressive. Nous veillerons à la pérennisation du financement des centres d’alerte et de réaction aux attaques informatiques (Cert). L’accompagnement des acteurs, nécessaire pour la bonne application des directives, reste insuffisant pour permettre une réelle amélioration de leur maturité cyber. Adopter de nouvelles réglementations sans associer pleinement les acteurs, c’est prendre le risque de l’inefficacité.

L’un des principaux défis à relever pour appliquer NIS 2 consistera à trouver les compétences nécessaires. Le marché de la cybersécurité est déjà sous tension : si la difficulté à trouver des personnes formées persiste, toute ambition sera vaine. Pour résoudre ce problème, nous devrons rendre le parcours plus attrayant pour les jeunes et améliorer les rémunérations, afin d’affronter la concurrence avec le secteur privé. Il faudra veiller en particulier aux territoires ultramarins : confrontés à des difficultés de recrutement prégnantes dans ce domaine, ils sont sous-dotés en ressources humaines. Nous ne pouvons nous satisfaire que la collectivité de Martinique ait besoin d’un an et demi pour recruter un responsable de la sécurité des systèmes d’information.

Dans le domaine de la cybersécurité, on observe un fort déséquilibre entre les industries européenne et extra-européenne. Ce texte doit offrir à l’industrie française l’occasion de reprendre une place centrale. Nous devons nous assurer que les entités privées et publiques qui seront soumises aux nouvelles obligations feront appel à des solutions européennes, sous peine de renforcer la dépendance aux acteurs extra-européens.

Les membres du groupe Socialistes et apparentés soutiendront le texte. Ils défendront toutefois des amendements, visant notamment à insérer la notion d’approche tous risques, à mieux définir le périmètre des entités importantes et à préciser quelles entités pourront délivrer le label de confiance créé lors de l’examen du texte au Sénat.

Mme Virginie Duby-Muller (DR). Depuis 2022, la France a subi de nombreuses cyberattaques, qui ont révélé la vulnérabilité de ses infrastructures critiques, de ses services publics et de ses entreprises. Menées principalement avec des rançongiciels ou des techniques d’hameçonnage de plus en plus sophistiquées, a fortiori depuis l’émergence de l’IA générative, ces attaques ont perturbé des services essentiels, abouti à des vols massifs de données personnelles et provoqué des préjudices financiers considérables. La santé, les grands organismes de service et les collectivités territoriales ont été particulièrement touchés.

Les établissements hospitaliers sont devenus des cibles récurrentes. En 2022, le Centre hospitalier sud francilien de Corbeil-Essonnes puis l’hôpital André-Mignot de Versailles ont ainsi été paralysés. En 2023, les attaques contre Viamedis et Almerys, opérateurs de tiers payant, ont compromis les données de plus de 33 millions de personnes. Celle menée contre France Travail en mars 2024 a exposé les informations de 43 millions de demandeurs d’emploi, actuels et passés. En Haute-Savoie, Arthaz-Pont-Notre-Dame et Annecy ont été touchées ; les municipalités comme Sallanches subissent une pression constante, avec une moyenne de 250 000 cyberattaques quotidiennes et des pics allant jusqu’à 800 000. Ces exemples illustrent l’ampleur du risque.

Dues au crime organisé ou à des entités étatiques hostiles, les attaques frappent aussi des secteurs essentiels tels que l’énergie, l’industrie, le système financier et les services de santé. Elles révèlent les failles des systèmes d’information dont dépendent désormais l’économie, les institutions et, in fine, notre souveraineté.

Le présent projet de loi est donc nécessaire et urgent. Il transpose enfin – avec près d’un an de retard – les directives européennes REC, NIS 2 et Dora. Il s’agit pour l’essentiel d’un texte d’habilitation confiant des pouvoirs étendus au premier ministre ; heureusement, le Sénat a précisé les contours de la future stratégie nationale de cybersécurité.

Toutefois, je défendrai des amendements concernant trois éléments.

Les plans de résilience des opérateurs d’importance vitale doivent comporter des mesures et des équipements. Cependant, l’article 1332-3 du code de la défense emploie le terme « dispositions », qui renvoie plutôt à des précautions générales. Pour éviter toute ambiguïté et de futurs contentieux, je proposerai d’insérer le mot « dispositifs » afin de préciser clairement qu’il peut s’agir de matériels.

Suivant la recommandation du Conseil d’État, le Sénat a introduit dans le code de la défense une définition de la résilience. Toutefois, celle-ci ne vaut qu’en application dudit code. De plus, NIS 2 prévoit une obligation de cyber-résilience, sans définir ce terme. Il faut combler cette lacune.

Le Sénat a souhaité renforcer la formation des personnels au risque cyber. L’intention est bonne mais la rédaction adoptée pourrait entraîner une surtransposition ainsi que des charges disproportionnées pour les entreprises et les collectivités. L’exigence de sécurité ne doit pas imposer des contraintes irréalistes : nous devons trouver un équilibre.

Hormis ces éléments, les membres du groupe Droite républicaine considèrent que ce texte constitue une transposition efficace, à même de mieux protéger les infrastructures et les citoyens. Nous devrons veiller à ce que les textes d’application paraissent sans délai, malgré le contexte politique, et à mieux acculturer la population à ce domaine.

Mme Sabrina Sebaihi (EcoS). Il est plus que temps de parler de cybersécurité, même si, à mon tour, je regrette d’examiner un texte si important avec un gouvernement démissionnaire.

Pendant que nous débattons, en effet, les cybercriminels n’attendent pas : ils frappent partout, tout le temps, sans relâche. En 2024, deux entreprises françaises sur trois ont subi une cyberattaque ; des hôpitaux ont été paralysés pendant des mois et des millions de données de santé ont été mises en vente sur le dark web. Quand un hôpital fonctionne en mode dégradé pendant dix-huit mois, il s’agit non d’une simple défaillance technique mais d’une défaillance de l’État.

Face à l’urgence, que fait ce gouvernement ? Il communique, il promet, et il coupe les crédits. L’Anssi, notre bouclier national, demandait 60 postes supplémentaires, elle en a obtenu zéro ; elle réclamait 35 millions pour sécuriser nos infrastructures, elle n’en a reçu que 27. Dans le même temps, on lui demande de passer de 500 entités supervisées à 15 000. Telle est la gestion macroniste : des injonctions toujours plus lourdes sans jamais 1 euro de plus pour les assumer – le fameux « en même temps ».

Résultat, nous transposons, avec des mois de retard, une directive européenne qui aurait dû l’être en 2024 – que de temps perdu, d’attaques qui auraient pu être évitées, de collectivités et d’hôpitaux laissés seuls face au danger ! Le président de la République explique qu’il veut protéger la France des ingérences étrangères mais aucun moyen n’est donné à ceux qui devraient la défendre.

Les cybercriminels se professionnalisent, opérant comme de véritables multinationales : rançongiciels sur abonnement, attaques en kit, données revendues en quelques heures. Face à cela, nos hôpitaux consacrent moins de 2 % de leur budget au numérique, contre 9 % pour le secteur bancaire. Résultat, 20 % de leur parc informatique est obsolète, seuls 7 % des établissements ont un responsable de la cybersécurité et 4 000 postes restent vacants dans ce secteur. Voilà comment l’État fabrique ses propres vulnérabilités, sur le lit de l’hôpital public déjà agonisant.

Les hôpitaux ne sont pas seuls concernés. Les réseaux d’eau potable et d’électricité, les systèmes de transport, les infrastructures de traitement des déchets sont autant de sites sensibles indispensables à la vie quotidienne et à la sécurité de la population. Une cyberattaque sur une station d’eau, sur une centrale électrique ou sur une usine de retraitement ne ferait pas seulement disparaître des données, elle mettrait des vies en danger. Or ces infrastructures vitales sont elles aussi sous-financées et trop souvent livrées à elles-mêmes.

Les collectivités locales, quant à elles, sont en première ligne mais souvent dépourvues d’équipes, d’expertises et de moyens. Les centres régionaux d’assistance financés par France Relance risquent de fermer faute de crédits. Demain, des régions entières seront des déserts cyber. On impose des normes mais on coupe l’assistance : voilà la fameuse résilience vantée par le gouvernement maintenant démissionnaire.

Sans un plan d’investissement massif, ce texte n’est qu’une coquille vide. Le choix politique du gouvernement est limpide : on trouve des milliards pour les grandes entreprises mais on laisse les collectivités, les hôpitaux et les PME sans défense. On subventionne les dividendes mais on abandonne nos infrastructures vitales ; on protège les bilans des grands groupes, non les vies des citoyens.

La cybersécurité n’est pas un gadget technique ; c’est une condition de souveraineté, de démocratie et de survie. Elle est nécessaire à la continuité des services publics, à la sécurité des données et à la confiance dans les institutions. Elle mérite qu’on déploie une vraie stratégie nationale, financée et ambitieuse, à même de protéger les hôpitaux, les communes et les entreprises. Nous demandons non une France des slogans mais une France qui protège réellement, qui place la cybersécurité au cœur de sa souveraineté, en y consacrant des moyens financiers et humains.

Mme Sabine Thillaye (Dem). Tous les ans, l’Anssi publie un panorama de la cybermenace ; chaque fois le constat est le même, celle-ci se renforce et se diversifie. Elle n’épargne plus aucun secteur de la vie économique et sociale. En 2024, 34 % des cyberattaques ont visé des TPE et des PME ; 24 % des collectivités territoriales ; 10 % des entreprises stratégiques ; 10 % des établissements de santé. Ces chiffres parlent d’eux-mêmes : le risque cyber est systémique et touche tous les secteurs de notre société.

Face à ce constat, l’Union européenne a adopté en 2022 les directives NIS 2, REC et Dora. Ensemble, elles instaurent une logique de résilience globale et cohérente, renforçant la souveraineté numérique européenne. Certains de nos voisins, comme la Belgique et l’Italie, ont déjà transposé NIS 2. En France, les entités concernées n’ont pas attendu pour s’adapter. Toutefois, dans un souci d’harmonisation, de cohérence et de clarté, nous devons mener ce travail législatif à bien le plus rapidement possible.

Nous devons toutefois veiller à éviter toute surtransposition inutile qui entraînerait des surcoûts pour les acteurs concernés, nuirait à la compétitivité de nos entreprises et, finalement, compromettrait l’harmonisation européenne, laquelle doit être notre premier objectif.

Il faudra que les acteurs concernés soient suffisamment accompagnés pour déterminer rapidement s’ils sont assujettis aux obligations prévues dans les directives et pour mettre à niveau leurs systèmes d’information. Il faut garder à l’esprit que le coût, estimé entre 3 et 6 milliards d’euros, est significatif. C’est pourquoi nous devrons débattre du seuil d’assujettissement des collectivités et de l’opportunité de désigner, au sein des communautés de communes, un référent capable d’accompagner ces transformations.

Le Conseil d’État a estimé que le projet de loi était globalement fidèle aux directives, l’exception la plus notable étant l’exemption de sanctions pour les collectivités territoriales et leurs établissements publics, administratifs et groupements qui ne respecteraient pas leurs obligations. Nous devrons débattre des points de divergence sans remettre en cause l’équilibre du texte.

Les membres du groupe Les Démocrates soutient ce projet de loi indispensable pour renforcer la souveraineté numérique européenne. Nos débats sont aussi l’occasion d’appeler l’attention du plus grand nombre sur la nécessité de renforcer la cybersécurité et d’améliorer notre acculturation à ce domaine : chacun d’entre nous a un rôle à jouer pour la défendre.

M. Vincent Thiébaut (HOR). La menace cyber n’est plus une hypothèse lointaine, c’est une réalité quotidienne. Chaque semaine, des attaques ciblées, denses et technologiquement avancées frappent fort les hôpitaux, les collectivités, les opérateurs d’énergie, les entreprises stratégiques et même les administrations.

Le projet de loi vise à apporter à ce problème une réponse claire en transposant trois textes européens majeurs : REC, NIS 2 et Dora. Il s’agit de dessiner une architecture de protection commune. C’est un tournant pour nos services vitaux, nos services financiers, nos infrastructures stratégiques, qui devront adopter les mêmes standards de sécurité et de résilience partout sur le continent.

Le texte tend à protéger les activités indispensables au quotidien des Français, qu’il s’agisse de la santé, de l’énergie, des transports, de l’alimentation ou des communications. Si, à cause d’une attaque, elles devaient s’arrêter, le pays se trouverait en grande difficulté. En renforçant les obligations de prévention, de détention et de réaction, le projet de loi donne aux citoyens de nouvelles garanties.

C’est aussi un projet de loi d’accompagnement, pour les grandes entreprises, souvent déjà bien armées, ainsi que pour les collectivités territoriales, en particulier pour les petites structures qui ont besoin de soutien pour se conformer aux nouvelles obligations. Nous défendrons ainsi des amendements relatifs à l’accompagnement financier, qui peut se révéler essentiel.

Ce texte n’est pas seulement défensif, il est tourné vers l’avenir ; il constitue une occasion formidable de structurer et de renforcer notre filière cyber nationale et européenne. Si nous ne disposons pas encore de tous les acteurs indispensables en Europe, ce texte nous aidera à structurer une filière complète. Les labels de confiance, les partenariats public privé et la mobilisation des expertises locales contribueront à bâtir l’autonomie stratégique dont nous avons cruellement besoin. La cybersécurité n’est pas seulement un coût ; elle est un atout pour la compétitivité de notre économie.

Enfin, c’est important pour nous, ce texte illustre la méthode de la sobriété normative : pas de surtransposition ni de complexité inutile – en tout cas, c’est le cap que nous nous sommes fixé. Il vise à établir une transposition fidèle, proportionnée et pragmatique ; il faut que les obligations imposées aux entités soient adaptées à leur taille et au niveau de risque encouru car c’est la condition d’une application rapide et efficace.

Les membres du groupe Horizons soutiendront ce texte essentiel. Nous attendons les discussions avec impatience, en particulier sur certaines dispositions introduites par le Sénat, comme celles relatives aux backdoors – il est essentiel de pouvoir en débattre paisiblement.

M. Laurent Mazaury (LIOT). Une faille numérique, un mauvais clic, et tout un service peut s’arrêter : c’est la réalité de la cybermenace que ce projet de loi tend à combattre.

En 2024, nos entreprises, nos administrations et nos collectivités ont totalisé 384 000 atteintes numériques, notamment pendant les Jeux olympiques, soit une hausse de 75 % en cinq ans. Le préjudice annuel est estimé à 2 milliards d’euros.

Il est donc plus que temps de transposer les trois directives européennes de 2022 – REC, NIS 2 et Dora. Derrière son aspect technique, ce texte doit marquer une étape décisive du renforcement du bouclier cyber de l’État et des entreprises – de la France.

S’agissant de la résilience des activités d’importance vitale, nous ne partons pas de rien : le dispositif SAIV compte déjà 300 opérateurs. Notre groupe salue son extension à de nouveaux secteurs essentiels, comme l’assainissement et l’hydrogène.

Les opérateurs concernés auront de lourdes obligations, en particulier l’établissement d’un plan de résilience. Même si ces mesures sont indispensables, il faudra leur laisser suffisamment de temps pour les appliquer.

Les sanctions sont utiles mais il faut raison garder. Le texte prévoit des amendes pouvant atteindre 2 % du chiffre d’affaires mondial. Je défendrai un amendement visant à mieux les calibrer et à éviter l’une de ces surtranspositions dont notre pays a le secret. Par ailleurs, l’État devra accompagner les acteurs et agir en partenariat avec les opérateurs stratégiques.

La transposition de NIS 2 fait passer le nombre des entités dites essentielles ou importantes, donc régulées, de 500 à près de 15 000 ; 1 300 collectivités, dont 300 communes, seront désormais concernées. Un tel changement constitue un défi.

Nos services de proximité sont vulnérables ; les mairies, les services départementaux d’incendie et de secours (Sdis), les hôpitaux sont de plus en plus visés. Une cyberattaque qui bloque un service d’urgence n’est pas un simple bug : c’est une menace directe pour la population. Il ne s’agit pas de fiction : l’hôpital André-Mignot, dans les Yvelines, s’est trouvé bloqué du jour au lendemain ; trois ans après, son fonctionnement quotidien s’en ressent encore.

Transposer des directives n’est pas tout : il faudra aussi territorialiser la nouvelle stratégie nationale pour la cybersécurité, en la dotant d’un échéancier et, surtout, de financements, car les acteurs locaux ont besoin de visibilité. Nous appelons à offrir un accompagnement spécifique aux élus locaux. La prise de conscience a eu lieu mais, la Cour des comptes le souligne dans son rapport consacré à la réponse de l’État aux cybermenaces sur les systèmes d’information civils paru en 2025, il reste trop difficile de se retrouver dans la foison de dispositifs. L’Anssi, dont le texte confirme le rôle de chef de file, doit assurer un accompagnement unifié et clair.

Il faut être lucide quant aux menaces extérieures et intérieures, et ne rien nous interdire pour sauvegarder la sécurité de la France. Pour cette raison, je défendrai la suppression de l’article 16 bis. Il faut non céder à la peur mais affronter la cybermenace. Parce que ce projet de loi est attendu, nécessaire et responsable, notre groupe le soutiendra.

M. Édouard Bénard (GDR). Examiner ce texte, dans les conditions dégradées que nous connaissons, sans ministre, est aberrant. Un projet de loi de cette ampleur, relatif à la cybersécurité, ne relève pas de la gestion des affaires courantes.

Depuis la fin du XXe siècle, la numérisation accélérée et la dépendance croissante aux technologies de l’information et de la communication ont profondément transformé les infrastructures économiques et financières. Cette évolution s’est accompagnée d’une concentration inédite des ressources et des services stratégiques entre les mains d’un oligopole de grandes entreprises, extra-européennes pour la plupart. Un tel déséquilibre limite directement la capacité de nos États à intervenir et à définir leur modèle de production et d’innovation industrielle.

Parallèlement, l’économie des données est devenue le socle de nouveaux marchés. Les données produites par les usagers, collectées, transformées, exploitées puis commercialisées, sont désormais une matière première du capitalisme contemporain.

Le numérique occupe donc une place centrale, avec pour conséquence redoutable l’essor massif de la cybercriminalité. La guerre économique se déroule désormais dans le cyberespace, et les attaques sont multiformes : intrusions orchestrées par des puissances étatiques, rançongiciels déployés par des groupes criminels, campagnes de manipulation informationnelle, espionnage industriel. Selon le gouvernement, le coût moyen d’une cyberattaque s’élève à 14 000 euros par entreprise.

En 2022, 385 000 attaques ont réussi, provoquant une perte globale de 2 milliards d’euros. Un dixième concernait des organismes publics. À peine 0,2 % a été déclaré à l’Anssi. Face à cette menace, le présent projet de loi transpose trois directives européennes – REC, NIS 2 et Dora – pour renforcer la sécurité des systèmes d’information. Il prévoit de nouvelles obligations de déclaration et tend à garantir une meilleure surveillance des prestataires critiques. Il monte à 14 500 le nombre des entités que l’Anssi sera chargé de suivre et de contrôler.

Ces avancées, réelles et nécessaires, ne suffisent pas. Le texte ne concerne que l’aval de la chaîne : les logiciels, les réseaux, les obligations de conformité. L’amont, à savoir la maîtrise des infrastructures matérielles stratégiques – production de puces, data centers et technologies de calcul quantique notamment – reste ignoré. Les secteurs concernés demeurent sous domination extra-européenne. Trois acteurs américains, Amazon, Microsoft et Google, détiennent 70 % du marché européen du cloud. Cette dépendance constitue un risque majeur pour notre souveraineté numérique.

Les nouvelles obligations pèseront lourdement sur les petites structures, en particulier les TPE et les PME, qui ne disposent ni des moyens humains ni des compétences techniques nécessaires pour les assumer – elles n’ont pas les capacités d’adaptation des grands groupes.

Il est indispensable de bâtir les conditions d’une autonomie numérique européenne. Pour y parvenir, il faut réinternaliser une partie des infrastructures stratégiques, investir dans nos propres data centers et solutions cloud et réduire notre dépendance aux acteurs extra-communautaires. À défaut, notre cybersécurité restera fragile et, face aux grandes puissances technologiques, nos marges de manœuvre limitées.

M. le président Philippe Latombe. Nous en venons à une intervention à titre individuel.

Mme Laetitia Saint-Paul (HOR). Je craignais que ce texte ne soit la première victime collatérale du vote de défiance d’hier. La quantité des attaques, leur qualité, l’effondrement de leur prix et la diversité des modes d’action sont tels que nous n’avons plus une minute à perdre. Je salue donc, monsieur le président, votre décision d’avoir maintenu l’examen du texte.

Par ailleurs, je soutiens la volonté de la rapporteure Anne Le Hénanff de tout faire pour éviter la surtransposition : nous avons besoin d’un texte opérationnel à l’échelle européenne.

III. Examen des articles du projet de loi

1. Deuxième réunion du mardi 9 septembre 2025 à 16 heures 30

La commission spéciale a procédé à l’examen du projet de loi, adopté par le Sénat après engagement de la procédure accélérée, relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (n° 1112) (M. Éric Bothorel, rapporteur général, Mme Catherine Hervieu, Mme Anne Le Hénanff, M. Mickaël Bouloux, rapporteurs).

M. le président Philippe Latombe. La commission a été saisie de 530 amendements. En application de l’article 45 de la Constitution, j’en ai déclaré irrecevables vingt-sept, qui ne présentaient aucun lien, même indirect, avec les dispositions du projet de loi initial. J’ai notamment estimé que tous les amendements dont le dispositif relevait directement du règlement général sur la protection des données (RGPD) ou de la loi de programmation militaire (LPM) étaient des cavaliers. En vertu de l’article 40 de la Constitution, le président de la commission des finances, Éric Coquerel, a déclaré irrecevables les amendements tendant à créer une charge pour les finances publiques.

Suivant la pratique de plusieurs commissions permanentes, nous examinerons en fin de discussion les amendements visant à obtenir du gouvernement un rapport, afin de faire preuve de discernement en la matière.

TITRE IER

RÉSILIENCE DES ACTIVITÉS D’IMPORTANCE VITALE

Chapitre Ier

Dispositions générales

Article 1er : (art. L. 1332-1 à 6 et art. L. 1332-7 à 22 [nouveaux] du code de la défense) Transposition de la directive 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des activités critiques (REC)

Amendements identiques CS264 de Mme Catherine Hervieu et CS162 de Mme Sabrina Sebaihi

Mme Catherine Hervieu, rapporteure. La préservation de l’environnement est essentielle à la survie de la nation. Pourtant, l’alinéa 7, qui définit les activités d’importance vitale, ne la mentionne pas. Ces amendements tendent à y remédier.

Le point 478 de la revue nationale stratégique indique explicitement qu’il faut donner une plus grande place au risque environnemental dans le dispositif.

Le ministère de la transition écologique, de la biodiversité, de la forêt, de la mer et de la pêche est déjà responsable d’environ 50 % des opérateurs visés. La précision est donc cohérente.

M. Éric Bothorel, rapporteur général. La notion d’environnement n’est pas étrangère aux activités d’intérêt vital, mais la mention de sa préservation n’est pas totalement cohérente avec les objectifs concrets de sécurisation. De plus, elle est déjà présente dans celle d’activité indispensable au fonctionnement de la société.

En créant un inventaire à la Prévert, on prend le risque d’oublier certains éléments, qui ne seront dès lors pas considérés comme indispensables.

Je vous invite donc à retirer ces amendements ; à défaut, j’émettrai un avis défavorable.

Mme Catherine Hervieu, rapporteure. La directive REC dispose qu’est « essentiel » un service crucial pour le maintien de l’environnement. La définition que je propose est donc conforme au droit européen.

M. Éric Bothorel, rapporteur général. Je ne pointe pas un défaut de cohérence mais l’inutilité de la précision. L’environnement est déjà pris en considération. La présence de onze secteurs relevant du ministère de la transition écologique, étroitement liés à cette question, le montre.

La commission rejette les amendements.

Amendement CS196 de M. Aurélien Lopez-Liguori

M. Aurélien Lopez-Liguori (RN). Les institutions, qui sont la cible privilégiée des ingérences étrangères – cyberattaques contre les mairies, l’Assemblée nationale, France Travail ; tentatives de manipulation électorale, de déstabilisation –, ne figurent pas dans la définition actuelle des infrastructures critiques. Il est proposé de combler ce vide.

M. Éric Bothorel, rapporteur général. L’objectif de préservation du fonctionnement des institutions est pris en compte dans la définition des activités d’importance vitale car toute perturbation heurterait nécessairement le fonctionnement de la société. Votre amendement étant satisfait, j’en demande le retrait ; à défaut, avis défavorable.

Mme Catherine Hervieu, rapporteure. Le fonctionnement des institutions est sous-entendu par la définition d’une infrastructure critique. Avis défavorable.

L’amendement est retiré.

Amendements identiques CS265 de Mme Catherine Hervieu et CS163 de Mme Sabrina Sebaihi

Mme Catherine Hervieu, rapporteure. Il est proposé d’ajouter à la définition de l’infrastructure critique la notion d’accès à l’information, afin de souligner l’importance vitale pour la société des médias, de l’audiovisuel et de la presse. Les infrastructures nécessaires à la diffusion de l’information aux citoyens doivent être considérées comme critiques pour assurer leur résilience.

Mme Sabrina Sebaihi (EcoS). Les attaques visent non seulement les hôpitaux et les réseaux d’énergie, mais aussi les esprits et notre démocratie, par la désinformation, les fake news et les manipulations orchestrées parfois depuis l’étranger. Inscrire l’accès à l’information dans la définition des infrastructures critiques, c’est reconnaître que sans information libre, fiable et protégée, notre société devient vulnérable aux ingérences et aux propagandes. Ce n’est pas un luxe : nous devons bâtir un rempart contre les dérives.

M. Éric Bothorel, rapporteur général. Vous avez raison : c’est loin d’être un luxe. C’est la raison pour laquelle cette disposition figure déjà dans certaines directives nationales de sécurité. Demande de retrait et, à défaut, avis défavorable.

La commission rejette les amendements.

Amendements identiques CS465 de M. Éric Bothorel et CS448 de Mme Catherine Hervieu

Mme Catherine Hervieu, rapporteure. Il s’agit de clarifier la notion d’infrastructure critique utilisée en droit européen. La directive REC adopte une définition de la notion d’infrastructure critique plus large que la notion de point d’importance vitale utilisée en droit national et bien appréhendée par les opérateurs. Le projet de loi, par l’emploi de l’adverbe « notamment », a fait le choix de conserver le périmètre actuel des PIV et de concevoir ces derniers comme une catégorie spécifique d’infrastructures critiques au sens de la directive.

Toutefois, la multiplication récente des textes européens faisant référence à la notion d’infrastructure critique rend de moins en moins pertinente la distinction entre, d’une part, les infrastructures qui correspondraient aux PIV et aux SIIV (systèmes d’information d’importance vitale) et, d’autre part, des infrastructures critiques qui en seraient exclues. Pour des raisons de cohérence entre le droit européen et le droit interne, il apparaît souhaitable de lever toute ambiguïté en supprimant l’adverbe « notamment », afin d’assurer une identité entre, d’un côté, les PIV et les SIIV, et, de l’autre, les infrastructures critiques.

La commission adopte les amendements.

Amendement CS125 de Mme Catherine Hervieu et sous-amendement CS482 de Mme Virginie Duby-Muller

Mme Catherine Hervieu, rapporteure. Il s’agit de corriger une erreur de syntaxe dans la définition de la résilience. « Prévenir contre tout type d’incident » est une formulation incorrecte. Il est proposé de définir la résilience comme « la capacité d’un opérateur à prévenir tout type d’incident, à s’en protéger et à y résister ».

Mme Virginie Duby-Muller (DR). Le sous-amendement vise à compléter la définition de la résilience en y intégrant explicitement la capacité de se rétablir après un incident, prévue par la directive. Sans cette mention, notre droit national offrira une définition incomplète qui risquerait de ne pas rendre justice à l’esprit du texte européen.

Le rétablissement n’est pas un élément secondaire : il constitue une condition essentielle de la continuité des activités critiques. Les crises cyber, les catastrophes naturelles ou encore les incidents techniques ne peuvent être considérés comme maîtrisés que si l’activité normale peut être restaurée rapidement et efficacement. En ajoutant ces quelques mots, nous apportons une clarification utile qui renforce la cohérence juridique de notre droit avec la directive.

Mme Catherine Hervieu, rapporteure. La notion de « continuité de l’activité », davantage utilisée en droit national et qui a la préférence du SGDSN, figure déjà dans la définition. Avis défavorable.

Le sous-amendement est retiré.

La commission adopte l’amendement.

Amendement CS197 de M. Aurélien Lopez-Liguori

M. Aurélien Lopez-Liguori (RN). Il n’existe aucune définition légale de la souveraineté numérique. En conséquence, ce concept assez flou demeure difficile à appliquer et à contrôler. L’amendement en propose donc une définition claire : la capacité de l’État à fixer les règles, à assurer son autonomie technologique et à se protéger des ingérences étrangères.

Une définition complète constituerait une boussole juridique stratégique ; elle permettrait de guider nos politiques numériques et de mettre fin aux abandons de souveraineté que nous consentons depuis des années. Aujourd’hui, les grands ministères ont toujours recours à une entreprise canadienne pour assurer la formation en cybersécurité : ce n’est pas normal. En fixant une définition de la souveraineté numérique, nous parviendrons peut-être à nous extirper de cette situation.

Mme Catherine Hervieu, rapporteure. Les définitions présentes dans le projet de loi sont issues de l’article 2 de la directive REC, transposé par l’article 1er. Elles ont pour objet de poser le cadre du dispositif de sécurité des activités d’importance vitale, lequel n’utilise pas la notion de souveraineté numérique. Un tel ajout à l’article 1er du projet de loi constituerait alors une surtransposition, qui pourrait ouvrir la voie à des conséquences néfastes pour le dispositif global. Avis défavorable.

M. Éric Bothorel, rapporteur général. Si personne ici ne s’oppose à l’idée qu’il faut conquérir la souveraineté numérique, inscrire sa définition dans le présent texte constituerait une surtransposition qui créerait de l’insécurité juridique pour les entreprises. Avis défavorable.

M. Aurélien Lopez-Liguori (RN). Nous ne sommes pas le seul groupe à avoir déposé des amendements relatifs à la souveraineté numérique dans ce texte. Il me paraît possible de trouver une majorité pour l’adoption de certains d’entre eux. Inscrire une définition de la souveraineté numérique dès l’article 1er permettrait de clarifier cette notion et de renforcer la directive telle qu’elle sortira de nos travaux.

Mme Catherine Hervieu, rapporteure. La souveraineté numérique n’entre pas dans le dispositif envisagé. Votre amendement irait à l’encontre de l’objet du texte, qui vise seulement à transposer la directive en droit national.

M. Éric Bothorel, rapporteur général. La souveraineté numérique devra probablement être définie un jour. Nous aurons ce débat, notamment avec ceux qui réclament la souveraineté numérique mais ne veulent pas des infrastructures chez eux. Ce sujet est sérieux et mérite mieux qu’une discussion au détour de l’examen d’un texte de transposition.

La commission rejette l’amendement.

Amendement CS42 de M. René Pilato

M. Arnaud Saint-Martin (LFI-NFP). L’amendement tend à imposer aux opérateurs d’importance vitale et aux entités critiques des dispositifs visant à protéger les personnes travaillant en leur sein. Il s’agit pour les OIV de tenir compte des risques psychosociaux et organisationnels auxquels sont soumis des agents en situation de stress élevé dans les plans de continuité ou de rétablissement d’activité exigés des opérateurs. L’expérience récente a démontré que l’absentéisme, la désorganisation managériale et l’épuisement professionnel pouvaient gravement compromettre la continuité de services pourtant techniquement robustes. Cet amendement s’inscrit dans une logique de résilience globale incluant le facteur humain, en cohérence avec les recommandations émises par plusieurs autorités de régulation et agences nationales de sécurité.

Mme Catherine Hervieu, rapporteure. S’il est indispensable de prévoir des mesures d’accompagnement et de limitation des risques auxquels sont exposés les salariés en cas de crise, le plan de résilience opérateur ne me semble pas être le bon véhicule pour prendre en compte les risques psychosociaux pour deux raisons principales. Tout d’abord, le plan étant classifié, ses éléments ne seront pas accessibles à l’ensemble des salariés et les syndicats auront un droit de regard très limité. La portée des mesures serait ainsi très réduite.

Ensuite, le plan devant être validé par l’autorité administrative, la préfecture devrait approuver ou modifier des mesures d’accompagnement des salariés, ce en quoi elle n’est pas compétente. Il serait donc plus judicieux de traiter ces sujets au sein des instances dédiées au dialogue social de chacune des entreprises concernées. Néanmoins, je partage tout à fait votre point sur l’importance d’inclure les risques pyscho-sociaux. Avis défavorable.

M. Éric Bothorel, rapporteur général. Les mesures proposées sont excessives car l’ensemble des employés d’un OIV serait concerné, alors que la qualification d’OIV peut n’être justifiée que pour une partie de ses activités. Je m’aligne donc sur l’avis de Mme la rapporteure.

La commission rejette l’amendement.

Amendements CS101 de M. Arnaud Saint-Martin, CS446 de Mme Catherine Hervieu et CS198 de M. Aurélien Lopez-Liguori (discussion commune)

M. Arnaud Saint-Martin (LFI-NFP). L’amendement CS101 vise à renforcer l’analyse des dépendances et des vulnérabilités des opérateurs d’importance vitale et de leurs sous-traitants en intégrant une approche globale de la sécurité, incluant la chaîne d’approvisionnement complète et la circulation des ressources humaines et matérielles.

Cette évaluation doit prendre en considération la dépendance à des prestataires ou fournisseurs stratégiques, y compris pour les services de logistique, de maintenance et de numérique, les conditions d’accès aux infrastructures, aux systèmes d’information et aux données sensibles, en distinguant les accès permanents, temporaires ou à distance, les flux de mobilité du personnel intervenant sur plusieurs sites, ainsi que les risques associés au transport et au stockage hors site d’équipements ou de supports d’information.

Mme Catherine Hervieu, rapporteure. L’amendement CS446 vise à intégrer les vulnérabilités des sous-traitants dans l’analyse des dépendances réalisée par les opérateurs d’importance vitale. L’interdépendance croissante de l’économie nécessite de leur part une analyse détaillée des vulnérabilités de leur chaîne d’approvisionnement. Or celle-ci ne peut être complète sans prendre en compte les sous-traitants, dans une démarche analogue à celle prévue par la directive de 2022 sur le devoir de vigilance des entreprises.

Je propose de réintroduire cette disposition qui avait été ajoutée en commission au Sénat, puis supprimée en séance. Afin d’éviter de surcharger les opérateurs, l’analyse serait réalisée dans un délai plus long que celui prévu par la directive REC ; il serait fixé par voie réglementaire.

M. Aurélien Lopez-Liguori (RN). Le Sénat a commis une erreur stratégique en supprimant l’obligation pour les OIV d’analyser les vulnérabilités de leurs sous-traitants. Les cyberattaques passent de plus en plus par la chaîne de sous-traitance, plus fragile. Il en existe de nombreux exemples : l’attaque de SolarWinds par un logiciel tiers a permis d’infiltrer des milliers d’organisations, dont des agences de l’État américain ; le rançongiciel NotPetya, propagé par une simple mise à jour d’un logiciel de comptabilité, a paralysé des entreprises du monde entier ; en France, plusieurs collectivités locales et établissements de santé ont été victimes d’attaques passées par des prestataires techniques insuffisamment protégés.

Supprimer cette exigence revient à se priver d’un bouclier indispensable et à sacrifier la sécurité à des impératifs pratiques ou économiques de court terme. Notre souveraineté numérique repose autant sur les grands opérateurs que sur la solidité de l’écosystème qui gravite autour. Les attaquants ont compris que la sous-traitance était leur cheval de Troie. Nous voulons donc rétablir le contrôle de la sous-traitance.

Mme Catherine Hervieu, rapporteure. L’amendement CS101 vise à étendre l’analyse des dépendances aux sous-traitants et aux accès physiques et numériques. Je suis favorable à l’intégration des sous-traitants dans l’analyse, sous réserve d’accorder un délai supplémentaire aux opérateurs. En revanche, intégrer les accès physiques et numériques et les équipements dans cette analyse aurait peu de sens dans le dispositif tel qu’il est conçu. Avis défavorable.

Concernant l’amendement CS198, un délai supplémentaire s’impose pour l’analyse des dépendances des sous-traitants. Avis défavorable.

M. Éric Bothorel, rapporteur général. Le dispositif prévu par la directive REC traite de la chaîne d’approvisionnement, qui couvre la question de la sous-traitance. Les trois amendements opèrent donc une surtransposition. Avis défavorable.

Mme Catherine Hervieu, rapporteure. L’argument de la surtransposition sera sans doute le fil rouge de nos débats. La fragilité de la sous-traitance est un point de vigilance et le fait d’accorder un délai pour qu’elle soit alignée correctement sur la chaîne de valeur enverrait le signal qu’elle est bien intégrée dans le dispositif. Cela ne me semble pas constituer une réelle surtransposition.

Successivement, la commission rejette l’amendement CS101 et adopte l’amendement CS446.

En conséquence, l’amendement CS198 tombe.

Amendement CS450 de M. Philippe Latombe

M. le président Philippe Latombe. Il s’agit d’intégrer, dans le périmètre de l’analyse des risques, les dépendances à l’égard des tiers et les vulnérabilités dans la chaîne d’approvisionnement. Cela vise à clarifier la question de la dépendance technologique vis-à-vis de fournisseurs de solutions logicielles et matérielles propriétaires.

Je réponds par avance à l’argument de la surtransposition en rappelant que, lors de l’adoption de la directive, nous n’avions pas encore connu ce qu’il s’est passé récemment avec les États-Unis : la possibilité pour un gouvernement d’utiliser un kill switch pour empêcher le bon fonctionnement d’un système en stoppant les mises à jour. Cela s’est matérialisé très concrètement, il y a quelques jours, par un executive order du président Trump à l’encontre de quatre juges de la Cour pénale internationale. Je souhaite donc compléter l’alinéa 32 pour que l’analyse des risques assure une visibilité du risque de kill switch pour l’ensemble des infrastructures concernées.

Mme Catherine Hervieu, rapporteure. Il est bénéfique de s’assurer que l’analyse des dépendances prenne en compte la dimension numérique pour garantir la continuité de l’activité des opérateurs. Avis favorable.

M. Éric Bothorel, rapporteur général. Sagesse.

La commission adopte l’amendement.

Amendement CS126 de Mme Catherine Hervieu

Mme Catherine Hervieu, rapporteure. Rédactionnel. L’amendement reformule la définition du plan particulier de résilience en remplaçant le pluriel par du singulier s’agissant de la mention de l’opérateur d’importance vitale.

La commission adopte l’amendement.

Amendements identiques CS478 de M. Éric Bothorel, CS9 de Mme Virginie Duby-Muller et CS452 de M. Philippe Latombe

Mme Virginie Duby-Muller (DR). Il s’agit d’intégrer explicitement la mention des dispositifs dans le plan particulier de résilience des opérateurs d’importance vitale. En l’état, le texte ne fait référence qu’aux procédures, sans distinguer clairement ce qui relève des équipements, d’une part, et des dispositifs et des procédures, d’autre part. Or un plan particulier de résilience doit être exhaustif pour être pleinement opérationnel. Il s’agit non seulement de prévoir des protocoles mais aussi d’identifier les moyens matériels et techniques indispensables à leur mise en œuvre.

L’ajout proposé assure la cohérence avec l’esprit de la directive REC, qui insiste sur la nécessité de garantir la continuité effective des services essentiels, et renforce la lisibilité du plan de résilience pour l’autorité administrative chargée de l’approuver. Il s’agit d’un amendement de clarification et de sécurisation juridique et opérationnelle.

Mme Catherine Hervieu, rapporteure. Ces amendements apportent une distinction utile en précisant les mesures qui relèvent d’équipements spécifiques et celles qui dépendent des procédures. Cela ne devrait pas générer de surcharge de travail déraisonnable pour les opérateurs. Avis favorable.

La commission adopte les amendements.

Amendement CS199 de M. Aurélien Lopez-Liguori

M. Emeric Salmon (RN). L’amendement vise à rendre obligatoire la consultation de l’autorité administrative par les OIV sur le point d’accorder une autorisation d’accès à leurs points d’importance vitale – rien ne les y oblige aujourd’hui. En effet, il n’est pas anodin de mettre entre les mains d’un individu la clé d’infrastructures essentielles pour la nation.

Mme Catherine Hervieu, rapporteure. La faculté ouverte aux OIV de demander un avis à l’autorité administrative est bien appréhendée par les opérateurs. En actant le passage à une logique d’avis conforme et en élargissant aux accès à distance, le projet de loi renforce déjà les contrôles portant sur les accès aux sites sensibles. Il serait donc contre-productif d’imposer aux opérateurs de demander un avis à l’autorité administrative. Cela pourrait créer un encombrement déraisonnable des services chargés des enquêtes. Les administrations que j’ai auditionnées ont indiqué qu’elles travaillaient en bonne intelligence avec les OIV. Des relations de confiance sont en train de s’établir et, même s’il ne faut pas être naïf en la matière, une telle disposition ne serait sans doute pas conforme à l’esprit de la directive ni à l’urgence de la transposer et à la nécessité de la rendre efficace.

La commission rejette l’amendement.

Amendement CS127 de Mme Catherine Hervieu

Mme Catherine Hervieu, rapporteure. Rédactionnel. Il s’agit de corriger une erreur de renvoi.

La commission adopte l’amendement.

Amendements identiques CS481 de M. Éric Bothorel, CS43 de M. Arnaud Saint-Martin, CS140 de M. Édouard Bénard et CS169 de Mme Sabrina Sebaihi

M. Arnaud Saint-Martin (LFI-NFP). Il est proposé que le décret d’application encadrant les enquêtes administratives de sécurité pour l’accès aux points et aux systèmes d’information d’importance vitale soit pris après avis de la Cnil. Cela permettrait de motiver davantage les demandes d’enquêtes administratives, qui peuvent entraîner la consultation de données personnelles à caractère sensible.

Mme Sabrina Sebaihi (EcoS). Les enquêtes administratives de sécurité qui conditionnent l’accès à des infrastructures critiques peuvent nécessiter la consultation de casiers judiciaires et l’exploitation de traitements automatisés de données personnelles. Autrement dit, cela touche directement aux libertés individuelles, raison pour laquelle nous proposons cet amendement.

Mme Catherine Hervieu, rapporteure. Il est important que la Cnil puisse éclairer le gouvernement sur la protection des données privées et l’accès à des informations sensibles. Avis favorable.

La commission adopte les amendements.

Amendement CS200 de M. Aurélien Lopez-Liguori

M. Emeric Salmon (RN). Cet amendement vise à obliger les OIV à consulter l’autorité administrative lorsqu’ils envisagent de recruter une personne pour un poste où elle aura accès aux points d’importance vitale.

Il complète donc l’amendement CS199. La rapporteure avait estimé que ce dernier n’était pas conforme à la directive mais, si l’on ne rend pas obligatoire la consultation de l’autorité administrative, on crée une passoire car il n’y aura pas réellement de filtrage.

Mme Catherine Hervieu, rapporteure. Permettez-moi de relever qu’à l’occasion d’autres débats, votre groupe avait défendu avec vigueur la simplification administrative.

Les opérateurs sont déjà familiarisés avec le dispositif actuel. Ils sont très conscients de la nécessité d’être vigilants en matière de recrutement et savent quels sont les postes qui supposent de demander l’avis de l’autorité administrative.

Encore une fois, on progresse, avec la conscience partagée de la nécessité d’être extrêmement efficaces pour aboutir à des procédures qui protègent contre les cyberattaques et les ingérences. Votre amendement serait donc contre-productif. Il ne correspond pas à l’esprit de ce texte, très attendu par les opérateurs et qui doit être opérationnel. Avis défavorable.

M. Aurélien Lopez-Liguori (RN). Si les entreprises ont déjà l’habitude de solliciter l’avis de l’autorité administrative, c’est bien qu’elles y ont très largement recours. Rendre cette consultation obligatoire n’entraînerait aucun engorgement, d’autant que cela reste un avis consultatif.

Mme Catherine Hervieu, rapporteure. Votre amendement conduirait à un encombrement déraisonnable des dossiers à traiter par les services chargés des enquêtes, ce qui ne correspond pas à ce que vous souhaitez.

On sait que la transposition de la directive va augmenter le nombre d’OIV. L’acculturation prévue par le projet constitue déjà une étape.

La commission rejette l’amendement.

Amendement CS201 de M. Aurélien Lopez-Liguori

M. Aurélien Lopez-Liguori (RN). Le texte prévoit que la Commission européenne puisse intervenir en effectuant des missions de conseil auprès de nos OIV, lorsque ceux-ci sont considérés comme d’importance européenne.

Nous comprenons l’intention, qui consiste à renforcer la coordination et la sécurité collective au sein de l’Union. Mais, même encadrée, cette disposition soulève des questions de principe. Quelle est la légitimité de la Commission européenne pour diligenter des opérations de conseil dans nos OIV, qui plus est lorsqu’ils interviennent dans des domaines qui relèvent des compétences exclusives des États et qu’ils sont essentiels dans le quotidien des Français et pour notre indépendance – hôpitaux, réseaux d’énergie ou de communications, administrations ?

Nous voulons ouvrir le débat car nous pensons qu’il n’appartient pas à la Commission européenne, organe non élu, de diligenter des missions de conseil et, potentiellement, de collecter des données confidentielles sur nos OIV. C’est pourquoi nous proposons de supprimer ce mécanisme.

Mme Catherine Hervieu, rapporteure. Il convient tout d’abord de rappeler que si la directive a été proposée par la Commission, elle a été adoptée par le Parlement et par le Conseil.

Comme cela est indiqué dans la directive, les entités critiques d’importance européenne particulière sont les OIV qui fournissent des services essentiels similaires dans au moins six États membres. Il est bien entendu indispensable de transposer cette notion en droit national et j’aurai un avis défavorable. Néanmoins, je vais revenir sur les points que vous avez soulevés.

Les obligations imposées à ces entités sont en réalité peu contraignantes. Il s’agit d’accorder un accès en cas de mission de conseil de la Commission pour les aider à se conformer à leurs obligations et à transmettre des informations supplémentaires à la Commission, si nécessaire.

L’objectif est avant tout d’assurer un recensement des entités critiques transfrontalières. Comme les dernières crises environnementales et les conflits l’ont montré, les risques pour la nation sont d’abord transfrontaliers. Votre amendement ferait peser de graves dangers sur le fonctionnement de l’économie comme de la société. Avis défavorable.

M. Aurélien Lopez-Liguori (RN). Une nouvelle délégation de compétence dans un domaine qui relève exclusivement des États doit être votée à l’unanimité par le Conseil – ce qui n’est pas du tout le cas en l’occurrence. Même si l’on peut estimer que la question que nous soulevons est annexe, nous considérons qu’il n’est pas possible d’étendre les compétences de l’Union à la faveur d’une directive. Ce n’est pas notre conception de la souveraineté nationale.

Mme Catherine Hervieu, rapporteure. Les réseaux, qu’ils soient électriques ou ferroviaires, font partie des OIV. Ils ne s’arrêtent pas aux frontières de chacun des pays européens. Il faut donc être cohérent.

Mme Marina Ferrari (Dem). L’amendement vise à supprimer un alinéa qui permet à la Commission d’accéder à des informations concernant des OIV lorsqu’ils fournissent des services essentiels dans au moins six pays – c’est-à-dire lorsqu’il existe un risque collectif. Il est donc nécessaire de maintenir cette disposition, car nous pouvons être interdépendants dans certains domaines.

La commission rejette l’amendement.

Suivant l’avis de la rapporteure, la commission rejette successivement les amendements CS202 et CS203 de M. Aurélien Lopez-Liguori.

Amendement CS204 de M. Aurélien Lopez-Liguori

M. Aurélien Lopez-Liguori (RN). Cet article prévoit que certains secteurs extrêmement souverains – comme la défense, le nucléaire ou la sécurité civile – peuvent être exclus du dispositif. Mais il s’agit seulement d’une faculté, ce qui introduit une dangereuse ambiguïté pouvant conduire à des interprétations différentes selon les circonstances.

Pour nous, il n’y a pas à tergiverser : la défense, le nucléaire et la sécurité publique doivent être systématiquement exclus de ce dispositif. Nous proposons donc de verrouiller le cadre juridique, car la souveraineté dans le domaine régalien n’est pas négociable.

Mme Catherine Hervieu, rapporteure. Un décret en Conseil d’État précisera le champ des exemptions. Le SGDSN collabore activement avec les services de la Commission européenne pour identifier les remontées d’informations pertinentes et celles qui doivent être proscrites pour garantir le secret de la défense nationale.

Il n’y a donc pas de raison que le législateur impose au gouvernement d’exempter les entités critiques d’importance européenne particulière de toutes leurs obligations.

Avis défavorable.

M. Éric Bothorel, rapporteur général. Avis défavorable également. Cet amendement est contraire à l’objectif de la directive, laquelle laisse une marge d’appréciation aux États. Une exclusion générale de certains secteurs viderait la directive de son sens.

M. Aurélien Lopez-Liguori (RN). La défense, le nucléaire et la sécurité publique sont les fondements de notre indépendance nationale. Ce ne sont pas des compétences partagées avec d’autres États membres mais bien des compétences exclusives des États.

Le texte permet déjà d’exclure, par décret, les activités précitées du champ du dispositif. Mais cette décision revient au législateur. Nous devons affirmer qu’il s’agit de compétences qui relèvent des États et non de l’Union européenne.

La commission rejette l’amendement.

Suivant l’avis du rapporteur général, elle adopte l’amendement rédactionnel CS128 de Mme Catherine Hervieu, rapporteure.

Suivant l’avis de la rapporteure, la commission rejette l’amendement CS205 de M. Aurélien Lopez-Liguori.

Amendement CS206 de M. Aurélien Lopez-Liguori

M. Aurélien Lopez-Liguori (RN). Les drones utilisés par l’État collectent des données parmi les plus sensibles. Si leur traitement est confié à des prestataires non européens, ces dernières se retrouveront de facto sous le régime de lois extraterritoriales, comme le Cloud Act (Clarifying Lawful Overseas Use of Data Act).

Je pense aussi et tout particulièrement aux lois sur le renseignement qui permettent aux autorités chinoises d’accéder aux informations sans même nous en informer. Ce risque n’est pas théorique : DJI (Da Jiang Innovation) a mis fin au blocage automatique des vols de ses drones dans les zones d’exclusion aérienne, ce qui permet de cartographier l’intégralité des zones sensibles aux États-Unis, en France et dans l’Union européenne. C’est un risque pour la France, mais aussi pour l’Europe.

Avec cet amendement, nous voulons imposer que les données soient traitées exclusivement par des entreprises européennes dont le capital est majoritairement détenu par des Européens. C’est une mesure de souveraineté car il n’y a pas de sécurité nationale sans maîtrise totale de nos données.

Mme Catherine Hervieu, rapporteure. L’article auquel fait référence cet amendement existe déjà dans le code de la défense. Il est simplement renuméroté par le projet de loi, afin de mieux l’intégrer dans ledit code. Cet article autorise la captation d’images par les services de l’État pour sécuriser les points d’importance vitale.

L’amendement modifierait un dispositif qui fonctionne bien et qui ne nécessite pas d’instaurer une préférence européenne particulière. Les services de l’État font déjà appel à des sociétés nationales ou, au besoin, à des partenaires européens. Avis défavorable.

M. Aurélien Lopez-Liguori (RN). Je comprends que l’on n’ait pas envie de surtransposer la directive. Mais, en dehors des débats sur la LPM (loi de programmation militaire), quand avons-nous pu discuter de cybersécurité au sein de cette assemblée ? Il me semble que cela n’a pas été le cas depuis la loi sur le renseignement, en 2015 – je n’étais pas encore député.

Ce texte est l’occasion aborder le sujet, à un moment où nous savons quels sont les risques géopolitiques, d’espionnage et liés à l’extraterritorialité. En tant que législateurs, nous devons saisir cette opportunité pour parler de souveraineté, d’indépendance et d’ingérence. La question est la suivante : comment faire en sorte que les entreprises européennes soient les seules à traiter ces données ? Une approche souveraine serait en soi extrêmement bénéfique, mais elle le serait aussi pour nos entreprises, qui auront des marchés. Je ne vois pas pourquoi nous nous en priverions.

M. Éric Bothorel, rapporteur général. Depuis huit ans, l’Assemblée s’est penchée sur les sujets relatifs au numérique en général, mais aussi, parfois, à la cybersécurité en particulier. Je pense notamment à la loi visant à sécuriser et à réguler l’espace numérique, dite Sren, qui comprenait des dispositions concernant le cloud. Le sujet des données a également souvent été abordé, notamment à l’occasion de textes relatifs à la santé. Nous avons adopté des dispositions pour sécuriser celles-ci – ce qui a contribué à la mise en place de la certification SecNumCloud.

Je ne peux pas laisser dire qu’il n’y a pas eu de travaux sur ces sujets à l’Assemblée, alors même que nous examinons un texte destiné à transposer les directives REC, NIS 2 et Dora. Qui plus est, certains groupes d’études travaillent de manière intense sur ces sujets. Les travaux de celui que vous présidez ne sont pas inutiles, monsieur Lopez-Liguori.

La commission rejette l’amendement.

Amendement CS466 de M. Éric Bothorel

M. Éric Bothorel, rapporteur général. Cet amendement de cohérence vise à soumettre l’ensemble des OIV aux obligations de notification d’incidents importants et de vulnérabilités critiques prévues à l’article 17.

Mme Catherine Hervieu, rapporteure. La précision est utile. Avis favorable.

La commission adopte l’amendement.

Amendement CS49 de M. René Pilato

M. Arnaud Saint-Martin (LFI-NFP). Cet amendement vise à étendre la protection dont disposent les lanceurs d’alerte aux agents chargés du contrôle des OIV. Les lanceurs d’alerte sont des vigies citoyennes qui participent à l’intérêt général en révélant des scandales liés à des violations d’une norme ou à des pratiques condamnables.

Les OIV sont par définition essentiels au bon fonctionnement de la société, des institutions et de l’économie. Une défaillance majeure de l’un d’entre eux pourrait avoir des conséquences extrêmement graves pour l’ensemble du pays.

Dans le cadre de leurs missions, les agents habilités à rechercher et à constater les manquements à l’article 1er peuvent être confrontés à de telles défaillances présentant un risque majeur pour l’intérêt général. Il est donc indispensable qu’ils puissent alerter l’opinion et les pouvoirs publics sans risquer des poursuites.

Mme Catherine Hervieu, rapporteure. Les agents habilités ont pour mission de constater les manquements des opérateurs et de les signaler, en vue d’une éventuelle saisine de la commission des sanctions.

Leur habilitation est stricte et leurs pouvoirs sont très larges. Ces prérogatives impliquent en contrepartie une discrétion absolue sur les faits dont ils ont connaissance, afin de protéger le secret de la défense nationale.

Étendre à ces agents les dispositions de loi Sapin 2 pourrait fragiliser l’ensemble du dispositif de sécurisation des activités d’importance vitale. La confiance entre les opérateurs et les agents habilités pourrait être rompue, avec des conséquences potentiellement graves sur l’accès de ces derniers aux informations.

Le dispositif de protection des lanceurs d’alerte concerne des circonstances exceptionnelles, lesquelles pourront être examinées par la justice au cas par cas. Avis défavorable.

La commission rejette l’amendement.

Amendement CS451 de M. Philippe Latombe

M. le président Philippe Latombe. Cet amendement vise à intégrer au sein de la commission des sanctions un représentant du ministère chargé du secteur d’activité auquel appartient l’entité qui fait l’objet d’une procédure.

Historiquement, il revient aux ministères de désigner quels sont les OIV dans leur domaine de compétences. Il serait donc justifié qu’un représentant du ministère concerné participe aux débats de la commission, car il serait en mesure d’apporter à charge ou à décharge des éléments non techniques – relatifs aux politiques publiques, économiques ou sociaux – susceptibles d’influer sur sa décision.

Mme Catherine Hervieu, rapporteure. Chaque secteur d’importance vitale est supervisé par un ministre coordonnateur, lequel veille à l’application du dispositif dans les secteurs d’activité de son champ de compétences.

La commission des sanctions prévue par ce texte permettra quant à elle de sanctionner les manquements des opérateurs.

Par conséquent, il ne me semble pas judicieux que des représentants du ministère soient à la fois régulateurs et juges. Cela contreviendrait au principe de séparation des fonctions d’enquête et de sanction et remettrait en cause l’impartialité de la commission, laquelle doit être aussi indépendante que possible. Avis défavorable.

La commission rejette l’amendement.

Suivant l’avis de la rapporteure, elle rejette l’amendement CS44 de M. René Pilato.

Amendement CS467 de M. Éric Bothorel

M. Éric Bothorel, rapporteur général. Cet amendement vise à revenir au texte initial du gouvernement s’agissant des autorités chargées de nommer les membres de la commission des sanctions. Cette rédaction est justifiée par la nature et les missions de cette commission, qui aura à connaître de sujets très techniques et opérationnels, liés notamment à la sécurité des activités d’importance vitale et à la cybersécurité.

Il paraît dès lors paradoxal de confier au président de l’Assemblée nationale et à celui du Sénat le soin de procéder à de telles nominations.

Mme Catherine Hervieu, rapporteure. La modification adoptée par le Sénat renforce le contrôle du Parlement sur la commission des sanctions, sans pour autant politiser sa composition. Compte tenu des pouvoirs confiés à cette commission, il me semble utile que le Parlement désigne une partie des personnalités qualifiées. Avis défavorable.

La commission adopte l’amendement.

En conséquence, l’amendement CS45 de M. Arnaud Saint-Martin tombe.

Suivant l’avis de la rapporteure, la commission rejette l’amendement CS462 de M. Arnaud Saint-Martin.

Amendements identiques CS479 de M. Éric Bothorel et CS99 de M. Laurent Mazaury

M. Laurent Mazaury (LIOT). Cet amendement vise à faire figurer explicitement le principe du contradictoire, élément fondamental des droits de la défense dans toutes les procédures. La commission des sanctions pourra en effet infliger des sanctions lourdes aux entreprises, avec des amendes pouvant s’élever à 2 % de leur chiffre d’affaires annuel mondial.

Mme Catherine Hervieu, rapporteure. L’amendement apporte une précision utile en inscrivant l’obligation de contradictoire dans la loi. Avis favorable.

La commission adopte les amendements.

Amendement CS532 de M. Éric Bothorel

M. Éric Bothorel, rapporteur général. Cet amendement rédactionnel fait suite à l’amendement CS467.

Mme Catherine Hervieu, rapporteure. Avis défavorable.

La commission adopte l’amendement.

Amendements identiques CS129 de Mme Catherine Hervieu et CS461 de M. Arnaud Saint-Martin, amendement CS470 de M. Éric Bothorel (discussion commune)

Mme Catherine Hervieu, rapporteure. Avec mon amendement je propose que le mandat des membres de la commission des sanctions ne soit pas renouvelable, alors que le texte prévoit qu’il peut être renouvelé une fois. Cela permettra de garantir l’impartialité de cette commission, car l’indépendance de ses membres ne pourra pas être contestée. Son autorité s’en trouvera renforcée.

M. Arnaud Saint-Martin (LFI-NFP). Nous souhaitons modifier les modalités de désignation des membres de la commission des sanctions, afin de garantir son impartialité et son indépendance. Nous voulons également renforcer cette dernière en supprimant la possibilité pour l’exécutif de renouveler le mandat des membres de la commission. Le caractère désintéressé de ses décisions s’en trouvera renforcé.

M. Éric Bothorel, rapporteur général. L’amendement CS470 est rédactionnel.

Avis favorable aux amendements CS129 et CS461.

La commission adopte les amendements identiques.

En conséquence, l’amendement CS470 tombe.

Suivant l’avis de la rapporteure, la commission adopte l’amendement rédactionnel CS469 de M. Éric Bothorel, rapporteur général.

Amendement CS20 de Mme Sabine Thillaye

Mme Sabine Thillaye (Dem). Je m’interroge sur l’opportunité d’exempter les administrations de l’État et ses établissements publics administratifs ainsi que les collectivités territoriales, leurs groupements et leurs établissements administratifs de sanctions en cas de manquement.

Je comprends que certains soient absolument opposés à mon amendement, mais le dispositif relatif aux sanctions comprend des garde-fous. La commission des sanctions statue par décision motivée. Elle ne peut pas se prononcer sans avoir entendu l’opérateur concerné ou son représentant. À défaut, il doit avoir été dûment convoqué. Enfin, le prononcé de sanctions n’est pas automatique.

D’autres États membres prévoient que leurs collectivités peuvent faire l’objet de sanctions. Ne faut-il pas faire de même dans le cas où certaines administrations ou collectivités feraient preuve d’une forme de négligence, faute d’avoir pris conscience de la nécessité de se protéger ?

Mme Catherine Hervieu, rapporteure. Cet amendement implique en réalité d’étudier séparément les conséquences pour l’Etat et les collectivités. D’une part, prévoir que l’État et ses établissements publics peuvent être sanctionnés n’emporterait que peu de conséquences effectives. Il s’agirait d’un mécanisme comptable. Les sanctions prononcées par la Cnil ne concernent pas l’État et ses établissements publics. Les réserves émises par le Conseil d’État portent d’ailleurs seulement sur les collectivités territoriales.

D’autre part, il est opportun de limiter les charges supplémentaires qui pourraient être imposées aux collectivités territoriales. Elles ne bénéficient d’aucune marge de manœuvre budgétaire en raison des missions qu’elles doivent assumer et de celles qu’elles exercent au nom de l’État.

Les spécificités des collectivités plaident pour une exonération du régime de sanctions, comme le prévoit le projet – étant entendu que ce texte comprend aussi des mesures de police administrative qui leur sont bien applicables. Avis défavorable.

L’amendement est retiré.

Suivant l’avis du rapporteur général, la commission adopte l’amendement rédactionnel CS130 de Mme Catherine Hervieu, rapporteure.

Amendement CS58 de M. René Pilato

M. Arnaud Saint-Martin (LFI-NFP). Cet amendement tend à renforcer le contrôle exercé par l’État sur les contrats de concession relatifs à la gestion d’infrastructures critiques. Dans un contexte de montée des tensions géopolitiques, de menaces hybrides et de dépendances stratégiques, il est essentiel de garantir la souveraineté de la France dans les secteurs les plus sensibles.

Cet objectif suppose une vigilance particulière à l’égard des modalités de sous-traitance, afin d’écarter tout acteur ou technologie susceptible de compromettre la sécurité, la continuité d’activité ou la confidentialité des données. Il implique aussi de favoriser les acteurs économiques basés en France, mesure qui permettrait de réduire les vulnérabilités de la France vis-à-vis d’acteurs économiques étrangers.

En imposant d’intégrer des clauses de sécurité dans ces contrats, l’amendement permet de préserver les intérêts fondamentaux de la nation, tout en favorisant une chaîne de sous-traitance compatible avec les exigences de loyauté, de transparence et d’autonomie stratégique. Il s’inscrit dans une démarche de consolidation de la résilience industrielle française et de protection de notre souveraineté économique.

Mme Catherine Hervieu, rapporteure. Le contrôle de l’autorité administrative est garanti, puisque les OIV devront l’informer avant de recourir aux régimes dérogatoires en matière de marchés publics et de contrats de concession. Les modalités seront prévues par des dispositions réglementaires.

Le dispositif prévu ne concerne pas l’État mais bien les OIV. Il est destiné à éviter qu’un acteur hostile remporte un contrat et menace une activité d’importance vitale. Avis défavorable.

La commission rejette l’amendement.

Amendement CS103 de M. Antoine Villedieu

M. Emeric Salmon (RN). Certains opérateurs d’importance vitale – aéroports, ports, réseaux d’énergie et d’eau – passent des marchés qui touchent directement à la sécurité nationale. Pourtant, leur régime juridique n’est pas clairement aligné sur celui des marchés de défense, ce qui crée une zone grise. En pratique, un arbitrage politique compliqué est nécessaire pour écarter un prestataire extra-européen, par exemple un fournisseur chinois ayant une position dominante dans les systèmes de détection de bagages. Il manque un outil juridique clair pour protéger nos intérêts essentiels.

Nous proposons une solution simple : aligner explicitement le régime des marchés des OIV sur celui des marchés de défense ou de sécurité nationale. Cela permettra aux opérateurs de repousser de façon claire et légale des prestataires étrangers qui présentent un risque pour nos données, notre souveraineté et notre sécurité.

Mme Catherine Hervieu, rapporteure. Le dispositif prévu par le projet de loi est plus adapté que celui des marchés de défense ou de sécurité, qui est plus général et vise davantage à protéger le secret de la défense nationale. Votre amendement contribuerait sans doute à affaiblir la sécurité des opérateurs, ce que nous ne souhaitons pas. Avis défavorable.

La commission rejette l’amendement.

Amendement CS207 de M. Aurélien Lopez-Liguori

M. Aurélien Lopez-Liguori (RN). Trop souvent, nos opérateurs d’importance vitale (OIV) confient leurs marchés les plus sensibles – sécurité des réseaux, systèmes de commandement, hébergement de données critiques – à des entreprises extra-européennes. Cela a deux conséquences : d’une part, une dépendance technologique, d’autre part, la soumission à des lois extraterritoriales comme le Cloud Act ou la loi sur le renseignement en Chine. L’histoire récente en a pourtant montré les dangers : des entreprises américaines bloquent du jour au lendemain l’accès à des technologies jugées stratégiques – M. Trump l’a évoqué dans une lettre aux Gafam il y a quelques mois – et des fournisseurs étrangers coupent l’approvisionnement en composés critiques. Qui peut croire que cela n’arrivera pas à la France ou à l’Union européenne ? Personne.

Nous souhaitons donc édicter un principe clair : dans les marchés stratégiques, la priorité doit être accordée aux entreprises européennes. C’est une question de bon sens. Viser la souveraineté, ce n’est pas se priver de l’efficacité : lorsque nous ne possédons pas une technologie, il faut bien entendu se tourner vers l’étranger. L’écosystème numérique français est très performant – revenant de Corée du Sud, je peux affirmer qu’il est bien meilleur que celui de ce pays. Il faut l’utiliser. Ce principe est doublement vertueux, puisqu’il aura pour effet de protéger notre souveraineté et de renforcer notre industrie nationale, qui compte déjà des champions en matière de cybersécurité. Nous affirmons une vérité simple : la sécurité nationale ne se sous-traite pas à l’étranger, elle se construit chez nous.

Mme Catherine Hervieu, rapporteure. Le projet de loi nous prémunit déjà contre le risque d’ingérence étrangère en évitant qu’un acteur hostile ne se porte candidat à des marchés publics ou à des contrats de concession, et, le cas échéant, remporte le contrat. L’introduction d’une clause de préférence européenne restreindrait la portée du dispositif tel qu’il est conçu : au-delà de la nationalité de l’entreprise, il vise à protéger les opérateurs de tous types d’entreprises hostiles étrangères. Avis défavorable.

M. Aurélien Lopez-Liguori (RN). M. Macron, M. Barrot et Mme Chappaz ont multiplié les déclarations sur la préférence européenne. Chaque fois qu’il est question de numérique, de défense et de stratégie, on invoque la nécessité de prioriser les marchés européens, d’appliquer un European Buy Act. J’ose imaginer que votre position sera cohérente avec celle du président de la République.

Mme Marina Ferrari (Dem). Votre amendement n’est pas si contraignant que vous le dites, puisqu’il prévoit que les OIV « choisissent en priorité » des entreprises européennes. Il offre une possibilité sans rien imposer.

Le European Buy Act que nous appelons de nos vœux doit nécessairement être travaillé au niveau européen. Nous transposons ici une directive européenne : conformons-nous le plus possible à cette dernière, et avançons en parallèle sur les dispositions relatives aux marchés stratégiques.

M. Éric Bothorel, rapporteur général. Je ne peux pas laisser dire que nous ne serions pas cohérents avec les politiques volontaristes qui sont menées pour défendre notre souveraineté. Notre droit comporte des dispositions en ce sens – citons notamment le SecNumCloud. Je rejoins les arguments de la rapporteure et de Mme Ferrari : les dispositions que vous proposez n’ont pas leur place dans le projet de loi.

La commission rejette l’amendement.

Elle adopte l’article 1er modifié.

Chapitre II

Dispositions diverses

Article 2 (articles L. 1331-1, L. 2113-2, L. 2151-1, L. 2151-4, L. 2171-6, L. 2321-2-1, L. 2321-3 et L. 4231-6 du code de la défense ; article 226-3 du code pénal ; articles L. 33-1 et L. 33-14 du code des postes et des télécommunications électroniques ; article L. 1333-9 du code de la santé publique ; articles L. 223-2 et L. 223-8 du code de la sécurité intérieure ; article 15 de la loi n° 2006-961 du 1er août 2006 relative aux droits d’auteur et aux droits voisins) : Actualisation de références législatives

Suivant l’avis du rapporteur général, la commission adopte l’amendement rédactionnel CS131 de Mme Catherine Hervieu, rapporteure.

Elle adopte l’article 2 modifié.

Article 3 (articles L. 6221-2, L. 6222-1, L. 6242-2 et L. 6312-3 [nouveaux] du code de la défense ; article 711-1 du code pénal ; articles L. 33-1, L. 33-15 et L. 34-14 du code des postes et des communications ; articles L. 285-1, L. 286-1, L. 287-1 et L. 288-1 du code de la sécurité intérieure) : Dispositions relatives à l’outre-mer

Suivant l’avis du rapporteur général, la commission adopte l’amendement rédactionnel CS132 de Mme Catherine Hervieu, rapporteure.

Elle adopte l’article 3 modifié.

Chapitre III

Dispositions transitoires

Article 4 : Modalités d’entrée en vigueur du titre Ier

La commission adopte l’article 4 non modifié.

TITRE II

CYBERSÉCURITÉ

Chapitre Ier

De l’autorité nationale de sécurité des systèmes d’information

Article 5 : Missions et compétences de l’autorité nationale de sécurité des systèmes d’information

Suivant l’avis du rapporteur général, la commission adopte l’amendement rédactionnel CS267 de Mme Anne Le Hénanff, rapporteure.

Amendement CS62 de M. René Pilato

M. Arnaud Saint-Martin (LFI-NFP). Nous souhaitons préciser les missions de l’Agence nationale de la sécurité des systèmes d’information (Anssi) en y intégrant la promotion de la cyberprotection et de la cyberhygiène ainsi que l’éducation aux bonnes pratiques numériques. À l’heure où notre société est toujours plus interconnectée, où les guerres sont hybrides et où les attaques cyber se multiplient, la technologie est devenue incontournable dès le plus jeune âge. Les moyens de l’Anssi doivent être renforcés afin qu’elle puisse assurer des missions pédagogiques en la matière.

La numérisation de l’économie et de nos modes de vie ayant un impact majeur sur nos sociétés, l’éducation aux bonnes pratiques et la lutte contre l’illectronisme sont des enjeux majeurs de politique publique qu’il convient de traiter comme tels en les inscrivant formellement dans la loi, tout en rappelant le rôle de l’État en matière de cyberprotection et de cyberhygiène.

Mme Anne Le Hénanff, rapporteure. Les jeunes étant des acteurs clés de la cyber-résilience de la nation, je suis favorable à votre amendement.

La commission adopte l’amendement.

Amendement CS209 de M. Aurélien Lopez-Liguori

M. Aurélien Lopez-Liguori (RN). Dans son rapport sur les cybermenaces publié en juin 2025, la Cour des comptes pointe une faiblesse majeure : la dispersion et le cloisonnement des analyses des menaces cyber. Des dizaines d’études sont produites par les ministères, les agences, les opérateurs publics et les cabinets privés, mais aucune consolidation n’en est réalisée ; de fait, nous avons une vision parcellaire de la menace cyber. Conformément aux recommandations de la Cour des comptes, nous proposons que l’Anssi centralise et synthétise ces informations pour créer un véritable observatoire de la menace cyber.

Mme Anne Le Hénanff, rapporteure. Je comprends l’idée générale de votre amendement, mais je ne saisis pas bien les notions de centralisation et de synthétisation des études. Je vous propose de le retravailler en vue de la séance. Demande de retrait ; à défaut, avis défavorable.

La commission rejette l’amendement.

Elle adopte l’article 5 modifié.

Après l’article 5

Amendement CS475 de M. Éric Bothorel, amendements identiques CS472 de M. Philippe Latombe et CS208 de M. Aurélien Lopez-Liguori (discussion commune)

Mme Anne Le Hénanff, rapporteure. Je partage votre préoccupation quant à la cybersécurisation des collectivités territoriales – c’est justement l’objet de NIS 2. Toutefois, s’agissant de ces amendements comme de tous ceux qui, de mon point de vue, n’ont pas de lien avec NIS 2 ou qui constituent une surtransposition, ma position sera défavorable.

M. Éric Bothorel, rapporteur général. Je partage l’avis de la rapporteure sur les amendements identiques.

La commission adopte l’amendement CS475.

En conséquence, les amendements CS472 et CS208 tombent.

Amendement CS171 de Mme Sabrina Sebaihi

Mme Sabrina Sebaihi (EcoS). Lorsqu’une mairie, une école ou un hôpital sont frappés par une cyberattaque, les collectivités locales sont en première ligne : elles doivent protéger leurs services, leurs données et leurs citoyens. Bien souvent, elles n’en ont ni les moyens ni les compétences – beaucoup de petites communes n’ont aucun spécialiste cyber. Aussi proposons-nous que les collectivités puissent conclure des conventions de coopération afin de mutualiser leurs moyens, leurs expertises, leurs équipements et leur personnel. Plutôt que de demander à chacune d’inventer seule sa cybersécurité, renforçons la coopération territoriale et le tissu local. Grâce à ces conventions, les collectivités pourront partager un expert, accéder à des infrastructures sécurisées et s’appuyer sur les centres spécialisés régionaux. Il s’agira, non pas d’une charge nouvelle, mais d’un outil de résilience mis à leur disposition pour se protéger.

Mme Anne Le Hénanff, rapporteure. La mutualisation est essentielle. Cela dit, les collectivités locales, notamment les intercommunalités, ont déjà vocation à mutualiser leurs moyens. Votre amendement constituerait donc une surtransposition. Avis défavorable.

M. Éric Bothorel, rapporteur général. Le plan communal de sauvegarde (PCS) est vivement encouragé pour toutes les communes, mais il n’est obligatoire que pour celles qui sont exposées à un risque particulier et pour les établissements publics de coopération intercommunale (EPCI) qui comptent une de ces communes – je vous renvoie à l’article L. 731-3 du code de la sécurité intérieure. Votre amendement ne s’appliquerait donc pas à l’ensemble des communes ; c’est pourquoi mon avis est défavorable.

La commission rejette l’amendement.

Article 5 bis : Stratégie nationale en matière de cybersécurité

Suivant l’avis du rapporteur général, la commission adopte successivement les amendements rédactionnels CS269 et CS270 de Mme Anne Le Hénanff, rapporteure.

En conséquence, les amendements CS483 de M. Éric Bothorel et CS268 de M. Philippe Latombe tombent.

Amendement CS271 de M. Philippe Latombe

M. le président Philippe Latombe. Il s’agit d’intégrer la notion de souveraineté numérique et d’autonomie stratégique numérique dans la stratégie nationale.

Mme Anne Le Hénanff, rapporteure. Avis favorable.

M. Aurélien Lopez-Liguori (RN). Je m’étonne que vous défendiez un amendement visant à introduire la souveraineté numérique dans la stratégie nationale, alors que tout à l’heure, vous vous êtes opposé au fait de définir cette même souveraineté numérique.

Qu’est-ce que la souveraineté numérique ? Si Google, entreprise américaine, a des activités établies en France auxquelles nous recourons, cela va-t-il dans le sens de la souveraineté numérique ? Doit-on plutôt se concentrer sur les entreprises qui ne sont pas soumises à l’extraterritorialité ? La moindre des choses est d’utiliser des mots qui ont une définition juridique ; sans cela, nous affaiblissons les principes dont nous nous réclamons.

La commission adopte l’amendement.

Suivant l’avis du rapporteur général, elle adopte successivement les amendements rédactionnels CS272, CS274 et CS275 de Mme Anne Le Hénanff, rapporteure.

En conséquence, l’amendement CS273 de M. Philippe Latombe tombe.

Amendement CS276 de Mme Anne Le Hénanff

Mme Anne Le Hénanff, rapporteure. Vu la multitude des acteurs cyber – je pense notamment au groupement d’intérêt public Action contre la cybermalveillance (GIP Acyma), et aux centres de réponse aux incidents de sécurité informatique, les CSIRT –, il me semble nécessaire de clarifier le rôle et la mission de chacun. La lisibilité de la politique de cybersécurité de l’État passe par une clarification des compétences. Le rapport de la Cour des comptes du 16 juin 2025 recommande d’ailleurs de préciser le rôle, les compétences et l’articulation des différents acteurs de l’écosystème cyber.

Suivant l’avis du rapporteur général, la commission rejette l’amendement.

Amendements CS277 de Mme Anne Le Hénanff, rédactionnel, et CS211 de M. Aurélien Lopez-Liguori (discussion commune)

M. Aurélien Lopez-Liguori (RN). La stratégie nationale de cybersécurité ne peut être élaborée uniquement à Paris mais doit être le reflet des réalités du terrain. Ce sont les élus locaux qui affrontent des attaques contre leur collectivité, les maires qui voient leur mairie paralysée, les présidents de département ou de région qui gèrent les attaques contre les collèges et les lycées. Nous souhaitons que les associations d’élus et les représentants des professionnels du secteur de la cybersécurité soient obligatoirement consultés dans l’élaboration de la stratégie nationale et du cadre de gouvernance.

Mme Anne Le Hénanff, rapporteure. Il est souhaitable que les associations d’élus et les représentants des professionnels du secteur soient consultés – ils ont d’ailleurs largement contribué à nourrir notre réflexion sur le projet de loi. Je suis donc favorable à l’amendement CS211.

M. le président Philippe Latombe. Votre amendement rédactionnel est incompatible avec celui de M. Lopez-Liguori, madame la rapporteure, puisqu’il supprime la référence à la gouvernance à l’alinéa 4.

Mme Anne Le Hénanff, rapporteure. Tout à fait mais celui-ci n’est que rédactionnel. Je m’en remets à la sagesse de la commission spéciale.

M. Éric Bothorel, rapporteur général. Je suis favorable à l’amendement CS277 et défavorable au CS211.

M. Aurélien Lopez-Liguori (RN). Vous devrez expliquer aux maires, aux présidents de département et de région et à l’écosystème cyber que vous refusez de les faire participer à la gouvernance ! Je n’en prends pas la responsabilité.

La commission adopte l’amendement CS277.

En conséquence, l’amendement CS211 tombe.

Suivant l’avis du rapporteur général, la commission adopte l’amendement rédactionnel CS278 de Mme Anne Le Hénanff, rapporteure.

Amendement CS214 de M. Aurélien Lopez-Liguori

M. Aurélien Lopez-Liguori (RN). Nous ne gagnerons pas la bataille du cyberespace sans apporter un soutien massif à la recherche. Les menaces évoluent à une vitesse vertigineuse, l’IA générative produit des attaques par phishing indétectables et massives, la cryptographie post-quantique redessinera la sécurité des données et les deep fakes deviennent des armes de désinformation et de manipulation à grande échelle. Or l’article 5 bis ne mentionne à aucun moment la recherche. C’est une lacune majeure que notre amendement vise à combler en mentionnant explicitement le soutien à la recherche en cybersécurité : laboratoires publics, universités, start-up qui engagent des innovations technologiques de rupture. Il y va de notre souveraineté : sans avance scientifique, nous serons condamnés à acheter nos solutions à des entreprises étrangères, sous législation américaine ou chinoise, et à être une colonie numérique de ces pays. Il y va également de notre économie et de notre compétitivité : la cybersécurité est un secteur d’avenir, créateur d’emplois hautement qualifiés, dans lequel la France et l’Europe doivent être des leaders et non des suiveurs.

Mme Anne Le Hénanff, rapporteure. Une politique de cybersécurité ne saurait être envisagée sans associer l’écosystème de recherche. Avis favorable.

M. Éric Bothorel, rapporteur général. La stratégie doit s’adapter de façon efficace et agile à une menace technologique et géopolitique spécifique et évolutive ; les priorités peuvent varier. Il faut donc se garder d’inscrire dans le dur des éléments qui figeraient notre politique de cybersécurité. C’est pourquoi je suis défavorable à cet amendement, comme à tous ceux qui tendent à ajouter à l’article 5 bis des dispositions détaillées ne relevant pas du niveau stratégique : plans divers, conditions de recours à des solutions techniques extra-européennes, etc. Ces sujets peuvent être déclinés en mesures sectorielles ou être traités dans le cadre du dialogue de très bonne tenue qu’entretiennent le gouvernement et le Parlement s’agissant de la cybersécurité, par exemple par le biais des questionnaires budgétaires.

M. Aurélien Lopez-Liguori (RN). Je comprends que l’on veuille donner de la souplesse à la stratégie de cybersécurité et qu’il faille éviter d’inscrire dans le marbre des principes qui pourraient changer demain. Or mon amendement traite du soutien à la recherche en cybersécurité, qui est une composante centrale de cette stratégie ; il fixe de surcroît un objectif non contraignant. Je ne comprends donc pas votre position.

La commission rejette l’amendement.

Suivant l’avis du rapporteur général, elle adopte l’amendement rédactionnel CS280 de Mme Anne Le Hénanff, rapporteure.

Amendement CS279 de M. Philippe Latombe

M. le président Philippe Latombe. À l’alinéa 5, il s’agit de mentionner la dépendance numérique parmi les risques liés à la cybersécurité. Pour illustrer cette menace, songeons au kill switch brandi par les États-Unis en réaction aux décisions de la Cour pénale internationale (CPI) ou à l’augmentation massive du prix de la licence VMware. Notez aussi qu’en réaction à l’amende infligée par la Commission européenne à Google il y a quelques jours, les États-Unis menacent d’appliquer une taxe sur tous les services numériques importés depuis leur territoire – licences et logiciels de Microsoft, Google ou autres. Nous devons intégrer le risque de dépendance à ces services.

Mme Anne Le Hénanff, rapporteure. Avis favorable.

M. Éric Bothorel, rapporteur général. La dépendance numérique est certes un sujet d’attention majeur, mais la directive traite de la cybersécurité. Si la souveraineté numérique et la cybersécurité sont corrélées, elles restent deux objets distincts caractérisés par un périmètre, une gouvernance et des acteurs propres. Pour ces raisons, je demande le retrait de l’amendement ; à défaut, j’émettrai un avis défavorable.

M. Aurélien Lopez-Liguori (RN). La souveraineté numérique et la cybersécurité sont au contraire totalement liées : l’une ne peut pas aller sans l’autre. Ce texte nous offre l’occasion unique d’introduire dans notre stratégie un principe absent de notre droit, la souveraineté numérique. Ne ratons pas le coche.

M. Vincent Thiébaut (HOR). Je ne comprends pas très bien votre raisonnement. Il me semble assez simple de définir la souveraineté numérique : il s’agit de notre capacité à faire appliquer nos lois et nos règles dans le monde virtuel par l’ensemble des acteurs du numérique, qu’ils soient français ou non, européens ou non. Quant à la dépendance numérique, comment la situez-vous ? Par rapport à la gouvernance d’internet ? De toute façon, nous sommes dépendants puisque nous ne fabriquons ni antennes ni infrastructures – ces dernières sont produites par des fabricants européens, pas par des fabricants français. Si je comprends votre préoccupation, je pense qu’il nous reste à mener une vraie réflexion pour pouvoir aboutir à une définition juridique.

Mme Anne Le Hénanff, rapporteure. Rappelons que cet article 5 bis, ajouté par les sénateurs, avait pour objectif de définir une stratégie nationale cyber, de grands principes généraux. Nous ne ferions pas de la surtransposition en adoptant cet amendement auquel je suis favorable.

M. Éric Bothorel, rapporteur général. Je n’ai d’ailleurs pas utilisé l’argument de la surtransposition pour demander le rejet de cet amendement. Il me semble qu’il y a une confusion entre souveraineté et cybersécurité. Il ne peut pas y avoir de cybersécurité sans souveraineté, dites-vous. Or nous n’avons jamais adopté une définition commune de la souveraineté. Dans cette salle, certains considèrent que l’Europe est un ennemi, tandis que d’autres sont pro-européens. Dès lors, comment évaluer la dépendance concernant des technologies fabriquées avec des partenaires allemands, espagnols ou italiens ? Dans ce contexte, je préfèrerais éviter d’entrer dans ces considérations de dépendances, colonies ou souveraineté numériques, même si certains sont en attente de débats et de réponses sur ces sujets. En faisant de tels ajouts, au détour de ce texte fondamental, sans prendre le temps de réfléchir à une définition commune, nous pourrions provoquer des conséquences non désirées sur notre écosystème où il existe aussi des coopérations et des partenariats avec des partenaires européens ou américains. D’où ma position concernant cet amendement et d’autres à venir.

La commission rejette l’amendement.

Suivant l’avis du rapporteur général, la commission adopte successivement les amendements rédactionnels CS281 et CS282 de Mme Anne Le Hénanff, rapporteure.

Amendement CS212 de M. Aurélien Lopez-Liguori.

M. Aurélien Lopez-Liguori (RN). La commande publique représente quelque 10 % de notre PIB, soit 187 milliards d’euros par an. Elle constitue donc un levier colossal pour orienter les choix technologiques et renforcer notre souveraineté, d’autant qu’1 euro de commande publique équivaut à 8 euros de subvention. Pourtant, ce levier reste largement sous-utilisé pour soutenir notre cybersécurité et faire émerger nos champions européens. Vous remarquerez qu’en matière de marchés publics, nous faisons systématiquement référence à des fournisseurs français et européens : nous pensons que la souveraineté numérique se joue aussi au niveau européen et que notre écosystème numérique est européen. Nous constatons trop souvent l’attribution de marchés stratégiques à des entreprises soumises à des régimes juridiques extraterritoriaux tels que le Cloud Act américain. À un moment où nous essayons d’accroître le niveau de sécurité de nos opérateurs d’importance vitale et de nos infrastructures critiques, comment ne pas voir les dangers d’une telle pratique en matière de risques d’ingérence et de dépendance ? Nous écrivons donc noir sur blanc que la commande publique doit être intégrée dans une stratégie nationale de cybersécurité. C’est un objectif non contraignant – dans la ligne de ce que vous souhaitez au niveau européen avec l’European Buy Act – que vous n’avez aucune raison de refuser.

Mme Anne Le Hénanff, rapporteure. Partageant votre intérêt pour le sujet de la commande publique, j’ai suivi avec beaucoup d’attention les travaux de la commission d’enquête du Sénat, pilotée par Simon Uzenat. Dans le cadre des auditions que j’ai effectuées en tant que rapporteure du titre 2, nous avons d’ailleurs auditionné l’Ugap (Union des groupements d’achats publics). Toutefois, je vous propose de retirer votre amendement pour des raisons de rédaction et de positionnement dans le texte, et de le retravailler dans la perspective de l’examen en séance. À défaut, j’émettrais un avis défavorable.

M. Éric Bothorel, rapporteur général. Quand bien même cet amendement était retravaillé en vue de l’examen en séance, j’émettrais un avis défavorable : comme déjà indiqué, je voudrais éviter d’alourdir cet article 5 bis, que les ajouts portent sur la commande publique ou un autre sujet.

M. Aurélien Lopez-Liguori (RN). À vous entendre, il faudrait supprimer l’article 5 bis, celui-ci n’étant pas issu de la directive puisqu’il a été ajouté par les sénateurs. Si je comprends bien, on ne peut rien y ajouter et son existence-même pose problème.

La commission rejette l’amendement.

Suivant l’avis de la rapporteure, la commission rejette l’amendement CS213 de M. Aurélien Lopez-Liguori.

Amendement CS182 de M. Vincent Thiébaut

M. Vincent Thiébaut (HOR). À un moment où des blocs internationaux lancent des campagnes de cyberattaques dans toute l’Union européenne, il nous semble pertinent d’indiquer que la stratégie nationale prend aussi en compte les perspectives de coopération européenne, ce qui est d’ailleurs prévu dans la directive NIS 2 et la directive sur la résilience des entités critiques. Une telle orientation est d’ailleurs cohérente avec le rapport annexé à la loi de programmation militaire 2024-2030, qui souligne que « la solidarité européenne dans le domaine de la cyberdéfense permet actuellement notamment les échanges de bonnes pratiques et l’assistance aux nations en difficulté et le partage d’informations ». D’où l’intérêt de cet amendement.

M. Éric Bothorel, rapporteur général. Dans la droite ligne de ce que j’ai déjà indiqué, j’émets un avis défavorable sur cet amendement.

La commission rejette l’amendement.

Suivant l’avis du rapporteur général, la commission adopte l’amendement rédactionnel CS283 de Mme Anne Le Hénanff, rapporteure.

Amendement CS477 de M. Éric Bothorel

M. Éric Bothorel, rapporteur général. Cet amendement me permet de mentionner le travail effectué par le groupement d’intérêt public Action contre la cybercriminalité (GIP Acyma) en matière de cybermalveillance.

Mme Anne Le Hénanff, rapporteure. Avis favorable.

La commission adopte l’amendement.

Amendement CS64 de M. René Pilato

M. Arnaud Saint-Martin (LFI-NFP). Il va dans le sens d’un amendement adopté précédemment. Il s’agit de s’assurer que la stratégie nationale de cybersécurité comprendra bien les missions de cyberprotection, de cyberhygiène et d’éducation aux bonnes pratiques numériques décrites plus haut. Ces mesures d’éducation et de sensibilisation citoyenne et populaire doivent être au cœur de la stratégie nationale de cybersécurité. Leur inscription dans la loi permettrait de les sanctuariser et de les ériger en priorité, afin de faire du numérique un bien commun émancipateur. Cela suppose évidemment d’accorder des moyens supplémentaires à l’école, à l’Anssi et à l’ensemble des services publics, afin de limiter le nombre de services publics accessibles en ligne pour assurer un accueil physique aux personnes les plus éloignées du numérique.

Suivant l’avis de la rapporteure, la commission adopte l’amendement.

Amendement CS181 de M. Vincent Thiébaut

M. Vincent Thiébaut (HOR). Nous souhaitons ici envisager un soutien aux collectivités territoriales, notamment les plus petites, qui doivent se soumettre à la directive NIS 2 sans en avoir nécessairement les moyens. Ce soutien peut être financier pour permettre l’acquisition de systèmes, mais il peut aussi prendre la forme d’un accompagnement en matière d’expertise et de conseil. Nombre d’élus locaux, notamment dans les petites collectivités, se sentent démunis face à ces sujets très complexes.

M. Éric Bothorel, rapporteur général. Avis défavorable.

Mme Anne Le Hénanff, rapporteure. Les auditions des associations d’élus nous ont montré que le soutien financier aux collectivités est central. Je suis favorable à cet amendement dont je suis d’ailleurs cosignataire.

La commission adopte l’amendement.

Amendement CS183 de M. Vincent Thiébaut

M. Vincent Thiébaut (HOR). Nous proposons de transposer directement une disposition prévue à l’article 7 de la directive NIS 2, qui invite les États membres à promouvoir la formation, l’éducation, la sensibilisation et la diffusion des bonnes pratiques en matière de cybersécurité. La Revue nationale stratégique 2025 souligne avec force que la résilience doit devenir un réflexe partagé par l’ensemble de la nation. Il est d’autant plus important de former les citoyens que le facteur humain est la première source de faiblesse en matière de cybersécurité.

M. Éric Bothorel, rapporteur général. Sagesse.

Mme Anne Le Hénanff, rapporteure. Avis favorable.

La commission adopte l’amendement.

En conséquence, l’amendement CS284 de Mme Anne Le Hénanff, rapporteure tombe.

Amendement CS98 de M. Philippe Latombe

M. le président Philippe Latombe. Je propose d’ajouter un alinéa prévoyant « la création d’un fonds de soutien spécifiquement destiné à accompagner les collectivités territoriales et les établissements publics de coopération intercommunale à fiscalité propre qualifiés d’entités importantes ou essentielles n’ayant pas bénéficié du parcours de cybersécurité du plan France relance ».

Mme Anne Le Hénanff, rapporteure. Tout en comprenant l’intérêt de votre amendement, je suis défavorable à la création d’un tel fonds.

La commission adopte l’amendement.

Amendement CS68 de M. René Pilato

M. Arnaud Saint-Martin (LFI-NFP). Nous proposons l’intégration d’un volet territorial à la stratégie nationale de cybersécurité. Le gouvernement démissionnaire a drastiquement asséché financièrement les collectivités locales, surtout les collectivités rurales ou périurbaines, ce qui les a rendues vulnérables aux attaques cyber et aux dysfonctionnements. Elles demeurent sous-dotées en compétences, en ingénierie et en capacité de réponse. En l’absence d’une approche territorialisée et offensive en la matière, les inégalités d’accès au dispositif de protection et de formation risque de s’aggraver au détriment de la résilience collective. Il s’agit ici d’assurer le soutien des centres régionaux, de coordonner l’information, de renforcer les capacités locales, et aussi de faire de la cybersécurité une filière d’avenir accessible dans tous les bassins d’emploi.

Mme Anne Le Hénanff, rapporteure. Même si je comprends l’intérêt de votre amendement, je pense qu’il créerait une stratégie dans la stratégie et risquerait de conduire à un manque de lisibilité. Avis défavorable.

La commission adopte l’amendement.

Amendement CS84 de M. Arnaud Saint-Martin

M. Arnaud Saint-Martin (LFI-NFP). Il vise à intégrer à la stratégie de l’Anssi le soutien technique et logistique à la création d’une filière de formation publique et nationale sur les métiers de la cybersécurité et de la cyberdéfense. En effet, il manque au moins 10 000 ingénieurs formés par an en France. Faute d’ingénieurs, seul un projet sur six en matière de cybersécurité est effectivement réalisé. La place des femmes dans ce type de filière est largement moindre : d’après une enquête réalisée en 2022 par l’Observatoire des métiers de la cybersécurité de l’Anssi, les formations en cybersécurité ne comprenaient que 14 % d’étudiantes. La France se prive de la moitié de sa matière grise. Aussi, il est essentiel pour l’État d’investir réellement dans une filière publique qui forme la population aux métiers de cyber sécurité, qui soit accessible au plus grand nombre et diversifiée. L’Anssi pourrait ainsi apporter un soutien logistique et humain dans la constitution de programmes actualisés. Au vu de l’enjeu de souveraineté qu’elle représente, cette formation doit être administrée par des acteurs publics.

Mme Anne Le Hénanff, rapporteure. Avis favorable.

M. Éric Bothorel, rapporteur général. Cet amendement est satisfait : l’article 5 bis précise que les missions de l’Anssi incluent l’accompagnement et le soutien au développement de la filière cybersécurité en coordination avec les ministères compétents. On peut estimer que cela comprend la formation. Retrait ou avis défavorable.

M. Arnaud Saint-Martin (LFI-NFP). En le précisant, nous renforcerions cette orientation.

La commission adopte l’amendement.

Amendement CS106 de M. Arnaud Saint-Martin

M. Arnaud Saint-Martin (LFI-NFP). Il vise à compléter la stratégie nationale de l’Anssi en y intégrant une étude sur le développement d’un système de stockage de données souverain, où les opérations, de l’hébergement à la gestion, seraient réalisées en France par le biais d’une entreprise française, sous juridiction française. En effet, la souveraineté numérique ne peut être garantie que par la maîtrise de l’ensemble de la chaîne : infrastructures matérielles, équipements, logiciels et gouvernance des données.

Le rapport de Bastien Lachaud et Alexandra Valetta-Ardisson sur la cyberdéfense souligne avec force l’impératif pour la France de disposer d’un espace de stockage souverain et sous juridiction nationale. Cette exigence de souveraineté est d’autant plus actuelle qu’un mégacentre de données dédié à l’intelligence artificielle doit prochainement s’implanter dans le village de Fouju, au nord de ma circonscription. Ce projet est financé en partie par le fonds émirien MGX. Une telle situation illustre concrètement les risques de dépendance stratégique, en exposant la France à une captation de ses données et à une mise en danger de sa souveraineté numérique.

Plus globalement, le groupe LFI estime que la stratégie nationale de cybersécurité ne saurait être pleinement efficiente que si les données stratégiques et sensibles sont gérées de manière souveraine, sous contrôle de l’État et exclusivement soumises à la juridiction française.

Mme Anne Le Hénanff, rapporteure. Pour avoir été corapporteure avec Frédéric Mathieu d’un rapport d’information sur les défis de la cyberdéfense, je comprends l’intérêt de votre proposition. Elle n’est cependant pas située au bon endroit puisqu’elle revient à faire une demande d’étude dans la stratégie. Je vous propose donc de retirer votre amendement et de le retravailler dans la perspective de l’examen en séance publique. À défaut, j’émettrais un avis défavorable.

La commission rejette l’amendement.

Amendement CS177 de Mme Véronique Riotton

Mme Véronique Riotton (EPR). Il vise à enrichir la stratégie nationale de cybersécurité en y intégrant explicitement la notion et les bonnes pratiques de la cyberhygiène. Pour reprendre la terminologie de la directive NIS 2, la cyberhygiène constitue le socle d’un cadre proactif de préparation et de sûreté globale. Concrètement, il s’agit d’intégrer des gestes simples et essentiels tels que les mises à jour régulières des logiciels et matériels, la gestion rigoureuse des accès utilisateur, ou encore la sauvegarde régulière des données critiques. Ces pratiques sont au cœur de la prévention et de la résilience face aux cybermenaces. La directive européenne et l’Enisa (Agence de l’Union européenne pour la cybersécurité) insistent sur ce point. Sans diffusion d’une véritable culture de cyberhygiène, nos infrastructures resteront fragiles. Cet amendement n’introduit pas de contraintes supplémentaires, mais tend à assurer la cohérence entre notre stratégie nationale et les exigences européennes, comme l’ont d’ailleurs fait la Belgique et l’Espagne. La cyberhygiène est complémentaire de la cybersécurité.

Mme Anne Le Hénanff, rapporteure. Pour les raisons précédemment évoquées, j’émets un avis favorable.

M. Éric Bothorel, rapporteur général. Votre demande est satisfaite par l’adoption de l’amendement CS64.

Mme Véronique Riotton (EPR). Je vérifierai la rédaction de cet amendement CS64. En attendant, je retire le mien.

L’amendement est retiré.

Amendement CS285 de M. Philippe Latombe

M. le président Philippe Latombe. Il a pour but d’inscrire dans la loi, après l’alinéa 9, le rôle stratégique du logiciel libre et des standards ouverts pour atteindre les objectifs de sécurité, de résilience et de souveraineté.

En matière de sécurité, la transparence du code source est une garantie essentielle de confiance en permettant l’auditabilité des solutions déployées sur nos infrastructures critiques. La directive NIS 2 souligne d’ailleurs en son considérant 52 : « Les politiques qui promeuvent l’introduction et l’utilisation durable d’outils de cybersécurité en sources ouvertes revêtent une importance particulière. » C’est bien dans le considérant, mais pas dans le texte de la transposition.

En matière de résilience, le recours aux standards ouverts et aux logiciels libres est le meilleur rempart contre le risque d’« enfermement propriétaire » – nous en avons parlé à propos de la dépendance technologique.

En matière de souveraineté numérique, promouvoir le logiciel libre revient à investir dans le développement de compétences nationales et européennes, à renforcer notre filière technologique, et à s’assurer que nos infrastructures critiques ne dépendent pas de technologies soumises à des législations extraterritoriales.

Mme Anne Le Hénanff, rapporteure. Votre proposition ne s’apparente pas à une surtransposition dans la mesure où elle se situe dans le cadre de l’article 5 bis qui porte sur la stratégie. C’est pourquoi j’émets un avis favorable.

M. Éric Bothorel, rapporteur général. Je suis très sensible à la promotion de l’utilisation des logiciels libres et des standards ouverts. Nous savons tous qu’une partie de la souveraineté et de la moindre dépendance dépend de l’interopérabilité, de la portabilité et de l’ouverture d’un certain nombre de logiciels. En cohérence avec la position que j’ai adoptée jusqu’à présent, je devrais émettre un avis défavorable. Comme l’amendement se rapporte à un sujet qui m’est cher, je vais m’en remettre à la sagesse de la commission.

La commission adopte l’amendement.

Suivant l’avis du rapporteur général, la commission adopte l’amendement rédactionnel CS287 de Mme Anne Le Hénanff, rapporteure.

Amendement CS286 de M. Philippe Latombe

M. le président Philippe Latombe. En cohérence avec ce que nous avons fait à l’article 1er, je propose de compléter l’alinéa 10 par les mots : « et d’autonomie stratégique numérique ». Il s’agit de compléter le texte au titre de la directive NIS 2 et pas seulement au titre de la directive sur la résilience des entités critiques (REC).

Mme Anne Le Hénanff, rapporteure. Avis favorable.

M. Éric Bothorel, rapporteur général. Je l’ai déjà dit, mais j’aimerais vous convaincre d’être un peu raisonnables : à force d’ajouts dans cet article 5 bis, le texte va finir par manquer de clarté. Avis défavorable.,

La commission rejette l’amendement.

Amendement CS210 de M. Aurélien Lopez-Liguori

M. Aurélien Lopez-Liguori (RN). Il s’inspire d’un constat de la Cour des comptes : chaque ministère a ses propres systèmes, vulnérabilités et obligations, et en est à un stade différent du développement de sa doctrine cyber. Il en résulte une fragilité globale. La Cour des comptes recommande la déclinaison par ministère d’une stratégie nationale. C’est la seule manière d’assurer une appropriation réelle et d’élever le niveau de sécurité des ministères tout en tenant compte des priorités et des structures de chacun d’entre eux.

Mme Anne Le Hénanff, rapporteure. L’idée est intéressante, mais une telle disposition alourdirait l’article. Avis défavorable.

M. Éric Bothorel, rapporteur général. Je ne pourrais pas dire mieux : cela alourdirait un article qui a déjà été beaucoup alourdi.

La commission rejette l’amendement.

Amendement CS39 de Mme Sabine Thillaye

Mme Sabine Thillaye (Dem). Les PME peuvent se tourner vers une multitude d’acteurs publics comme l’Anssi, les CSIRT territoriaux, la plateforme Cybermalveillance et autres pour répondre aux menaces cyber. Dans un souci de clarté, j’aimerais que l’on mentionne la création d’un point de contact au niveau national ou régional, comme le prévoit directive NIS 2. Un décret pourrait préciser le nom de l’organisme qui assumera ce rôle.

Mme Anne Le Hénanff, rapporteure. La mise en œuvre de la loi va concerner toute une série d’acteurs, listés par l’Anssi, qui interviendront auprès des 15 000 entités. Ajouter une entité supplémentaire – centre d’appels ou contact national – réduirait la lisibilité du dispositif. C’est le rôle des CSIRT. Les PME et TPE peuvent se tourner vers les chambres des métiers et de l’artisanat, les chambres de commerce et d’industrie (CCI) et des organisations telles que le Medef ou la CPME. Avis défavorable

M. Éric Bothorel, rapporteur général. Merci de faire la publicité de la plateforme Cybermalveillance, le 17Cyber, forme d’hommage au travail des équipes de Jérôme Notin. C’est en quelque sorte le point de contact que vous demandez. Lancé il y a quelques mois et consacré en fin d’année dernière, c’est une des fiertés de notre pays. Votre demande est donc en grande partie satisfaite. Avis défavorable.

La commission rejette l’amendement.

Amendement CS40 de Mme Sabine Thillaye

Mme Sabine Thillaye (Dem). Il s’agit, une fois encore, de répondre aux besoins spécifiques des PME, afin de les aider à répondre aux exigences que leur impose l’accroissement des menaces cyber, ce qui représente des coûts importants pour elles. Il me paraît important de préciser des modalités d’accompagnement.

Mme Anne Le Hénanff, rapporteure. L’idée est très intéressante mais il faut veiller à ne pas alourdir le texte d’autant que sera publié l’organigramme des acteurs qui accompagneront les 15 000 entités. Avis défavorable.

M. Éric Bothorel, rapporteur général. Même avis. J’apprécie de vous entendre dire que la charge est due à la menace d’être attaqué plus qu’à la mise en conformité pour tenter d’échapper aux attaques.

La commission rejette l’amendement.

Amendement CS41 de Mme Sabine Thillaye

Mme Sabine Thillaye (Dem). Il est défendu.

Mme Anne Le Hénanff, rapporteure. Avis défavorable.

M. Éric Bothorel, rapporteur général. Cet amendement demande à inscrire un volet sur la gestion des vulnérabilités incluant la promotion et la facilitation de la divulgation coordonnée des vulnérabilités. Quitte à faire la promotion de ce qui existe, signalons le travail des CSIRT et du Cert (centre d’alerte et de réaction aux attaques informatiques).

La commission rejette l’amendement.

Amendement CS100 de M. Laurent Mazaury

M. Laurent Mazaury (LIOT). Il s’agit certes d’un alourdissement, mais il est léger : l’ajout de sept mots. Je propose de prévoir un déploiement territorial de la nouvelle stratégie nationale en matière de cybersécurité, prévue à l’article 5 bis. En transposant la directive NIS 2, ce projet de loi fait le choix de soumettre les collectivités locales à de nouvelles exigences. Il est donc essentiel que la nouvelle stratégie de cybersécurité fasse l’objet d’un déploiement local adapté aux spécificités des territoires, notamment des territoires d’outre-mer. Cela permettra de donner de la visibilité aux élus locaux souvent éloignés des capacités d’agir, de clarifier les rôles de chacun, et surtout d’assurer la pérennisation de certains financements existants.

Mme Anne Le Hénanff, rapporteure. Pour être taquine, je dirais que votre demande est satisfaite dans la mesure où NIS 2 va concerner 15 000 entités, dont quelque 2 500 collectivités locales. Ce sont bien les territoires qui vont devoir se mettre en conformité avec la directive. Sous la tutelle de l’Anssi, la liste des intervenants sera déclinée de manière de plus en plus fine sur les territoires. Selon les territoires, ce sera un syndicat mixte du numérique, une agglomération ou une région. De fait, ce sera territorialisé. Avis défavorable.

M. Éric Bothorel, rapporteur général. Même si ce sont sept jolis mots, je suis de l’avis de Mme la rapporteure et je considère que le 5° ter de l’article prévoit les modalités d’accompagnement des collectivités territoriales par l’État, ce qui me semble satisfaire votre demande. Retrait ou avis défavorable.

M. Laurent Mazaury (LIOT). Comme cela concerne particulièrement nos territoires d’outre-mer, je vais maintenir mon amendement.

La commission rejette l’amendement.

Suivant l’avis du rapporteur général, la commission adopte successivement les amendements rédactionnels CS289 et CS290 de Mme Anne Le Hénanff, rapporteure.

Amendement CS288 de M. Philippe Latombe

M. le président Philippe Latombe. Au vu de vos précédentes interventions, monsieur le rapporteur général, je ne me fais guère d’illusion sur votre avis concernant cet amendement qui vise à intégrer les notions de souveraineté numérique et d’autonomie stratégique numérique dans la stratégie nationale.

M. Éric Bothorel, rapporteur général. En effet, ma position n’a pas changé : avis défavorable.

M. Aurélien Lopez-Liguori (RN). Alors que les États-Unis de Trump sont en train de renforcer le Cloud Act et d’expliquer aux Gafam que le déni de service peut être un instrument de guerre commerciale, alors la guerre est aux frontières de l’Europe, en Ukraine, et que des États comme la Corée du Nord et la Russie nous agressent au niveau cibler, nous avons réussi à ne pas ajouter la notion de souveraineté numérique dans l’article 5 bis. Je tenais à vous en féliciter.

La commission rejette l’amendement.

Amendement CS215 de M. Aurélien Lopez-Liguori

M. Aurélien Lopez-Liguori (RN). Une grande part de nos opérateurs d’importance vitale se reposent sur des technologies non européennes, soumises à des législations extraterritoriales – citons Microsoft Azure pour le Health Data Hub, Microsoft pour l’éducation nationale, Amazon pour certains services de l’État. Or chaque fois que nous choisissons une solution américaine ou chinoise, nous perdons un peu de notre autonomie. Cet amendement vise à intégrer dans le rapport un bilan de nos dépendances ainsi qu’une analyse des efforts de relocalisation engagés et de l’évolution du tissu industriel français et européen. Cela apporterait de la transparence à nos concitoyens et renforcerait le contrôle démocratique exercé par le Parlement. La souveraineté numérique ne saurait se limiter à un principe, elle doit être une réalité vérifiable.

Mme Anne Le Hénanff, rapporteure. Le champ de votre amendement est trop vaste. Avis défavorable.

M. Éric Bothorel, rapporteur général. Pour d’autres raisons, avis défavorable.

La commission rejette l’amendement.

Elle adopte l’article 5 bis modifié.

La réunion est suspendue de dix-neuf heures à dix-neuf heures dix.

Chapitre ii

De la cyber-résilience

Section 1

Définitions

Article 6 : Définitions

Amendements identiques CS484 de M. Éric Bothorel et CS266 de Mme Anne Le Hénanff

Mme Anne Le Hénanff, rapporteure. Il s’agit d’apporter une clarification au sujet des agents soumis aux dispositions du présent projet de loi en précisant la définition de l’agent agissant pour le compte des bureaux d’enregistrement. Celle-ci vise notamment à dresser une liste non exhaustive incluant les revendeurs de noms de domaine ainsi que les fournisseurs de services d’anonymisation ou d’enregistrement fiduciaire, comme le prévoit la directive.

M. Éric Bothorel, rapporteur général. La présentation de ces amendements est pour moi l’occasion de remercier Anne Le Hénanff et les rapporteurs sur les autres parties du texte pour le travail qu’ils ont fourni tout au long de l’été.

La commission adopte les amendements.

Suivant l’avis du rapporteur général, la commission adopte successivement les amendements rédactionnels CS291 et CS292 de Mme Anne Le Hénanff, rapporteure.

Amendements identiques CS485 de M. Éric Bothorel et CS294 de Mme Anne Le Hénanff

Mme Anne Le Hénanff, rapporteure. Pour clarifier et simplifier la rédaction de cet article, il importe, d’une part, d’utiliser directement au sein du 5° les définitions prévues aux 1° et 2°, d’autre part, d’ajouter les agents agissant pour le compte de bureaux d’enregistrement dans la définition prévue dans ce même 5°.

La commission adopte les amendements.

Amendements CS293 de Mme Anne Le Hénanff et CS295 de M. Philippe Latombe (discussion commune)

Mme Anne Le Hénanff, rapporteure. Cet amendement propose de reprendre la définition de la résilience retenue à l’article 1er du projet de loi. Même si cette notion ne figure pas dans la directive NIS 2, il me semble opportun de l’intégrer dans le projet de loi.

M. le président Philippe Latombe. Je vais retirer mon amendement au profit du vôtre, madame la rapporteure.

L’amendement CS295 est retiré.

Suivant l’avis favorable du rapporteur général, la commission adopte l’amendement CS293.

Suivant l’avis du rapporteur général, la commission adopte l’amendement rédactionnel CS296 de Mme Anne Le Hénanff, rapporteure.

Amendements identiques CS486 de M. Éric Bothorel, CS297 de Mme Anne Le Hénanff et CS149 de Mme Marina Ferrari

Mme Marina Ferrari (Dem). Il s’agit de revenir à la définition stricte de la notion de vulnérabilité, telle qu’elle a été posée dans le règlement européen d’octobre 2024 concernant les exigences de cybersécurité horizontales pour les produits comportant des éléments numériques.

La commission adopte les amendements.

Amendement CS298 de Mme Anne Le Hénanff

Mme Anne Le Hénanff, rapporteure. Cet amendement a pour objet d’intégrer à l’article 6 la définition de la notion de cybermenace en s’appuyant sur celle donnée dans le règlement européen d’avril 2019 relatif à l’Agence européenne de cybersécurité.

M. Éric Bothorel, rapporteur général. La Commission européenne est en train de procéder à une révision de ce règlement et nous ne pouvons anticiper les évolutions qui en résulteront. Je vous demanderai de bien vouloir retirer votre amendement.

L’amendement est retiré.

Amendement CS179 de Mme Marie Récalde

Mme Marie Récalde (SOC). Il vise à introduire la définition de l’approche « tous risques » telle qu’elle a été énoncée au considérant 79 de la directive NIS 2.

Mme Anne Le Hénanff, rapporteure. Introduire cette définition dans le projet de loi, qui ne mentionne pas cette notion, ne nous paraît pas présenter d’intérêt concret : on ne saurait figer l’acception de la notion de risque alors que les risques sont de nature évolutive.

La commission rejette l’amendement.

Elle adopte l’article 6 modifié.

Section 2

Des exigences de sécurité des systèmes d’information

Article 7 : Liste des secteurs d’activité hautement critiques et « critiques »

Suivant l’avis du rapporteur général, la commission adopte l’amendement rédactionnel CS300 de Mme Anne Le Hénanff, rapporteure.

Amendement CS87 de M. Arnaud Saint-Martin

M. Arnaud Saint-Martin (LFI-NFP). Nous souhaitons intégrer dans la liste des secteurs hautement critiques pour le fonctionnement de l’économie et de la société les câbles sous-marins et leurs opérateurs. Leur bon fonctionnement et leur sécurisation sont indispensables pour de nombreuses infrastructures stratégiques et pour la continuité des échanges à l’heure où plus de 95 % du trafic mondial des données de communication transite par ces réseaux. Ils revêtent un caractère vital pour la sécurité nationale et la souveraineté numérique.

Or ils ne sont que trop mal protégés face aux risques de sabotage physique et de cyberattaques et face aux menaces de guerre hybride, comme l’ont mis en évidence dès 2023 Aurélien Saintoul et Lysiane Métayer dans leur rapport d’information sur les fonds marins, qui a joué à un rôle précurseur dans la nationalisation d’Alcatel Submarine Networks (ASN), essentiel à notre souveraineté dans le domaine numérique.

Mme Anne Le Hénanff, rapporteure. Les câbles sous-marins sont certes centraux dans la cybersécurité mais tout ajout à la liste des secteurs critiques et hautement critiques figurant en annexe de la directive NIS 2 et que le projet de loi reprend textuellement, constitue une surtransposition.

M. Éric Bothorel, rapporteur général. Votre amendement est satisfait : ces opérateurs sont déjà couverts par l’alinéa 4 de l’article 8 et l’alinéa 3 de l’article 9 du présent projet de loi. Certains relèvent en effet de la catégorie des opérateurs de communications électroniques telle qu’elle est définie au 15° de l’article L. 32 du code des postes et communications électroniques. Demande de retrait, sinon avis défavorable.

M. Arnaud Saint-Martin. J’ai été alerté par les opérateurs eux-mêmes sur la nécessité d’apporter une clarification sur cet enjeu stratégique majeur. Il importe d’être explicite. Je maintiens mon amendement.

M. Aurélien Lopez-Liguori (RN). L’argument de la surtransposition, si régulièrement mis en avant dans cette discussion, peut valoir quand un ajout nuit à la simplification ou affecte la concurrence entre pays membres, mais il ne saurait être utilisé lorsqu’il s’agit de protéger un secteur.

M. Éric Bothorel, rapporteur général. Je n’ai pas parlé de risque de surtransposition ; je me suis contenté de dire que l’amendement était satisfait.

La commission rejette l’amendement.

Amendement CS73 de M. René Pilato

M. Arnaud Saint-Martin (LFI-NFP). Au même titre que l’eau potable, les eaux usées, l’énergie, les transports, les télécommunications et la santé, l’alimentation doit figurer dans la catégorie des secteurs hautement critiques et non dans celle des secteurs critiques. Cette reconnaissance est essentielle pour garantir une protection adaptée, compte tenu des impératifs liés à la sécurité nationale, à la continuité des services essentiels et à la résilience collective face aux crises.

Mme Anne Le Hénanff, rapporteure. Défavorable pour les mêmes motifs que l’amendement précédent.

La commission rejette l’amendement.

Amendement CS86 de M. Arnaud Saint-Martin

M. Arnaud Saint-Martin. Nouvelle tentative : je propose d’ajouter cette fois-ci l’enseignement supérieur à l’heure où les attaques dont il fait l’objet – pensons à celle subie Paris-Saclay –, les atteintes à sa liberté et à l’indépendance de ses étudiants se multiplient en France et partout dans le monde. Je déplore, par ailleurs, qu’un de nos amendements visant à établir un état des lieux des moyens dont disposent les universités pour faire face aux cyberattaques ait été déclaré irrecevable.

Mme Anne Le Hénanff, rapporteure. Ce serait là encore une surtransposition. Avis défavorable.

La commission rejette l’amendement.

Amendement CS89 de M. Arnaud Saint-Martin

M. Arnaud Saint-Martin (LFI-NFP). Il s’agirait ici d’ajouter les satellites et leurs opérateurs. Les plateformes satellites, infrastructures essentielles dans le fonctionnement des systèmes d’information et de télécommunication, ont un intérêt stratégique majeur, qu’elles relèvent d’activités civiles, militaires ou duales.

Il est vraiment dommage qu’un de mes amendements demandant un rapport sur la vulnérabilité aux cyberattaques des satellites, plus particulièrement de leurs segments sol, ait été déclaré irrecevable alors qu’il s’agit d’un chantier majeur.

Mme Anne Le Hénanff, rapporteure. Défavorable.

M. Éric Bothorel, rapporteur général. Qu’il s’agisse de l’orbite terrestre basse ou du fond des océans, nous retrouvons les mêmes problèmes. Il est sans doute urgent d’attendre que la Commission européenne achève ses travaux sur l’EU Space Act, qui prévoira des obligations pour les opérateurs en matière de cybersécurité.

M. Emeric Salmon (RN). Je me demande, monsieur Saint-Martin, si votre amendement n’est pas satisfait puisque dans l’article 7, l’espace figure déjà parmi les secteurs hautement critiques.

M. Arnaud Saint-Martin (LFI-NFP). Il me paraît utile d’être plus explicite. Mon amendement prend non seulement en compte les infrastructures en orbite, qu’elle soit basse, lointaine ou géostationnaire, mais aussi les segments sol.

La commission rejette l’amendement.

Suivant l’avis du rapporteur général, la commission adopte l’amendement rédactionnel CS301 de Mme Anne Le Hénanff, rapporteure.

Amendement CS71 de M. Arnaud Saint-Martin

M. Arnaud Saint-Martin (LFI-NFP). Nous en venons à la liste des secteurs critiques et demandons que l’éducation en fasse partie, compte tenu des conséquences potentiellement dramatiques des cyberattaques sur les établissements et leurs élèves. Au risque de dresser un inventaire à la Prévert, il me paraît important de préciser le périmètre des secteurs à protéger.

Mme Anne Le Hénanff, rapporteure. Là encore, ce serait une surtransposition : avis défavorable.

M. Éric Bothorel, rapporteur général. Votre amendement me semble satisfait par l’alinéa 19 de l’article 8 et l’alinéa 6 de l’article 9 qui mentionnent les « établissements d’enseignement menant des activités de recherche » et les « établissements publics administratifs ».

La commission rejette l’amendement.

Elle adopte l’article 7 modifié.

Article 8 : Définition des entités essentielles

Amendements identiques CS488 de M. Éric Bothorel et CS302 de Mme Anne Le Hénanff

Mme Anne Le Hénanff, rapporteure. Ces amendements visent à prendre en compte dans la loi les activités liées à la sécurité nucléaire pour lesquelles la France souhaite pouvoir exercer pleinement et entièrement sa compétence exclusive en matière de sauvegarde de la sécurité et de la souveraineté nationale.

La commission adopte les amendements.

Amendement CS79 de M. René Pilato

Mme Anne Le Hénanff, rapporteure. Le projet de loi se borne à décliner les seuils inscrits dans la directive : adopter votre amendement reviendrait à s’éloigner de ses stipulations.

La commission rejette l’amendement.

Amendement CS13 de M. Denis Masséglia

M. Denis Masséglia (EPR). Cet amendement vise à supprimer une surtransposition.

Mme Anne Le Hénanff, rapporteure. Je comprends le sens de votre amendement mais j’émettrai un avis défavorable. Les articles 8 et 9 du projet de loi transposent strictement le champ d’application de la directive NIS 2 en précisant les seuils à partir desquels les entreprises sont considérées soit comme des entités essentielles, soit comme des entités importantes. Leur rédaction se fonde, conformément à l’article 2 de la directive, sur la recommandation 2003/361/CE de la Commission européenne qui définit les micro-entreprises, les petites entreprises et les moyennes entreprises. Comme la directive vise les grandes et moyennes entreprises, un principe de contraposition, par inversement des définitions, a dû être appliqué pour préciser le périmètre. La Belgique et l’Italie ont suivi la même logique de contraposition dans leurs lois de transposition. Ainsi dans la loi belge, une entreprise est considérée comme entité essentielle si elle a plus de cinquante employés ou si son bilan annuel ou son chiffre d’affaires annuel total excèdent 10 millions d’euros.

La commission rejette l’amendement.

Suivant l’avis du rapporteur général, la commission adopte l’amendement rédactionnel CS303 de Mme Anne Le Hénanff, rapporteure.

Amendement CS78 de M. René Pilato

Mme Anne Le Hénanff, rapporteure. Surtransposition : avis défavorable.

M. Éric Bothorel, rapporteur général. Défavorable également.

La commission rejette l’amendement.

Amendement CS178 de Mme Véronique Riotton

Mme Véronique Riotton (EPR). Cet amendement vise à intégrer les éditeurs de logiciels dans le champ d’application de la directive NIS 2 afin qu’ils soient soumis aux mêmes obligations de sécurité que les fournisseurs de services numériques. Il s’agirait de leur imposer, dans une logique de responsabilisation, un socle minimal de sécurité dès le stade de la conception des logiciels et de permettre à l’Anssi d’exercer un contrôle en cas de faille critique. Il importe de protéger nos hôpitaux et nos entités essentielles.

Rappelons que dans les établissements de santé, de nombreux responsables de la sécurité des systèmes d’information (RSSI) alertent lorsqu’une faille est découverte dans un logiciel mais, comme rien n’oblige leurs éditeurs à publier rapidement un correctif, des cyberattaques sont susceptibles d’atteindre des systèmes vitaux pour la continuité des soins.

Mme Anne Le Hénanff, rapporteure. Avis défavorable : les éditeurs de logiciels sont inclus dans le projet de loi en tant qu’entreprises.

M. Éric Bothorel, rapporteur général. Pour ma part, madame la rapporteure, j’estime que l’on peut considérer cette question sous d’autres angles. Sagesse.

La commission adopte l’amendement.

Amendement CS76 de M. René Pilato

Mme Anne Le Hénanff, rapporteure. En matière de collectivités territoriales, l’équilibre trouvé par le Sénat me semble être le bon et j’estime que votre amendement comme d’autres qui suivront risque d’altérer la résilience de la nation en matière de cybersécurité.

La commission rejette l’amendement.

Suivant l’avis du rapporteur général, la commission adopte l’amendement rédactionnel CS304 de Mme Anne Le Hénanff, rapporteure.

Amendement CS150 de Mme Marina Ferrari

Mme Marina Ferrari (Dem). Cet amendement vise à revenir à la rédaction initiale du texte en incluant à nouveau l’ensemble des communautés d’agglomération dans la catégorie des entités essentielles. Ces intercommunalités ont en effet comme compétence obligatoire de plein droit, en régie ou gestion directe, la gestion de l’eau potable et des eaux usées, activités considérées au titre de l’article 7 du projet de loi comme des secteurs hautement critiques pour le fonctionnement de l’économie et de la société.

Mme Anne Le Hénanff, rapporteure. Ce sera le seul amendement portant sur les seuils applicables aux collectivités territoriales auquel je donnerai un avis favorable. Il y va de l’égalité territoriale : je ne vois pas pourquoi seules les communautés d’agglomération comprenant une commune de plus de 30 000 habitants devraient être considérées comme entités essentielles. Cela dit, je le répète, l’équilibre trouvé par le Sénat me semble bon, s’agissant notamment des sanctions financières.

M. Éric Bothorel, rapporteur général. Avis favorable également.

La commission adopte l’amendement.

Amendements identiques CS487 de M. Éric Bothorel et CS305 de Mme Anne Le Hénanff

Mme Anne Le Hénanff, rapporteure. À la suite des auditions, il nous a paru nécessaire de faire figurer explicitement les établissements publics de santé et établissements et services sociaux et médico-sociaux parmi les entités essentielles afin de lever toute ambigüité même si le périmètre de la directive NIS 2 comprend la santé. Ces établissements ne partagent pas l’analyse de l’Anssi selon laquelle ils relèvent de la catégorie des entreprises, d’où ma proposition de les insérer explicitement dans le texte.

La commission adopte les amendements.

Suivant l’avis du rapporteur général, la commission adopte l’amendement rédactionnel CS306 de Mme Anne Le Hénanff, rapporteure.

Elle adopte l’article 8 modifié.

Article 9 : Définition des entités importantes

Suivant l’avis du rapporteur général, la commission adopte l’amendement rédactionnel CS307 de Mme Anne Le Hénanff, rapporteure.

Amendements identiques CS490 de M. Éric Bothorel et CS308 de Mme Anne Le Hénanff

Mme Anne Le Hénanff, rapporteure. Ces amendements visent à prendre en compte au niveau de la loi les activités liées à la sécurité nucléaire pour lesquelles la France souhaite pouvoir exercer pleinement et entièrement sa compétence exclusive en matière de sauvegarde de la sécurité et de la souveraineté nationale.

La commission adopte les amendements.

Amendement CS151 de Mme Marina Ferrari

Mme Marina Ferrari (Dem). Il s’agit d’un amendement de coordination, tenant compte du retour à la rédaction initiale du projet de loi que nous avons adopté s’agissant des communautés d’agglomération.

Suivant l’avis du rapporteur général et de la rapporteure, la commission adopte l’amendement.

En conséquence, l’amendement CS74 de M. René Pilato tombe.

Amendements CS180 de Mme Marie Récalde, amendements identiques CS105 de M. Antoine Villedieu et CS194 M. Laurent Mazaury, amendements identiques CS104 de M. Antoine Villedieu et CS193 M. Laurent Mazaury (discussion commune)

Mme Marie Récalde (SOC). Notre amendement CS180 vise à exclure du périmètre des entités importantes les communautés de communes dont la population regroupée est inférieure à 30 000 habitants. Même si les collectivités locales sont dans leur grande majorité soucieuses des questions de cybersécurité, il pourrait être compliqué pour les petites communautés de communes, pour la plupart situées en zone rurale, d’appliquer les nouvelles dispositions.

M. Emeric Salmon (RN). L’amendement CS105 et l’amendement de repli CS104 vont dans le même sens, avec des seuils respectifs de 30 000 et 20 000 habitants. Les communautés de communes de petite taille – dans ma circonscription, l’une d’elles n’excède pas 7 000 habitants pour trente-sept communes – ne disposent pas des services techniques et de l’ingénierie nécessaires.

Mme Anne Le Hénanff, rapporteure. L’avis est défavorable sur l’ensemble des amendements. Il ne faut pas laisser croire aux communes et aux EPCI que l’application de NIS 2 est facultative. Il s’agit certes d’un effort, mais les communes et les intercommunalités, même celles ne regroupant que 7 000 habitants, doivent commencer à réfléchir à la cybersécurité, laquelle vise à protéger les réseaux mais également les données, notamment personnelles et sensibles ainsi que celles collectées par l’échelon communal. Il faut éviter les inégalités de traitement et assurer la protection des données de tous les citoyens, que ceux-ci vivent dans une intercommunalité de 7 000 ou de 60 000 habitants.

M. Éric Bothorel, rapporteur général. Même avis.

M. Aurélien Lopez-Liguori (RN). Bien que cosignataire des amendements déposés par M. Antoine Villedieu, je n’en défends pas l’orientation. Je suis d’accord avec Mme la rapporteure : même si certaines communautés de communes éprouvent des difficultés à appliquer NIS 2, il serait discriminatoire que les données des Français habitant dans les zones rurales soient moins protégées. Une question technique subsiste toutefois, laquelle devrait nous amener à réfléchir, d’ici à la séance publique, à la création d’un mécanisme ou d’un fonds destiné à aider les petites communautés de communes pour assurer l’égalité de traitement des données.

Mme Marie Récalde (SOC). Les arguments de Mme la rapporteure sont parfaitement justifiés et comme nous avons adopté des amendements financiers créant notamment un fonds de dotation pour les petites communes, nous retirons notre amendement.

L’amendement CS180 est retiré.

La commission rejette successivement les autres amendements.

Amendement CS75 de M. Arnaud Saint-Martin

M. Arnaud Saint-Martin (LFI-NFP). Il vise à mieux protéger le secteur de l’éducation face aux nouvelles menaces de cybersécurité.

L’école est une cible privilégiée des pirates informatiques pour plusieurs raisons. Tout d’abord, les établissements scolaires du second degré traitent beaucoup de données personnelles, dont le vol peut engendrer des conséquences dramatiques pour les personnes concernées. En outre, les infrastructures numériques des établissements scolaires sont, faute de budget suffisant, largement obsolètes, ce qui en fait des proies faciles. Cette situation, couplée à un manque de formation évident des personnels de l’éducation nationale découlant d’un manque de moyens et de temps, fait des établissements scolaires des cibles privilégiées.

L’inscription des établissements du second degré dans la catégorie des entités importantes renforcerait le niveau de leur protection, au bénéfice des élèves, des personnels de l’éducation nationale et du bon fonctionnement des collèges et des lycées.

Mme Anne Le Hénanff, rapporteure. Le sujet est important et il a toute sa place dans une stratégie globale, laquelle est exposée à l’article 5 bis. Les dispositions de l’article 9 sont au cœur de la directive, que nous surtransposerions en adoptant votre proposition. L’avis est donc défavorable.

M. Éric Bothorel, rapporteur général. Si vous souhaitiez retirer l’amendement en vue de le retravailler pour la séance publique, sachez que les établissements publics locaux d’enseignement sont, pour ceux placés sous la tutelle de l’État, des entités essentielles. Le gouvernement considère que l’intégration de ces établissements dans la catégorie des entités importantes affaiblirait le dispositif qui les concerne. En outre, leur système d’information leur est généralement fourni par les collectivités territoriales ou par le rectorat, lesquels font partie de cette catégorie. Je vous demande de retirer l’amendement, à défaut l’avis sera défavorable.

Mme Marina Ferrari (Dem). Les collèges et les lycées relèvent des départements et des régions, institutions couvertes par la directive NIS 2. La question peut se poser pour les petites communes : il conviendrait de réfléchir, en lien avec les intercommunalités, à des réponses opérationnelles aux problèmes relatifs aux équipements.

L’amendement est retiré.

Amendements identiques CS489 de M. Éric Bothorel et CS309 de Mme Anne Le Hénanff

Mme Anne Le Hénanff, rapporteure. Nous avons intégré tout à l’heure les établissements de santé, sociaux et médico-sociaux dans la catégorie des entités importantes : l’amendement vise à faire de même pour les entités essentielles.

La commission adopte les amendements.

Suivant l’avis du rapporteur général, la commission adopte l’amendement rédactionnel CS310 de Mme Anne Le Hénanff, rapporteure.

La commission adopte l’article 9 modifié.

Article 10 : Autres entités susceptibles d’être désignées comme essentielles ou importantes par arrêté du premier ministre

Amendement CS460 de M. Philippe Latombe

M. le président Philippe Latombe. Il vise à introduire, après le mot « ministre » à l’alinéa 1 de l’article 10, les termes « après avis des ministères compétents des secteurs d’activité visés à l’article 7 de la présente loi. » L’objectif est double : apporter l’expertise des ministères coordonnateurs des secteurs d’activité visés par le projet de loi, afin que les listes d’entités importantes et essentielles prennent en compte les spécificités des écosystèmes concernés, et éviter d’oublier certaines entités.

Mme Anne Le Hénanff, rapporteure. L’avis des ministères compétents pourra utilement éclairer le processus d’élaboration de la liste des entités essentielles et de celle des entités importantes. L’avis est favorable.

Suivant l’avis du rapporteur général, la commission adopte l’amendement.

Suivant l’avis du rapporteur général, la commission adopte l’amendement rédactionnel CS312 de Mme Anne Le Hénanff, rapporteure.

Suivant l’avis de la rapporteure, la commission adopte les amendements identiques CS491 de M. Éric Bothorel et CS184 de M. Vincent Thiébaut.

La commission adopte l’article 10 modifié.

Article 11 : Compétence et territorialité des dispositions du titre II

Amendement CS67 de M. René Pilato

M. Arnaud Saint-Martin (LFI-NFP). Il vise à supprimer la possibilité offerte aux fournisseurs de services numériques critiques établis hors de l’Union européenne de se soustraire à l’obligation d’établissement réel dans le territoire national en se limitant à la désignation d’un simple représentant local. Cette disposition est déconnectée de la réalité opérationnelle : elle ne garantit ni la maîtrise directe des infrastructures, ni la responsabilité pleine et entière de l’opérateur face aux exigences françaises. Elle peut par ailleurs être utilisée pour contourner les règles nationales et laisser certains acteurs dans l’orbite de législations extraterritoriales – l’exemple des États-Unis est bien connu.

La suppression de cette faculté est indispensable pour garantir l’obligation d’établissement effectif en France, condition sine qua non de l’exercice d’un contrôle robuste, transparent et efficient des acteurs numériques systémiques.

Mme Anne Le Hénanff, rapporteure. Je vois l’intérêt de l’amendement, néanmoins sa rédaction se heurte à un principe de réalité : la souveraineté nationale est certes un enjeu important, mais la loi ne peut pas prévoir de critères aussi restrictifs. Je donne, presque à regret, un avis défavorable.

La commission rejette l’amendement.

La commission adopte l’article 11 non modifié.

Article 12 : Enregistrement des entités essentielles et importantes auprès de l’Anssi

Amendement CS217 de M. Aurélien Lopez-Liguori

M. Aurélien Lopez-Liguori (RN). La directive prévoit une mise à jour tous les deux ans des listes des entités essentielles et importantes. Cette durée est une éternité dans le monde du numérique : des entreprises stratégiques apparaissent très régulièrement, d’autres disparaissent et les risques comme la menace évoluent sans cesse. Hier, les rançongiciels, aujourd’hui l’IA générative, demain, peut-être, l’informatique quantique, tous ces changements montrent qu’attendre deux ans pour ajuster la liste des entités à protéger revient à courir derrière le danger au lieu de l’anticiper.

Voilà pourquoi l’amendement vise à réduire le délai à un an. Cette mesure vise à faire preuve de réactivité pour protéger efficacement nos infrastructures dans un monde, celui du cyber, où le rythme des évolutions ne cesse de s’accélérer.

Mme Anne Le Hénanff, rapporteure. Une mise à jour annuelle me semble très restrictive et porteuse d’instabilité. L’avis est défavorable.

M. Aurélien Lopez-Liguori (RN). Nous nous mettons en danger. Peut-être qu’un État maîtrise l’informatique quantique et peut déjà déchiffrer l’ensemble des codes alphanumériques. Si ce n’est pas encore le cas, cela peut se produire dans un futur très proche. Attendre deux ans pour modifier la liste dans un tel contexte me semble totalement déraisonnable : une mise à jour annuelle est une mesure de sécurité.

M. Éric Bothorel, rapporteur général. Une compétition est engagée contre ceux qui nous menacent, mais si nous allions au bout de votre logique, même un délai d’un an serait trop long : si quelqu’un pouvait craquer les chiffrements, il ne serait pas tolérable d’attendre un an pour modifier les listes. La rédaction parfaite n’existe pas, donc nous suivons l’esprit et la lettre du texte de NIS 2 : revenir sur le délai fixé par la directive serait une surtransposition.

La commission rejette l’amendement.

Amendements identiques CS492 de M. Éric Bothorel et CS314 de Mme Anne Le Hénanff

Mme Anne Le Hénanff, rapporteure. Le projet de loi emploie, en lieu et place des termes « entité fournissant des services d’enregistrement de noms de domaine » utilisés dans la directive, l’appellation « bureau d’enregistrement », que l’on retrouve dans le code des postes et des communications électroniques.

L’amendement vise à garantir l’intégration des agents agissant pour le compte des bureaux d’enregistrement à la liste des entités établie par l’Agence nationale de la sécurité des systèmes d’information : cette disposition, conforme à NIS 2, adapte la terminologie entre la directive et le projet de loi.

La commission adopte les amendements.

Amendement CS313 de M. Philippe Latombe

M. le président Philippe Latombe. Il vise, par cohérence avec les dispositions que nous avons adoptées, à ce que la liste des entités essentielles et importantes soit la plus conforme possible à la réalité des secteurs d’activité concernés grâce à l’avis des ministères compétents. Les acteurs visés par le titre III sont notamment désignés par les ministères économiques et financiers : il serait opportun qu’il en soit de même dans le cadre de NIS 2.

Mme Anne Le Hénanff, rapporteure. Par cohérence, l’avis est favorable.

M. Éric Bothorel, rapporteur général. Je m’en remets à la sagesse de la commission.

La commission adopte l’amendement.

Amendement CS218 de M. Aurélien Lopez-Liguori

M. Aurélien Lopez-Liguori (RN). Le classement en entité essentielle ou importante crée des obligations lourdes de conformité, d’audit et de renforcement de la cybersécurité, pourtant le texte ne prévoit pas explicitement de notification aux entités de leur statut. L’amendement a pour objet de corriger cette lacune.

Mme Anne Le Hénanff, rapporteure. L’information me semble aller de soi et son inscription dans la loi n’est pas opportune : l’avis est défavorable.

M. Éric Bothorel, rapporteur général. L’amendement est partiellement satisfait par l’article L. 112-11 du code des relations entre le public et l’administration, lequel dispose que « Tout envoi à une administration par voie électronique ainsi que tout paiement opéré dans le cadre d’un téléservice (…) fait l’objet d’un accusé de réception électronique et, lorsque celui-ci n’est pas instantané, d’un accusé d’enregistrement électronique. » Un accusé de réception de l’enregistrement de l’entité sera donc délivré. L’avis est défavorable.

La commission rejette l’amendement.

Amendement CS66 de M. Arnaud Saint-Martin

M. Arnaud Saint-Martin (LFI-NFP). Nous souhaitons réaffirmer l’importance de la protection des données sensibles, notamment celles à caractère personnel.

Autorité administrative indépendante, la Commission nationale de l’informatique et des libertés (Cnil) joue un rôle de référence en matière de protection des données à caractère personnel contenues dans les fichiers et les traitements informatiques ou papier, aussi bien publics que privés. L’une de ses principales missions est de conseiller les pouvoirs publics en matière de conformité au droit existant en la matière : dans ce contexte, il nous semble indispensable de l’associer à l’élaboration du décret en Conseil d’État fixant les informations à transmettre par les entités essentielles, les entités importantes et les bureaux d’enregistrement, afin d’assurer la protection la plus élevée possible de leurs données personnelles.

Mme Anne Le Hénanff, rapporteure. Solliciter l’avis de la Cnil ne me semble pas utile. La rédaction du Sénat est suffisamment protectrice, donc l’avis est défavorable.

La commission adopte l’amendement.

Amendement CS315 de M. Philippe Latombe