Après plusieurs mois de retard, les députés s'apprêtent à examiner un projet de loi destiné à renforcer la cybersécurité des entreprises et des administrations françaises. Le texte, qui transpose notamment la directive européenne NIS 2, prévoit d'étendre considérablement le nombre d'organisations soumises à des obligations de sécurité informatique, avec des sanctions pouvant atteindre plusieurs millions d'euros.
La France tente de rattraper son retard en cybersécurité
Après plusieurs reports, l'Assemblée nationale doit enfin examiner le projet de loi relatif au renforcement de la cybersécurité et à la résilience des infrastructures critiques. Son inscription à l'ordre du jour a été grandement facilitée par le rejet unanime du budget 2027, qui a libéré du temps dans un calendrier parlementaire particulièrement chargé.
La France accuse en effet un retard important dans la transposition de la directive européenne NIS 2, au point de faire l'objet d'une procédure devant la Cour de justice de l'Union européenne. Adoptée au niveau européen, cette directive vise à harmoniser les exigences de cybersécurité et à améliorer la résistance des infrastructures face aux attaques informatiques. Les récentes et nombreuses attaques touchant plusieurs administrations françaises, mais aussi les cyberattaques contre des systèmes de réfrigération de supermarchés européens, illustrent la diversité des menaces.
Dix secteurs hautement critiques et huit autres secteurs concernés
L'une des principales évolutions concerne l'élargissement du périmètre des activités réglementées. Le dispositif couvrira désormais 18 secteurs, contre six auparavant, répartis en deux grandes catégories.
La première regroupe dix secteurs considérés comme hautement critiques pour le fonctionnement de l'économie et de la société. On y retrouve notamment l'énergie, les transports, les banques, les infrastructures financières, la santé, l'approvisionnement en eau potable, le traitement des eaux usées, les infrastructures numériques et les services de gestion des technologies de l'information.
Huit autres secteurs sont également concernés, parmi lesquels les services postaux, la gestion des déchets, l'industrie chimique, l'agroalimentaire, certaines activités manufacturières et plusieurs services numériques. Cette classification doit permettre d'adapter les obligations de sécurité à l'importance des activités concernées. Comme d'habitude, un décret viendra préciser les modalités d'application de ces dispositions.
De 500 à près de 15 000 organisations surveillées
L'autre changement majeur concerne le nombre d'organisations soumises à la réglementation. Alors que le dispositif actuel concerne environ 500 entités, près de 15 000 entreprises, administrations et collectivités pourraient désormais être soumises à des obligations de cybersécurité.
Le texte distingue deux catégories. Les entités essentielles devront respecter les exigences les plus strictes. Elles pourront notamment comprendre les grandes entreprises des secteurs hautement critiques employant au moins 250 salariés et réalisant plus de 50 millions d'euros de chiffre d'affaires annuel. Certaines administrations centrales, environ 1 500 collectivités territoriales et les services départementaux d'incendie et de secours seront également concernés.
Les entités importantes seront soumises à des obligations adaptées, notamment dans les secteurs des communications électroniques, des services publics et de certaines activités économiques. Le Premier ministre pourra également désigner d'autres organisations devant être intégrées au dispositif.
L'ANSSI au cœur du nouveau dispositif
L'Agence nationale de la sécurité des systèmes d'information (ANSSI) sera chargée d'identifier et de suivre les entités concernées. L'agence a déjà publié une version de travail du référentiel NIS 2, qui prévoit quinze objectifs de sécurité communs aux deux catégories d'organisations. Ces exigences comprennent notamment l'enregistrement auprès des autorités, la mise en place de mesures de protection informatique et la déclaration des incidents de cybersécurité significatifs. Les entités essentielles devront respecter cinq objectifs supplémentaires, compte tenu de leur importance stratégique. Un espace dédié est déjà disponible sur le site de l'ANSSI afin d'accompagner les organisations dans leur préparation.
Des sanctions pouvant atteindre 10 millions d'euros
Le projet prévoit également des sanctions financières importantes pour les organisations qui ne respecteraient pas leurs obligations. Pour les entités essentielles, les amendes pourront atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé. Pour les entités importantes, le plafond prévu par la directive atteint 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial. Ces sanctions devront toutefois être proportionnées à la gravité des manquements constatés.
Qu'en penser ?
Avec NIS 2, la cybersécurité devient une obligation réglementaire pour un nombre beaucoup plus important d'organisations françaises. L'objectif est de passer d'une logique de réaction aux cyberattaques à une véritable politique de prévention, notamment dans les secteurs dont dépend le fonctionnement quotidien du pays. Mais cette évolution représente également un défi financier et technique pour les entreprises et collectivités concernées, qui devront adapter leurs infrastructures, leurs procédures et leurs moyens humains. L'adoption définitive du texte permettra de clarifier les obligations précises et le calendrier de mise en conformité des quelque 15 000 entités potentiellement concernées.
