Après un été marqué par des cyberattaques et une longue pause parlementaire, le projet de loi résilience revient devant les députés. Ce texte transpose NIS 2 et élargit les exigences de cybersécurité à davantage d’organisations françaises. Pour les dirigeants, le débat porte déjà sur la sécurité informatique, les responsabilités et les moyens de préparation.
Le projet de loi vise un périmètre qui pourrait passer d’environ 500 à près de 15 000 entités. Il concerne des secteurs essentiels, des prestataires et des organisations exposées aux menaces numériques. Les entreprises ont intérêt à cartographier leurs actifs, leurs dépendances et leurs procédures de crise, sans attendre l’adoption définitive du texte.
Le retour du texte à l’Assemblée nationale remet la conformité cyber au cœur des décisions de direction. Une PME qui fournit un opérateur essentiel peut aussi subir des exigences indirectes, via ses contrats ou sa chaîne numérique. Le projet n’est pas encore une loi promulguée : les débats et le texte final détermineront les règles applicables. Les entreprises peuvent toutefois structurer leur préparation grâce aux repères sur NIS 2 et la résilience opérationnelle.
Une transposition de NIS 2 attendue
Le projet relatif à la résilience des infrastructures critiques transpose la directive européenne NIS 2 en droit français. Son examen a connu des retards après une première étape au Sénat et une année d’impasse. Le texte est revenu à l’ordre du jour de l’Assemblée nationale après un été marqué par plusieurs incidents cyber. Pour les décideurs, ce retour signifie que le cadre national entre dans une phase de clarification politique.
Les estimations évoquées dans le débat portent le périmètre d’environ 500 à près de 15 000 entités. Cette hausse change l’échelle des obligations pour des structures qui n’avaient pas toujours de fonction cyber dédiée. Les secteurs visés comprennent des services essentiels et des fournisseurs liés à leur activité. Une entreprise doit donc vérifier son statut, ses clients et ses dépendances avant la publication des règles finales.
Des obligations qui dépassent la conformité
NIS 2 vise une meilleure gestion des risques, une réponse aux incidents et une supervision accrue. Les organisations concernées devront formaliser leurs mesures de protection et leurs circuits de décision. La responsabilité de la direction prend plus de poids, car le risque cyber touche aussi la continuité des services. Le guide sur le rôle du responsable cyber-résilience aide à répartir ces tâches.
Pour une ETI, le premier effet peut venir d’un donneur d’ordre soumis au texte. Celui-ci peut demander des preuves de contrôle, des délais de signalement ou des exercices de crise. Ces exigences contractuelles peuvent précéder la pleine application de la législation française. La protection des infrastructures dépend donc aussi de fournisseurs plus petits, parfois moins dotés en ressources.
Le débat parlementaire précise les règles
Les échanges portent aussi sur le chiffrement et les moyens de contrôle des autorités. Ce point oppose la protection des communications à certains besoins d’enquête et de sécurité publique. Un arbitrage technique peut avoir des effets économiques pour les entreprises qui protègent leurs données sensibles. Une règle mal calibrée peut compliquer la défense des systèmes sans réduire les risques criminels.
Les responsables doivent distinguer les obligations déjà applicables des mesures encore débattues. Le texte adopté par le Sénat, puis les travaux en commission, donnent des repères, mais pas une version définitive. Le calendrier parlementaire reste déterminant pour les seuils, les entités visées et les sanctions. Une veille juridique structurée évite de traiter une proposition comme une exigence déjà en vigueur.
Un texte lié aux incidents de l’été
Les cyberattaques contre des acteurs publics et privés ont remis en évidence les effets d’une interruption numérique. Une fuite ou une indisponibilité peut bloquer la production, retarder les paiements ou fragiliser la confiance des clients. La continuité d’activité devient un sujet de gouvernance, pas seulement une tâche informatique. Les entreprises peuvent s’appuyer sur les recommandations de l’ANSSI et sur les retours d’incident documentés.
Pour les PME, le risque tient souvent aux accès trop larges, aux sauvegardes isolées ou aux prestataires mal contrôlés. Une attaque chez un fournisseur peut toucher plusieurs clients sans intrusion directe dans leurs réseaux. La chaîne de sous-traitance mérite une revue dédiée, avec inventaire des accès et procédures d’alerte. Le dossier sur la sécurité de la chaîne logicielle complète cette approche.
