NIS 2 : l'Assemblée achève l'examen de la loi Résilience, supprime l'article 16 bis sur le chiffrement et vote le 17 novembre

· Par Edouard Schlumberger
👈 les autres actualités

Le mardi 10 novembre 2026, l'Assemblée nationale a achevé l'examen en séance publique du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, le texte qui transpose la directive NIS 2. Les députés y ont supprimé l'article 16 bis sur le chiffrement, et le vote solennel est fixé au mardi 17 novembre. Pour les organisations qui attendent de savoir si elles seront entités essentielles ou importantes, le texte entre dans sa dernière ligne droite.

Ce qui s'est passé à l'Assemblée

La discussion en séance publique s'est ouverte le lundi 9 novembre, plus d'un an après la transmission du texte par le Sénat, qui l'avait adopté le 12 mars 2025 en procédure accélérée. L'Assemblée examinait le texte de sa commission spéciale, établi le 10 septembre 2025. Leto avait annoncé ce retour en séance, un mois après le retrait du texte de l'ordre du jour.

D'après la base des amendements de l'Assemblée nationale, plus de 150 amendements ont été adoptés en séance. Selon ZDNet, les députés ont notamment écarté l'intégration de tous les éditeurs de logiciels parmi les entités essentielles, jugée comme « une surtransposition ».

Le point le plus attendu était l'article 16 bis. Introduit au Sénat, il interdisait d'imposer aux fournisseurs de services de chiffrement des dispositifs « visant à affaiblir volontairement la sécurité », tels que des clés de déchiffrement maîtresses. Le 10 novembre, les députés ont adopté l'amendement du Gouvernement qui supprime l'article, ainsi que celui d'Éric Bothorel au même effet. L'exposé sommaire du Gouvernement estime que ces dispositions « entraveraient l'action des services judiciaires et de renseignement ». Le rapporteur Vincent Thiébaut a, selon ZDNet, mis en cause une « rédaction très large et excessive ». Cet article opposait cybersécurité et renseignement.

La conférence des présidents du 10 novembre a inscrit le vote solennel sur l'ensemble du texte au mardi 17 novembre, après les questions au Gouvernement. Une commission mixte paritaire devra ensuite accorder les versions des deux chambres.

Pourquoi c'est important

Le texte change d'échelle. Selon la ministre chargée du numérique, Anne Le Hénanff, citée par ZDNet, les nouvelles obligations viseront 18 000 à 20 000 organisations. ZDNet les compare aux quelque 500 opérateurs soumis à des mesures de sécurité depuis la loi de programmation militaire de 2013. L'ANSSI en assurera le contrôle.

Le socle vient de la directive (UE) 2022/2555 : mesures de gestion des risques de cybersécurité (art. 21), notification des incidents importants en trois temps, alerte précoce sous 24 heures, notification sous 72 heures et rapport final sous un mois (art. 23). Côté sanctions, l'art. 34 fixe des plafonds d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles, et 7 millions d'euros ou 1,4 % pour les entités importantes. Le détail est dans notre guide sur les obligations et sanctions de NIS 2.

Sur le calendrier, la ministre a rappelé que l'ANSSI vise une mise en conformité des entités d'ici la fin de 2028, avec des « stratégies de contrôle progressives », une orientation que l'agence avait déjà exposée publiquement.

Ce que ça change pour les organisations

  • Vérifier dès maintenant si l'organisation entre dans le champ (secteur, taille, activité), sans attendre le texte définitif : les critères de secteur et de taille viennent de la directive.
  • Recenser les systèmes d'information qui portent les activités concernées et les mesures de l'art. 21 déjà en place, pour mesurer l'écart.
  • Préparer une procédure de notification compatible avec les délais de 24 et 72 heures, articulée avec la notification de violation de données à la CNIL de l'art. 33 du RGPD.
  • Suivre le vote du 17 novembre puis la commission mixte paritaire : le périmètre des entités et le sort du chiffrement peuvent encore évoluer.

Ce que Leto en pense

La fin de l'examen en séance ne fait pas encore une loi, mais elle fixe l'essentiel du cadre que les RSSI et les DPO devront tenir. Le calendrier de l'ANSSI laisse du temps, à condition de le mettre à profit : un inventaire des actifs et des incidents tenu au fil de l'eau sera plus utile, le jour du contrôle, qu'une documentation rédigée dans l'urgence. Pour structurer ce chantier, Leto propose un logiciel dédié à NIS 2. Le calendrier de la transposition est à jour dans notre guide.

Sources

Restez connecté(e).

Téléchargez notre application mobile de veille RGPD, Intelligence Artificielle et Cybersécurité. 
100% gratuite. 
Je télécharge

Discutons ensemble - et voyons comment Leto peut vous simplifier votre quotidien

Demander une démo