Cybersécurité : un projet de loi très attendu débattu à l'Assemblée

Deux ans après sa première lecture au Sénat, et un retour manqué début octobre, les députés ont commencé lundi à discuter dans l'hémicycle d'un projet de loi sur la cybersécurité, après un long débat sur les messageries chiffrées et un été marqué par de nouvelles cyberattaques.

Le projet de loi sur la résilience des infrastructures critiques et le renforcement de la cybersécurité doit transposer en droit français trois textes européens.

Le projet de loi opère "un véritable changement de paradigme en matière de cybersécurité", notamment pour de nombreuses entreprises "en imposant leur sécurisation", a défendu en ouverture des débats la ministre chargée du Numérique Anne Le Hénanff.

"Les récentes attaques contre les installations frigorifiques (de supermarchés, NDLR) ont directement visé notre économie et nos chaînes d'approvisionnement", a-t-elle rappelé. "La menace cyber est désormais une réalité que plus personne ne peut ignorer."

Le texte a connu un parcours législatif inhabituel.

Initialement déposé au Sénat en octobre 2024, deux jours avant la date limite de transposition de deux directives, et adopté par la chambre haute l'année suivante, il a notamment été ralenti par un important débat sur les messageries chiffrées.

Après l'annonce d'une arrivée dans l'hémicycle de l'Assemblée nationale début octobre, l'examen du texte avait été à nouveau reporté en raison du calendrier parlementaire.

Début juillet, la Commission européenne a engagé un recours contre trois pays, dont la France, pour sanctionner l'absence de transposition de l'une des directives.

La révélation en août de vols de données massifs qui ont touché le fisc a achevé de donner au texte un caractère urgent.

Des députés de nombreux groupes ont regretté l'inscription tardive du texte à l'ordre du jour de l'Assemblée.

Recrudescence de la menace

Auditionné début octobre par la commission parlementaire spéciale en charge du texte, le directeur de l'agence nationale de cybersécurité (Anssi), Vincent Strubel, a insisté sur l'importance d'aboutir rapidement à la transposition.

Certaines mesures prévues par les textes européens "auraient été efficaces contre la majorité des vols de données qui ont été constatés en France, contre l'État, contre des entreprises, (...) ces derniers mois", a-t-il assuré.

Ces mêmes textes doivent aussi confier à l'Anssi un "pouvoir contraignant qui lui manque aujourd'hui", a-t-il insisté.

La transposition de la directive Nis 2 est particulièrement attendue dans le secteur de la cybersécurité.

Selon la ministre, plus de 18.000 entités dans 18 secteurs critiques comme l'énergie, la santé ou les transports seront concernées par de nouvelles obligations "en matière de gestion des risques, de sécurisation des sous-traitants, de notification des incidents".

L'examen des amendements (environ 400 déposés) devrait susciter des débats, par exemple sur la question des sanctions prévues en cas de manquement à ces obligations.

"Nos TPE et PME ne disposent pas des mêmes moyens que les grands groupes. Protéger ne doit pas signifier accabler", a averti Nicolas Tryzna (groupe LR).

Messageries chiffrées

Le texte examiné par les députés contient par ailleurs un article décrié sur les messageries chiffrées (WhatsApp, Telegram, Signal...).

Cet article 16bis, qui doit garantir l'inviolabilité des messageries chiffrées, a été inséré au Sénat pour répondre à une autre initiative parlementaire début 2025.

Les sénateurs avaient inclus dans le projet de loi Narcotrafic un article 8ter pour imposer à ces messageries d'ouvrir, sur requête des services de police, l'accès aux conversations de personnes mises sur écoute. Une mesure plébiscitée par les services de renseignement.

L'article n'a finalement pas été retenu dans la version finale du texte, mais avait déjà suscité un contre-feu: le 16bis du texte cybersécurité, qui va, selon certains, au contraire trop loin dans la protection des messageries chiffrées.

"Sa rédaction est imprécise et elle fragilise nos services de renseignement", a estimé Geneviève Darrieussecq (MoDem).

L'article est défendu par la gauche. Le chiffrement "protège la journaliste et sa source, l'avocat et son client, la militante face à un régime autoritaire", a argumenté Sabrina Sebaihi (groupe écologiste). "Nous nous opposons à toute forme d'affaiblissement volontaire ou de contournement du chiffrement des échanges numériques", a abondé Arnaud Saint-Martin (LFI).

Le gouvernement a déposé un amendement de suppression de l'article, à l'unisson de plusieurs députés LR, Horizons, Renaissance et Liot.

Symétriquement, Anne Le Hénanff s'est engagée à "ne pas réintroduire ni soutenir une réintroduction de l'article 8ter d'ici la fin de la session parlementaire".