Vidéo du corpus

parole est à madame Anne Noénaf, ministre déléguée chargée d'intelligence artificielle et du numérique.

Madame la présidente, monsieur le président de la commission spéciale, Philippe Latombe, monsieur le rapporteur général, Eric Bottorel. Mesdames et messieurs les rapporteurs, Catherine Hervieux, Vincent Thiebaud, Michael Boulou, Mesdames et messieurs les députés, je suis très heureuse de vous cet après-midi pour l'examen du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit résilience. Il a une signification particulière pour moi puisque j'étais députée sur ces bancs il y a environ un an en tant que rapporteur sur le titre 2 du projet de loi en commission spéciale. Je me réjouis donc de voir ce texte poursuivre son parcours législatif et tiens à remercier Vincent Thiebaud d'avoir pris le relais en tant que rapporteur. L'examen de ce projet de loi particulièrement attendu revient dans un contexte particulier, celui d'une menace cyber plus intense que jamais. Les récentes attaques contre les installations frigorifiques ont directement visé notre économie et nos chaînes d'approvisionnement. Elles ont impacté concrètement le quotidien des Français. La menace cyber est désormais une réalité que plus personne ne peut ignorer. Face à elle, la cybersécurité n'est plus désormais une affaire de techniciens, elle est l'affaire de tous. La cybersécurité est devenue la clé de voûte de la résilience de notre économie, de la protection de nos citoyens et de leur confiance dans la donnée qu'ils nous confient. Face à cette incentivisation de la menace, le gouvernement est à l'œuvre pour renforcer la sécurité numérique de l'État. J'ai présenté au nom du Premier ministre la stratégie nationale de cybersécurité 2026-2030 en janvier dernier. Son objectif... était claire, dotait la France d'une résilience cyber de premier plan. Elle définit des objectifs stratégiques clairs, des mesures concrètes pour adresser tous les niveaux de la nation, des entités les plus critiques au PME, en passant par la filière cyber, mais aussi le citoyen. La création d'un portail national de la cybersécurité du quotidien est une de ces mesures concrètes, tout comme le déploiement de Nice 2. Au niveau de l'État, le 30 avril dernier, le Premier ministre a annoncé des mesures fortes. Elles comprennent la feuille de route des efforts prioritaires de sécurité numérique de l'État qui se déclinent en 40 actions. Cette feuille de route a été pour la première fois rendue publique. Il a personnellement demandé une accélération de la sécurisation des administrations avec un suivi direct à son niveau. En outre, les ministères ont désormais un objectif clair de dépense dans la cybersécurité. 5% des budgets numériques devront être dédiés à la cybersécurité dès 2027, avec un objectif de 10% en 2030. Suite à la cyberattaque qui a touché la DGFIP, le Premier ministre a souhaité que nous allions encore plus vite, plus loin, avec des mesures priorisées et des échéances resserrées. A travers l'opération Réactive, l'ANSI a intensifié son assistance au ministère le temps de mise en œuvre des mesures de sécurisation. Par ailleurs, 200 millions d'euros ont été mobilisés dans le cadre de France 2030. L'État se mobilise et continuera à se mobiliser pour renforcer son niveau de cybersécurité. Mais la réalité, c'est que toutes les organisations, entreprises, Etats, collectivités territoriales doivent désormais intégrer et prendre des mesures concrètes pour se protéger contre les risques cyber. C'est dans ce cadre que le projet de loi Résilience constitue un levier essentiel pour le renforcement de notre résilience nationale et le passage à l'échelle de la cybersécurité. Ce texte est très attendu. Il est plus que nécessaire, nous en sommes, je le suis tous convaincus. Je tiens à remercier le travail continu des rapporteurs et de la commission spéciale en préparation de l'examen de ce texte. Bien que le gouvernement n'ait pas participé aux travaux en commission l'an dernier, l'intention du gouvernement est bel et bien de poursuivre les discussions sur la base du texte adopté en commission spéciale. Le projet de loi transpose ainsi trois directives européennes, les directives REC, NIS2, DORA, pour le renforcement de la résilience de la nation et de l'économie. La directive REC vise à actualiser le dispositif de sécurité des activités d'importance vitale. Elle concerne la sécurité des infrastructures critiques de notre nation. La directive NIS2 prévoit quant à elle les obligations et mesures de cybersécurité pour plus de 18 000 entités dans 18 secteurs critiques et hautement critiques, tels que l'énergie, la santé, les transports ou encore les technologies de l'information et de la communication. Depuis la loi de programmation militaire 2013, la France impose des obligations aux opérateurs d'importance vitale. pour leur système critique, étendu ensuite aux opérateurs de services essentiels, avec Nice 1. Nice 2 constitue un véritable changement d'échelle de cette politique, en étendant les obligations à plus de 18 000, voire 20 000 organisations qui auront des obligations nouvelles en matière de gestion des risques, de sécurisation des sous-traitants, de notification des incidents et de responsabilité des dirigeants, le tout sous le contrôle de l'ANSI. Enfin, la directive DORA constitue, avec le règlement du même nom, la LEC spécialiste de Nice 2 pour la gestion du risque et des incidents dans le secteur financier. Elle permettra de renforcer la résilience opérationnelle numérique du secteur financier face à la dépendance croissante des acteurs financiers au système d'information et aux prestataires technologiques. Je n'aborderai pas ici le détail des amendements. Nous aurons l'occasion d'en débattre dans les prochaines heures. Permettez-moi cependant d'expliquer quelques grandes lignes de force permettant d'éclairer ce que sera la position du gouvernement lors des débats. Ce texte a pour finalité première de renforcer notre cadre d'obligation pour les entreprises en matière de cybersécurité via la transposition de trois directives européennes. Elle doit permettre la simplification du cadre réglementaire cyber français en réduisant le millefeuille réglementaire actuel. l'harmonisation européenne des exigences et obligations pour les entités et garantir une approche proportionnée à la taille des entités et à la menace à laquelle elles sont exposées. En conséquent, le gouvernement appelle à ne pas se tromper de débat et ne pas transformer l'examen de ce texte sur la cybersécurité en débat sur la souveraineté numérique de notre pays ou sur la commande publique. Ces débats sont légitimes, j'en suis la première défenseure. Pour autant, ma conviction est qu'il est avant tout indispensable, cette semaine, de placer notre pays en conformité avec nos engagements européens en matière de cybersécurité. A part quelques articles spécifiques, le texte vise la transposition des directives REC, NIS2 et DORA. La ligne, elle est claire, pas de surtransposition. Le texte doit être fidèle aux directives qu'il transpose. Surtransposer, c'est faire cavalier seul. plutôt que jouer en européen. C'est complexifier au lieu de simplifier les normes, c'est introduire des distorsions de concurrence et bien souvent, cela revient à pénaliser nos entreprises du fait des impacts économiques. Nous n'en voulons pas. Pour conclure, je veux vous redire ma conviction. Ce projet de loi que vous allez examiner constitue un véritable changement de paradigme en matière de cybersécurité. pour les entreprises en imposant leur sécurisation, pour la filière cybersécurité française qui va devoir accompagner cette mise en conformité, pour l'Annecy qui verra ses pouvoirs de contrôle renforcés et pour l'ensemble de la nation par le renforcement de sa résilience. Ce projet de loi envoie aussi et surtout un signal fort aux entreprises. La protection de vos systèmes d'information et la continuité de vos activités relèvent de votre responsabilité. Ce projet de loi vient renforcer et rendre effectives ces exigences. Alors dirigeants, la cybersécurité n'est plus une question technique réservée aux experts. C'est une responsabilité stratégique qu'il nous faut collectivement prendre à bras le corps. Aux citoyens ! Votre sécurité, celle de vos données, de vos services publics, dépend de notre capacité collective à anticiper la menace et à y résister. Je vous remercie.

vous remercie. La parole est à monsieur Eric Bautorel, rapporteur général de la commission spéciale chargée d'examiner le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité.

la Présidente, Madame la Ministre, Madame et Messieurs les rapporteurs, Monsieur le Président, chers collègues. Tout bon livre doit savoir provoquer l'attente. Lire, c'est attendre la suite. Le projet de loi Résilience n'est pas un bon livre, loin de là, mais il a indésiblement su provoquer l'attente. Nous attendions tout simplement patiemment la suite. Car il y a plus d'un an que la Commission spéciale a fini ses travaux préparatoires à l'examen de ce projet de loi qui transpose de nouveaux cadres européens de cybersécurité. C'est ainsi la directive REC qui protège la continuité des services essentiels face aux menaces civiques. parlons physique comme cyber, la directive NIS2, elle, qui élève le niveau de cybersécurité de 18 secteurs d'activité avec des obligations de gestion de risque, de formation des dirigeants et de notification des incidents. Le règlement d'Aura, quant à lui, directement applicable, fait de même pour le secteur financier avec une notification des incidents sous 24 heures. Un an d'attente, ce n'est pas tout à fait rien. Ça a juste permis d'acculturer nos concitoyens au risque cyber. Il conviendrait presque d'ailleurs de remercier ces et ceux, russes, français, les autres, qui ont occupé cette année. En octobre 2025, le groupe de cybercriminels Quilin a paralysé près de 200 lycées des Hauts-de-France. Au premier semestre 2026, ce sont nos administrations publiques qui sont frappées. C'est l'OFI, 2,1 millions de dossiers volés, l'Ursaf, 12 millions de personnes exposées, l'ANTS, 18 millions de comptes mis en vente, et du Connect, 3,5 millions d'élèves, le FICOBA, 1,2 millions de comptes bancaires. Et avec une belle régularité... France Travail, qui a subi au moins 5 cyberattaques majeures depuis 2023. Cet automne, enfin, dans un teasing parfait, une sorte de feu d'artifice, puisque les frigos connectés de centaines de supermarchés ont été piratés, des chambres froides portées à plus de 50 degrés, puis l'établissement Français du Sang, victime de l'attaque similaire. Et enfin, last but not least, le groupe Arkea, il y a une semaine. Alors en France, la menace cyber reste élevée. En 2025, l'ANSI a recensé 1 366 incidents confirmés contre 1 361 en 2024. Et cette stabilité concerne les incidents connus de l'agence. Dans ce périmètre, l'éducation et la recherche représentent 34% des incidents, les ministères et collectivités 24% et la santé 10%. Collectivités, 10 d'entre elles viennent d'être sanctionnées par la CNIL et c'est normal. Le vol de données et le chantage à leur divulgation progressent, parfois sans chiffrement des systèmes. Les rançons JCL restent néanmoins une menace importante. 128 compromissions ont été portées à la connaissance de Nancy en 2025. Les accès reposent sur des vulnérabilités techniques, des identifiants volés ou des prostataires compromis. Parfeu et VPN exposés sur Internet restent particulièrement ciblés, certaines failles étant exploitées avant la disponibilité même d'un correctif. Les interconnexions permettent ensuite de progresser d'un prestataire et des clients, c'est assez traditionnel. Le cas de la DGFIP, d'ailleurs documenté en septembre 2026, montre les limites de l'expression faille humaine, car il s'agit de vols d'identifiant, d'absence d'authentification forte, de cloisonnement insuffisant et de lacunes de détection qui se combinent. Alors nous sommes les plus attaqués, pas parce que nous sommes les moins préparés face à ces attaques. Nous sommes les plus attaqués car la Russie et ses proxys considèrent que la France joue un rôle majeur dans la résistance. à cette stratégie d'invasion. Nous sommes les plus attaqués car notre action publique, façon puzzle, offre parfois une surface d'attaque massive. Nous sommes les plus attaqués car nous avons basculé depuis le Covid dans une économie numérique et à distance. Pour autant, Madame la ministre, vous l'avez rappelé, depuis 2017 et sous l'impulsion du président de la République, et du gouvernement qui se sont succédés, nous sommes montés en compétences, en puissance et en moyens sur la cybersécurité. C'est le campus cyber national et les cyber campus régionaux. C'est l'ANSI qui est passé de 120 à 5500 spécialistes, la DGFI, l'OFAC, nous sommes moins d'être désarmés. C'est la création du parquet spécialisé J3. J'en profite pour adresser... Un salut presque paternel à tous ces jeunes qui cessaient au hacking non-éthique. Ils finissent vite devant l'équipe de la cybercompatente Johanna Brousse. Et pour ces apprentis pirates, le seul serveur qui répond toujours, c'est celui du parquet de Paris. C'est aussi cybermaveillance.gouv.fr, mon aide au cyber, sans cyber, des dispositifs gratuits pour les victimes et les structures. Et je salue l'ami Jérôme Notin et toutes ses équipes. En matière de sécurité informatique, aucun système n'est imprenable. Les défenses érigées comme des lignes maginaux finissent immanquablement par être brisées. Pour autant, il nous faut, jour après jour, augmenter nos capacités de défense et en la matière, l'excès de prédence ne peut nuire. C'est ce que nous allons faire ces prochains jours, aider la France à se défendre sans nous tromper de débat. Il ne s'agit pas de rendre nos entreprises plus souveraines par la loi, chacun le sait, c'est un vœu pieux. Près d'un tiers des amendements vont au-delà des directives ou sont étrangers au texte où plus d'une quarantaine portent sur des sujets en cours de négociation à Bruxelles. Cette surtransposition fragmenterait le marché intérieur, imposerait une notification à la Commission européenne et retarderait l'adoption du texte. Nous devons adopter ce texte qui renforcera la sécurité et la résilience de nos administrations, collectivités et entreprises. Un bon livre s'est provoqué l'attente, mais la cybersécurité n'est pas un feuilleton. Les attaquants, eux, ne nous attendent pas. Ils n'ont ni navette parlementaire, ni notification à Bruxelles. Alors, c'est sans débattre de ce qui n'est pas dans ce texte, ou comme du SESBI qui n'aurait jamais dû l'être, car c'est un cavalier, un cavalier qui menace nos capacités d'enquête, comme plusieurs d'entre nous ont pu le constater auprès des femmes et des hommes de l'antenne J la semaine dernière. Ce texte protège. Adoptons-le. Maintenant, je vous remercie.

vous remercie. parole est à Mme Catherine Hervieux, rapporteure de la commission spéciale chargée d'examiner le projet de loi relatif à résidence des infrastructures critiques ou renforcement de la cybersécurité.

la Présidente, Madame la Ministre, Monsieur le Rapporteur général, Messieurs les rapporteurs, chers collègues, en tant que rapporteur sur le titre premier du projet de loi relatif à la résilience des infrastructures critiques et renforcement de la cybersécurité, je tiens vraiment à remercier l'ensemble des députés qui se sont mobilisés pour cette commission spéciale qui a commencé ses travaux il y a un an et demi. Nous avions voté le texte en septembre 2025, sans gouvernement, et nous voilà en 2026, fin 2026. Je regrette vraiment les délais pris par le gouvernement pour inscrire le projet de loi à l'ordre du jour et je sais que je ne suis pas la seule. Le titre premier tire les conséquences de la directive européenne REC sur la résilience des entités critiques qui devraient être transposées avant le 17 octobre 2024. En juillet dernier, la Commission européenne a annoncé qu'elle renvoyait la France devant la Cour de justice de l'Union européenne. Cela risque de coûter au total plus de 10 millions d'euros à l'État. Mais surtout, nous prenons du retard quant à la préparation du pays afin d'être résilients pour notre défense nationale et notre protection globale. La France est un des derniers États membres de l'UE à ne pas avoir finalisé la transposition. Nous devrions pourtant être exemplaires compte tenu de la position qu'elle affiche dans le champ de la défense et de la protection de nos intérêts. Il y a donc urgence à agir et l'actualité nous l'a rappelé très récemment. Nous avons constaté les cyberattaques envers nos entreprises, nos collectivités, nos concitoyens. Dernièrement, ce sont les systèmes de régulation frigorifique de plusieurs enseignes de distribution. Le changement de température à distance a entraîné des pertes considérables dans les stocks de nourriture. Des sabotages ont lieu pour tester notre résilience et faire vaciller la confiance des citoyens envers l'État. Alors préparons-nous. Évidemment, cela dépendra également des moyens financiers et humains que nous allourons pour accompagner les acteurs concernés. La culture de la résilience et de la cybersécurité doit se diffuser auprès des décideurs économiques, financiers, administratifs et politiques. Il en va de notre responsabilité d'être irréprochable lorsque nous en avons les moyens. En votant ce texte, nous assumons notre responsabilité de renforcer la résilience de nos opérateurs d'importance vitale. Le titre premier renforce le dispositif de sécurité des activités d'importance vitale avec la garantie de la protection des sites sensibles essentiels aux potentiels économiques et militaires de la nation. Ce texte permettra d'introduire dans notre droit la notion de continuité de l'activité qui guidera l'ensemble des plans établis par les opérateurs. Les entités devront signaler tous les incidents à l'autorité administrative. Une astreinte pourra être imposée aux opérateurs publics et privés qui refusent de se mettre en conformité avec leurs obligations. Le contrôle de l'accès au site sera aussi renforcé, y compris aux accès à distance. Et enfin, un nouveau régime de sanctions administratives est établi pour plus... efficacité. Des missions de conseil de la Commission européenne pourront aider les entités critiques à se mettre en conformité. La Commission spéciale a introduit plusieurs amendements qui ont enrichi aussi le dispositif. L'analyse des dépendances a été élargie aux sous-traitants, ce qui était indispensable pour assurer la résilience des opérateurs. Les sous-traitants sont des cibles vulnérables et identifiées par les services de renseignement étrangers afin d'agir contre nos intérêts, intelligence économique, sabotage, etc. Un avis de la CNIL garantira la conformité de l'autorisation d'accès avec le RGPD. Et s'agissant de la commission des sanctions, la nomination par le Premier ministre devra assurer la compétence des personnalités qualifiées et le caractère non renouvelable du mandat garantira l'indépendance des membres de la commission. L'enjeu est de voter le titre premier sans dénaturer le dispositif. Et en tant que rapporteur, je serai défavorable à tout amendement qui ne concerne pas la sécurité des activités d'importance vitale. Il est important que chaque titre conserve sa cohérence et ne soit pas surchargé de dispositions annexes. A l'inverse, je serai opposé à toute remise en cause des obligations portant sur les opérateurs, notamment sous l'affluence de groupes de pression. Ma seule exigence est d'ajouter le critère environnemental à l'analyse des vulnérabilités conduites par les opérateurs. Nous avons, vous le savez, des grands défis à relever qui sont intrinsèquement liés, changement climatique, défense et numérique. Penser l'un sans l'autre nous mène dans l'erreur stratégique et chacun constate que les phénomènes environnementaux et climatiques posent des risques croissants pour la continuité des activités d'importance vitale. Alors, chers collègues, il nous revient à présent de refermer ce chapitre en votant ce texte tant attendu par les acteurs concernés. Et il s'agit autant de se mettre en conformité avec le droit européen que de renforcer la résilience de la nation.

vous remercie. La parole est à M. Vincent Thiebaud, rapporteur de la Commission spéciale à charge d'examiner le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité.

la présidente, madame la ministre, monsieur le président de la commission spéciale, monsieur le rapporteur général, mes chers collègues rapporteurs, chers collègues. En transposant la directive ministre 2, le titre 2 de ce projet de loi répond à un fait qui est devenu impossible de nier. La cybermerveillance menace la continuité économique et sociale de la vie de notre pays. Les hôpitaux, contraints de déprogrammer leurs soins après avoir subi des attaques informatiques, tout comme les collectivités territoriales ayant perdu plusieurs années de l'accès à leurs fichiers, d'état civil ou de paye peuvent en témoigner. Les cyberattaques sont devenues une réalité. Elles frappent sans prévenir, elles frappent fort. L'actualité récente nous le rappelle. Il y a moins d'un mois, les frigos de plusieurs centaines de supermarchés ont été touchés par une cyberattaque d'ampleur, entraînant la destruction de stocks de produits frais et surgelés. Je ne reviens pas non plus sur les différentes cyberattaques qui ont lieu auprès de nos administrations. Or, notre droit actuel est insuffisant face à l'ampleur des risques que nous encourons. A ce jour, le droit encadre et surveille la cybersécurité de 500 opérateurs seulement. Avec l'adoption du titre 2 de ce projet de loi, que j'appelle de mes voeux, le périmètre d'encadrement et de surveillance des entités s'élargira à plus de 15 000 opérateurs ainsi que leurs sous-traitants. Je retiens quatre principales avancées au sein du titre 2. Premièrement, le texte confié à l'ANSI la mise en œuvre et le contrôle de la politique de sécurité des systèmes d'information. Le Premier ministre élabore une stratégie nationale de cybersécurité. Deuxièmement, il distingue deux catégories d'entités essentielles et importantes. Selon le secteur et de la taille, les grandes collectivités y rentrent notamment. Ainsi, les régions, départements, communes de plus de 30 000 habitants, communautés d'agglomérations et métropoles. doivent mettre en œuvre des mesures de gestion des risques. Leurs organes de direction devront les approuver et en répondre. Elles devront également notifier leurs incidents importants à l'ANSI. Quatrièmement, le texte organise l'efficacité et l'opérationnalité de ce changement d'échelle. Il prévoit des mesures de contrôle, d'exécution et des sanctions prononcées par une commission indépendante. Les amendes pourront atteindre 10 millions d'euros ou 2% du chiffre d'affaires mondiales pour les entités essentielles. Pour les entités importantes, elles pourront atteindre 7 millions d'euros, 1,4% de leur chiffre d'affaires. Les coactivités n'encourent pas d'amende. La puissance publique ne pourront se sanctionner pécuniairement elle-même. Permettez-moi enfin, mes chers collègues, de préciser trois éléments sur ce texte. Ils ont constitué ma boussole tout au long de mon travail de rapporteur et dans la continuité du travail. de ma prédécesseur, Anne Le Néanf. D'abord, ce texte n'est pas un texte sur la souveraineté numérique. Je partage l'attachement d'entre vous à cet objectif. Mais l'article 7 de la directive définit une stratégie de sécurité et c'est elle que nous transposons. La souveraineté numérique mérite un débat propre. Elle ne doit pas brouiller l'objet de ce texte. Ensuite, ce titre n'est pas strictement un texte de transposition. Il comporte des dispositions nouvelles. Par exemple, l'article 38 modernise le régime des déclarations des moyens de cryptologie. De même, l'article 42 réforme le régime des assignations de fréquences satellitaires déclarées par la France auprès de l'Union internationale des télécommunications. Ces articles répondent à des besoins réels et méritent leur place dans le titre 2. A l'inverse, l'article 16 bis introduit en commission n'a pas de lien avec le texte et entraverait les techniques d'enseignement et d'enquête autorisées sous contrôle d'un magistrat. Et je soutiendrai sa suppression. Enfin, nous avons combattu la surtransposition et je continuerai à le faire en séance. Chaque obligation que nous ajouterons, non prévue par le droit européen, pèsera sur les seuls acteurs français sans gain de sécurité démontré. Je vous proposerai donc par exemple de retirer des éditeurs de logiciels de la résidentité essentielle ou encore de soumettre les établissements de santé et les établissements médico-sociaux qui délivrent des soins au seuil de droit commun et d'exclure du champ ceux qui n'en délivrent pas. Pour la même raison, je mettrai une idée favorable aux amendements qui créent des secteurs ou des obligations sans fondement dans la directive. Mes chers collègues, ce titre doit élever le niveau de sécurité du pays sans pénaliser nos entreprises ni accabler nos collectivités. Il doit aussi rester applicable par une ANSI qui verra son périmètre multiplié par 30. Et permettez-moi de terminer quand même sur le sujet, puisqu'on va certainement l'avoir dans le débat sur le sujet de la souveraineté. Nous allons débattre pendant plusieurs jours dans cet hémicycle tout en regardant WhatsApp. Mes chers collègues, je vous souhaite un bon examen. Merci.

vous remercie. La parole est à monsieur Philippe Platon, président de la commission spéciale à charge d'examiner le projet doit relatif à résidence d'infrastructures critiques au renforcement de la cybersécurité.

Merci madame la présidente, madame la ministre, messieurs et mesdames les rapporteurs, chers collègues. Je serai bref et je ne rappellerai pas le contexte parce qu'il a été longuement déjà abordé et sera retracé ensuite certainement par les orateurs de groupe. Ouf, enfin, c'est pas trop tôt. Tout ce qu'on a pu entendre depuis un an et demi que ce texte est arrivé à l'Assemblée nationale et n'a pas été présenté dans cet hémicycle. C'est un texte qui était extraordinairement attendu. Il devait être transposé avant le 17 octobre 2024. Les entités attendent la transposition pour le mettre en œuvre, ce qui est au passage une erreur juridique puisqu'ils devraient l'appliquer déjà depuis le 17 octobre 2024. Merci d'abord Madame la Ministre pour avoir poussé à l'inscription de ce texte en hémicycle à plusieurs reprises. Je sais que c'était compliqué dans l'agenda et on y arrive enfin, après un an et demi, et on va pouvoir enfin adopter ce texte. Ce texte n'est pas que l'article 16 bis. Je le dis tout de suite, on verra ça demain à 16h30 avec des expressions du gouvernement. On trouvera certainement un chemin si le gouvernement renonce à porter atteinte au chiffrement de bout en bout et nous pourrons en ces cas-là annoncer que le CSB ne sera plus dans le texte. C'est un texte qui est important parce qu'il protège nos organisations et nos concitoyens. Nos concitoyens l'attendent. Trois points de désaccord que je voudrais manifester ici qui subsistent à la suite de l'examen en commission spéciale. Le premier, c'est la question du référentiel RECIF de l'ANSI et de la non-utilisation du référentiel ISO 27001. Une entité certifiée aujourd'hui ISO 27001 devrait pouvoir être conforme à l'ANIS 2 sous réserve de points particuliers, comme par exemple la gestion de l'Active Directory. Pour les entités importantes et de petite taille, ce serait une simplification bienvenue. D'autres pays l'ont fait. Nous devons nous poser la question et nous aurons certainement le débat sur le sujet. Le deuxième point de désaccord, c'est sur la déclaration commune d'incident. Nous l'avons déjà évoqué en commission spéciale. Aujourd'hui dans le texte, il y a trois déclarations indépendantes avec des délais différents qui portent sur des éléments communs. Une déclaration à la CPRAMF, une déclaration à l'ANSI et quand il y a des données personnelles, une déclaration à la CNIL. Il serait bon pour simplifier les déclarations de pouvoir permettre la concordance des délais et des formulaires de déclaration. Le troisième point qui est peut-être le plus important à mes yeux, c'est la question des sanctions. DGFIP, ANTS, FICOBA, tout ça a été rappelé à de nombreuses reprises. Il n'y a pas vraiment une sanction et personne ne comprend. Madame Michaud en Vendée, mais partout sur le territoire où je vais, les entreprises ne comprennent pas pourquoi il n'y a pas de responsable. Les entreprises y sont soumises, pas le public, pas les entités publiques. Le Conseil d'Etat nous a dit dans son avis qu'il fallait avoir un alignement entre les sanctions du secteur privé et du secteur public. Ça va également dans le sens de la décision de la Cour des comptes de cet été, qui a prononcé une sanction visant quatre hauts fonctionnaires du ministère de l'Intérieur pour manquement à leurs devoirs. On a l'impression avec ce texte que l'Etat ne veut pas chercher des responsables en son sein. Et ça, ça pose un problème à la plupart de nos concitoyens et aux entreprises. Enfin, deux points à discuter en hémicycle sur lesquels je pense qu'il faut qu'on ait le débat, mais qui ne sont pas forcément des points de divergence. Il y a une question sur la divulgation des vulnérabilités, autrement dit LOSINT. Nous devons avoir ce débat, je proposerai un amendement et nous pourrons débattre sur la question de la divulgation des vulnérabilités. Et ensuite sur la question de la notion de vulnérabilité humaine, ça a été abordé dans les discussions, je proposerai qu'on puisse l'intégrer, par exemple sur le... Les attaques qui concernaient le ministère de l'Intérieur sur l'otage, c'était des identifiants et des mots de passe qui avaient été envoyés par mail. C'est bien une vulnérabilité humaine. Il faut qu'on puisse l'intégrer dans le texte, à mon sens, mais nous en discuterons. C'est bien que ce texte soit à l'ordre du jour et je suis très heureux que nous puissions débattre dans les trois jours qui viennent sur le sujet. Je vous remercie.

Je vous remercie. Nous poursuivons avec la discussion générale. La parole est à madame Maria Agnès-Poussi-Winzbach pour le groupe Horizon et Indépendant.

Merci Madame la Présidente, Madame la Ministre, Monsieur le rapporteur général, Madame et Messieurs les rapporteurs, chers collègues. En février 2021, le centre hospitalier de Dax était victime d'un rançongiciel. J'ai découvert ce mot. Ces données ont été volées et chiffrées avec comme solution pour les récupérer une seule, le paiement d'une rançon. Bilan des services paralysés, plus de 2 millions d'euros de dégâts. Un procédé identique avait impacté en novembre 2020 la ville de Bondy. pour 1,5 million d'euros de préjudice. Cet été encore, le système d'information de la Direction générale des finances publiques a subi des attaques qui nous ont tous terriblement inquiétés. La menace cyber n'est pas à prendre à la légère. Elle frappe nos hôpitaux, nos collectivités, nos entreprises, elle nous frappe. Pour une PME, une cyberattaque coûte en moyenne 466 000 euros. Bien souvent, c'est la survie même de l'entreprise qui est en jeu. Au niveau européen, nous avons commencé à porter une réponse concrète à ces attaques. En 2022, la directive REC sur la résilience des entités critiques, la directive NIS2 sur la cybersécurité et le règlement DORA pour le secteur financier ont été adoptés. Nous devions transposer NIS2 avant le 17 octobre 2024. Nous avons plus de deux ans de retard. Mieux vaut tard que jamais. Alors oui, mes chers collègues, il est grand temps de nous rapprocher des standards européens en matière de cybersécurité. Ce texte change d'échelle. Nous passons de 6 à 18 secteurs couverts par la directive. Nous passons de quelques centaines d'opérateurs régulés à 15 000 entités essentielles ou importantes et près de 1 500 collectivités. Un rôle accru de l'ANSI, notre autorité nationale de cybersécurité. En commission spéciale, notre groupe a pu préciser les contours de la stratégie nationale qui prévoit désormais un soutien financier aux collectivités et la formation à la cyberhygiène. Le Premier ministre pourra exenter les acteurs de la défense nationale. La dématérialisation des actes est sécurisé. Mais transposer, attention, ce n'est pas sur-transposer. Sur deux points, la Commission est allée au-delà de la directive. Elle a classé tous les éditeurs de logiciels parmi les entités essentielles sans aucun seuil. Une jeune entreprise de cinq salariés, par exemple, qui développe une application serait soumise au régime le plus lourd, avec des amendes jusqu'à 10 millions d'euros. Elle a aussi fait entrer dans... tous les établissements sociaux et médico-sociaux, quelle que soit leur taille. Le service d'aide à domicile d'une petite commune serait traité comme un grand hôpital. Nous proposerons de revenir au seuil de la directive. Les structures plus petites mais critiques pourront toujours être désignées au cas par cas. Proportionnalité encore dans les contrôles. La directive prévoit une supervision en continu pour les entités essentielles et un contrôle ex poste pour les entités importantes. Inscrivons-le dans la loi. Mais proportionnalité ne veut pas dire complaisance. Le texte exonère d'amende l'Etat et les collectivités, nous le comprenons, faire payer le contribuable ne protège personne. Alors il faut trouver un autre levier, ce levier c'est la transparence. Que l'ANSI puisse rendre publiques ces mesures d'exécution, comme le prévoyait le texte initial du gouvernement. Que les injonctions visant les administrations de l'Etat soient transmises au Parlement, l'Etat doit être exemplaire. Pensons aussi aux victimes, quand vos données ont fuité, vous recevez un message laconique. Nous voulons qu'ils vous disent quels risques vous courez, quels réflexes adopter et vers qui vous tournez. Un mot enfin sur l'article 16 bis, il interdit d'imposer aux fournisseurs de chiffrement tout mécanisme permettant un accès non consenti aux données protégées. Le débat sur le chiffrement est légitime, il est sérieux. Mais il ne se tranche pas au détour d'une loi de transposition par un amendement adopté au Sénat en séance contre l'avis de la Commission et contre l'avis du gouvernement sans étude d'impact ni avis du Conseil d'Etat. Car une interception par définition n'est pas consentie. Dans l'enquête, elle est autorisée par un magistrat. Dans le renseignement, elle est autorisée par le Premier ministre après avis de la CNCTR. En l'état, l'article 16 bis fragiliserait ces outils qui sont au cœur de la lutte contre le terrorisme et la criminalité organisée. Nous en proposerons la suppression et nous saluons Madame la Ministre le soutien du gouvernement. Mes chers collègues, ce test... Ce texte doit protéger collectivités, nos entreprises et nos concitoyens. Il doit sécuriser nos équipements vitaux. Il doit renforcer notre souveraineté numérique. Le groupe Horizon Indépendant le votera par sens des responsabilités et avec la conviction qu'il s'agit d'un investissement d'avenir pour la France et pour l'Europe. Je vous remercie.

vous remercie. La parole est à monsieur Edouard Bénard pour le groupe Gauche-Démocrate et Républicaine.

Madame la Présidente, Madame la Ministre, Monsieur le rapporteur général, Madame et Messieurs les rapporteurs, chers collègues. En septembre 2025, nous examinions ce texte en commission sans ministre, ce que j'avais alors jugé aberrant pour un projet de cette ampleur. Et vous êtes là aujourd'hui, Madame la Ministre. Je vais donc pouvoir vous poser les questions qui étaient alors restées sans réponse. La menace cyber ne nous a pas attendus. En 2022, 385 000 cyberattaques ont réussi en France pour près de 2 milliards d'euros de pertes à l'heure et 1 sur 10 visait un organisme public. Seuls 0,2% ont été déclarés à l'ANSI. La guerre économique se déroule désormais dans le cyberespace, rançongiciel, espionnage industriel, ingérence étrangère, manipulation de l'information et depuis les chiffres vont croissant. Les exemples ne manquent pas de la CAF à France Travail en passant par les réfrigérateurs de nos supermarchés. Face à cela, transposer Nice 2, Dora et la directive REC est nécessaire. Nous l'avons dit en commission et nous le redisons, les avancées de ce texte sont réelles. Mais j'y vois aussi une grande limite. Si ce projet de loi renforce notre capacité à résister aux attaques, il est forcé de constater qu'il agit très peu sur ce qui nous rend vulnérables. Car notre vulnérabilité, c'est d'abord une dépendance. Trois groupes américains. Amazon, Microsoft et Google, pour ne pas les citer, se partagent environ 70% du marché européen du cloud. Ils sont soumis à des législations extraterritoriales, je l'ai déjà martelé à cette tribune. Nos données sont devenues une matière première du capitalisme de notre époque et nous en avons confié la garde à d'autres. Ce texte s'occupe de l'aval, de la conformité, des logiciels, des réseaux, mais il ignore l'amont, les puces, les centres de données, les infrastructures dont tout le reste dépend. D'où la question qui traverse notre débat, une politique de cybersécurité peut-elle être pleinement efficace sans politique de souveraineté numérique ? Non. Nous voulions faire de la stratégie nationale une véritable stratégie de souveraineté numérique, un plan de financement de la formation et de la recherche, une doctrine d'autonomie technologique pour le renseignement et la cyberdéfense, une évaluation du coût de nos dépendances. Notre amendement a été jugé, déclaré irrecevable au titre de l'article 40 dont acte, alors Madame la Ministre, c'est donc à vous désormais d'y travailler. Nous proposons également une préférence encadrée pour des prestataires qualifiés par l'ANSI et imposés en France avec des dérogations quand aucune offre n'existe. Elle vaudrait notamment pour les banques, pour les assurances, pour les mutuelles et les institutions de prévoyance qui détiennent les données parmi les plus sensibles de nos concitoyens. Pour ces données, nous demandons un hébergement en France sur des infrastructures qualifiées Secnum Cloud. La Commission a inscrit l'objectif de minimiser nos dépendances technologiques, alors donnons-lui enfin une traduction concrète. Deuxième exigence, les moyens. Avec ce texte, l'ANSI devra suivre et contrôler plus de 15 000 entités. Or, vous l'avez dit vous-même, Madame la Ministre, son budget 2027 sera identique à celui de 2026, et le Premier ministre lui demande de recentrer ses activités. Un budget gelé, quand les missions explosent, c'est un budget en baisse. Et aucun accompagnement financier n'est prévu ni pour les entités concernées, ni pour les communes. L'État impose ses obligations, menace de sanctions et ne met pas un euro sur la table. Une loi sans moyens est une loi d'affichage. Et une agence sous-dotée finira par sous-traiter ses contrôles. Nous demandons que les experts privés restent consultatifs car, à force d'affamer l'État, on finit par externaliser sa souveraineté. Troisième exigence, ne laisser personne seule face à ses obligations. Beaucoup de collectivités n'ont ni les équipes, ni les compétences, ni les budgets pour se mettre en conformité du jour au lendemain, et vous le savez. Nous proposons une trajectoire progressive fondée sur un diagnostic, une feuille de route est déjà long et nous refusons des amendes qui retireraient de leur budget l'argent nécessaire à leur sécurisation justement. Nice 2 ne doit pas devenir un nouveau transfert de charges qui porterait mal son nom. Il en va de même pour les TPE et PME, une multinationale dotée d'une équipe cyber et une entreprise de 15 salariés ne sont pas dans la même situation. Nous demandons des délais adaptés et des astreintes proportionnées. Nous refusons toute suspension qui condamnerait une petite entreprise et ses emplois, sauf menaces graves et imminentes. Il ne s'agit pas d'exempter, mais de rendre la loi applicable. Enfin, les garanties doivent progresser au même rythme que les pouvoirs de l'Etat. Notre amendement imposant l'avis de la CNIL sur le décret encadrant les enquêtes administratives de sécurité avait été adopté en commission et nous veillerons à ce qu'il le reste. Chers collègues, la résilience ne suffira pas si nous ne redézions pas nos dépendances et si l'État ne donne pas les moyens d'appliquer ce qu'il exige. Notre groupe abordera ce débat de manière constructive et exigeante, vous l'aurez compris. Je vous en remercie.

vous remercie. La parole est à M. Alexandre Sabatou pour le groupe 300 moins national. Ah, M. Verny, pardonnez-moi. La parole est à M. Géraud Verny pour le groupe Ion des droits pour la République. Comme il y a eu un décalage avec celui d'avant, excusez-moi.

Madame la Présidente, Madame la Ministre, Monsieur le Président de la Commission spéciale, Monsieur le Rapporteur général, Madame et Messieurs les rapporteurs, mes chers collègues. Une usine dont les machines s'arrêtent, une mairie qui ne peut plus rendre ses services, un hôpital qui doit continuer à soigner sans accès à ses outils informatiques, voilà ce qu'une cyberattaque peut provoquer. Et dans l'industrie, il suffit parfois qu'un sous-traitant soit paralysé pour que plusieurs usines se retrouvent à court de pièces. L'attaque touche une entreprise, l'arrêt de production peut se propager à toute une filière. L'État lui-même a été touché, notamment à Bercy. Il doit être à la hauteur des exigences qu'il s'apprête à fixer aux entreprises et aux communes. Ce texte, nous l'attendions. Nous l'attendions depuis le 17 octobre 2024, date à laquelle la France devait avoir transposé la directive NIS2. Deux ans de retard, la Commission européenne a saisi la Cour de justice. Pendant ce temps, les collectivités et les entreprises attendaient de savoir à quelles règles elles devaient se préparer. Ce retard, nous devons maintenant le rattraper sur le fond, protéger l'énergie, l'eau, les transports et les hôpitaux face aux menaces criminelles ou étatiques relèvent de la responsabilité de l'État. Clarifier la responsabilité des dirigeants et signaler rapidement les incidents, importants sont donc des avancées. Néanmoins, trois questions méritent à mes yeux une attention particulière. La première, c'est la souveraineté. A quoi bon sécuriser nos systèmes si les clés en sont détenues à l'étranger ? La question se pose pour les données de nos hôpitaux et de nos opérateurs vitaux lorsqu'elles sont confiées à des prestataires soumis à des lois étrangères, comme le clou d'acte américain. Nous avions déjà donné l'alerte sur la facturation électronique. Derrière une facture, il y a les prix, les clients, les fournisseurs d'une entreprise. C'est pour protéger ces données et pour offrir aux entreprises une solution simple que j'avais proposée, une plateforme publique, gratuite et sécurisée. Or, vous savez que depuis cette adoption, une plateforme de facturation électronique basée à l'étranger a été piratée et donc les données de toutes les entreprises concernées ont été divulguées. La deuxième, c'est la complexité administrative. Sur la facturation électronique, nous avions aussi alerté sur ce que la réforme demandait aux petites entreprises. En tant que chef d'entreprise, je connais la question que l'on se pose devant une nouvelle obligation. Qui va s'en charger ? Avec quel temps et quels moyens ? Si une PME fait déjà vérifier sa sécurité par un donneur d'ordre, pourquoi lui demander de refaire le même audit pour un autre client ? Le temps gagné doit servir à corriger les failles et en cas d'attaque, la question que les équipes me poseront est simple. Combien de temps avant de pouvoir remettre les machines en route et livrer nos clients ? La troisième, c'est le financement. Les communes aussi sont en première ligne. Elles ont besoin de temps et de moyens pour sécuriser leur système. Le texte prévoit un fonds pour les collectivités concernées. Reste une question simple. Avec quel crédit ? Et comment les entreprises, en particulier les PME, vont-elles financer les investissements qu'on attend d'elles ? Lors de l'examen du PLF, j'ai fait adopter avec le groupe UDR un amendement pour étendre le suramortissement industriel aux logiciels et équipements de cybersécurité. Derrière ce terme, l'idée est simple, réduire le coût de l'investissement pour les entreprises qui s'équipent, parce que comme vous le savez, aujourd'hui la cybersécurité est un investissement nécessaire, essentiel et parfois vital pour certaines entreprises. Un mot enfin sur l'AMSI, avec davantage d'organisations à accompagner et à contrôler, l'agence devra avoir les moyens de répondre quand une entreprise, un hôpital ou une mairie a besoin d'aide. Mes chers collègues, derrière ces règles, il y a des usines qui doivent continuer à produire, des communes qui doivent continuer à servir leurs habitants et des salariés qui doivent pouvoir travailler en sécurité. Tout ce qui ira dans le sens d'une industrie française mieux protégée aura donc la faveur du groupe UDR. Je vous remercie.

Je vous remercie. La parole est donc à M. Alexandre Sabatou pour le groupe Presse en main nationale.

Madame la Présidente, Madame la Ministre, M. le Président de la Commission spéciale, Mesdames et Messieurs les rapporteurs, Enfin s'écrièrent les cinq députés spécialisés dans le numérique de l'hémicycle. Enfin nous examinons ce texte. Un texte déposé au Sénat le 15 octobre 2024, adopté par le Sénat en mars 2025, examiné par notre commission en septembre 2025 et depuis plus rien. 14 mois dans un tiroir. Madame la ministre, le gouvernement a lui-même engagé la procédure accélérée sur ce texte. C'est lui qui fixe l'ordre du jour et pourtant vous avez attendu plus d'un an après votre nomination pour l'inscrire. Plus d'un an que la France accumule un retard pour protéger ses infrastructures, pour soutenir ses filières numériques et embrasser enfin la révolution technologique qui vient avec l'intelligence artificielle. Alors si c'est une simple transposition de directive européenne, pourquoi ce silence ? On ne laisse pas un texte déclaré urgent 14 mois dans un tiroir par hasard. Soit c'est de la négligence, et c'est grave pour un texte de sécurité nationale, soit c'est un choix, et la représentation nationale a le droit de savoir qui a demandé ce délai et pourquoi. D'autant que sur le fond, ce texte fait largement consensus dans cet hémicycle. Aucun blocage politique ne justifierait ce retard. L'été 2026 a rappelé s'il le fallait en quoi ce texte était urgent. Rien que l'attaque informatique contre impôts.gouv a impacté plus de 600 000 personnes particuliers et professionnels. A cet incident s'ajoutent des milliers de violations de données notifiées chaque année, les 2,4 millions de comptes français compromis au seul troisième trimestre 2026. Et la semaine dernière encore, malheureusement, le crédit mutuel Arkea s'est fait dérober plus de 100 millions d'euros. Un exemple de plus de la vulnérabilité de notre pays. Il doit être le dernier investissement au moment même où la France accélérera sa numérisation. Cette numérisation dans notre production intérieure comme nos services publics est un espoir. pour permettre à notre pays d'être une grande nation numérique pour les siècles et ceux à venir. Elle rendra la vie des Français plus facile, répondra en un temps record aux besoins d'information et d'accompagnement des citoyens et fera entrer nos administrations dans le monde contemporain. La technologie va transformer notre quotidien et en mieux. Mais il y a un principe fondamental que vous semblez avoir oublié. Il ne peut y avoir de numérisation sans confiance. Comment voulez-vous que les Français fassent confiance à la numérisation de leurs services publics quand ils découvrent, mois après mois, de nouvelles fuites de leurs données personnelles ? Comment leur demander de confier toujours davantage d'informations à nos administrations lorsque ces dernières ne sont même plus capables d'en garantir la sécurité ? Comment leur demander encore d'être confiant si à chaque manquement, il n'y a pas de responsable ? Cette question de la confiance doit être prévue en amont et nous, nous devons y répondre. Nombreuses sont les expressions populaires à prévenir que la confiance prend des années à se construire, mais quelques secondes à se briser. Chaque fil de données, chaque cyberattaque réussie abîme un peu plus cette confiance. Si nous ne nous réparons pas cette confiance populaire, ce serait le champ libre aux éternels soutiens de la décroissance, du passéisme, du refus du progrès. Ces refus, si teintés de vert et de rouge, handicaperont notre pays en mettant à pied, à nos pieds, des boulets, là où nous pourrions prendre enfin notre envol. La France peut devenir une grande puissance numérique, mais pour cela elle doit être capable de protéger ses données qui constitueront au XXIe siècle ce que le pétrole était au XXe. On ne peut plus annoncer aux Français que leurs données ont été volées et que personne n'en est responsable. Je veux être clair, désigner un responsable ne réglera pas tout, ce n'est pas une solution miracle. Mais c'est la condition sans laquelle rien ne fonctionne, car quand personne n'est responsable, personne ne s'en soucie vraiment. Protéger les données de millions de Français est une responsabilité immense. Celui qui l'exerce doit en répondre. Cela ne veut pas dire le condamné à la première faille. Il faudra toujours prendre le temps de comprendre ce qui s'est passé. Mais si l'enquête montre un manquement grave, il doit y avoir sanction. Trouverait-on normal qu'un agent public qui, par une faute grave, fasse perdre des millions d'euros à son ministère ne soit pas inquiété ? Trouverait-on normal qu'un archiviste d'hôpital qui par négligence laisse des inconnus repartir avec des cartons de dossiers médicaux ne soit pas inquiété ? Alors pourquoi l'accepterions-nous quand ce sont des données numériques de Français qui sont perdues ? Car derrière chaque fuite de données, ce sont des milliers de Français livrés aux escrocs. Pour l'argent public, ce principe de responsabilité existe déjà. Depuis 2023, un gestionnaire public qui, par faute grave, cause un préjudice financier significatif en répond devant la Cour des comptes. Nous voulons donc introduire ce même principe dans le texte pour la sécurité des données. Ce rendez-vous exige une volonté politique au plus haut niveau. Marine Le Pen l'a dit clairement parce que c'est un véritable enjeu national. Avec nous, la politique numérique dépendra directement du président de la République. C'est là toute la différence. Pour vous, le numérique est un dossier que l'on laisse attendre 14 mois. Pour nous, c'est une affaire d'Etat. En 2027, nous ferons de la France une grande puissance numérique capable de protéger les données de ses Français.

La parole est à madame Patricia Lemoyne pour le groupe Ensemble pour la République.

Merci madame la présidente, madame la ministre, monsieur le président de la commission spéciale, chers rapporteurs, chers collègues. En 2025, la France se hissait au deuxième rang des pays les plus ciblés par les cyberattaques en Europe. L'ANSI décrit une menace devenue systémique qui touche l'ensemble de notre tissu économique et social. Ainsi, le 15 avril dernier, l'ANTS détectait une intrusion concernant près de 12 millions de comptes, soit un Français sur six. La semaine dernière, nous apprenions qu'après les frigidaires des supermarchés, c'est l'établissement français du sang qui était victime d'une cyberattaque via un prestataire frigorifique. L'affaire est particulièrement préoccupante car les pirates ne se sont pas attaqués à des fichiers informatiques, mais aux installations physiques de conservation de produits sanguins. L'une des raisons majeures de cette exposition globale reste la fragilité de nos infrastructures. L'investissement massif dans le numérique ne s'est pas accompagné des investissements nécessaires dans la protection de ces outils. Un prestataire compromis, ce sont des dizaines de clients fragilisés. Un hôpital paralysé, ce sont des soins retardés. La cybersécurité n'est donc plus seulement un sujet d'informaticiens, c'est une question de sécurité, de défense, de résilience de nos infrastructures essentielles et importantes, publiques comme privées, vous l'avez dit Madame la Ministre. L'inscription de ce texte à l'ordre du jour était donc devenue une priorité absolue dans un contexte géopolitique et technologique inédit, marqué par l'intensification des menaces hybrides, cyber et physiques, la dépendance croissante aux infrastructures numériques et la nécessité de garantir la résilience stratégique du pays. Mais il faut le reconnaître, nous n'avons pas été à la hauteur. La directive NIS2 devait être transposée en octobre 2024, soit il y a plus de deux ans. Pourtant, à l'issue de son audition au Sénat en juillet, la presse spécialisée relevait que l'ANSI ne pouvait aujourd'hui imposer des règles qu'à 300 opérateurs régulés par la loi de programmation militaire de 2013. Demain, avec ce texte, ce sont près de 15 000 entités et 1 500 collectivités qui devront relever leur niveau de protection et c'est là une avancée majeure. Le projet de loi vise donc à transposer trois directives européennes, REC qui est dans le champ de la protection des entités critiques à plus de secteurs, NIS2 qui renforce les obligations de cybersécurité pour un plus grand nombre d'acteurs et enfin DORA qui harmonise la gestion des risques numériques dans le secteur financier. Mais il est plus qu'une transposition. C'est avant tout une ambition pour tous. Faire de l'hygiène numérique un réflexe afin de réduire nos vulnérabilités. Enfin, politiquement, il répond à une triple exigence. protéger les intérêts fondamentaux de la nation, transposer les obligations européennes sans en alourdir la portée et accompagner les acteurs opérationnels, entreprises, collectivités, opérateurs d'importance vitale dans la mise en œuvre de dispositifs agiles adaptés à l'évolution rapide des technologies. Le groupe EPR s'inscrit dans cette perspective, protégé sans asphyxier tout en maintenant un niveau d'exigence élevé à la hauteur de l'enjeu. A cet égard, nous saluons l'article 5 qui permet d'inscrire dans la loi l'élaboration et le pilotage d'une stratégie nationale de cybersécurité sous la responsabilité directe du Premier ministre. Un mot, enfin, de l'article 16 bis. Nous partageons l'intention de ces auteurs. Le chiffrement protège la vie privée et la sécurité de nos concitoyens. Et nous refusons les portes dérobées. Mais comme l'a souligné notre ancien collègue Florent Boudier lors de sa mission, sa rédaction soulève de sérieuses zones d'ombre. L'interdiction de tout mécanisme d'accès non consenti pourrait fragiliser des techniques de renseignement et d'enquête, pourtant légales. Il formule à cet égard 17 recommandations majeures afin de réorienter notre stratégie face au chiffrement et nous devons, je crois, nous saisir de ces pistes pour concilier protection de la vie privée et fourniture de levées d'actions aux renseignements dans leur mission de lutte contre les réseaux criminels. Je pense notamment à l'exploitation des failles de l'écosystème. Des millions d'utilisateurs chiffrent leurs messages sur WhatsApp tout en laissant leur sauvegarde automatique accessible sur le cloud. Nous aborderons donc ce débat avec responsabilité, protéger le chiffrement sans entraver la lutte contre la criminalité et le terrorisme. Nous soutiendrons donc la suppression de l'article 16 bis et voterons évidemment pour ce texte très attendu avec la volonté de l'améliorer encore. Je vous remercie.

vous remercie. La parole est à monsieur Arnaud Saint-Martin pour le groupe La France Insoumise.

Arnaud Saint-MartinLien55:16 → 1:00:21

la Présidente, Madame la Ministre, Mesdames et Messieurs les rapporteurs, Monsieur le Président, ce n'est pas trop tôt. Il aura fallu près d'un an pour que le gouvernement daigne mettre à l'ordre du jour ce projet de loi examiné en commission spéciale début septembre 2025. C'était présenté à l'époque comme une urgence, à juste titre, puisqu'il y a urgence. Notre souveraineté sur les données sensibles des Français est menacée et nous ne sommes pas prêts face aux cybermenaces. Nous avions donc entamé des débats et puis plus rien. Un an dans les limbes. Quels gâchis provoqués par votre impréparation ou vos indécisions ? Celle-ci est extrêmement coûteuse, puisqu'en 2024, le coût annuel de la cybercriminalité est évalué à 119 milliards d'euros. J'ai fait mes calculs en nous prévenant des coûts liés aux conséquences des cyberattaques. Nous aurions pu, par exemple, ramener le déficit annuel du pays de 5% à 1% du PIB. Le vol des données personnelles est un scandale en soi, mais s'il ne vous suffisait pas pour agir, voici donc une bonne et impérieuse raison de planifier la cybersécurité. En attendant, le volume des données personnelles qui ont été dérobées dépasse l'entendement. Depuis un an, c'est la fuite en avant, la fuite en avrant même. Pas un jour sans qu'une faille n'apparaisse, qu'une vulnérabilité ne soit mise au jour, qu'une attaque ne soit enregistrée. On comptait 1 366 incidents confirmés en 2025 contre 831 en 2023, soit une hausse des cyberattaques de plus de 60% en deux ans. C'est la généralisation alarmante d'un risque numérique systémique qui expose les administrations publiques, les entreprises et tous les secteurs d'activité, et aussi en passant les citoyens et leurs données sensibles. Les conséquences donc, elles sont désastreuses. Rentrées scolaires empêchées, données médicales dérobées, attaque contre la DGFIP conduisant à la fuite des données de centaines de milliers de Français, piratage d'installations frigorifiques de supermarchés, craquage de l'Annecy même. La menace, elle est réelle, organisée de façon toujours plus ingénieuse d'ailleurs. C'est pourquoi votre politique de sécurisation du numérique est si totalement problématique. Les deux quinquennats Macron, pourtant si engagés dans la promotion du capitalisme numérique, du start-uping et de l'innovation de rupture, n'y auront rien fait. Ça craque de partout. Il est vrai que les nouvelles sources de bénéfices engendrées par les cybermenaces en arrangent certains. Car c'est tout un marché de la cybersécurité, prédaté par les géants états-uniens du capitalisme numérique, qui prospère désormais sur les ruines du secteur numérique et tire profit de nos dépendances matérielles. La puissance publique, elle, elle se trouve impuissante. Vous tentez d'organiser un business florissant qui rend toujours plus captifs les utilisateurs obligés de se protéger. Celles et ceux qui en paieront le prix sont les citoyens, les organisations publiques ou encore les collectivités territoriales. C'est pourquoi il est urgent d'élargir les missions de l'ANSI et d'augmenter substantiellement ses effectifs afin de les rendre capables de mettre en œuvre des mesures de protection et de supervision de milieux d'entités. Là où émerge un nouveau besoin essentiel, pour une société fonctionnellement encastrée dans le numérique, il faut débloquer de nouveaux moyens. Sans cela, nous les condamnons à avoir recours à des outils coûteux, sans assurance que leur système soit intègre, robuste et résilient. Notre adaptation aux cyberattaques est devenue d'autant plus cruciale à l'heure de la généralisation de l'intelligence artificielle. Autre point qui est éminemment critique, ça ouvre des menaces inédites qui vont évoluer rapidement, qui nous prennent de vitesse et contre lesquelles aucune protection n'existe actuellement. Face à cette incertitude, l'enjeu est non seulement de garantir la sécurité des infrastructures et des données, mais aussi la confidentialité. des communications des citoyens. C'est pourquoi, Madame la Ministre, nous sommes profondément attachés au maintien de l'article 16 bis, examiné en toute fin de nos travaux, car nous nous opposons à toute forme d'affaiblissement volontaire ou de contournement du chiffrement des échanges numériques, quand bien même certains acteurs concernés, notamment dans le renseignement, se font entendre pour renforcer le décloisonnement. Or il faut le dire avec force, les libertés fondamentales ne s'arrêtent pas à la porte de la sphère numérique. Le chiffrement vise à garantir l'intégrité et la confidentialité des communications. L'affaiblir serait une régression liberticide sans horizon, hors de question en tout cas pour nous, de céder aux injections techno-sécuritaires. Madame la ministre, chers collègues, ce projet de loi a le mérite de mettre à l'agenda une question critique, d'en faire un sujet politique dont on va pouvoir débattre assidûment pendant tout l'examen de ce projet de loi. Mais votre réponse, il faut bien le dire, n'est pas à la hauteur. Vous n'avez rien anticipé pour protéger un cyberespace transformé en passoire. Vous l'avez fait a posteriori après coup. Vous n'avez rien planifié et vous intervenez a posteriori lorsque ça plante. Vous transposez des directives européennes avec un grand retard, exposant la France à des pénalités qui alourdissent encore la facture de votre inaction numérique. Si ce projet de loi porte des avancées... Et c'est la raison pour laquelle d'ailleurs nous avons constructivement amendé. Il n'est pas suffisant. Sans hausse des moyens, sans planification, sans acculturation collective au dommage de la vie numérique, sans vision stratégique globale, les failles persisteront et nous mettront en danger. Ce projet de loi donc, il n'est qu'une étape que nous prolongerons en 2027, une fois aux commandes de l'exécutif, par un plan autrement plus conséquent et protecteur. Merci.

vous remercie. La parole est à M. Sébastien Saint-Pasteur pour le groupe socialiste.

Madame la Présidente, Madame la Ministre, Madame la rapporteure, Messieurs les rapporteurs, chers collègues, parler de petits pois, de pizza, de steak haché surgelé peut paraître incongru dans un débat qui a trait à la cybersécurité. Et pourtant, c'est des sujets très concrets, puisque dans ma circonscription, un supermarché du groupe Intermarché a perdu pour 21 000 euros de stock, près de 20 millions pour le groupe Intermarché. On a les problématiques sur les pièces d'identité, le cas de la NTS a été évoqué. Des dégradations dans le suivi des cancers, dans des hôpitaux, Corbeil-Essonne, je crois que Dax a été aussi évoqué, des EHPAD qui doivent travailler en mode dégradé, tout ça à cause de cyberattaques. Ces cyberattaques, elles affectent notre quotidien et de façon quotidienne. En 2025, 40% des entreprises interrogées par le CISIN déclarent avoir subi une cyberattaque significative. La plateforme Cybermalveillance a enregistré près d'un demi-million d'incidents à mettre en reflet avec les 200 000 cambriolages qui ont été dénombrés en France l'année dernière. Alors, face à l'ampleur de ce sujet, Madame la Ministre, on peut interroger l'attentisme du gouvernement qu'on pourrait presque juger de procrastination. Parce qu'on n'est pas parti d'une page blanche. On avait trois textes. On a travaillé à l'échelle européenne. L'Europe peut être source de grandes vertus. Nice 2, REC, DORA, dans des secteurs spécifiques, on a des exemples dans des pays étrangers, la Belgique, l'Italie, l'Allemagne ou le Danemark qui ont déjà transposé la directive. Et pendant ce temps-là, nous avons attendu. Deux ans de retard pendant lesquels les cyberattaques ont été bien présentes. Et comme cela ne suffisait pas pour rendre encore un petit peu plus complexe le débat, on a... L'intrusion d'un amendement cavalier, le 16 bis, par un sénateur de l'Union centriste, membre du socle commun, qui vient cristalliser les débats, créer de la difficulté alors que le sujet mériterait qu'il soit traité de façon autonome. Nous y reviendrons demain. Il y a aussi un sujet qui me chagrine un peu, un risque financier, ça a été évoqué. La Commission européenne a saisi la Cour de justice pour une sanction forfaitaire de près de 15 millions d'euros, une astreinte de près de 337 000 euros par jour. On voit bien, à l'heure où on cherche à pouvoir recruter des infirmiers, des professeurs dans nos écoles, des policiers, que cet argent-là, il serait évidemment bien mieux investi ailleurs. Mais le plus grave n'est peut-être pas là, parce que le temps que nous avons perdu, nous l'avons fait perdre également aux autres. Les entreprises qui doivent investir sont évidemment dans l'attente tant que le cadre réglementaire n'est pas fixé. Certaines ont même, je pense, été arnaquées par des démarchages sur des possibilités de se mettre en conformité, notamment avec Nice 2, par des opérateurs très peu bienveillants. Il ne faudrait pas que le retard que nous avons pris, nous l'imposions aux entités assujetties en leur demandant une transposition en marche forcée. Voilà la contradiction, voilà l'injustice potentielle. Il fut un temps où on nous promettait la start-up nation, on constate qu'ici on est plutôt sur la slow motion nation. Et pour franciser le propos, La Fontaine écrivait que rien ne sert de courir, il faut partir à point, mais avec deux ans de retard, il ne faut plus courir, il faut galoper. Et nous verrons si les entités concernées ne seront ni lièvres ni tortues, mais en tout cas pas les dindons de la farce de cette histoire. Madame la Ministre, chers collègues, derrière ce texte, il y a des milliers d'entreprises, des collectivités, des services publics, des femmes et des hommes qui devront investir, s'organiser, se former. Il faudra encore du temps, après le vote, pour que les Français ressentent les effets de cette loi. Nous devons être à la hauteur de l'importance du sujet. Le groupe socialiste a apporté des amendements, non pas de surtransposition, mais... d'effectivité parce que la mise en oeuvre de ces transpositions se feront aussi avec les acteurs du territoire. Ce sera le sens de notre travail sur ce texte qui est attendu depuis maintenant trop longtemps. Je vous remercie.

La parole est à monsieur Nicolas Trisna pour le groupe droite républicaine.

la Présidente, Madame la Ministre, Messieurs les rapporteurs général, Mesdames et Messieurs les rapporteurs, mes chers collègues. Plus de deux ans après son dépôt au Sénat, nous commençons enfin l'examen du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Examiné en commission spéciale au lendemain de la chute du gouvernement Bayrou, inscrit puis repoussé à plusieurs reprises, ce texte illustre malheureusement l'instabilité que connaît notre Assemblée depuis 2024. Cela doit être une alerte. Face au défi que traverse notre pays, la paralysie de nos institutions constitue un facteur de désordre et de déstabilisation important. Car ce texte n'est pourtant pas que l'adaptation de notre cadre législatif face à la montée de la cybermenace. Mais ce que ne doit pas nous montrer. Dès cette adaptation se cache un chantier considérable, celui de garantir la continuité de nos activités vitales en cas de crise. Il s'agit de la transposition de trois directives européennes, REC, NIS2 et DORA, qui imposent des standards de résilience opérationnelle. Notre collègue Michel Barnier vous a interrogé encore madame la ministre il n'y a pas très longtemps pour s'étonner de cette échéance de transposition qui espirait, je vous le rappelle, le 17 octobre 2024. Nous sommes donc très en retard alors que la situation se dégrade jour après jour. En commission spéciale, notre collègue Virginie Duby-Muller l'a rappelé. Notre pays a subi depuis 2022 de nombreuses cyberattaques qui ont relevé la vulnérabilité de nos infrastructures critiques, de nos services publics et de nos entreprises. Je pense naturellement aux attaques contre les hôpitaux à Corbeisson, à Versailles, contre les organismes de tiers payants via Médis, Almeris ou encore contre France Travail. En vérité, il ne se passe pas une semaine sans que la presse se fasse l'écho d'attaque, confirmant que le paysage de la cybersécurité en 2026 est marqué par une multiplication et une professionnalisation de celle-ci. Les chiffres le démontrent. L'Agence nationale de sécurité des systèmes d'information indique que le nombre d'attaques a simplement doublé entre 2020 et 2025. Les TPE, PME, ETI représentent 48% des victimes et les établissements en lien avec la santé, 8%. En plein cœur de l'été, les Français ont appris que la Direction générale des finances publiques, elle-même, avait été victime de cyberattaques, exposant les données de centaines de milliers de contribuables et d'entreprises. Même l'État, au cœur de Bercy, n'est donc pas épargné. Et comment ne pas mentionner les spectaculaires cyberattaques qui ont touché les équipements frigorifiques de supermarchés début octobre ? Ces exemples nous montrent une chose. Une cyberattaque n'est pas seulement une affaire informatique. Elle peut paralyser un hôpital, un service public, interrompre une activité économique. La résilience de notre pays repose donc sur sa capacité à prévenir les attaques, à les détecter rapidement et à limiter leurs conséquences et enfin à rétablir le fonctionnement normal de nos services essentiels. Il ne s'agit plus seulement de protéger les équipements, mais bien de garantir la continuité des activités économiques, administratives et stratégiques. Mais soutenir ce texte n'est pas lui donner un blanc-seing. Notre vigilance porte notamment sur les conséquences concrètes de ce texte pour les entreprises, les collectivités territoriales et les administrations concernées. Vigilance d'abord pour nos collectivités territoriales. Près de 1500 d'entre elles seront concernées par ces nouvelles obligations incluant nos départements. Or, nos collectivités, notamment les plus petites, ne disposent pas toujours des moyens humains et financiers nécessaires pour répondre. Protéger nos collectivités, oui. Les laisser seuls face à une facture, non. Vigilance également pour nos entreprises. Nos TPE et PME ne disposent pas des mêmes moyens que les grands groupes. Protéger ne doit pas signifier accabler. Une obligation impossible à appliquer ne protège personne. Les décrets d'application devront donc respecter l'esprit du législateur et tenir compte des capacités réelles de nos entreprises. Vigilance enfin pour notre souveraineté. Car se protéger avec des outils que nous ne maîtrisons pas, c'est déplacer le risque plutôt que le supprimer. Notre cybersécurité doit aussi être un enjeu de souveraineté nationale et européenne. Chers collègues, la menace cyber est durable, elle évolue constamment et elle éclive de notre part une adaptation permanente. Ce projet de loi constitue une étape nécessaire pour renforcer la protection de notre pays et des entreprises et des concitoyens. Ainsi, tout en restant attentif à la proportionnalité des obligations, à leur financement et à la mise en place et la mise en oeuvre concrète, le groupe de droite républicaine soutient et votera donc ce texte. Nous sommes en effet convaincus que face à des menaces qui ne connaissent ni frontières ni répit, la France ne peut plus se permettre d'avoir un temps de retard. Je vous remercie.

vous remercie. La parole est à madame Sabrina Sebey pour le groupe écologiste et social.

Merci Madame la Présidente, Madame la Ministre, chers collègues. Dans la nuit du 11 au 12 octobre dernier, des centaines de supermarchés ont vu leurs armoires frigorifiques prises en otage par une cyberattaque. Il n'y avait ni bruit, ni fracas. Seulement des écrans figés et des chaînes du froid rompus. Aujourd'hui, la guerre ne commence pas toujours par des chars. Elle commence parfois par une ligne de code dans un hôpital, dans une mairie ou bien encore dans un réseau d'eau. Face à cette réalité, la France arrive en retard, et plus exactement avec deux ans de retard. La directive NIS2 devait être transposée le 17 octobre 2024. En juillet, la Commission européenne nous a même traînés devant la Cour de justice de l'Union. Et ce texte, adopté à l'unanimité par notre commission spéciale il y a 14 mois, a été repoussé, reporté, puis déprogrammé la veille de son examen. Pourquoi ? Les rapporteurs l'ont dit eux-mêmes, parce qu'un article dérangeait. Une seule ligne a tenu en otage la cybersécurité de tout un pays. Sur le fond, nous soutenons ce texte. Il fait passer le nombre de secteurs régulés de 6 à 18. Il fait passer de quelques 300 opérateurs d'importance vitale à près de 15 000 entités essentielles et importantes. Il fait de l'ANSI le chef d'orchestre de notre défense numérique. C'est un changement d'échelle et il était nécessaire. Mais un changement d'échelle exige des moyens à la hauteur. Près de 1500 collectivités vont entrer dans ce régime. Nous avons défendu avec département de France une idée simple. On ne protège pas un service public en l'amputant. Une amende infligée à une collectivité est payée par ses habitants. Pour les collectivités, il faut de l'accompagnement, de la formation et de la transparence. Pas des sanctions qui creusent leur budget. Elles ne doivent pas non plus payer elles-mêmes les audits qu'on leur impose. Nous demandons aussi une commission de sanctions irréprochable. Ceux qui jugent ne doivent pas sortir la veille des entreprises qu'ils contrôlent. Chers collègues, je viens à l'essentiel. Le gouvernement nous demande de supprimer l'article 16 bis. Cet article dit une chose très simple. On ne peut pas obliger les fournisseurs de chiffrement à affaiblir volontairement leur système et donc pas de clé maîtresse ni de porte dérobée. Dans un texte qui a pour titre « renforcement de la cybersécurité », le gouvernement veut retirer la seule protection explicite du chiffrement. Autant installer une porte blindée en lui ajoutant une serrure de service. Une porte dérobée ne fait pas de tri entre ceux qui la franchissent. Une clé faite pour la police finit un jour entre les mains des mafias, des rançonneurs et des puissances étrangères. Ce n'est pas notre point de vue politique, c'est ce que disent les mathématiques. Tous les experts de la sécurité numérique le répètent. Un chiffrement affaibli pour quelques-uns l'est en fait pour tout le monde. On nous dit supprimer l'article, ce n'est pas défendre les portes dérobées. Alors pourquoi tant d'acharnement à le supprimer ? On nous dit aussi que la France serait isolée. Être le premier pays d'Europe à protéger le secret de ses citoyens, ce n'est pas être isolé, c'est au contraire montrer la voie. On nous promet enfin de ne pas revenir à l'article 8R de la loi narcotrafic que cette Assemblée a eu la sagesse de rejeter avant la fin de la session. Une liberté garantie jusqu'au 30 juin n'est pas une liberté, c'est un sursis. Le chiffrement n'a rien d'un caprice de technicien, c'est le secret des correspondances au XXIe siècle. Il protège la journaliste et sa source, l'avocat et son client, la militante face à un régime autoritaire et la femme qui fut un conjoint violent. Il protège aussi nos hôpitaux, nos banques et nos centrales. C'est pourquoi nous, écologistes, voulons aller plus loin que l'article 16 bis. Nous défendons la constitutionnalisation du chiffrement pour que plus aucun gouvernement... quel qu'il soit, ne puisse l'affaiblir par un amendement de circonstances. Nous voulons une France résiliente et une France résiliente protège ses libertés au lieu de les percer. Nous voterons donc contre toute fragilisation de nos libertés fondamentales par des portes dérobées. Je vous remercie.

Madame la Présidente, Madame la Ministre, Monsieur le rapporteur général, Madame et Messieurs les rapporteurs, mes chers collègues. France Travail, Naval Group, Poitiers, le département de l'Aude, Orange, Bouygues et chez moi dans les Landes, l'hôpital de Dax, on en a parlé en 2021, la mairie de Tarnos cet été et le mois dernier, le Super U de Morsinx, lui aussi contraint de jeter tout son rayon frais après le piratage de ses frigos. Bien sûr, ces noms ont un point commun, tous ont été frappés par une cyberattaque. Donc nous le savons, plus personne n'est à l'abri et les premières victimes en définitive ce sont nos concitoyens. Cet été, la Direction générale des finances publiques a reconnu que les données fiscales de 678 000 particuliers et professionnels avaient été consultées ou extraites. Identité, adresse, revenu, situation familiale. Ces derniers mois, ce sont aussi les données d'un million six d'inscrits à France Travail et un million deux de salariés déclarés sur page emploi. Quand un commerce est touché, c'est grave. Quand c'est le fisc ou la sécurité sociale, c'est la confiance des Français dans leur institution qui vacille. Car on ne choisit pas de confier ces données à l'administration, on y est tenu. L'État a donc un devoir absolu de les protéger. Et ces données ne disparaissent pas. Elles sont revendues, croisées et finissent par circuler partout. Elles nourrissent les faux SMS de l'assurance maladie sur le renouvellement de la carte vitale, les faux courriels des impôts promettant un remboursement, les faux conseillers bancaires et bien d'autres. L'hameçonnage est devenu la première menace pour les particuliers. Il a bondi de 70% en 2025 et plus de 500 000 victimes ont dû demander de l'aide à cybermalveillance.gouv.fr. Alors derrière ces chiffres, il y a des retraités escroqués, des familles inquiètes, des citoyens qui ne savent plus à quel message se fier. Alors bien sûr, la France n'est pas seule. Cette semaine encore, les supermarchés de 9 pays de l'Union européenne ont eux aussi été attaqués. Et la menace ne connaît pas de frontières. C'est bien classique dans le numérique. Donc notre réponse doit être européenne. Alors cette réponse existe. L'Union européenne a adopté... Vous l'avez tous dit, le 14 décembre 2022, REC, Nice 2, DORA. Et nous devons transcrire ces propositions, ces lois européennes. Deux ans plus tard, nous y sommes à peine. Autant dire que nous n'y sommes pas, que nous sommes en retard. Mais je veux quand même remercier, bien sûr, la volonté du gouvernement de s'être enfin saisi de ce texte. Il était temps. Des milliers d'entreprises, d'administrations et de collectivités devront désormais se protéger, déclarer leurs incidents et rendre des comptes pour certains. Cette urgence explique aussi notre soutien à la suppression de l'article 16 bis. Nous partageons la conviction que le chiffrement protège les Français. Mais sa rédaction est imprécise et elle fragilise nos services de renseignement et un débat aussi important mérite un texte à part. mener avec nos partenaires européens plutôt qu'un article qui retarde encore la transposition. Transposer vite ne veut pas dire transposer un minima. Notre groupe a déposé 11 amendements, guidés par une même idée. renforcer notre cybersécurité tout en gardant la maîtrise de nos dépendances technologiques. Nous proposons que l'exposition d'un fournisseur à une loi étrangère permettant d'accéder à nos données sans notre accord devienne un critère explicite de choix. Nous proposons le principe appliqué ou expliqué pour le recours aux logiciels propriétaires dans les systèmes critiques et une certification de l'ANSI. accessible aux logiciels libres et à nos PME. Nous voulons aussi un texte effectif, y compris pour l'État. Une entité attaquée doit pouvoir déclarer son incident une seule fois à l'ANSI, qui transmettra à la CNIL et le secteur public, s'il échappe aux amendes, ne peut pas échapper aux sanctions si le gestionnaire est en défaut pour faute grave. Protéger les données des Français ne peut pas être une obligation sans conséquence. Enfin, nous voulons préparer nos territoires en intégrant le risque cyber au plan communaux de sauvegarde. Mes chers collègues, la cybersécurité n'est plus d'affaire d'experts. C'est la protection de nos données, de nos vies, la continuité de nos services publics et au fond, la confiance des Français dans leurs institutions. Le groupe Les Démocrates votera ce texte et appelle chacun... à ne plus en retarder l'adoption. Je vous remercie. Je

vous remercie. La parole est à monsieur Michel Castellani pour le groupe Libertin des Pendants Outre-mer et Territoires.

Michel CastellaniLien1:20:20 → 1:24:53

la Présidente, Madame la Ministre. Mesdames et Messieurs les rapporteurs, mes chers collègues, nous avons peu à peu confié au numérique une place considérable dans nos vies, dans le fonctionnement de nos entreprises, de nos services publics, de nos infrastructures, même les plus importantes. Nous avons pris le pli de considérer que ces services sont là et qu'ils continueront toujours de fonctionner. Sauf que ce n'est pas systématiquement le cas. La réalité est que sans protection suffisante, cette dépendance au numérique a son revers. C'est ce que nous rappelle donc les cyberattaques qui ont touché la DGFIP, l'Education nationale, nos hôpitaux, encore récemment nos supermarchés. Cela a été dit à plusieurs reprises à cette tribune. C'est précisément ce qui rend ce projet de loi nécessaire pour faire face à cette malasse en transposant trois directives européennes de 2022. Je dois dire comme d'autres. que je ferais le reproche au gouvernement de n'avoir que trop tardé. Notre Parlement, lui, n'a pas attendu. Il y a plus d'un an, ce texte a été adopté en commission en pleine session extraordinaire. Je veux d'ailleurs à ce titre saluer le travail du président et des rapporteurs. Ce texte acte d'abord le passage à une logique de résilience en transposant la directive règle qui concerne la protection de nos activités d'importance vitale. Nous ne partons pas de rien. Depuis 2006, la France a bâti un dispositif national qui concerne 300 opérateurs dans des secteurs aussi essentiels que l'énergie, les transports, l'eau. Ces opérateurs devront désormais établir un plan de résilience, identifier leur dépendance et notifier chaque incident. Notre groupe soutient ces exigences, mais il faudra aussi laisser le temps de s'organiser. J'en viens à la Directive Nice 2 et à la lutte contre la cybercriminalité. Près de 15 000 entités publiques et privées dans 18 secteurs devront respecter un nouveau cadre commun de cybersécurité. Je veux insister sur la protection du tissu économique. Bien entendu, il faut un sursaut. Mais ce texte ne doit pas se résumer à une liste d'obligations assorties de sanctions. Face aux cyberattaques, l'État doit surtout sensibiliser, accompagner et aider les entreprises. Du reste, il ne faut pas penser qu'aux grandes entreprises. Les petites sont des cibles faciles qui attirent les pirates. Je connais un peu la Corse. En Corse, où les TPE et les PME représentent près de 90% du tissu économique, et nous connaissons cette menace, puisque le centre de réponse aux incidents cyber de la collectivité de Corse, qui s'appelle le CyberCourse, a déjà accompagné une soixantaine d'entreprises victimes d'attaques. Dès à ce chiffre, il y a des entreprises qui voient leur activité s'arrêter avec un risque de faillite. On sait que tout ça ne peut pas être bon, bien entendu. La même vigilance s'impose pour nos territoires puisque ce texte concerne 1500 collectivités. Un changement qui sera un véritable défi à mettre en œuvre sur le terrain. Notre groupe appelle à un accompagnement dédié pour les élus locaux. Il faut aussi que l'Agence nationale de sécurité joue son rôle de chef de file et assure un accompagnement clair et unifié. Reste enfin l'article 16 bis qui concentre l'essentiel des tensions. Il porte sur la sécurité de nos échanges et ses messageries cryptées, WhatsApp, Signal ou Telegram. Concrètement, il interdit à l'Etat d'obliger ces plateformes à créer des portes dérobées, autrement dit un accès caché à nos conversations qui fragiliserait le chiffrement. Ce débat est délicat. D'un côté, personne ne souhaite que ces données puissent être accessibles à notre insu. Le chiffrement protège nos échanges personnels, mais aussi les informations sensibles de nos entreprises et des administrations. De l'autre, J'entends les enjeux pour notre sécurité collective. Le rapport du président Boudier propose un équilibre pour ne pas opposer ces deux exigences. Il appelle à renforcer la coopération des plateformes, mais demande aussi de ne pas fragiliser le chiffrement au détriment des utilisateurs. J'appelle le gouvernement d'ailleurs à se saisir de ses recommandations, étant personnellement toujours très réservé devant ceux qui, de près ou de loin, peu ou prou, restreint le périmètre de nos libertés individuelles. Madame la ministre, je vous ai fait part de nos réserves. Nous ne devons toutefois pas nous faire perdre de vue. L'essentiel, face au cyberattaque, notre groupe votera pour ce projet de loi afin de protéger nos entreprises, nos services publics et nos concitoyens. Je vous remercie.

vous remercie. La discussion générale est close. On va poursuivre avec les amendements. J'appelle maintenant dans le texte de la Commission les articles du projet de loi. Nous sommes à l'article 1er. Je n'ai inscrit M. Alexandre Sabatou pour une durée de deux minutes.

Oui, merci Mme la Présidente. Dans cet article, on parle ici de nos centrales, de nos réseaux électriques, de nos ports, de nos aéroports qui, s'ils s'arrêtent, bloqueraient le pays. Sur l'objectif, Mme la Ministre, nous sommes d'accord. Renforcer leur protection. Mais en lisant le texte, on découvre des choses étonnantes.