Le texte, qui concerne notamment la transposition de la directive européenne NIS 2 visant à améliorer la résilience en cybersécurité des entités stratégiques de l’Union européenne, retourne à l’Assemblée nationale, où il sera examiné et possiblement amendé par les députés.
C’est un premier pas dans le parcours législatif complexe de la transposition de la directive NIS 2 (pour sécurité des réseaux et des systèmes d’information). Le Sénat a adopté, mercredi 12 mars, le projet de loi pour « la résilience des infrastructures critiques », qui transpose trois directives européennes, dont NIS 2.
Pour rappel, ce texte a été voté en 2022 par le Parlement européen et devait entrer en application à partir d’octobre 2024. Mais le projet de transposition avait été mis sous la pile, alors que la France traversait une crise institutionnelle marquée par la dissolution de l’Assemblée nationale en juin 2024, puis par la censure du gouvernement de Michel Barnier début décembre.
Renforcer le chiffrement
La directive a pour objectif d’améliorer la résilience cyber des infrastructures et services stratégiques dans l’Union européenne. Elle prévoit de renforcer les obligations en matière de gouvernance et de cybersécurité pour quelque 15 000 entités essentielles et importantes, contre quelques centaines actuellement, dans 18 secteurs d’activité. NIS 2 vise plusieurs objectifs : élargir le champ d’application de NIS 1, établir des standards et exigences en matière de cybersécurité dans les États membres, introduire des obligations de déclaration d’incidents et des mesures d’application, ainsi que garantir une meilleure collaboration et un partage d’informations plus efficace entre les États membres.
Les sénateurs ont adopté des amendements modifiant certaines mesures et prévoyant notamment de faire basculer de la catégorie d’« entité essentielle » à celle d’« entité importante », moins contraignante, les communautés d’agglomération ne comprenant pas au moins une commune de plus de 30 000 habitants. Un article a également été ajouté pour interdire d’imposer aux fournisseurs de services de chiffrement l’intégration de dispositifs affaiblissant la sécurité des communications, tels que des clés de déchiffrement maîtresses, en raison des risques qu’ils représentent pour la sécurité des données. Le projet de loi doit désormais être examiné et amendé par les députés en seconde lecture.
