Or l’un des amendements du projet de loi, le 16 bis, vise à sanctuariser le chiffrement. En l’état actuel, cet article, présenterait « un risque majeur pour la politique publique du renseignement », a alerté récemment la délégation parlementaire au renseignement.
Le dispositif envisagé « paraît aller au-delà des ambitions initiales de ses auteurs », écrivait cette structure. Menaçant ainsi l’emploi de techniques de renseignement visant à l’accès « non consenti » à des « données protégées ».
Poursuites
Des craintes peu du goût du sénateur à l’origine de l’article 16 bis, Olivier Cadic (Union centriste). Il y a un mois, ce dernier avait fustigé avec le député Philippe Latombe (Les démocrates) le retard pris dans la transposition.
« Son examen en hémicycle semblait une formalité qui allait permettre la mise en conformité de notre pays avec la réglementation européenne. Et puis, plus rien ! Ce texte, en dépit de nos alertes répétées, est sans cesse repoussé aux calendes », regrettaient les deux parlementaires.
Un retard également peu apprécié par la Commission européenne, qui s’apprêterait à poursuivre l’exécutif français devant la Cour de justice de l’Union européenne, avait dévoilé un peu plus tôt Politico. Cela pourrait « se concrétiser par une amende pouvant atteindre plusieurs dizaines millions d’euros », s’inquiétaient Olivier Cadic et Philippe Latombe.
Deux articles de presse publiés le 5 mai — “Blocage au Parlement sur l’interception des messageries chiffrées” (TradingView) et “Services de renseignement contre vie privée : le chiffrement paralyse l’Assemblée” (Upday) — mettent en lumière le point de tension qui ralentit aujourd’hui l’adoption du projet de loi « Résilience ». Au cœur du débat : l’article 16 bis, que j’ai porté au Sénat, et qui vise à interdire toute obligation d’affaiblissement du chiffrement.
J’assume pleinement cette position. Le chiffrement n’est pas un obstacle : c’est un pilier de la sécurité numérique. Introduire des « portes dérobées » reviendrait à créer des vulnérabilités exploitables par tous, bien au-delà des seuls services de renseignement.
Je n’ignore pas les impératifs opérationnels de nos services, mais des outils existent déjà, notamment via l’accès ciblé aux terminaux. Ma ligne est constante : protéger efficacement les Français sans compromettre la robustesse de nos systèmes numériques, qui est une condition de notre souveraineté et de la confiance de tous.
Ce 24 mars, l’audition du directeur général de l’ANSSI*, Vincent Strubel, m’a conduit à interroger l’Agence sur la cohérence de ses choix budgétaires et opérationnels : financement public de structures privées via les CSIRT, développement d’outils comme MesServicesCyber concurrençant l’écosystème privé, et risques de doublons avec cybermalveillance.gouv.fr.
Je l’ai également interpellé sur le retard de la France dans la transposition de la directive NIS2, en soulevant cette interrogation critique : cette réglementation constitue-t-elle un véritable levier de sécurité ou une contrainte normative dont l’efficacité reste à démontrer ?
VERBATIM de mon intervention
Merci Monsieur le Président,
Monsieur le Directeur général de l’ANSSI, merci beaucoup pour ce propos.
L’appel à manifestation d’intérêt AMI_RALEC, lancé le 22 août dernier, posait des exigences explicites : une forte proximité territoriale et la gratuité de l’assistance aux victimes de cyberattaques au titre d’une mission d’intérêt général. Or, dans les faits, plusieurs dispositifs territoriaux reposent largement sur des opérateurs privés, notamment Orange Cyberdéfense, dans le cadre des CSIRT.
Dans ces conditions, comment garantissez-vous que l’argent public ne finance pas indirectement des prestations privées qui s’éloigneraient de l’esprit initial de cet appel à manifestation d’intérêt ? Et plus directement, considérez-vous que les dispositifs retenus sont pleinement conformes aux engagements que vous aviez vous-même fixés ?
S’agissant des CSIRT, quel est leur modèle économique réel ? Quelle est la part exacte de financement public ? Et à terme, ces structures ont-elles vocation à être pérennisées par la subvention ou à évoluer vers un modèle concurrentiel ?
Par ailleurs, l’État finance déjà des dispositifs nationaux, notamment cybermalveillance.gouv.fr. Comment justifiez-vous la coexistence de ces structures avec Cybermalveillance sans qu’il y ait doublon, voire dispersion des moyens publics ? Une évaluation de cette efficacité globale a-t-elle été conduite ?
Dans une interview que vous avez donnée à un grand quotidien, vous précisez que le rôle de l’État est de traiter la menace du haut du spectre avec les attaquants d’autres États. Pourquoi, en ce cas, l’ANSSI développe-t-elle des outils et services comme MesServicesCyber, plutôt destinés aux entreprises, qui font concurrence aux acteurs économiques de l’écosystème ? Quel budget ? Quel montant de sous-traitance ? Combien de ressources humaines et de temps sont consacrés à MesServicesCyber ?
J’en viens au cadre européen, la directive NIS2, directive qui aurait dû être transposée il y a plus de dix-huit mois. Nous assistons également à la multiplication de vols massifs de données. Comment comptez-vous imposer NIS2 aux administrations et collectivités qui ne respectent déjà pas les textes comme le RGS, Référentiel général de sécurité, ou du RGPD, Règlement général sur la protection des données, par exemple. Comment prévoyez-vous de décliner la stratégie nationale de cybersécurité auprès de l’ensemble de la population, au-delà de la seule sphère des ministères et services concernés ?
La France est aujourd’hui en retard, alors même que certains de nos partenaires comme la Belgique ou l’Italie ont déjà transposé NIS2 depuis dix-huit mois. Quelles en sont les conséquences concrètes pour la France en matière de retard pour notre niveau de cybersécurité ? Disposez-vous d’éléments objectifs permettant de comparer la situation française qui n’a pas transposé avec celle des pays qui ont déjà transposé depuis dix-huit mois ?
Enfin, j’aimerais vous entendre sur un point de cohérence. Si ce retard n’a pas d’impact mesurable à ce stade, comment justifier l’ampleur des obligations que cette directive impose aux entreprises françaises ? Autrement dit, sommes-nous face à une exigence réellement structurante en matière de cybersécurité ou à une contrainte normative dont l’efficacité resterait à démontrer ? Merci.
*ANSSI : Agence nationale de la sécurité des systèmes d’information
J’ai répondu aux interrogations d’Alice Vitard (Usine Digitale), dans le prolongement de la conférence de presse que j’avais organisée le 4 février dernier au Sénat avec le député, Philippe Latombe, intitulée :
“Alerte sur un risque majeur pour la sécurité numérique de la France” (compte-rendu)
D’un côté les parlementaires, de l’autre le ministère de l’Intérieur, plus particulièrement la Direction générale de la Sécurité intérieure (DGSI). C’est le duel qui empêcherait la transposition de la directive européenne NIS 2 dans le droit français.
Ces accusations sont portées par le député Philippe Latombe et le sénateur Olivier Cadic, présidents de la commission spéciale du projet de loi “Résilience des infrastructures critiques et renforcement de la cybersécurité”, le premier à l’Assemblée nationale et le second au Sénat. Ensemble, ils alertent sur le retard pris par la France dans la transposition du texte européen.
(…)
> L’impasse de l’agenda parlementaire
“Le texte a été voté il y a bientôt un an au Sénat. Il devait être mis à l’ordre du jour avant la fin de l’année et puis finalement ils ont reporté au mois de janvier. Et puis au mois de janvier, ils ont décidé de ne pas le présenter à l’ordre du jour alors qu’il aurait dû être mise en oeuvre depuis fin octobre 2024″, dénonce Olivier Cadic, sénateur des Français établis hors de France, sollicité par L’Usine Digitale. Pour rappel, l’inscription d’un projet de loi gouvernemental à l’ordre du jour relève, en pratique, de l’exécutif.
La France avait, en effet, jusqu’au 17 octobre 2024 pour intégrer dans son droit les principes posés par la nouvelle directive NIS.
(…)
> Un amendement anti-backdoor au cœur du blocage
Au coeur du blocage figure l’article 16 bis du projet de loi “Résilience des infrastructures critiques et renforcement de la cybersécurité”, le texte qui intègre NIS 2, aux côtés de Doraet REC (trois directives européennes).
Cet amendement – porté par Olivier Cadic et déjà adopté par le Sénat – vise à empêcher que l’Etat puisse imposer aux fournisseurs de service de chiffrement, dont les messageries, l’intégration de backdoors.
“J’avais déposé cet amendement parce qu’aux États-Unis, des backdoors – qui avaient été utilisées pour surveiller des appels et des messages – avaient été exploitées par les hackers chinois, donc pour compromettre des millions de télécommunications”, explique Olivier Cadic. Il ajoute : “j’ai considéré que la possibilité d’installer des backdoors était contradictoire avec la capacité d’élever notre niveau de cyber-résilience”.
(…)
> Les services de renseignement mis en cause
Selon le sénateur, le vote du projet de loi résilience serait bloqué pour cette raison précise. “Il y a une administration qui semble gênée, qui au demeurant ne vient pas voir les parlementaires concernés pour discuter de ça, et utilise le ministre pour bloquer l’ordre du jour du Parlement”, explique-t-il. C’est la Direction générale de la Sécurité intérieure qui est pointée du doigt.
Selon Olivier Cadic, l’opposition de la DGSI à l’article 16 bis s’explique par la volonté de conserver des capacités d’accès aux communications chiffrées.
(…)
> Un affaiblissement technique du chiffrement
Pour Olivier Cadic, l’absence de transposition expose désormais directement l’Etat. “En cas de fraude massive de données, le gouvernement engage sa responsabilité puisqu’il ne permet pas à la France de se préparer”, juge-t-il, citant notamment la sanction de 5 millions d’euros infligée à France Travail (ex-Pôle Emploi) par la Commission nationale de l’informatique et des libertés (Cnil). Dans ce cas précis, poursuit-il, “l’Etat [les contribuables, ndlr] paie une amende à l’Etat”, ce qui pose un problème de responsabilité réelle.
(…)
> Quand le retard français isole Paris en Europe
Alors que plusieurs Etats membres, tels que la Belgique, ont déjà intégré NIS 2 dans leur législation, Paris apparaît en décalage sur un texte pourtant porté dès son origine par la France. “Comment est-ce que la France peut discuter de la suite, alors que les autres pays ont transposé NIS 2 et que nous, ce n’est toujours pas fait ?”, interroge Olivier Cadic.
Cybersécurité – Directive NIS2 – Loi « Résilience » – Stratégie nationale de cybersécurité
Conférence de presse – Sénat – 4 février 2026 Alerte sur un risque majeur pour la sécurité numérique de la France
• Olivier CADIC, . Président de la commission spéciale du PJL « Résilience des infrastructures
critiques et renforcement de la cybersécurité » au Sénat . Sénateur des Français établis hors de France
• Philippe LATOMBE, . Président de la commission spéciale du PJL « Résilience des infrastructures
critiques et renforcement de la cybersécurité » à l’Assemblée nationale . Député de la Vendée (1ʳᵉ circonscription)
Alors que les cyberattaques se multiplient et que les fuites de données touchent quotidiennement entreprises, administrations et citoyens, la France accuse un retard préoccupant dans la transposition de la directive européenne NIS2, qui aurait dû être intégrée au droit national avant le 17 octobre 2024.
La proposition de loi dite « Résilience » a été adoptée par le Sénat en mars 2025, puis approuvée à l’unanimité en commission spéciale à l’Assemblée nationale en septembre 2025, sans jamais avoir été inscrite à l’ordre du jour de l’Assemblée nationale.
ZDNet : Ce projet de loi critique pour la cybersécurité française est toujours englué à l’Assemblée nationale.
