Face à l’explosion des cyberattaques, ce dossier met en lumière les nouveaux défis auxquels sont confrontés les assureurs et les entreprises, entre prévention, résilience et adaptation aux exigences de la réglementation européenne, notamment DORA et NIS2. Un éclairage particulièrement utile sur un enjeu stratégique devenu majeur pour notre souveraineté économique.

Extrait :

« La France laisse s’installer une zone grise »
Olivier Cadic, sénateur (Union centriste) des Français établis à l’étranger

« La directive européenne NIS 2 devait être transposée en droit français avant le 17 octobre 2024. Pendant que les cyberattaques se multiplient, la France laisse s’installer une zone grise : celle d’un cadre juridique incomplet, d’obligations encore théoriques, et d’une responsabilité publique qui s’efface au moment où la menace s’intensifie. Le projet de loi dit “Résilience & Cybersécurité” qui transpose NIS 2 aux côtés de Dora impose notamment au secteur bancaire et de l’assurance un délai de deux mois pour installer un patch [processus pour organiser les mises à jour logicielles, corriger les vulnérabilités et maintenir la protection des systèmes d’information, NDLR]. Ce délai est fixé à une semaine aux États-Unis. Si l’entreprise française n’installe pas un patch rapidement, les cyberattaquants vont s’engouffrer dans la faille. Un assureur ne peut attendre que la loi soit appliquée. La France est aujourd’hui en retard, alors même que certains de nos partenaires comme la Belgique ont déjà transposé NIS 2 depuis dix-huit mois. Pour donner une garantie aux assureurs, je suis favorable à la norme ISO 27001 qui constitue aujourd’hui un référentiel reconnu en Belgique, car elle permet de répondre aux exigences de la directive NIS 2. »

Ce 24 juin, j’étais invité, aux côtés de mon collègue Ludovic Haye, à participer à la 150ᵉ Matinale du CyberCercle – think tank de référence présidé par Bénédicte Pilliet, qui célébrait par la même occasion son dixième anniversaire.

L’occasion de dresser un bilan des progrès qui ont jalonné mon action en matière cyber, avec le concours des matinales depuis près de 9 ans :
•⁠ ⁠Contrôle de l’action gouvernementale : apports des membres du CyberCercle à ma mission de rapporteur du programme 129, pour suivre en particulier le budget de l’ANSSI ;
•⁠ ⁠Urgence cyber : appel à la création d’un numéro d’urgence cyber lors de la matinale de janvier 2019. Créé et opéré par l’équipe de Cybermalveillance.gouv.fr, dirigée par Jérôme Nottin, le “17 cyber” est opérationnel depuis décembre 2024 ;
•⁠ ⁠Lutte contre les fake news : Appel à une force de réaction rapide en mai 2020, qui a été suivi par la création de Viginum en juillet 2021, et promotion du modèle taïwanais imaginé par Audrey Tang de réponse par l’humour en octobre 2021 qui a inspiré “French Response” lancé par le ministère de l’Europe et des Affaires étrangères en 2025.
•⁠ ⁠Amélioration du cadre légal : travaux conjoints pour clarifier et renforcer la loi Résilience et la transposition de la directive NIS2 …

Un merci particulier à Bénédicte et à toute son équipe, ainsi qu’à l’ensemble des experts qui, par leurs observations et contributions, m’ont permis d’exercer ma mission avec rigueur et professionnalisme. J’espère qu’ils ont perçu, comme moi, que nous avons changé ensemble la manière de faire de la politique, et qu’ils ont agi utilement pour servir le bien commun.

L’urgence : la loi Résilience bloquée
Cette 150ᵉ matinale était aussi l’occasion d’alerter une nouvelle fois sur l’impasse actuelle du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité.
Plus d’un an après son adoption par le Sénat, et plusieurs mois après son examen en commission à l’Assemblée nationale, le texte, destiné à transposer les directives européennes NIS2, REC et DORA, demeure bloqué.
Résultat : la France s’expose à une procédure devant la Cour de justice de l’Union européenne.

Mes engagements réaffirmés
Si certains m’appellent désormais avec humour « Olivier 16 bis » (en référence à l’article 16 bis que j’ai contribué à insérer dans la loi Résilience), j’ai réaffirmé mon attachement indéfectible au chiffrement : une composante essentielle de la cybersécurité, de la protection des libertés et de notre souveraineté numérique.
J’ai également rappelé :
•⁠ ⁠Mon engagement pour une approche fondée sur la norme ISO 27001 plutôt que par l’exigence bureaucratique de l’ANSSI coûteuse et dissociée de nos partenaires européens ;
•⁠ ⁠Les avancées obtenues lors de l’actualisation de la loi de programmation militaire : deux de mes amendements ont été adoptés pour :
•⁠ ⁠Inscrire dans la loi le principe d’une cyber-dissuasion, fondée sur des capacités de riposte adaptées que j’avais appelé de mes vœux lors de la “Paris cyber week” de juin 2023 ;
•⁠ ⁠Renforcer la souveraineté technologique des véhicules connectés utilisés par les armées ou les gestionnaires d’infrastructures critiques.
•⁠ ⁠Ma défense de la protection des infrastructures critiques contre les prises de contrôle à distance.

Conclusion : la cybersécurité, enjeu national
La cybersécurité n’est plus seulement une question informatique. Elle est devenue un enjeu de souveraineté, de compétitivité et de résilience nationale.

Cybersécurité : passer d’une posture défensive à une logique de dissuasion

Interrogé notamment par Jérôme Coeuré (Orange), j’ai évoqué les retards de transposition des directives européennes NIS2, DORA et REC, ainsi que les débats relatifs aux « backdoors » dans les messageries chiffrées. Face à l’intensification des cyberattaques, j’ai rappelé ma conviction : la France doit sortir d’une logique exclusivement réactive. En matière de cyberdéfense, la meilleure protection passe aussi par la capacité à surprendre l’adversaire.

J’ai ainsi présenté les deux amendements que mes collègues ont adoptés lors de l’actualisation de la Loi de programmation militaire : le premier inscrit dans notre doctrine le principe d’une cyber-riposte active, graduée et proportionnée ; le second renforce notre souveraineté en limitant les risques de prise de contrôle à distance des véhicules connectés utilisés dans des secteurs sensibles.

Taïwan : un enjeu stratégique mondial

Les questions de Laure Pallez (Mascaret) et d’Isabelle Bailly (SNECI) m’ont conduit à partager mes observations sur Taïwan, où je me rends chaque année.

L’île occupe une place centrale dans les chaînes d’approvisionnement mondiales grâce à son industrie des semi-conducteurs, dominée par TSMC, dont Air Liquide est le premier fournisseur de gaz industriels depuis près de quarante ans.

Au-delà des enjeux économiques, Taïwan se prépare activement à une éventuelle agression. J’ai rappelé que l’avenir de l’île concernait la paix et la stabilité de toute la région. En juin 2023, lors de l’examen du projet de loi de programmation militaire, j’ai fait voter que la France, seul pays européen présent dans l’Indo-Pacifique, contribue à la défense du droit à la circulation maritime dans cette région, notamment en mer de Chine méridionale et dans le détroit de Taïwan.

Afrique : combattre le fléau des faux médicaments

Frédéric Girard (DBV Technologies) et Isabelle Aimonetti (AG Partners Publicis Africa) ont relancé nos échanges sur un combat que je mène depuis plusieurs années : la lutte contre les médicaments falsifiés ou de qualité inférieure en Afrique.

En avril dernier, j’ai de nouveau reçu au Sénat Juan Cepeda (Expertise France – groupe AFD) et le professeur Xavier Jouven afin de faire le point sur les actions engagées.

L’une de mes priorités demeure le soutien à l’Agence africaine du médicament (AMA), créée par l’Union africaine en 2019 et installée à Kigali. Son développement constitue une étape essentielle pour renforcer la régulation pharmaceutique sur le continent.

J’ai également rappelé que ce combat ne pourra être gagné que grâce à une mobilisation coordonnée des États, des entreprises, des organisations internationales et de la société civile. Les réseaux de production et de distribution des médicaments contrefaits, notamment en provenance de Chine et d’Inde, exigent une réponse collective à la hauteur des enjeux.

Avec Philippe Latombe, président de la commission spéciale de l’Assemblée nationale, nous avons souhaité rappeler, dans le communiqué ci-dessous, adressé à la presse, que la protection de nos infrastructures critiques ne peut plus attendre.

COMMUNIQUÉ DE PRESSE – Paris, le 10 juin 2026

Comme nous en avons déjà été avertis depuis quelques jours, la Commission européenne s’apprête, juste avant ou juste après l’été, au plus tard avant la fin de l’année, à poursuivre la France et l’Espagne devant la plus haute juridiction européenne, la Cour de justice de l’Union (CJUE), pour ne pas avoir adopté une loi transposant dans leur droit les règles européennes sur la protection des infrastructures critiques contre les cyberattaques.

Pour la France, ce n’est pas faute d’avoir été rappelée à l’ordre parce qu’elle n’a pas respecté
la date limite d’octobre 2024, non seulement par ladite commission, à deux reprises, mais aussi par nous-mêmes qui nous inquiétions à raison des risques encourus par les entités publiques et privées concernées par la réglementation européenne, dans un contexte international très dégradé et menaçant.

Le 10 septembre dernier, la Commission spéciale de l’Assemblée nationale dédiée au projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité avait pourtant voté, à l’unanimité, le texte relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité.

Son examen en hémicycle semblait une formalité qui allait permettre la mise en conformité de notre pays avec la réglementation européenne. Et puis, plus rien ! Ce texte, en dépit de nos alertes répétées, est sans cesse repoussé aux calendes.

Une telle décision de la Commission européenne, rare dans son histoire, devrait de surcroît se concrétiser par une amende pouvant atteindre plusieurs dizaines millions d’euros, une sanction financière dont notre budget national pourrait bien se passer, en ces temps de disette.

Est-il encore besoin de le répéter ?
La finalisation du parcours de ce texte législatif sur la protection
des infrastructures critiques contre les cyberattaques est une urgence absolue..
Philippe Latombe, Député de la Vendée, Président de la Commission spéciale de l’Assemblée nationale
Olivier Cadic, Sénateur des Français établis hors de France, Président de la Commission spéciale du Sénat

Cette réunion avait un objectif clair : alerter et sensibiliser l’ensemble de mes collègues sénateurs, tous conviés à cette séquence. Car la menace cyber est désormais omniprésente. Les attaques se multiplient, touchant en priorité nos PME, nos collectivités et nos établissements de santé. En 2024, pas moins de 420 000 demandes d’assistance ont été enregistrées par Cybermalveillance.gouv.fr, tandis que le phishing demeure le premier vecteur d’attaque.

J’ai rappelé l’urgence d’agir sur le plan législatif. Plus d’un an après son adoption au Sénat, le projet de loi de transposition des directives européennes NIS2, REC et DORA attend toujours d’être voté l’Assemblée nationale, alors même que la France accuse un retard préoccupant.

Cette audition visait à faire prendre conscience que la cybersécurité n’est plus seulement une affaire d’experts, mais un enjeu collectif. La pédagogie et la prévention sont, à cet égard, essentielles.

DOCUMENTAIRE – Don’t Go to the Police, réalisé par Ludoc, est un documentaire inédit produit par Orange Cyberdefense. Il plonge au cœur de la cybercriminalité mondiale à travers la traque du groupe Lockbit. Entre enquête internationale et témoignages d’experts, il montre comment une simple attaque peut paralyser des centaines de milliers d’entreprises et met en lumière les conséquences économiques, psychologiques et sociétales de cette « pandémie numérique ».
Voir la vidéo Don’t Go to the Police sur Youtube

La transcription en droit français de la directive européenne NIS2, sur la cybersécurité, peine à trouver un espace pour être débattue à l’Assemblée nationale. Mais l’attente des députés pourrait prochainement être satisfaite.

L’OSINT, ou renseignement en sources ouvertes, doit faire d’ici à la fin de l’été l’objet de discussions à l’Assemblée nationale française pour poser un cadre juridique à son exercice (IO du 13/04/26). Celles-ci s’inscrivent dans le contexte du projet de loi portant sur la transposition de la directive européenne Network and Information Security 2 (NIS2, IO du 08/11/21) visant à renforcer la cybersécurité au sein de l’Union européenne.

Cette étape marquera la fin d’un long chemin de croix pour les parlementaires qui voient le texte bloqué depuis plusieurs mois au Palais Bourbon en raison d’un agenda surchargé. Plus que l’embouteillage des textes, des députés soupçonnent aussi un blocage de l’exécutif qui rechigne à inscrire le projet de loi à l’ordre du jour à cause d’une disposition anti-backdoors introduite au Sénat par le sénateur centriste Olivier Cadic en mars 2025 (IO du 15/07/25).

(…)

La France fait partie des mauvais élèves de l’Union européenne à n’avoir pas encore transposé la directive NIS2 dans leur droit national, près de quatre ans après l’adoption du texte par les États membres. Elle partage ce statut avec l’Estonie, les Pays-Bas, l’Irlande, l’Espagne et le Luxembourg. Selon les règles européennes, cette procédure aurait dû être réalisée au plus tard le 17 octobre 2024.

Une journée de haut niveau, marquée par la qualité des échanges et par une conviction largement partagée : face à la montée des menaces hybrides, la cybersécurité est désormais au cœur de notre souveraineté.

Comme l’a souligné Bénédicte Pilliet, présidente du CyberCercle, il ne s’agit plus d’un sujet technique, mais bien d’un enjeu de puissance, de crédibilité et de résilience nationale.

TR1 – Renforcer la protection et la résilience cyber des entreprises de notre base industrielle de défense

Lors de la première table ronde consacrée à la protection de la BITD, j’ai questionné, en tant qu’entrepreneur, la valeur ajoutée de NIS2. On peut douter que la loi soit le bon outil : elle arrive souvent en retard et génère une bureaucratie coûteuse. Je privilégie des approches fondées sur des référentiels concrets, comme la norme internationale ISO 27001, d’autant que nous n’avons pas le temps d’évaluer l’efficacité des lois précédentes.

J’ai aussi regretté que la France travaille en silo et comparé la situation au modèle américain (CMMC) qui est unifié. Cela étant dit, saluons le travail du ministère des Armées, notamment à travers le référentiel de maturité cyber et les dispositifs d’accompagnement pragmatiques portés par la DGA et le CERT [ED].

Enfin, ce fut l’occasion de réaffirmer un problème central : notre cybersécurité reste trop souvent réactive. L’enjeu est désormais d’anticiper.

TR2 – Favoriser l’émergence d’une filière de sécurité numérique souveraine au service de la Défense

La seconde table ronde m’a permis de rappeler que la souveraineté reposait sur la capacité à se défendre par ses propres moyens, condition essentielle de la liberté. La liberté a un coût mais elle n’a pas de prix.

J’ai alerté sur les risques liés aux “backdoors” : présentées comme des outils essentiels de surveillance, elles peuvent en réalité fragiliser profondément nos systèmes. J’ai également souligné la difficulté, pour nombre de parlementaires, de s’approprier les sujets cyber, souvent perçus comme réservés aux experts.

La France dispose d’un potentiel d’innovation réel, mais ses start-up peinent à accéder à la commande publique, freinées par des logiques d’achat rétives au risque. Or, ce sont les commandes, plus que les subventions, qui permettent aux entreprises de se développer. A cet égard, on observe des différences structurelles avec l’Allemagne, notamment en matière de transmission d’entreprises, favorisant un tissu industriel solide et durable.

Enfin, dans l’attente d’un hypothétique “Buy European Act”, j’ai plaidé pour une modernisation et une meilleure coordination de l’achat public : il faut un véritable pilote dans l’avion “achat public” ! Le marché national étant insuffisant, la souveraineté cyber passe nécessairement par une dynamique européenne.

Lire l’article de ZDNet : NIS2 : pourquoi le gros sujet des backdoors bloque la transposition du texte

Extraits :

Un article au cœur du blocage

Dans une conférence de presse organisée au début du mois de février par le sénateur Olivier Cadic et le député Philippe Latombe, respectivement président des commissions spéciales chargées de l’étude du projet de loi au Sénat et à l’Assemblée, les deux parlementaires ont alerté sur le blocage de ce texte jugé essentiel pour la cybersécurité du pays.

Selon eux, l’exécutif rechigne à inscrire le texte à l’ordre du jour de l’Assemblée Nationale en raison d’un article introduit à l’initiative d’Olivier Cadic portant sur la question des portes dérobées. Dans l’article 16bis du texte adopté par le Sénat, le projet prévoit en effet d’interdire “l’intégration de dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d’information et des communications électroniques.”

Cette disposition déplaît fortement aux services de renseignement, estiment les parlementaires.

(…)

Effet collatéral

Avec cet article, les parlementaires souhaitent écarter de futures tentatives d’imposer des portes dérobées dans les systèmes de communication, une condition qui leur paraît dans la droite ligne de la stratégie nationale de cybersécurité, qui fait du chiffrement “un socle essentiel.”

Et ce double discours renforce l’incompréhension vis-à-vis du retard. “On ne comprend pas pourquoi les services sont bloqués sur cet amendement, et on comprend d’autant moins que nous n’avons eu aucune discussion officielle avec eux sur le sujet” explique Olivier Cadic.

Lire l’article de NEXT : La DGSI accusée de bloquer l’adoption d’une loi renforçant la cybersécurité

Extrait :

(Suite à l’introduction de l’article 16 bis dans le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité)

Initialement introduit et défendu par Olivier Cadic afin d’ « inscrire dans la loi un principe clair de sécurité numérique », et depuis renforcé par un amendement de Philippe Latombe adopté en septembre dernier, il sanctuarise le chiffrement de bout en bout :

« Il ne peut être imposé aux fournisseurs de services de chiffrement, y compris aux prestataires de services de confiance qualifiés, l’intégration de dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d’information et des communications électroniques tels que des clés de déchiffrement maîtresses ou tout autre mécanisme ou processus permettant un accès non consenti aux données protégées. »

À l’époque, Olivier Cadic l’avait justifié au motif que « certaines initiatives législatives et réglementaires, tant au niveau national qu’international, ont cherché à imposer aux fournisseurs de services de chiffrement des obligations visant à insérer des dispositifs techniques permettant un accès aux données protégées par des tiers, notamment par les autorités publiques » :

« Ces dispositifs, communément appelés « portes dérobées » (backdoors), « clés de déchiffrement maîtresses » ou autres mécanismes d’affaiblissement volontaire de la sécurité, présentent des risques considérables pour la sécurité informatique et la protection des droits fondamentaux. »

Lire l’article Cybersécurité : l’heure est à l’action (Entreprendre à l’international)

J’ai répondu aux questions suivantes :
. Les attaques de cybersécurité désignent un spectre large…
. Vous dites qu’on voit la paille dans l’œil de son voisin, mais pas la poutre dans le sien…
. Quels sont les pays particulièrement actifs dans le domaine de la cybercriminalité ?
. La cybersécurité est-elle un enjeu européen ? Jusqu’où se fier à nos voisins ?
. Que conseillez-vous aux entreprises au regard de ces menaces ?
. 50 % des PME victimes d’une cyberattaque feraient faillite dans les 12 mois suivants. Comment réagir ?
. Est-ce que l’Europe en fait assez en matière de cybersécurité ?
. Une solidarité internationale totale est-elle vraiment envisageable ?

Le vieux disque des “backdoors”

Et pour cause… « Les backdoors reviennent à espionner les gens et remettent en cause le droit à la vie privée et à la protection des données, affirme le sénateur centriste Olivier Cadic. On est en train de préparer le terrain pour qu’un régime autoritaire s’installe ! »

De quoi péter un câble ! Les portes dérobées affaiblissent aussi la sécurité des applications. Si on décodait une partie des conversations, toutes se retrouveraient fragilisées. Dès lors, les failles pourraient être exploitées par les services de renseignement… mais aussi par des groupes criminels et des États hostiles contre lesquels ils prétendent justement lutter. Un sacré bug !

Pour s’assurer que les ministres régaliens n’essaient pas de revenir par la fenêtre pour imposer des portes dérobées, Cadic avait introduit dans le projet de loi Résilience contre les cyberattaques un amendement les interdisant formellement, et ce avec le soutien du Premier ministre de l’époque, François Bayrou. Dix mois plus tard, le gouvernement refuse d’inscrire à l’ordre du jour de l’Assemblée ce texte, qui transcrit dans le droit français plusieurs directives européennes visant à prévenir les entreprises et les administrations contre les piratages.

En décembre, Matignon a même demandé au sénateur Cadic de jeter son amendement à la corbeille, ce qu’il a refusé de faire. Pour le court-circuiter, le ministère de l’Intérieur songe désormais à faire voter une loi autorisant les backdoors avant l’entrée en vigueur des directives européennes en France…

Ce projet de loi dit « Résilience », pour lequel je préside la commission spéciale, a pourtant été adopté par le Sénat en mars 2025, puis approuvé à l’unanimité en commission spéciale à l’Assemblée nationale en septembre 2025. Toutefois, il n’a jamais été inscrit à l’ordre du jour de l’AN.

Lire l’article Cybersécurité : la France accumule les retards, les hackers accumulent les victimes, déplorent des experts sur le site Epoch Times

Extraits :

Quinze mois. C’est le retard accumulé par la France dans la transposition de la directive NIS2, qui aurait dû être intégrée au droit national avant le 17 octobre 2024. Entre ces deux chiffres, un gouffre temporel que le sénateur Olivier Cadic, président de la Commission spéciale NIS2 au Palais du Luxembourg, synthétise en une formule : « Pour passer une loi, il faut des mois, voire des années. Dans le cyber, certaines attaques se produisent donc en 28 secondes à cinq minutes. »

(…)

« La loi doit poser les cadres généraux. Ensuite, ce sont les professionnels eux-mêmes qui doivent s’emparer de ces principes, s’adapter et sécuriser leurs systèmes en fonction de leur environnement », a plaidé Olivier Cadic. « Si l’on cherche à tout encadrer juridiquement, nous serons constamment en retard, toujours un pas derrière le terrain. » Le vice-président de la commission des Affaires étrangères, de la défense et des forces armées, lui-même ciblé, avec d’autres parlementaires, par une cyberattaque attribuée à des pirates chinois agissant pour le compte de Pékin, se montre particulièrement investi sur les questions de cybersécurité.

Ce programme repose sur trois piliers essentiels : la résilience cyber, l’autonomie d’appréciation et la capacité d’action dans les champs hybrides. Les crédits du SGDSN augmentent de 23 millions d’euros, incluant l’ANSSI, Viginum et l’OSIIC, tandis que ceux dédiés au renseignement progressent légèrement.

Mon exposé a pointé plusieurs préoccupations majeures. L’absence de publication des stratégies nationales de cybersécurité et de lutte contre les manipulations informationnelles, pourtant annoncées depuis un an, demeure inexpliquée.

L’ANSSI, de son côté, ne fournit pas suffisamment de retours d’expérience sur les cyberattaques massives ayant frappé France Travail, la DGFiP ou encore l’Urssaf. J’ai d’ailleurs proposé de lancer une mission flash sur le dernier incident concernant l’Urssaf, après avoir projeté le reportage de France Télévision (lien).

Alerté également sur le retard pris par la France dans la transposition des directives NIS2 et REC, un décalage susceptible d’entraîner une sanction européenne de 50 millions d’euros. S’agissant des ingérences numériques, on observe un contraste entre la capacité d’analyse de Viginum sur des élections à l’étranger et l’insuffisance d’investigations équivalentes lorsque cela se passe sur notre propre territoire.

Pour conclure, j’ai appelé à davantage de transparence, de réactivité et de culture qualité au sein de l’action publique.

Mon intervention s’est articulée autour de plusieurs axes : la stratégie nationale de cybersécurité et la stratégie de lutte contre les manipulations de l’information ; l’organisation nationale du dispositif cyber français en me référant aux Etats-Unis ; certains choix budgétaires de l’ANSSI ; la transposition de NIS2 ; les recommandations du rapport de la Cour des comptes et les mesures concrètes attendues, comme le filtre « anti-arnaque ».

Monsieur le Secrétaire général,

Votre rôle est central dans l’élaboration des stratégies nationales de défense et de sécurité de notre pays.

Après l’actualisation de la Revue nationale stratégique que vous étiez venu nous présenter au printemps dernier, comme notre président l’a rappelé, je me réjouis de vous entendre, cette fois en audition publique, sur les crédits de la coordination de la sécurité et de la défense du programme 129 de « coordination du travail gouvernemental ».

Le grand public ne vous connait pas. Pourtant vos services rendent des services essentiels à la population contre les cyberattaques et les ingérences étrangères ;

je pense évidemment à l’Agence nationale de sécurité des systèmes d’information (ANSSI) pour la cybersécurité, de l’ensemble des organismes d’intérêts vitaux (infrastructures, énergies, transports, etc.), des hôpitaux, des services publics et au sens large de tout le tissu socio-économique ;

et au service VIGINUM de lutte contre les ingérences numériques étrangères qui dévoile des menaces très concrètes orchestrées depuis l’étranger, que M. le chef de service de Viginum vient d’illustrer parfaitement.

D’après les données budgétaires pour 2026 les crédits de paiement de la coordination de la sécurité et de la défense soient confortés (et même en hausse de 6 % à 431 millions d’euros, contre 406,1 M€ en 2025).

On pourrait s’en réjouir, cependant à titre de comparaison, le budget cyber de la seule banque JP Morgan est de 1 milliard de dollars sur un budget IT de 15 milliards de dollars.

J’ai plusieurs questions sur l’utilisation de nos crédits.

– En premier lieu, à la même époque l’an dernier, il nous avait été annoncé pour 2025 d’abord l’actualisation de la stratégie nationale de cybersécurité, ensuite l’élaboration d’une stratégie de lutte contre les manipulations de l’information.
C’était également une demande de notre excellent collègue Rachid Temal en qualité de rapporteur de la commission d’enquête sur les politiques publiques face aux influences étrangères.

Qu’en est-il des stratégies de cybersécurité et de lutte contre les manipulations de l’information ?

Quand seront-elles publiées et a minima communiquées au Parlement ?

Cette question de la stratégie rejoint un constat que nous avons déjà fait sur l’organisation qui apparaît anarchique et inutilement coûteuse : nous avons des points d’entrée avec une multiplication des interlocuteurs institutionnels face aux cyberattaques : ANSSI, cyber-malveillance, les CERT sectoriels (computer emergency response team), et les CSIRT régionaux (computer security incident response team).

À titre de comparaison, aux Etats-Unis, le bureau local du FBI est le seul point d’entrée. Les USA ont unifié l’ensemble du dispositif pour tracer les cyber-attaquants.
On remplit une plainte et le FBI bloque les transactions de paiement des rançons.

Nous pensions que la création du 17Cyber et que le projet de loi Résilience & Cybersécurité allait conduire l’ANSSI à mettre de l’ordre et de la lisibilité sur le rôle des différents acteurs.

Bien au contraire, nous avons appris au cours de nos auditions préparatoires que l’ANSSI avait lancé pendant l’été 2025 un appel à manifestation d‘intérêt (AMI) pour le renforcement de l’accompagnement local aux enjeux de cybersécurité, doté de quelque 7 millions d’euros.

Ces fonds contribuent au financement des CSIRT, alors même que le directeur de l’Anssi avait pris l’engagement en juillet devant le président Philippe Latombe de la commission spéciale à l’AN, de ne plus les financer.

Par contre pour GIP ACyma : rien.

Pourquoi ce revirement et ce dispositif qui ne figurait pas au PLF 2025 ?

Quels sont les résultats attendus qui justifient cette dépense et l’arrivée de nouveaux intervenants ?

Concernant la mise en œuvre du projet de loi relatif à la résilience des entités critiques et au renforcement de la cybersécurité, le Sénat a rempli sa mission.

Il a adopté dès mars dernier, sous ma présidence, un texte modifié en première lecture, qui attend toujours de passer à l’Assemblée nationale…

L’ANSSI n’a toujours pas indiqué en quoi consisterait NIS2 pour les entreprises françaises.

Ne craignez vous pas de mettre nos entreprises en retard ou en danger en faisant planer l’incertitude, voire en ne leur suggérant pas d’être certifiés ISO 27001, pour s’aligner sur nos voisins belges puisque nous parlons d’une directive européenne ?

Pour nos banques qui officient aux Etats-Unis, les attentes du régulateur américain sont supérieures au règlement européen Dora.

À titre d’exemple, pour le Vulnérability Patch Management, le délai de réponse exigé par la FED est d’une semaine.

Il est de 3 mois chez nous.

Comment justifier cette distorsion qui fait courir un risque de responsabilité important à nos établissements financiers vis à vis des autorités américaines ?

Enfin, la cour des comptes a publié un rapport relatif à “La réponse de l’État aux cybermenaces sur les systèmes d’information civils”, dont plusieurs des 11 recommandations rejoignent nos sujets de préoccupation, notamment la nécessité de mettre en place à court terme un observatoire national de la cybermenace, centralisant à l’échelle nationale les données et analyses utiles.

Les vols de données massives chez France Travail, DGFIP, Santé nous inquiètent et révèlent des échecs cuisants pour nos systèmes qui affectent des dizaines de millions de compatriotes.

Quand disposerons-nous de cet observatoire pour suivre concrètement l’efficacité de notre réponse aux attaques cyber ?

Le filtre « anti-arnaque » qui existe dans de nombreux pays a été voté en France en 2024 dans la loi SREN promulguée depuis 18 mois. Nous déplorons 50 800 dépôt de plainte via la plateforme dédiée aux e-escroqueries en 2024. Quand est-ce que le filtre entrera en vigueur ?

Cela fait déjà beaucoup de questions, principalement dans le domaine cyber, et mon collègue Mickaël Vallet pourra les compléter.

Philippe et moi-même présidons chacun la commission spéciale constituée dans nos deux chambres respectives pour assurer l’examen approfondi de ce texte. L’un et l’autre avons contribué à enrichir la réflexion parlementaire grâce à la diversité des points de vue recueillis lors des auditions d’acteurs publics et privés du secteur de la cybersécurité.

Adopté au Sénat et désormais entre les mains de l’Assemblée nationale, ce texte stratégique marque une étape majeure dans la transposition en droit français de trois directives européennes structurantes pour la sécurité numérique (*).

La Roche-sur-Yon, 9/10/2025

À La Roche-sur-Yon comme à Paris, les deux échanges, animés par Bénédicte Pilliet, présidente du CyberCercle, ont permis d’aborder plusieurs sujets essentiels : cohérence des dispositifs, équilibre entre acteurs publics et privés, partage d’informations, sanctions, guichet unique ou encore simplification des obligations.

Face à nous, les représentants d’organisations publiques et privées engagées sur les sujets de confiance et de sécurité numériques ont exprimé une même attente : clarifier et harmoniser les dispositifs, sans ajouter de complexité, afin de renforcer la résilience des organisations face aux menaces numériques et de favoriser une cybersécurité collective.

Dans l’attente de l’examen du texte par l’Assemblée nationale, prévu à la mi-novembre, puis en commission mixte paritaire, les membres du CyberCercle ont été invités à nous adresser leurs souhaits et de leurs attentes à cette étape du processus législatif, à la lumière des travaux du Sénat et des apports de la commission spéciale de l’Assemblée nationale.

Toute ma gratitude à Martin Briens, ambassadeur de France en Italie pour son accueil au palais Farnese et à Fabrice Maïolino (à l’image), consul général de France à Rome, qui m’a accompagné tout au long de ce déplacement.

Diplomatie économique

CCEF – Réunion régionale Europe du sud

Deux jours de réflexion pour augmenter la visibilité des entreprises françaises en Italie.

Dans le majestueux cadre du Palais Farnèse qui accueille l’ambassade de France en Italie, j’ai suivi l’intervention volontariste de Martin Briens, ambassadeur de France. L’ambassadeur décrit l’Europe comme un moteur à explosion qui avance au gré des crises.

La France est le premier investisseur en Italie, 2 ou 3ème client ou fournisseur. Nos structures industrielles sont très complémentaires et lorsque nous observons nos performances respectives en commerce extérieur (excédent de 7 milliards d’euros pour l’Italie et déficit de 80 milliards pour la France), cela devrait nous inciter à rechercher toutes les opportunités de développer notre relation bilatérale.

Marcel Patrignani, président CCEF Italie a rappelé que le comité était présent sur tout le pays et que chaque district économique avait ses secteurs industriels de prédilection.
La section est organisée en trois groupes de travail : attractivité pour aider les entreprises italiennes à s’implanter en France, les accompagnements des VIE et la formation.

Accompagné ensuite de Stella Fau Clarke, présidente CCEF Europe et Emmanuel Montanié, délégué général des CCEF, les trois représentants ont détaillé le fonctionnement du réseau qui réunit 4900 CCEF dans 150 pays.

Merci à Cécile André pour avoir lancé cette invitation à Stockholm et à tous les organisateurs et participants qui ont partagé avec moi leurs regards sur l’évolution des affaires. +d’images

Cybersécurité

Mon intervention devant les CCEF

Très honoré d’avoir été invité par les conseillers du commerce extérieur de la France (CCEF) à m’exprimer, sur les enjeux de cybersécurité et de cyber-résilience, dans le cadre prestigieux du palais Farnese, à la faveur de leur rencontre régionale Europe du Sud.

J’ai évoqué :

1- l’arrivée du 17Cyber depuis le 17/12/24, et notre travail en cours pour permettre le dépôt de plainte en ligne depuis l’étranger, au travers de cette plate-forme.
2- l’action de Viginum pour permettre aux entreprises d’anticiper les actions susceptibles de les déstabiliser.
En matière de menace informationnelle, les entreprises et acteurs économiques peuvent être ciblés par les principaux modes opératoires suivants :
•⁠ ⁠Le raid numérique
•⁠ ⁠L’incitation à conduire des actions dans le champ physique
•⁠ ⁠L’usurpation d’identité d’entreprise
3 – Projet de loi Résilience & Cybersécurité pour transposer 3 directives européennes (NIS2, DORA, REC)
4 – L’Artificial Intelligence Act (AI Act) encadre l’utilisation et le développement de l’intelligence artificielle dans l’UE. L’Union européenne a créé le premier cadre juridique global au monde dédié à l’IA.

Merci aux organisateurs de m’avoir offert l’opportunité de partager les défis et nos progrès en matière de cyber. +d’images

Agence nationale pour la Cybersécurité (ACN)

Visite de l’Agence nationale pour la Cybersécurité (ACN), pour un entretien avec Massimo Marotti, directeur général pour la stratégie et la coopération internationale, qui avait participé à la Paris Cyber Week, l’an passé.

L’ACN est une jeune agence indépendante, qui relève du Conseil italien. Sa forme et ses missions sont semblables à celles de l’ANSSI, avec laquelle une coopération très étroite et modèle a été établie.

336 personnes collaborent au sein de l’ACN. Ils devraient être 500 fin 2025.

L’Italie fait partie des premiers pays européens à avoir mis en œuvre la directive NIS2. Le décret d’application date du 4 septembre 2024. 22 000 entreprises sont déjà enregistrées sur la plateforme des entreprises concernées par la loi.

Si la loi est destinée à élever le niveau de résilience des entreprises en cyber, Massimo s’interroge avec pertinence sur la signification du mot “résilience”. À partir du moment où “augmenter la résilience” est un objectif de la loi, il convient en effet de connaître les indicateurs qui nous permettent de mesurer nos progrès. +d’images

Communauté française

Réunion avec les élus

Le consulat général de France à Rome réunit la partie Centre et Sud de l’Italie et compte 16500 inscrits (Rome 10500 ; Florence 3500 et Naples 2500), tandis que la partie Nord, qui relève du consulat général de Milan, compte 18000 inscrits.

À l’invitation de Fabrice Maïolino, consul général de France à Rome, j’ai eu un entretien privilégié avec deux des cinq conseillers des Français de l’étranger de Rome qui ont pu se rendre disponibles.

Carole de Blesson est une élue qui s’est engagée en faveur de l’associatif au sein de Rome Accueil et qui organise des réunions sur les problèmes de la vie quotidienne.
Olivier Lebel, retraité très actif dans le soutien aux start-ups, est devenu conseiller des Français de l’étranger en février 2024. Il est également suppléant de Caroline Yadan, députée de la circonscription.

Les deux élus ont fait part de la vive préoccupation de nos compatriotes retraités qui se sont trouvés redressés de fortes sommes par le fisc italien. Un article du Figaro de février 2025 intitulé “L’Italie, le nouvel eldorado des exilés fiscaux français” est susceptible d’entraîner nos compatriotes dans de graves difficultés. Nos élus rappellent que l’Italie impose les revenus à des taux bien plus élevés que la France. Elle applique également des impôts sur le patrimoine immobilier et mobilier situés à l’étranger.

Pour éviter les déconvenues, le consulat général et les élus organisent régulièrement des conférences avec des experts comptables et fiscaux.

Un grand merci au consul général et à nos deux élus pour leur mobilisation.

Enseignement

Lycée international Chateaubriand

Constitué de trois sites, Strohl-Fern, Malpighi et Patrizi, l’établissement scolarise 1500 élèves de la petite section de maternelle jusqu’à la terminale.

En 2023, le lycée a célébré son 120e anniversaire. À cette occasion, une campagne de travaux d’une durée de 10 ans a été menée pour améliorer la qualité d’accueil et les infrastructures de l’établissement.

Accueilli en compagnie de Fabrice Maïolino, consul général de France, par le proviseur adjoint, Christophe Chades, j’ai découvert les aménagements réalisés depuis mon précédent déplacement.

Situé sur le site de la Villa Strohl-Fern, le bâtiment historique « Casone » a été entièrement rénové. Les nouvelles salles de classe sont plus spacieuses. Le bâtiment « Moresco » a également fait l’objet d’une restructuration complète.

La visite a été suivie de deux réunions dans la médiathèque, avec les représentants des enseignants puis des parents d’élèves.

Les effectifs en maternelle fléchissent, car les parents attendent plus de souplesse sur les horaires. Pour le reste, les effectifs sont de 23 à 29 élèves par classe en secondaire, et les listes d’attente se reconstituent.

Suite à l’adoption par le Sénat du projet de loi « relatif à la Résilience des infrastructures critiques et au renforcement de la cybersécurité » ce 12 mars (compte-rendu), j’ai présenté les apports et les recommandations de la commission spéciale que je préside, avant le jeu de questions-réponses.

L’échange fut riche et constructif avec une soixantaine de participants sur les enjeux et les implications de la transposition des trois directives européennes (dites REC, NIS2 et DORA) en droit français.

J’ai ainsi rappelé que notre objectif n’est pas d’empêcher les cyber-attaques, mais d’être résilient, dans le cadre d’une loi faite avec les professionnels pour les professionnels.

VERBATIM de mon intervention

Mesdames, Messieurs,

Je tiens tout d’abord à remercier MM. Pierre Lellouche, Président, et Christian Sommade, Délégué général, du Haut comité français pour la résilience nationale de m’associer régulièrement à vos travaux. L’an dernier, j’avais pu m’exprimer à votre invitation dans les locaux de la Direction générale de la Gendarmerie nationale sur les questions de cybersécurité, de souveraineté du cloud et des ingérences numériques étrangères dont je suis depuis 8 ans le rapporteur budgétaire pour avis de la commission des affaires étrangères et de la défense du Sénat. Nous avions alors regretté l’absence d’un représentant du Secrétariat général de la défense et de la sécurité nationale !

Quoiqu’il en soit, je suis encore plus touché que cet événement annuel se déroule aujourd’hui au Sénat et que vous m’ayez proposé d’ouvrir le débat.

Le thème sur lequel vous avez sollicité mon intervention est le suivant : « la sécurité des activités d’importance vitale à la résilience des entités critiques, quel équilibre entre le besoin de sécurité nationale et l’acceptation des normes par les acteurs ? ».

Ce sujet est d’actualité car je préside la commission spéciale sénatoriale sur le projet de loi relatif à la résilience des entité critiques et au renforcement de la cybersécurité. Ce projet de loi a été adopté par le Sénat la semaine dernière avec exactement 100 amendements adoptés donc 61 amendements adoptés en commission et 39 amendements en séance publique.

Ce projet de loi prévoit la transposition de 3 directives différentes a fait l’objet d’un :
o la directive sur la résilience des entités critiques, dite « REC » ;
o la directive concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite « NIS2 » ;
o et la directive qui concerne la résilience opérationnelle numérique du secteur financier, dite « DORA ».

Je reviendrai plus en détail sur leur contenu car il entre tout à fait dans le thème de votre question relative à l’acceptation de nouvelles normes, contraignantes et coûteuses, dont le gouvernement n’est pas en mesure d’en présenter précisément l’impact pour les entreprises et les collectivités territoriales.

Cela me permet donc d’aborder très concrètement la question de l’équilibre entre le besoin de sécurité nationale et l’acceptation des normes par les acteurs. Ce sujet a été une préoccupation constante des travaux de la commission spéciale.

J’ai été invité à ouvrir les travaux à ses côtés, en présence de Vincent Strubel, directeur général de l’ANSSI et de Michel Van Den Berghe, président du Campus Cyber.

Les enjeux cruciaux liés à la transposition en droit français des directives européennes NIS2, DORA et REC ont été rappelés. Le niveau d’exigence a été rehaussé au point qu’on parle de changement de paradigme. Heureusement, la mobilisation des professionnels et des élus locaux concernés par ce changement d’échelle est patente. L’objectif commun est de bâtir une cybersécurité efficace et durable, gage de la confiance dans notre écosystème !

En raison de l’intérêt transversal du projet de loi intéressant au moins trois commissions (défense, affaires économiques, finances), le Sénat a constitué une commission spéciale, en novembre 2024, que j’ai eu l’honneur de présider. Au cours de mon intervention, je me suis concentré sur trois points :

1 – Les apports du Sénat
Au total, la commission aura organisé 7 réunions publiques entre le 17 décembre 2024 et le 11 février 2025 :
> Deux auditions de responsables publics, dont Clara Chappaz et Vincent Strubel.
> Cinq tables rondes avec les organisations professionnelles (MEDEF, CPME), des représentants des entreprises cyber (ACN, CyberCercle, CyberTaskForce, Clusif), les associations d’élus (association des maires de France, association des départements de France, association des régions de France, intercommunalités de France, Métropole du Grand Paris), les autorités de régulation financière (AMF et ACPR) et 3 grands acteurs de la cyberdéfense (Airbus, Orange et Thales).
> Notre commission a apporté 61 amendements au texte initial.

2 – Une mesure emblématique adoptée, en séance : Empêcher toute mesure instaurant des backdoors ou des failles dans le chiffrement des messageries (compte-rendu).

Je tiens à remercier mes collègues au Sénat qui ont voté mon amendement en créant ainsi un principe clair de sécurité numérique (compte-rendu).

Je salue le travail exceptionnel des trois rapporteurs de la commission spéciale que j’ai présidée pour préparer ce texte : Michel Canévet, Hugues Saury, Patrick Chaize. Toujours à notre écoute, Clara Chappaz, ministre déléguée chargée de l’intelligence artificielle et du numérique, aura été un heureux élément de continuité dans ce processus, ce qui est à souligner.

Je tiens à remercier tous les membres de cette commission pour leur confiance, leur participation aux travaux et leur contribution à l’élaboration du texte par leurs amendements, souvent inspirés par les auditions des représentants de l’éco-système.

Le projet de loi a été modifié par la commission spéciale, puis en séance publique qui s’est achevée le 12 mars. Ainsi, la commission spéciale a adopté 61 amendements, dont 53 de la part de ses rapporteurs pour préciser les modalités de transposition des 3 directives, dites REC, NIS2 et DORA :
> inscrire dans la loi l’élaboration par le gouvernement d’une stratégie nationale de cybersécurité
> compléter et encadrer les définitions et délais d’application
> clarifier les obligations pesant sur les entités assujetties
> éviter des différences de traitement injustifiées entre les entreprises
> simplifier la vie des entreprises
> modérer les effets de surtranspositions.

Les travaux en séance publique ont permis de revenir sur des rédactions communes avec le gouvernement sur les questions de contrôle et de reste à charge des coûts des contrôles, certains désaccords subsistants principalement sur le titre III relatif à la transposition de la directive DORA.

Une mesure emblématique que j’ai proposée a été adoptée : empêcher toute mesure instaurant des backdoors ou des failles dans le chiffrement des messageries ; le Sénat reste la maison qui protège les libertés publiques (compte-rendu).

Enfin, la commission spéciale a formulé plusieurs recommandations :
> fournir un effort de simplification des mesures d’application réglementaires, en se gardant de toute surtransposition réglementaire
> accompagner les collectivités territoriales dans cette démarche nouvelle pour elles en tenant compte des problématiques de compétences et de financement
> communiquer et faire œuvre de pédagogie, à l’échelle du pays, sur l’effort de résilience et de cybersécurité, en lien avec la stratégie nationale de cybersécurité.

Consultez Pourquoi ce texte ? Et Les apports du Sénat

Consultez l’Essentiel (PDF 8p) : la France transpose 3 directives européennes pour renforcer la résilience et la cybersécurité