En juillet 2026, Bruxelles a saisi la justice européenne pour non-application des obligations communautaires en matière de cybersécurité.
Le texte arrive alors que les cyberattaques se multiplient en France et que le pays accuse un retard dans ce domaine.
Retardé depuis deux ans après son examen au Sénat, le projet a été remis à l'agenda parlementaire sous l'effet de cette intensification des attaques.
Son caractère transpartisan devrait faciliter son adoption.
La loi doit transposer dans le droit français le règlement NIS 2, destiné à assurer un niveau élevé de cybersécurité dans tous les pays européens.
Elle intègre aussi la directive REC, qui protège la continuité des services essentiels face aux menaces physiques et cyber, et le règlement DORA, applicable au secteur financier.
Le nombre d'entités régulées doit passer de 1 500 à 15 000, soit une multiplication par dix.
Sont concernées les administrations, les collectivités et les entreprises déjà soumises à des obligations de cybersécurité.
Ces entités seront réparties dans 18 secteurs d'activité critiques ou hautement critiques, parmi lesquels l'énergie, les transports, le secteur bancaire, la santé et les infrastructures numériques.
Elles devront mettre en place des mesures de gestion des risques, notamment la formation des personnels, la double authentification et le chiffrement des données sensibles.
Elles auront également l'obligation de notifier à l'Agence nationale de la sécurité des systèmes d'information (Anssi) tous les incidents importants.
En cas de manquement, les amendes pourront atteindre dix millions d'euros ou 2 % du chiffre d'affaires annuel mondial. Le texte ne prévoit pas de financements supplémentaires.
La loi n'est pas présentée comme un moyen de faire cesser les cyberattaques. Elle vise à encourager la prévention et l'anticipation, avec l'idée d'investir 1 euro aujourd'hui pour éviter de payer 100 euros de dommages ou de pénalités demain.
Michel Séjean, professeur de droit spécialiste de la cybersécurité, se félicite d'une rupture avec la logique consistant à éviter à tout prix de se faire attaquer.
Le texte met désormais l'accent sur la capacité des organisations à faire face à des attaques qui ne peuvent pas être écartées par les seuls dispositifs techniques.
«Avant 2022, quand ça tournait mal, on virait les informaticiens et les dirigeants se dédouanaient en disant: C'est technique, ce n'est pas mon job. Avec cette logique de résilience, l'enjeu devient de continuer l'activité critique malgré l'attaque», a déclaré Michel Séjean.