Compte rendu de la commission spéciale du 1^er octobre 2026. La poursuite des travaux est annoncée le 14 octobre 2026.

Voir la vidéo de la commission spéciale sur le site de l’Assemblée nationale

Synthèse des auditions de la commission spéciale sur le projet de loi Résilience

Date : 1^er octobre 2026

Objet : examen du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, transposant les directives REC, NIS 2 et DORA.

1. Informations générales

• Date : 1^er octobre 2026.
• Objet : examen du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, transposant les directives REC, NIS 2 et DORA.
• Présidence : Philippe Latombe.
• Décisions de la commission : Emeric Salmon est proclamé secrétaire et Vincent Thiébaut est désigné rapporteur thématique du titre II.

2. Synthèse de l’audition de la ministre

• Le Gouvernement soutiendra la suppression de l’article 16 bis, considéré comme un cavalier législatif.
• Le Gouvernement s’engage à ne pas réintroduire ni soutenir un dispositif équivalent à l’article 8 ter. La portée temporelle exacte de cet engagement devra être confirmée dans le compte rendu officiel.
• Le rapport Boudié sur le chiffrement des messageries doit être publié prochainement.
• Les décrets d’application sont annoncés sous trois mois pour le titre I relatif à REC, sous sept à neuf mois pour le titre II relatif à NIS 2, et dès la promulgation pour le titre III relatif à DORA.
• La conformité complète à NIS 2 est visée pour la fin de l’année 2028.
• Aucun accompagnement financier direct de l’État n’est prévu pour la mise en conformité.
• Le texte concernerait au moins 15 000 entités, et potentiellement jusqu’à 20 000, réparties dans 18 secteurs. Entre 500 et 700 entités seraient actuellement régulées.
• L’État prévoit d’imposer à ses ministères de consacrer 5 %, puis 10 % de leur budget numérique à la cybersécurité d’ici 2030.

3. Synthèse de l’audition du directeur général de l’ANSSI

• Le panorama des menaces s’aggrave. Il associe notamment des opérations de sabotage étatiques visant les infrastructures et une cybercriminalité fondée sur l’exfiltration massive de données, y compris au sein des administrations.
• L’ANSSI estime avoir besoin des pouvoirs de contrôle et de sanction prévus par NIS 2 pour faire appliquer les mesures fondamentales d’hygiène numérique.
• L’authentification multifacteur est présentée comme une mesure indispensable, notamment face à l’automatisation croissante des attaques par l’intelligence artificielle.
• Le modèle envisagé repose sur un contrôle progressif, par échantillonnage, complété par le recours à des prestataires qualifiés.
• L’ANSSI entend se positionner comme un « chef d’orchestre », intervenant directement sur les cas les plus graves.

4. Points actés ou annoncés par la ministre

1. Le Gouvernement soutiendra en séance la suppression de l’article 16 bis, qu’il qualifie de cavalier législatif.
2. Le Gouvernement s’engage à ne pas réintroduire ni soutenir un dispositif équivalent à l’article 8 ter. La portée temporelle exacte de cet engagement reste à confirmer dans le compte rendu officiel.
3. Le rapport Boudié sur le chiffrement des messageries sera rendu public « dans les prochains jours », dans un format compatible avec les exigences de sécurité nationale. Aucune date précise n’a été communiquée.
4. Les décrets sont annoncés sous trois mois après la promulgation pour le titre I, sous sept à neuf mois pour le titre II, et dès la promulgation pour DORA.
5. La conformité complète à NIS 2 est visée pour la fin de l’année 2028.
6. Aucun accompagnement financier direct n’est prévu pour la mise en conformité.

5. Chiffres cités

Attention : les chiffres ci-dessous correspondent aux déclarations des intervenants lors de l’audition. Ils n’ont pas été vérifiés de manière indépendante.

• Au moins 15 000 entités concernées par NIS 2 selon la ministre, et environ 20 000 selon l’ANSSI.
• Entre 500 et 700 entités régulées actuellement.
• 18 secteurs concernés.
• 40 actions inscrites dans la feuille de route de l’État.
• 5 %, puis 10 %, du budget numérique des ministères consacrés à la cybersécurité entre 2027 et 2030.
• 200 millions d’euros mobilisés dans le cadre de France 2030.
• 670 équivalents temps plein à l’ANSSI.

6. Questions-réponses : audition de la ministre

6.1. Pourquoi un an d’attente avant l’examen du texte ?

Question du rapporteur général : pourquoi le texte a-t-il attendu un an avant d’être examiné ?

Réponse : ce délai résulte des priorisations de l’ordre du jour de l’Assemblée nationale. L’article 16 bis a également suscité des inquiétudes, conduisant à la mission de six mois confiée à Florent Boudié.

6.2. Le rapport Boudié sera-t-il disponible avant la séance ?

Matignon annonce une publication « dans les prochains jours », sans date précise. La ministre demandera qu’un accès anticipé soit accordé aux rapporteurs et aux membres du bureau.

6.3. Coordination ministérielle et mobilisation des informaticiens publics

La cybersécurité relève du Premier ministre, par l’intermédiaire du SGDSN et de l’ANSSI. Chaque ministre assure désormais le suivi des 40 actions prévues. Les responsables de la sécurité des systèmes d’information doivent être davantage visibles dans les organigrammes.

Les directeurs d’administration centrale de Bercy ont été réunis à deux reprises sur ce sujet.

6.4. Position du Gouvernement sur les surtranspositions

• Éditeurs de logiciels : leur intégration serait une surtransposition, puisqu’ils relèvent déjà du Cyber Resilience Act. Les éditeurs SaaS et les fournisseurs cloud sont par ailleurs susceptibles d’être couverts en qualité d’entités essentielles ou importantes.
• Secteurs médico-social et hospitalier : la ministre ne considère pas leur intégration comme une surtransposition. Elle ne la défendra toutefois plus par principe, même si elle continue de la juger pertinente.

6.5. Les nouvelles missions confiées à l’ANSSI risquent-elles de la surcharger ?

Le budget 2027 de l’ANSSI est annoncé comme identique à celui de 2026. Le Premier ministre demande donc à l’agence de recentrer et de prioriser ses activités.

6.6. Article 8 ter et chiffrement des messageries

Interrogée sur l’absence de publication du rapport Boudié avant le dépôt des amendements et sur la solidité de l’engagement relatif à l’article 8 ter, la ministre rappelle que l’article 16 bis est né en réaction à l’article 8 ter adopté par le Sénat.

Selon elle, l’article 16 bis aggrave les conditions d’enquête « à droit constant ». Elle demande que le Gouvernement soit jugé sur son engagement. Le ministre de l’Intérieur doit également indiquer qu’aucun nouvel article 8 ter ne sera présenté avant la fin du mandat présidentiel.

6.7. Articulation entre DORA et NIS 2

Les acteurs relevant de DORA ne devraient s’enregistrer qu’une seule fois auprès de l’ANSSI. Ils notifieraient les incidents au moyen d’un formulaire commun transmis à l’ANSSI et à l’autorité financière compétente, à savoir l’ACPR ou l’AMF.

L’ANSSI est joignable 24 heures sur 24, contrairement aux superviseurs financiers. Un accord entre l’ANSSI et la Banque de France aurait été signé le 3 juillet 2026.

6.8. Entrée en application de DORA pour les petites sociétés de financement

La possibilité de reporter l’entrée en application au 17 janvier 2028 n’a pas reçu de réponse précise. La ministre a uniquement indiqué que les décrets relatifs à DORA étaient prêts du côté de la direction générale du Trésor.

6.9. Coût et accompagnement des PME, TPE et petites intercommunalités

• Une cyberattaque coûterait de 10 à 50 fois plus cher qu’une mise en conformité, selon le retour d’expérience cité de la ville de Vannes.
• Des dispositifs d’appui existent par l’intermédiaire des CSIRT régionaux, des campus cyber, des chambres de commerce et d’industrie, du référentiel Récif et d’un label de confiance en préparation.
• Aucun financement direct n’est prévu.
• Les entités non conformes pourront être exposées à des sanctions financières.

6.10. Moyens de contrôle et situation des collectivités

Pour les collectivités de plus de 30 000 habitants, aucune sanction financière ne serait prévue, mais des contrôles resteraient possibles.

La ministre plaide pour une mutualisation de la fonction de RSSI à l’échelle intercommunale. Aucun financement dédié à la montée en compétences n’est annoncé.

6.11. Résilience physique des infrastructures

Le titre I, qui transpose la directive REC, traite notamment de la protection physique des opérateurs d’importance vitale, avec des obligations de protection périmétrique.

Une lettre de mission est également en préparation sur la résilience des réseaux de télécommunications, dont le Réseau radio du futur.

6.12. Procédure devant la Cour de justice de l’Union européenne

Le montant susceptible d’être réclamé à la France devant la CJUE n’est pas connu. L’objectif affiché est d’éviter une amende en accélérant l’adoption du texte.

6.13. Calendrier des décrets et évolution du référentiel Récif

• Les décrets sont présentés comme « quasiment prêts ».
• Le référentiel Récif existe déjà et contient 20 objectifs.
• Il n’est pas prévu de le réécrire intégralement.
• L’écosystème sera consulté lors de la préparation des décrets.

6.14. Déclarations auprès de l’ANSSI et de la CNIL

Il n’est pas prévu de déclaration commune à l’ANSSI et à la CNIL. Une piste consisterait à générer un formulaire CNIL à partir de la déclaration transmise à l’ANSSI.

Ce mécanisme n’est toutefois pas automatique et demeure à construire. En l’état, l’entité concernée devra effectuer une démarche parallèle auprès de la CNIL.

6.15. Sanctions applicables à l’État et au secteur public

L’État ne peut pas se sanctionner lui-même financièrement. La ministre privilégie donc la responsabilisation des agents et des services, ainsi qu’un travail sur la chaîne de responsabilité prévu dans la feuille de route.

6.16. Présomption de conformité pour les organismes certifiés ISO 27001

La réponse apportée est négative. Selon la ministre, la certification ISO 27001 est utile, mais insuffisante pour garantir la conformité à NIS 2, notamment en raison des exigences relatives à la gestion de crise.

Le dispositif belge de présomption de conformité repose, selon elle, sur des critères complémentaires.

6.17. Ligne de non-surtransposition et calendrier de mise en œuvre

• Le Gouvernement entend maintenir la directive « à l’épure ».
• Les contrôles seront progressifs, en commençant par les entités essentielles et les opérateurs d’importance vitale.
• La conformité complète à NIS 2 est visée pour la fin de l’année 2028.
• L’ANSSI publiera sa stratégie de contrôle après la promulgation de la loi.

6.18. Filtre anti-arnaque

La mise en œuvre du filtre anti-arnaque relèvera de l’Arcom. La Commission européenne ayant rendu un avis circonstancié, le décret doit être réécrit puis soumis à nouveau.

La ministre n’a pas communiqué de nouveau calendrier. Elle estime également que l’Arcom devra être renforcée pour exercer cette mission.

6.19. Sanctions graduées pour les collectivités

La commission avait supprimé les sanctions financières visant les collectivités. La ministre estime que le risque réputationnel peut peser davantage sur un maire qu’une sanction financière. Elle laisse les parlementaires trancher cette question en séance.

7. Questions-réponses : audition du directeur général de l’ANSSI

7.1. Pourquoi les données personnelles les plus courantes font-elles l’objet de nombreuses fuites ?

Le numérique aurait été construit sur un niveau de confiance excessif. Les données sont largement partagées entre les administrations et la numérisation s’est fortement accélérée durant la crise sanitaire.

Les données fiscales sont devenues une cible pour des opérations d’extorsion ou des attaques destinées à porter atteinte à la réputation des personnes et des institutions.

Le directeur général de l’ANSSI indique que ses propres données auraient été compromises au moins cinq fois, notamment à la suite d’incidents touchant des opérateurs privés.

7.2. Quelle réponse apporter aux logiciels voleurs d’informations, ou « infostealers » ?

La réponse repose notamment sur le déploiement d’une authentification forte et sur une meilleure gestion du cycle de vie des identités.

Ces projets sont complexes. À la DGFiP, ils concernent environ 90 000 agents et plusieurs centaines de milliers de partenaires externes. Leur mise en œuvre nécessite plusieurs mois.

7.3. Comment traiter les sous-traitants et les chaînes de sous-traitance ?

Les sous-traitants ne seraient pas directement assujettis au texte, mais le seraient indirectement au moyen des obligations contractuelles imposées par leurs donneurs d’ordre. Le directeur général de l’ANSSI juge l’équilibre actuel du texte satisfaisant.

7.4. Activités vitales et non vitales au sein d’un même établissement

Les opérateurs d’importance vitale déclarent leurs systèmes d’information d’importance vitale. Un socle commun NIS 2 s’applique à l’ensemble des systèmes, avec des règles renforcées pour les systèmes les plus critiques.

7.5. Impact financier des cyberattaques et arbitrages de gouvernance

Les sanctions doivent permettre de faire de la cybersécurité un sujet de gouvernance mobilisant les comités exécutifs, les directions financières et les directions juridiques.

7.6. Le retard de transposition doit-il décaler la mise en œuvre ?

• La conformité complète est visée pour la fin de l’année 2028.
• La démarche doit être progressive et commencer par la pédagogie.
• La notification des incidents pourrait être exigée rapidement.
• Les opérateurs d’importance vitale continuent d’être régulés sans délai.
• Des premiers contrôles à blanc, qualifiés de « galops d’essai », sont envisagés.
• La loi ne pourrait pas fixer de délai supplémentaire, la directive n’en prévoyant pas.

7.7. L’ANSSI peut-elle absorber ses nouvelles missions avec ses moyens actuels ?

Le directeur général estime qu’il n’y a « pas de gras » au sein de l’agence. L’ANSSI disposerait d’environ 670 équivalents temps plein, contre 1 800 à 2 000 personnes au BSI allemand et environ 1 500 personnes au Royaume-Uni.

La stratégie nationale de janvier 2026 couvrirait déjà les missions prévues par l’article 5 bis. La pédagogie destinée au grand public serait principalement portée par Cybermalveillance.gouv.fr, au travers du GIP ACYMA.

Le directeur général ne souhaite pas engager l’élaboration d’une nouvelle stratégie : selon lui, « le problème est l’exécution ».

7.8. Agrément des organismes indépendants et obligations de leurs agents

• L’article 24 concerne l’agrément des CSIRT régionaux et sectoriels comme relais.
• Les articles 26 et 37 concernent des prestataires d’audit déjà qualifiés par l’ANSSI.
• Des contrôles conjoints avec les autorités compétentes pour DORA ou avec la CNIL sont prévus afin d’éviter les contrôles redondants.
• La question d’un éventuel vide concernant les obligations applicables aux agents des organismes agréés n’a pas reçu de réponse précise.

7.9. Conséquences du retard de DORA et fonctionnement du formulaire unique

• Les conséquences du retard seraient moins importantes pour DORA que pour NIS 2, le secteur financier étant déjà mature et le règlement DORA étant d’application directe.
• Le retard pris sur NIS 2 aurait provoqué un effet d’éviction sur les budgets consacrés à la cybersécurité.
• Le principe d’un formulaire unique est acté.
• Un guichet unique aurait soulevé des difficultés juridiques et opérationnelles, notamment parce que l’ACPR n’est pas joignable 24 heures sur 24.
• La question des délais est renvoyée à la direction générale du Trésor.
• Un même incident peut actuellement nécessiter jusqu’à quatre notifications différentes. Une simplification devrait être recherchée au niveau européen, notamment dans le cadre de l’omnibus numérique.

7.10. Recherche des responsabilités à la DGFiP

L’ANSSI recherche les causes techniques d’un incident, et non les responsables individuels. Son approche est comparée à celle du Bureau d’enquêtes et d’analyses pour la sécurité de l’aviation civile.

Le rapport technique ne désigne donc pas de personne responsable. Les éventuelles enquêtes administratives relèvent d’autres acteurs. La DGFiP est néanmoins décrite comme étant généralement « un cran au-dessus » en matière de sécurité.

7.11. Rôle de l’ANSSI et externalisation vers des prestataires agréés

Le modèle présenté est celui d’une ANSSI « chef d’orchestre », s’appuyant sur des prestataires strictement qualifiés, notamment SecNumCloud, PASSI et PACS. L’agence interviendrait directement en dernier recours sur les incidents les plus graves.

7.12. Financement de la protection physique et montée en échelle

• La sécurité physique relève du SGDSN dans le cadre du titre I.
• Les CSIRT régionaux devraient être cofinancés par l’État et les régions, en dehors du présent texte.
• Les offres commerciales abusives se réclamant de NIS 2 constituent un risque identifié. La publication anticipée du référentiel Récif vise notamment à limiter ce phénomène.
• Le directeur général estime que les campus cyber n’ont pas besoin de se voir attribuer un rôle par la loi.

7.13. NIS 2 aurait-elle permis d’éviter l’incident de la DGFiP ?

• Selon le directeur général de l’ANSSI, NIS 2 aurait permis d’éviter la majorité des attaques de cette nature.
• L’État sera entièrement soumis à NIS 2, à l’exception des sanctions financières.
• La commission des sanctions pourra prononcer des avertissements, des injonctions et la publicité des manquements.
• Elle ne pourra pas révoquer un directeur d’administration centrale, cette compétence relevant de l’article 13 de la Constitution.

7.14. Opposabilité du référentiel Récif

Le référentiel Récif est présenté comme opposable, sous réserve des dispositions définitivement adoptées par le législateur. Il pourra être adapté si la loi évolue de manière significative.

La conformité stricte n’est pas annoncée avant la fin de l’année 2028.

7.15. Comment faire évoluer les pratiques d’authentification ?

• Une fiche Récif consacrée à l’authentification multifacteur a été publiée au début du mois de septembre.
• Des réunions de pilotage avec les ministres sont organisées.
• Certains projets d’ergonomie sont reportés au profit de projets de cybersécurité.
• Cette priorisation permettrait de ramener certains chantiers initialement prévus sur trois ans à une durée comprise entre trois et six mois.

7.16. Pouvoir d’injonction et capacité de contrôle de l’ANSSI

• À ce jour, l’inspection des services de l’État repose sur des conventions conclues avec les ministères.
• À l’avenir, l’ANSSI devrait disposer d’un cadre fondé sur des mesures objectives, des sanctions dissuasives et un contrôle par échantillonnage.
• L’objectif n’est pas de contrôler systématiquement toutes les entités.
• Les capacités de l’agence dépendront des moyens qui lui seront accordés, ainsi que d’une réallocation interne vers les missions relevant de NIS 2.
• Le chiffre de 99 violations de données recensées depuis le 1^er août concerne l’ensemble de la sphère observée, et non le seul État.
• Une vingtaine de cas concerneraient directement l’État, certaines revendications pouvant par ailleurs être infondées.

8. Points ouverts à suivre

• Rapport Boudié : date de publication et possibilité d’un accès anticipé avant le dépôt des amendements.
• Contentieux européen : montant de l’éventuelle sanction financière devant la Cour de justice de l’Union européenne.
• DORA : date d’entrée en application pour les petites sociétés de financement.
• Collectivités : maintien ou suppression de sanctions financières graduées.
• Financement : modalités d’accompagnement des petites entités et des collectivités pour leur mise en conformité.