NIS2 : l'Assemblée supprime l'article 16 bis sur le chiffrement

L'Assemblée nationale a repris le 9 novembre l'examen du projet de loi « résilience des infrastructures critiques et renforcement de la cybersécurité », qui transpose les directives NIS2, REC et le règlement DORA. Dès le lendemain, les députés ont supprimé l'article 16 bis, introduit au Sénat pour interdire d'imposer aux fournisseurs des dispositifs affaiblissant le chiffrement. Pour les praticiens, l'essentiel reste devant : le régime d'obligations NIS2, sous contrôle de l'ANSSI, n'est toujours pas voté.

La référence officielle est le dossier du projet de loi sur vie-publique.fr. Le vote sur l'article 16 bis est rapporté par Next.

Ce qui a été voté

L'article 16 bis visait à interdire d'imposer aux fournisseurs de services chiffrés des mécanismes affaiblissant la sécurité — typiquement des clés maîtresses de déchiffrement ou des portes dérobées. Il répondait à l'article 8 ter de la loi Narcotrafic, finalement abandonné.

Selon Next, l'article a été supprimé en séance le 10 novembre par 69 voix contre 37. Le gouvernement a soutenu la suppression : la secrétaire d'État au Numérique Anne Le Hénanff s'est engagée à ne pas réintroduire de dispositif affaiblissant le chiffrement des messageries, et le ministre de l'Intérieur Laurent Nuñez a jugé l'article mal rédigé et trop large. Les Écologistes et La France insoumise ont voté contre, y voyant un recul pour les libertés numériques.

Pourquoi la France légifère en retard

La France est en situation d'infraction. Les échéances de transposition étaient fixées au 17 octobre 2024 pour NIS2 et REC, et au 17 janvier 2025 pour DORA. La Commission européenne a saisi la Cour de justice de l'Union européenne ; la rapporteure Catherine Hervieu évoque un risque d'amende de « plus de 10 millions d'euros ». Le texte, examiné au Sénat début 2025, était resté bloqué jusqu'à cette reprise.

Le débat porte aussi sur la surtransposition : le rapporteur Éric Bothorel chiffre à environ 404 les amendements qui iraient au-delà des directives ou seraient étrangers au texte.

Que faire

1. Ne tirez pas de conclusion opérationnelle du vote sur le 16 bis. Il concerne l'encadrement des portes dérobées, pas vos obligations NIS2.
2. Cartographiez votre éligibilité. La loi distinguera entités « essentielles » et « importantes » selon secteur et taille ; identifiez dès maintenant où vous tombez.
3. Suivez la navette. Le périmètre exact des obligations (notification d'incident, mesures de sécurité, sanctions) se jouera dans les amendements et la version finale.
4. Appuyez-vous sur les référentiels ANSSI existants pour préparer la mise en conformité sans attendre la promulgation.

Contexte

Ce vote prolonge un feuilleton que nous suivons depuis l'arrivée du texte à l'Assemblée début octobre. La bataille autour du chiffrement — déjà vue avec la loi Narcotrafic — resurgit à chaque texte sécuritaire, et l'engagement du gouvernement vaut « jusqu'à la fin de la session parlementaire » : une sanctuarisation politique, pas juridique. Le calendrier compte : plus la transposition traîne, plus l'amende européenne se rapproche.