- La directive européenne NIS 2, adoptée en 2022, oblige les États membres à imposer des règles de cybersécurité à leurs administrations et à leurs entreprises critiques. Elle devait être transposée en droit national avant le 17 octobre 2024.
- La France a déposé son texte de transposition — le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité — au Sénat le 15 octobre 2024, deux jours avant l'échéance, avec engagement de la procédure accélérée.
- Ce texte transpose en réalité trois directives d'un coup : REC (résilience des entités critiques), NIS 2 (cybersécurité) et DORA (secteur financier).
- Il fait passer le nombre d'organisations soumises à des obligations de cybersécurité d'environ 300 sous NIS 1 à plus de 15 000, dans dix-huit secteurs — dont près de 1 000 intercommunalités et 300 communes de plus de 30 000 habitants.
- Le 9 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France pour défaut de transposition, en demandant des sanctions financières. La France fait partie des quatre derniers États concernés, avec l'Espagne, l'Irlande et les Pays-Bas.
- Le 14 août 2026, la direction générale des finances publiques (DGFiP) a annoncé qu'au moins 678 000 particuliers et professionnels avaient vu leurs données fiscales détournées de son système d'information.
Le projet de loi censé renforcer la cybersécurité de l'État français n'a jamais été examiné dans l'hémicycle de l'Assemblée nationale. Adopté par le Sénat le 12 mars 2025, transmis aux députés le lendemain, il a été travaillé pendant six mois par une commission spéciale qui a déposé son rapport le 10 septembre 2025. Depuis, il attend. Onze mois plus tard, alors que la DGFiP annonce le détournement des données fiscales de 678 000 contribuables et que Sébastien Lecornu réunit une cellule interministérielle de crise, le texte n'a toujours pas été inscrit à l'ordre du jour de la séance publique.
Le seul vote public sur ce texte a eu lieu au Sénat — et il porte sur le chiffrement
Dans les deux chambres, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité n'a donné lieu qu'à un seul scrutin public. Il s'est tenu au Sénat dans la nuit du 11 au 12 mars 2025, et il portait sur un amendement du sénateur centriste Olivier Cadic insérant un article additionnel après l'article 16.
Cet amendement a été adopté par 181 voix contre 134. Il est devenu l'article 16 bis du texte : l'interdiction d'imposer aux fournisseurs de messageries chiffrées l'installation de « portes dérobées », ces accès techniques qui permettent de déchiffrer les communications. Olivier Cadic justifiait sa proposition par un précédent américain : des dispositifs d'écoute légale installés chez des opérateurs télécoms avaient été exploités par des pirates informatiques pour compromettre des millions de communications.
Le clivage est net et il ne recoupe pas la frontière habituelle majorité-opposition : la gauche (socialistes, communistes, écologistes), la majorité des centristes de l'Union centriste et les indépendants ont voté pour ; les Républicains ont voté contre presque en bloc ; le groupe des Indépendants — République et Territoires s'est abstenu en totalité.
À l'Assemblée : 505 amendements en commission, puis plus rien
Les députés se sont saisis du texte avec sérieux. Une commission spéciale a été constituée et a examiné 505 amendements déposés entre le 27 août et le 9 septembre 2025 par 157 parlementaires différents. Elle en a adopté 244 — près d'un sur deux. Le graphique ci-dessous ne retient que les 357 amendements dont l'auteur est un député rattaché à un groupe ; les 148 autres émanent du gouvernement, du rapporteur ou de la commission elle-même, et ont fourni 123 des 244 adoptions.
Le taux d'adoption raconte le rapport de force en commission : 61 amendements adoptés sur 79 pour EPR, 16 sur 29 pour les socialistes, mais 1 sur 48 pour le Rassemblement national et 1 sur 21 pour la Gauche démocrate et républicaine. Le travail a été fait. Il n'a simplement jamais été soumis au vote de l'Assemblée.
« Chaque semaine, le gouvernement est victime de piratages et de fuites de données massives, au point de mettre en danger nos concitoyens : je ne vous fais pas confiance pour prendre des décisions aussi lourdes, madame la ministre ! »
Cette intervention date du 21 juillet 2026, trois semaines avant la révélation du piratage de la DGFiP.
Le point de blocage porte un numéro : article 16 bis
Le texte est décrit comme consensuel par ses promoteurs, et pourtant il ne vient pas. La raison tient à l'article issu du vote sénatorial. Selon Olivier Cadic lui-même, la direction générale de la sécurité intérieure fait pression pour que l'interdiction des portes dérobées soit retirée avant l'examen en séance : les services de renseignement veulent conserver la possibilité d'accéder aux messageries chiffrées. Tant que l'arbitrage n'est pas rendu, le gouvernement n'inscrit pas le texte.
La trace de cet affrontement est visible dans la base des amendements. En commission spéciale, deux amendements seulement touchaient au chiffrement, tous deux à l'article 16 bis : l'un d'Aurélien Lopez-Liguori (RN), l'autre d'Éric Bothorel (EPR) — deux députés que tout sépare par ailleurs, et qui défendaient l'un comme l'autre la protection du chiffrement. Les deux ont été rejetés.
« Avec parfois le sentiment de prêcher dans le désert, voilà plus de cinq ans que j'alerte sur l'obligation dans laquelle nous nous trouvons d'assurer notre souveraineté numérique et notre autonomie stratégique face à l'allié américain. »
La DGFiP avait elle-même prévenu, six mois avant
Le 26 février 2026, en séance publique, le député Daniel Labaronne lisait à ses collègues la réponse écrite que la direction générale des finances publiques avait adressée aux parlementaires sur un projet d'élargissement de l'accès à ses fichiers. L'administration fiscale y décrivait très précisément le risque qui s'est matérialisé six mois plus tard.
« Autre argument de la DGFiP : "Dans un contexte de cyberattaques fréquentes contre les grandes bases de données, ces informations deviendraient une cible privilégiée pour les pirates, avec des risques accrus d'escroquerie." »
Ce que le texte prévoit
Pendant ce temps, les questions parlementaires s'accumulent
Depuis le début de la XVIIe législature, les députés ont déposé 80 questions écrites portant sur la cybersécurité. 40 ont reçu une réponse — exactement la moitié. Le 28 juillet 2026, deux semaines avant la révélation du piratage du fisc, le député Jean-Luc Warsmann (LIOT) en déposait trois le même jour, dont l'une intitulée « Cybersécurité et responsabilité des hauts fonctionnaires » et une autre sur la fuite de données de France Travail. Aucune n'a reçu de réponse à ce jour.
Où en est le dossier aujourd'hui
La session ordinaire reprend le 1er octobre 2026, mais le gouvernement peut inscrire le texte dès la rentrée de septembre s'il en fait le choix. Vous pouvez suivre l'avancement du projet de loi résilience et cybersécurité sur sa fiche dédiée, retrouver le détail nominatif du scrutin sénatorial sur le chiffrement, et écrire à votre député pour lui demander où il se situe sur l'article 16 bis : chaque fiche de parlementaire comporte un bouton de contact direct.
