Séance du lundi 9 novembre 2026

La séance est ouverte.

L’ordre du jour appelle la discussion du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (n os  1112, 1779).

La parole est à Mme la ministre déléguée chargée de l’intelligence artificielle et du numérique.

Je suis très heureuse d’être devant vous pour l’examen du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit projet de loi « résilience ». Ce texte revêt une signification particulière pour moi puisque, l’an dernier, siégeant comme députée, j’avais été désignée rapporteure sur son titre II. Je me réjouis de le voir poursuivre son parcours législatif et je remercie Vincent Thiébaut d’avoir pris le relais en tant que rapporteur. L’examen de ce projet de loi très attendu intervient dans un contexte particulier, celui d’une menace cyber plus intense que jamais. Les récentes attaques contre les installations frigorifiques ont directement visé notre économie et nos chaînes d’approvisionnement, avec des répercussions concrètes sur le quotidien des Français. La menace cyber est désormais une réalité que nul ne peut ignorer. Face à elle, la cybersécurité n’est plus un sujet de techniciens mais l’affaire de tous : elle est devenue la clé de voûte de la résilience de notre économie et  de la protection des citoyens ainsi que des données qu’ils nous confient. Face à l’intensification de la menace, le gouvernement est à l’œuvre pour renforcer la sécurité numérique de l’État. En janvier dernier, j’ai présenté au nom du premier ministre la stratégie nationale de cybersécurité 2026-2030, qui vise à doter la France d’une résilience cyber de premier rang, grâce à des objectifs stratégiques clairs et à des mesures concrètes déclinées à tous les niveaux, des entités nationales les plus critiques aux PME, en passant par la filière cyber et par le simple citoyen. Parmi ces mesures figurent la création d’un portail national de la cybersécurité du quotidien et le déploiement de la directive concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union européenne (NIS 2). Le 30 avril dernier, le premier ministre a annoncé des mesures fortes et il a, pour la première fois, rendu publique la feuille de route des efforts prioritaires de sécurité numérique de l’État, déclinée en quarante actions. Il a demandé l’accélération de la sécurisation numérique des administrations, sur laquelle il exercera un suivi direct. Les ministères devront en outre allouer aux dépenses de cybersécurité 5 % de leurs budgets numériques dès 2027, avec un objectif de 10 % en 2030. À la suite de la cyberattaque ayant touché la direction générale des finances publiques (DGFIP), le premier ministre a souhaité que nous allions plus vite et plus loin, avec des mesures priorisées et des échéances resserrées. À travers l’opération Réponse et action interministérielle face aux violations de données (Reactive), l’Agence nationale de la sécurité des systèmes d’information (Anssi) a intensifié son assistance aux ministères pour mettre en œuvre immédiatement des mesures de sécurisation. Par ailleurs, 200 millions d’euros ont été mobilisés dans le cadre de France 2030. Si l’État s’engage – et continuera de le faire – pour renforcer son niveau de cybersécurité, la réalité est que toutes les organisations – l’État mais aussi les entreprises et les collectivités territoriales – doivent désormais intégrer le risque cyber et prendre des mesures concrètes pour s’en protéger. Dans ce cadre, le projet de loi « résilience » constitue un levier essentiel pour le renforcement de la résilience nationale et le passage à l’échelle de la cybersécurité. Ce texte, nous en sommes tous convaincus, est plus que nécessaire. Je tiens à remercier le travail mené par Mme et MM. les rapporteurs et par la commission spéciale. Bien que le gouvernement n’ait pas participé aux travaux de celle-ci l’an dernier, son intention est de poursuivre les discussions sur la base du texte qu’elle a adopté. Le projet de loi transpose trois textes européens – la directive sur la résilience des entités critiques (REC), la directive NIS 2 et la directive associée au règlement européen sur la résilience opérationnelle numérique du secteur financier (Dora) –afin de renforcer la résilience de la nation et de l’économie. La directive REC vise à actualiser le dispositif de sécurité des activités d’importance vitale. Elle concerne donc la sécurité des infrastructures critiques de notre nation. La directive NIS 2 prévoit les obligations et mesures de cybersécurité pour plus de 18 000 entités dans dix-huit secteurs critique et hautement critique, tels que l’énergie, la santé, les transports, ou encore les technologies de l’information et de la communication. Pour mémoire, la France impose des obligations aux opérateurs d’importance vitale (OIV) pour leurs systèmes critiques depuis la loi de programmation militaire (LPM) de 2013. Ces obligations ont été étendues aux opérateurs de services essentiels par la directive NIS 1, avant que NIS 2 n’opère un changement d’échelle : ce sont désormais 18 000, voire 20 000 organisations qui seront soumises à des obligations nouvelles en matière de gestion des risques, de sécurisation des sous-traitants, de notification des incidents et de responsabilité des dirigeants, le tout sous le contrôle de l’Anssi. Enfin, le règlement Dora et la directive qui lui est associée constituent la lex specialis de NIS 2 pour la gestion du risque et des incidents dans le secteur financier. Il permettra de renforcer sa résilience opérationnelle numérique, dans un contexte de dépendance croissante des acteurs financiers aux systèmes d’information et aux prestataires technologiques. Sans aborder ici le détail des amendements dont nous débattrons dans les prochaines heures, permettez-moi d’expliciter les lignes de force de la position du gouvernement. Ce texte a pour finalité première de renforcer le cadre d’obligations s’imposant aux entreprises en matière de cybersécurité, via la transposition de trois directives européennes. Ce faisant, il doit permettre tant la simplification du cadre réglementaire cyber français, en réduisant le millefeuille réglementaire actuel, que l’harmonisation européenne des exigences et obligations pour les entités. Il doit enfin garantir une approche proportionnée à la taille des entités et aux menaces auxquelles elles sont exposées. Le gouvernement appelle à ne pas se tromper de débat et à ne pas transformer l’examen de ce texte sur la cybersécurité en discussion sur la souveraineté numérique de notre pays ou sur la commande publique. Si ces débats sont légitimes – j’en suis la première convaincue –, ma conviction est qu’il est indispensable, cette semaine, de placer notre pays en conformité avec nos engagements européens en matière de cybersécurité. Hormis quelques articles spécifiques, le texte vise la transposition des directives REC, N1S 2 et Dora, avec une ligne claire : pas de surtransposition ! Le texte doit être fidèle aux directives qu’il transpose. Surtransposer, c’est faire cavalier seul plutôt que jouer en Européen, complexifier au lieu de simplifier les normes et introduire des distorsions de concurrence, ce qui, bien souvent, revient à pénaliser nos entreprises du fait des impacts économiques. Nous ne voulons pas de cela ! Pour conclure, je veux redire ma conviction que ce projet de loi constitue un véritable changement de paradigme en matière de cybersécurité aussi bien pour les entreprises, auxquelles il impose la sécurisation, que pour la filière française de cybersécurité, qui devra accompagner cette mise en conformité, pour l’Anssi, dont les pouvoirs de contrôle seront renforcés, et, enfin, pour l’ensemble de la nation, dont la résilience se trouvera renforcée. Ce projet de loi envoie surtout un signal fort à de nombreux acteurs. Aux entreprises, il dit que la protection de leurs systèmes d’information et la continuité de leurs activités relèvent de leur responsabilité et il renforce les exigences en la matière. À leurs dirigeants, il dit que la cybersécurité n’est plus une question technique réservée aux experts mais une responsabilité stratégique, qu’il nous faut collectivement prendre à bras-le-corps. Aux citoyens, il dit que leur sécurité, celle de leurs données et celle de leurs services publics dépendent de notre capacité collective à anticiper la menace et à y résister. ( Mme   Marie-Agnès Poussier-Winsback applaudit.)

La parole est à M. Éric Bothorel, rapporteur général de la commission spéciale chargée d’examiner le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité.

Tout bon livre doit savoir provoquer l’attente. Lire, c’est attendre la suite. Or s’il n’est pas un bon livre – loin de là –, le projet de loi « résilience » a indéniablement su provoquer l’attente. Nous avons attendu patiemment la suite ! Il y a plus d’un an en effet que la commission spéciale a fini ses travaux préparatoires sur ce texte de transposition du nouveau cadre européen de cybersécurité, issu des directives REC – qui protège la continuité des services essentiels face aux menaces physiques et cyber – et NIS 2 – qui élève le niveau de cybersécurité de dix-huit secteurs d’activité, avec des obligations de gestion des risques, de formation des dirigeants et de notification des incidents – et du règlement Dora, directement applicable, qui fait de même pour le secteur financier, prévoyant notamment une notification des incidents sous 24 heures. Un an d’attente, ce n’est pas rien ! Cela aura juste permis d’acculturer nos concitoyens aux risques cyber. À cet égard, il conviendrait presque de remercier celles et ceux – russes, français ou autres –, qui ont occupé ces douze derniers mois. En octobre 2025, le groupe de cybercriminels Qilin a paralysé près de 200 lycées des Hauts-de-France. Puis, au premier semestre 2026, nos administrations publiques ont été frappées : l’Office français de l’immigration et de l’intégration (Ofii), avec 2,1 millions de dossiers volés ; l’Urssaf, avec 12 millions de personnes exposées ; l’Agence nationale des titres sécurisés (ANTS), avec 18 millions de comptes mis en vente. Vinrent ensuite ÉduConnect, dont les données concernent 3,5 millions d’élèves, et 1,2 million de comptes bancaires du fichier national des comptes bancaires et assimilés (Ficoba). Avec une belle régularité, France Travail a subi au moins cinq cyberattaques majeures depuis 2023. Enfin, cet automne, dans un teasing parfait, nous avons connu une sorte de feu d’artifice puisque les frigos de centaines de supermarchés ont été piratés et leurs chambres froides portées à + 50°C, tandis que l’Établissement français du sang (EFS) était victime d’une attaque similaire. Last but not least , le groupe Arkéa a également été attaqué la semaine dernière. La menace cyber reste élevée. En 2025, l’Anssi a recensé 1 366 incidents confirmés, contre 1 361 en 2024. Cette stabilité concerne les incidents connus de l’agence : dans ce périmètre, 34 % affectent l’éducation et la recherche, 24 %, les ministères et collectivités et 10 %, la santé. Dix collectivités viennent d’être, à raison, sanctionnées par la Commission nationale de l’informatique et des libertés (Cnil). Le vol de données et le chantage à leur divulgation progressent, parfois sans chiffrement des systèmes. Les rançongiciels restent néanmoins une menace importante : 128 compromissions ont été portées à la connaissance de l’Anssi en 2025. Les accès reposent sur des vulnérabilités techniques, des identifiants volés ou des prestataires compromis. Pare-feux et réseaux privés virtuels (VPN) exposés sur Internet restent particulièrement ciblés, certaines failles étant exploitées avant la disponibilité d’un correctif. Les interconnexions permettent ensuite de progresser d’un prestataire vers ses clients. Le cas de la DGFIP, documenté en septembre 2026, montre les limites de l’expression « faille humaine » : vols d’identifiants, absence d’authentification forte, cloisonnement insuffisant et lacunes de détection se sont combinés. Si nous sommes les plus attaqués, ce n’est pas parce que nous sommes les moins préparés à faire face à ces attaques : c’est parce que la Russie et ses proxys considèrent que la France joue un rôle majeur dans la résistance à ses stratégies d’invasion ; c’est parce que notre action publique « façon puzzle » offre une surface d’attaque massive ; c’est parce que, depuis le covid, nous avons basculé dans une économie numérique et à distance. Toutefois, depuis 2017, sous l’impulsion du président de la République et des gouvernements successifs, nous sommes montés en compétences, en puissance et en moyens sur la cybersécurité. Avec le campus cyber national et les campus cyber régionaux, avec l’Anssi, dont les effectifs de spécialistes sont passés de 120 à 560 agents, avec la direction générale de la sécurité intérieure (DGSI) et l’Office anti-cybercriminalité (Ofac), nous sommes loin d’être désarmés ! Il faut aussi mentionner la création section spécialisée J3 du parquet de Paris. J’en profite pour adresser un salut presque paternel à tous ces jeunes qui s’essaient au hacking non éthique : ils finiront vite devant l’équipe de la cybercombattante Johanna Brousse. Pour ces apprentis pirates, le seul serveur qui répond toujours est celui du parquet de Paris ! La montée en compétences et en moyens passe aussi par cybermalveillance.gouv.fr – dont je salue le directeur général, Jérôme Notin, et ses équipes – MonAideCyber et SensCyber, qui proposent des dispositifs gratuits pour les victimes et les structures. En matière de sécurité informatique, aucun système n’est imprenable. Les défenses érigées comme des lignes Maginot finissent immanquablement par être brisées. Il nous faut pourtant augmenter jour après jour nos capacités de défense. En la matière, l’excès de prudence ne peut nuire ! C’est ce que nous allons faire ces prochains jours : aider la France à se défendre sans nous tromper de débat. Il ne s’agit pas de rendre nos entreprises plus souveraines par la loi – chacun sait que c’est un vœu pieux. Près d’un tiers des amendements vont au-delà des directives européennes en vigueur ou tendent à insérer dans le texte des dispositions qui lui sont étrangères, et plus d’une quarantaine ont trait à des sujets qui font actuellement l’objet de négociations à Bruxelles. La surtransposition fragmenterait le marché intérieur, imposerait d’adresser une notification à la Commission européenne et retarderait l’adoption, pourtant nécessaire, de ce texte qui renforcera la sécurité et la résilience des administrations, des collectivités et des entreprises. Un bon livre crée l’attente, mais la cybersécurité n’est pas un feuilleton : les attaquants ne nous attendent pas. Ils ne connaissent ni la navette parlementaire ni les notifications à envoyer à Bruxelles. Alors cessons de débattre de ce qui ne figure pas dans le texte – ou de ce qui, comme l’article 16 bis , n’aurait jamais dû y figurer, car il s’agit d’un cavalier législatif dont l’adoption menacerait nos capacités d’enquête, comme plusieurs d’entre nous ont pu le constater lorsqu’ils ont échangé avec des femmes et des hommes de l’Agence nationale des techniques d’enquêtes numériques judiciaires (AntenJ) la semaine dernière. Ce texte protège : adoptons-le maitenant. (Applaudissements sur les bancs du groupe HOR. – M. le président de la commission spéciale et Mme Patricia Lemoine applaudissent également.)

La parole est à Mme Catherine Hervieu, rapporteure de la commission spéciale pour le titre I er .

En tant que rapporteure pour le titre I er du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, je remercie l’ensemble des députés qui se sont mobilisés pour participer aux travaux que la commission spéciale a entamés il y a un an et demi. Nous avons adopté ce texte en septembre 2025, sans gouvernement, et nous voici à la fin de l’année 2026. Je regrette – je sais n’être pas la seule – que le gouvernement ait tardé à inscrire l’examen du texte à l’ordre du jour. Le titre I er tire les conséquences de la directive européenne sur la résilience des entités critiques (REC), qui aurait dû être transposée avant le 17 octobre 2024. En juillet dernier, la Commission européenne a annoncé qu’elle renvoyait la France devant la Cour de justice de l’Union européenne (CJUE). Cela risque de coûter à l’État plus de 10 millions d’euros. Surtout, nous prenons du retard dans la préparation du pays à la résilience, du point de vue de la défense nationale et de notre protection globale. La France est un des derniers États membres de l’UE à n’avoir pas achevé cette transposition. Compte tenu de la position que nous affichons s’agissant de la défense et de la protection de nos intérêts, nous devrions pourtant être exemplaires. Il y a donc urgence à agir. L’actualité nous le rappelle : nous avons observé des cyberattaques visant nos entreprises, nos collectivités, nos concitoyens. Dernièrement, ce sont les systèmes de régulation frigorifique de plusieurs enseignes de distribution qui ont été touchés : un changement de température provoqué à distance a entraîné la perte de stocks de nourriture considérables. Ces sabotages ont pour but de tester notre résilience et de faire vaciller la confiance des citoyens envers l’État. Alors préparons-nous ! Cette préparation dépendra des moyens financiers et humains que nous allouerons à l’accompagnement des acteurs concernés. La culture de la résilience et de la cybersécurité doit se diffuser auprès des décideurs économiques, financiers, administratifs et politiques. Il y va de notre responsabilité : lorsque nous en avons les moyens, nous nous devons d’être irréprochables. En adoptant ce texte, nous assumerons notre responsabilité en renforçant la résilience des opérateurs d’importance vitale (OIV). En son titre I er , il tend  en effet à renforcer le dispositif de sécurité des activités d’importance vitale en garantissant la protection des sites sensibles essentiels au potentiel économique et militaire de la nation. Ce texte introduira dans notre droit la notion de continuité de l’activité, qui guidera l’ensemble des plans établis par les opérateurs. Les entités devront signaler tout incident à l’autorité administrative. Une astreinte pourra être imposée aux opérateurs publics et privés qui refusent de satisfaire à leurs obligations. Le contrôle de l’accès aux sites, y compris à distance, sera également renforcé. Enfin, pour plus d’efficacité, un nouveau régime de sanctions administratives sera établi. Des missions de conseil de la Commission européenne pourront aider les entités critiques à se mettre en conformité. La commission spéciale a enrichi le dispositif par l’adoption de plusieurs amendements. L’analyse des dépendances a été élargie aux sous-traitants, ce qui était indispensable pour assurer la résilience des opérateurs. Les sous-traitants constituent des cibles vulnérables pour les services de renseignement étrangers désireux de mener contre nos intérêts des actions d’intelligence économique ou encore de sabotage. Un avis de la Cnil garantira la conformité des autorisations d’accès avec le règlement général sur la protection des données (RGPD). La nomination par le premier ministre de personnalités qualifiées au sein de la commission des sanctions assurera la compétence de ces personnalités, tandis que le caractère non renouvelable du mandat des membres de la commission garantira leur indépendance. L’enjeu est à présent de voter le titre I er sans dénaturer le dispositif. En tant que rapporteure, je serai défavorable à tout amendement qui ne concerne pas la sécurité des activités d’importance vitale : il est important que chaque titre conserve sa cohérence et ne soit pas surchargé de dispositions annexes. À l’inverse, je m’opposerai à toute remise en cause, notamment sous l’influence de groupes de pression, des obligations auxquels sont assujettis les opérateurs. Ma seule exigence est d’ajouter le critère environnemental à ceux que prendra en compte l’analyse des vulnérabilités menée par les opérateurs. Nous avons de grands défis à relever, qui sont intrinsèquement liés, dans les domaines climatique, de la défense et du numérique. Penser l’un sans les autres relèverait de l’erreur stratégique. Chacun constate que les phénomènes environnementaux et climatiques font peser des risques croissants sur la continuité des activités d’importance vitale. Il nous revient de refermer ce chapitre en votant ce texte tant attendu par les acteurs concernés. Il s’agit de nous mettre en conformité avec le droit européen autant que de renforcer la résilience de la nation. (Applaudissements sur les bancs des commissions.)

La parole est à M. Vincent Thiébaut, rapporteur de la commission spéciale pour le titre II.

En transposant la directive NIS 2, le titre 2 de ce projet de loi répond à une indéniable réalité : la cybermalveillance menace la continuité de la vie économique et sociale de notre pays. Les hôpitaux, contraints de déprogrammer leurs soins après avoir subi des attaques informatiques, tout comme les collectivités territoriales qui ont perdu plusieurs années l’accès à leurs fichiers d’état civil ou de paie, peuvent en témoigner. Les cyberattaques frappent fort, et sans prévenir. L’actualité nous le rappelle : il y a moins d’un mois, une cyberattaque d’ampleur a touché les frigos de plusieurs centaines de supermarchés, ce qui a entraîné la destruction de stocks de produits frais et surgelés. Et je ne reviens pas sur les différentes cyberattaques qui ont visé nos administrations. Or notre droit actuel ne suffit pas à faire face à l’ampleur des risques que nous encourons. En effet, il n’encadre et ne surveille à ce jour la cybersécurité que de 500 opérateurs. Grâce à l’adoption du titre II, que j’appelle de mes vœux, le périmètre d’encadrement et de surveillance des entités s’élargira à plus de 15 000 opérateurs ainsi qu’à leurs sous-traitants. Je retiens dans ce titre quatre avancées principales. D’abord, le texte confie à l’Anssi l’application et le contrôle de la politique de sécurité des systèmes d’information ; le premier ministre élaborera une stratégie nationale de cybersécurité. Deuxièmement, il distingue deux catégories d’entités : les entités essentielles et les entités importantes. En fonction de leur secteur et de leur taille, les grandes collectivités en feront notamment partie – ainsi des régions, départements, communes de plus de 30 000 habitants, communautés d’agglomération et métropoles. Troisièmement, ces entités devront prendre des mesures de gestion des risques, que leurs organes de direction devront approuver et dont ils auront à répondre. Il leur reviendra également de notifier à l’Anssi les incidents importants qui les auront affectées. Enfin, le texte organise l’efficacité et l’opérationnalité de ce changement d’échelle en prévoyant des mesures de contrôle et d’exécution ainsi que le prononcé de sanctions par une commission indépendante. Les amendes pourront atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles. Pour les entités importantes, elles pourront atteindre 7 millions d’euros ou 1,4 % du chiffre d’affaires. Quant aux collectivités, elles n’encourront pas d’amende, car la puissance publique ne peut s’infliger à elle-même une sanction pécuniaire. Je donnerai pour finir des précisions sur trois éléments, qui ont constitué ma boussole tout au long de mon travail de rapporteur, dans la continuité de celui de ma prédécesseure Anne Le Hénanff. D’abord, ce texte n’a pas trait à la souveraineté numérique. Je partage votre attachement à cet objectif, mais l’article 7 de la directive NIS 2 définit une stratégie de cybersécurité, et c’est cette directive qu’il nous appartient de transposer. Le sujet de souveraineté numérique mérite un débat propre ; il ne doit pas brouiller l’examen du texte. Ensuite, ce titre ne vise pas seulement à transposer une directive : il comporte des dispositions nouvelles. Par exemple, l’article 38 tend à moderniser le régime de déclaration des moyens de cryptologie. De même, l’article 42 réforme le régime des assignations de fréquences satellitaires déclarées par la France auprès de l’Union internationale des télécommunications (UIT). Ces articles répondent à des besoins réels et méritent leur place dans le titre II. À l’inverse, l’article 16 bis , introduit en commission, n’a pas de lien avec le texte et son adoption entraverait l’usage des techniques de renseignement et d’enquête autorisées sous le contrôle d’un magistrat. Je soutiendrai donc sa suppression. Enfin, nous avons combattu la surtransposition et je continuerai de le faire en séance. Chaque obligation non prévue par le droit européen que nous ajouterons pèsera sur les seuls acteurs français, sans qu’il soit démontré qu’elle contribue à mieux assurer la sécurité. Je vous proposerai donc par exemple de retirer les éditeurs de logiciels de la liste des entités essentielles, ou encore de soumettre les établissements de santé et les établissements médico-sociaux qui délivrent des soins au seuil de droit commun et d’exclure ceux qui n’en délivrent pas du champ d’application de la mesure. Pour les mêmes raisons, j’émettrai un avis défavorable sur les amendements qui tendent à créer des secteurs ou des obligations sans se fonder sur la directive. Le titre II élèvera le niveau de sécurité du pays sans pénaliser les entreprises ni accabler les collectivités. Il doit aussi rester applicable par une Anssi qui verra son périmètre multiplié par trente. Et, puisqu’il ne fait guère de doute que nous aborderons malgré tout le thème de la souveraineté, permettez-moi de souligner que nous nous apprêtons à débattre pendant plusieurs jours dans cet hémicycle tout en consultant WhatsApp et Telegram ! (Mme Marie-Agnès Poussier-Winsback applaudit.)

Et Signal !

La parole est à M. le président de la commission spéciale.

Je ne rappellerai pas le contexte, déjà longuement abordé et que les orateurs de groupe retraceront certainement. Ouf ! Enfin ! Ce n’est pas trop tôt ! Que n’a-t-on entendu depuis que ce texte est arrivé à l’Assemblée nationale il y a un an et demi et qu’il attend d’être présenté dans l’hémicycle ! Extraordinairement attendu, il prévoit une transposition qui aurait dû avoir lieu avant le 17 octobre 2024. Les entités attendent cette transposition pour s’y conformer – ce qui relève au passage de l’erreur de droit puisqu’elles auraient dû l’appliquer dès le 17 octobre 2024. Je remercie Mme la ministre d’avoir cherché à plusieurs reprises à favoriser l’inscription de l’examen du texte à l’ordre du jour. Je sais qu’il était compliqué de lui trouver une place dans l’agenda mais, après un an et demi, nous allons enfin pouvoir l’adopter ! Je le dis tout de suite : ce texte ne se résume pas à l’article 16 bis . Nous verrons ce qu’il en est demain à 16 h 30, et le gouvernement aura l’occasion de s’exprimer. S’il renonce à porter atteinte au chiffrement de bout en bout, nous trouverons certainement un chemin et pourrons alors annoncer la suppression de cet article. Le présent texte est important : il protégera nos organisations et nos concitoyens, qui l’attendent. Je voudrais néanmoins souligner trois points de désaccord qui subsistent à la suite de l’examen en commission spéciale. Le premier a trait au référentiel cyber France (Recyf) de l’Anssi et au choix de ne pas se référer au référentiel ISO 27001. Une entité certifiée ISO 27001 devrait être conforme à la directive NIS 2 sous réserve qu’elle satisfasse à des exigences particulières – je pense à la gestion de l’ active directory . Pour les entités importantes et de petite taille, ce serait une simplification bienvenue. D’autres pays l’ont fait. Nous devons nous interroger à ce sujet, dont nous débattrons sans nul doute. Deuxième point de désaccord : la déclaration commune d’incident, évoquée en commission spéciale. Le texte prévoit trois déclarations indépendantes, assorties de délais différents, qui ont trait à des éléments communs : une déclaration à l’Autorité de contrôle prudentiel et de résolution (ACPR) ou à l’Autorité des marchés financiers (AMF), une déclaration à l’Anssi et, quand des données personnelles sont en jeu, une déclaration à la Cnil. Il serait bon, pour simplifier ces déclarations, de rendre concordants les délais et les formulaires de déclaration. Troisième point – le plus important à mes yeux : les sanctions. DGFIP, ANTS, Ficoba : tout cela a été rappelé à de nombreuses reprises. Il n’y a pas vraiment eu de sanction et ni Mme Michu, en Vendée comme partout ailleurs sur le territoire, ni les entreprises ne comprennent pourquoi aucun responsable n’a été désigné. Les entreprises sont soumises à des sanctions, mais pas les entités publiques. Dans son avis, le Conseil d’État préconise un alignement des sanctions applicables au secteurs privé et au secteur public. La sanction visant quatre hauts fonctionnaires du ministère de l’intérieur pour manquement à leur devoir, prononcée par la Cour des comptes cet été, va dans le même sens. Ce texte donne l’impression que l’État ne veut pas chercher de responsables en son sein. Cela pose un problème à la plupart de nos concitoyens et aux entreprises.

La parole est à M. le président de la commission spéciale, pour soutenir l’amendement n o  118.

Il tend à inscrire dans le texte que la commission des sanctions comprend « un représentant du ministère compétent du secteur d’activité auquel appartient l’entité pour laquelle la commission est saisie ». Historiquement, en France, ce sont les ministères compétents pour les secteurs d’activité qui désignent les OIV ; il est donc justifié qu’un représentant du ministère dont relève l’OIV mis en cause participe aux délibérations de la commission des sanctions. Il pourrait y apporter des éléments non techniques – par exemple, sur la politique publique –, mais aussi des éléments économiques et sociaux ; il s’exprimerait à charge et à décharge ; son rôle serait totalement neutre et susceptible d’influer sur la décision. Je sais que la commission a déjà la possibilité d’inviter un représentant des ministères ; ce que je propose, c’est de rendre sa présence obligatoire.

Quel est l’avis de la commission ?

Votre amendement pose tout de même un problème, car il conduirait à ce qu’un représentant du ministère puisse être à la fois régulateur et juge. C’est contraire au principe de séparation des fonctions d’enquête et de sanction, et cela remettrait en cause l’impartialité de la commission. Nos discussions montrent bien que nous devons être très vigilants. Cette impartialité de la commission des sanctions me paraît indispensable ; elle structure le texte et sert les objectifs que nous partageons. Avis défavorable.

Quel est l’avis du gouvernement ?

Défavorable également. La commission des sanctions peut entendre toute personne qu’elle juge utile ; intégrer obligatoirement un représentant du ministre coordonnateur ayant voix délibérative pourrait en effet être considéré comme contraire au droit au procès équitable, puisque le ministre coordonnateur intervient nécessairement dans la procédure de saisine de la commission : il deviendrait alors juge et partie.

La parole est à M. Sébastien Saint-Pasteur, pour soutenir l’amendement n o  79.

Il y a plusieurs façons de rejoindre cet hémicycle ; l’une d’elles nous fait passer devant la statue de Montesquieu. Que nous dirait Montesquieu s’il était parmi nous ? Que, « pour qu’on ne puisse abuser du pouvoir, il faut que, par la disposition des choses, le pouvoir arrête le pouvoir ». Par cet amendement, je propose tout simplement de partager le droit de nomination des membres de la commission entre le gouvernement, l’Assemblée nationale et le Sénat, afin que ce pouvoir soit mieux réparti et que cette commission soit peut-être un peu plus indépendante.

Quel est l’avis de la commission ?

Défavorable.

Quel est l’avis du gouvernement ?

Défavorable également. La commission spéciale de l’Assemblée nationale est revenue sur la composition de la commission des sanctions, qui avait été modifiée au Sénat. Cette commission est amenée à se prononcer sur des dossiers à fort enjeu technique et opérationnel ; prévoir une désignation par de si hautes personnalités est disproportionné. L’indépendance et l’impartialité des membres de la commission sont déjà garanties sur le plan procédural ; elles ont d’ailleurs été renforcées par la commission spéciale, qui a prévu que le mandat des membres ne soit pas renouvelable.

La parole est à M. le président de la commission spéciale.

À titre personnel, je soutiendrai cet amendement. Dans les autorités administratives indépendantes, certaines nominations sont faites par l’exécutif ; d’autres, par l’Assemblée nationale et le Sénat. Nous évoquions avec le rapporteur général le collège de l’Arcep, dont la technicité n’empêche pas que des membres soient nommés par la présidente de l’Assemblée nationale et par le président du Sénat. Nous pourrions donc envisager que la nomination des membres de la commission des sanctions ne soit pas uniquement à la main de l’exécutif – qui plus est sans le contrôle des trois cinquièmes –, mais revienne aussi aux présidents des deux chambres.

Sur le vote de l’amendement n o  9, je suis saisie par le groupe La France insoumise-Nouveau Front populaire d’une demande de scrutin public. Le scrutin est annoncé dans l’enceinte de l’Assemblée nationale. La parole est à M. Sébastien Saint-Pasteur.

Au-delà de la question technique se pose une question symbolique : nous avons eu à débattre dans cet hémicycle de nominations décidées par le gouvernement. L’enjeu est tout de même important, et ce serait une manière d’apaiser les choses. J’invite mes collègues à défendre le parlementarisme.

Je mets aux voix l’amendement n o  79.

Voici le résultat du scrutin :         Nombre de votants                        48         Nombre de suffrages exprimés                45         Majorité absolue                        23                 Pour l’adoption                22                 Contre                23

La parole est à M. Arnaud Saint-Martin, pour soutenir l’amendement n o  9.

Je propose de renforcer l’impartialité de la commission des sanctions en écartant le risque de conflit d’intérêts pour ses membres. Il serait impensable que les personnes chargées de sanctionner des entités ayant manqué à l’application des normes de sécurité aient fréquenté ces mêmes entités dans les années qui précèdent. Garantir l’indépendance du contrôle exercé par cette commission suppose de la protéger du pantouflage, qui sévit hélas trop souvent.

Quel est l’avis de la commission ?

Défavorable.

Quel est l’avis du gouvernement ?

Défavorable.

Je mets aux voix l’amendement n o  9.

Voici le résultat du scrutin :         Nombre de votants                        48         Nombre de suffrages exprimés                36         Majorité absolue                        19                 Pour l’adoption                14                 Contre                22

Je suis saisie de trois amendements identiques, n os  262, 175 et 186. La parole est à Mme la ministre déléguée, pour soutenir l’amendement n o  262.

Il vise à ce que la convocation à l’audition devant la commission des sanctions informe la personne de son droit de se taire.

Les amendements identiques n os  175 de Mme la rapporteure et 186 de M. le rapporteur général sont défendus. La parole est à M. Alexandre Sabatou.

Je ne comprends pas très bien ces amendements : j’ai l’impression qu’ils visent à déresponsabiliser quelque peu les acteurs alors qu’ils ont droit à un avocat, qu’ils peuvent se renseigner sur leurs droits et que l’information leur sera donnée par ailleurs. Je ne vois pas du tout l’intérêt de l’inscrire dans la loi ; je trouve au contraire que cela envoie un mauvais signal.

La parole est à M. le président de la commission spéciale.

Il s’agit simplement de clarifier les choses en inscrivant dans la loi la jurisprudence en vigueur – que nous appliquons déjà à la Cnil, à l’Arcep et à l’Autorité de régulation de la communication audiovisuelle et numérique (Arcom) : dès qu’une sanction est en jeu, il faut absolument informer la personne de son droit de se taire, à peine de nullité de la procédure. Il faut donc absolument l’inscrire dans le texte.

Je suis saisie de deux amendements identiques, n os  176 et 185. La parole est à Mme la rapporteure, pour soutenir l’amendement n o  176.

Il tend à corriger une erreur. Dans le texte adopté par la commission, la durée du mandat des personnalités qualifiées siégeant à la commission des sanctions n’est plus limitée. Nous proposons d’instaurer, pour l’ensemble des membres de la commission, un mandat de cinq ans non renouvelable – dans le respect de son impartialité.

L’amendement n o  185 de M. le rapporteur général est défendu.

Je suis saisie de plusieurs demandes de scrutin public : sur les amendements n os  15, 17 et 18, par le groupe La France insoumise-Nouveau Front populaire ; sur l’article 1 er , par le groupe Ensemble pour la République. Les scrutins sont annoncés dans l’enceinte de l’Assemblée nationale. La parole est à M. Alexandre Sabatou, pour soutenir l’amendement n o  309.

Les opérateurs d’importance vitale dépendent parfois de fournisseurs étrangers – lors de la discussion générale, j’évoquais les scanners à bagages des aéroports, essentiellement fournis par des entreprises extérieures à l’Union européenne. Le risque d’espionnage et d’exfiltration des données est évident. En 2019, nous avons pu interdire des fournisseurs de 5G susceptibles de porter atteinte à la défense nationale. De la même manière, je souhaite permettre aux opérateurs d’importance vitale d’écarter les fournisseurs étrangers lorsque l’analyse de risque fait apparaître une menace – en justifiant leur décision, afin d’éviter des exclusions abusives. C’est une mesure de bon sens pour la défense nationale, me semble-t-il.

Quel est l’avis de la commission ?

Le dispositif prévoit justement de se prémunir contre le risque d’ingérence étrangère, en évitant qu’un acteur hostile se porte candidat à des marchés publics ou à des contrats de concession et, le cas échéant, remporte le contrat. Avis défavorable.

Quel est l’avis du gouvernement ?

En complément, monsieur le député, je partage évidemment votre ambition de tendre, dans le respect du cadre européen, vers une commande publique européenne à laquelle nous œuvrons chaque jour. Sur le plan opérationnel, l’objectif est déjà traité ou en cours de traitement. Il existe des procédures dérogatoires lorsque les intérêts essentiels de l’État sont en jeu : le code de la commande publique permet notamment de passer des marchés sans publicité ni mise en concurrence lorsque le secret est exigé. Enfin, dans le cadre de la révision en cours des textes européens relatifs à la commande publique, la France défend l’introduction d’un mécanisme de préférence européenne à la main des acheteurs et des autorités concédantes. Demande de retrait ; à défaut, avis défavorable.

La parole est à M. Arnaud Saint-Martin, pour soutenir l’amendement n o  15.

Par cet amendement, le groupe LFI souhaite renforcer le contrôle exercé par l’État sur les contrats de concession relatifs à la gestion d’infrastructures critiques. La protection de la souveraineté française sur ces infrastructures implique le maintien d’une capacité d’action de la puissance publique vis-à-vis des entités privées auxquelles a été déléguée une partie de la gestion des infrastructures en question. Donner une liberté d’action à des entités privées, c’est prendre le risque de nous exposer à des dépendances stratégiques et à des failles de sécurité dans nos OIV – car oui, le secteur privé répond d’abord à la logique du profit plutôt qu’à celle des intérêts supérieurs de la nation. C’est pourquoi l’État doit conserver un contrôle effectif sur les opérateurs et les sous-traitants dans nos domaines stratégiques.

Quel est l’avis de la commission ?

Défavorable.

Quel est l’avis du gouvernement ?

Le gouvernement partage le constat, mais pas la méthode. Votre amendement porterait vraiment atteinte à la liberté du commerce et de l’industrie, de façon disproportionnée par rapport à l’objectif poursuivi : il conduirait à une ingérence de l’État dans les relations contractuelles entre une personne publique et son prestataire. Le dispositif ne paraît pas non plus conforme au droit européen, en particulier à celui du marché intérieur, puisqu’il privilégie l’établissement des activités en France. Avis défavorable.

Je mets aux voix l’amendement n o  15.

Voici le résultat du scrutin :         Nombre de votants                        53         Nombre de suffrages exprimés                38         Majorité absolue                        20                 Pour l’adoption                8                 Contre                30

Je suis saisie de deux amendements, n os  17 et 18, pouvant être soumis à une discussion commune. La parole est à M. Arnaud Saint-Martin, pour soutenir l’amendement n o  17.

Il vise à introduire des critères de souveraineté parmi ceux pris en compte par les opérateurs d’importance vitale pour attribuer leurs marchés publics. La protection de la souveraineté française sur les infrastructures critiques implique de mettre fin à notre dépendance – hélas stratégique – à l’égard de puissances étrangères, notamment des États-Unis. Le numérique en est une illustration particulièrement parlante. Dans ma circonscription, le data center Campus IA de Fouju est développé par un fonds d’investissement émirati, pour 35 milliards d’euros. Certes, l’infrastructure est située en France, mais cela ne signifie pas que nous disposions d’une souveraineté sur celle-ci, bien au contraire. C’est la même histoire avec les Gafam et X, entreprises états-uniennes qui gèrent des données dont les États-Unis peuvent revendiquer le transfert. Contrairement aux hypocrites du RN, qui parlent de souveraineté à longueur de journée mais saluent en même temps le développement de tels data centers – j’ai pu le vérifier localement –, donc qui menacent cette souveraineté dans les faits, nous voulons agir concrètement pour garantir la maîtrise souveraine française dans les secteurs stratégiques, en prenant en compte la vulnérabilité des OIV dans l’accès aux marchés publics.

La parole reste à M. Arnaud Saint-Martin, pour soutenir l’amendement n o  18.

Par cet amendement de repli précisant notre position, je propose également d’introduire des critères de souveraineté parmi ceux retenus par les OIV pour attribuer leurs marchés publics. La protection de la souveraineté française sur les infrastructures critiques implique de mettre fin à la dépendance aux puissances étrangères – j’ai évoqué le cas de Fouju.

Quel est l’avis de la commission ?

L’article 1 er du présent texte vise à introduire dans le code de la défense les articles L. 1332-20 à L. 1332-22, qui définissent les objectifs des marchés publics de sécurité et permettent aux opérateurs d’importance vitale de déroger aux règles de la commande publique afin de se prémunir de risques d’ingérence étrangère. Dans ce cadre, la structure capitalistique des soumissionnaires, leurs liens avec des compétiteurs stratégiques et la localisation géographique des données feront partie des critères retenus. Il n’apparaît donc pas nécessaire de le préciser de nouveau dans le texte. Avis défavorable.

Quel est l’avis du gouvernement ?

Défavorable.

La parole est à M. Alexandre Sabatou.

Au collègue de La France insoumise qui nous traite d’hypocrites alors que son groupe n’a voté aucun des amendements que nous avons déposés pour défendre la souveraineté nationale et la défense nationale, je répondrai que La France insoumise demande à la fois des data centers français et la décroissance, c’est-à-dire moins d’énergie. Comment alimenterez-vous alors nos centres de données, surtout si vous réduisez à peau de chagrin notre industrie nucléaire ?

Eh oui !

Nous ne sommes pas hypocrites, au contraire : nous voterons d’ailleurs en faveur de ces amendements, parce qu’ils vont dans le bon sens, celui de la souveraineté du peuple français. (Applaudissements sur les bancs des groupes RN et UDR.)

Je mets aux voix l’amendement n o  17.

Voici le résultat du scrutin :         Nombre de votants                        53         Nombre de suffrages exprimés                46         Majorité absolue                        24                 Pour l’adoption                28                 Contre                18

Je mets aux voix l’article 1 er , tel qu’il a été amendé.

Voici le résultat du scrutin :         Nombre de votants                        53         Nombre de suffrages exprimés                53         Majorité absolue                        27                 Pour l’adoption                53                 Contre                0

La parole est à M. le président de la commission spéciale.

J’avais déposé, pendant la discussion générale, un amendement à cet article, mais il a été jugé irrecevable au titre de l’article 45 de la Constitution. Il visait à appeler l’attention du gouvernement sur le fait que les réseaux de communication électronique constituent une infrastructure critique : ils ont, à plusieurs reprises, fait l’objet de sabotages sur le territoire national – on peut penser, par exemple, au sectionnement de câbles de fibre optique en avril 2022 ou à l’été 2024, mais aussi aux attaques contre des câbles sous-marins. Ces actes ont été facilités par les cartographies publiques précises de ces réseaux – artères, chambres, sites techniques –, qui sont aisément consultables. Il faudrait, sans doute dans un autre texte lié aux télécommunications, restreindre la publicité donnée à ces cartes, en donnant par exemple libre accès à une cartographie moins précise, tout en conservant le caractère public de certaines informations et les garanties qu’elles offrent. Nous pourrions éventuellement réserver leur accès aux opérateurs eux-mêmes, ou aux journalistes qui en feraient la demande, sans communiquer à ces derniers une information aussi précise qu’une carte. Nous devons faire en sorte que les cartographies établies ne servent pas à des gens malhonnêtes qui voudraient porter atteinte aux réseaux de communication. Après les réseaux de cuivre et les infrastructures ferroviaires, je ne voudrais pas que les infrastructures de télécommunication, qui sont critiques, soient également touchées.

La parole est à Mme la ministre déléguée, pour soutenir les amendements n os  267, 270 et 269 du gouvernement, qui peuvent faire l’objet d’une présentation groupée.

Il s’agit d’amendements de coordination avec la loi du 16 août 2026 actualisant la programmation militaire.

La parole est à Mme la rapporteure, pour soutenir l’amendement n o  356.

Il est rédactionnel.

La parole est à Mme la ministre déléguée, pour soutenir les amendements n os  265 rectifié, 268 rectifié et 266, qui peuvent faire l’objet d’une présentation groupée.

Il s’agit également d’amendements de coordination avec la loi actualisant la programmation militaire.

La parole est à Mme la ministre déléguée.

Je souhaitais répondre à M. Philippe Latombe à propos de la protection des infrastructures critiques. Celle-ci implique effectivement que la diffusion au public d’informations relatives aux réseaux de communication électronique soit mieux contrôlée. Cependant, plusieurs informations mentionnées dans cet amendement qui n’a pas été retenu pourraient entrer dans le champ de certains secrets en vigueur, dont celui de la défense nationale. En outre, des dispositifs existent déjà afin d’éviter la diffusion au public de telles données – je pense aux zones interdites à la captation aérienne des données, un dispositif renforcé et étendu aux données d’origine spatiale dans le cadre de la loi de 2026 actualisant la programmation militaire. Le périmètre de l’amendement que vous souhaitiez voir discuté était très large et imprécis. De plus, il aurait contredit certaines obligations légales : l’Arcep, par exemple, a l’obligation de publier des cartes précises, notamment sur le site Ma connexion internet. Enfin, il aurait affecté le cadre des enquêtes publiques et des consultations environnementales, fixé par le code de l’environnement.

La parole est à Mme la rapporteure, pour soutenir l’amendement n o  177.

Il s’agit d’un amendement de coordination avec la loi du 18 août 2026, dite Ripost, auquel la commission a donné un avis favorable.

La parole est à M. Sébastien Saint-Pasteur, pour soutenir l’amendement n o  101.

Il y a plusieurs façons de rejoindre cet hémicycle. L’une d’entre elles nous invite à passer devant la statue de Montesquieu. (Sourires.) Que nous dirait-il sur l’article 5 ? Qu’« une loi doit avoir son effet ». Le présent amendement s’attache précisément au dernier kilomètre de la politique publique dont il est question dans ce texte. Nous avons évoqué de nombreux incidents pour illustrer nos propos pendant la discussion générale. Il s’agit ici de préciser que les travaux de l’Anssi peuvent s’appuyer sur les entités mentionnées à l’article 24 du projet de loi – les centres de réponse aux incidents de sécurité informatique (CSIRT) et les campus cyber, notamment. Face à l’ampleur de la tâche – rehausser notre niveau de cybersécurité –, nous ne serons pas de trop si nous y associons ces organismes. (M. Jacques Oberti applaudit.)

La parole est à M. Vincent Thiébaut, rapporteur de la commission spéciale pour le titre II, pour donner l’avis de la commission.

Je suis un grand fan de Montesquieu. Dans la période actuelle, nous serions bien inspirés de lire ses Considérations sur les causes de la grandeur des Romains et de leur décadence . Néanmoins, mon avis sera défavorable.

Quel est l’avis du gouvernement ?

Les CSIRT ont un rôle central à jouer, que ce soit au niveau régional ou national. C’est d’ailleurs le sens de l’article 24. Il ne me paraît pas inutile de rappeler leur importance pour la cyberrésilience de la nation, dans le sillage de la stratégie nationale de cybersécurité 2026-2030. Avis favorable.

La parole est à M. le président de la commission spéciale, pour soutenir l’amendement n o  120.

Il vise à créer un comité de suivi de la mise en œuvre du titre I er du présent texte. Présidé par un député ou un sénateur, il réunirait des membres du Parlement, des représentants des administrations de l’État concernées, des représentants des entités essentielles et des entités importantes ainsi que des collectivités territoriales et des organisations professionnelles du secteur de la cybersécurité. Il se réunirait au moins deux fois par an, avec pour but d’évaluer l’application et l’effectivité des mesures prises dans le cadre du titre I er ainsi que leur adaptation à l’évolution des techniques et des menaces. Il pourrait adresser des recommandations au gouvernement. La composition et les modalités de fonctionnement de ce comité seraient fixées par décret – on est obligé de passer par cette voie – et ses membres exerceraient leur mission à titre gratuit. Il ne s’agit pas d’aggraver les charges publiques, mais de disposer d’une expertise qui puisse formuler des lignes directrices, que le gouvernement pourrait suivre ou non, sachant qu’une publicité des discussions de ce comité serait prévue.

Quel est l’avis de la commission ?

L’article 5 bis du présent texte prévoit déjà que le gouvernement remette au Parlement un rapport tous les deux ans à ce sujet. De plus, l’Assemblée nationale dispose déjà d’instruments permettant aux députés d’exercer leur pouvoir de contrôle ; à nous de nous en saisir, plutôt que de créer un comité supplémentaire, qui n’apparaît pas nécessaire. Demande de retrait ; à défaut, avis défavorable.

Je suis saisie de deux amendements identiques, n os  121 et 372. La parole est à M. le président de la commission spéciale, pour soutenir l’amendement n o  121.

Il tend à augmenter sensiblement le degré de préparation des collectivités territoriales face à la menace cyber, en intégrant explicitement le risque de cyberattaque au sein du plan communal de sauvegarde (PCS). Les collectivités territoriales jouent un rôle essentiel pour assurer la continuité des services publics et la gestion des crises locales. Ces dernières années, elles sont devenues des cibles privilégiées pour les cybercriminels et les attaques numériques hostiles : selon l’Anssi, plus de 350 collectivités ont été victimes de cyberattaques en 2023, en majorité des communes de taille moyenne, souvent démunies en matière de cyberprotection. Le plan communal de sauvegarde, régi par le code de la sécurité intérieure, constitue l’outil de référence afin d’organiser la réponse opérationnelle de la commune en cas d’événement grave – catastrophes naturelles ou sanitaires, ou encore risques technologiques, ce qui devrait inclure le risque cyber. Il apparaît indispensable d’intégrer explicitement ce dernier risque au PCS, au même titre que les autres menaces susceptibles de désorganiser la vie locale.

L’amendement n o  372 de Mme Sabine Thillaye est défendu. Quel est l’avis de la commission sur ces deux amendements identiques ?

La commission spéciale a déjà intégré le risque d’incident informatique dans les risques pris en compte par le plan communal de sauvegarde. La disposition proposée concernerait toute commune assurant des activités de service public, soit la quasi-totalité des communes, alors que le texte soumet aux obligations de la directive NIS 2 uniquement les communes de plus de 30 000 habitants. Ces amendements créeraient donc une obligation nouvelle sans qu’elle soit fondée sur cette directive. Nous devons privilégier la mutualisation entre communes, c’est-à-dire l’échelon de l’intercommunalité, qui me paraît le plus pertinent pour renforcer la cybersécurité dans le cadre du titre II du présent texte. Demande de retrait ; à défaut, avis défavorable.