Alors que les cyberattaques se multiplient en France, l’Assemblée s'apprête à adopter, mardi, la loi résilience sur le renforcement de la cybersécurité. Retardé depuis deux ans, le texte multiplie par dix le nombre d’entités régulées et impose des sanctions financières en cas de manquement aux obligations de prévention, sans prévoir de financements supplémentaires.

Publié le : 13/11/2026 - 19:36

Piratage des frigos de supermarchés, attaques des chambres froides de l’Établissement français du sang (EFS), vol des données de l'administration fiscale et de l’Agence nationale des titres sécurisés (ANTS)... L’intensification des cyberattaques en France a remis le projet de loi relatif à la résilience des infrastructures critiques et renforcement de la cybersécurité à l’agenda parlementaire. Deux ans après avoir été examiné au Sénat, le texte sera soumis au vote solennel de l’Assemblée nationale, mardi 17 novembre, où son caractère transpartisan devrait faciliter son adoption.

La France a pris du retard dans le domaine de la cybersécurité, au point que Bruxelles a saisi la justice européenne en juillet 2026 pour non-application des obligations communautaires en la matière. Cette loi devrait corriger le tir, en transcrivant dans le droit français le règlement NIS 2, qui vise à assurer un niveau élevé de cybersécurité dans tous les pays européens, de la directive REC, qui protège la continuité des services essentiels face aux menaces physiques et cyber, et le règlement DORA qui concerne le secteur financier.

À voir aussiFrance : "Des cyberattaques répétées préoccupantes" selon l'Union Européenne

“Un changement d’échelle considérable”

Pour parer aux menaces cyber, les entités régulées, c'est-à-dire les administrations, les collectivités et les entreprises soumises à des obligations en matière de cybersécurité, passeront de 1 500 à 15 000. Elles seront réparties dans 18 secteurs d’activité “critiques” ou “hautement critiques” comme l’énergie, les transports, le secteur bancaire, la santé et les infrastructures numériques.

“C’est un changement d’échelle considérable", explique Mickaël Bouloux, député socialiste et co-rapporteur du texte à l'Assemblée. “Mais il ne faut pas s’attendre à ce que les cyberattaques cessent avec cette loi : il s’agit plutôt d’encourager la prévention et l’anticipation.”

Les entités régulées seront tenues de mettre en place des “mesures de gestion des risques”, comme la formation des personnels, la double authentification, le chiffrement des données sensibles, etc. "Aucun mécanisme de financement n'est prévu pour aider les structures à se mettre en conformité", précise Mickaël Bouloux. "Sur ces sujets, il faut être proactif : investir 1 euro aujourd'hui pour éviter de payer 100 euros de dommages ou de pénalités demain."

Les entités régulées devront également notifier à l’Agence nationale de la sécurité des systèmes d’information (Anssi) tous les incidents importants. Cette dernière, rattachée au Premier ministre, voit ses prérogatives renforcées, puisqu’elle aura désormais un rôle de contrôle et de sanction. Les amendes prévues en cas de non-respect des obligations pourront aller jusqu'à dix millions d'euros ou 2 % du chiffre d'affaires annuel mondial.

Autre nouveauté du texte : les organisations régulées devront prendre en compte et anticiper les vulnérabilités provenant des prestataires et des sous-traitants. “Souvent, les grandes entreprises ne sont pas ciblées directement mais par le biais de leurs sous-traitants, qui sont plus vulnérables”, justifie Mickaël Bouloux. Dans l’affaire des réfrigérateurs piratés, par exemple, la faille provenait d’un système tiers de contrôle de réfrigération, fourni par le fabricant danois Danfoss.

"Hygiène numérique"

En cas de manquement à ces obligations, les responsables des organisations concernées pourront être interdits "d'exercer des responsabilités dirigeantes". Michel Séjean, professeur de droit spécialiste de la cybersécurité, se félicite de cette évolution, qui représente une rupture avec la logique absolutiste consistant à “éviter à tout prix de se faire attaquer.” Désormais, le texte met l'accent sur la capacité des organisations à faire face aux attaques, qui ne peuvent pas être évitées uniquement grâce à des dispositifs techniques.

“Avant 2022, quand ça tournait mal, poursuit Michel Séjean, on virait les informaticiens et les dirigeants se dédouanaient en disant : ‘C’est technique, ce n’est pas mon job.’ Avec cette logique de résilience, l’enjeu devient de continuer l’activité critique malgré l’attaque. Or, cela passe par des paramètres informatiques mais surtout par des mesures managériales.”

Pour afficher ce contenu YouTube, il est nécessaire d'autoriser les cookies de mesure d'audience et de publicité.

Une extension de votre navigateur semble bloquer le chargement du lecteur vidéo. Pour pouvoir regarder ce contenu, vous devez la désactiver ou la désinstaller.

L’implication des personnels encadrants permettra d’accélérer “l’acculturation des équipes aux réflexes de base”, espère Mickaël Bouloux, citant par exemple le fait de changer régulièrement de mot de passe ou de ne pas avoir le même sur tous ses comptes. “Mais je ne crois pas que la loi suffise à inculquer l’hygiène numérique, qui fait encore défaut dans beaucoup de structures.”

Mots-clés associés à l’article

Le contenu auquel vous tentez d'accéder n'existe pas ou n'est plus disponible.