Yapluka
« Ouf ! Enfin ! C’est pas trop tôt ». Ce sont les mots de Philippe Latombe, président de la Commission spéciale sur la transposition de NIS2. Après des mois d’attente et des retards en dernière ligne droite, le projet de loi est en train d’être débattu à l’Assemblée nationale. Le chiffrement et l’article 16 bis sont déjà au cœur des débats, le second vit peut-être ses dernières heures.
C’est parti ! Après quelques faux départs, l’examen du projet de loi résilience des infrastructures critiques (NIS2, REC et DORA) vient de débuter à l’Assemblée nationale. La France est, pour rappel, largement en retard sur le calendrier européen puisque la date limite était fixée au 17 octobre 2024 pour NIS2 et REC, et au 17 janvier 2025 pour DORA.
À ce sujet, Catherine Hervieu, rapporteure de la Commission spéciale, rappelle que la Commission européenne a saisi la Cour de justice de l’Union européenne sur le retard de la transposition et que nous risquons « plus de 10 millions d’euros d’amende ».
Après le Sénat, la traversée du désert
Le projet de transposition est passé devant le Sénat début 2025 et… plus rien depuis. Il a beaucoup fait parler de lui, notamment à cause d’un point précis, comme le rappelait la Commission supérieure du numérique et des postes (CSNP). Il y a un « point de clivage » : l’article 16 bis, introduit au Sénat.
« Il ne peut être imposé aux fournisseurs de services de chiffrement, y compris aux prestataires de services de confiance qualifiés, l’intégration de dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d’information et des communications électroniques tels que des clés de déchiffrement maîtresses ou tout autre mécanisme ou processus permettant un accès non consenti aux données protégées ».
Anne Le Hénanff : « La menace cyber est désormais une réalité »
Anne Le Hénanff , ministre déléguée, est la première à prendre la parole pour expliquer que ce texte « revient dans un contexte particulier : celui d’une menace cyber plus intense que jamais ». Elle cite au passage la cyberattaque contre les frigos.
Le député Éric Bothorel, rapporteur général, ajoute à cette liste les cyberattaques contre les lycées, l’administration publique et notamment France Travail avec « au moins cinq cyberattaques majeures ». Depuis des mois, les cyberattaques et fuites de données se multiplient.
Anne Le Henanff se la joue Captain Obvious, avec quelques trains de retard tout de même : « la menace cyber est désormais une réalité ». Elle l’est depuis longtemps. Elle appelle les députés à continuer les discussions lancées à la Commission spéciale. Comme d’autres intervenants, elle appelle à ne pas surtransposer le texte. Ils sont plusieurs rapporteurs à préciser que ce projet ne porte pas sur la « souveraineté numérique ».
L’Article 16 bis a déjà du plomb dans l’aile
« Près d’un tiers des amendements [il y en a 404, ndlr] vont au-delà des directives ou sont étrangers au texte ; plus d’une quarantaine portent sur des sujets en cours de négociations à Bruxelles », explique Éric Bothorel. Il ajoute que « cette surtransposition fragmenterait le marché intérieur, imposerait une notification à la Commission européenne et retarderait l’adoption du texte ».
Vincent Thiébaut, un autre rapporteur de la Commission spéciale, revient sur l’article 16 bis introduit au Sénat puis conservé en Commission : il « n’a pas de lien avec le texte et entraverait les techniques de renseignements et d’enquêtes autorisées sous contrôle d’un magistrat ; et je soutiendrai sa suppression ».
Philippe Latombe, président de la Commission spéciale, précise que « ce texte n’est pas que l’article 16 bis […] On trouvera certainement un chemin si le gouvernement renonce à porter atteinte au chiffrement de bout en bout et nous pourrons dans ce cas annoncer que le 16 bis ne sera plus dans le texte ».
C’était une des recommandations du rapport Boudié sur le chiffrement était justement de « renoncer aux dispositions de l’article 16 bis du projet de loi « résilience », compte tenu des sérieuses zones d’ombre juridiques qu’emporterait sa rédaction actuelle ».
Le gouvernement a déjà fait connaitre sa position sur l’Article 16 bis, comme l’explique Le Monde : « Le gouvernement a donc choisi de suivre ses préconisations et de faire machine arrière. Il « s’engagera à ne pas réintroduire ni soutenir une réintroduction » du mécanisme de portes dérobées dans les messageries « jusqu’à la fin de la session parlementaire », a promis Anne Le Hénanff devant les parlementaires, tout en précisant qu’il « soutiendra » également « la suppression » de l’article 16 bis ».
Les débats sur ce sujet devraient avoir lieu demain après-midi selon le rapporteur, affaire à suivre.
