NIS 2, un projet de loi pour renforcer la cybersécurité en France
Mercredi 12 mars 2025, le Sénat a adopté un projet de loi visant à renforcer la cybersécurité des infrastructures critiques. Ce texte, défendu par la ministre du Numérique, Clara Chappaz, impose de nouvelles exigences aux entreprises et collectivités pour faire face à la hausse des cyberattaques.
Une menace qui touche tout le tissu économique
Après une année 2024 marquée par une forte menace durant les Jeux Olympiques, l’Anssi a signalé une hausse de 15 % des attaques en un an, notamment des opérations de déstabilisation. Le gouvernement justifie ce renforcement de la loi en matière cyber par la généralisation des cyberattaques, qui ne touchent plus seulement les grandes entreprises mais aussi les hôpitaux, collectivités et petites structures. 6 attaques sur 10 concernent désormais des PME et TPE.
Une directive européenne transposée en droit français
Ce projet de loi pour la “résilience des infrastructures critiques” entend transposer trois directives européennes dont la directive « NIS 2 ». Votée par le Parlement européen à la fin de l’année 2022, cette directive devait entrer en application dans les Etats membres en octobre 2024 mais la France a pris un peu de retard, entre dissolution et censure du précédent gouvernement.
La directive NIS 2 (en français : sécurité des réseaux et des systèmes d’Information) vise à renforcer le niveau de cybersécurité des tissus économique et administratif des pays membres de l’Union Européenne.
18 secteurs d’activités concernés
15 000 entités réparties sur 18 secteurs d’activité seront concernées par ces nouvelles obligations (contre 500 infrastructures critiques auparavant). Pour l’essentiel, ces entités seront des collectivités territoriales, des administrations, ainsi que des moyennes et grandes entreprises.
Entités essentielles et importantes
Pour garantir une proportionnalité de traitement, la directive NIS 2 distingue deux catégories d’entités régulées : les entités essentielles (EE) et les entités importantes (EI), selon leur degré de criticité, leur taille et leur chiffre d’affaires. Un test est proposé par l’Anssi pour déterminer si votre entité est régulée par la directive NIS 2 et à quelle catégorie elle appartient.
3 obligations majeures
Chaque entité régulée devra fournir certaines informations à l’ANSSI, mettre en place des mesures de gestion des risques adaptées, et déclarer ses incidents de sécurité. En cas de manquement, des sanctions financières (jusqu’à 2 % du CA) pourront être imposées.
Un texte adopté malgré des réserves
Si le projet de loi a été largement approuvé par les sénateurs, certains ont exprimé des inquiétudes sur la complexité et le coût des mesures pour les petites communes. Un plan d’accompagnement a été réclamé. Afin d’atténuer ces inquiétudes, le gouvernement a prévu une phase transitoire de trois ans durant laquelle les collectivités ne feront l’objet que de contrôles sans sanctions.
Le projet de loi doit maintenant être examiné par l’Assemblée nationale avant l’été, dernière étape avant son adoption définitive.
EN SAVOIR PLUS
La directive NIS2
