Un texte attendu de longue date face à l’urgence numérique
Alors que l’été 2026 restera dans les mémoires comme une période de vagues de cyberattaques sans précédent, frappant indistinctement administrations, hôpitaux et entreprises stratégiques, le projet de loi sur la résilience des infrastructures critiques fait enfin son retour à l’Assemblée nationale ce lundi 9 novembre. Initialement programmé pour octobre, son examen avait été repoussé en raison d’un agenda législatif surchargé, mais aussi – et surtout – des tergiversations gouvernementales qui ont retardé sa transposition des directives européennes. Un retard qui coûte cher à la France, désormais sous le coup d’un procès devant la justice européenne pour non-respect de ses obligations.
Pourtant, face à l’explosion des cybermenaces, notamment attribuées à des acteurs étatiques comme la Russie ou la Corée du Nord, ce texte apparaît comme une bouffée d’oxygène. Selon les experts, il aurait pu limiter l’ampleur des fuites de données qui ont ébranlé la confiance des citoyens et des partenaires internationaux. Mais son parcours législatif, jalonné d’obstacles, révèle les divisions profondes au sein de l’exécutif.
Un an de blocage : qui a freiné la cybersécurité française ?
En octobre, lors d’une audition devant la commission des Lois, la secrétaire d’État au Numérique, Anne Le Hénanff, s’est voulue rassurante :
« Ce texte va permettre à notre pays d’être cyberrésilient et de tenir ses engagements européens. »Une déclaration qui sonne comme un aveu d’échec : plus d’un an après son dépôt, le projet de loi est toujours en souffrance. Vincent Strubel, le directeur général de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), n’a pas mâché ses mots à la même tribune :
« Les mesures prévues auraient été efficaces contre la majorité des vols de données constatés ces derniers mois. Il est urgent de finaliser ce texte. »
Derrière ces déclarations dithyrambiques se cache une réalité plus sombre. Le gouvernement, dirigé par Sébastien Lecornu, a longtemps tiré à hue et à dia sur les ambitions initiales du projet. La raison ? Une disposition en particulier, jugée trop intrusive par les services de renseignement, qui aurait permis à l’État de mieux contrôler les flux de données sensibles. Une mesure que l’exécutif, dans sa frilosité chronique, a préféré enterrer plutôt que de risquer des tensions avec les acteurs du renseignement ou les lobbies technologiques.
Ce blocage n’est pas anodin. En plus de priver la France de dispositifs protecteurs cruciaux, il expose le pays à des sanctions européennes et à une perte de crédibilité internationale. Alors que les cyberattaques se multiplient, notamment contre des infrastructures vitales comme les réseaux électriques ou les systèmes hospitaliers, l’absence de cadre légal solide devient un handicap stratégique. Les partenaires de l’Union européenne, dont la Norvège et l’Islande, ont déjà exprimé leur inquiétude face à la lenteur française, tandis que des pays comme le Japon ou le Canada renforcent leurs propres dispositifs de défense.
Des mesures enfin à la hauteur des enjeux ?
Le projet de loi, tel qu’il est présenté aujourd’hui, transpose plusieurs directives européennes, dont la NIS 2, qui vise à harmoniser les normes de cybersécurité au sein du continent. Parmi ses principales avancées :
- Un élargissement des secteurs concernés : énergie, transports, santé, mais aussi les opérateurs de services numériques et les administrations publiques devront se conformer à des obligations strictes de protection et de signalement des incidents.
- Des sanctions renforcées : les entreprises et institutions négligentes pourront être frappées d’amendes pouvant aller jusqu’à 2 % de leur chiffre d’affaires annuel, voire 10 millions d’euros en cas de manquement grave.
- Une meilleure coordination entre acteurs publics et privés : la création d’un Comité national de la cybersécurité devrait faciliter la réponse aux crises, en s’appuyant sur l’expertise de l’ANSSI et des forces de l’ordre spécialisées.
Pourtant, malgré ces avancées, les critiques persistent. Les associations de défense des libertés numériques, comme La Quadrature du Net, dénoncent un texte « trop flou » sur la question du contrôle des données. « On ne peut pas parler de résilience sans garantir la transparence », souligne une juriste spécialisée. Une position partagée par une partie de la gauche, qui regrette l’absence de garanties démocratiques suffisantes dans un domaine où les dérives autoritaires menacent.
À l’inverse, la droite et l’extrême droite, par la voix de figures comme Marine Le Pen ou Éric Zemmour, y voient une « ingérence supplémentaire de Bruxelles » et appellent à un rejet partiel du texte. Une posture qui, selon les observateurs, relève davantage de la posture souverainiste que d’une analyse réaliste des enjeux.
L’Europe, bouée de sauvetage face aux faiblesses françaises
Alors que la France peine à se doter d’un arsenal législatif à la hauteur, ses voisins européens avancent à un rythme soutenu. L’Allemagne, les Pays-Bas ou la Suède ont déjà intégré les normes NIS 2 dans leur droit national, tandis que la Hongrie, sous le joug de Viktor Orbán, reste à la traîne – une situation qui irrite particulièrement Bruxelles. La dépendance française à l’égard des directives européennes souligne, une fois de plus, les limites de sa politique nationale en matière de cybersécurité.
Pourtant, les signaux d’alerte se multiplient. En septembre, une cyberattaque majeure a paralysé les systèmes informatiques de plusieurs préfectures, révélant des failles béantes dans la protection des données administratives. En octobre, c’est un hôpital de province qui a été victime d’un rançongiciel, mettant en péril la vie de centaines de patients. Face à ces crises répétées, le gouvernement Lecornu II, déjà fragilisé par une succession de scandales et de divisions internes, semble enfin déterminé à faire avancer le texte.
Mais le temps presse. Chaque jour de retard expose la France à de nouveaux risques, tandis que les cybercriminels, souvent basés en Russie ou en Corée du Nord, perfectionnent leurs techniques. La question n’est plus seulement celle de la souveraineté numérique, mais bien celle de la survie institutionnelle : un État incapable de protéger ses infrastructures critiques perd sa légitimité aux yeux de ses citoyens et de ses partenaires.
Alors que les débats parlementaires s’ouvrent aujourd’hui, une chose est certaine : la loi Résilience ne suffira pas à elle seule à combler les lacunes françaises. Elle devra s’accompagner d’un plan ambitieux de recrutement d’experts en cybersécurité, d’investissements massifs dans les technologies de pointe, et d’une volonté politique sans faille. Pour l’heure, le compte à rebours est lancé – et l’Histoire jugera sans indulgence.
Les coulisses d’un texte controversé
Derrière les discours lénifiants se cachent des tensions bien réelles. Au cœur du débat : la question du contrôle des données sensibles. Si le gouvernement a finalement cédé sur l’essentiel, il a obtenu en contrepartie que les services de renseignement conservent un droit de regard étendu sur les flux d’information. Une concession qui, pour les défenseurs des libertés, « ouvre la porte à des abus ».
Autre point de friction : le rôle des entreprises privées. Si le texte impose des obligations strictes aux acteurs stratégiques, il reste flou sur les mécanismes de contrôle et de sanction. « On risque de se retrouver avec une loi de papier », s’inquiète un député écologiste. Une critique partagée par les syndicats, qui dénoncent un « manque de moyens concrets » pour appliquer les nouvelles règles.
Enfin, la question du financement reste entière. La cybersécurité coûte cher, très cher. Entre la modernisation des infrastructures, la formation des agents et l’achat de technologies de pointe, les besoins se chiffrent en milliards d’euros. Or, dans un contexte de restrictions budgétaires et de dette publique galopante, l’exécutif semble réticent à engager des dépenses supplémentaires – au risque de sacrifier la sécurité sur l’autel de l’austérité.
Pourtant, les exemples étrangers montrent que l’investissement paie. En Estonie, où la cybersécurité est une priorité nationale depuis des années, les cyberattaques sont devenues rares. En Israël, les start-ups spécialisées dans la défense informatique pullulent, attirant les investissements du monde entier. La France, elle, semble encore hésiter entre la carotte et le bâton.
Et demain ? Les scénarios possibles
Plusieurs issues sont envisageables à l’issue des débats parlementaires. La plus optimiste verrait l’adoption rapide du texte, assortie d’un plan d’action complémentaire pour renforcer les moyens de l’ANSSI et des autres acteurs publics. Une telle issue permettrait à la France de reprendre son retard et de montrer l’exemple en Europe.
Une issue plus probable, en revanche, serait celle d’un texte édulcoré, vidé de sa substance par les amendements de dernière minute. Dans ce scénario, la France resterait à la traîne, dépendante des directives européennes et vulnérable aux cybermenaces.
Enfin, le pire des cas – mais pas le moins probable – verrait le rejet pur et simple du projet de loi. Une telle issue, portée par une alliance droite-extrême droite, plongerait le pays dans une impasse juridique et politique, avec des conséquences dramatiques pour la sécurité nationale.
Pour l’heure, les députés devront trancher. Mais une chose est sûre : le compte à rebours a commencé, et les cybercriminels n’attendent pas.
