NIS 2 est enfin arrivé à l'Assemblée

La directive européenne NIS 2 devait être transposée au plus tard le 17 octobre 2024. Le retard accumulé aura conduit la France devant la Cour de Justice de l'Union Européenne en juillet dernier.

Sur le papier, la directive est entrée en vigueur. Et ses implications sont loin d'être négligeables. Ce ne sont pas moins de 18 secteurs d’activités qui sont concernés, soit plus de 10 000 entreprises à travers l’Union Européenne. Cette extension spectaculaire du champ d’application de la réglementation cyber traduit une prise de conscience salutaire des risques croissants, auxquels sont exposés aussi bien les opérateurs d’importance vitale que les acteurs économiques de taille plus modeste. La directive NIS 2 impose à toutes ces entités des exigences fortes pour sécuriser leurs systèmes d’information et se prémunir contre les cyberattaques.

Au-delà du durcissement des obligations techniques, l’un des changements majeurs introduits par la directive est un renforcement sans précédent du volet responsabilité. Les dirigeants des entreprises concernées se verront attribuer un rôle central dans la validation et le pilotage des politiques de cybersécurité. En cas de manquements, ils seront directement exposés à des sanctions qui pourront être très lourdes.

C'est là que l'absence de transposition posait problème : un père fouettard est encore trop souvent nécessaire pour faire passer des mesures que les multiples violations de données des 24 derniers mois auraient pu prévenir.

Le député Éric Bothorel se félicite donc que « la France renforce enfin son arsenal face aux cyberattaques ». Mais sans nécessairement faire l'unanimité.

Il s'est ainsi opposé à un amendement, en vain, de son collègue Philippe Latombe visant à protéger la collecte et l'analyse de données « rendues accessibles au public à la suite d'une infraction ». Comprendre : dépénaliser, sous conditions, notamment de respect de la vie privée, l'examen des données volées par des cybercriminels et publiquement divulguées.

Mais c'est surtout l'article 16bis du projet de loi, introduit précédemment au Sénat, qui va focaliser une partie des débats. Celui-ci vise à protéger la confidentialité des communications privées en faisant barrage aux tentatives de contournement du chiffre de bout-en-bout des messageries. Eric Bothorel compte parmi les élus ayant déposé un amendement de suppression de cette disposition. Il n'est pas seul : Philippe Latombe s'y est également montré favorable.

Ces députés s'inscrivent ainsi dans la droite ligne du gouvernement qui a demandé la suppression de cet article 16bis. Selon lui, il « présente un risque majeur pour la sécurité nationale puisqu'il entraverait l'action des services judiciaire et de renseignement en interdisant d'imposer tout mécanisme ou processus permettant d'accéder à des données protégées ».

L'histoire récente peine à donner à ces arguments alors que se sont multipliées les arrestations dans l'écosystème cybercriminel hexagonal au cours des derniers mois.