Face à la recrudescence des cyberattaques ciblant aussi bien les services publics que les infrastructures essentielles, la France s'apprête à voter une loi ambitieuse sur la résilience numérique. Ce texte vise à transposer les directives européennes pour mieux anticiper les menaces et garantir la continuité des activités stratégiques du pays.
Un changement d'échelle pour la sécurité nationale
Le projet de loi marque une transformation profonde de la stratégie de défense numérique française. Le nombre d'entités soumises à des obligations strictes de cybersécurité va passer de 1 500 à 15 000. Ces organisations, réparties dans 18 secteurs jugés critiques ou hautement critiques — tels que la santé, l'énergie, les transports et le secteur bancaire — devront désormais se conformer à des exigences renforcées. Cette montée en puissance répond à un retard constaté par Bruxelles, qui avait saisi la justice européenne en 2026 pour non-application des normes communautaires.
Responsabilisation des dirigeants et gestion des risques
Au-delà des aspects purement techniques, le texte impose un changement de paradigme managérial. La cybersécurité n'est plus considérée comme une simple affaire d'informaticiens, mais comme une responsabilité directe des dirigeants. Ces derniers s'exposent désormais à des sanctions pouvant aller jusqu'à l'interdiction d'exercer des fonctions de direction en cas de manquement. L'objectif est d'instaurer une culture de la résilience : les organisations doivent être capables de maintenir leurs services essentiels, même en cas d'intrusion réussie, en adoptant des mesures d'hygiène numérique telles que la double authentification et le chiffrement des données.
Contrôle accru et surveillance des sous-traitants
L'Agence nationale de la sécurité des systèmes d'information (Anssi) voit ses prérogatives élargies, devenant l'autorité centrale de contrôle et de sanction. Les entreprises régulées devront notifier tout incident significatif à l'agence, sous peine d'amendes pouvant atteindre dix millions d'euros ou 2 % du chiffre d'affaires mondial. Une attention particulière est portée à la chaîne d'approvisionnement : le texte oblige les organisations à anticiper les vulnérabilités liées à leurs prestataires et sous-traitants. Cette mesure fait suite à plusieurs incidents où des failles logicielles introduites par des tiers ont permis de compromettre des systèmes de grande envergure.
L'enjeu du financement et de l'acculturation
Si le cadre législatif se durcit, le texte ne prévoit aucun mécanisme de financement public pour accompagner les structures dans leur mise en conformité. Les rapporteurs soulignent toutefois que l'investissement préventif reste économiquement plus rationnel que le coût des dommages ou des pénalités encourues. Le défi reste désormais l'acculturation des équipes aux réflexes de base, une étape jugée indispensable par les législateurs pour que cette loi ne reste pas une simple contrainte administrative, mais devienne un véritable rempart contre les menaces numériques.