Le Sénat a adopté le projet de loi sur la cybersécurité en première lecture en mars 2025. L’Assemblée nationale a inscrit le projet de loi à son programme du 9 au 13 novembre 2026, en première lecture. Le texte traite aussi de la résilience des infrastructures critiques et adapte le droit français au règlement européen DORA, qui concerne le secteur financier. À ce stade, les nouvelles obligations françaises de NIS 2 restent en discussion.
Projet de loi sur la cybersécurité : quelles PME sont visées ?
L’Agence nationale de la sécurité des systèmes d’information (ANSSI) estime que plus de 25 000 organisations pourraient être concernées en France. Le périmètre couvre 18 secteurs. Il comprend notamment l’énergie, la santé et les transports, mais aussi certaines activités de l’industrie, de l’agroalimentaire ou de la gestion des déchets.
En règle générale, une entreprise d’un secteur visé entre dans le périmètre si elle emploie au moins 50 personnes. Elle peut aussi être concernée si son chiffre d’affaires annuel et son bilan annuel dépassent chacun 10 millions d’euros. Toutefois, certaines activités suivent des règles particulières. Par exemple, des fournisseurs de services de noms de domaine peuvent relever du dispositif quelle que soit leur taille.
Une première alerte sous 24 heures en cas d’incident important
Le texte de la commission spéciale soumis aux députés distingue les entités « essentielles » et « importantes ». Il prévoit des mesures de gestion des risques pour les deux catégories. Les exigences portent notamment sur la continuité d’activité et la sécurité des fournisseurs. La classification détermine aussi le régime de contrôle.
À lire aussi
En cas d’incident important, le projet prévoit une première alerte à l’ANSSI sous 24 heures au plus tard après en avoir eu connaissance. Une notification intermédiaire suivrait sous 72 heures. Ainsi, l’entreprise devrait pouvoir signaler l’incident avant d’en connaître tous les détails. Une interruption grave d’un service peut suffire à rendre l’incident important. Les obligations existantes en matière de données personnelles doivent, quant à elles, être examinées séparément, comme l’illustre notre article sur les cyberattaques visant des pharmacies.
Le risque s’étend aux prestataires dont dépend l’activité
Une PME peut être en dehors du périmètre direct et recevoir des demandes de sécurité d’un client concerné. Par exemple, ce client peut vouloir savoir qui le préviendra si son prestataire informatique perd l’accès à un service. La cyberattaque contre VosFactures a illustré les conséquences concrètes d’un incident chez un prestataire sur le suivi des factures de ses clients.
Le chiffrement reste un point de débat
L’article 16 bis du texte de la commission interdit d’imposer aux fournisseurs de chiffrement un mécanisme qui affaiblirait volontairement la protection des communications. Le gouvernement demande de supprimer cette disposition. L’Assemblée a prévu de l’examiner en priorité le 10 novembre. Les entreprises devront ensuite regarder le texte définitif et ses mesures d’application pour connaître le périmètre et le calendrier de leurs obligations.
À lire également sur Business Times
