Voir les titres Ne plus voir les titres
Le 6 octobre 2026, la conférence des présidents de l’Assemblée nationale a retiré de l’ordre du jour le projet de loi Résilience, la veille de son examen en séance prévu les 7 et 9 octobre. Ce texte doit transposer en droit français la directive européenne NIS2, qui soumet à des règles de cybersécurité des milliers d’entreprises moyennes et grandes, réparties dans dix-huit secteurs jugés critiques.
Pour les dirigeants concernés, ce contretemps prolonge une attente ouverte le 17 octobre 2024, date à laquelle la France devait avoir intégré la directive à son droit. Les relevés des conférences des présidents des 13 et 20 octobre ne mentionnent aucune réinscription du texte, alors que les budgets de l’État et de la Sécurité sociale occupent désormais l’hémicycle. Faut-il continuer à préparer une conformité dont l’entrée en vigueur recule encore ?
Un examen déprogrammé la veille de la séance
Le relevé de conclusions de la conférence du 6 octobre acte le retrait du projet de loi adopté par le Sénat pour les créneaux du mercredi 7 octobre après-midi et soir et du vendredi 9 octobre. Aucune date de report n’y figure. Le motif avancé tient au calendrier : selon le Projet Arcadie, l’examen de la proposition de loi sur les violences sexuelles et sexistes a duré plus longtemps que prévu par le gouvernement.
Le texte arrivait pourtant chargé en séance. D’après le décompte publié par NosParlementaires, 397 amendements avaient été déposés pour la discussion annulée, dont 28 retirés depuis, et l’article 14 concentrait à lui seul 52 propositions de modification. Interrogé au moment du retrait, le rapporteur tablait sur un retour rapide dans l’hémicycle.
J’ai bon espoir qu’on pourra réinscrire le texte d’ici quinze jours ou trois semaines.
Éric Bothorel, député et rapporteur du projet de loi Résilience, en réponse au Projet Arcadie, 5 octobre 2026
Trois semaines plus tard, l’horizon évoqué arrive à son terme sans nouvelle inscription au calendrier de l’Assemblée. Le retard prend tout son relief lorsqu’on reprend les étapes franchies depuis le dépôt du texte.
Les étapes du projet de loi Résilience depuis 2024
Le parcours du texte montre une transposition engagée il y a deux ans et jamais achevée, entre désaccord politique et ordre du jour saturé :
- 17 octobre 2024 : la date limite de transposition fixée par l’Union européenne passe sans texte adopté en France ;
- 12 mars 2025 : le Sénat adopte le projet en première lecture et y insère l’article 16 bis sur le chiffrement, voté par 181 voix contre 134 ;
- 10 septembre 2025 : la commission spéciale de l’Assemblée nationale adopte sa propre version du texte ;
- 17 mars 2026 : l’ANSSI publie son Référentiel Cyber France, la boussole des responsables de la sécurité informatique en attendant les décrets ;
- 2 juin 2026 : le texte n’est ni voté définitivement ni promulgué, alors que vingt des vingt-sept États membres ont déjà transposé la directive ;
- 9 juillet 2026 : la Commission européenne saisit la Cour de justice de l’Union européenne et demande des sanctions financières contre la France ;
- 6 octobre 2026 : la conférence des présidents retire le texte de l’ordre du jour des 7 et 9 octobre, sans fixer de nouvelle date.
Entre la saisine de la Cour de justice et le retrait d’octobre, moins de trois mois se sont écoulés. La procédure européenne avance désormais plus vite que le calendrier parlementaire français, ce qui modifie aussi la lecture de la situation depuis l’été.
Ce qui a changé depuis l’été
Le tableau ci-dessous confronte la situation décrite à la mi-juillet et celle constatée fin octobre, point par point et avec la source de chaque donnée :
| Point | Mi-juillet 2026 | Fin octobre 2026 | Source |
|---|---|---|---|
| Calendrier d’examen | Passage en séance évoqué pour septembre, sans garantie | Inscription les 7 et 9 octobre, retrait le 6 octobre, aucune date au 20 octobre | Conférence des présidents |
| Article 16 bis | Point de blocage, réserves de la DGSI | Amendement de suppression n° 358 déposé par le gouvernement | NosParlementaires |
| Amendements de séance | Aucun dépôt | 397 déposés, 28 retirés | NosParlementaires |
| Périmètre annoncé | Près de 20 000 entités, dont 1 500 collectivités | Environ 15 000 entités, dont près de 1 500 collectivités | ANSSI, NosParlementaires |
Le fond n’a pas bougé : seul le calendrier s’est encore dégradé, tandis que l’écart entre 15 000 et 20 000 entités rappelle que le périmètre exact dépendra des seuils fixés par la loi puis par décret. Pour une entreprise, cela signifie que l’autodiagnostic d’éligibilité reste une estimation tant que le texte n’est pas promulgué.
Des obligations connues, une date d’application inconnue
Les règles que portera la loi sont pourtant largement stabilisées. Une entreprise entre dans le champ dès qu’elle emploie au moins 50 salariés ou dépasse 10 millions d’euros de chiffre d’affaires dans l’un des dix-huit secteurs visés, de l’énergie à la santé en passant par les services numériques et l’agroalimentaire. La distinction entre entités essentielles et entités importantes règle ensuite l’intensité des contrôles.
La gestion des incidents suit un calendrier précis : alerte initiale sous 24 heures, notification sous 72 heures et rapport final dans le mois. Dans la version de la commission spéciale, l’article 37 prévoit des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, et 7 millions d’euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu. Ces plafonds peuvent encore évoluer en séance, ce qui renvoie au point qui bloque le texte depuis le Sénat.
Le chiffrement, point de clivage du texte
L’article 16 bis, introduit par les sénateurs, interdit d’imposer aux fournisseurs de chiffrement des dispositifs qui affaibliraient volontairement la sécurité de leurs services, autrement dit des portes dérobées. La Direction générale de la sécurité intérieure y voit une entrave à l’accès des enquêteurs aux contenus chiffrés.
Le gouvernement a choisi la confrontation directe en déposant l’amendement n° 358, qui supprime purement et simplement l’article. Selon NosParlementaires, dix amendements visent cette seule disposition, signe que le débat en séance s’annonçait long sur un sujet régalien sans rapport immédiat avec les obligations des entreprises. C’est ce nœud politique, bien plus que les règles de cybersécurité elles-mêmes, qui conditionne la suite du calendrier.
Un calendrier suspendu au budget et à la Cour de justice
Le relevé du 20 octobre ne modifie l’ordre du jour qu’au profit du projet de loi de finances et du projet de loi de financement de la sécurité sociale pour 2027, dont l’examen s’étend jusqu’en décembre. Une réinscription avant la fin de l’année reste possible, mais aucune semaine ne lui est réservée à ce stade, et la procédure engagée devant la Cour de justice continue de courir pendant ce temps.
Pour les entreprises du périmètre, l’attente ne gèle pas tout. Les fabricants de produits numériques appliquent déjà le signalement sous 24 heures prévu par le Cyber Resilience Act depuis le 11 septembre 2026, et le référentiel de l’ANSSI fixe dès maintenant le niveau attendu. Le jour où la loi sera promulguée, l’écart entre les organisations qui auront avancé et les autres se mesurera en mois de mise en conformité, et non en semaines.
