Mardi 27 octobre 2026
- Présidence de M. Christophe Guilloteau, président d'âge -
La réunion est ouverte à 14 h 00.
Réunion constitutive
M. Christophe Guilloteau, président. - Mes chers collègues, il me revient, en qualité de président d'âge, d'ouvrir cette réunion constitutive de la commission spéciale sur le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité.
Cette commission spéciale avait été constituée une première fois le 12 novembre 2024, mais elle doit être formellement reconstituée à la suite du renouvellement sénatorial du 27 septembre dernier. Elle est composée de trente-sept membres, cette composition ayant été validée en séance publique le 21 octobre dernier.
Notre ordre du jour appelle en premier lieu l'élection du président de notre commission spéciale, conformément à l'alinéa 4 de l'article 13 du Règlement du Sénat
J'ai été informé que le groupe de l'Union centriste et Indépendants proposait la candidature de notre collègue Olivier Cadic, qui assurait la présidence de la commission spéciale avant le renouvellement sénatorial.
Y a-t-il d'autres candidats ?...
Il est procédé à un vote à main levée.
M. Olivier Cadic est désigné président de la commission spéciale par acclamation.
M. Christophe Guilloteau, président. - Je proclame M. Olivier Cadic président de la commission spéciale. Je vous invite, cher collègue, à prendre la place du président.
- Présidence de M. Olivier Cadic, président -
M. Olivier Cadic, président. - Chers collègues, je vous remercie pour cette unanimité. Je remercie également notre doyen d'âge pour son introduction.
Nous allons à présent procéder à la désignation du Bureau de notre commission spéciale, en respectant la répartition proportionnelle des groupes politiques.
Nous procédons, dans un premier temps, à la désignation des vice-présidents.
La règle qui s'applique est celle des commissions permanentes, fixée par l'alinéa 6 de l'article 13 du Règlement du Sénat.
En conséquence, et compte tenu des candidatures transmises par les groupes politiques, je vous propose de désigner les dix vice-présidents suivants : pour le groupe Les Républicains, M. Cédric Perrin et Mme Christine Lavarde ; pour le groupe Socialiste, Écologiste et Républicain, Mme Hélène Conway-Mouret et Mme Audrey Linkenheld ; pour le groupe Communiste Républicain Citoyen et Écologiste - Kanaky, Mme Michelle Gréaume ; pour le groupe du Rassemblement Démocratique et Social Européen, M. Bernard Fialaire ; pour le groupe Rassemblement des démocrates, progressistes et indépendants, M. Lafaele Tukumuli ; pour le groupe Écologiste - Solidarité et Territoires, M. Thomas Dossus ; pour le groupe Les Indépendants - République et Territoires, Mme Vanina Paoli-Gagin ; pour le groupe Union Nationale pour les Territoires, M. Frank Giletti.
Les vice-présidents sont désignés.
M. Olivier Cadic, président. - Nous procédons, dans un second temps, à la désignation des secrétaires à la représentation proportionnelle, en application de l'alinéa 7 de l'article 13 du Règlement du Sénat.
Je vous propose, conformément aux propositions formulées par les groupes, de désigner comme secrétaires : pour le groupe Les Républicains, Mme Martine Berthet et M. Guillaume Chevrollier ; pour le groupe Union Centriste et Indépendants, Mme Catherine Morin-Desailly.
Les secrétaires sont désignés.
M. Olivier Cadic, président. - Aux fonctions de rapporteurs, j'ai reçu les candidatures de M. Hugues Saury et M. Damien Michallet, pour le groupe Les Républicains, et de M. Michel Canévet pour le groupe Union Centriste et Indépendants.
M. Hugues Saury, M. Damien Michallet et M. Michel Canévet sont désignés rapporteurs.
M. Olivier Cadic, président. - Le Bureau de la commission est donc ainsi constitué :
Président : M. Olivier Cadic ; vice-présidents : M. Cédric Perrin, Mme Christine Lavarde, Mme Hélène Conway-Mouret, Mme Audrey Linkenheld, Mme Michelle Gréaume, M. Bernard Fialaire, M. Lafaele Tukumuli, M. Thomas Dossus, Mme Vanina Paoli-Gagin et M. Frank Giletti ; rapporteurs : M. Hugues Saury, M. Damien Michallet et M. Michel Canévet.
Je salue ceux de nos collègues qui siégeaient déjà au sein de cette commission spéciale avant le renouvellement sénatorial et souhaite la bienvenue à ceux qui nous rejoignent. Je tiens également à rendre hommage au travail remarquable accompli par notre ancien collègue Patrick Chaize, auquel Damien Michallet succède.
Permettez-moi de revenir brièvement sur le parcours pour le moins chaotique du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité qui nous réunit ici aujourd'hui.
Déposé au Sénat le 15 octobre 2024, ce texte a pour objet de transposer trois directives européennes, faisant chacune l'objet d'un titre spécifique.
Le titre Ier transpose la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, dite « REC », qui modifie le code de la défense.
Le titre II transpose la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union, dite « NIS 2 » (Network and Information Systems).
Enfin, le titre III transpose la directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022, qui concerne la résilience opérationnelle numérique du secteur financier, dite « Dora » (Digital Operational Resilience Act).
Ces trois directives auraient dû être transposées avant le 17 octobre 2024, soit au moment du dépôt du projet de loi au Sénat, après la dissolution de juin 2024. Nous avons donc commencé nos travaux hors délais, mais ce n'était qu'un début : alors que le Sénat a adopté le projet de loi le 12 mars 2025, celui-ci n'a toujours pas été examiné par l'Assemblée nationale en séance publique !
La commission spéciale de l'Assemblée a pourtant bien adopté un texte le 10 septembre 2025, mais celui-ci n'a toujours pas été inscrit à l'ordre du jour de la séance plénière. L'examen du texte était enfin prévu au début de ce mois d'octobre 2026, mais il a été de nouveau retiré de l'ordre du jour de l'Assemblée en raison de la durée des débats de la proposition de loi apportant une réponse intégrale au phénomène des violences sexuelles et sexistes contre les femmes et les enfants. Un examen courant novembre est désormais évoqué, mais sans aucune certitude à ce stade...
Résultat : nous avons désormais accumulé plus de deux ans de retard dans la transposition de ces directives, ce qui nous vaut une procédure devant la Cour de justice de l'Union européenne (CJUE), à l'instar de trois autres États retardataires. La Commission a annoncé le 8 juillet dernier qu'elle réclamait l'imposition d'amendes « consistant en une somme forfaitaire et des astreintes journalières jusqu'à la notification de la transposition complète » de la directive NIS 2.
Le plus grave est que ces textes sont indispensables pour élever le niveau de cybersécurité de nos entités critiques, de nos entreprises ou bien encore de nos collectivités territoriales, dans un contexte où les cyberattaques, parfois dopées à l'intelligence artificielle (IA), et les fuites massives de données se multiplient. Pensez aux fuites de données gravissimes qui ont touché l'Agence nationale des titres sécurisés (ANTS) et la direction générale des finances publiques (DGFiP) ces derniers mois ou à la cyberattaque qui a frappé les systèmes de réfrigération de centaines de supermarchés en France dans la nuit du 11 au 12 octobre dernier.
Lors de son audition du 8 juillet dernier par la commission des affaires économiques du Sénat, M. Vincent Strubel, directeur général de l'Agence nationale de la sécurité des systèmes d'information (Anssi), rappelait ainsi combien la transposition de la directive NIS 2 est essentielle. Elle vise à fixer des règles de sécurité de base pour environ 20 000 entités en France et a également pour objet de donner à l'Anssi l'autorité qui lui fait cruellement défaut aujourd'hui. Je cite M. Strubel : « Actuellement, nous sommes une agence qui préconise, conseille et accompagne, mais qui n'a le pouvoir d'imposer des mesures qu'à environ 300 opérateurs d'importance vitale (OIV). Demain, la directive NIS 2 nous donnera la possibilité d'imposer, de contrôler et de sanctionner dans un champ beaucoup plus élargi, ce qui est nécessaire pour obtenir la maturité requise ».
Je rappelle toutefois que l'ANTS et la DGFiP sont déjà des opérateurs d'importance vitale relevant de l'Anssi et qu'aucune sanction n'a, à ma connaissance, été prononcée. Dès lors, comment envisager de sanctionner les entreprises privées alors que les opérateurs déjà soumis à son contrôle ne le sont pas ?
Vous l'avez compris, il me paraît primordial que nous maintenions la pression sur le Gouvernement afin que ce projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité soit inscrit à l'ordre du jour de l'Assemblée nationale dans les meilleurs délais et que la réunion de la commission mixte paritaire sur ce texte soit convoquée dans la foulée. Il faut absolument aboutir d'ici février 2027.
M. Michel Canévet, rapporteur. - Je déplore que ce texte n'ait toujours pas été examiné par l'Assemblée nationale. Le retard de transposition expose notre pays à des pénalités financières qui risquent de grever un peu plus encore les comptes publics, déjà particulièrement préoccupants.
M. Damien Michallet, rapporteur. - Nous avons commencé nos travaux alors que nous étions déjà en retard. Depuis, la replanification est quasi systématique, sans aucun engagement du Gouvernement.
Il est paradoxal de s'organiser pour punir les OIV privés qui ne respecteraient pas ces directives, alors que les ministres se renvoient la responsabilité de leur transposition. Nous devrons évoquer cette question lors de l'examen du projet de loi de finances (PLF) : comment justifier les pénalités que nous subissons alors que nous pourrions réaliser des économies simplement en respectant les échéances fixées par l'Europe ?
Mme Vanina Paoli-Gagin. - Ne risquons-nous pas, à moyen terme, de laisser croire qu'il n'est plus la peine de faire tous les efforts que nous déployons pour retrouver notre souveraineté numérique ?
Mme Catherine Morin-Desailly. - Pendant ce temps, l'Europe avance. Un texte « Nis 2 bis » se profile. Avec notre collègue Audrey Linkenheld, nous avons émis, au nom de la commission des affaires européennes, un avis en matière de subsidiarité sur ce texte destiné à réviser une partie de la directive NIS 2 ainsi que le Cybersecurity Act. Il faudra en tenir compte dans nos travaux : nous sommes rattrapés par l'Union européenne.
Mme Nathalie Delattre. - Qu'en est-il de l'agenda et du déblocage à l'Assemblée nationale ? Avons-nous des perspectives ? Si nous n'aboutissons pas avant une certaine date, nous n'y serons pas en 2027.
M. Olivier Cadic, président. - Nous sommes tenus par le fait que le texte doit être examiné par l'Assemblée nationale avant la réunion d'une commission mixte paritaire. Toutefois, tant qu'il n'aboutit pas, nous pourrions nous réunir pour décider d'actions communes et d'auditions.
Ce qui me gêne, c'est que l'Anssi s'inscrit dans une vision purement nationale, alors qu'il s'agit de directives européennes. Cette approche est très critiquée par les acteurs du secteur privé. En Belgique et dans plusieurs autres pays, la certification ISO 27001 permet de se conformer à la directive NIS 2. Or cette voie n'a même pas été suggérée aux entreprises françaises. Il existe aujourd'hui une nouvelle version de cette norme qui intègre l'intelligence artificielle.
Nous pourrions nous appuyer sur cette norme pour mobiliser les entreprises privées, en attendant le vote du texte, quitte à y apporter la brique manquante. Notre commission pourrait se saisir de cette question, car, au-delà de la loi, tout réside dans son application, qui reposera sur les décrets et le modus operandi retenu.
Mme Michelle Gréaume. - L'article 16 bis constituait également un point de blocage. Est-ce toujours d'actualité ?
M. Olivier Cadic, président. - J'avais introduit cet article pour protéger le chiffrement des messageries, notamment WhatsApp et Signal. La proposition de loi visant à sortir la France du piège du narcotrafic prévoyait un dispositif permettant aux autorités de s'introduire dans les messageries chiffrées. Nous comprenons que les services de sécurité souhaitent pouvoir traquer les criminels qui les utilisent. Toutefois, créer une porte dérobée pour accéder à ces messageries revient à fragiliser l'ensemble du système de chiffrement.
Le ministère de l'intérieur m'avait assuré que cet accès serait soumis à l'autorisation d'un juge. Or les Chinois et les Américains n'iront pas voir le juge pour entrer dans le système ! Notre démarche visant à sanctuariser le chiffrement a d'ailleurs reçu de nombreux soutiens internationaux, notamment celui du vice-président de Microsoft et d'Audrey Tang, à Taïwan.
D'après ce que nous comprenons, sans que cela ait jamais été dit officiellement, le Gouvernement ne semble pas en mesure de réécrire l'article 16 bis et souhaiterait en réalité le supprimer. Or l'Assemblée nationale a réécrit cet article en allant plus loin encore, en durcissant ses dispositions.
J'ai donc demandé au ministère de l'intérieur ce qu'il proposait. Il ne suffit pas de demander le retrait de cet article en s'engageant à ne jamais créer de porte dérobée. J'ai invité mes interlocuteurs à présenter leur proposition à l'Assemblée nationale : ce n'est plus au Sénat de se prononcer, dès lors que nous avons voté le texte.
Aucune proposition de réécriture de l'article 16 bis n'a pourtant été formulée. Je le répète, nous ne voulons en aucun cas diminuer les capacités de nos services de sécurité. En revanche, nous voulons nous assurer que notre système soit résilient. Nous ne pouvons pas créer nous-mêmes des fragilités. C'est là, semble-t-il, le véritable enjeu qui fait obstacle à l'adoption du texte.
Mme Catherine Morin-Desailly. - Nous étions nombreux à soutenir cette position, afin d'éviter toute vulnérabilité dans le système.
Il me semble nécessaire de poursuivre les auditions, tant le sujet de la cybersécurité est d'une brûlante actualité. En l'absence de transposition, le Gouvernement n'énonce toujours pas de doctrine claire pour les administrations, les collectivités territoriales et les citoyens. Il nous manque un maillon essentiel de notre stratégie globale, notamment pour retrouver notre souveraineté.
S'agissant du secteur privé, nous avions amendé le texte pour permettre à l'Anssi de structurer la filière et de renforcer notre souveraineté par le recours à des entreprises françaises et européennes de cybersécurité, afin d'étanchéifier le système. Tant que la transposition n'est pas achevée, cette ambition de politique industrielle ne peut aboutir. Cela rejoint les conclusions de notre commission d'enquête sur la commande publique, qui préconisait d'en faire un levier de souveraineté.
Nous sommes donc dans une impasse. Le Gouvernement déplore les cyberattaques, mais n'a toujours pas fixé sa doctrine. Nous devons reprendre l'initiative en reconstituant cette commission et poursuivre les auditions pour recueillir le point de vue des différents acteurs.
Mme Marie-Claire Carrère-Gée. - N'ayant pas participé aux travaux antérieurs, je souhaiterais comprendre ce qui bloque réellement l'inscription du texte à l'ordre du jour de l'Assemblée nationale. J'entends que certains articles pourraient être en cause, mais, quelle que soit leur importance, ils interrompent rarement un processus législatif.
Je souscris à la poursuite des auditions, mais il me semble que la première question est de savoir quels moyens de pression nous pouvons mobiliser, notamment par des initiatives transpartisanes ou des prises de parole publiques, pour favoriser cette inscription. C'est une affaire d'intérêt public et ce texte aurait déjà dû être adopté. Si nous voulons être utiles, c'est d'abord cette question que nous devons nous poser.
M. Olivier Cadic, président. - En janvier dernier, nous avons tenu une conférence de presse conjointe avec Philippe Latombe, président de la commission spéciale de l'Assemblée nationale. Cette démarche commune était inédite. Notre commission, normalement temporaire, existe depuis près de deux ans et nous sommes aujourd'hui obligés d'en reconstituer le bureau, alors que cette histoire devrait être derrière nous depuis longtemps !
C'est la première fois qu'un gouvernement fait la grève en refusant d'inscrire un texte à l'ordre du jour, alors même qu'il a été adopté par la commission spéciale de l'Assemblée nationale. On nous oppose l'encombrement de l'ordre du jour, ce qui n'empêche pas d'y inscrire d'autres textes. Le ministre et son cabinet ne présentent aucune proposition alternative. Nous sommes donc confrontés à un réel problème, qui relève pour l'instant de l'Assemblée nationale.
Nous ne pouvons pas laisser la situation en l'état, car nous perdons toute crédibilité sur le plan international en matière de cybersécurité. Comment les Français pourraient-ils participer aux discussions sur l'avenir de la cybersécurité alors que nous n'avons pas été capables de transposer ces règles dans notre droit ?
En écho aux propos de Mme Catherine Morin-Desailly, une chose est de procéder à des auditions sur les crédits du programme 129, une autre est d'examiner la stratégie envisagée pour répondre à la directive NIS 2 et les moyens réclamés à cette fin. Tout le monde est-il réellement convaincu par les propositions formulées ? Pour ma part, je suis loin de l'être. Mais chacun d'entre nous a un regard, une expérience et des attentes différents. Il est donc important d'entendre à nouveau l'Anssi.
Lorsqu'elle envisage de concevoir un système propriétaire, propre à la France et distinct de ce qui se fait ailleurs, cela pose une difficulté conceptuelle. Nous parlons d'une directive européenne visant à élever le niveau conjoint de cybersécurité. Nous ne pouvons pas agir de manière isolée, ce n'est ni possible ni cohérent.
Au-delà du vote du texte, les entreprises devront appliquer ces obligations. Or, au vu de ce qui a été présenté, j'attends encore de voir des PME se déclarer capables de les mettre en oeuvre. Les enjeux sont importants et, même si le texte n'aboutit pas pour l'instant, les entreprises doivent continuer à avancer.
Nous avions évoqué l'exemple de Dora : les banques disposent de deux mois pour déployer un patch, contre une semaine aux États-Unis. Une institution financière peut ainsi être considérée comme conforme en Europe sans installer immédiatement ce patch, alors qu'elle risquerait d'être condamnée aux États-Unis. Nous n'avons obtenu aucune réponse à ces questions. Un an après, il serait utile d'y revenir.
M. Michel Canévet, rapporteur. - Ne pourrions-nous pas procéder à une audition conjointe de la ministre chargée du numérique et du ministre chargé des relations avec le Parlement, afin de leur faire entendre l'urgence de l'examen du texte et d'évoquer nos inquiétudes ?
M. Olivier Cadic, président. - J'ai déjà interpellé à plusieurs reprises le ministre chargé des relations avec le Parlement en Conférence des présidents. Toutes les mobilisations sont bonnes, mais il faudrait peut-être également voir avec le ministre de l'intérieur, dont nous attendons une réponse.
Mme Nathalie Delattre. - Nous pourrions aussi profiter de l'examen du PLF pour interroger collectivement le Gouvernement sur les pénalités financières. Lorsque le ministre aura dû répondre plusieurs fois à la même question, il finira par comprendre.
M. Olivier Cadic, président. - Nous vérifierons le montant exact des pénalités financières qui avait, me semble-t-il, déjà été annoncé. Mais la question ne semble pas tranchée.
Mme Vanina Paoli-Gagin. - Pourquoi n'avons-nous pas choisi la voie de la norme, comme les Belges ? Ce blocage me paraît totalement irrationnel au regard de la situation de nos voisins. Pourtant, il présente nécessairement une rationalité pour quelqu'un. Pour qui ?
Plus je travaille sur ces sujets, plus je constate que la France demeure très sensible aux Gamam. Nous applaudissons à de nombreuses initiatives qui constituent, selon moi, des violations extravagantes de notre souveraineté, comme les gigafactories d'IA ou les prises de participation dans Doctolib. J'ai l'impression de vivre dans un monde parallèle : là où beaucoup se réjouissent, moi, je m'inquiète.
Il y a beaucoup de non-dits derrière cette situation. Sinon, comment expliquer que nous en soyons encore là avec ce texte, qui n'est qu'une simple transposition et dont nous parlons depuis plusieurs années ?
Mme Catherine Morin-Desailly. - La question des portes dérobées, ou backdoors, se pose également au niveau européen : faut-il rendre les messageries accessibles pour lutter contre le narcotrafic et la pédocriminalité ? Nous avons rencontré la même difficulté au sein de la commission des affaires européennes, lors de l'examen de la proposition de règlement visant à prévenir et combattre les abus sexuels sur les enfants en ligne. Faut-il aller jusqu'à permettre l'intrusion dans des messageries comme WhatsApp ? Ce texte est lui aussi bloqué sur cette question.
Il serait utile d'examiner ce problème avec les experts, notamment au niveau européen. En voulant faciliter l'accès à ces messageries, nous risquons de donner aux hackers les moyens de nous attaquer. C'est contre-productif, comme l'a notamment souligné Guillaume Poupard. Je m'étonne que cette question ne soit toujours pas réglée.
M. Olivier Cadic, président. - Tous les acteurs européens avec lesquels j'ai échangé considèrent que l'affaiblissement du chiffrement est un no-go. Les homologues luxembourgeois de l'Anssi et du secrétariat général de la défense et de la sécurité nationale (SGDSN) me l'ont notamment confirmé.
J'ai dit à tous ceux qui sont chargés d'assurer la sécurité qu'ils ne mesurent pas la situation. Ils veulent pouvoir écouter, mais c'est précisément pour ne pas être écouté que l'on chiffre ! Au Sénat, nous avons pourtant voté des dispositions leur permettant d'installer des logiciels sur les téléphones pour mener leurs enquêtes. Nous leur donnons des moyens d'agir ; il n'est donc pas question d'affaiblir tout le système. Quant aux Chinois, ils n'iront pas voir le juge pour nous espionner !
Puisque les services de sécurité affirment que le texte remet en cause toutes leurs enquêtes, voire les écoutes téléphoniques, je leur ai suggéré de le modifier pour préciser qu'il ne saurait interférer avec les dispositions déjà votées.
Je retiens donc l'idée d'une audition conjointe de la ministre chargée du numérique et du ministre chargé des relations avec le Parlement. Cela fait bientôt dix-huit mois que nous avons voté ce texte, qui ne nous revient toujours pas en commission mixte paritaire. Combien de temps cela va-t-il durer ? Cette audition me semble être une bonne entrée en matière.
M. Damien Michallet, rapporteur. - La conférence de presse de janvier avait bien fonctionné et la tribune publiée par le groupe Les Républicains en septembre a trouvé de nombreux échos. Ne pourrions-nous pas publier une nouvelle tribune pour faire savoir que notre commission est installée et que la situation est inacceptable ?
Certes, nous ne sommes pas toujours alignés avec l'écosystème, car le secteur privé avance sans attendre. Le blocage relève davantage d'une problématique publique que privée. Pour autant, certains acteurs privés sont dans les starting-blocks et en mesure de répondre à cette loi.
Pour avoir rencontré la ministre à de nombreuses reprises, je crains qu'elle ne nous répète les mêmes explications sur ce blocage incompréhensible, qui semble pourtant convenir à certains. Sans mobilisation de l'écosystème, une nouvelle audition risque d'être un coup d'épée dans l'eau. Nous pourrions donc organiser rapidement une conférence de presse ou publier un communiqué.
Mme Marie-Claire Carrère-Gée. - Je souhaite néanmoins que nous procédions à cette audition pour nous faire une idée, car plusieurs problèmes ne sont pas clairement explicités. Une éventuelle tribune sera d'autant mieux comprise que les membres de la commission sauront précisément ce qui bloque.
Manifestement, différents intérêts sont en jeu, mais je ne mesure pas lesquels. Écoutons la ministre, faisons-nous une idée, puis agissons.
M. Olivier Cadic, président. - Nous pourrions effectivement entendre la ministre, qui avait été rapporteure de ce projet de loi à l'Assemblée nationale, notamment sur la transposition de la directive NIS 2.
Je voudrais revenir sur une réponse du SGDSN, que j'avais interrogé sur les responsabilités en matière de cyberattaques. Ses responsables revendiquent leur qualité de « technocrates », estimant qu'il leur appartient d'indiquer à l'autorité politique la hiérarchie des priorités à mettre en oeuvre. Ils se disent également convaincus que le modèle de cybersécurité mis en place depuis quinze ans, dans lequel l'Anssi joue un rôle central, est le bon.
Nous avons donc face à nous des fonctionnaires qui revendiquent le fait de dicter aux politiques les priorités et ce qui doit être fait.
Mme Marie-Claire Carrère-Gée. - Je comprends tout à fait la réaction de cette administration, interrogée sur les responsabilités en matière de cyberattaques. Ses représentants se présentent comme des techniciens, voire des « technocrates », terme que certains politiques emploient pour les dénigrer. Ils rappellent qu'en tant que fonctionnaires, leur rôle est de dire ce qui va et ce qui ne va pas. Ensuite, c'est au politique de décider.
Mme Michelle Gréaume. - Je crains qu'à l'approche de l'élection présidentielle, le texte ne soit encore retardé, peut-être au-delà de cette échéance. Je suis favorable à une tribune et à la poursuite des auditions pour déterminer ce que nous pourrions proposer.
M. Samir Rhimini. - L'Alliance pour la confiance numérique (ACN) ou la Fédération française de la cybersécurité pourraient-elles évaluer le préjudice causé par le retard de transposition des directives ? Une telle estimation nous permettrait de donner plus de force à nos revendications en faveur de l'inscription du projet de loi à l'ordre du jour.
À Bourges, ville réputée pour son industrie de l'armement, plusieurs fleurons de la cybersécurité gravitent autour de ce secteur. Ces entreprises, pourtant qualifiées, peinent à conclure des contrats avec d'autres entités économiques, qui n'ont pas encore l'obligation de se mettre en conformité. Les effets sont considérables pour nos TPE et PME spécialisées.
M. Olivier Cadic, président. - Nous avions auditionné l'Alliance pour la confiance numérique (ACN) et différents opérateurs du secteur de la cybersécurité. J'avais également demandé à l'Anssi d'évaluer la différence entre la France et les pays qui appliquent déjà la directive NIS 2, comme la Belgique ou l'Italie. Sont-ils mieux ou moins bien protégés que nous ? Elle n'a pas été capable de répondre.
Il faut également mesurer les effets de la directive au regard des obligations imposées aux entreprises. Vous proposez d'évaluer les dommages liés au retard de transposition, mais nous devons aussi pouvoir comparer la situation des entreprises soumises à ces obligations et celle des autres.
Nous demandons aux entreprises de respecter de nouvelles règles, de s'équiper, d'accomplir une multitude de démarches et de répondre à l'Anssi. Or cette dernière n'est pas leur patron ; elles doivent avant tout répondre à leurs clients !
En tant que législateurs, nous sommes responsables de ce qui va peser sur les entreprises et devons conserver un minimum de maîtrise. Il serait donc intéressant de mesurer les effets positifs de la directive dans les pays qui l'appliquent depuis près de deux ans, par rapport à la France. C'est une autre manière d'aborder la même question.
Mme Catherine Morin-Desailly. - Demandons à la commission des affaires européennes de conduire une mission flash pour expertiser la façon dont la directive NIS 2 a été appliquée dans les États membres. Nous disposons des outils nécessaires, notamment pour auditionner les commissaires européens ou nous rendre à Bruxelles. Nous n'avons pas besoin d'attendre une évaluation de l'Anssi, qui serait nécessairement partielle.
M. Olivier Cadic, président. - Notre commission s'était déjà rendue en Belgique, parmi les premiers pays à avoir transposé la directive. Il serait intéressant d'y retourner deux ans après pour en mesurer les effets par rapport à la France.
Je tiens surtout à ne pas imposer de contraintes supplémentaires à nos entreprises. Je veux aider nos entrepreneurs, non leur compliquer la vie.
Mme Marie-Claire Carrère-Gée. - Il me semble que nous discutons de deux choses différentes : d'une part, l'urgence de transposer les directives et les moyens d'y parvenir ; d'autre part, le travail sur le fond et le contenu du projet de loi.
Ou bien faudrait-il comprendre que ce texte est si mauvais et que sa plus-value dans les autres pays européens est si incertaine que nous devrions finalement nous résoudre à en rester là ? Quel est notre objectif ? J'avais compris que nous voulions favoriser l'aboutissement de ce projet de loi, tout en travaillant ensuite sur son contenu, au Sénat, à l'Assemblée nationale ou en commission mixte paritaire.
Mme Vanina Paoli-Gagin. - Je ne pense pas que ces deux sujets soient décorrélés. Pour obtenir ces informations, il n'est nul besoin de déployer une armada : nous disposons d'un réseau diplomatique que tout le monde nous envie et de postes d'expansion économique chez tous nos voisins. Envoyons-leur un questionnaire pour connaître les résultats des mesures appliquées, notamment sur le chiffre d'affaires.
Ces informations pourraient étayer notre argumentation et montrer que chaque semaine où nous ne votons pas ce texte, nous faisons perdre de l'argent à nos entreprises du secteur numérique.
Mme Nathalie Delattre. - Il serait intéressant d'entendre nos équipes françaises à Bruxelles, qui travaillent sur ce sujet et cherchent comment parvenir à négocier. Elles représentent certainement une partie de la solution, car elles connaissent les mesures mises en place par les autres pays et pourraient nous aider à repartir sur une base différente.
M. Olivier Cadic, président. - Je vous propose d'auditionner la ministre chargée du numérique et d'échanger avec le ministère chargé des relations avec le Parlement pour comprendre les raisons du blocage.
Sur le contenu du texte, nous votons une loi, mais les décrets d'application donnent ensuite à l'Anssi le pouvoir de décider de la manière dont elle sera appliquée, sans que nous ayons la main. Cela me pose problème : c'est nous, parlementaires, qui passons devant les électeurs, et non les technocrates. C'est également nous qui devrons répondre des obligations imposées aux entreprises.
Étant moi-même entrepreneur, je connais les difficultés liées à l'application de nouveaux textes. L'objectif de la directive NIS 2 est d'améliorer la résilience cyber des entreprises, non de leur compliquer la vie pour qu'une agence développe son propre business sur leur dos.
Il y va de notre responsabilité collective et de la place du politique. Quelle est notre utilité si nous donnons les pleins pouvoirs à une administration qui appliquera ensuite le texte comme bon lui semble ?
Le projet de loi doit encore être examiné à l'Assemblée nationale. Or nous pouvons déjà observer l'application de la directive dans les autres pays européens. Faut-il lui donner une application franco-française qui créera des complexités supplémentaires ?
Mme Catherine Morin-Desailly. - Nous avons déjà accompli un important travail législatif avec nos trois rapporteurs et voté en première lecture un texte amendé pour tenir compte de nos différentes préoccupations. Nous ne pouvons pas remettre en cause notre propre texte. Nous pourrons examiner les évolutions possibles en commission mixte paritaire et, avec le recul, vérifier si notre travail est en adéquation avec l'application des directives dans les autres pays.
Nos difficultés portaient avant tout sur les failles et les backdoors.
Il nous faut donc reprendre le travail, en commençant par auditionner les ministres pour connaître les perspectives. Une tribune permettrait également de marquer nos préoccupations, notamment budgétaires. Nous devons aussi tenir compte des évolutions européennes : la future directive NIS 2 bis prévoit justement un allègement des obligations issues de la directive NIS 2. Il conviendra de demander, à cette occasion, si nous pouvons anticiper sa transposition et quelle est notre marge de manoeuvre. Nous ne pouvons pas remettre en cause tout ce que nous avons déjà accompli.
Mme Nathalie Delattre. - Préparons-nous pour la commission mixte paritaire, tout en poursuivant un travail qui pourrait nous conduire à proposer un nouveau texte, car le projet de loi actuel commence à dater. Nous pouvons mener ces deux stratégies de front.
M. Olivier Cadic, président. - Il faudra entendre à nouveau l'Anssi pour qu'elle justifie sa position technique et les solutions qu'elle préconise par rapport aux autres États européens. En quoi ces mesures seront-elles meilleures, alors qu'elles représenteront des obligations supplémentaires pour les entreprises ?
Nous devrons collectivement assumer les résultats de cette application. Lorsque nous avons voté le texte, nous ne disposions pas du document présentant les modalités envisagées par l'Anssi. Désormais, nous en avons connaissance.
La réunion est close à 14 h 55.