Le projet de loi sur la cybersécurité pourrait retrouver une place dans l’hémicycle à la faveur du calendrier budgétaire. Selon les informations publiées par LCP le 4 novembre 2026 à 11 h 02, les services du Premier ministre envisagent d’utiliser le temps libéré par un éventuel rejet du projet de loi de finances pour 2027 pour examiner ce texte. À ce stade, cette perspective reste conditionnelle : elle ne constitue ni un vote acquis sur le budget ni une adoption de la réforme cyber.
Derrière cette possibilité de reprise des débats se trouve un chantier qui dépasse la protection des ordinateurs. Le texte organise la résilience des activités essentielles, renforce le cadre de sécurité numérique et adapte des règles financières. Pour comprendre ce qui pourrait changer, il faut distinguer le calendrier parlementaire, le contenu proposé et les obligations déjà applicables.
Un retour lié à l’issue de la discussion budgétaire
Dans leur article du 4 novembre, Maxence Kagni et Elsa Mondin-Gava, pour LCP, rapportent une annonce des services de Matignon : en cas de rejet du budget, le gouvernement utiliserait les plages devenues disponibles pour ce projet de loi. Le média situe la fin attendue de l’examen des recettes dans la semaine en cours et présente leur rejet comme probable. Une prévision politique ne vaut toutefois pas résultat du scrutin. L’annonce rapportée par LCP n’établit pas une date certaine d’ouverture des débats cyber.
Un texte déjà voté au Sénat, encore en première lecture à l’Assemblée
Le parcours du projet est précisément documenté. Déposé au Sénat le 15 octobre 2024, avec engagement de la procédure accélérée, il a été adopté par les sénateurs le 12 mars 2025. Il a ensuite été transmis à l’Assemblée nationale le 13 mars 2025. Le rapport et le texte de la commission spéciale de l’Assemblée ont été déposés le 10 septembre 2025, selon le dossier législatif du Sénat.
Le dossier de l’Assemblée nationale, consulté le 4 novembre 2026, présente toujours les travaux de cette première lecture. Le vote du Sénat et l’adoption d’un texte en commission ne constituent donc pas une adoption définitive par le Parlement. Les dispositions détaillées ci-dessous sont celles du texte de commission du 10 septembre 2025 : leur rédaction peut encore évoluer lors de la discussion en séance.
Trois volets européens, avec des objets différents
La présentation officielle de la commission spéciale du Sénat précise que le projet transpose trois directives européennes du 14 décembre 2022. Son premier titre concerne la directive 2022/2557, dite REC, sur la résilience des entités critiques. Son deuxième porte sur la directive 2022/2555, dite NIS 2, consacrée à la cybersécurité. Son troisième traite de la directive 2022/2556, relative à la résilience opérationnelle numérique du secteur financier.
Ces trois composantes ne se confondent pas. La résilience des infrastructures critiques concerne la capacité à maintenir une activité indispensable malgré une perturbation. Le volet NIS 2 porte sur la sécurité des réseaux et des systèmes d’information. Le volet financier s’articule avec le cadre européen DORA. Lire l’ensemble comme une simple obligation d’installer un logiciel de protection ferait donc perdre une partie de son objet.
La continuité des activités vitales au-delà du seul risque informatique
Dans le texte de commission du 10 septembre 2025, article premier, la résilience est organisée autour de la prévention des incidents et de la continuité des activités d’importance vitale. Les opérateurs concernés devraient analyser les risques susceptibles de perturber leur activité, puis adopter des mesures techniques, opérationnelles et organisationnelles proportionnées. Le projet prévoit un plan de résilience soumis à l’approbation de l’administration.
Ce même article envisage une analyse des dépendances envers des tiers, y compris à l’étranger, ainsi que des vulnérabilités des chaînes d’approvisionnement et des sous-traitants. Il traite également de la protection matérielle et des conditions d’accès aux installations les plus sensibles. L’enjeu proposé est donc de relier les équipements, les personnes, les fournisseurs et les systèmes numériques nécessaires au fonctionnement d’un service. Ces mécanismes restent ici décrits dans leur version parlementaire, et non comme des obligations nouvelles déjà entrées en vigueur.
NIS 2 : un périmètre plus large, mais pas toutes les entreprises
Au 4 novembre 2026, la page officielle de l’ANSSI consacrée à NIS 2 indique que la transposition française est en cours. Elle présente 18 secteurs d’activité, comprenant notamment l’énergie, les transports, la santé, l’eau, les infrastructures numériques, certaines activités industrielles et les administrations publiques. Les organisations concernées seraient principalement des entreprises moyennes et grandes, ainsi que des collectivités et administrations.
L’agence distingue les entités essentielles et les entités importantes en fonction de critères tenant notamment à la criticité, à la taille et aux données économiques, avec des exceptions sectorielles. Il serait donc inexact de présenter toutes les PME comme automatiquement assujetties. L’ANSSI résume le dispositif autour de l’enregistrement, de la gestion des risques et de la déclaration des incidents importants. La détermination du périmètre de chaque organisation suppose de prendre en compte les règles et exceptions applicables à son activité.
Les dirigeants et les prestataires intégrés à la gestion des risques
L’article 14 du texte de commission du 10 septembre 2025 prévoit des mesures adaptées et proportionnées aux risques. Il demande notamment que les organes de direction approuvent et supervisent le pilotage de la sécurité numérique. Il prévoit aussi la formation des dirigeants et des personnes exposées, en fonction de leur degré d’exposition.
La protection devrait couvrir les situations de sous-traitance, tandis que des outils et procédures devraient permettre la défense des systèmes et la gestion des incidents. Le texte renvoie à un décret pour préciser les objectifs et les conditions d’élaboration d’un référentiel technique et organisationnel. Autrement dit, le projet ne fixe pas à lui seul une liste finale et uniforme d’équipements à acheter. Il prévoit une organisation de la sécurité, dont la déclinaison devrait tenir compte des risques, de la taille des acteurs et de la gravité possible des incidents.
Signalement : ce que signifient les délais de 24 et 72 heures
L’article 17 du texte de commission concerne les incidents ayant un impact important sur les services, notamment lorsqu’ils causent ou peuvent causer une perturbation opérationnelle grave ou des dommages considérables. Il ne vise donc pas indistinctement toute anomalie technique. Dans cette version, les personnes concernées devraient transmettre une notification initiale sans retard injustifié et au plus tard 24 heures après avoir eu connaissance de l’incident important.
Une notification intermédiaire serait ensuite requise, au plus tard 72 heures après cette prise de connaissance, avec une première évaluation de la gravité et de l’impact. Une dérogation ramène cette étape à 24 heures pour les incidents touchant les services de confiance des prestataires concernés. Le rapport final serait transmis au plus tard un mois après la notification intermédiaire si l’incident est traité. Sinon, un rapport d’avancement serait suivi d’un rapport final dans le mois suivant son traitement. Il s’agit de délais d’information de l’autorité, pas d’une promesse de réparation complète en trois jours.
ReCyF : un document pour préparer la sécurité, encore en travail
Pour les organisations qui anticipent la réforme, l’ANSSI a publié un document de travail du Référentiel Cyber France, version 2.5 du 17 mars 2026. Il aborde le recensement des systèmes d’information, la gouvernance, les relations avec l’écosystème, la gestion des identités et des accès, la réaction aux incidents, la continuité et la reprise d’activité, ainsi que les exercices.
Ce document distingue les objectifs de sécurité des moyens proposés pour les atteindre. Il prévoit aussi des objectifs supplémentaires pour les entités essentielles, notamment en matière d’analyse des risques et d’audit. Sa mention explicite de « document de travail » doit être conservée à l’esprit : il donne une base technique de préparation, sans permettre de présenter chacune de ses mesures comme une prescription française définitive. Recenser les services indispensables, leurs dépendances et leurs responsables permet de comprendre le travail attendu ; l’appréciation finale de la conformité dépendra du cadre effectivement applicable à l’organisation.
Finance : DORA est déjà applicable à certaines entités
Le retard du projet français ne signifie pas que tout le cadre financier européen serait suspendu. Dans sa FAQ, question A3, l’Autorité de contrôle prudentiel et de résolution précise que le calendrier du projet de loi Résilience est sans conséquence sur les exigences du règlement européen 2022/2554 DORA, applicables depuis le 17 janvier 2025 aux entités visées par son article 2.
La distinction est essentielle : le projet français transpose notamment une directive d’adaptation, tandis que le règlement européen dispose de son propre champ d’application. L’ACPR détaille également des situations particulières et des exclusions. Il faut donc vérifier la catégorie de l’acteur financier concerné, plutôt que déduire de l’attente parlementaire une dispense générale de respecter DORA.
Les prochaines étapes à vérifier
Au 4 novembre 2026, l’information nouvelle porte sur une possibilité de reprise de l’examen. La rédaction finale des articles, les textes réglementaires auxquels ils renvoient et le calendrier effectif d’application ne peuvent pas être déduits de cette seule annonce. Le dossier parlementaire de l’Assemblée permet de suivre les étapes formelles ; le texte de commission permet d’identifier les choix qui restent soumis au débat.
Pour prolonger le sujet, Ouelen a consacré des articles aux incidents touchant des équipements de réfrigération de supermarchés et aux allégations de fuite de données dans la prise de rendez-vous au contrôle technique. Ces lectures sont des éléments de contexte distincts : elles ne permettent ni d’affirmer que chaque entreprise citée relèverait de NIS 2, ni de conclure que le futur texte aurait empêché ces événements.
Sources consultées le 4 novembre 2026
- LCP, Maxence Kagni et Elsa Mondin-Gava, 4 novembre 2026 à 11 h 02 : perspective de reprise de l’examen.
- Sénat : dossier législatif et chronologie.
- Assemblée nationale : dossier de la première lecture.
- Sénat : présentation des trois directives transposées.
- Assemblée nationale : texte de commission du 10 septembre 2025, notamment articles premier, 14 et 17.
- ANSSI : périmètre et état de la transposition de NIS 2.
- ANSSI : ReCyF, document de travail du 17 mars 2026.
- ACPR : FAQ sur la directive et le règlement DORA.
