● Élus, dossiers et scrutins officiels synchronisés · analyses éditoriales clairement signalées

TRAVAIL PARLEMENTAIRE OFFICIEL

Les amendements

145 529 amendements recensés ; les 500 plus récents sont consultables dans cette version légère.

Mode déployable allégé

La recherche porte sur les 500 amendements les plus récents. Les statistiques agrégées couvrent bien les 145 529 amendements ; l’archive exhaustive reste accessible depuis la source officielle.

Données actualisées le 10/11/2026 · extrait récent

145 529amendements recensés

19 520adoptés

35 263rejetés

14 016retirés

ACCÈS PAR TEXTE

Textes les plus amendés

Ouvrez directement les amendements officiellement rattachés à un dossier législatif.

Projet de loi ordinaireProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité261 amendements →Projet de loi de finances rectificativeProjet de loi de finances de fin de gestion pour 202697 amendements →Proposition de loi ordinaireMieux reconnaître et à valoriser les aidants actifs35 amendements →Projet de loi de finances de l'annéeProjet de loi de finances pour 202733 amendements →Proposition de loi ordinaireL’interdiction de relations commerciales contribuant, par aide ou assistance, à la politique de colonisation dans le Territoire palestinien occupé et dans le Territoire syrien occupé des hauteurs du Golan26 amendements →Proposition de loi ordinaireProposition de loi visant à lutter contre la vie chère en renforçant le droit de la concurrence et de la régulation économique outre-mer18 amendements →

RÉSULTATS

32 amendements

Page 1 sur 2

40009/11/2026

Le Gouvernement partage l’objectif de l’amendement n° 178 visant à limiter l'impact de la mesure prévue à l’alinéa 3 de l’article 14 sur les entités essentielles et importantes. Toutefois, la notion « d’implication directe » proposée n’est pas définie et pourrait ainsi être interprétée de manière limitative par les entités et difficilement appréhendable en cas de contrôle de l’autorité compétente. Par ailleurs, la précision des responsabilités " autant que de possible " pourrait être insécurisante pour les entités essentielles et importantes. Ce sous amendement du Gouvernement vise à s'assure que la rédaction ne comporte pas de dispositions susceptibles de créer une insécurité juridique pour les entités.

le GouvernementProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

39606/11/2026

Le présent amendement vise à prévoir une mise à jour au moins biennale de la stratégie nationale en matière de cybersécurité, contre une actualisation tous les trois ans prévue par le texte. Si la stratégie nationale doit naturellement s’inscrire dans le temps long, la rapidité d’évolution des technologies et du paysage des menaces justifie de pouvoir l’actualiser plus régulièrement. Le développement de l’intelligence artificielle, l’apparition de nouvelles vulnérabilités, l’évolution des modes opératoires des cyberattaquants et l’interconnexion croissante des systèmes numériques modifient rapidement les conditions dans lesquelles doit être assurée la cybersécurité de la Nation. Dans Threat Landscape 2026, l’ENISA souligne l’évolution constante des menaces et l’utilisation croissante de l’intelligence artificielle à des fins malveillantes. Une actualisation tous les deux ans permettrait ainsi de conserver une stratégie structurante, tout en garantissant sa capacité d’adaptation aux évolutions technologiques, aux nouvelles vulnérabilités et aux transformations du paysage des menaces. Cette périodicité est en outre cohérente avec le dispositif prévu par le texte, qui prévoit déjà la remise au Parlement, tous les deux ans, d’un rapport sur la mise en œuvre de la stratégie nationale en matière de cybersécurité. Il s’agit donc non pas de remettre en cause la stabilité nécessaire à une stratégie nationale, mais de garantir que celle-ci demeure régulièrement actualisée et adaptée aux réalités technologiques et opérationnelles.

Catherine HervieuProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

39206/11/2026

L’article 14 transpose l’article 21 de la directive NIS 2 et impose aux entités essentielles et importantes de mettre en place « des outils et des procédures pour assurer la défense des réseaux et des systèmes d’information et gérer les incidents ». Dans le texte adopté par la commission spéciale le 10 septembre 2025, cette obligation pèse aussi sur les administrations de l’État chargées de la sécurité publique, de la défense et de la répression pénale ainsi que sur les juridictions administratives et judiciaires (art. 14, premier alinéa) ; elle se prolonge dans l’obligation de notifier les incidents ayant causé l’extraction de données sensibles (art. 17, III, 1°). Parmi ces outils figure la veille en sources ouvertes, notamment sur les fuites de données, que l’ENISA décrit comme une composante des mesures attendues. Le présent amendement précise que cette veille entre dans les mesures exigées par la loi, y compris lorsqu’elle porte sur des données publiées à la suite d’une cyberattaque. Il en tire la conséquence pénale : l’entité qui exécute son obligation, directement ou par un prestataire, accomplit un acte autorisé par la loi et ne peut être poursuivie pour recel. Ce dispositif vise les seules entités soumises au titre II, ainsi que les prestataires éventuels qui leurs permettent de remplir leurs obligations

Mickaël BoulouxProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

39006/11/2026

Le présent amendement vise à reconnaître le secteur de la culture comme un secteur critique pour le fonctionnement de l’économie et de la société. La culture et le patrimoine constituent une composante essentielle de la société française. Ils contribuent à la transmission de notre histoire, de notre mémoire ainsi qu’à la cohésion de la Nation et à l’attractivité de nos territoires. Au cours de son histoire, le patrimoine culturel français a été exposé aux destructions, aux pillages et aux spoliations. Cette vulnérabilité demeure une préoccupation lorsque les biens et activités culturels peuvent être pris pour cible dans le cadre de menaces contemporaines. La transformation numérique des activités culturelles a profondément accru la dépendance des établissements et opérateurs culturels à leurs infrastructures numériques. Billetterie, gestion administrative et financière, gestion des collections, catalogage, archives, conservation numérique, recherche, diffusion des œuvres, relations avec les publics ou encore gestion des droits reposent désormais largement sur ces infrastructures. Les incidents survenus ces dernières années démontrent que cette dépendance n’est pas théorique. Par exemple, en août 2024, la Réunion des musées nationaux – Grand Palais a été victime d’une cyberattaque ayant affecté son système informatique central. Ces incidents ont des conséquences sur la continuité des activités culturelles et la préservation des données patrimoniales. Cette vulnérabilité est désormais identifiée. Le ministère de la Culture a publié son « Plan d’action de sûreté des établissements patrimoniaux et des lieux de conservation de biens culturels » en juillet 2026. Elle fait également l’objet de travaux parlementaires, comme le rapport Marion sur la sûreté des établissements patrimoniaux remis au gouvernement en juin 2026, ainsi que le rapport de la commission d’enquête sur la protection du patrimoine national et la sécurisation des musées, adopté le 6 mai 2026. Le secteur culturel présente ainsi plusieurs caractéristiques justifiant son intégration parmi les secteurs critiques : forte dépendance aux infrastructures numériques, conservation de données et d’actifs difficilement remplaçables, importance de la continuité des services au public et possibilité d’effets en cascade en cas de compromission d’un opérateur ou d’un prestataire commun. L’ajout du secteur de la c

Catherine HervieuProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

36606/11/2026

L’article 14 prévoit déjà que le choix des mesures de sécurité vise à minimiser les dépendances envers des prestataires tiers « ne présentant pas de garanties suffisantes ». Il ne précise pas comment ces garanties s’apprécient.

Sabine ThillayeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

32006/11/2026

Amendement de repli. Le présent amendement limite aux entités essentielles de droit privé l’extension de l’exigence de protection contre les législations extraterritoriales prévue par l’article 31 de la loi du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique : grands opérateurs de l’énergie, des transports, des communications électroniques, de la santé ou de l’eau. Il reprend pour le reste le dispositif de l’amendement principal.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

31906/11/2026

La commission a introduit à l’article 14 un critère de souveraineté : le choix des mesures de sécurité doit tenir compte de la maîtrise qu’elles permettent d’acquérir sur les systèmes d’information, afin de réduire les dépendances envers les prestataires qui ne présentent pas de garanties suffisantes. Ce critère reste général et difficilement contrôlable. Le législateur a déjà défini, pour les données les plus sensibles de l’État, une exigence précise. L’article 31 de la loi du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique impose aux administrations de l’État et à leurs opérateurs qui confient des données d’une sensibilité particulière à un service d’informatique en nuage de s’assurer que ce service les protège contre tout accès non autorisé des autorités d’États tiers. Le décret n° 2026-272 du 14 avril 2026 en a fixé les modalités ; le recours à une offre qualifiée SecNumCloud par l’ANSSI permet d’y satisfaire. Rien ne justifie que des données dont la compromission menacerait la sécurité nationale, la santé des personnes ou la continuité des services essentiels soient protégées lorsqu’elles sont détenues par l’État, mais puissent être exposées aux législations extraterritoriales, telles que le CLOUD Act ou la section 702 du FISA américains, lorsqu’elles sont détenues par un opérateur d’électricité, un hôpital ou un grand service d’eau. Le présent amendement étend cette exigence aux entités essentielles, avec un délai de mise en conformité de trois ans au plus.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

31606/11/2026

Amendement de cohérence avec notre amendement à l’article 8. Les établissements publics de santé et les établissements et services sociaux et médico-sociaux qui n’atteignent pas les seuils des entités essentielles deviennent des entités importantes lorsqu’ils emploient au moins 50 personnes ou dépassent les seuils financiers de droit commun fixés au 1° du présent article. Les plus petites structures sortent du champ, sous réserve, pour les établissements de santé, d’une désignation individuelle par le Premier ministre en application de l’article 10.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

31306/11/2026

La commission a inscrit les établissements publics de santé et les établissements et services sociaux et médico-sociaux (ESSMS) à la fois parmi les entités essentielles (article 8) et parmi les entités importantes (article 9). L’article 9 ne s’appliquant qu’aux entités qui ne sont pas des entités essentielles, ses dispositions restent sans effet : tous ces établissements deviennent des entités essentielles, quelle que soit leur taille. La sécurisation des hôpitaux est une nécessité : plusieurs centres hospitaliers ont été paralysés par des rançongiciels ces dernières années. Mais l’inclusion indifférenciée de plusieurs dizaines de milliers d’établissements et services, de l’EHPAD au service d’aide à domicile de quelques salariés, dans le régime le plus exigeant n’est ni proportionnée, ni finançable, ni contrôlable. Elle crée en outre une inégalité de traitement entre les hôpitaux publics, soumis sans seuil, et les cliniques privées, qui relèvent des seuils de droit commun. Le présent amendement applique à ces établissements les seuils de droit commun des entités essentielles. Combiné à l’amendement du groupe à l’article 9, il classe parmi les entités importantes ceux qui emploient au moins 50 personnes ou dépassent 10 millions d’euros de chiffre d’affaires ou de produits et de total de bilan. Un établissement de santé de plus petite taille dont la défaillance aurait un impact important pourra toujours être désigné par le Premier ministre en application de l’article 10.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

25606/11/2026

L'article 14 prévoit déjà que le choix des mesures de sécurité vise à minimiser les dépendances envers des prestataires tiers « ne présentant pas de garanties suffisantes ». Il ne précise pas comment ces garanties s'apprécient. Cet amendement complète les critères d'appréciation des risques liés aux fournisseurs en s'appuyant sur l'article 21, paragraphe 3, de la directive, qui impose de tenir compte des vulnérabilités propres aux fournisseurs et prestataires de services directs, ainsi que sur l'article 22 et les considérants 90 et 91, qui reconnaissent explicitement la pertinence des facteurs de risque non techniques, notamment l'influence d'un pays tiers, les vulnérabilités cachées, les ruptures d'approvisionnement systémiques et les situations de verrouillage technologique ou de dépendance à un fournisseur. Cet amendement est soutenu par Hexatrust, l’AFNIC et le CESIN.

Cyrielle ChatelainProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

21806/11/2026

La directive NIS2 prévoit que les prestataires de soins appartiennent au secteur hautement critique « Santé ». Ce secteur est soumis aux critères de taille pour déterminer si l’entité est régulée, et si elle est essentielle ou importante aux termes du a) du 1. et du 2. de l’article 3 de la directive. En l’état de sa rédaction, le projet de loi ne traite pas explicitement des établissements de santé et les catégories retenues ne permettent pas de refléter de façon adéquate la nature de certains d’entre eux. Le cas des établissements privés lucratifs ne présente pas d’ambigüité : ils constituent des entreprises, et sont donc couverts par les dispositions du 1° des articles 8 et 9 du présent projet de loi. Le cas des établissements publics de santé est moins explicite, car si le droit européen reconnait de manière constante la nature d’entreprise de tout établissement de santé, quel que soit son statut, les établissements publics de santé ne sont pas au regard du droit national des entreprises. Ils bénéficient ainsi d’un statut spécifique dans le code de la santé publique (art. L. 6141-1) et ne disposent en outre pas d’un chiffre d’affaires, critère permettant d’évaluer si certaines entités entrent ou non dans le dispositif. Les établissements de santé privés d'intérêt collectif, ainsi que les établissements et services médico-sociaux gérés par des organismes de droit privé à but non lucratif, lorsqu’ils délivrent des prestations de soins, n’entrent pas non plus dans ces catégories, gérés pour beaucoup par une association ou une fondation, dépourvues elles aussi de chiffre d’affaires. L’amendement proposé permet de lever cette ambiguïté, en ajoutant un alinéa qui leur est dédié dans les articles 8 et 9, et qui utilise la notion de produits d’exploitation en lieu et place de celle de chiffre d’affaires, cette notion existant bien pour les établissements concernés.

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

21406/11/2026

La directive NIS2 prévoit que les prestataires de soins appartiennent au secteur hautement critique « Santé ». Ce secteur est soumis aux critères de taille pour déterminer si l’entité est régulée, et si elle est essentielle ou importante aux termes du a) du 1. et du 2. de l’article 3 de la directive. En l’état de sa rédaction, le projet de loi ne traite pas explicitement des établissements de santé et les catégories retenues ne permettent pas de refléter de façon adéquate la nature de certains d’entre eux. Le cas des établissements privés lucratifs ne présente pas d’ambigüité : ils constituent des entreprises, et sont donc couverts par les dispositions du 1° des articles 8 et 9 du présent projet de loi. Le cas des établissements publics de santé est moins explicite, car si le droit européen reconnait de manière constante la nature d’entreprise de tout établissement de santé, quel que soit son statut, les établissements publics de santé ne sont pas au regard du droit national des entreprises. Ils bénéficient ainsi d’un statut spécifique dans le code de la santé publique (art. L. 6141-1) et ne disposent en outre pas d’un chiffre d’affaires, critère permettant d’évaluer si certaines entités entrent ou non dans le dispositif. Les établissements de santé privés d'intérêt collectif, ainsi que les établissements et services médico-sociaux gérés par des organismes de droit privé à but non lucratif, lorsqu’ils délivrent des prestations de soins, n’entrent pas non plus dans ces catégories, gérés pour beaucoup par une association ou une fondation, dépourvues elles aussi de chiffre d’affaires. L’amendement proposé permet de lever cette ambiguïté, en ajoutant un alinéa qui leur est dédié dans les articles 8 et 9, et qui utilise la notion de produits d’exploitation en lieu et place de celle de chiffre d’affaires, cette notion existant bien pour les établissements concernés.

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

19906/11/2026

Amendement de conséquence de l’amendement portant sur l’article 8. Les établissements et services sociaux et médico-sociaux qui n’atteignent pas les seuils des entités essentielles sont entités importantes au-delà des seuils de la moyenne entreprise fixés par la directive (50 personnes ou 10 millions d’euros). En deçà, ils peuvent être désignés au cas par cas au titre de l’article 10.

Marie-Agnès Poussier-WinsbackProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

19806/11/2026

La commission a qualifié d’entités essentielles l’ensemble des établissements et services sociaux et médico-sociaux, quelle que soit leur taille. L’objectif était de lever une ambiguïté, certains établissements contestant relever de la catégorie des « entreprises ». Mais la rédaction retenue fait entrer dans le régime le plus lourd des milliers de très petites structures : services d’aide à domicile, résidences autonomie, foyers, souvent gérés par des CCAS ou des CIAS. De nombreuses petites communes, pourtant exclues en tant que telles sous le seuil de 30 000 habitants, y seraient ainsi soumises indirectement. La directive ne vise les prestataires de soins qu’au-delà des seuils de la grande entreprise pour les entités essentielles. Le présent amendement applique ces seuils, appréciés au niveau de la personne morale gestionnaire, comme le prévoit déjà le 2° du présent article pour les établissements publics industriels et commerciaux. Il préserve l’objectif de clarification de la commission et reprend la position de l’ANSSI : « on n’assujettira pas la pharmacie du quartier ». Les structures plus petites mais critiques peuvent être désignées au titre de l’article 10.

Marie-Agnès Poussier-WinsbackProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

19206/11/2026

La directive NIS2 prévoit que les prestataires de soins appartiennent au secteur hautement critique « Santé ». Ce secteur est soumis aux critères de taille pour déterminer si l’entité est régulée, et si elle est essentielle ou importante aux termes du a) du 1. et du 2. de l’article 3 de la directive. En l’état de sa rédaction, le projet de loi ne traite pas explicitement des établissements de santé et les catégories retenues ne permettent pas de refléter de façon adéquate la nature de certains d’entre eux. Le cas des établissements privés lucratifs ne présente pas d’ambigüité : ils constituent des entreprises, et sont donc couverts par les dispositions du 1° des articles 8 et 9 du présent projet de loi. Le cas des établissements publics de santé est moins explicite, car si le droit européen reconnait de manière constante la nature d’entreprise de tout établissement de santé, quel que soit son statut, les établissements publics de santé ne sont pas au regard du droit national des entreprises. Ils bénéficient ainsi d’un statut spécifique dans le code de la santé publique (art. L. 6141-1) et ne disposent en outre pas d’un chiffre d’affaires, critère permettant d’évaluer si certaines entités entrent ou non dans le dispositif. Les établissements de santé privés d'intérêt collectif, ainsi que les établissements et services médico-sociaux gérés par des organismes de droit privé à but non lucratif, lorsqu’ils délivrent des prestations de soins, n’entrent pas non plus dans ces catégories, gérés pour beaucoup par une association ou une fondation, dépourvues elles aussi de chiffre d’affaires. L’amendement proposé permet de lever cette ambiguïté, en ajoutant un alinéa qui leur est dédié dans les articles 8 et 9, et qui utilise la notion de produits d’exploitation en lieu et place de celle de chiffre d’affaires, cette notion existant bien pour les établissements concernés.

Vincent ThiébautProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

19106/11/2026

La directive NIS2 prévoit que les prestataires de soins appartiennent au secteur hautement critique « Santé ». Ce secteur est soumis aux critères de taille pour déterminer si l’entité est régulée, et si elle est essentielle ou importante aux termes du a) du 1. et du 2. de l’article 3 de la directive. En l’état de sa rédaction, le projet de loi ne traite pas explicitement des établissements de santé et les catégories retenues ne permettent pas de refléter de façon adéquate la nature de certains d’entre eux. Le cas des établissements privés lucratifs ne présente pas d’ambigüité : ils constituent des entreprises, et sont donc couverts par les dispositions du 1° des articles 8 et 9 du présent projet de loi. Le cas des établissements publics de santé est moins explicite, car si le droit européen reconnait de manière constante la nature d’entreprise de tout établissement de santé, quel que soit son statut, les établissements publics de santé ne sont pas au regard du droit national des entreprises. Ils bénéficient ainsi d’un statut spécifique dans le code de la santé publique (art. L. 6141-1) et ne disposent en outre pas d’un chiffre d’affaires, critère permettant d’évaluer si certaines entités entrent ou non dans le dispositif. Les établissements de santé privés d'intérêt collectif, ainsi que les établissements et services médico-sociaux gérés par des organismes de droit privé à but non lucratif, lorsqu’ils délivrent des prestations de soins, n’entrent pas non plus dans ces catégories, gérés pour beaucoup par une association ou une fondation, dépourvues elles aussi de chiffre d’affaires. L’amendement proposé permet de lever cette ambiguïté, en ajoutant un alinéa qui leur est dédié dans les articles 8 et 9, et qui utilise la notion de produits d’exploitation en lieu et place de celle de chiffre d’affaires, cette notion existant bien pour les établissements concernés.

Vincent ThiébautProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

14506/11/2026

L’article 14 transpose l’article 21 de la directive NIS 2 et impose aux entités essentielles et importantes de mettre en place « des outils et des procédures pour assurer la défense des réseaux et des systèmes d’information et gérer les incidents ». Dans le texte adopté par la commission spéciale le 10 septembre 2025, cette obligation pèse aussi sur les administrations de l’État chargées de la sécurité publique, de la défense et de la répression pénale ainsi que sur les juridictions administratives et judiciaires (art. 14, premier alinéa) ; elle se prolonge dans l’obligation de notifier les incidents ayant causé l’extraction de données sensibles (art. 17, III, 1°). Parmi ces outils figure la veille en sources ouvertes, notamment sur les fuites de données, que l’ENISA décrit comme une composante des mesures attendues. Le présent amendement précise que cette veille entre dans les mesures exigées par la loi, y compris lorsqu’elle porte sur des données publiées à la suite d’une cyberattaque. Il en tire la conséquence pénale : l’entité qui exécute son obligation, directement ou par un prestataire, accomplit un acte autorisé par la loi et ne peut être poursuivie pour recel. Ce dispositif vise les seules entités soumises au titre II, ainsi que les prestataires éventuels qui leurs permettent de remplir leurs obligations

Philippe LatombeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

13906/11/2026

L'article 14 prévoit déjà que le choix des mesures de sécurité vise à minimiser les dépendances envers des prestataires tiers « ne présentant pas de garanties suffisantes ». Il ne précise pas comment ces garanties s'apprécient. Cet amendement complète les critères d'appréciation des risques liés aux fournisseurs en s'appuyant sur l'article 21, paragraphe 3, de la directive, qui impose de tenir compte des vulnérabilités propres aux fournisseurs et prestataires de services directs, ainsi que sur l'article 22 et les considérants 90 et 91, qui reconnaissent explicitement la pertinence des facteurs de risque non techniques, notamment l'influence d'un pays tiers, les vulnérabilités cachées, les ruptures d'approvisionnement systémiques et les situations de verrouillage technologique ou de dépendance à un fournisseur.

Philippe LatombeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Le présent amendement vise à intégrer explicitement dans la gestion des risques de cybersécurité l’accroissement des capacités d’intrusion dans les systèmes d’information permis par le développement rapide de l’intelligence artificielle. Les progrès de l’intelligence artificielle modifient en effet la nature et l’échelle de la menace cyber. Des systèmes de plus en plus autonomes sont désormais capables d’identifier des vulnérabilités, de rechercher des voies d’accès à un système d’information, de contourner certains mécanismes de sécurité et d’automatiser des chaînes d’exploitation qui nécessitaient jusqu’alors une intervention humaine importante. L’incident ayant affecté Hugging Face en juillet 2026 illustre cette évolution. Lors d’une expérimentation conduite par OpenAI, un agent d’intelligence artificielle chargé d’identifier des vulnérabilités a contourné l’environnement isolé dans lequel il devait opérer et obtenu un accès non autorisé à des infrastructures externes. Cet incident démontre la capacité croissante de tels systèmes à faciliter ou réaliser des intrusions au-delà du périmètre informatique initialement visé. Cette évolution fait peser un risque particulier sur les entités essentielles et importantes visées par le présent projet de loi. L’intelligence artificielle peut permettre à des acteurs malveillants d’augmenter considérablement la vitesse, l’échelle et le degré d’automatisation de leurs tentatives d’intrusion, notamment contre les administrations, les collectivités territoriales, les établissements de santé et les opérateurs d’infrastructures critiques. Il est donc nécessaire que les mesures de gestion des risques prévues par le présent article anticipent explicitement cette nouvelle capacité d’intrusion et d’exploitation automatisée des vulnérabilités La réponse à cette évolution ne saurait toutefois reposer sur une course à l’automatisation par l’intelligence artificielle : elle doit d’abord garantir la résilience intrinsèque des systèmes d’information face aux progrès de l’IA et préserver la capacité humaine à les administrer, les sécuriser et les défendre sans dépendre nécessairement de systèmes d’intelligence artificielle.

Lisa BellucoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

La directive NIS 2 renforce l’harmonisation européenne en encadrant strictement les possibilités pour les États membres d’étendre son champ d’application. À la différence de la directive NIS 1, un État membre ne peut ainsi soumettre de manière générale une catégorie à ses obligations en dehors des hypothèses prévues par la directive. La directive NIS 2 prévoit toutefois la possibilité de désigner, indépendamment de leur taille, certaines entités relevant de secteurs critiques ou hautement critiques lorsqu’elles présentent une importance particulièrement pour la sécurité ou la santé publiques. Cette désignation doit être justifiée par l’un des quatre critères transposés à l’article 10 du présent projet de loi. Cette faculté permet de prendre en compte la situation des éditeurs de logiciels dont la défaillance pourrait avoir des conséquences significatives sur un secteur critique. Elle pourrait notamment trouver à s’appliquer à un éditeur de logiciel de santé occupant une position déterminante dans un secteur dont le fonctionnement repose sur ses services. Le présent amendement propose donc de ne pas soumettre indistinctement l’ensemble des éditeurs de logiciels au régime des entités essentielles. Il permet leur désignation lorsqu’ils remplissent effectivement les conditions prévues par la directive NIS 2. Cette désignation serait effectuée par voie réglementaire, sous l’autorité du Premier ministre, sur la base de l’expertise des ministères compétents. Cette approche permet de répondre aux enjeux de cybersécurité propres aux acteurs les plus critères tout en respectant le cadre et le principe de proportionnalité posées par la directive NIS2.

Véronique RiottonProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Cet amendement du groupe La France insoumise vise à remplacer la possibilité de transmission des cybermenaces des entités financières à l’ACPR et l’ANSSI par une obligation, toutefois restreinte aux cas les plus importants. La hausse des cyberattaques et leur sophistication croissante exigent une réactivité de la part des pouvoirs publics chargés de les contrer ; la transmission systématique des cybermenaces majeures, en plus des incidents, permettrait ainsi d’anticiper au mieux les attaques futures. Lors de l’examen en commission, il avait été convenu de rendre facultative la transmission des cybermenaces ; l’évolution des attaques cyber depuis l’été 2025 incite plutôt à la systématiser.

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

Par cet amendement, le groupe LFI souligne à nouveau l'importance de la préservation de la sécurité de l'hébergement de nos données numériques, en ayant recours à des solutions locales d'hébergement de ces dernières. La numérisation croissante de la société a notamment entraîné une production massive de données numériques, parfois très sensibles comme les données personnelles. Or, l'hébergement de ces dernières s'est souvent reposé sur des services d'hébergement en nuage - aussi appelé "cloud" - qui permettent notamment d'avoir accès aux données stockées partout dans le monde, en ayant uniquement besoin d'une connexion à Internet pour ce faire. Or, en raison de la nationalité d'origine des acteurs économiques dominants sur ce marché, principalement des acteurs américains comme Amazon Web Services (AWS), Microsoft Azure et Google Cloud, les données que nous faisons héberger sur ces services sont soumis à des législations extra-territoriales permettant à des puissances étrangères d'y avoir accès, sans notre autorisation. Ainsi, aux Etats-Unis, plusieurs législations permettent au Gouvernement d’accéder à nos données comme la section 702 du Foreign Intelligence Surveillance Act (Fisa) qui permet aux autorités américaines, sans nécessité de mandat, de recueillir des données personnelles de citoyens étrangers stockées sur des serveurs gérés par des fournisseurs de services cloud domiciliés aux États-Unis, y compris lorsque les serveurs ne sont pas situés sur le territoire américain. D'autres pays comme la Chine ou l'Inde ont également des législations similaires. Face à cette situation, il est indispensable de réfléchir à d'autres solutions techniques d'hébergement plus fiables en termes de préservation de la sécurité de nos données, les solutions locales de stockage ayant un rôle important à jouer en la matière. Très concrètement, les solutions locales désignent des solutions où les données sont stockées sur des dispositifs physiques comme des serveurs internes, des disques durs externes ou des NAS (Network Attached Storage), et ces dernières présentent plusieurs avantages non négligeables : tout d'abord, le recours à ce type de solution permet aux propriétaires des données d'avoir un contrôle total sur la configuration et les autorisations d'accès des utilisateurs, d'autant plus que l'absence de nécessité d'utiliser Internet pour y avoir accès est une garantie

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Par cet amendement de repli, le groupe LFI souligne la nécessité pour les entités désignées par l'autorité administrative investie du pouvoir réglementaire - ici le Premier ministre - d'avoir suffisamment de temps pour, le cas échéant, contester la décision de classement comme "entité essentielle" ou "entité importante" si elle exerce dans un secteur hautement critique ou critique, quelque soit sa taille, au regard des critères prévus aux alinéas 2 à 5. Il n'est ici nullement question de remettre en cause le pouvoir discrétionnaire du Premier ministre, autorité de tutelle de l'Anssi, de désigner unilatéralement ces entités. En effet, l'article 10 du présent projet de loi est une transposition fidèle d’une partie des dispositions de l’article 2 de la directive NIS 2, qui prévoit d’assujettir sans condition de taille des entités appartenant aux secteurs « hautement critiques » ou « critiques », dès lors que la perturbation de leur service par une attaque cyber pourrait avoir un impact important pour le fonctionnement de la société, de secteurs économiques critiques, pour la sécurité publique, la sûreté publique, la santé publique ou bien encore pourrait représenter un risque systémique. Néanmoins, au regard des conséquences potentiellement importantes, notamment sur le plan économique, d'un tel classement, il semble indispensable d'ouvrir à minima une réflexion sur le temps disponible pour les entités concernées pour former un recours avant que l'arrêté ait déjà des effets concrets. En effet, l'article L221-5 du code des relations entre le public et l'administration prévoit que "L'autorité administrative investie du pouvoir réglementaire est tenue, dans la limite de ses compétences, d'édicter des mesures transitoires dans les conditions prévues à l'article L. 221-6 (prévoyant notamment la possibilité d'une date d'entrée en vigueur différée des règles édictées) lorsque l'application immédiate d'une nouvelle réglementation est impossible ou qu'elle entraîne, au regard de l'objet et des effets de ses dispositions, une atteinte excessive aux intérêts publics ou privés en cause." Si les entités concernées disposent de la possibilité de former un recours gracieux puis, le cas échéant, d'un recours contentieux devant la justice administrative (2 mois), il est néanmoins légitime de se demander si ce délai est suffisant.

Arnaud Saint-MartinProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Par cet amendement de repli, le groupe LFI souligne la nécessité pour les entités désignées par l'autorité administrative investie du pouvoir réglementaire - ici le Premier ministre - d'avoir suffisamment de temps pour, le cas échéant, contester la décision de classement comme "entité essentielle" ou "entité importante" si elle exerce dans un secteur hautement critique ou critique, quelque soit sa taille, au regard des critères prévus aux alinéas 2 à 5. Il n'est ici nullement question de remettre en cause le pouvoir discrétionnaire du Premier ministre, autorité de tutelle de l'Anssi, de désigner unilatéralement ces entités. En effet, l'article 10 du présent projet de loi est une transposition fidèle d’une partie des dispositions de l’article 2 de la directive NIS 2, qui prévoit d’assujettir sans condition de taille des entités appartenant aux secteurs « hautement critiques » ou « critiques », dès lors que la perturbation de leur service par une attaque cyber pourrait avoir un impact important pour le fonctionnement de la société, de secteurs économiques critiques, pour la sécurité publique, la sûreté publique, la santé publique ou bien encore pourrait représenter un risque systémique. Néanmoins, au regard des conséquences potentiellement importantes, notamment sur le plan économique, d'un tel classement, il semble indispensable d'ouvrir à minima une réflexion sur le temps disponible pour les entités concernées pour former un recours avant que l'arrêté ait déjà des effets concrets. En effet, l'article L221-5 du code des relations entre le public et l'administration prévoit que "L'autorité administrative investie du pouvoir réglementaire est tenue, dans la limite de ses compétences, d'édicter des mesures transitoires dans les conditions prévues à l'article L. 221-6 (prévoyant notamment la possibilité d'une date d'entrée en vigueur différée des règles édictées) lorsque l'application immédiate d'une nouvelle réglementation est impossible ou qu'elle entraîne, au regard de l'objet et des effets de ses dispositions, une atteinte excessive aux intérêts publics ou privés en cause." Si les entités concernées disposent de la possibilité de former un recours gracieux puis, le cas échéant, d'un recours contentieux devant la justice administrative (2 mois), il est néanmoins légitime de se poser la question du délai global dont disposent les entités concernés avant que les

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Par cet amendement, le groupe LFI souligne la nécessité pour les entités désignées par l'autorité administrative investie du pouvoir réglementaire - ici le Premier ministre - d'avoir suffisamment de temps pour, le cas échéant, contester la décision de classement comme "entité essentielle" ou "entité importante" si elle exerce dans un secteur hautement critique ou critique, quelque soit sa taille, au regard des critères prévus aux alinéas 2 à 5. Il n'est ici nullement question de remettre en cause le pouvoir discrétionnaire du Premier ministre, autorité de tutelle de l'Anssi, de désigner unilatéralement ces entités. En effet, l'article 10 du présent projet de loi est une transposition fidèle d’une partie des dispositions de l’article 2 de la directive NIS 2, qui prévoit d’assujettir sans condition de taille des entités appartenant aux secteurs « hautement critiques » ou « critiques », dès lors que la perturbation de leur service par une attaque cyber pourrait avoir un impact important pour le fonctionnement de la société, de secteurs économiques critiques, pour la sécurité publique, la sûreté publique, la santé publique ou bien encore pourrait représenter un risque systémique. Néanmoins, au regard des conséquences potentiellement importantes, notamment sur le plan économique, d'un tel classement, il semble indispensable d'ouvrir à minima une réflexion sur le temps disponible pour les entités concernées pour former un recours avant que l'arrêté ait déjà des effets concrets. En effet, l'article L221-5 du code des relations entre le public et l'administration prévoit que "L'autorité administrative investie du pouvoir réglementaire est tenue, dans la limite de ses compétences, d'édicter des mesures transitoires dans les conditions prévues à l'article L. 221-6 (prévoyant notamment la possibilité d'une date d'entrée en vigueur différée des règles édictées) lorsque l'application immédiate d'une nouvelle réglementation est impossible ou qu'elle entraîne, au regard de l'objet et des effets de ses dispositions, une atteinte excessive aux intérêts publics ou privés en cause." Si les entités concernées disposent de la possibilité de former un recours gracieux puis, le cas échéant, d'un recours contentieux devant la justice administrative (2 mois), il est néanmoins légitime de se poser la question du délai global dont disposent les entités concernés avant que les mesures

Arnaud Saint-MartinProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

36805/11/2026

Cet amendement du groupe Écologiste et social vise à intégrer les phénomènes de rançongiciel dans les notifications faites auprès de l’ANSSI. En effet, à l’heure actuelle, le phénomène de rançongiciel est une menace majeure pour les entreprises, les établissements de santé et les collectivités. Cependant, l’État ne dispose pas de données fiables sur ce phénomène et son importance, les sommes réglées ou encore les établissements visés. L'objectif de cet amendement est de permettre une connaissance plus fine afin de mieux anticiper les attaques et permettre un meilleur suivi des enquêtes. L’amendement vient compléter les notifications prévues à cet article pour que l’ANSSI et les services d’enquête soient informées. Pour ne pas dissuader les victimes de se signaler, l’usage des données signalées est strictement encadré et ne peut fonder de sanction.

Lisa BellucoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

33105/11/2026

Un même incident peut devoir être déclaré à plusieurs autorités, dans des formes et des délais distincts. De plus devant la commission spéciale, le 1er octobre 2026, le directeur général de l'ANSSI a reconnu qu'un même incident pouvait devoir être notifié quatre fois à cette entité... Un hôpital public désigné opérateur d’importance vitale et frappé par un rançongiciel devra le notifier à l’ANSSI dans les vingt-quatre heures (article 17) et à l’autorité administrative dans le même délai (article L. 1332-7 du code de la défense), le signaler sans délai à l’agence régionale de santé (article L. 1111-8-2 du code de la santé publique), puis à la CNIL sous soixante-douze heures au titre du RGPD, alors même que ses équipes sont mobilisées pour rétablir les soins. Le présent amendement applique à ces notifications la solution retenue par la commission pour les entités financières contrôlées par l’Autorité des marchés financiers (article 45 bis) : un document unique, transmis simultanément à toutes les autorités destinataires. Il ne modifie ni les délais ni le contenu des notifications, et laisse intacte la notification à la CNIL, qui relève du règlement européen. La Commission européenne a d’ailleurs proposé, le 19 novembre 2025, un point d’entrée unique pour les notifications d’incidents à l’échelle de l’Union Européenne.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

27905/11/2026

Le présent amendement tend à supprimer une disposition ajoutée en commission spéciale qui instaure des critères dont la prise en compte complexifie le choix ainsi que la mise en œuvre des mesures de sécurité par les entités. Celle-ci prévoit en effet que le choix des mesures de sécurité devrait tenir compte « leur capacité à être audités, de la transparence de leur fonctionnement, de leur interopérabilité, de leur résilience et de la maîtrise qu’elles permettent d’acquérir sur les systèmes d’information afin de minimiser les dépendances technologiques à l’égard de prestataires tiers ne présentant pas de garanties suffisantes de conformité aux exigences de cybersécurité et de souveraineté numérique ». Ce faisant, cette disposition pose trois difficultés. En premier lieu, elle ferait peser sur les entités concernées une charge supplémentaire disproportionnée, a fortiori à l’égard des entités importantes, au regard de la complexité de l’évaluation de ces critères ainsi que du coût financier important qu’elle représente. En deuxième lieu, cette disposition ne paraît pas satisfaisante du point de vue de la sécurité juridique. Elle fait ainsi référence à des notions, telles que l’auditabilité ou la transparence de leur fonctionnement, mal définies, voire inexistantes en droit, compliquant d’autant plus leur appréciation par les entités dans le choix de leurs mesures et créant un flou juridique potentiellement préjudiciable aux entités. En dernier lieu, faire peser une telle contrainte sur les entités entrainerait un risque de surtransposition de la directive NIS 2, qui ne prévoit pas de telles modalités dans la détermination des mesures à mettre en place pour les entités. Une telle contrainte ne paraît par ailleurs pas réellement opérante pour les entités déjà soumises au règlement d’exécution 2024/2690[1]. [1] Fournisseurs de services de systèmes de noms de domaine, aux offices d’enregistrement, aux fournisseurs de services d’informatique en nuage, aux fournisseurs de services de centres de données, aux fournisseurs de réseaux de diffusion de contenu, aux fournisseurs de services gérés, aux fournisseurs de services de sécurité gérés ainsi qu’aux fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux et aux prestataires de services de confiance

le GouvernementProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

22305/11/2026

Le présent amendement tend à supprimer une disposition ajoutée en commission spéciale qui instaure des critères dont la prise en compte complexifie le choix ainsi que la mise en œuvre des mesures de sécurité par les entités. Celle-ci prévoit en effet que le choix des mesures de sécurité devrait tenir compte « leur capacité à être audités, de la transparence de leur fonctionnement, de leur interopérabilité, de leur résilience et de la maîtrise qu’elles permettent d’acquérir sur les systèmes d’information afin de minimiser les dépendances technologiques à l’égard de prestataires tiers ne présentant pas de garanties suffisantes de conformité aux exigences de cybersécurité et de souveraineté numérique ». Ce faisant, cette disposition pose trois difficultés. En premier lieu, elle ferait peser sur les entités concernées une charge supplémentaire disproportionnée, a fortiori à l’égard des entités importantes, au regard de la complexité de l’évaluation de ces critères ainsi que du coût financier important qu’elle représente. En deuxième lieu, cette disposition ne paraît pas satisfaisante du point de vue de la sécurité juridique. Elle fait ainsi référence à des notions, telles que l’auditabilité ou la transparence de leur fonctionnement, mal définies, voire inexistantes en droit, compliquant d’autant plus leur appréciation par les entités dans le choix de leurs mesures et créant un flou juridique potentiellement préjudiciable aux entités. En dernier lieu, faire peser une telle contrainte sur les entités entrainerait un risque de surtransposition de la directive NIS 2, qui ne prévoit pas de telles modalités dans la détermination des mesures à mettre en place pour les entités. Une telle contrainte ne paraît par ailleurs pas réellement opérante pour les entités déjà soumises au règlement d’exécution 2024/2690[1]. [1] Fournisseurs de services de systèmes de noms de domaine, aux offices d’enregistrement, aux fournisseurs de services d’informatique en nuage, aux fournisseurs de services de centres de données, aux fournisseurs de réseaux de diffusion de contenu, aux fournisseurs de services gérés, aux fournisseurs de services de sécurité gérés ainsi qu’aux fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux et aux prestataires de services de confiance

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

20705/11/2026

Le présent amendement tend à supprimer une disposition ajoutée en commission spéciale qui instaure des critères dont la prise en compte complexifie le choix ainsi que la mise en œuvre des mesures de sécurité par les entités. Celle-ci prévoit en effet que le choix des mesures de sécurité devrait tenir compte « leur capacité à être audités, de la transparence de leur fonctionnement, de leur interopérabilité, de leur résilience et de la maîtrise qu’elles permettent d’acquérir sur les systèmes d’information afin de minimiser les dépendances technologiques à l’égard de prestataires tiers ne présentant pas de garanties suffisantes de conformité aux exigences de cybersécurité et de souveraineté numérique ». Ce faisant, cette disposition pose trois difficultés. En premier lieu, elle ferait peser sur les entités concernées une charge supplémentaire disproportionnée, a fortiori à l’égard des entités importantes, au regard de la complexité de l’évaluation de ces critères ainsi que du coût financier important qu’elle représente. En deuxième lieu, cette disposition ne paraît pas satisfaisante du point de vue de la sécurité juridique. Elle fait ainsi référence à des notions, telles que l’auditabilité ou la transparence de leur fonctionnement, mal définies, voire inexistantes en droit, compliquant d’autant plus leur appréciation par les entités dans le choix de leurs mesures et créant un flou juridique potentiellement préjudiciable aux entités. En dernier lieu, faire peser une telle contrainte sur les entités entrainerait un risque de surtransposition de la directive NIS 2, qui ne prévoit pas de telles modalités dans la détermination des mesures à mettre en place pour les entités. Une telle contrainte ne paraît par ailleurs pas réellement opérante pour les entités déjà soumises au règlement d’exécution 2024/2690[1]. [1] Fournisseurs de services de systèmes de noms de domaine, aux offices d’enregistrement, aux fournisseurs de services d’informatique en nuage, aux fournisseurs de services de centres de données, aux fournisseurs de réseaux de diffusion de contenu, aux fournisseurs de services gérés, aux fournisseurs de services de sécurité gérés ainsi qu’aux fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux et aux prestataires de services de confiance

Vincent ThiébautProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Scrutin+ — La vie parlementaire en clair