● Élus, dossiers et scrutins officiels synchronisés · analyses éditoriales clairement signalées

TRAVAIL PARLEMENTAIRE OFFICIEL

Les amendements

145 529 amendements recensés ; les 500 plus récents sont consultables dans cette version légère.

Mode déployable allégé

La recherche porte sur les 500 amendements les plus récents. Les statistiques agrégées couvrent bien les 145 529 amendements ; l’archive exhaustive reste accessible depuis la source officielle.

Données actualisées le 10/11/2026 · extrait récent

145 529amendements recensés

19 520adoptés

35 263rejetés

14 016retirés

ACCÈS PAR TEXTE

Textes les plus amendés

Ouvrez directement les amendements officiellement rattachés à un dossier législatif.

Projet de loi ordinaireProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité261 amendements →Projet de loi de finances rectificativeProjet de loi de finances de fin de gestion pour 202697 amendements →Proposition de loi ordinaireMieux reconnaître et à valoriser les aidants actifs35 amendements →Projet de loi de finances de l'annéeProjet de loi de finances pour 202733 amendements →Proposition de loi ordinaireL’interdiction de relations commerciales contribuant, par aide ou assistance, à la politique de colonisation dans le Territoire palestinien occupé et dans le Territoire syrien occupé des hauteurs du Golan26 amendements →Proposition de loi ordinaireProposition de loi visant à lutter contre la vie chère en renforçant le droit de la concurrence et de la régulation économique outre-mer18 amendements →

RÉSULTATS

261 amendements

Page 4 sur 9

21406/11/2026

La directive NIS2 prévoit que les prestataires de soins appartiennent au secteur hautement critique « Santé ». Ce secteur est soumis aux critères de taille pour déterminer si l’entité est régulée, et si elle est essentielle ou importante aux termes du a) du 1. et du 2. de l’article 3 de la directive. En l’état de sa rédaction, le projet de loi ne traite pas explicitement des établissements de santé et les catégories retenues ne permettent pas de refléter de façon adéquate la nature de certains d’entre eux. Le cas des établissements privés lucratifs ne présente pas d’ambigüité : ils constituent des entreprises, et sont donc couverts par les dispositions du 1° des articles 8 et 9 du présent projet de loi. Le cas des établissements publics de santé est moins explicite, car si le droit européen reconnait de manière constante la nature d’entreprise de tout établissement de santé, quel que soit son statut, les établissements publics de santé ne sont pas au regard du droit national des entreprises. Ils bénéficient ainsi d’un statut spécifique dans le code de la santé publique (art. L. 6141-1) et ne disposent en outre pas d’un chiffre d’affaires, critère permettant d’évaluer si certaines entités entrent ou non dans le dispositif. Les établissements de santé privés d'intérêt collectif, ainsi que les établissements et services médico-sociaux gérés par des organismes de droit privé à but non lucratif, lorsqu’ils délivrent des prestations de soins, n’entrent pas non plus dans ces catégories, gérés pour beaucoup par une association ou une fondation, dépourvues elles aussi de chiffre d’affaires. L’amendement proposé permet de lever cette ambiguïté, en ajoutant un alinéa qui leur est dédié dans les articles 8 et 9, et qui utilise la notion de produits d’exploitation en lieu et place de celle de chiffre d’affaires, cette notion existant bien pour les établissements concernés.

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

21306/11/2026

Cet amendement vise à revenir sur l’assujettissement des éditeurs de logiciels en tant qu’entités essentielles, quelle que soit leur taille. L’intégration de l’ensemble des éditeurs de logiciels comme entités essentielles serait une surtransposition manifeste de la directive NIS 2. Celle-ci ne prévoit l’assujetissement que d’une partie de cette filière, à savoir les fournisseurs de services cloud ainsi que les fournisseurs de services gérés et fournisseurs de services de sécurité gérés selon la logique de seuil prévue aux articles 8 et 9 du projet de loi. L’assujetissement de l’ensemble de la filière, sans logique de seuil comme le prévoit l’amendement adopté en commission, pénaliserait directement la filière française du logiciel qui serait la seule concernée au sein de l’Union européenne. Enfin, l’objectif de l’amendement adopté en commission était notamment de s’assurer du niveau de sécurité des produits que les éditeurs mettent sur le marché. Or le règlement sur la cyberrésilience (CRA), qui entrera en vigueur en 2027, répond à cet objectif en imposant à ces acteurs un certain nombre d’exigences minimales de sécurité. A ce titre, le projet de loi DADDUE qui adaptera prochainement notre droit au CRA sera le bon véhicule pour discuter de ce sujet.

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

21206/11/2026

L’article 62 prévoit actuellement une entrée en vigueur des dispositions du titre III dès le lendemain de la promulgation de la loi, tout en différant au 17 janvier 2027 l’application des articles 46, 47 et 54 aux sociétés de financement remplissant les conditions prévues au point 145 du paragraphe 1 de l’article 4 du règlement (UE) n° 575/2013. Cette échéance avait été retenue lors de l’examen du texte en commission afin de ménager aux sociétés de financement concernées un délai suffisant pour adapter leur organisation et leurs dispositifs aux nouvelles exigences. Le décalage du calendrier parlementaire a toutefois substantiellement réduit ce délai, alors même que les adaptations nécessaires peuvent être particulièrement importantes pour les acteurs de plus petite taille. L’amendement vise donc à préserver un délai d’adaptation effectif, tout en tenant compte du principe de proportionnalité consacré par DORA. Le délai proposé est de fixer au 17 juillet 2027 une date commune d’application des articles 46, 47 et 54 à l’ensemble des sociétés de financement.

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

21006/11/2026

Les articles L. 511-41 à L. 511-41-1-C dans leur rédaction résultant de l'ordonnance n° 2026-255 du 8 avril 2026 entreront en vigueur le 11 janvier 2027. Il convient de prévoir les compteurs de la date de promulgation de la présente loi jusqu’au 10 janvier 2027 puis à compter du 11 janvier 2027. En outre, les missions exercées par la Banque de France en métropole et dans les collectivités ultramarines de la zone euro, sont exercées par l'Institut d'émission d'outre-mer dans la zone du franc Pacifique et nécessitent donc une adaptation de l’article L. 521-10 dans les collectivités du Pacifique que sont la Nouvelle-Calédonie, la Polynésie française et les îles Wallis et Futuna.

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

20206/11/2026

L’article 28 punit d’une amende pouvant atteindre dix millions d’euros ou 2 % du chiffre d’affaires mondial le fait de fournir, lors d’un contrôle, des renseignements incomplets ou inexacts. Pour les 15 000 entités qui découvrent la régulation, dont un grand nombre de PME et de collectivités, l’erreur de bonne foi sera fréquente. Elle ne doit pas être traitée comme une obstruction. La loi du 10 août 2018 pour un État au service d’une société de confiance (ESSOC) a consacré le droit à l’erreur. Celui-ci ne s’applique toutefois pas de plein droit aux sanctions requises pour la mise en œuvre du droit de l’Union, ni à celles prononcées par les autorités de régulation (article L. 123‑1 du code des relations entre le public et l’administration). Le présent amendement du groupe Horizons & Indépendants l’étend donc expressément au contrôle de cybersécurité, dans les termes de la loi ESSOC. Celui qui se trompe et corrige n’est pas sanctionné ; celui qui ment ou fraude l’est, sans délai.

Marie-Agnès Poussier-WinsbackProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

19906/11/2026

Amendement de conséquence de l’amendement portant sur l’article 8. Les établissements et services sociaux et médico-sociaux qui n’atteignent pas les seuils des entités essentielles sont entités importantes au-delà des seuils de la moyenne entreprise fixés par la directive (50 personnes ou 10 millions d’euros). En deçà, ils peuvent être désignés au cas par cas au titre de l’article 10.

Marie-Agnès Poussier-WinsbackProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

19806/11/2026

La commission a qualifié d’entités essentielles l’ensemble des établissements et services sociaux et médico-sociaux, quelle que soit leur taille. L’objectif était de lever une ambiguïté, certains établissements contestant relever de la catégorie des « entreprises ». Mais la rédaction retenue fait entrer dans le régime le plus lourd des milliers de très petites structures : services d’aide à domicile, résidences autonomie, foyers, souvent gérés par des CCAS ou des CIAS. De nombreuses petites communes, pourtant exclues en tant que telles sous le seuil de 30 000 habitants, y seraient ainsi soumises indirectement. La directive ne vise les prestataires de soins qu’au-delà des seuils de la grande entreprise pour les entités essentielles. Le présent amendement applique ces seuils, appréciés au niveau de la personne morale gestionnaire, comme le prévoit déjà le 2° du présent article pour les établissements publics industriels et commerciaux. Il préserve l’objectif de clarification de la commission et reprend la position de l’ANSSI : « on n’assujettira pas la pharmacie du quartier ». Les structures plus petites mais critiques peuvent être désignées au titre de l’article 10.

Marie-Agnès Poussier-WinsbackProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

19706/11/2026

La commission a classé « les éditeurs de logiciels » parmi les entités essentielles, sans aucun critère de taille ni de secteur. Or les annexes I et II de la directive NIS 2 ne comportent aucune catégorie « éditeurs de logiciels ». Les éditeurs y entrent lorsqu’ils relèvent d’un secteur visé, par exemple comme fournisseurs de services gérés ou d’informatique en nuage, et dans le respect des seuils de taille. La sécurité des logiciels eux-mêmes relève du règlement (UE) 2024/2847 sur la cyberrésilience (CRA), que le texte met déjà en œuvre (articles 26 et 37). En l’état, une jeune entreprise de cinq salariés développant une application serait soumise au régime le plus exigeant, avec un contrôle a priori et des amendes de dix millions d’euros. Aucun autre État membre ne fait ce choix : c’est la définition même de la surtransposition, qui pénalise l’écosystème français que la stratégie nationale entend promouvoir. Les éditeurs critiques, notamment ceux des logiciels métiers dont dépendent les collectivités, pourront toujours être désignés au cas par cas par le Premier ministre au titre de l’article 10, sur les critères prévus par la directive.

Marie-Agnès Poussier-WinsbackProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

19606/11/2026

Cet amendement vise à prévoir la possibilité de prescrire, par décret et non dans le référentiel mentionné à l’article 14, le recours à des produits, services ou processus certifiés dans le cadre de schémas européens de certification de cybersécurité adoptés conformément à l’article 49 du règlement (UE) 2019/881. En effet, en l’état du texte, l’alinéa 8 du présent article ouvre la possibilité pour le référentiel d’exigences techniques de prescrire le recours à des produits, ce qui reviendrait à lui conférer une portée contraignante à l’égard de l’ensemble des personnes mentionnées à l’article 14, y compris en matière de recours à des produits, services ou processus certifiés. Ce référentiel n’ayant pas vocation à avoir une telle portée, il est proposé de corriger cette erreur de plume. Par cohérence, il est proposé de supprimer l’alinéa 8, devenu sans objet.

Vincent ThiébautProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

19506/11/2026

Cet amendement vise à réintroduire à l’article 14 la notion de « destinataires ». D’une part cet amendement poursuit un objectif de cohérence, cette notion étant présente dans la directive et reprise dans l’ensemble des dispositions du présent projet de loi. D’autre part car la notion d’usager est traditionnellement utilisée pour désigner les usagers d’un service public, ce qui est plus restrictif que les destinataires des services, et de nature à créer un risque de confusion quant aux personnes visées par la disposition.

Vincent ThiébautProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

19406/11/2026

Cet amendement vise à améliorer le cadre juridique prévu à l’alinéa 9 de l’article 14 en garantissant sa pérennité pour les acteurs du numérique et en l’élargissant à l’ensemble des entités essentielles et importantes qui pourraient être assujetties à un acte d’exécution établissant des exigences techniques et méthodologiques et le cas échéant sectorielles pris en application de la directive NIS 2. En effet, en application du 5. de l’article 21 de la directive NIS 2, certaines entités essentielles ou importantes peuvent être assujetties à un acte d’exécution et ainsi être tenues d’appliquer des exigences techniques et méthodologiques, ainsi que, le cas échéant, des exigences sectorielles liées aux mesures visées au paragraphe 2 du même article, par exception aux exigences définies par les Etats membres. Tel est le cas notamment pour les entités importantes ou essentielles fournisseurs de services de systèmes de noms de domaine, offices d’enregistrement, fournisseurs de services d’informatique en nuage, fournisseurs de services de centres de données, fournisseurs de réseaux de diffusion de contenu, fournisseurs de services gérés, fournisseurs de services de sécurité gérés, fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux et prestataires de services de confiance, ci-après « les acteurs du numérique », qui sont tenus de mettre en œuvre les exigences techniques et méthodologiques définies par le règlement d’exécution (UE) 2024/2690 de la Commission du 17 octobre 2024. Bien que le gouvernement partage l’objectif de clarification traduit par l’alinéa 9 de l’article 14 adopté en commission spéciale, il apparaît que cette disposition est incomplète en l’état et ne permet pas de s’adapter à l’adoption : - De nouveaux actes d’exécution de la directive NIS 2 concernant les acteurs du numérique ; - De nouveaux actes d’exécution de la directive NIS 2 qui seraient applicables à d’autres types d’acteurs puisqu’en application du deuxième alinéa du paragraphe 5 de l’article 21 de la directive, d’autres entités essentielles ou importantes pourraient à l’avenir être concernées par de tels actes d’exécution. Cet amendement vise ainsi à garantir la pérennité de l’adéquation des dispositions de la loi à l’acte d’exécution applicable aux acteurs du numérique et aux éventuels futurs actes d’ex

Vincent ThiébautProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

19206/11/2026

La directive NIS2 prévoit que les prestataires de soins appartiennent au secteur hautement critique « Santé ». Ce secteur est soumis aux critères de taille pour déterminer si l’entité est régulée, et si elle est essentielle ou importante aux termes du a) du 1. et du 2. de l’article 3 de la directive. En l’état de sa rédaction, le projet de loi ne traite pas explicitement des établissements de santé et les catégories retenues ne permettent pas de refléter de façon adéquate la nature de certains d’entre eux. Le cas des établissements privés lucratifs ne présente pas d’ambigüité : ils constituent des entreprises, et sont donc couverts par les dispositions du 1° des articles 8 et 9 du présent projet de loi. Le cas des établissements publics de santé est moins explicite, car si le droit européen reconnait de manière constante la nature d’entreprise de tout établissement de santé, quel que soit son statut, les établissements publics de santé ne sont pas au regard du droit national des entreprises. Ils bénéficient ainsi d’un statut spécifique dans le code de la santé publique (art. L. 6141-1) et ne disposent en outre pas d’un chiffre d’affaires, critère permettant d’évaluer si certaines entités entrent ou non dans le dispositif. Les établissements de santé privés d'intérêt collectif, ainsi que les établissements et services médico-sociaux gérés par des organismes de droit privé à but non lucratif, lorsqu’ils délivrent des prestations de soins, n’entrent pas non plus dans ces catégories, gérés pour beaucoup par une association ou une fondation, dépourvues elles aussi de chiffre d’affaires. L’amendement proposé permet de lever cette ambiguïté, en ajoutant un alinéa qui leur est dédié dans les articles 8 et 9, et qui utilise la notion de produits d’exploitation en lieu et place de celle de chiffre d’affaires, cette notion existant bien pour les établissements concernés.

Vincent ThiébautProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

19106/11/2026

La directive NIS2 prévoit que les prestataires de soins appartiennent au secteur hautement critique « Santé ». Ce secteur est soumis aux critères de taille pour déterminer si l’entité est régulée, et si elle est essentielle ou importante aux termes du a) du 1. et du 2. de l’article 3 de la directive. En l’état de sa rédaction, le projet de loi ne traite pas explicitement des établissements de santé et les catégories retenues ne permettent pas de refléter de façon adéquate la nature de certains d’entre eux. Le cas des établissements privés lucratifs ne présente pas d’ambigüité : ils constituent des entreprises, et sont donc couverts par les dispositions du 1° des articles 8 et 9 du présent projet de loi. Le cas des établissements publics de santé est moins explicite, car si le droit européen reconnait de manière constante la nature d’entreprise de tout établissement de santé, quel que soit son statut, les établissements publics de santé ne sont pas au regard du droit national des entreprises. Ils bénéficient ainsi d’un statut spécifique dans le code de la santé publique (art. L. 6141-1) et ne disposent en outre pas d’un chiffre d’affaires, critère permettant d’évaluer si certaines entités entrent ou non dans le dispositif. Les établissements de santé privés d'intérêt collectif, ainsi que les établissements et services médico-sociaux gérés par des organismes de droit privé à but non lucratif, lorsqu’ils délivrent des prestations de soins, n’entrent pas non plus dans ces catégories, gérés pour beaucoup par une association ou une fondation, dépourvues elles aussi de chiffre d’affaires. L’amendement proposé permet de lever cette ambiguïté, en ajoutant un alinéa qui leur est dédié dans les articles 8 et 9, et qui utilise la notion de produits d’exploitation en lieu et place de celle de chiffre d’affaires, cette notion existant bien pour les établissements concernés.

Vincent ThiébautProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

18906/11/2026

Il convient de rectifier le comptage des lignes du tableau compteur Lifou des articles L. 783-2, L. 784-2 et L. 785-2 car celui-ci, depuis son écriture initiale en 2024, a été modifié par l’ordonnance n° 2026-255 du 8 avril 2026. La création de l’article L. 612-24-1 nécessite une adaptation concernant la directive du 14 décembre 2022 qui ne peut pas s’appliquer en l’état dans les collectivités ultramarines du Pacifique que sont la Nouvelle-Calédonie, la Polynésie française et les îles Wallis et Futuna qui sont des pays et territoires d’outre-mer où le droit européen ne s’applique pas.

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

18806/11/2026

Cet amendement vise à revenir sur l’assujettissement des éditeurs de logiciels en tant qu’entités essentielles, quelle que soit leur taille. L’intégration de l’ensemble des éditeurs de logiciels comme entités essentielles serait une surtransposition manifeste de la directive NIS 2. Celle-ci ne prévoit l’assujetissement que d’une partie de cette filière, à savoir les fournisseurs de services cloud ainsi que les fournisseurs de services gérés et fournisseurs de services de sécurité gérés selon la logique de seuil prévue aux articles 8 et 9 du projet de loi. L’assujetissement de l’ensemble de la filière, sans logique de seuil comme le prévoit l’amendement adopté en commission, pénaliserait directement la filière française du logiciel qui serait la seule concernée au sein de l’Union européenne. Enfin, l’objectif de l’amendement adopté en commission était notamment de s’assurer du niveau de sécurité des produits que les éditeurs mettent sur le marché. Or le règlement sur la cyberrésilience (CRA), qui entrera en vigueur en 2027, répond à cet objectif en imposant à ces acteurs un certain nombre d’exigences minimales de sécurité. A ce titre, le projet de loi DADDUE qui adaptera prochainement notre droit au CRA sera le bon véhicule pour discuter de ce sujet.

Vincent ThiébautProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

17306/11/2026

La commission spéciale a adopté un amendement désignant l’Autorité de contrôle prudentiel et de résolution comme autorité compétente chargée de recevoir les déclarations d’incidents majeurs liés aux TIC et les notifications volontaires des cybermenaces de la part des entités financières soumises à la surveillance de plusieurs autorités nationales compétentes, conformément au deuxième alinéa du paragraphe 1 de l’article 19 du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier (DORA). Contrairement à la rédaction adoptée par le Sénat, celle de la commission spéciale prévoit une communication parallèle et par le biais d’un formulaire unique est toutefois prévue au bénéfice de l’Agence nationale de sécurité des systèmes d’information (ANSSI), de manière obligatoire pour les entités assujetties au titre II du projet de loi et sur une base volontaire pour les autres entités, afin de faciliter l’information rapide et le traitement de ces incidents et menaces par l’ANSSI. Cet amendement vise à préciser que cette communication à l’ANSSI est réalisée à l’aide d’un formulaire unique, ce qui était un point d’attention pour les entités financières. Cette rédaction permettrait de concilier la simplification des démarches à accomplir par les entreprises concernées – ce qui était l’objectif du Sénat – tout en permettant l’intervention rapide de l’ANSSI. Il convient de préciser que cette rédaction a été retenue par la commission spéciale à l’article 45 bis qui concerne la déclaration d’incidents majeurs liés aux TIC à l’Autorité des marchés financiers (AMF) et à l’ANSSI pour les entités financières qui relèvent de la compétence de la première.

Philippe LatombeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

16706/11/2026

Cet amendement vise à s’assurer que la sanction éventuellement prononcée prenne en compte d’une part l’impact des manquements aux obligations de l’entité visée sur ses clients, fournisseurs ou écosystème et d’autre part les enjeux stratégiques (intelligence économique), économiques, technologiques ou sociaux liés à l’entité. L’expertise sectorielle d’un représentant du ministère en charge du secteur d’activité de l’entité visée complètera les expertises techniques et juridiques des autres membres de la commission des sanctions. Amendement travaillé avec le Cybercercle.

Philippe LatombeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

16406/11/2026

Contenu à consulter sur la fiche officielle

Philippe LatombeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

16306/11/2026

Contenu à consulter sur la fiche officielle

Philippe LatombeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

16206/11/2026

Contenu à consulter sur la fiche officielle

Philippe LatombeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

16006/11/2026

Comme le souligne l’alinéa 14 de cet article, un incident important peut avoir des conséquences graves, ce qui justifie que les autorités compétentes du secteur d’activité concerné et éventuellement la CNIL en soient informées afin de prendre les mesures nécessaires. Selon le principe du « dites-le nous une fois » et afin que l’entité victime de l’incident important se concentre sur son traitement, l’autorité nationale de sécurité des systèmes d’information, première destinatrice de la notification doit assurer la transmission des notifications aux administrations ou autorités concernées. L’entité victime sera réputée avoir rempli les obligations légales de notification propres à son activité par la notification de l’incident au guichet unique opéré par l’autorité nationale de sécurité des systèmes d’information. Amendement travaillé avec le Cybercercle.

Philippe LatombeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

15106/11/2026

Contenu à consulter sur la fiche officielle

Philippe LatombeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

14506/11/2026

L’article 14 transpose l’article 21 de la directive NIS 2 et impose aux entités essentielles et importantes de mettre en place « des outils et des procédures pour assurer la défense des réseaux et des systèmes d’information et gérer les incidents ». Dans le texte adopté par la commission spéciale le 10 septembre 2025, cette obligation pèse aussi sur les administrations de l’État chargées de la sécurité publique, de la défense et de la répression pénale ainsi que sur les juridictions administratives et judiciaires (art. 14, premier alinéa) ; elle se prolonge dans l’obligation de notifier les incidents ayant causé l’extraction de données sensibles (art. 17, III, 1°). Parmi ces outils figure la veille en sources ouvertes, notamment sur les fuites de données, que l’ENISA décrit comme une composante des mesures attendues. Le présent amendement précise que cette veille entre dans les mesures exigées par la loi, y compris lorsqu’elle porte sur des données publiées à la suite d’une cyberattaque. Il en tire la conséquence pénale : l’entité qui exécute son obligation, directement ou par un prestataire, accomplit un acte autorisé par la loi et ne peut être poursuivie pour recel. Ce dispositif vise les seules entités soumises au titre II, ainsi que les prestataires éventuels qui leurs permettent de remplir leurs obligations

Philippe LatombeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

14406/11/2026

L’article 21, paragraphe 2, point e), de la directive (UE) 2022/2555 du 14 décembre 2022, dite « NIS 2 », inclut le traitement et la divulgation des vulnérabilités parmi les mesures de gestion des risques que prennent les entités essentielles et importantes. Le présent amendement inscrit cette exigence à l’article 14.

Philippe LatombeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

14206/11/2026

L’objectif de cet amendement est d'assurer la résilience des réseaux et systèmes d’information, en plus de la protection.

Philippe LatombeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

14106/11/2026

Le présent amendement vise à instaurer une saine gestion des risques technologiques pour les systèmes d’information les plus critiques de la Nation, en application du principe « appliquer ou expliquer ». Le projet de loi renforce à juste titre les obligations de cybersécurité. Cependant, une part majeure du risque provient des briques logicielles elles-mêmes, notamment lorsqu’elles sont des « boîtes noires » dont le fonctionnement interne est inaccessible à l’entité qui les utilise et aux autorités de contrôle. Cet amendement ne vise pas à interdire le recours aux logiciels propriétaires, mais à s’assurer que leur choix pour un usage critique soit une décision éclairée et documentée. En exigeant une analyse de risques spécifique pour les solutions à code source fermé, cet amendement contraint les entités essentielles et importantes à évaluer objectivement : 1. La dépendance technologique (vendor lock-in) : Le risque de se retrouver prisonnier d’un fournisseur unique, souvent soumis à des législations étrangères, est une vulnérabilité stratégique majeure. L’analyse devra porter sur les stratégies de réversibilité et de sortie. 2. Les limitations en matière d’audit de sécurité : L’impossibilité de réaliser ou de faire réaliser un audit complet du code source constitue un risque de sécurité intrinsèque. L’entité devra formaliser la manière dont elle entend pallier cette opacité. 3. La souveraineté des données et des systèmes : Cet amendement s’inscrit dans la continuité de l’article 16 de la loi pour une République numérique, qui demande aux administrations de préserver la « maîtrise, la pérennité et l’indépendance de leurs systèmes d’information ». Il précise cette exigence de maîtrise dans le cas des infrastructures critiques du pays.

Philippe LatombeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

13906/11/2026

L'article 14 prévoit déjà que le choix des mesures de sécurité vise à minimiser les dépendances envers des prestataires tiers « ne présentant pas de garanties suffisantes ». Il ne précise pas comment ces garanties s'apprécient. Cet amendement complète les critères d'appréciation des risques liés aux fournisseurs en s'appuyant sur l'article 21, paragraphe 3, de la directive, qui impose de tenir compte des vulnérabilités propres aux fournisseurs et prestataires de services directs, ainsi que sur l'article 22 et les considérants 90 et 91, qui reconnaissent explicitement la pertinence des facteurs de risque non techniques, notamment l'influence d'un pays tiers, les vulnérabilités cachées, les ruptures d'approvisionnement systémiques et les situations de verrouillage technologique ou de dépendance à un fournisseur.

Philippe LatombeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

13806/11/2026

Le présent amendement précise à l’article 14 que les mesures exigées sont de nature physique et logique. Il complète le 2° par les politiques de sécurité des ressources humaines, de contrôle des accès physiques et logiques et de gestion des actifs ; ainsi que par une politique de sécurité de la chaîne d’approvisionnement fondée sur l’identification des fournisseurs et prestataires de services directs et de leur niveau de criticité, réexaminée au moins une fois par an.

Philippe LatombeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

13706/11/2026

Amendement d’appel : De nombreuses réglementations numériques, sectorielles et non sectorielles, viennent s’imposer aux entreprises. L'article 13 du présent projet de loi dispose actuellement que l’entreprise devra se conformer au texte le plus contraignant : cette formulation laisse la place à une appréciation individuelle desdites entreprises. De fait, afin de s’assurer de l’usage systématique de la réglementation la plus exigeante, l’État devrait proposer un référentiel, piloté par l’ANSSI, permettant de s’assurer du respect de la hiérarchie des exigences. L’idée ici n’est pas d’alourdir la charge de l’ANSSI en communiquant individuellement la hiérarchisation des normes qui s’impose pour chaque entreprise mais bien de poser des lignes directrices auxquelles chacun pourra se référer pour faciliter la mise en conformité. In fine, cet amendement tend à limiter la charge de l’ANSSI en réduisant les possibilités d’erreurs de mise en conformité.

Philippe LatombeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

13506/11/2026

Le présent amendement supprime la mention des éditeurs de logiciels parmi les entités essentielles. Les éditeurs de logiciels ne figurent pas, en tant que tels, parmi les types d’entités énumérés aux annexes I et II de la directive (UE) 2022/2555 du 14 décembre 2022, dite « NIS 2 ».

Philippe LatombeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Scrutin+ — La vie parlementaire en clair