● Élus, dossiers et scrutins officiels synchronisés · analyses éditoriales clairement signalées

TRAVAIL PARLEMENTAIRE OFFICIEL

Les amendements

145 529 amendements recensés ; les 500 plus récents sont consultables dans cette version légère.

Mode déployable allégé

La recherche porte sur les 500 amendements les plus récents. Les statistiques agrégées couvrent bien les 145 529 amendements ; l’archive exhaustive reste accessible depuis la source officielle.

Données actualisées le 10/11/2026 · extrait récent

145 529amendements recensés

19 520adoptés

35 263rejetés

14 016retirés

ACCÈS PAR TEXTE

Textes les plus amendés

Ouvrez directement les amendements officiellement rattachés à un dossier législatif.

Projet de loi ordinaireProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité261 amendements →Projet de loi de finances rectificativeProjet de loi de finances de fin de gestion pour 202697 amendements →Proposition de loi ordinaireMieux reconnaître et à valoriser les aidants actifs35 amendements →Projet de loi de finances de l'annéeProjet de loi de finances pour 202733 amendements →Proposition de loi ordinaireL’interdiction de relations commerciales contribuant, par aide ou assistance, à la politique de colonisation dans le Territoire palestinien occupé et dans le Territoire syrien occupé des hauteurs du Golan26 amendements →Proposition de loi ordinaireProposition de loi visant à lutter contre la vie chère en renforçant le droit de la concurrence et de la régulation économique outre-mer18 amendements →

RÉSULTATS

261 amendements

Page 6 sur 9

Cet amendement du groupe Socialistes et apparentés met en place un mécanisme de sanctions à l’encontre des collectivités territoriales en cas de manquement aux obligations prévues au titre 2 du projet de loi. Il permet à la commission des sanctions d'enjoindre la collectivité territoriale concernée à mettre en place, dans un délai de trois mois à compter de la constatation du manquement, un plan de remédiation, en bénéficiant de l'expertise et de l'accompagnement de l'ANSSI. Si le plan de remédiation n’a pas été mis en place dans le délai imparti, la commission des sanctions peut enjoindre la collectivité territoriale concernée de le présenter lors de la prochaine réunion de l'assemblée délibérante de la collectivité concernée, et de le rendre public. En cas de manquement à l'obligation de notification à l’autorité nationale de sécurité des systèmes d’information d'un incident important tel que définit à l'article 17 du présent projet de loi, un rapport d'incident doit être présenté concomitamment au plan de remédiation. Cet amendement du groupe Socialistes et apparentés vise à élever le niveau de maturité des acteurs en les embarquant dans une dynamique vertueuse, tout en tenant compte de leurs difficultés éventuelles à mettre en place les exigences issues de la transposition de NIS2.

Sébastien Saint-PasteurProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

Cet amendement d'appel du groupe Socialistes et apparentés vise à interpeller le gouvernement sur le délai dont disposeront les entités concernées pour se mettre en conformité avec les exigences prévues par le présent article. En effet, il paraît nécessaire de prévoir une date d’entrée en vigueur de ces obligations, donnant aux acteurs un délai suffisant pour se mettre en conformité. L'ANSSI estimait ce délai raisonnable à trois ans.

Sébastien Saint-PasteurProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Cet amendement du groupe Socialistes et apparentés vise à ajouter l'éducation parmi les secteurs critiques mentionnés à l'article 7 du présent projet de loi. Lors de l'examen en commission spéciale, l'ajout de cette mention avait été repoussé par les rapporteurs qui considéraient qu'il s'agissait d'une surtransposition. Notre groupe défend toutefois l'inscription de cette mention au sein de cet article. En effet, depuis juillet 2026, le ministère de l'éducation nationale a fait l'objet de cyberattaques massives visant plus d'une dizaine d'académies, et ce à quelques jours de la rentrée scolaire. Avec pour conséquences le vol de données personnelles de plusieurs centaines de milliers d'enseignants et d'élèves, et la suspension (en réponse) d'outils numériques et des services, notamment l'accès au service de paie et le versement des salaires. Au 1er septembre, les académies de Nantes et Toulouse n'avaient toujours aucun accès aux outils numériques - messageries, environnement numérique de travail (ENT), base de données et affectation des élèves, gestion des nominations des enseignants, paye des personnels, convocation aux examens etc. L'ampleur de ces incidents, concomitants avec d'autres attaques cybercriminelles liées à des violations de données affectant les services de l'État, est détaillée dans le point de situation, publié en septembre 2026, par la capacité renforcée de réaction, d'intervention et d'assistance aux services de l'État (REACTIV/ANSSI) dans le traitement des compromissions de comptes d'utilisateurs et dans l'analyse des violations de données.

Sébastien Saint-PasteurProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Article PREMIER

Cet amendement du groupe Écologiste et social a pour objectif d’étendre l’analyse des dépendances à l’égard des tiers à l’ensemble des activités des opérateurs d’importance vitale et non seulement à leur activité d’importance vitale.

Cyrielle ChatelainProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

La directive NIS 2 renforce l’harmonisation européenne en encadrant strictement les possibilités pour les États membres d’étendre son champ d’application. À la différence de la directive NIS 1, un État membre ne peut ainsi soumettre de manière générale une catégorie à ses obligations en dehors des hypothèses prévues par la directive. La directive NIS 2 prévoit toutefois la possibilité de désigner, indépendamment de leur taille, certaines entités relevant de secteurs critiques ou hautement critiques lorsqu’elles présentent une importance particulièrement pour la sécurité ou la santé publiques. Cette désignation doit être justifiée par l’un des quatre critères transposés à l’article 10 du présent projet de loi. Cette faculté permet de prendre en compte la situation des éditeurs de logiciels dont la défaillance pourrait avoir des conséquences significatives sur un secteur critique. Elle pourrait notamment trouver à s’appliquer à un éditeur de logiciel de santé occupant une position déterminante dans un secteur dont le fonctionnement repose sur ses services. Le présent amendement propose donc de ne pas soumettre indistinctement l’ensemble des éditeurs de logiciels au régime des entités essentielles. Il permet leur désignation lorsqu’ils remplissent effectivement les conditions prévues par la directive NIS 2. Cette désignation serait effectuée par voie réglementaire, sous l’autorité du Premier ministre, sur la base de l’expertise des ministères compétents. Cette approche permet de répondre aux enjeux de cybersécurité propres aux acteurs les plus critères tout en respectant le cadre et le principe de proportionnalité posées par la directive NIS2.

Véronique RiottonProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Les systèmes d’information des administrations et organismes visés à l’article 16 assurent des missions particulièrement sensibles pour la sécurité nationale, la défense, la justice ou le fonctionnement de l’État. Leur protection justifie, à ce titre, des exigences adaptées à la nature des informations et des activités concernées. Dans ces environnements, la sécurité des systèmes d’information ne peut être dissociée de celle des équipements matériels (« hardware ») qui les composent, et suppose, à ce titre, une appréciation globale des risques liés à ces équipements, portant tant sur leur niveau de sécurité technique que les risques d’ingérence étatique. La directive NIS2 reconnaît à cet égard l’importance de la sécurité de la chaîne d’approvisionnement dans l’appréciation du risque cyber. S’inspirant de l’approche retenue par l’Allemagne dans le cadre de sa transposition de NIS 2 adoptée en 2025, le présent amendement vise à permettre, pour les systèmes les plus sensibles, la prise en compte du contrôle des fabricants d’équipements et composants numériques par un gouvernement, une autorité publique ou les forces armées d’un pays tiers. Compte tenu de la sensibilité des systèmes concernés, le présent amendement prévoit que les exigences spécifiques définies par le Premier ministre à l’article 16 peuvent inclure l’interdiction de certains composants ou produits à risque. Cette disposition vise à renforcer la protection des systèmes d’information régaliens et à prévenir les risques de compromission ou d’ingérence susceptibles d’affecter les missions les plus sensibles de l’État.

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Contenu à consulter sur la fiche officielle

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Cet amendement du groupe La France insoumise vise à remplacer la possibilité de transmission des cybermenaces des entités financières à l’ACPR et l’ANSSI par une obligation, toutefois restreinte aux cas les plus importants. La hausse des cyberattaques et leur sophistication croissante exigent une réactivité de la part des pouvoirs publics chargés de les contrer ; la transmission systématique des cybermenaces majeures, en plus des incidents, permettrait ainsi d’anticiper au mieux les attaques futures. Lors de l’examen en commission, il avait été convenu de rendre facultative la transmission des cybermenaces ; l’évolution des attaques cyber depuis l’été 2025 incite plutôt à la systématiser.

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

Par cet amendement, les député.es du groupe LFI souhaitent octroyer à l’Anssi un pouvoir d’injonction immédiat lors de son contrôle en cas de risque imminent pour les intérêts fondamentaux de la Nation. L’amendement permet de mettre en œuvre des mesures conservatoires immédiates, telles que l’interruption temporaire d’un service, le blocage d’accès ou la désactivation d’un système vulnérable, pour neutraliser sans délai la source de danger. Ces mesures visent à protéger l’intérêt général et la résilience des infrastructures critiques, permettant d’endiguer rapidement la menace, limitant ainsi l’exposition aux risques et la propagation d’éventuelles attaques ou dysfonctionnements. En parallèle, il est prévu que ces actions ne préjugent pas du respect des droits procéduraux de l’entité concernée, qui conserve un délai raisonnable pour effectuer une mise en conformité complète et durable. Cette double approche garantit à la fois la sécurité et la rigueur juridique, conciliant efficacité opérationnelle et respect des principes de proportionnalité et de justice administrative.Ainsi, cet amendement renforce la capacité d’intervention rapide des autorités dans un domaine sensible, tout en assurant un équilibre nécessaire entre prévention des risques majeurs et capacité d’adaptation des opérateurs.

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

Par cet amendement, le groupe parlementaire LFI prévoit un système de sauvegarde sécurisé pour les données mentionnées à l’article 20, exclusivement pour répondre aux besoins spécifiques des procédures pénales et des enquêtes en cybersécurité. Cette mesure répond à des enjeux majeurs liés à la nature même des incidents de cybersécurité, qui sont souvent complexes, dissimulés, et détectés avec un retard important, parfois plusieurs années après leur survenue. La capacité des autorités judiciaires et des organismes de sécurité à reconstituer les chaînes d’attaque, identifier les auteurs, et comprendre les mécanismes d’intrusion repose donc sur la disponibilité prolongée de données fiables et complètes.Par ailleurs, dans le cadre des procédures pénales, la continuité probatoire est essentielle pour garantir l’efficacité des enquêtes et la sécurité juridique des actes réalisés. La conservation étendue des données permet d’éviter que des preuves essentielles soient détruites prématurément, ce qui pourrait compromettre la poursuite des infractions graves liées au cybercrime ou à d’autres formes de délinquance numérique.Toutefois, conscient des enjeux de protection des données personnelles et des libertés fondamentales, cet amendement insiste sur la mise en place de conditions strictes encadrant l’accès, la traçabilité et la sécurisation de ces données prolongées. Cette organisation garantit que la conservation ne constitue pas un stockage généralisé injustifié, mais un outil ciblé, contrôlé et proportionné, respectant les exigences du droit à la vie privée et des règles applicables en matière de données personnelles. En somme, cette disposition équilibre la nécessité impérieuse de disposer d’éléments probatoires suffisants dans le temps, tout en assurant un cadre transparent et rigoureux de gestion des données sensibles, contribuant ainsi à renforcer la confiance dans les dispositifs de cybersécurité et dans le système judiciaire.

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

Contenu à consulter sur la fiche officielle

Arnaud Saint-MartinProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Par cet amendement, le groupe LFI souhaite réaffirmer à nouveau l'importance d'utiliser des solutions numériques souveraines, en garantissant notamment l'hébergement des données récoltées par les entités assujetties aux obligations du présent projet de loi sur des serveurs situés sur le territoire national (ou européen) et sur lesquels s'applique le droit national et protégé de tout effet d'une législation étrangère qui aboutirait d'une manière ou d'une autre à un transfert de données à des autorités étrangères. Face à la numérisation de la société, l'usage de nouveaux outils numériques tels que les "clouds" (ou service de l'informatique en nuage) sont devenus indispensables au bon fonctionnement des entités publiques et privées. Les données qu'elles récoltent sont parfois particulièrement sensibles, et toute fuite ou divulgation non autorisée aurait des conséquences néfastes majeures pour les individus concernés. Or, sur ce marché, 3 grandes entreprises américaines sont en situation de quasi-monopole, puisqu'Amazon Web Services (AWS), Microsoft Azure et Google Cloud, représentent à elles seules 70% des parts de marché en Europe, tandis que la part des fournisseurs de cloud européens a connu une diminution au cours des dernières années, représentant 27 % des parts en 2017 puis seulement 16 % en 2021. Or, en raison de l'existence de législations extraterritoriales appliquées par certains pays comme les Etats-Unis, les données récoltées par leurs entreprises à l'étranger doivent être ouvertes aux autorités publiques : dans le cadre de la commission d'enquête sénatoriale sur "les coûts et les modalités effectifs de la commande publique et la mesure de leur effet d'entraînement sur l'économie française" adopté le 8 juillet 2025, M. Anton Carniaux, directeur des affaires publiques et juridiques de Microsoft France, a avoué que son entreprise ne pouvait pas garantir que les données hébergées ne soit jamais transmises à des autorités étrangères lorsque ces dernières le leur demande au titre de leurs législations nationales. Ainsi, aux Etats-Unis, plusieurs législations permettent au Gouvernement d’accéder à nos données comme la section 702 du Foreign Intelligence Surveillance Act (Fisa) qui permet aux autorités américaines, sans nécessité de mandat, de recueillir des données personnelles de citoyens étrangers stockées sur des serveurs gérés par des fournisseurs de

Arnaud Saint-MartinProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Par cet amendement, le groupe LFI souligne la nécessité de recourir dans la mesure du possible aux logiciels libres et aux services de cloud réversibles afin de renforcer la sécurité des données collectées. En effet, l'usage de logiciels libres présente de nombreux atouts : représentant un coût minime, voire nul, les logiciels libres sont très flexibles (ils peuvent être modifiés et personnalisés facilement pour répondre à des besoins spécifiques), plus transparents (code en libre accès), éthique (leurs utilisateurs peuvent s’assurer qu’ils ne contribuent pas à une propriété intellectuelle restrictive et à la surveillance des utilisateurs, ce qui peut être le cas dans les logiciels propriétaires) mais surtout plus sûrs, car ils sont souvent examinés par une communauté de développeurs spécialisée qui peut identifier et corriger les vulnérabilités signalées par les utilisateurs plus rapidement qu’avec les logiciels propriétaires. Quant aux services de cloud réversibles, ils permettent à ses utilisateurs de préserver leur autonomie technologique et d'assurer leur sécurité en leur donnant la faculté de récupérer les données stockées à tout moment, notamment d'un fournisseur de cloud qui ne respecterait pas les exigences minimums de protection des données personnelles collectées (comme les services clouds américains et la législation américaine qui permet au Gouvernement américain d'avoir accès à tout moment aux données stockées par ces derniers, même en Europe) à un autre qui les respecterait. Dans ce contexte, nous considérons que les administrations publiques devraient s'appuyer sur ces outils libres et transparents pour assurer au mieux la protection des données personnelles qu'ils collectent dans le cadre de leurs activités, garantissant ainsi les droits fondamentaux des citoyens et la souveraineté technologique européenne.

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Par cet amendement, le groupe LFI souhaite réaffirmer l'importance d'utiliser des solutions numériques souveraines, en garantissant notamment l'hébergement des données récoltées par les entités assujetties aux obligations du présent projet de loi sur des serveurs situés sur le territoire national (ou européen) et sur lesquels s'applique le droit national et protégé de tout effet d'une législation étrangère qui aboutirait d'une manière ou d'une autre à un transfert de données à des autorités étrangères. Face à la numérisation de la société, l'usage de nouveaux outils numériques tels que les "clouds" (ou service de l'informatique en nuage) sont devenus indispensables au bon fonctionnement des entités publiques et privées. Or, sur ce marché, 3 grandes entreprises américaines sont en situation de quasi-monopole sur le numérique, Amazon Web Services (AWS), Microsoft Azure et Google Cloud, représentent à elles seules 70% des parts de marché en Europe, tandis que la part des fournisseurs de cloud européens a connu une diminution au cours des dernières années, représentant 27 % des parts en 2017 puis seulement 16 % en 2021. Cela pose des questions très concrètes en matière de sécurisation de nos données - d'autant plus légitimes que dans le cadre de la commission d'enquête sénatoriale sur "les coûts et les modalités effectifs de la commande publique et la mesure de leur effet d'entraînement sur l'économie française" adopté le 8 juillet 2025, M. Anton Carniaux, directeur des affaires publiques et juridiques de Microsoft France, a avoué que son entreprise ne pouvait pas garantir que les données hébergées ne soit jamais transmises à des autorités étrangères – ce qui pose la question de l’extraterritorialité. En effet, de nombreuses législations étrangères permettent aux États les ayant mises en place de récupérer les données collectées par les entreprises, même lorsque cette récolte a été effectuée à l’étranger. A titre d'illustration, aux Etats-Unis, plusieurs législations permettent au Gouvernement d’accéder à nos données comme la section 702 du Foreign Intelligence Surveillance Act (Fisa) qui permet aux autorités américaines, sans nécessité de mandat, de recueillir des données personnelles de citoyens étrangers stockées sur des serveurs gérés par des fournisseurs de services cloud domiciliés aux États-Unis, y compris lorsque les serveurs ne sont pas situés sur le te

Arnaud Saint-MartinProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Par cet amendement, le groupe LFI souligne à nouveau l'importance de la préservation de la sécurité de l'hébergement de nos données numériques, en ayant recours à des solutions locales d'hébergement de ces dernières. La numérisation croissante de la société a notamment entraîné une production massive de données numériques, parfois très sensibles comme les données personnelles. Or, l'hébergement de ces dernières s'est souvent reposé sur des services d'hébergement en nuage - aussi appelé "cloud" - qui permettent notamment d'avoir accès aux données stockées partout dans le monde, en ayant uniquement besoin d'une connexion à Internet pour ce faire. Or, en raison de la nationalité d'origine des acteurs économiques dominants sur ce marché, principalement des acteurs américains comme Amazon Web Services (AWS), Microsoft Azure et Google Cloud, les données que nous faisons héberger sur ces services sont soumis à des législations extra-territoriales permettant à des puissances étrangères d'y avoir accès, sans notre autorisation. Ainsi, aux Etats-Unis, plusieurs législations permettent au Gouvernement d’accéder à nos données comme la section 702 du Foreign Intelligence Surveillance Act (Fisa) qui permet aux autorités américaines, sans nécessité de mandat, de recueillir des données personnelles de citoyens étrangers stockées sur des serveurs gérés par des fournisseurs de services cloud domiciliés aux États-Unis, y compris lorsque les serveurs ne sont pas situés sur le territoire américain. D'autres pays comme la Chine ou l'Inde ont également des législations similaires. Face à cette situation, il est indispensable de réfléchir à d'autres solutions techniques d'hébergement plus fiables en termes de préservation de la sécurité de nos données, les solutions locales de stockage ayant un rôle important à jouer en la matière. Très concrètement, les solutions locales désignent des solutions où les données sont stockées sur des dispositifs physiques comme des serveurs internes, des disques durs externes ou des NAS (Network Attached Storage), et ces dernières présentent plusieurs avantages non négligeables : tout d'abord, le recours à ce type de solution permet aux propriétaires des données d'avoir un contrôle total sur la configuration et les autorisations d'accès des utilisateurs, d'autant plus que l'absence de nécessité d'utiliser Internet pour y avoir accès est une garantie

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Contenu à consulter sur la fiche officielle

Arnaud Saint-MartinProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Contenu à consulter sur la fiche officielle

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Le présent amendement vise à supprimer la possibilité offerte aux fournisseurs de services numériques critiques établis hors de l’Union européenne de se soustraire à l’obligation d’établissement réel sur le territoire national, en se limitant à la désignation d’un simple représentant local. En effet, l’alinéa concerné autorise que des acteurs clés du numérique — tels que les fournisseurs de services de système de noms de domaine, d’informatique en nuage, d’hébergement, de diffusion de contenu, ou encore les plateformes de réseaux sociaux — puissent se conformer aux obligations réglementaires françaises sans disposer d’une implantation effective et contrôlable en France. Cette disposition fragilise la capacité des autorités à exercer un contrôle opérationnel sur ces services essentiels, en particulier dans un contexte où la souveraineté numérique et la protection des infrastructures critiques sont des priorités nationales. La désignation d’un simple représentant local constitue un contournement déconnecté de la réalité opérationnelle, qui ne garantit ni la maîtrise directe des infrastructures, ni la responsabilité pleine et entière de l’opérateur face aux exigences françaises. Par ailleurs, elle peut servir à contourner les règles nationales, tout en maintenant ces acteurs soumis à des législations extraterritoriales, telles que le Cloud Act ou le Patriot Act américains, pouvant engendrer des risques de fuite de données ou d’ingérence.Par conséquent, la suppression de cette possibilité est indispensable pour garantir une obligation d’établissement effectif en France, condition sine qua non à l’exercice d’un contrôle robuste, transparent et efficient sur ces acteurs numériques systémiques. Cette exigence favorise un cadre de régulation équitable, assurant que les opérateurs français, européens et étrangers respectent des normes comparables, dans un souci d’égalité de traitement et de protection renforcée des intérêts stratégiques nationaux. Enfin, renforcer cette obligation constitue un levier majeur pour consolider la souveraineté numérique de la France, en assurant la disponibilité, la sécurité et la résilience des services numériques essentiels, et en évitant que des fournisseurs extérieurs échappent à la responsabilité pleine et entière que requiert leur rôle dans l’écosystème numérique national.

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Par cet amendement de repli, le groupe LFI souligne la nécessité pour les entités désignées par l'autorité administrative investie du pouvoir réglementaire - ici le Premier ministre - d'avoir suffisamment de temps pour, le cas échéant, contester la décision de classement comme "entité essentielle" ou "entité importante" si elle exerce dans un secteur hautement critique ou critique, quelque soit sa taille, au regard des critères prévus aux alinéas 2 à 5. Il n'est ici nullement question de remettre en cause le pouvoir discrétionnaire du Premier ministre, autorité de tutelle de l'Anssi, de désigner unilatéralement ces entités. En effet, l'article 10 du présent projet de loi est une transposition fidèle d’une partie des dispositions de l’article 2 de la directive NIS 2, qui prévoit d’assujettir sans condition de taille des entités appartenant aux secteurs « hautement critiques » ou « critiques », dès lors que la perturbation de leur service par une attaque cyber pourrait avoir un impact important pour le fonctionnement de la société, de secteurs économiques critiques, pour la sécurité publique, la sûreté publique, la santé publique ou bien encore pourrait représenter un risque systémique. Néanmoins, au regard des conséquences potentiellement importantes, notamment sur le plan économique, d'un tel classement, il semble indispensable d'ouvrir à minima une réflexion sur le temps disponible pour les entités concernées pour former un recours avant que l'arrêté ait déjà des effets concrets. En effet, l'article L221-5 du code des relations entre le public et l'administration prévoit que "L'autorité administrative investie du pouvoir réglementaire est tenue, dans la limite de ses compétences, d'édicter des mesures transitoires dans les conditions prévues à l'article L. 221-6 (prévoyant notamment la possibilité d'une date d'entrée en vigueur différée des règles édictées) lorsque l'application immédiate d'une nouvelle réglementation est impossible ou qu'elle entraîne, au regard de l'objet et des effets de ses dispositions, une atteinte excessive aux intérêts publics ou privés en cause." Si les entités concernées disposent de la possibilité de former un recours gracieux puis, le cas échéant, d'un recours contentieux devant la justice administrative (2 mois), il est néanmoins légitime de se demander si ce délai est suffisant.

Arnaud Saint-MartinProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Par cet amendement de repli, le groupe LFI souligne la nécessité pour les entités désignées par l'autorité administrative investie du pouvoir réglementaire - ici le Premier ministre - d'avoir suffisamment de temps pour, le cas échéant, contester la décision de classement comme "entité essentielle" ou "entité importante" si elle exerce dans un secteur hautement critique ou critique, quelque soit sa taille, au regard des critères prévus aux alinéas 2 à 5. Il n'est ici nullement question de remettre en cause le pouvoir discrétionnaire du Premier ministre, autorité de tutelle de l'Anssi, de désigner unilatéralement ces entités. En effet, l'article 10 du présent projet de loi est une transposition fidèle d’une partie des dispositions de l’article 2 de la directive NIS 2, qui prévoit d’assujettir sans condition de taille des entités appartenant aux secteurs « hautement critiques » ou « critiques », dès lors que la perturbation de leur service par une attaque cyber pourrait avoir un impact important pour le fonctionnement de la société, de secteurs économiques critiques, pour la sécurité publique, la sûreté publique, la santé publique ou bien encore pourrait représenter un risque systémique. Néanmoins, au regard des conséquences potentiellement importantes, notamment sur le plan économique, d'un tel classement, il semble indispensable d'ouvrir à minima une réflexion sur le temps disponible pour les entités concernées pour former un recours avant que l'arrêté ait déjà des effets concrets. En effet, l'article L221-5 du code des relations entre le public et l'administration prévoit que "L'autorité administrative investie du pouvoir réglementaire est tenue, dans la limite de ses compétences, d'édicter des mesures transitoires dans les conditions prévues à l'article L. 221-6 (prévoyant notamment la possibilité d'une date d'entrée en vigueur différée des règles édictées) lorsque l'application immédiate d'une nouvelle réglementation est impossible ou qu'elle entraîne, au regard de l'objet et des effets de ses dispositions, une atteinte excessive aux intérêts publics ou privés en cause." Si les entités concernées disposent de la possibilité de former un recours gracieux puis, le cas échéant, d'un recours contentieux devant la justice administrative (2 mois), il est néanmoins légitime de se poser la question du délai global dont disposent les entités concernés avant que les

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Par cet amendement, le groupe LFI souligne la nécessité pour les entités désignées par l'autorité administrative investie du pouvoir réglementaire - ici le Premier ministre - d'avoir suffisamment de temps pour, le cas échéant, contester la décision de classement comme "entité essentielle" ou "entité importante" si elle exerce dans un secteur hautement critique ou critique, quelque soit sa taille, au regard des critères prévus aux alinéas 2 à 5. Il n'est ici nullement question de remettre en cause le pouvoir discrétionnaire du Premier ministre, autorité de tutelle de l'Anssi, de désigner unilatéralement ces entités. En effet, l'article 10 du présent projet de loi est une transposition fidèle d’une partie des dispositions de l’article 2 de la directive NIS 2, qui prévoit d’assujettir sans condition de taille des entités appartenant aux secteurs « hautement critiques » ou « critiques », dès lors que la perturbation de leur service par une attaque cyber pourrait avoir un impact important pour le fonctionnement de la société, de secteurs économiques critiques, pour la sécurité publique, la sûreté publique, la santé publique ou bien encore pourrait représenter un risque systémique. Néanmoins, au regard des conséquences potentiellement importantes, notamment sur le plan économique, d'un tel classement, il semble indispensable d'ouvrir à minima une réflexion sur le temps disponible pour les entités concernées pour former un recours avant que l'arrêté ait déjà des effets concrets. En effet, l'article L221-5 du code des relations entre le public et l'administration prévoit que "L'autorité administrative investie du pouvoir réglementaire est tenue, dans la limite de ses compétences, d'édicter des mesures transitoires dans les conditions prévues à l'article L. 221-6 (prévoyant notamment la possibilité d'une date d'entrée en vigueur différée des règles édictées) lorsque l'application immédiate d'une nouvelle réglementation est impossible ou qu'elle entraîne, au regard de l'objet et des effets de ses dispositions, une atteinte excessive aux intérêts publics ou privés en cause." Si les entités concernées disposent de la possibilité de former un recours gracieux puis, le cas échéant, d'un recours contentieux devant la justice administrative (2 mois), il est néanmoins légitime de se poser la question du délai global dont disposent les entités concernés avant que les mesures

Arnaud Saint-MartinProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Article PREMIER

Contenu à consulter sur la fiche officielle

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Article PREMIER

Contenu à consulter sur la fiche officielle

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Article PREMIER

Contenu à consulter sur la fiche officielle

Arnaud Saint-MartinProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

3 (Rect)06/11/2026

La rédaction actuelle de cette disposition réduit la portée de la définition de la résilience à la seule continuité des activités d’importance vitale. Or le chapitre II du projet de loi, qui transpose la directive NIS2, oblige (à l’art. 14) les entités essentielles, les entités importantes, les administrations et leurs établissements publics administratifs à garantir un niveau de sécurité et de résilience adapté et proportionné au risque existant, et ne se limite pas aux seules activités d’importance vitale. En outre, cet amendement permet d’harmoniser les définitions de la notion de résilience entre les titres I et II du projet de loi, et de mettre en conformité cette définition avec celle prévue dans les directives transposées 2022/2557 et 2022/2555.

Virginie Duby-MullerProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

39705/11/2026

L’article 16 bis du présent projet de loi, inséré par voie d’amendement lors de l’examen au Sénat, dispose qu’« il ne peut être imposé aux fournisseurs de services de chiffrement, y compris aux prestataires de services de confiance qualifiés, l’intégration de dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d’information et des communications électroniques tels que des clés de déchiffrement maitresses ou tout autre mécanisme ou processus permettant un accès non consenti aux données protégées ». Ces dispositions présentent un risque majeur pour la sécurité nationale puisqu’elles entraveraient l’action des services judiciaires et de renseignement en interdisant d’imposer tout mécanisme ou processus permettant d’accéder à des données protégées. Le conflit normatif avec le cadre actuel des interceptions légales en France, qui découlerait de l’adoption de l’article 16 bis, serait de nature à permettre aux opérateurs de communications électroniques, dont les opérateurs de téléphonie « classiques », de s’exonérer de leurs obligations de coopération avec les autorités judiciaires et administratives. Cela fragiliserait gravement la capacité des services de police et de justice à agir contre la criminalité. En matière judiciaire, une très large part des investigations dépend de l’accès aux preuves numériques, dans un contexte technologique en constante évolution. En premier lieu, l’interdiction de l’accès aux données protégées entraverait les moyens aujourd’hui accessibles tant aux services d’enquête judiciaire qu’aux services de renseignement, pour l’ensemble des menaces à la sécurité contre lesquelles nous devons lutter. Pour rappel, une interception légale peut être autorisée par un juge d’instruction, pour les crimes et délits punis d’une peine égale ou supérieure à trois ans d’emprisonnement, ou par un juge des libertés et de la détention pour les seuls crimes et délits relevant de la criminalité et de la délinquance organisées ou du terrorisme (articles 706-73 et 706-73-1 du code de procédure pénale (CPP)). Elle peut également être autorisée par le Premier ministre, après avis de la commission nationale de contrôle des techniques de renseignement (CNCTR), pour permettre aux services de l’État de recueillir des renseignements relatifs à la défense et à la promotion des intérêts fondamentaux de la Nation. Les opérateurs de communic

Jean-Louis ThiériotProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

37505/11/2026

L’objectif de cet amendement est : – d’intégrer des notions de : transparence, portabilité et interopérabilité des technologies choisies par les entités essentielles et les entités importantes afin notamment de réduire le risque de dépendance numérique, de maximiser la résilience des réseaux et systèmes, de permettre la continuité des activités. – de rappeler l’objectif de souveraineté numérique dans le processus de certification.

Sabine ThillayeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

36905/11/2026

Cet amendement a pour objectif de garantir que la promotion de solutions de cybersécurité certifiées, prévue par l’article 16, ne crée pas d’effets pervers en défavorisant l’écosystème français et européen de l’innovation, notamment les acteurs du logiciel libre et les PME. L’article 16 permet au Premier ministre de prescrire le recours à des produits ou services certifiés ou qualifiés par l’ANSSI pour les systèmes les plus sensibles de la Nation. Cette démarche est un gage de sécurité. Toutefois, il existe un risque avéré que les processus de certification, par leur complexité ou leur coût, favorisent de facto les grands éditeurs, souvent extra-européens, au détriment d’alternatives innovantes et souveraines. Le rapport d’information de l’Assemblée nationale « Bâtir et promouvoir une souveraineté numérique nationale et européenne » (n°4299, 2021) souligne la nécessité de « faire confiance à nos entreprises technologiques » et de « privilégier, en matière de commande publique, le recours aux solutions d’acteurs technologiques français ou européens » (Proposition n°26). Cet amendement vise à prévenir ce risque en prévoyant une obligation pour l’ANSSI de concevoir des processus de qualification équitables et ouverts. Il s’agit de s’assurer que : 1. L’évaluation est fondée sur le mérite technique : Les critères doivent être objectifs et basés uniquement sur la robustesse et la sécurité de la solution, indépendamment du modèle économique (libre, propriétaire) ou de la taille du fournisseur. 2. Les barrières à l’entrée sont réduites : Les modalités ne doivent pas constituer un obstacle insurmontable pour les PME et les structures (associations, fondations) qui portent de nombreux projets de logiciels libres, en cohérence avec l’esprit de l’article 16 de la loi pour une République numérique qui en encourage l’utilisation. 3. La souveraineté numérique est renforcée : En garantissant une compétition équitable, nous permettons aux solutions françaises et européennes les plus performantes, y compris celles issues du logiciel libre, d’obtenir les qualifications nécessaires pour être déployées sur nos infrastructures critiques, renforçant ainsi notre filière technologique. Cet amendement est une mesure de sauvegarde pragmatique qui garantit que le renforcement de notre cybersécurité se fera en s’appuyant sur l’ensemble de nos forces vives, favorisant ainsi l’émergence d

Sabine ThillayeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

36805/11/2026

Cet amendement du groupe Écologiste et social vise à intégrer les phénomènes de rançongiciel dans les notifications faites auprès de l’ANSSI. En effet, à l’heure actuelle, le phénomène de rançongiciel est une menace majeure pour les entreprises, les établissements de santé et les collectivités. Cependant, l’État ne dispose pas de données fiables sur ce phénomène et son importance, les sommes réglées ou encore les établissements visés. L'objectif de cet amendement est de permettre une connaissance plus fine afin de mieux anticiper les attaques et permettre un meilleur suivi des enquêtes. L’amendement vient compléter les notifications prévues à cet article pour que l’ANSSI et les services d’enquête soient informées. Pour ne pas dissuader les victimes de se signaler, l’usage des données signalées est strictement encadré et ne peut fonder de sanction.

Lisa BellucoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

36405/11/2026

Le présent amendement vise à encadrer l’élaboration du futur référentiel d’exigences techniques et organisationnelles afin que les obligations de cybersécurité soient adaptées à la réalité des risques. Ce référentiel déterminera concrètement les mesures que devront mettre en œuvre plusieurs milliers d’entités. Il est donc essentiel que son niveau d’exigence ne soit pas défini de manière uniforme, mais qu’il tienne compte de l’exposition au risque, de la taille de l’entité, de la probabilité et de la gravité des incidents, ainsi que de l’ampleur des perturbations qu’ils seraient susceptibles de provoquer. L’ajout de la notion d’« effet perturbateur important », tel que proposé dans le présent amendement, permet de mieux apprécier les conséquences réelles d’une défaillance sur les usagers, les territoires et les autres activités essentielles. Il donne ainsi une traduction concrète au principe de proportionnalité, sans remettre en cause l’ambition du projet de loi en matière de cybersécurité. Cette précision assure également la cohérence entre les exigences de résilience applicables aux activités d’importance vitale et les obligations de cybersécurité prévues par le présent projet de loi. Les deux volets doivent poursuivre le même objectif : permettre aux opérateurs de mettre en œuvre des mesures adaptées aux menaces auxquelles ils sont exposés et à l’impact réel qu’aurait une interruption de leurs services. La directive NIS 2 impose bien une appréciation tenant compte notamment de la taille de l’entité, de son exposition au risque, de la probabilité et de la gravité des incidents, y compris de leurs conséquences sociales et économiques. À défaut, l’application uniforme du référentiel pourrait faire peser sur des services locaux des charges financières et opérationnelles disproportionnées au regard des risques encourus. Tel pourrait notamment être le cas de petits réseaux de chaleur et de froid, pour lesquels le coût de ces obligations serait nécessairement répercuté sur les abonnés. Cet amendement a été travaillé avec la FEDENE.

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Scrutin+ — La vie parlementaire en clair