● Élus, dossiers et scrutins officiels synchronisés · analyses éditoriales clairement signalées

TRAVAIL PARLEMENTAIRE OFFICIEL

Les amendements

145 529 amendements recensés ; les 500 plus récents sont consultables dans cette version légère.

Mode déployable allégé

La recherche porte sur les 500 amendements les plus récents. Les statistiques agrégées couvrent bien les 145 529 amendements ; l’archive exhaustive reste accessible depuis la source officielle.

Données actualisées le 10/11/2026 · extrait récent

145 529amendements recensés

19 520adoptés

35 263rejetés

14 016retirés

ACCÈS PAR TEXTE

Textes les plus amendés

Ouvrez directement les amendements officiellement rattachés à un dossier législatif.

Projet de loi ordinaireProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité261 amendements →Projet de loi de finances rectificativeProjet de loi de finances de fin de gestion pour 202697 amendements →Proposition de loi ordinaireMieux reconnaître et à valoriser les aidants actifs35 amendements →Projet de loi de finances de l'annéeProjet de loi de finances pour 202733 amendements →Proposition de loi ordinaireL’interdiction de relations commerciales contribuant, par aide ou assistance, à la politique de colonisation dans le Territoire palestinien occupé et dans le Territoire syrien occupé des hauteurs du Golan26 amendements →Proposition de loi ordinaireProposition de loi visant à lutter contre la vie chère en renforçant le droit de la concurrence et de la régulation économique outre-mer18 amendements →

RÉSULTATS

261 amendements

Page 7 sur 9

36305/11/2026

Le présent amendement vise à éviter qu’une activité exercée à titre accessoire ne conduise à soumettre une entreprise, dans son ensemble, au régime de cybersécurité le plus exigeant. En effet, lorsqu’une même entreprise exerce des activités relevant de secteurs différents, elle peut répondre à la fois aux critères d’une entité essentielle et à ceux d’une entité importante. Faute de règle explicite, la qualification liée à une activité secondaire est alors susceptible de déterminer, à elle seule, le niveau d’obligations applicable à l’ensemble de l’entité, indépendamment de sa mission principale. Le présent amendement propose donc que le régime applicable soit déterminé au regard de l’activité principale de l’entité. De telles dispositions permettraient de retenir un critère simple, objectif et conforme à la réalité économique et opérationnelle des entreprises concernées. C’est pourquoi il est proposé de proportionner les obligations de cybersécurité aux activités réellement exercées, sans pour autant affaiblir le régime visant à protéger les services essentiels. Cette précision nous a été demandée tant par les acteurs de la Chimie, que par les exploitants d’unités de valorisation énergétique et plus globalement par le Medef.

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

35805/11/2026

L’article 16 bis du présent projet de loi, inséré par voie d’amendement lors de l’examen au Sénat, dispose qu’« il ne peut être imposé aux fournisseurs de services de chiffrement, y compris aux prestataires de services de confiance qualifiés, l’intégration de dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d’information et des communications électroniques tels que des clés de déchiffrement maitresses ou tout autre mécanisme ou processus permettant un accès non consenti aux données protégées ». Ces dispositions présentent un risque majeur pour la sécurité nationale puisqu’elles entraveraient l’action des services judiciaires et de renseignement en interdisant d’imposer tout mécanisme ou processus permettant d’accéder à des données protégées. Le conflit normatif avec le cadre actuel des interceptions légales en France, qui découlerait de l’adoption de l’article 16 bis, serait de nature à permettre aux opérateurs de communications électroniques, dont les opérateurs de téléphonie « classiques », de s’exonérer de leurs obligations de coopération avec les autorités judiciaires et administratives. Cela fragiliserait gravement la capacité des services de police et de justice à agir contre la criminalité. En matière judiciaire, une très large part des investigations dépend de l’accès aux preuves numériques, dans un contexte technologique en constante évolution. En premier lieu, l’interdiction de l’accès aux données protégées entraverait les moyens aujourd’hui accessibles tant aux services d’enquête judiciaire qu’aux services de renseignement, pour l’ensemble des menaces à la sécurité contre lesquelles nous devons lutter. Pour rappel, une interception légale peut être autorisée par un juge d’instruction, pour les crimes et délits punis d’une peine égale ou supérieure à trois ans d’emprisonnement, ou par un juge des libertés et de la détention pour les seuls crimes et délits relevant de la criminalité et de la délinquance organisées ou du terrorisme (articles 706-73 et 706-73-1 du code de procédure pénale (CPP)). Elle peut également être autorisée par le Premier ministre, après avis de la commission nationale de contrôle des techniques de renseignement (CNCTR), pour permettre aux services de l’État de recueillir des renseignements relatifs à la défense et à la promotion des intérêts fondamentaux de la Nation. Les opérateurs de communic

le GouvernementProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

35305/11/2026

Article PREMIER

Cet amendement vise à harmoniser les définitions de la notion de résilience entre les titres I et II du projet de loi, et à mettre en conformité cette définition avec celle prévue dans les directives transposées 2022/2557 et 2022/2555.

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

34905/11/2026

Le présent amendement, de nature rédactionnelle et clarificatrice, vise à reconnaître l’équivalence entre le règlement DORA et le cadre issu de la directive NIS2 pour les entités financières concernées. En matière de résilience opérationnelle numérique, le secteur financier est un précurseur. Avec le règlement DORA, ce dernier prévoit un cadre commun pour la gestion des risques liés aux technologies de l'information et de la communication (TIC). Il définit des règles en matière de cybersécurité et de gestion des risques informatiques qui s’appliquent à un grand nombre d’entités financières. Ce règlement fixe notamment des obligations en matière de gouvernance, de gestion des risques informatiques, de notification des incidents, de tests de résilience et de maîtrise des risques liés aux prestataires tiers. Cette articulation est expressément reconnue par la commission européenne, dont les lignes directrices de septembre 2023 précise que le règlement DORA constitue, pour les entités financières concernées, le cadre sectoriel spécifique applicable en matière de résilience opérationnelle numérique et se substitue aux dispositions correspondantes de NIS2. Il consacre ainsi un niveau d’exigence adapté aux spécificités du secteur financier, sans qu’il soit nécessaire d’y superposer un second cadre poursuivant les mêmes objectifs. Dans ce contexte, l’application d’un cadre supplémentaire aux entités financières concernées serait source d’insécurité juridique, dès lors que deux exigences poursuivant un objet comparable pourraient néanmoins être interprétées ou appréciées différemment par les autorités compétentes. Elle ferait en outre peser un risque de double supervision, notamment entre l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et l’Autorité de contrôle prudentiel et de résolution (ACPR), pour des entités relevant déjà du régime spécifique prévu par DORA. Le présent amendement, de nature rédactionnelle et clarificatrice, précise qu’en application de l’article 43 A, la transmission à l’ANSSI des déclarations d’incidents majeurs et des notifications de cybermenaces effectuées par les entités financières s’opère dans des conditions équivalentes à celles applicables aux transmissions à l’ACPR, avec un contenu et un format identique. Il ne crée aucune obligation nouvelle ; il garantit simplement l’harmonisation des exigences déjà prévues et év

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

34605/11/2026

Amendement de repli. Le présent amendement complète le rapport annuel prévu à l’article 64 par une analyse du niveau d’exposition des opérateurs d’importance vitale et des entités essentielles et importantes aux technologies extra-européennes et aux législations extraterritoriales, ainsi que des actions engagées pour réduire ces dépendances.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

33705/11/2026

Lorsque la personne contrôlée ne s’est pas mise en conformité, l’ANSSI lui notifie les griefs retenus et saisit la commission des sanctions, qui peut prononcer une amende pouvant atteindre dix millions d’euros ou 2% du chiffre d’affaires annuel mondial. Le texte ne prévoit pas que la personne soit informée de cette saisine ni de ses droits dans la procédure. Bien que l'article L. 1332-16 du code de la défense prévoit déjà une procédure contradictoire devant la commission des sanctions, le présent amendement ajoute l'information de la personne dès la notification des griefs. Le présent amendement inscrit ces garanties dans la loi, conformément aux exigences des droits de la défense applicables à toute procédure de sanction administrative.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

33605/11/2026

L’ANSSI et la Commission nationale de l’informatique et des libertés disposent de pouvoirs de contrôle susceptibles de porter sur les mêmes entités, notamment après un incident de sécurité entraînant une violation de données à caractère personnel. Afin d’éviter les doublons, les appréciations contradictoires et une charge excessive pour les entités contrôlées, le présent amendement prévoit que le décret d’application précise les modalités de coordination de leurs contrôles.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

33205/11/2026

L’article 23 permet à l’ANSSI de communiquer des informations couvertes par le secret de l’enquête ou par d’autres secrets protégés par la loi non seulement aux autorités françaises et européennes, mais aussi à des centres de réponse aux incidents et à des organismes internationaux, sans distinguer selon qu’ils relèvent ou non de l’Union Européenne. La coopération internationale peut être indispensable face à des menaces qui ignorent les frontières. Mais la levée de secrets protégés par la loi au profit d’entités relevant d’États tiers doit être entourée de garanties. Le présent amendement subordonne ces échanges à des garanties de confidentialité au moins équivalentes à celles du droit français et au respect de la réciprocité.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

33105/11/2026

Un même incident peut devoir être déclaré à plusieurs autorités, dans des formes et des délais distincts. De plus devant la commission spéciale, le 1er octobre 2026, le directeur général de l'ANSSI a reconnu qu'un même incident pouvait devoir être notifié quatre fois à cette entité... Un hôpital public désigné opérateur d’importance vitale et frappé par un rançongiciel devra le notifier à l’ANSSI dans les vingt-quatre heures (article 17) et à l’autorité administrative dans le même délai (article L. 1332-7 du code de la défense), le signaler sans délai à l’agence régionale de santé (article L. 1111-8-2 du code de la santé publique), puis à la CNIL sous soixante-douze heures au titre du RGPD, alors même que ses équipes sont mobilisées pour rétablir les soins. Le présent amendement applique à ces notifications la solution retenue par la commission pour les entités financières contrôlées par l’Autorité des marchés financiers (article 45 bis) : un document unique, transmis simultanément à toutes les autorités destinataires. Il ne modifie ni les délais ni le contenu des notifications, et laisse intacte la notification à la CNIL, qui relève du règlement européen. La Commission européenne a d’ailleurs proposé, le 19 novembre 2025, un point d’entrée unique pour les notifications d’incidents à l’échelle de l’Union Européenne.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

33005/11/2026

Amendement de repli. L’ajout d’un participant invisible à une conversation chiffrée permet d’accéder aux échanges sans modifier formellement l’algorithme de chiffrement ; il pourrait donc être présenté comme n’affaiblissant pas la sécurité au sens du présent article. Cette technique, envisagée par exemple lors de l’examen de la loi n° 2025-532 du 13 juin 2025 visant à sortir la France du piège du narcotrafic, compromet pourtant la sécurité de tous les utilisateurs du service, puisqu’elle suppose que le fournisseur conserve la capacité technique d’ajouter un participant à l’insu des utilisateurs. Le présent amendement l’inclut expressément dans l’interdiction.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

32905/11/2026

Repli. La notion de « fournisseurs de services de chiffrement » n’est définie par aucun texte. Une lecture stricte pourrait exclure les messageries, qui sont juridiquement des services de communications interpersonnelles et non des services de chiffrement. Le présent amendement les vise expressément, par référence à la définition du code des postes et des communications électroniques.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

32705/11/2026

Amendement de repli. Le présent article prévoit que l’Agence nationale de la sécurité des systèmes d’information (ANSSI) pourra prescrire la réalisation d’audits à des organismes indépendants, dans le cadre de l’application des obligations de cybersécurité prévues pour les organismes d’importance vitales (OIV). Toutefois, la nature hautement sensible des contrôles en question implique des exigences particulières en matière de confiance, d’intégrité et de souveraineté. Ces contrôles peuvent en effet conduire à accéder à des informations confidentielles, voire classifiées, ou à mettre au jour des vulnérabilités majeures susceptibles d’être exploitées à des fins hostiles si elles venaient à être connues de puissances étrangères. Dans ce contexte, il est impératif que les organismes auxquels l’ANSSI pourra déléguer ces missions soient exclusivement européens.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

32605/11/2026

Le présent article prévoit que l’ANSSI pourra prescrire la réalisation d’audits à des organismes indépendants, dans le cadre de l’application des obligations de cybersécurité prévues pour les OIv. Toutefois, la nature hautement sensible des contrôles en question implique des exigences particulières en matière de confiance, d’intégrité et de souveraineté. Ces contrôles peuvent en effet conduire à accéder à des informations confidentielles, voire classifiées, ou à mettre au jour des vulnérabilités majeures susceptibles d’être exploitées à des fins hostiles si elles venaient à être connues de puissances étrangères. Dans ce contexte, il est impératif que les organismes auxquels l’ANSSI pourra déléguer ces missions soient français.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

32505/11/2026

Amendement rédactionnel supprimant une redondance (« la réalisation régulière d’audits de sécurité réguliers »).

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

32305/11/2026

Les objectifs de sécurité auxquels renvoie l’article 15 sont fixés par le décret prévu au sixième alinéa de l’article 14, qui institue également le référentiel. Depuis l’insertion d’un alinéa à l’article 14 par la commission, les renvois au septième alinéa, qui ne traite que de la concertation, sont erronés. Par cohérence, le renvoi au référentiel vise l’alinéa qui l’institue.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

32205/11/2026

Le projet de loi ne fixe aucun délai de mise en conformité. Le Gouvernement et l’ANSSI ont indiqué devant les commissions spéciales des deux assemblées que les entités disposeraient de trois ans pour se conformer à leurs obligations, mais cet engagement n’a aucune traduction juridique. De plus, ce 1er octobre 2026 le directeur général de l'ANSSI a indiqué lors de son audition que la conformité complète serait demandée d'ici la fin 2028. Pour les collectivités territoriales, rien ne s’oppose à ce que ce délai figure dans la loi. Leur inclusion dans le champ de la directive (UE) 2022/2555 résulte en effet, pour les départements, les communes et leurs groupements, d’un choix national : la directive ne l’impose pas pour les administrations publiques de niveau local (paragraphe 5 de son article 2). Le législateur est donc libre d’en fixer le calendrier. Le présent amendement inscrit dans la loi le délai de trois ans annoncé, à compter de la publication du décret qui fixe les objectifs de sécurité et le référentiel. Les collectivités exerçant les compétences régionales, dont l’inclusion découle de la directive, ne sont pas concernées. L’obligation de notifier les incidents, prévue à l’article 17, s’applique sans délai.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

30805/11/2026

Article PREMIER

Le présent article permet à la Commission européenne de diligenter des missions d’évaluation ou de conseil auprès d’opérateurs d’importance vitale (OIV) français classés comme entités critiques d’importance européenne particulière (ECIEP), dans le cadre de la coopération et de l’harmonisation à l’échelle européenne. Bien que cette intervention soit soumise à l’accord préalable de l’État membre concerné, elle conduit néanmoins à reconnaître à la Commission européenne une capacité d’intervention auprès de structures stratégiques relevant directement de la sécurité et de la résilience nationales. Le présent amendement vise donc à supprimer ces nouvelles prérogatives confiées à la Commission européenne, afin de préserver notre souveraineté et la pleine maîtrise de l’État sur ses opérateurs d’importance vitale.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

30705/11/2026

Article PREMIER

Le dispositif prévu par le présent article autorise la Commission européenne à diligenter des missions d’évaluation ou de conseil auprès d’opérateurs d’importance vitale français classés comme entités critiques d’importance européenne particulière, au nom de la coopération et de l’harmonisation à l’échelle européenne. Si une telle intervention demeure formellement subordonnée à l’accord préalable de l’État membre concerné, elle n’en constitue pas moins une atteinte potentielle au principe de souveraineté nationale. Ce classement ouvre en effet la voie à l’intervention d’une autorité extérieure à l’État dans l’évaluation de structures directement liées à la sécurité nationale, à la résilience du pays et à la continuité des services essentiels. En permettant à la Commission européenne d’intervenir, même à titre consultatif, le texte crée ainsi un risque de dilution de la maîtrise stratégique de l’État sur ses infrastructures les plus sensibles. Il apparaît dès lors indispensable que les secteurs présentant les enjeux les plus critiques, notamment le nucléaire, la sécurité publique et la défense, soient expressément exclus de ce dispositif. Tel est le sens du présent amendement.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

30605/11/2026

Article PREMIER

Amendement d’appel. Le présent amendement vise à supprimer les dispositions relatives aux entités critiques d’importance européenne particulière, introduites aux articles L. 1332-8 et L. 1332-9 du code de la défense. Ces dispositions prévoient notamment la possibilité, sous certaines conditions, d’une intervention de la Commission européenne auprès d’opérateurs d’importance vitale français identifiés comme fournissant des services essentiels au fonctionnement du marché intérieur de l’Union européenne. Un tel mécanisme soulève une difficulté majeure au regard de la souveraineté nationale. Il ouvre en effet la voie à l’intervention d’une autorité supranationale dans l’identification, l’évaluation ou l’accompagnement de structures françaises dont l’activité présente un caractère stratégique et dont la protection relève directement des compétences régaliennes de l’État. Même subordonnée à l’accord préalable de l’État membre concerné, cette intervention institue un mécanisme européen de supervision d’entités vitales dont la sécurité et la résilience devraient demeurer sous la responsabilité exclusive des autorités nationales. Il n’appartient pas à la Commission européenne de s’immiscer, directement ou indirectement, dans l’évaluation de nos opérateurs d’importance vitale, a fortiori lorsque sont susceptibles d’être concernés des secteurs aussi sensibles que la défense, l’énergie ou les communications. À cet égard, la rédaction actuelle ne garantit pas une exclusion systématique de ces secteurs du dispositif. Cet amendement vise ainsi à réaffirmer que la protection des infrastructures et opérateurs stratégiques nationaux doit demeurer une prérogative pleine et entière de l’État.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

30405/11/2026

Article PREMIER

En l’état du texte, l’avis défavorable rendu par l’autorité administrative à l’issue de l’enquête administrative ne s’impose qu’aux opérateurs d’importance vitale de droit privé. Un opérateur de droit public pourrait donc autoriser l’accès à une infrastructure critique d’une personne dont l’enquête a établi que le comportement est de nature à porter atteinte à l’exercice d’une activité d’importance vitale ou à la sécurité de cette infrastructure. Or de nombreux opérateurs d’importance vitale sont des personnes publiques, notamment des établissements publics industriels et commerciaux et des régies dans les transports, l’énergie, l’eau ou la recherche. Le risque tient à la nature de l’infrastructure, non au statut juridique de l’opérateur qui l’exploite. Le présent amendement rend l’avis défavorable contraignant pour tous les opérateurs d’importance vitale, quel que soit leur statut. Les garanties prévues par l’article demeurent : information de la personne concernée et impossibilité d’émettre un avis défavorable si l’enquête n’établit pas un risque d’atteinte.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

30305/11/2026

Article PREMIER

L’article L. 1332-6 du code de la défense, dans sa rédaction issue du présent projet de loi, permet à l’opérateur d’importance vitale de solliciter l’avis de l’autorité administrative, à la suite d’une enquête administrative, avant de recruter ou d’affecter une personne à un poste sensible. Cette consultation demeure facultative, y compris pour les fonctions sensibles, c’est-à-dire les fonctions indispensables à la réalisation d’une activité d’importance vitale ou dont l’occupation expose l’opérateur à des vulnérabilités, que l’opérateur énumère dans son plan de résilience. Dans un contexte de menace terroriste persistante et d’intensification des ingérences étrangères, une fonction reconnue comme sensible ne peut être confiée sans vérification préalable.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

30205/11/2026

Article PREMIER

Si une réévaluation périodique tous les quatre ans constitue un socle nécessaire, elle ne saurait suffire lorsque survient un événement susceptible de modifier substantiellement le niveau de risque. Il convient donc de prévoir une réévaluation chaque fois que nécessaire, surtout dans un contexte d'évolution significative des menaces cyber. Cette disposition permet de garantir que l’évaluation des risques demeure adaptée à la réalité des menaces et à l’évolution des infrastructures concernées, sans attendre l’échéance de la révision quadriennale.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

30005/11/2026

Le présent amendement supprime l'article 16 bis, conformément à la recommandation n° 14 du rapport remis au Premier ministre par notre ancien collègue, M. Florent Boudié, « Les politiques publiques de sécurité à l'ère numérique » (septembre 2026). Introduit au Sénat contre l'avis du Gouvernement et de la commission, cet article a été modifié par la commission spéciale de l'Assemblée nationale. Supprimer cet article ne revient pas à défendre les « portes dérobées ». Le même rapport recommande d'écarter toute disposition comparable à l'ancien article 8 ter[i] tant qu'aucune solution technique ne permet un accès ciblé aux contenus sans affaiblir le chiffrement (recommandation n° 17). L'objectif de protéger l'intégrité du chiffrement est légitime, singulièrement en matière de cyber sécurité. Toutefois, la rédaction adoptée en commission dépasse cet objectif. La commission a en effet ajouté le terme de « processus » à celui de « mécanisme ». Elle entendait ainsi interdire aussi des dispositifs qui ne sont pas intégrés techniquement aux systèmes de chiffrement, comme la conservation ou la transmission de copies de clés privées. Cet ajout étend l'interdiction au-delà de l'architecture technique des services, jusqu'aux obligations de coopération elles-mêmes. Il entre ainsi en contradiction avec le droit existant, en particulier avec l'article L. 871-1 du code de la sécurité intérieure, qui impose aux prestataires de cryptologie de remettre leurs conventions de déchiffrement. Le Conseil constitutionnel pourrait d’ailleurs être amené à censurer ces dispositions normatives contradictoires, rappelant que la loi doit être claire, précise et exécutoire. Ce champ élargi s'ajoute à trois imprécisions du texte. 1. Aucune technique de renseignement ou d'enquête ne repose sur le consentement de la personne visée : interception, réquisition, captation de données informatiques. Interdire tout « processus » permettant un « accès non consenti » menace donc le principe même de ces techniques. 2. Les « données protégées » ne sont pas définies. Elles pourraient désigner non seulement les données chiffrées, mais aussi toute donnée accessible par un identifiant, un code PIN ou un dispositif biométrique. 3. La notion de « fournisseur de services de chiffrement » ne correspond à aucune catégorie juridique. Elle pourrait englober des réseaux sociaux, des plateformes collaborat

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

28305/11/2026

Cet amendement vise à faciliter la mise en conformité des opérateurs aux exigences mentionnées à l’article 16 par un mécanisme de reconnaissance d’équivalence comparable à celui prévu à l’article 15.[1] Il permet de clarifier les mesures de sécurité que devront appliquer les opérateurs d’importance vitale également assujettis à des actes juridiques de l’Union tels que DORA[2] ou le règlement d’exécution établissant des règles relatives à l’application de la directive (UE) 2022/2555 applicable aux acteurs du numérique[3]. En effet, si l’ensemble des opérateurs d’importance vitale sont tenus de mettre en œuvre sur les systèmes d’information d’importance vitale les exigences du référentiel mentionné à l’article 14, certains de ces opérateurs : - appliquent des référentiels, normes ou spécifications techniques européennes ou internationales, ou bien des normes d’autres Etats Membres de l’UE dans lesquels ils sont entité essentielle ou importante, qui leur permettraient d’être conformes en tout ou partie au référentiel de l’article 14 de la présente loi ; - sont également tenus de mettre en œuvre, sur ces systèmes d’information les exigences d’un acte juridique sectoriel de l’Union auquel ils sont assujettis, et qui leur permettraient également d’être conformes en tout ou partie au référentiel de l’article 14 de la présente loi. L’ANSSI déterminera grâce à ce mécanisme de reconnaissance d’équivalence, dans quelle mesure ces corpus d’exigences sont susceptibles d’être mobilisés pour soutenir la mise en conformité de l’opérateur d’importance vitale. Les décisions d’équivalence permettront d’apporter de la sécurité et de la prévisibilité juridiques aux opérateurs en particulier à celles assujetties à un acte juridique de l’Union, puisqu’elles consacreront au niveau règlementaire l’équivalence des exigences de ces actes par rapport au référentiel mentionné à l’article 14 et, dans le cas où celle-ci est partielle, clarifieront les mesures du référentiel qui devront être mise en œuvre en supplément des exigences de l’acte juridique de l’Union, et inversement. Au-delà de ses bénéfices en termes de clarté et de simplification, cet amendement permet à la France de conserver la pleine maîtrise des mesures qui seront applicables aux opérateurs d’importance vitale, sur les systèmes d’information d’importance vitale, compte tenu de leur criticité et de la me

le GouvernementProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

28105/11/2026

Lorsqu’ils sont des entités importantes ou essentielles, les fournisseurs de services de systèmes de noms de domaine, les offices d’enregistrement, les fournisseurs de services d’informatique en nuage, les fournisseurs de services de centres de données, les fournisseurs de réseaux de diffusion de contenu, les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés ainsi que les fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux et les prestataires de services de confiance, ci-après « les acteurs du numérique » : - Ne sont pas tenus de mettre en œuvre les dispositions des alinéas 6 et 7 de l’article 14 ; - Sont tenus de mettre en œuvre les exigences techniques et méthodologiques définies par le règlement d’exécution (UE) 2024/2690 de la Commission du 17 octobre 2024. Le gouvernement partage l’objectif de clarification traduit par l’alinéa 9 de l’article 14 adopté en commission spéciale. Cette disposition ne permet cependant pas de s’adapter à l’adoption de nouveaux actes d’exécution pris en application de l’article 21 de la directive NIS 2 qui concerneraient : - Les acteurs du numérique ; - Tout autre secteur ayant fait l’objet d’un tel acte. Un amendement déposé par le gouvernement à l’article 13 permet justement d’apporter la clarification initialement visée par l’ajout de cet alinéa tout en garantissant la pérennité de l’adéquation de ces dispositions à l’acte d’exécution applicable aux acteurs du numérique et aux éventuels futurs actes d’exécution sectoriels.

le GouvernementProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

27905/11/2026

Le présent amendement tend à supprimer une disposition ajoutée en commission spéciale qui instaure des critères dont la prise en compte complexifie le choix ainsi que la mise en œuvre des mesures de sécurité par les entités. Celle-ci prévoit en effet que le choix des mesures de sécurité devrait tenir compte « leur capacité à être audités, de la transparence de leur fonctionnement, de leur interopérabilité, de leur résilience et de la maîtrise qu’elles permettent d’acquérir sur les systèmes d’information afin de minimiser les dépendances technologiques à l’égard de prestataires tiers ne présentant pas de garanties suffisantes de conformité aux exigences de cybersécurité et de souveraineté numérique ». Ce faisant, cette disposition pose trois difficultés. En premier lieu, elle ferait peser sur les entités concernées une charge supplémentaire disproportionnée, a fortiori à l’égard des entités importantes, au regard de la complexité de l’évaluation de ces critères ainsi que du coût financier important qu’elle représente. En deuxième lieu, cette disposition ne paraît pas satisfaisante du point de vue de la sécurité juridique. Elle fait ainsi référence à des notions, telles que l’auditabilité ou la transparence de leur fonctionnement, mal définies, voire inexistantes en droit, compliquant d’autant plus leur appréciation par les entités dans le choix de leurs mesures et créant un flou juridique potentiellement préjudiciable aux entités. En dernier lieu, faire peser une telle contrainte sur les entités entrainerait un risque de surtransposition de la directive NIS 2, qui ne prévoit pas de telles modalités dans la détermination des mesures à mettre en place pour les entités. Une telle contrainte ne paraît par ailleurs pas réellement opérante pour les entités déjà soumises au règlement d’exécution 2024/2690[1]. [1] Fournisseurs de services de systèmes de noms de domaine, aux offices d’enregistrement, aux fournisseurs de services d’informatique en nuage, aux fournisseurs de services de centres de données, aux fournisseurs de réseaux de diffusion de contenu, aux fournisseurs de services gérés, aux fournisseurs de services de sécurité gérés ainsi qu’aux fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux et aux prestataires de services de confiance

le GouvernementProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

27005/11/2026

Amendement de coordination

le GouvernementProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

26905/11/2026

Amendement de coordination.

le GouvernementProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

25805/11/2026

Article PREMIER

Cet amendement vise à assurer la cohérence des obligations applicables aux opérateurs d’importance vitale avec le champ prévu par la réglementation européenne et à éviter d’étendre ces obligations au-delà de celui-ci. Les sites chimiques désignés comme OIV au titre du 2° du I de l’article L. 1332-2 du code de la défense, dans sa rédaction proposée par le Sénat, le sont en raison du « danger d’une particulière gravité pour la population ou l’environnement » que pourrait présenter la destruction ou l’avarie de certaines de leurs installations. Il convient donc de préserver cette spécificité dans la définition de l’analyse des risques qui leur est applicable. Pour ces opérateurs, cette analyse doit porter sur les risques susceptibles de mettre en cause la sécurité de leurs infrastructures critiques au regard des dangers pour la population ou l’environnement, sans leur appliquer les obligations relatives à la continuité des activités prévues pour les autres catégories d’OIV.

Paul MidyProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

25305/11/2026

Rédactionnel.

Vincent ThiébautProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

Scrutin+ — La vie parlementaire en clair