● Élus, dossiers et scrutins officiels synchronisés · analyses éditoriales clairement signalées

TRAVAIL PARLEMENTAIRE OFFICIEL

Les amendements

145 529 amendements recensés ; les 500 plus récents sont consultables dans cette version légère.

Mode déployable allégé

La recherche porte sur les 500 amendements les plus récents. Les statistiques agrégées couvrent bien les 145 529 amendements ; l’archive exhaustive reste accessible depuis la source officielle.

Données actualisées le 10/11/2026 · extrait récent

145 529amendements recensés

19 520adoptés

35 263rejetés

14 016retirés

ACCÈS PAR TEXTE

Textes les plus amendés

Ouvrez directement les amendements officiellement rattachés à un dossier législatif.

Projet de loi ordinaireProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité261 amendements →Projet de loi de finances rectificativeProjet de loi de finances de fin de gestion pour 202697 amendements →Proposition de loi ordinaireMieux reconnaître et à valoriser les aidants actifs35 amendements →Projet de loi de finances de l'annéeProjet de loi de finances pour 202733 amendements →Proposition de loi ordinaireL’interdiction de relations commerciales contribuant, par aide ou assistance, à la politique de colonisation dans le Territoire palestinien occupé et dans le Territoire syrien occupé des hauteurs du Golan26 amendements →Proposition de loi ordinaireProposition de loi visant à lutter contre la vie chère en renforçant le droit de la concurrence et de la régulation économique outre-mer18 amendements →

RÉSULTATS

500 amendements

Page 11 sur 17

Ce projet de loi transpose trois directives européennes dont la directive NIS 2 du 14 décembre 2022, qui concerne plus spécifiquement les mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union. Le choix qui a été fait par le Gouvernement est celui d’une transposition très étendue de cette directive, comme l’a indiqué le Conseil d’Etat. Dans son avis N° 408329 rendu le 6 juin 2024, il relève en effet que « le projet de loi mobilise dans un sens extensif les possibilités d’options offertes par la directive, notamment en incluant dans le champ du dispositif des collectivités territoriales autres que les régions, à savoir tous les départements ainsi que les communes et groupements de communes de plus de trente mille habitants (…) » Or, ces nouvelles obligations entraîneront des charges supplémentaires importantes pour les communes et les intercommunalités alors que dans le même temps, le Gouvernement appelle pour la troisième année à un effort très important des collectivités locales face au déficit public. Si l’ensemble des élus est soucieux des questions de cybersécurité, force est de constater que le texte ne tient pas compte de la réalité des moyens des communautés de communes et de leurs communes membres et du contexte financier actuel afin que la mise en œuvre des mesures requises soit supportable financièrement, faisable techniquement et progressive dans la durée. L'absence de progressivité dans l’application du texte risque de compliquer sa mise en œuvre, d’autant plus que le secteur de la cybersécurité est déjà sous forte pression. Imposer ces nouvelles obligations à un grand nombre d’acteurs dès la publication de la loi sans anticipation adéquate ne fera qu’aggraver cette tension. Ces préoccupations touchent particulièrement les communautés de communes, situées en zone rurale, où l’accès à un certain niveau d’ingénierie est souvent difficile. Elles couvrent de vastes territoires peu denses et leur centralité repose généralement sur de petits bourgs dont les capacités techniques et les ressources financières sont limitées. Afin de tenir compte de ces situations et des ressources disponibles sur le territoire des communautés de communes tant en ingénierie que financière, cet amendement propose de réduire le champ de transposition de la directive et de ne retenir dans le périmètre des « entités importantes » que les

Jérôme EndProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Le présent amendement vise à rétablir la garantie d’indépendance et d’impartialité des personnalités qualifiées siégeant au sein de la commission des sanctions, supprimée lors de l’examen du texte en commission. La commission des sanctions est appelée à se prononcer sur des manquements constatés par l’autorité nationale de sécurité des systèmes d’information et susceptibles de conduire à des sanctions administratives importantes. Il apparaît dès lors nécessaire de prévenir non seulement les conflits d’intérêts effectifs, mais également les situations susceptibles de faire naître un doute légitime quant à l’impartialité de ses membres. Le délai de trois ans prévu par le texte adopté par le Sénat constitue à cet égard une garantie proportionnée. Il permet d’éviter qu’une personnalité qualifiée ait à se prononcer sur des pratiques, des décisions ou des acteurs avec lesquels elle entretenait encore récemment des liens professionnels, qu’elle ait exercé au sein de l’ANSSI ou d’une entité soumise aux obligations prévues par le présent texte. Un simple mécanisme de déport ne présente pas les mêmes garanties : il intervient au cas par cas, une fois le conflit d’intérêts identifié, tandis qu’une règle d’incompatibilité temporaire garantit en amont l’indépendance de la composition même de la commission. Cette incompatibilité n’est ni générale ni définitive. Limitée aux trois années précédant la nomination, elle permet de concilier la nécessaire expertise technique des personnalités qualifiées avec les exigences d’indépendance et d’impartialité attachées à l’exercice d'un pouvoir de sanction.

Sabrina SebaihiProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

L’article 58 bis a été introduit par amendement au Sénat du groupe centriste face à un avis défavorable du Gouvernement. Nous souhaitons pouvoir élever le débat et appeler à ce qu’une réelle étude des effets de la modification du droit des assurances soit approfondie. L’enjeu est bien d’avoir un cadre juridique permettant une garantie assurantielle efficace des acteurs, notamment les petits (communes, PME/TPE, association) et nous sommes en l’état dépourvu de projection présentant les avantages et inconvénients de l’évolution du droit votée au Sénat.

Sabrina SebaihiProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

Le secteur bancaire, financier et assurantiel constitue une infrastructure critique au sens de la directive (UE) 2022/2555 dite NIS 2. Il est exposé à des risques croissants de cyberattaques, qui peuvent compromettre non seulement la continuité du service mais également la protection des données personnelles et la confiance des usagers. La mise en place d’un Comité national d’observation des risques cyber répond à un double objectif : - d’une part, renforcer la transparence et l’évaluation des mesures mises en place par les établissements, en associant l’ensemble des parties prenantes, y compris les consommateurs et les régulateurs ; - d’autre part, éviter que les exigences de cybersécurité ne se traduisent par une hausse injustifiée des frais supportés par les usagers, dans un secteur marqué par une forte asymétrie d’information entre établissements et clients. Cet observatoire contribuera ainsi à un pilotage équilibré entre sécurité numérique, stabilité financière et protection des usagers, en cohérence avec les orientations européennes et nationales en matière de résilience cyber. Pour respecter les règles de la recevabilité financière, nous limitons cette institutionnalisation à la création d’un comité, admis dans le cadre des règles classiques de la recevabilité financière (voir Eric Woerth, Rapport d’information n° 5107, sur la recevabilité financière des initiatives parlementaires et la recevabilité organique des amendements à l’Assemblée nationale, 23 février 2022, p. 74)

Sabrina SebaihiProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

Le présent amendement vise à intégrer explicitement dans la gestion des risques de cybersécurité l’accroissement des capacités d’intrusion dans les systèmes d’information permis par le développement rapide de l’intelligence artificielle. Les progrès de l’intelligence artificielle modifient en effet la nature et l’échelle de la menace cyber. Des systèmes de plus en plus autonomes sont désormais capables d’identifier des vulnérabilités, de rechercher des voies d’accès à un système d’information, de contourner certains mécanismes de sécurité et d’automatiser des chaînes d’exploitation qui nécessitaient jusqu’alors une intervention humaine importante. L’incident ayant affecté Hugging Face en juillet 2026 illustre cette évolution. Lors d’une expérimentation conduite par OpenAI, un agent d’intelligence artificielle chargé d’identifier des vulnérabilités a contourné l’environnement isolé dans lequel il devait opérer et obtenu un accès non autorisé à des infrastructures externes. Cet incident démontre la capacité croissante de tels systèmes à faciliter ou réaliser des intrusions au-delà du périmètre informatique initialement visé. Cette évolution fait peser un risque particulier sur les entités essentielles et importantes visées par le présent projet de loi. L’intelligence artificielle peut permettre à des acteurs malveillants d’augmenter considérablement la vitesse, l’échelle et le degré d’automatisation de leurs tentatives d’intrusion, notamment contre les administrations, les collectivités territoriales, les établissements de santé et les opérateurs d’infrastructures critiques. Il est donc nécessaire que les mesures de gestion des risques prévues par le présent article anticipent explicitement cette nouvelle capacité d’intrusion et d’exploitation automatisée des vulnérabilités La réponse à cette évolution ne saurait toutefois reposer sur une course à l’automatisation par l’intelligence artificielle : elle doit d’abord garantir la résilience intrinsèque des systèmes d’information face aux progrès de l’IA et préserver la capacité humaine à les administrer, les sécuriser et les défendre sans dépendre nécessairement de systèmes d’intelligence artificielle.

Lisa BellucoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

L’article 9 du présent projet de loi étend le champ des entités soumises aux obligations issues de la directive NIS 2 à de nombreuses collectivités territoriales et à leurs groupements. Cette extension entraîne pour celles-ci des dépenses nouvelles de mise en conformité et de sécurisation de leurs systèmes d’information. La transposition des directives européennes relatives à la cybersécurité et à la résilience conduit à renforcer les obligations pesant sur les collectivités territoriales en matière de sécurisation de leurs systèmes d’information. Ces exigences sont nécessaires, mais elles représentent un coût important pour les collectivités : acquisition de matériels et de logiciels, audits de sécurité, maintien en condition de sécurité des systèmes d’information, recours à des compétences spécialisées ou encore formation des agents. Toutes les collectivités ne disposent pas des mêmes capacités financières et techniques pour y répondre. Les communes de petite et moyenne taille et leurs groupements sont particulièrement exposés au risque de devoir différer des investissements pourtant indispensables à la protection des services publics locaux et des données de leurs administrés. Le fonds de compensation pour la taxe sur la valeur ajoutée constitue l’un des principaux instruments de soutien de l’État à l’investissement local. Certaines dépenses numériques peuvent déjà relever de son assiette. Il apparaît dès lors nécessaire d’étudier les conditions dans lesquelles les dépenses spécifiquement consacrées à la cybersécurité pourraient également bénéficier de ce mécanisme. Le présent amendement demande donc au Gouvernement d’évaluer les conséquences financières et les modalités d’une extension du FCTVA aux dépenses de cybersécurité et de proposer des solutions permettant d’accompagner durablement les collectivités dans leur montée en compétence. Il s’agit de garantir que le renforcement nécessaire des exigences de cybersécurité ne conduise pas à accroître les inégalités entre collectivités selon leurs ressources financières et leur capacité à disposer d’une ingénierie numérique.

Lisa BellucoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

Cet amendement du groupe Socialistes et apparentés met en place un mécanisme de sanctions à l’encontre des collectivités territoriales en cas de manquement aux obligations prévues au titre 2 du projet de loi. Il permet à la commission des sanctions d'enjoindre la collectivité territoriale concernée à mettre en place, dans un délai de trois mois à compter de la constatation du manquement, un plan de remédiation, en bénéficiant de l'expertise et de l'accompagnement de l'ANSSI. Si le plan de remédiation n’a pas été mis en place dans le délai imparti, la commission des sanctions peut enjoindre la collectivité territoriale concernée de le présenter lors de la prochaine réunion de l'assemblée délibérante de la collectivité concernée, et de le rendre public. En cas de manquement à l'obligation de notification à l’autorité nationale de sécurité des systèmes d’information d'un incident important tel que définit à l'article 17 du présent projet de loi, un rapport d'incident doit être présenté concomitamment au plan de remédiation. Cet amendement du groupe Socialistes et apparentés vise à élever le niveau de maturité des acteurs en les embarquant dans une dynamique vertueuse, tout en tenant compte de leurs difficultés éventuelles à mettre en place les exigences issues de la transposition de NIS2.

Sébastien Saint-PasteurProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

Cet amendement d'appel du groupe Socialistes et apparentés vise à interpeller le gouvernement sur le délai dont disposeront les entités concernées pour se mettre en conformité avec les exigences prévues par le présent article. En effet, il paraît nécessaire de prévoir une date d’entrée en vigueur de ces obligations, donnant aux acteurs un délai suffisant pour se mettre en conformité. L'ANSSI estimait ce délai raisonnable à trois ans.

Sébastien Saint-PasteurProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Cet amendement du groupe Socialistes et apparentés vise à ajouter l'éducation parmi les secteurs critiques mentionnés à l'article 7 du présent projet de loi. Lors de l'examen en commission spéciale, l'ajout de cette mention avait été repoussé par les rapporteurs qui considéraient qu'il s'agissait d'une surtransposition. Notre groupe défend toutefois l'inscription de cette mention au sein de cet article. En effet, depuis juillet 2026, le ministère de l'éducation nationale a fait l'objet de cyberattaques massives visant plus d'une dizaine d'académies, et ce à quelques jours de la rentrée scolaire. Avec pour conséquences le vol de données personnelles de plusieurs centaines de milliers d'enseignants et d'élèves, et la suspension (en réponse) d'outils numériques et des services, notamment l'accès au service de paie et le versement des salaires. Au 1er septembre, les académies de Nantes et Toulouse n'avaient toujours aucun accès aux outils numériques - messageries, environnement numérique de travail (ENT), base de données et affectation des élèves, gestion des nominations des enseignants, paye des personnels, convocation aux examens etc. L'ampleur de ces incidents, concomitants avec d'autres attaques cybercriminelles liées à des violations de données affectant les services de l'État, est détaillée dans le point de situation, publié en septembre 2026, par la capacité renforcée de réaction, d'intervention et d'assistance aux services de l'État (REACTIV/ANSSI) dans le traitement des compromissions de comptes d'utilisateurs et dans l'analyse des violations de données.

Sébastien Saint-PasteurProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Article PREMIER

Cet amendement du groupe Écologiste et social a pour objectif d’étendre l’analyse des dépendances à l’égard des tiers à l’ensemble des activités des opérateurs d’importance vitale et non seulement à leur activité d’importance vitale.

Cyrielle ChatelainProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

La directive NIS 2 renforce l’harmonisation européenne en encadrant strictement les possibilités pour les États membres d’étendre son champ d’application. À la différence de la directive NIS 1, un État membre ne peut ainsi soumettre de manière générale une catégorie à ses obligations en dehors des hypothèses prévues par la directive. La directive NIS 2 prévoit toutefois la possibilité de désigner, indépendamment de leur taille, certaines entités relevant de secteurs critiques ou hautement critiques lorsqu’elles présentent une importance particulièrement pour la sécurité ou la santé publiques. Cette désignation doit être justifiée par l’un des quatre critères transposés à l’article 10 du présent projet de loi. Cette faculté permet de prendre en compte la situation des éditeurs de logiciels dont la défaillance pourrait avoir des conséquences significatives sur un secteur critique. Elle pourrait notamment trouver à s’appliquer à un éditeur de logiciel de santé occupant une position déterminante dans un secteur dont le fonctionnement repose sur ses services. Le présent amendement propose donc de ne pas soumettre indistinctement l’ensemble des éditeurs de logiciels au régime des entités essentielles. Il permet leur désignation lorsqu’ils remplissent effectivement les conditions prévues par la directive NIS 2. Cette désignation serait effectuée par voie réglementaire, sous l’autorité du Premier ministre, sur la base de l’expertise des ministères compétents. Cette approche permet de répondre aux enjeux de cybersécurité propres aux acteurs les plus critères tout en respectant le cadre et le principe de proportionnalité posées par la directive NIS2.

Véronique RiottonProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Les systèmes d’information des administrations et organismes visés à l’article 16 assurent des missions particulièrement sensibles pour la sécurité nationale, la défense, la justice ou le fonctionnement de l’État. Leur protection justifie, à ce titre, des exigences adaptées à la nature des informations et des activités concernées. Dans ces environnements, la sécurité des systèmes d’information ne peut être dissociée de celle des équipements matériels (« hardware ») qui les composent, et suppose, à ce titre, une appréciation globale des risques liés à ces équipements, portant tant sur leur niveau de sécurité technique que les risques d’ingérence étatique. La directive NIS2 reconnaît à cet égard l’importance de la sécurité de la chaîne d’approvisionnement dans l’appréciation du risque cyber. S’inspirant de l’approche retenue par l’Allemagne dans le cadre de sa transposition de NIS 2 adoptée en 2025, le présent amendement vise à permettre, pour les systèmes les plus sensibles, la prise en compte du contrôle des fabricants d’équipements et composants numériques par un gouvernement, une autorité publique ou les forces armées d’un pays tiers. Compte tenu de la sensibilité des systèmes concernés, le présent amendement prévoit que les exigences spécifiques définies par le Premier ministre à l’article 16 peuvent inclure l’interdiction de certains composants ou produits à risque. Cette disposition vise à renforcer la protection des systèmes d’information régaliens et à prévenir les risques de compromission ou d’ingérence susceptibles d’affecter les missions les plus sensibles de l’État.

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Contenu à consulter sur la fiche officielle

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Cet amendement du groupe La France insoumise vise à remplacer la possibilité de transmission des cybermenaces des entités financières à l’ACPR et l’ANSSI par une obligation, toutefois restreinte aux cas les plus importants. La hausse des cyberattaques et leur sophistication croissante exigent une réactivité de la part des pouvoirs publics chargés de les contrer ; la transmission systématique des cybermenaces majeures, en plus des incidents, permettrait ainsi d’anticiper au mieux les attaques futures. Lors de l’examen en commission, il avait été convenu de rendre facultative la transmission des cybermenaces ; l’évolution des attaques cyber depuis l’été 2025 incite plutôt à la systématiser.

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

Par cet amendement, les député.es du groupe LFI souhaitent octroyer à l’Anssi un pouvoir d’injonction immédiat lors de son contrôle en cas de risque imminent pour les intérêts fondamentaux de la Nation. L’amendement permet de mettre en œuvre des mesures conservatoires immédiates, telles que l’interruption temporaire d’un service, le blocage d’accès ou la désactivation d’un système vulnérable, pour neutraliser sans délai la source de danger. Ces mesures visent à protéger l’intérêt général et la résilience des infrastructures critiques, permettant d’endiguer rapidement la menace, limitant ainsi l’exposition aux risques et la propagation d’éventuelles attaques ou dysfonctionnements. En parallèle, il est prévu que ces actions ne préjugent pas du respect des droits procéduraux de l’entité concernée, qui conserve un délai raisonnable pour effectuer une mise en conformité complète et durable. Cette double approche garantit à la fois la sécurité et la rigueur juridique, conciliant efficacité opérationnelle et respect des principes de proportionnalité et de justice administrative.Ainsi, cet amendement renforce la capacité d’intervention rapide des autorités dans un domaine sensible, tout en assurant un équilibre nécessaire entre prévention des risques majeurs et capacité d’adaptation des opérateurs.

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

Par cet amendement, le groupe parlementaire LFI prévoit un système de sauvegarde sécurisé pour les données mentionnées à l’article 20, exclusivement pour répondre aux besoins spécifiques des procédures pénales et des enquêtes en cybersécurité. Cette mesure répond à des enjeux majeurs liés à la nature même des incidents de cybersécurité, qui sont souvent complexes, dissimulés, et détectés avec un retard important, parfois plusieurs années après leur survenue. La capacité des autorités judiciaires et des organismes de sécurité à reconstituer les chaînes d’attaque, identifier les auteurs, et comprendre les mécanismes d’intrusion repose donc sur la disponibilité prolongée de données fiables et complètes.Par ailleurs, dans le cadre des procédures pénales, la continuité probatoire est essentielle pour garantir l’efficacité des enquêtes et la sécurité juridique des actes réalisés. La conservation étendue des données permet d’éviter que des preuves essentielles soient détruites prématurément, ce qui pourrait compromettre la poursuite des infractions graves liées au cybercrime ou à d’autres formes de délinquance numérique.Toutefois, conscient des enjeux de protection des données personnelles et des libertés fondamentales, cet amendement insiste sur la mise en place de conditions strictes encadrant l’accès, la traçabilité et la sécurisation de ces données prolongées. Cette organisation garantit que la conservation ne constitue pas un stockage généralisé injustifié, mais un outil ciblé, contrôlé et proportionné, respectant les exigences du droit à la vie privée et des règles applicables en matière de données personnelles. En somme, cette disposition équilibre la nécessité impérieuse de disposer d’éléments probatoires suffisants dans le temps, tout en assurant un cadre transparent et rigoureux de gestion des données sensibles, contribuant ainsi à renforcer la confiance dans les dispositifs de cybersécurité et dans le système judiciaire.

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

Contenu à consulter sur la fiche officielle

Arnaud Saint-MartinProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Par cet amendement, le groupe LFI souhaite réaffirmer à nouveau l'importance d'utiliser des solutions numériques souveraines, en garantissant notamment l'hébergement des données récoltées par les entités assujetties aux obligations du présent projet de loi sur des serveurs situés sur le territoire national (ou européen) et sur lesquels s'applique le droit national et protégé de tout effet d'une législation étrangère qui aboutirait d'une manière ou d'une autre à un transfert de données à des autorités étrangères. Face à la numérisation de la société, l'usage de nouveaux outils numériques tels que les "clouds" (ou service de l'informatique en nuage) sont devenus indispensables au bon fonctionnement des entités publiques et privées. Les données qu'elles récoltent sont parfois particulièrement sensibles, et toute fuite ou divulgation non autorisée aurait des conséquences néfastes majeures pour les individus concernés. Or, sur ce marché, 3 grandes entreprises américaines sont en situation de quasi-monopole, puisqu'Amazon Web Services (AWS), Microsoft Azure et Google Cloud, représentent à elles seules 70% des parts de marché en Europe, tandis que la part des fournisseurs de cloud européens a connu une diminution au cours des dernières années, représentant 27 % des parts en 2017 puis seulement 16 % en 2021. Or, en raison de l'existence de législations extraterritoriales appliquées par certains pays comme les Etats-Unis, les données récoltées par leurs entreprises à l'étranger doivent être ouvertes aux autorités publiques : dans le cadre de la commission d'enquête sénatoriale sur "les coûts et les modalités effectifs de la commande publique et la mesure de leur effet d'entraînement sur l'économie française" adopté le 8 juillet 2025, M. Anton Carniaux, directeur des affaires publiques et juridiques de Microsoft France, a avoué que son entreprise ne pouvait pas garantir que les données hébergées ne soit jamais transmises à des autorités étrangères lorsque ces dernières le leur demande au titre de leurs législations nationales. Ainsi, aux Etats-Unis, plusieurs législations permettent au Gouvernement d’accéder à nos données comme la section 702 du Foreign Intelligence Surveillance Act (Fisa) qui permet aux autorités américaines, sans nécessité de mandat, de recueillir des données personnelles de citoyens étrangers stockées sur des serveurs gérés par des fournisseurs de

Arnaud Saint-MartinProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Par cet amendement, le groupe LFI souligne la nécessité de recourir dans la mesure du possible aux logiciels libres et aux services de cloud réversibles afin de renforcer la sécurité des données collectées. En effet, l'usage de logiciels libres présente de nombreux atouts : représentant un coût minime, voire nul, les logiciels libres sont très flexibles (ils peuvent être modifiés et personnalisés facilement pour répondre à des besoins spécifiques), plus transparents (code en libre accès), éthique (leurs utilisateurs peuvent s’assurer qu’ils ne contribuent pas à une propriété intellectuelle restrictive et à la surveillance des utilisateurs, ce qui peut être le cas dans les logiciels propriétaires) mais surtout plus sûrs, car ils sont souvent examinés par une communauté de développeurs spécialisée qui peut identifier et corriger les vulnérabilités signalées par les utilisateurs plus rapidement qu’avec les logiciels propriétaires. Quant aux services de cloud réversibles, ils permettent à ses utilisateurs de préserver leur autonomie technologique et d'assurer leur sécurité en leur donnant la faculté de récupérer les données stockées à tout moment, notamment d'un fournisseur de cloud qui ne respecterait pas les exigences minimums de protection des données personnelles collectées (comme les services clouds américains et la législation américaine qui permet au Gouvernement américain d'avoir accès à tout moment aux données stockées par ces derniers, même en Europe) à un autre qui les respecterait. Dans ce contexte, nous considérons que les administrations publiques devraient s'appuyer sur ces outils libres et transparents pour assurer au mieux la protection des données personnelles qu'ils collectent dans le cadre de leurs activités, garantissant ainsi les droits fondamentaux des citoyens et la souveraineté technologique européenne.

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Par cet amendement, le groupe LFI souhaite réaffirmer l'importance d'utiliser des solutions numériques souveraines, en garantissant notamment l'hébergement des données récoltées par les entités assujetties aux obligations du présent projet de loi sur des serveurs situés sur le territoire national (ou européen) et sur lesquels s'applique le droit national et protégé de tout effet d'une législation étrangère qui aboutirait d'une manière ou d'une autre à un transfert de données à des autorités étrangères. Face à la numérisation de la société, l'usage de nouveaux outils numériques tels que les "clouds" (ou service de l'informatique en nuage) sont devenus indispensables au bon fonctionnement des entités publiques et privées. Or, sur ce marché, 3 grandes entreprises américaines sont en situation de quasi-monopole sur le numérique, Amazon Web Services (AWS), Microsoft Azure et Google Cloud, représentent à elles seules 70% des parts de marché en Europe, tandis que la part des fournisseurs de cloud européens a connu une diminution au cours des dernières années, représentant 27 % des parts en 2017 puis seulement 16 % en 2021. Cela pose des questions très concrètes en matière de sécurisation de nos données - d'autant plus légitimes que dans le cadre de la commission d'enquête sénatoriale sur "les coûts et les modalités effectifs de la commande publique et la mesure de leur effet d'entraînement sur l'économie française" adopté le 8 juillet 2025, M. Anton Carniaux, directeur des affaires publiques et juridiques de Microsoft France, a avoué que son entreprise ne pouvait pas garantir que les données hébergées ne soit jamais transmises à des autorités étrangères – ce qui pose la question de l’extraterritorialité. En effet, de nombreuses législations étrangères permettent aux États les ayant mises en place de récupérer les données collectées par les entreprises, même lorsque cette récolte a été effectuée à l’étranger. A titre d'illustration, aux Etats-Unis, plusieurs législations permettent au Gouvernement d’accéder à nos données comme la section 702 du Foreign Intelligence Surveillance Act (Fisa) qui permet aux autorités américaines, sans nécessité de mandat, de recueillir des données personnelles de citoyens étrangers stockées sur des serveurs gérés par des fournisseurs de services cloud domiciliés aux États-Unis, y compris lorsque les serveurs ne sont pas situés sur le te

Arnaud Saint-MartinProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Par cet amendement, le groupe LFI souligne à nouveau l'importance de la préservation de la sécurité de l'hébergement de nos données numériques, en ayant recours à des solutions locales d'hébergement de ces dernières. La numérisation croissante de la société a notamment entraîné une production massive de données numériques, parfois très sensibles comme les données personnelles. Or, l'hébergement de ces dernières s'est souvent reposé sur des services d'hébergement en nuage - aussi appelé "cloud" - qui permettent notamment d'avoir accès aux données stockées partout dans le monde, en ayant uniquement besoin d'une connexion à Internet pour ce faire. Or, en raison de la nationalité d'origine des acteurs économiques dominants sur ce marché, principalement des acteurs américains comme Amazon Web Services (AWS), Microsoft Azure et Google Cloud, les données que nous faisons héberger sur ces services sont soumis à des législations extra-territoriales permettant à des puissances étrangères d'y avoir accès, sans notre autorisation. Ainsi, aux Etats-Unis, plusieurs législations permettent au Gouvernement d’accéder à nos données comme la section 702 du Foreign Intelligence Surveillance Act (Fisa) qui permet aux autorités américaines, sans nécessité de mandat, de recueillir des données personnelles de citoyens étrangers stockées sur des serveurs gérés par des fournisseurs de services cloud domiciliés aux États-Unis, y compris lorsque les serveurs ne sont pas situés sur le territoire américain. D'autres pays comme la Chine ou l'Inde ont également des législations similaires. Face à cette situation, il est indispensable de réfléchir à d'autres solutions techniques d'hébergement plus fiables en termes de préservation de la sécurité de nos données, les solutions locales de stockage ayant un rôle important à jouer en la matière. Très concrètement, les solutions locales désignent des solutions où les données sont stockées sur des dispositifs physiques comme des serveurs internes, des disques durs externes ou des NAS (Network Attached Storage), et ces dernières présentent plusieurs avantages non négligeables : tout d'abord, le recours à ce type de solution permet aux propriétaires des données d'avoir un contrôle total sur la configuration et les autorisations d'accès des utilisateurs, d'autant plus que l'absence de nécessité d'utiliser Internet pour y avoir accès est une garantie

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Contenu à consulter sur la fiche officielle

Arnaud Saint-MartinProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Contenu à consulter sur la fiche officielle

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Le présent amendement vise à supprimer la possibilité offerte aux fournisseurs de services numériques critiques établis hors de l’Union européenne de se soustraire à l’obligation d’établissement réel sur le territoire national, en se limitant à la désignation d’un simple représentant local. En effet, l’alinéa concerné autorise que des acteurs clés du numérique — tels que les fournisseurs de services de système de noms de domaine, d’informatique en nuage, d’hébergement, de diffusion de contenu, ou encore les plateformes de réseaux sociaux — puissent se conformer aux obligations réglementaires françaises sans disposer d’une implantation effective et contrôlable en France. Cette disposition fragilise la capacité des autorités à exercer un contrôle opérationnel sur ces services essentiels, en particulier dans un contexte où la souveraineté numérique et la protection des infrastructures critiques sont des priorités nationales. La désignation d’un simple représentant local constitue un contournement déconnecté de la réalité opérationnelle, qui ne garantit ni la maîtrise directe des infrastructures, ni la responsabilité pleine et entière de l’opérateur face aux exigences françaises. Par ailleurs, elle peut servir à contourner les règles nationales, tout en maintenant ces acteurs soumis à des législations extraterritoriales, telles que le Cloud Act ou le Patriot Act américains, pouvant engendrer des risques de fuite de données ou d’ingérence.Par conséquent, la suppression de cette possibilité est indispensable pour garantir une obligation d’établissement effectif en France, condition sine qua non à l’exercice d’un contrôle robuste, transparent et efficient sur ces acteurs numériques systémiques. Cette exigence favorise un cadre de régulation équitable, assurant que les opérateurs français, européens et étrangers respectent des normes comparables, dans un souci d’égalité de traitement et de protection renforcée des intérêts stratégiques nationaux. Enfin, renforcer cette obligation constitue un levier majeur pour consolider la souveraineté numérique de la France, en assurant la disponibilité, la sécurité et la résilience des services numériques essentiels, et en évitant que des fournisseurs extérieurs échappent à la responsabilité pleine et entière que requiert leur rôle dans l’écosystème numérique national.

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Par cet amendement de repli, le groupe LFI souligne la nécessité pour les entités désignées par l'autorité administrative investie du pouvoir réglementaire - ici le Premier ministre - d'avoir suffisamment de temps pour, le cas échéant, contester la décision de classement comme "entité essentielle" ou "entité importante" si elle exerce dans un secteur hautement critique ou critique, quelque soit sa taille, au regard des critères prévus aux alinéas 2 à 5. Il n'est ici nullement question de remettre en cause le pouvoir discrétionnaire du Premier ministre, autorité de tutelle de l'Anssi, de désigner unilatéralement ces entités. En effet, l'article 10 du présent projet de loi est une transposition fidèle d’une partie des dispositions de l’article 2 de la directive NIS 2, qui prévoit d’assujettir sans condition de taille des entités appartenant aux secteurs « hautement critiques » ou « critiques », dès lors que la perturbation de leur service par une attaque cyber pourrait avoir un impact important pour le fonctionnement de la société, de secteurs économiques critiques, pour la sécurité publique, la sûreté publique, la santé publique ou bien encore pourrait représenter un risque systémique. Néanmoins, au regard des conséquences potentiellement importantes, notamment sur le plan économique, d'un tel classement, il semble indispensable d'ouvrir à minima une réflexion sur le temps disponible pour les entités concernées pour former un recours avant que l'arrêté ait déjà des effets concrets. En effet, l'article L221-5 du code des relations entre le public et l'administration prévoit que "L'autorité administrative investie du pouvoir réglementaire est tenue, dans la limite de ses compétences, d'édicter des mesures transitoires dans les conditions prévues à l'article L. 221-6 (prévoyant notamment la possibilité d'une date d'entrée en vigueur différée des règles édictées) lorsque l'application immédiate d'une nouvelle réglementation est impossible ou qu'elle entraîne, au regard de l'objet et des effets de ses dispositions, une atteinte excessive aux intérêts publics ou privés en cause." Si les entités concernées disposent de la possibilité de former un recours gracieux puis, le cas échéant, d'un recours contentieux devant la justice administrative (2 mois), il est néanmoins légitime de se demander si ce délai est suffisant.

Arnaud Saint-MartinProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Par cet amendement de repli, le groupe LFI souligne la nécessité pour les entités désignées par l'autorité administrative investie du pouvoir réglementaire - ici le Premier ministre - d'avoir suffisamment de temps pour, le cas échéant, contester la décision de classement comme "entité essentielle" ou "entité importante" si elle exerce dans un secteur hautement critique ou critique, quelque soit sa taille, au regard des critères prévus aux alinéas 2 à 5. Il n'est ici nullement question de remettre en cause le pouvoir discrétionnaire du Premier ministre, autorité de tutelle de l'Anssi, de désigner unilatéralement ces entités. En effet, l'article 10 du présent projet de loi est une transposition fidèle d’une partie des dispositions de l’article 2 de la directive NIS 2, qui prévoit d’assujettir sans condition de taille des entités appartenant aux secteurs « hautement critiques » ou « critiques », dès lors que la perturbation de leur service par une attaque cyber pourrait avoir un impact important pour le fonctionnement de la société, de secteurs économiques critiques, pour la sécurité publique, la sûreté publique, la santé publique ou bien encore pourrait représenter un risque systémique. Néanmoins, au regard des conséquences potentiellement importantes, notamment sur le plan économique, d'un tel classement, il semble indispensable d'ouvrir à minima une réflexion sur le temps disponible pour les entités concernées pour former un recours avant que l'arrêté ait déjà des effets concrets. En effet, l'article L221-5 du code des relations entre le public et l'administration prévoit que "L'autorité administrative investie du pouvoir réglementaire est tenue, dans la limite de ses compétences, d'édicter des mesures transitoires dans les conditions prévues à l'article L. 221-6 (prévoyant notamment la possibilité d'une date d'entrée en vigueur différée des règles édictées) lorsque l'application immédiate d'une nouvelle réglementation est impossible ou qu'elle entraîne, au regard de l'objet et des effets de ses dispositions, une atteinte excessive aux intérêts publics ou privés en cause." Si les entités concernées disposent de la possibilité de former un recours gracieux puis, le cas échéant, d'un recours contentieux devant la justice administrative (2 mois), il est néanmoins légitime de se poser la question du délai global dont disposent les entités concernés avant que les

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Par cet amendement, le groupe LFI souligne la nécessité pour les entités désignées par l'autorité administrative investie du pouvoir réglementaire - ici le Premier ministre - d'avoir suffisamment de temps pour, le cas échéant, contester la décision de classement comme "entité essentielle" ou "entité importante" si elle exerce dans un secteur hautement critique ou critique, quelque soit sa taille, au regard des critères prévus aux alinéas 2 à 5. Il n'est ici nullement question de remettre en cause le pouvoir discrétionnaire du Premier ministre, autorité de tutelle de l'Anssi, de désigner unilatéralement ces entités. En effet, l'article 10 du présent projet de loi est une transposition fidèle d’une partie des dispositions de l’article 2 de la directive NIS 2, qui prévoit d’assujettir sans condition de taille des entités appartenant aux secteurs « hautement critiques » ou « critiques », dès lors que la perturbation de leur service par une attaque cyber pourrait avoir un impact important pour le fonctionnement de la société, de secteurs économiques critiques, pour la sécurité publique, la sûreté publique, la santé publique ou bien encore pourrait représenter un risque systémique. Néanmoins, au regard des conséquences potentiellement importantes, notamment sur le plan économique, d'un tel classement, il semble indispensable d'ouvrir à minima une réflexion sur le temps disponible pour les entités concernées pour former un recours avant que l'arrêté ait déjà des effets concrets. En effet, l'article L221-5 du code des relations entre le public et l'administration prévoit que "L'autorité administrative investie du pouvoir réglementaire est tenue, dans la limite de ses compétences, d'édicter des mesures transitoires dans les conditions prévues à l'article L. 221-6 (prévoyant notamment la possibilité d'une date d'entrée en vigueur différée des règles édictées) lorsque l'application immédiate d'une nouvelle réglementation est impossible ou qu'elle entraîne, au regard de l'objet et des effets de ses dispositions, une atteinte excessive aux intérêts publics ou privés en cause." Si les entités concernées disposent de la possibilité de former un recours gracieux puis, le cas échéant, d'un recours contentieux devant la justice administrative (2 mois), il est néanmoins légitime de se poser la question du délai global dont disposent les entités concernés avant que les mesures

Arnaud Saint-MartinProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Article PREMIER

Contenu à consulter sur la fiche officielle

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Article PREMIER

Contenu à consulter sur la fiche officielle

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Article PREMIER

Contenu à consulter sur la fiche officielle

Arnaud Saint-MartinProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Scrutin+ — La vie parlementaire en clair