● Élus, dossiers et scrutins officiels synchronisés · analyses éditoriales clairement signalées

TRAVAIL PARLEMENTAIRE OFFICIEL

Les amendements

145 529 amendements recensés ; les 500 plus récents sont consultables dans cette version légère.

Mode déployable allégé

La recherche porte sur les 500 amendements les plus récents. Les statistiques agrégées couvrent bien les 145 529 amendements ; l’archive exhaustive reste accessible depuis la source officielle.

Données actualisées le 10/11/2026 · extrait récent

145 529amendements recensés

19 520adoptés

35 263rejetés

14 016retirés

ACCÈS PAR TEXTE

Textes les plus amendés

Ouvrez directement les amendements officiellement rattachés à un dossier législatif.

Projet de loi ordinaireProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité261 amendements →Projet de loi de finances rectificativeProjet de loi de finances de fin de gestion pour 202697 amendements →Proposition de loi ordinaireMieux reconnaître et à valoriser les aidants actifs35 amendements →Projet de loi de finances de l'annéeProjet de loi de finances pour 202733 amendements →Proposition de loi ordinaireL’interdiction de relations commerciales contribuant, par aide ou assistance, à la politique de colonisation dans le Territoire palestinien occupé et dans le Territoire syrien occupé des hauteurs du Golan26 amendements →Proposition de loi ordinaireProposition de loi visant à lutter contre la vie chère en renforçant le droit de la concurrence et de la régulation économique outre-mer18 amendements →

RÉSULTATS

75 amendements

Page 2 sur 3

19406/11/2026

Cet amendement vise à améliorer le cadre juridique prévu à l’alinéa 9 de l’article 14 en garantissant sa pérennité pour les acteurs du numérique et en l’élargissant à l’ensemble des entités essentielles et importantes qui pourraient être assujetties à un acte d’exécution établissant des exigences techniques et méthodologiques et le cas échéant sectorielles pris en application de la directive NIS 2. En effet, en application du 5. de l’article 21 de la directive NIS 2, certaines entités essentielles ou importantes peuvent être assujetties à un acte d’exécution et ainsi être tenues d’appliquer des exigences techniques et méthodologiques, ainsi que, le cas échéant, des exigences sectorielles liées aux mesures visées au paragraphe 2 du même article, par exception aux exigences définies par les Etats membres. Tel est le cas notamment pour les entités importantes ou essentielles fournisseurs de services de systèmes de noms de domaine, offices d’enregistrement, fournisseurs de services d’informatique en nuage, fournisseurs de services de centres de données, fournisseurs de réseaux de diffusion de contenu, fournisseurs de services gérés, fournisseurs de services de sécurité gérés, fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux et prestataires de services de confiance, ci-après « les acteurs du numérique », qui sont tenus de mettre en œuvre les exigences techniques et méthodologiques définies par le règlement d’exécution (UE) 2024/2690 de la Commission du 17 octobre 2024. Bien que le gouvernement partage l’objectif de clarification traduit par l’alinéa 9 de l’article 14 adopté en commission spéciale, il apparaît que cette disposition est incomplète en l’état et ne permet pas de s’adapter à l’adoption : - De nouveaux actes d’exécution de la directive NIS 2 concernant les acteurs du numérique ; - De nouveaux actes d’exécution de la directive NIS 2 qui seraient applicables à d’autres types d’acteurs puisqu’en application du deuxième alinéa du paragraphe 5 de l’article 21 de la directive, d’autres entités essentielles ou importantes pourraient à l’avenir être concernées par de tels actes d’exécution. Cet amendement vise ainsi à garantir la pérennité de l’adéquation des dispositions de la loi à l’acte d’exécution applicable aux acteurs du numérique et aux éventuels futurs actes d’ex

Vincent ThiébautProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

17306/11/2026

La commission spéciale a adopté un amendement désignant l’Autorité de contrôle prudentiel et de résolution comme autorité compétente chargée de recevoir les déclarations d’incidents majeurs liés aux TIC et les notifications volontaires des cybermenaces de la part des entités financières soumises à la surveillance de plusieurs autorités nationales compétentes, conformément au deuxième alinéa du paragraphe 1 de l’article 19 du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier (DORA). Contrairement à la rédaction adoptée par le Sénat, celle de la commission spéciale prévoit une communication parallèle et par le biais d’un formulaire unique est toutefois prévue au bénéfice de l’Agence nationale de sécurité des systèmes d’information (ANSSI), de manière obligatoire pour les entités assujetties au titre II du projet de loi et sur une base volontaire pour les autres entités, afin de faciliter l’information rapide et le traitement de ces incidents et menaces par l’ANSSI. Cet amendement vise à préciser que cette communication à l’ANSSI est réalisée à l’aide d’un formulaire unique, ce qui était un point d’attention pour les entités financières. Cette rédaction permettrait de concilier la simplification des démarches à accomplir par les entreprises concernées – ce qui était l’objectif du Sénat – tout en permettant l’intervention rapide de l’ANSSI. Il convient de préciser que cette rédaction a été retenue par la commission spéciale à l’article 45 bis qui concerne la déclaration d’incidents majeurs liés aux TIC à l’Autorité des marchés financiers (AMF) et à l’ANSSI pour les entités financières qui relèvent de la compétence de la première.

Philippe LatombeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

14106/11/2026

Le présent amendement vise à instaurer une saine gestion des risques technologiques pour les systèmes d’information les plus critiques de la Nation, en application du principe « appliquer ou expliquer ». Le projet de loi renforce à juste titre les obligations de cybersécurité. Cependant, une part majeure du risque provient des briques logicielles elles-mêmes, notamment lorsqu’elles sont des « boîtes noires » dont le fonctionnement interne est inaccessible à l’entité qui les utilise et aux autorités de contrôle. Cet amendement ne vise pas à interdire le recours aux logiciels propriétaires, mais à s’assurer que leur choix pour un usage critique soit une décision éclairée et documentée. En exigeant une analyse de risques spécifique pour les solutions à code source fermé, cet amendement contraint les entités essentielles et importantes à évaluer objectivement : 1. La dépendance technologique (vendor lock-in) : Le risque de se retrouver prisonnier d’un fournisseur unique, souvent soumis à des législations étrangères, est une vulnérabilité stratégique majeure. L’analyse devra porter sur les stratégies de réversibilité et de sortie. 2. Les limitations en matière d’audit de sécurité : L’impossibilité de réaliser ou de faire réaliser un audit complet du code source constitue un risque de sécurité intrinsèque. L’entité devra formaliser la manière dont elle entend pallier cette opacité. 3. La souveraineté des données et des systèmes : Cet amendement s’inscrit dans la continuité de l’article 16 de la loi pour une République numérique, qui demande aux administrations de préserver la « maîtrise, la pérennité et l’indépendance de leurs systèmes d’information ». Il précise cette exigence de maîtrise dans le cas des infrastructures critiques du pays.

Philippe LatombeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

13706/11/2026

Amendement d’appel : De nombreuses réglementations numériques, sectorielles et non sectorielles, viennent s’imposer aux entreprises. L'article 13 du présent projet de loi dispose actuellement que l’entreprise devra se conformer au texte le plus contraignant : cette formulation laisse la place à une appréciation individuelle desdites entreprises. De fait, afin de s’assurer de l’usage systématique de la réglementation la plus exigeante, l’État devrait proposer un référentiel, piloté par l’ANSSI, permettant de s’assurer du respect de la hiérarchie des exigences. L’idée ici n’est pas d’alourdir la charge de l’ANSSI en communiquant individuellement la hiérarchisation des normes qui s’impose pour chaque entreprise mais bien de poser des lignes directrices auxquelles chacun pourra se référer pour faciliter la mise en conformité. In fine, cet amendement tend à limiter la charge de l’ANSSI en réduisant les possibilités d’erreurs de mise en conformité.

Philippe LatombeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

12506/11/2026

L’article 7, paragraphe 2, point b), de la directive (UE) 2022/2555 prévoit que la stratégie nationale en matière de cybersécurité comprend une politique relative à « l’inclusion et la spécification d’exigences liées à la cybersécurité pour les produits et services TIC dans les marchés publics », notamment en matière de certification de cybersécurité, de chiffrement et d’utilisation de produits de cybersécurité en sources ouvertes. Le présent amendement vise à assurer la pleine prise en compte de cette exigence dans la stratégie nationale. Il complète cette politique en prévoyant la prise en compte des facteurs de risque non techniques liés aux fournisseurs et prestataires de services. Cette approche est cohérente avec l’article 21, paragraphe 3, de la directive, qui impose de tenir compte des vulnérabilités propres aux fournisseurs et prestataires de services directs, ainsi qu’avec l’article 22, qui prévoit que les évaluations coordonnées des risques pour la sécurité des chaînes d’approvisionnement critiques tiennent compte, le cas échéant, de facteurs de risque non techniques. Les considérants 90 et 91 mentionnent quant à eux l’influence de pays tiers, les vulnérabilités cachées ou portes dérobées, les ruptures systémiques d’approvisionnement, le verrouillage technologique et la dépendance à l’égard d’un fournisseur. Dans ce cadre, la soumission d’un fournisseur, ou d’une entité qui le contrôle, à une législation d’un État non membre de l’Union européenne susceptible de permettre un accès non consenti aux données ou aux systèmes d’information constitue un facteur de risque pertinent dans l’appréciation de la sécurité de la chaîne d’approvisionnement. L’amendement vise également les mécanismes susceptibles de permettre la désactivation, l’interruption ou la restriction à distance du fonctionnement d’un produit ou service, dès lors qu’ils peuvent affecter la maîtrise, la continuité ou la résilience des solutions numériques acquises par les acteurs publics.

Philippe LatombeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

12206/11/2026

Cet amendement a pour objectif d’intégrer la notion de souveraineté numérique et d’autonomie stratégique numérique dans la stratégie nationale.

Philippe LatombeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

12106/11/2026

Article 5 bis A

Le présent amendement vise à améliorer sensiblement le degré de préparation des collectivités territoriales face à la menace cyber en intégrant explicitement le risque de cyberattaque au sein du Plan Communal de Sauvegarde (PCS). Alors que les collectivités jouent un rôle essentiel dans la continuité des services publics et la gestion des crises locales, elles sont devenues ces dernières années des cibles privilégiées des cybercriminels et d'acteurs étatiques hostiles. Selon l’ANSSI, plus de 350 collectivités ont été victimes d'une cyberattaque en 2023, dont une majorité de communes de taille moyenne, souvent démunies en matière de protection informatique. Les exemples concrets abondent. En septembre 2024, la mairie de Caen a été victime d'une attaque par rançongiciel paralysant plusieurs de ses services administratifs pendant plusieurs jours. À la même période, la ville de Chaville (Hauts-de-Seine) a vu son système d'information compromis, entraînant la perte d'accès à des documents sensibles et des données personnelles. En 2022, la ville de La Rochelle avait également subi une cyberattaque majeure, impactant la gestion de ses services numériques. Ces incidents démontrent la vulnérabilité des collectivités et l'impact potentiel de ces attaques : paralysie administrative, interruption des services aux usagers, atteinte à la confidentialité des données des citoyens, voire mise en danger de la sécurité des populations en cas d'atteinte aux systèmes d'alerte ou de gestion de crise. Or, le Plan Communal de Sauvegarde, prévu par l'article L.731-3 du Code de la sécurité intérieure, constitue l'outil de référence permettant d'organiser la réponse opérationnelle de la commune en cas d'événement grave : catastrophes naturelles, risques technologiques, sanitaires… Il apparaît aujourd'hui indispensable que les risques cyber soient explicitement intégrés à ce dispositif, au même titre que les autres menaces susceptibles de désorganiser la vie locale. Le présent amendement vise donc à améliorer sensiblement le degré de préparation des collectivités en ajoutant le risque cyber au sein du plan communal de sauvegarde. Cet amendement a été travaillé avec Hexatrust.

Philippe LatombeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

11206/11/2026

Cet amendement vise à prévoir l’établissement d’une liste d'auditeurs approuvés par une autorité indépendante, à l'instar de l'ANSSI ou de l'ACPR, pour réaliser, à la demande des entités financières, les inspections prévues au chapitre V du règlement DORA relatif à la gestion des risques liés aux prestataires tiers de services de technologies de l'information et de la communication (TIC). Ce nouveau cadre de gestion oblige en effet les entités financières à prévoir des obligations plus strictes dans la contractualisation avec leurs prestataires de services TIC (dont les opérateurs télécoms par exemple). Dès lors, elles pourraient se voir soumettre à des audits pour vérifier la conformité de leurs prestations de services avec les exigences contractuelles de leurs clients qui eux-mêmes sont soumis au règlement DORA. Il peut être redouté que celles aient à communiquer des données sensibles, voire fassent l’objet d’enquêtes intrusives de la part de cabinet d’audit étrangers, quand bien même ils le feraient pour le compte d’une entité financière française. Certes, la loi n° 68-678 du 26 juillet 1968 relative à la communication de documents et renseignements d'ordre économique, commercial, industriel, financier ou technique à des personnes physiques ou morales étrangères interdit déjà de communiquer des informations de nature à porter atteinte à la souveraineté, à la sécurité, aux intérêts économiques essentiels de la France ou à l’ordre public. Cependant, un système d'agrément permettrait d'éviter ces risques et faciliterait le travail des prestataires tiers de service TIC.

Mickaël BoulouxProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

10806/11/2026

Cet amendement du groupe Socialistes et apparentés vise à préciser que les mesures de pilotage de la sécurité des réseaux et des systèmes d’information reposent sur une approche « tous risques », prenant en compte à la fois les vulnérabilités numériques et l’environnement physique des infrastructures. La protection des systèmes d’information ne peut en effet être dissociée de celle des équipements et infrastructures indispensables à leur fonctionnement. Une armoire technique inondée, une fibre endommagée, une antenne privée d’alimentation électrique ou un accès physique non autorisé peuvent ainsi interrompre un service aussi efficacement qu’une attaque informatique. Le considérant 79 de la directive (UE) 2022/2555 (« NIS 2 ») définit d’ailleurs l’approche « tous risques » comme celle visant à « protéger les réseaux et les systèmes d’information ainsi que leur environnement physique contre des événements tels que le vol, les incendies, les inondations, une défaillance des télécommunications ou une défaillance électrique, ou contre tout accès physique non autorisé et toute atteinte aux informations détenues par l’entité essentielle ou importante et aux installations de traitement de l’information de l’entité, ou toute interférence avec ces informations et installations, susceptibles de compromettre la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données stockées, transmises ou traitées ou des services offerts par les réseaux et systèmes d’information ou accessibles par ceux-ci. » . Le présent amendement inscrit ainsi explicitement cette approche dans les mesures de pilotage de la sécurité, afin de favoriser une protection globale et cohérente des réseaux, des systèmes d’information et des infrastructures dont ils dépendent.

Sébastien Saint-PasteurProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Le secteur bancaire, financier et assurantiel constitue une infrastructure critique au sens de la directive (UE) 2022/2555 dite NIS 2. Il est exposé à des risques croissants de cyberattaques, qui peuvent compromettre non seulement la continuité du service mais également la protection des données personnelles et la confiance des usagers. La mise en place d’un Comité national d’observation des risques cyber répond à un double objectif : - d’une part, renforcer la transparence et l’évaluation des mesures mises en place par les établissements, en associant l’ensemble des parties prenantes, y compris les consommateurs et les régulateurs ; - d’autre part, éviter que les exigences de cybersécurité ne se traduisent par une hausse injustifiée des frais supportés par les usagers, dans un secteur marqué par une forte asymétrie d’information entre établissements et clients. Cet observatoire contribuera ainsi à un pilotage équilibré entre sécurité numérique, stabilité financière et protection des usagers, en cohérence avec les orientations européennes et nationales en matière de résilience cyber. Pour respecter les règles de la recevabilité financière, nous limitons cette institutionnalisation à la création d’un comité, admis dans le cadre des règles classiques de la recevabilité financière (voir Eric Woerth, Rapport d’information n° 5107, sur la recevabilité financière des initiatives parlementaires et la recevabilité organique des amendements à l’Assemblée nationale, 23 février 2022, p. 74)

Sabrina SebaihiProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

L’article 9 du présent projet de loi étend le champ des entités soumises aux obligations issues de la directive NIS 2 à de nombreuses collectivités territoriales et à leurs groupements. Cette extension entraîne pour celles-ci des dépenses nouvelles de mise en conformité et de sécurisation de leurs systèmes d’information. La transposition des directives européennes relatives à la cybersécurité et à la résilience conduit à renforcer les obligations pesant sur les collectivités territoriales en matière de sécurisation de leurs systèmes d’information. Ces exigences sont nécessaires, mais elles représentent un coût important pour les collectivités : acquisition de matériels et de logiciels, audits de sécurité, maintien en condition de sécurité des systèmes d’information, recours à des compétences spécialisées ou encore formation des agents. Toutes les collectivités ne disposent pas des mêmes capacités financières et techniques pour y répondre. Les communes de petite et moyenne taille et leurs groupements sont particulièrement exposés au risque de devoir différer des investissements pourtant indispensables à la protection des services publics locaux et des données de leurs administrés. Le fonds de compensation pour la taxe sur la valeur ajoutée constitue l’un des principaux instruments de soutien de l’État à l’investissement local. Certaines dépenses numériques peuvent déjà relever de son assiette. Il apparaît dès lors nécessaire d’étudier les conditions dans lesquelles les dépenses spécifiquement consacrées à la cybersécurité pourraient également bénéficier de ce mécanisme. Le présent amendement demande donc au Gouvernement d’évaluer les conséquences financières et les modalités d’une extension du FCTVA aux dépenses de cybersécurité et de proposer des solutions permettant d’accompagner durablement les collectivités dans leur montée en compétence. Il s’agit de garantir que le renforcement nécessaire des exigences de cybersécurité ne conduise pas à accroître les inégalités entre collectivités selon leurs ressources financières et leur capacité à disposer d’une ingénierie numérique.

Lisa BellucoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

Cet amendement du groupe Socialistes et apparentés vise à ajouter l'éducation parmi les secteurs critiques mentionnés à l'article 7 du présent projet de loi. Lors de l'examen en commission spéciale, l'ajout de cette mention avait été repoussé par les rapporteurs qui considéraient qu'il s'agissait d'une surtransposition. Notre groupe défend toutefois l'inscription de cette mention au sein de cet article. En effet, depuis juillet 2026, le ministère de l'éducation nationale a fait l'objet de cyberattaques massives visant plus d'une dizaine d'académies, et ce à quelques jours de la rentrée scolaire. Avec pour conséquences le vol de données personnelles de plusieurs centaines de milliers d'enseignants et d'élèves, et la suspension (en réponse) d'outils numériques et des services, notamment l'accès au service de paie et le versement des salaires. Au 1er septembre, les académies de Nantes et Toulouse n'avaient toujours aucun accès aux outils numériques - messageries, environnement numérique de travail (ENT), base de données et affectation des élèves, gestion des nominations des enseignants, paye des personnels, convocation aux examens etc. L'ampleur de ces incidents, concomitants avec d'autres attaques cybercriminelles liées à des violations de données affectant les services de l'État, est détaillée dans le point de situation, publié en septembre 2026, par la capacité renforcée de réaction, d'intervention et d'assistance aux services de l'État (REACTIV/ANSSI) dans le traitement des compromissions de comptes d'utilisateurs et dans l'analyse des violations de données.

Sébastien Saint-PasteurProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Les systèmes d’information des administrations et organismes visés à l’article 16 assurent des missions particulièrement sensibles pour la sécurité nationale, la défense, la justice ou le fonctionnement de l’État. Leur protection justifie, à ce titre, des exigences adaptées à la nature des informations et des activités concernées. Dans ces environnements, la sécurité des systèmes d’information ne peut être dissociée de celle des équipements matériels (« hardware ») qui les composent, et suppose, à ce titre, une appréciation globale des risques liés à ces équipements, portant tant sur leur niveau de sécurité technique que les risques d’ingérence étatique. La directive NIS2 reconnaît à cet égard l’importance de la sécurité de la chaîne d’approvisionnement dans l’appréciation du risque cyber. S’inspirant de l’approche retenue par l’Allemagne dans le cadre de sa transposition de NIS 2 adoptée en 2025, le présent amendement vise à permettre, pour les systèmes les plus sensibles, la prise en compte du contrôle des fabricants d’équipements et composants numériques par un gouvernement, une autorité publique ou les forces armées d’un pays tiers. Compte tenu de la sensibilité des systèmes concernés, le présent amendement prévoit que les exigences spécifiques définies par le Premier ministre à l’article 16 peuvent inclure l’interdiction de certains composants ou produits à risque. Cette disposition vise à renforcer la protection des systèmes d’information régaliens et à prévenir les risques de compromission ou d’ingérence susceptibles d’affecter les missions les plus sensibles de l’État.

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Par cet amendement, le groupe parlementaire LFI prévoit un système de sauvegarde sécurisé pour les données mentionnées à l’article 20, exclusivement pour répondre aux besoins spécifiques des procédures pénales et des enquêtes en cybersécurité. Cette mesure répond à des enjeux majeurs liés à la nature même des incidents de cybersécurité, qui sont souvent complexes, dissimulés, et détectés avec un retard important, parfois plusieurs années après leur survenue. La capacité des autorités judiciaires et des organismes de sécurité à reconstituer les chaînes d’attaque, identifier les auteurs, et comprendre les mécanismes d’intrusion repose donc sur la disponibilité prolongée de données fiables et complètes.Par ailleurs, dans le cadre des procédures pénales, la continuité probatoire est essentielle pour garantir l’efficacité des enquêtes et la sécurité juridique des actes réalisés. La conservation étendue des données permet d’éviter que des preuves essentielles soient détruites prématurément, ce qui pourrait compromettre la poursuite des infractions graves liées au cybercrime ou à d’autres formes de délinquance numérique.Toutefois, conscient des enjeux de protection des données personnelles et des libertés fondamentales, cet amendement insiste sur la mise en place de conditions strictes encadrant l’accès, la traçabilité et la sécurisation de ces données prolongées. Cette organisation garantit que la conservation ne constitue pas un stockage généralisé injustifié, mais un outil ciblé, contrôlé et proportionné, respectant les exigences du droit à la vie privée et des règles applicables en matière de données personnelles. En somme, cette disposition équilibre la nécessité impérieuse de disposer d’éléments probatoires suffisants dans le temps, tout en assurant un cadre transparent et rigoureux de gestion des données sensibles, contribuant ainsi à renforcer la confiance dans les dispositifs de cybersécurité et dans le système judiciaire.

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

Par cet amendement, le groupe LFI souhaite réaffirmer à nouveau l'importance d'utiliser des solutions numériques souveraines, en garantissant notamment l'hébergement des données récoltées par les entités assujetties aux obligations du présent projet de loi sur des serveurs situés sur le territoire national (ou européen) et sur lesquels s'applique le droit national et protégé de tout effet d'une législation étrangère qui aboutirait d'une manière ou d'une autre à un transfert de données à des autorités étrangères. Face à la numérisation de la société, l'usage de nouveaux outils numériques tels que les "clouds" (ou service de l'informatique en nuage) sont devenus indispensables au bon fonctionnement des entités publiques et privées. Les données qu'elles récoltent sont parfois particulièrement sensibles, et toute fuite ou divulgation non autorisée aurait des conséquences néfastes majeures pour les individus concernés. Or, sur ce marché, 3 grandes entreprises américaines sont en situation de quasi-monopole, puisqu'Amazon Web Services (AWS), Microsoft Azure et Google Cloud, représentent à elles seules 70% des parts de marché en Europe, tandis que la part des fournisseurs de cloud européens a connu une diminution au cours des dernières années, représentant 27 % des parts en 2017 puis seulement 16 % en 2021. Or, en raison de l'existence de législations extraterritoriales appliquées par certains pays comme les Etats-Unis, les données récoltées par leurs entreprises à l'étranger doivent être ouvertes aux autorités publiques : dans le cadre de la commission d'enquête sénatoriale sur "les coûts et les modalités effectifs de la commande publique et la mesure de leur effet d'entraînement sur l'économie française" adopté le 8 juillet 2025, M. Anton Carniaux, directeur des affaires publiques et juridiques de Microsoft France, a avoué que son entreprise ne pouvait pas garantir que les données hébergées ne soit jamais transmises à des autorités étrangères lorsque ces dernières le leur demande au titre de leurs législations nationales. Ainsi, aux Etats-Unis, plusieurs législations permettent au Gouvernement d’accéder à nos données comme la section 702 du Foreign Intelligence Surveillance Act (Fisa) qui permet aux autorités américaines, sans nécessité de mandat, de recueillir des données personnelles de citoyens étrangers stockées sur des serveurs gérés par des fournisseurs de

Arnaud Saint-MartinProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Par cet amendement, le groupe LFI souligne la nécessité de recourir dans la mesure du possible aux logiciels libres et aux services de cloud réversibles afin de renforcer la sécurité des données collectées. En effet, l'usage de logiciels libres présente de nombreux atouts : représentant un coût minime, voire nul, les logiciels libres sont très flexibles (ils peuvent être modifiés et personnalisés facilement pour répondre à des besoins spécifiques), plus transparents (code en libre accès), éthique (leurs utilisateurs peuvent s’assurer qu’ils ne contribuent pas à une propriété intellectuelle restrictive et à la surveillance des utilisateurs, ce qui peut être le cas dans les logiciels propriétaires) mais surtout plus sûrs, car ils sont souvent examinés par une communauté de développeurs spécialisée qui peut identifier et corriger les vulnérabilités signalées par les utilisateurs plus rapidement qu’avec les logiciels propriétaires. Quant aux services de cloud réversibles, ils permettent à ses utilisateurs de préserver leur autonomie technologique et d'assurer leur sécurité en leur donnant la faculté de récupérer les données stockées à tout moment, notamment d'un fournisseur de cloud qui ne respecterait pas les exigences minimums de protection des données personnelles collectées (comme les services clouds américains et la législation américaine qui permet au Gouvernement américain d'avoir accès à tout moment aux données stockées par ces derniers, même en Europe) à un autre qui les respecterait. Dans ce contexte, nous considérons que les administrations publiques devraient s'appuyer sur ces outils libres et transparents pour assurer au mieux la protection des données personnelles qu'ils collectent dans le cadre de leurs activités, garantissant ainsi les droits fondamentaux des citoyens et la souveraineté technologique européenne.

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Par cet amendement, le groupe LFI souhaite réaffirmer l'importance d'utiliser des solutions numériques souveraines, en garantissant notamment l'hébergement des données récoltées par les entités assujetties aux obligations du présent projet de loi sur des serveurs situés sur le territoire national (ou européen) et sur lesquels s'applique le droit national et protégé de tout effet d'une législation étrangère qui aboutirait d'une manière ou d'une autre à un transfert de données à des autorités étrangères. Face à la numérisation de la société, l'usage de nouveaux outils numériques tels que les "clouds" (ou service de l'informatique en nuage) sont devenus indispensables au bon fonctionnement des entités publiques et privées. Or, sur ce marché, 3 grandes entreprises américaines sont en situation de quasi-monopole sur le numérique, Amazon Web Services (AWS), Microsoft Azure et Google Cloud, représentent à elles seules 70% des parts de marché en Europe, tandis que la part des fournisseurs de cloud européens a connu une diminution au cours des dernières années, représentant 27 % des parts en 2017 puis seulement 16 % en 2021. Cela pose des questions très concrètes en matière de sécurisation de nos données - d'autant plus légitimes que dans le cadre de la commission d'enquête sénatoriale sur "les coûts et les modalités effectifs de la commande publique et la mesure de leur effet d'entraînement sur l'économie française" adopté le 8 juillet 2025, M. Anton Carniaux, directeur des affaires publiques et juridiques de Microsoft France, a avoué que son entreprise ne pouvait pas garantir que les données hébergées ne soit jamais transmises à des autorités étrangères – ce qui pose la question de l’extraterritorialité. En effet, de nombreuses législations étrangères permettent aux États les ayant mises en place de récupérer les données collectées par les entreprises, même lorsque cette récolte a été effectuée à l’étranger. A titre d'illustration, aux Etats-Unis, plusieurs législations permettent au Gouvernement d’accéder à nos données comme la section 702 du Foreign Intelligence Surveillance Act (Fisa) qui permet aux autorités américaines, sans nécessité de mandat, de recueillir des données personnelles de citoyens étrangers stockées sur des serveurs gérés par des fournisseurs de services cloud domiciliés aux États-Unis, y compris lorsque les serveurs ne sont pas situés sur le te

Arnaud Saint-MartinProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Par cet amendement, le groupe LFI souligne à nouveau l'importance de la préservation de la sécurité de l'hébergement de nos données numériques, en ayant recours à des solutions locales d'hébergement de ces dernières. La numérisation croissante de la société a notamment entraîné une production massive de données numériques, parfois très sensibles comme les données personnelles. Or, l'hébergement de ces dernières s'est souvent reposé sur des services d'hébergement en nuage - aussi appelé "cloud" - qui permettent notamment d'avoir accès aux données stockées partout dans le monde, en ayant uniquement besoin d'une connexion à Internet pour ce faire. Or, en raison de la nationalité d'origine des acteurs économiques dominants sur ce marché, principalement des acteurs américains comme Amazon Web Services (AWS), Microsoft Azure et Google Cloud, les données que nous faisons héberger sur ces services sont soumis à des législations extra-territoriales permettant à des puissances étrangères d'y avoir accès, sans notre autorisation. Ainsi, aux Etats-Unis, plusieurs législations permettent au Gouvernement d’accéder à nos données comme la section 702 du Foreign Intelligence Surveillance Act (Fisa) qui permet aux autorités américaines, sans nécessité de mandat, de recueillir des données personnelles de citoyens étrangers stockées sur des serveurs gérés par des fournisseurs de services cloud domiciliés aux États-Unis, y compris lorsque les serveurs ne sont pas situés sur le territoire américain. D'autres pays comme la Chine ou l'Inde ont également des législations similaires. Face à cette situation, il est indispensable de réfléchir à d'autres solutions techniques d'hébergement plus fiables en termes de préservation de la sécurité de nos données, les solutions locales de stockage ayant un rôle important à jouer en la matière. Très concrètement, les solutions locales désignent des solutions où les données sont stockées sur des dispositifs physiques comme des serveurs internes, des disques durs externes ou des NAS (Network Attached Storage), et ces dernières présentent plusieurs avantages non négligeables : tout d'abord, le recours à ce type de solution permet aux propriétaires des données d'avoir un contrôle total sur la configuration et les autorisations d'accès des utilisateurs, d'autant plus que l'absence de nécessité d'utiliser Internet pour y avoir accès est une garantie

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Le présent amendement vise à supprimer la possibilité offerte aux fournisseurs de services numériques critiques établis hors de l’Union européenne de se soustraire à l’obligation d’établissement réel sur le territoire national, en se limitant à la désignation d’un simple représentant local. En effet, l’alinéa concerné autorise que des acteurs clés du numérique — tels que les fournisseurs de services de système de noms de domaine, d’informatique en nuage, d’hébergement, de diffusion de contenu, ou encore les plateformes de réseaux sociaux — puissent se conformer aux obligations réglementaires françaises sans disposer d’une implantation effective et contrôlable en France. Cette disposition fragilise la capacité des autorités à exercer un contrôle opérationnel sur ces services essentiels, en particulier dans un contexte où la souveraineté numérique et la protection des infrastructures critiques sont des priorités nationales. La désignation d’un simple représentant local constitue un contournement déconnecté de la réalité opérationnelle, qui ne garantit ni la maîtrise directe des infrastructures, ni la responsabilité pleine et entière de l’opérateur face aux exigences françaises. Par ailleurs, elle peut servir à contourner les règles nationales, tout en maintenant ces acteurs soumis à des législations extraterritoriales, telles que le Cloud Act ou le Patriot Act américains, pouvant engendrer des risques de fuite de données ou d’ingérence.Par conséquent, la suppression de cette possibilité est indispensable pour garantir une obligation d’établissement effectif en France, condition sine qua non à l’exercice d’un contrôle robuste, transparent et efficient sur ces acteurs numériques systémiques. Cette exigence favorise un cadre de régulation équitable, assurant que les opérateurs français, européens et étrangers respectent des normes comparables, dans un souci d’égalité de traitement et de protection renforcée des intérêts stratégiques nationaux. Enfin, renforcer cette obligation constitue un levier majeur pour consolider la souveraineté numérique de la France, en assurant la disponibilité, la sécurité et la résilience des services numériques essentiels, et en évitant que des fournisseurs extérieurs échappent à la responsabilité pleine et entière que requiert leur rôle dans l’écosystème numérique national.

René PilatoProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

CL706/11/2026

Cet amendement du groupe de La France insoumise vise à garantir que la carence des services préfectoraux ne fasse pas obstacle au droit au séjour reconnu par la présente proposition de loi aux travailleuses et travailleurs sans-papiers. La situation budgétaire délétère dans laquelle ces services sont plongés depuis une vingtaine d'années au moins est particulièrement préoccupante pour les personnes exilées, qui rencontrent des obstacles persistants dans leurs démarches administratives (obtention d’un premier titre de séjour ou renouvellement d'un titre, ou d'un récépissé, accès à un rendez-vous…). Le délai moyen national de délivrance d’un titre de séjour est passé de 78 jours en 2019 à 110 jours en 2023. Pour les renouvellements, il atteignait 117 jours en 2025. Ces délais excessifs s’appliquent notamment aux premières demandes de titres. Selon un document inter-associatif « loi asile et immigration : un an après, le triste bilan des droits bafoués » publié en janvier 2025, il faut parfois entre 4 et 5 ans pour obtenir une réponse à une demande de régularisation pour un dossier répondant aux critères. Souvent, ces personnes n'obtiennent aucun récépissé de leur demande. Ces lenteurs, couplées à des pratiques préfectorales discrétionnaires et discriminatoires, génèrent une véritable "fabrique à sans-papiers" dans notre pays. Leurs conséquences sont considérables pour des milliers de personnes exilées qui tombent de facto dans l'irrégularité et se retrouvent menacées de perdre leur emploi, de logement et de droits sociaux, en plus de vivre dans la peur permanente d'un contrôle, d'une interpellation, voire d'une décision d'éloignement du territoire. La dématérialisation croissante des démarches, notamment à travers la plateforme Administration numérique pour les étrangers en France (ANEF), et l’absence d'alternative effective aux procédures numériques ont aggravé ces difficultés comme l’a largement documenté la Cimade ou encore le Défenseur des droits, dont les réclamations relatives aux droits des étrangers représentaient 41 % de ses saisines en 2025, contre 10 % en 2019. Le Conseil d'État a reconnu, dans sa décision du 5 mai 2026, que les dysfonctionnements de l'ANEF affectent gravement l’exercice de leurs droits par les demandeurs de titre de séjour. C'est pour cette raison que le groupe de la France insoumise porte une proposition de loi visant à garantir u

Bastien LachaudRégulariser les travailleurs sans-papiers

CL606/11/2026

Cet amendement du groupe de La France insoumise vise à garantir l’effectivité du droit au séjour créé par la présente proposition de loi. Nous soutenons cette proposition de loi, qui fait écho à une des mesures phare de notre programme l'Avenir en commun (AEC). Refusant la logique utilitariste et cynique de la Macronie qui n'a proposé qu'une régularisation de façade des travailleur·euses étranger·ères exerçant dans un métier ou secteur dit "en tension", notre groupe porte un projet de régularisation systématique de l'ensemble de ces travailleur·euses. La seule participation à la vie économique doit permettre de protéger les individus de l'ensemble des droits qui découlent du travail, la santé, le chômage, le droit à mener une vie familiale normale ou encore la saisine du Conseil des prud'hommes pour les protéger contre les employeurs qui, très souvent, les exploite. Pour autant, cette mesure ne sera pas effective tant que le recours à un téléservice continuera à être de facto imposé aux demandeur·euses. Selon le rapport du Sénat sur le PLF 2026, 58 des 233 sites sous-préfectoraux recensés ne recevaient plus aucun usager. Parmi les sites encore ouverts, 127 ne proposaient qu'un point d'accueil numérique. Ainsi, depuis 2021, le dépôt des demandes de titre de séjour est très largement imposé par voie dématérialisée, via l’Administration numérique pour les étrangers en France (ANEF). Cette dématérialisation à marche forcée produit des dysfonctionnements graves et massifs, aux effets discriminatoires. La plateforme est régulièrement inaccessible ou défaillante, et il est souvent impossible d’y corriger ou d’y compléter un dossier. Des demandes restent bloquées sans explication, les attestations provisoires ne sont ni délivrées ni renouvelées, et les usager·es n’ont aucun interlocuteur·ice permettant de faire valoir leurs droits. Le Défenseur des droits et les associations documentent depuis plusieurs années ces ruptures de droits. Cette dématérialisation imposée laisse sur le carreau les personnes étrangères qui ne disposent pas des appareils numériques nécessaires ou qui ne les maitrisent pas suffisamment. Les conséquences sont lourdes pour ces personnes qui basculent dans l’irrégularité du seul fait de l’administration. Les demandes de renouvellements non traitées dans les délais engendrent pertes d’emploi, ruptures de droits sociaux, difficultés d’accès au log

Bastien LachaudRégulariser les travailleurs sans-papiers

CL306/11/2026

Par cet amendement, le groupe de la France insoumise propose l'instauration d'une procédure de mise en demeure permettant aux employé·es de solliciter des formations en français langue étrangère (FLE) de leur employeur. En cas de non-réponse de l'employeur dans un délai d'un mois, la condition de maîtrise du français ne pourra être opposée au travailleur ou à la travailleuse pour lui refuser de renouveler le titre de séjour prévu par le présent texte. Cette proposition de loi va dans le bon sens : notre groupe propose de longue date la régularisation de plein droit de l'ensemble des travailleur·ses étranger·ères en France, qu'ils et elles exercent ou non dans un métier ou secteur caractérisé par des difficultés de recrutement. Cependant, ce texte n'ouvre droit qu'à un titre temporaire d'un an pour ces travailleur·ses, ce qui ne garantira pas la stabilisation du séjour des personnes concernées dont la situation est particulièrement précaire. Une politique de régularisation humaniste des travailleur·ses étranger·ères, comme de l'ensemble des demandeur·ses, ne devrait pas seulement permettre d'obtenir un premier titre temporaire. Elle devrait également prendre en considération la continuité de la vie personnelle, les liens familiaux, les périodes de vulnérabilité et la possibilité de construire un avenir sans dépendre en permanence de son employeur ou de son activité professionnelle. Faciliter l'octroi d'une carte de séjour pluriannuelle de 4 ans est un minimum pour ouvrir à ces travailleur·ses un droit à s’établir en France et d’y vivre une vie normale. Cette proposition vise donc à permettre a minima aux salarié·es allophones d'accéder à une formation linguistique attestant d'un certain niveau maîtrise de la langue française, comme cela est requis dans le cadre d'une demande de titre de séjour pluriannuel en vertu de l’article L. 433-4 du CESEDA. Les freins sont multiples pour remplir cette condition pourtant indispensable comme l’a documenté le rapport du Sénat n°772 de septembre 2024. L’offre de cours est insuffisante ou inaccessible (délais d’attente, difficulté dans les zones rurales, problèmes de transports), leur coût est prohibitif (environ 200 euros pour un examen), et la dématérialisation de plus en plus fréquente des formations dispensées par l’OFII, exclut de facto les personnes ne disposant pas des outils numériques nécessaires ou ne les maitrisan

Andy KerbratRégulariser les travailleurs sans-papiers

39705/11/2026

L’article 16 bis du présent projet de loi, inséré par voie d’amendement lors de l’examen au Sénat, dispose qu’« il ne peut être imposé aux fournisseurs de services de chiffrement, y compris aux prestataires de services de confiance qualifiés, l’intégration de dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d’information et des communications électroniques tels que des clés de déchiffrement maitresses ou tout autre mécanisme ou processus permettant un accès non consenti aux données protégées ». Ces dispositions présentent un risque majeur pour la sécurité nationale puisqu’elles entraveraient l’action des services judiciaires et de renseignement en interdisant d’imposer tout mécanisme ou processus permettant d’accéder à des données protégées. Le conflit normatif avec le cadre actuel des interceptions légales en France, qui découlerait de l’adoption de l’article 16 bis, serait de nature à permettre aux opérateurs de communications électroniques, dont les opérateurs de téléphonie « classiques », de s’exonérer de leurs obligations de coopération avec les autorités judiciaires et administratives. Cela fragiliserait gravement la capacité des services de police et de justice à agir contre la criminalité. En matière judiciaire, une très large part des investigations dépend de l’accès aux preuves numériques, dans un contexte technologique en constante évolution. En premier lieu, l’interdiction de l’accès aux données protégées entraverait les moyens aujourd’hui accessibles tant aux services d’enquête judiciaire qu’aux services de renseignement, pour l’ensemble des menaces à la sécurité contre lesquelles nous devons lutter. Pour rappel, une interception légale peut être autorisée par un juge d’instruction, pour les crimes et délits punis d’une peine égale ou supérieure à trois ans d’emprisonnement, ou par un juge des libertés et de la détention pour les seuls crimes et délits relevant de la criminalité et de la délinquance organisées ou du terrorisme (articles 706-73 et 706-73-1 du code de procédure pénale (CPP)). Elle peut également être autorisée par le Premier ministre, après avis de la commission nationale de contrôle des techniques de renseignement (CNCTR), pour permettre aux services de l’État de recueillir des renseignements relatifs à la défense et à la promotion des intérêts fondamentaux de la Nation. Les opérateurs de communic

Jean-Louis ThiériotProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

37505/11/2026

L’objectif de cet amendement est : – d’intégrer des notions de : transparence, portabilité et interopérabilité des technologies choisies par les entités essentielles et les entités importantes afin notamment de réduire le risque de dépendance numérique, de maximiser la résilience des réseaux et systèmes, de permettre la continuité des activités. – de rappeler l’objectif de souveraineté numérique dans le processus de certification.

Sabine ThillayeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

36905/11/2026

Cet amendement a pour objectif de garantir que la promotion de solutions de cybersécurité certifiées, prévue par l’article 16, ne crée pas d’effets pervers en défavorisant l’écosystème français et européen de l’innovation, notamment les acteurs du logiciel libre et les PME. L’article 16 permet au Premier ministre de prescrire le recours à des produits ou services certifiés ou qualifiés par l’ANSSI pour les systèmes les plus sensibles de la Nation. Cette démarche est un gage de sécurité. Toutefois, il existe un risque avéré que les processus de certification, par leur complexité ou leur coût, favorisent de facto les grands éditeurs, souvent extra-européens, au détriment d’alternatives innovantes et souveraines. Le rapport d’information de l’Assemblée nationale « Bâtir et promouvoir une souveraineté numérique nationale et européenne » (n°4299, 2021) souligne la nécessité de « faire confiance à nos entreprises technologiques » et de « privilégier, en matière de commande publique, le recours aux solutions d’acteurs technologiques français ou européens » (Proposition n°26). Cet amendement vise à prévenir ce risque en prévoyant une obligation pour l’ANSSI de concevoir des processus de qualification équitables et ouverts. Il s’agit de s’assurer que : 1. L’évaluation est fondée sur le mérite technique : Les critères doivent être objectifs et basés uniquement sur la robustesse et la sécurité de la solution, indépendamment du modèle économique (libre, propriétaire) ou de la taille du fournisseur. 2. Les barrières à l’entrée sont réduites : Les modalités ne doivent pas constituer un obstacle insurmontable pour les PME et les structures (associations, fondations) qui portent de nombreux projets de logiciels libres, en cohérence avec l’esprit de l’article 16 de la loi pour une République numérique qui en encourage l’utilisation. 3. La souveraineté numérique est renforcée : En garantissant une compétition équitable, nous permettons aux solutions françaises et européennes les plus performantes, y compris celles issues du logiciel libre, d’obtenir les qualifications nécessaires pour être déployées sur nos infrastructures critiques, renforçant ainsi notre filière technologique. Cet amendement est une mesure de sauvegarde pragmatique qui garantit que le renforcement de notre cybersécurité se fera en s’appuyant sur l’ensemble de nos forces vives, favorisant ainsi l’émergence d

Sabine ThillayeProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

35805/11/2026

L’article 16 bis du présent projet de loi, inséré par voie d’amendement lors de l’examen au Sénat, dispose qu’« il ne peut être imposé aux fournisseurs de services de chiffrement, y compris aux prestataires de services de confiance qualifiés, l’intégration de dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d’information et des communications électroniques tels que des clés de déchiffrement maitresses ou tout autre mécanisme ou processus permettant un accès non consenti aux données protégées ». Ces dispositions présentent un risque majeur pour la sécurité nationale puisqu’elles entraveraient l’action des services judiciaires et de renseignement en interdisant d’imposer tout mécanisme ou processus permettant d’accéder à des données protégées. Le conflit normatif avec le cadre actuel des interceptions légales en France, qui découlerait de l’adoption de l’article 16 bis, serait de nature à permettre aux opérateurs de communications électroniques, dont les opérateurs de téléphonie « classiques », de s’exonérer de leurs obligations de coopération avec les autorités judiciaires et administratives. Cela fragiliserait gravement la capacité des services de police et de justice à agir contre la criminalité. En matière judiciaire, une très large part des investigations dépend de l’accès aux preuves numériques, dans un contexte technologique en constante évolution. En premier lieu, l’interdiction de l’accès aux données protégées entraverait les moyens aujourd’hui accessibles tant aux services d’enquête judiciaire qu’aux services de renseignement, pour l’ensemble des menaces à la sécurité contre lesquelles nous devons lutter. Pour rappel, une interception légale peut être autorisée par un juge d’instruction, pour les crimes et délits punis d’une peine égale ou supérieure à trois ans d’emprisonnement, ou par un juge des libertés et de la détention pour les seuls crimes et délits relevant de la criminalité et de la délinquance organisées ou du terrorisme (articles 706-73 et 706-73-1 du code de procédure pénale (CPP)). Elle peut également être autorisée par le Premier ministre, après avis de la commission nationale de contrôle des techniques de renseignement (CNCTR), pour permettre aux services de l’État de recueillir des renseignements relatifs à la défense et à la promotion des intérêts fondamentaux de la Nation. Les opérateurs de communic

le GouvernementProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

34905/11/2026

Le présent amendement, de nature rédactionnelle et clarificatrice, vise à reconnaître l’équivalence entre le règlement DORA et le cadre issu de la directive NIS2 pour les entités financières concernées. En matière de résilience opérationnelle numérique, le secteur financier est un précurseur. Avec le règlement DORA, ce dernier prévoit un cadre commun pour la gestion des risques liés aux technologies de l'information et de la communication (TIC). Il définit des règles en matière de cybersécurité et de gestion des risques informatiques qui s’appliquent à un grand nombre d’entités financières. Ce règlement fixe notamment des obligations en matière de gouvernance, de gestion des risques informatiques, de notification des incidents, de tests de résilience et de maîtrise des risques liés aux prestataires tiers. Cette articulation est expressément reconnue par la commission européenne, dont les lignes directrices de septembre 2023 précise que le règlement DORA constitue, pour les entités financières concernées, le cadre sectoriel spécifique applicable en matière de résilience opérationnelle numérique et se substitue aux dispositions correspondantes de NIS2. Il consacre ainsi un niveau d’exigence adapté aux spécificités du secteur financier, sans qu’il soit nécessaire d’y superposer un second cadre poursuivant les mêmes objectifs. Dans ce contexte, l’application d’un cadre supplémentaire aux entités financières concernées serait source d’insécurité juridique, dès lors que deux exigences poursuivant un objet comparable pourraient néanmoins être interprétées ou appréciées différemment par les autorités compétentes. Elle ferait en outre peser un risque de double supervision, notamment entre l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et l’Autorité de contrôle prudentiel et de résolution (ACPR), pour des entités relevant déjà du régime spécifique prévu par DORA. Le présent amendement, de nature rédactionnelle et clarificatrice, précise qu’en application de l’article 43 A, la transmission à l’ANSSI des déclarations d’incidents majeurs et des notifications de cybermenaces effectuées par les entités financières s’opère dans des conditions équivalentes à celles applicables aux transmissions à l’ACPR, avec un contenu et un format identique. Il ne crée aucune obligation nouvelle ; il garantit simplement l’harmonisation des exigences déjà prévues et év

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

30005/11/2026

Le présent amendement supprime l'article 16 bis, conformément à la recommandation n° 14 du rapport remis au Premier ministre par notre ancien collègue, M. Florent Boudié, « Les politiques publiques de sécurité à l'ère numérique » (septembre 2026). Introduit au Sénat contre l'avis du Gouvernement et de la commission, cet article a été modifié par la commission spéciale de l'Assemblée nationale. Supprimer cet article ne revient pas à défendre les « portes dérobées ». Le même rapport recommande d'écarter toute disposition comparable à l'ancien article 8 ter[i] tant qu'aucune solution technique ne permet un accès ciblé aux contenus sans affaiblir le chiffrement (recommandation n° 17). L'objectif de protéger l'intégrité du chiffrement est légitime, singulièrement en matière de cyber sécurité. Toutefois, la rédaction adoptée en commission dépasse cet objectif. La commission a en effet ajouté le terme de « processus » à celui de « mécanisme ». Elle entendait ainsi interdire aussi des dispositifs qui ne sont pas intégrés techniquement aux systèmes de chiffrement, comme la conservation ou la transmission de copies de clés privées. Cet ajout étend l'interdiction au-delà de l'architecture technique des services, jusqu'aux obligations de coopération elles-mêmes. Il entre ainsi en contradiction avec le droit existant, en particulier avec l'article L. 871-1 du code de la sécurité intérieure, qui impose aux prestataires de cryptologie de remettre leurs conventions de déchiffrement. Le Conseil constitutionnel pourrait d’ailleurs être amené à censurer ces dispositions normatives contradictoires, rappelant que la loi doit être claire, précise et exécutoire. Ce champ élargi s'ajoute à trois imprécisions du texte. 1. Aucune technique de renseignement ou d'enquête ne repose sur le consentement de la personne visée : interception, réquisition, captation de données informatiques. Interdire tout « processus » permettant un « accès non consenti » menace donc le principe même de ces techniques. 2. Les « données protégées » ne sont pas définies. Elles pourraient désigner non seulement les données chiffrées, mais aussi toute donnée accessible par un identifiant, un code PIN ou un dispositif biométrique. 3. La notion de « fournisseur de services de chiffrement » ne correspond à aucune catégorie juridique. Elle pourrait englober des réseaux sociaux, des plateformes collaborat

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

28305/11/2026

Cet amendement vise à faciliter la mise en conformité des opérateurs aux exigences mentionnées à l’article 16 par un mécanisme de reconnaissance d’équivalence comparable à celui prévu à l’article 15.[1] Il permet de clarifier les mesures de sécurité que devront appliquer les opérateurs d’importance vitale également assujettis à des actes juridiques de l’Union tels que DORA[2] ou le règlement d’exécution établissant des règles relatives à l’application de la directive (UE) 2022/2555 applicable aux acteurs du numérique[3]. En effet, si l’ensemble des opérateurs d’importance vitale sont tenus de mettre en œuvre sur les systèmes d’information d’importance vitale les exigences du référentiel mentionné à l’article 14, certains de ces opérateurs : - appliquent des référentiels, normes ou spécifications techniques européennes ou internationales, ou bien des normes d’autres Etats Membres de l’UE dans lesquels ils sont entité essentielle ou importante, qui leur permettraient d’être conformes en tout ou partie au référentiel de l’article 14 de la présente loi ; - sont également tenus de mettre en œuvre, sur ces systèmes d’information les exigences d’un acte juridique sectoriel de l’Union auquel ils sont assujettis, et qui leur permettraient également d’être conformes en tout ou partie au référentiel de l’article 14 de la présente loi. L’ANSSI déterminera grâce à ce mécanisme de reconnaissance d’équivalence, dans quelle mesure ces corpus d’exigences sont susceptibles d’être mobilisés pour soutenir la mise en conformité de l’opérateur d’importance vitale. Les décisions d’équivalence permettront d’apporter de la sécurité et de la prévisibilité juridiques aux opérateurs en particulier à celles assujetties à un acte juridique de l’Union, puisqu’elles consacreront au niveau règlementaire l’équivalence des exigences de ces actes par rapport au référentiel mentionné à l’article 14 et, dans le cas où celle-ci est partielle, clarifieront les mesures du référentiel qui devront être mise en œuvre en supplément des exigences de l’acte juridique de l’Union, et inversement. Au-delà de ses bénéfices en termes de clarté et de simplification, cet amendement permet à la France de conserver la pleine maîtrise des mesures qui seront applicables aux opérateurs d’importance vitale, sur les systèmes d’information d’importance vitale, compte tenu de leur criticité et de la me

le GouvernementProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

28105/11/2026

Lorsqu’ils sont des entités importantes ou essentielles, les fournisseurs de services de systèmes de noms de domaine, les offices d’enregistrement, les fournisseurs de services d’informatique en nuage, les fournisseurs de services de centres de données, les fournisseurs de réseaux de diffusion de contenu, les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés ainsi que les fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux et les prestataires de services de confiance, ci-après « les acteurs du numérique » : - Ne sont pas tenus de mettre en œuvre les dispositions des alinéas 6 et 7 de l’article 14 ; - Sont tenus de mettre en œuvre les exigences techniques et méthodologiques définies par le règlement d’exécution (UE) 2024/2690 de la Commission du 17 octobre 2024. Le gouvernement partage l’objectif de clarification traduit par l’alinéa 9 de l’article 14 adopté en commission spéciale. Cette disposition ne permet cependant pas de s’adapter à l’adoption de nouveaux actes d’exécution pris en application de l’article 21 de la directive NIS 2 qui concerneraient : - Les acteurs du numérique ; - Tout autre secteur ayant fait l’objet d’un tel acte. Un amendement déposé par le gouvernement à l’article 13 permet justement d’apporter la clarification initialement visée par l’ajout de cet alinéa tout en garantissant la pérennité de l’adéquation de ces dispositions à l’acte d’exécution applicable aux acteurs du numérique et aux éventuels futurs actes d’exécution sectoriels.

le GouvernementProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Scrutin+ — La vie parlementaire en clair