● Élus, dossiers et scrutins officiels synchronisés · analyses éditoriales clairement signalées

TRAVAIL PARLEMENTAIRE OFFICIEL

Les amendements

145 529 amendements recensés ; les 500 plus récents sont consultables dans cette version légère.

Mode déployable allégé

La recherche porte sur les 500 amendements les plus récents. Les statistiques agrégées couvrent bien les 145 529 amendements ; l’archive exhaustive reste accessible depuis la source officielle.

Données actualisées le 10/11/2026 · extrait récent

145 529amendements recensés

19 520adoptés

35 263rejetés

14 016retirés

ACCÈS PAR TEXTE

Textes les plus amendés

Ouvrez directement les amendements officiellement rattachés à un dossier législatif.

Projet de loi ordinaireProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité261 amendements →Projet de loi de finances rectificativeProjet de loi de finances de fin de gestion pour 202697 amendements →Proposition de loi ordinaireMieux reconnaître et à valoriser les aidants actifs35 amendements →Projet de loi de finances de l'annéeProjet de loi de finances pour 202733 amendements →Proposition de loi ordinaireL’interdiction de relations commerciales contribuant, par aide ou assistance, à la politique de colonisation dans le Territoire palestinien occupé et dans le Territoire syrien occupé des hauteurs du Golan26 amendements →Proposition de loi ordinaireProposition de loi visant à lutter contre la vie chère en renforçant le droit de la concurrence et de la régulation économique outre-mer18 amendements →

RÉSULTATS

500 amendements

Page 8 sur 17

36206/11/2026

Article PREMIER

Le présent amendement vise à préciser la transposition de la directive européenne sur la résilience des entités critiques. Le projet de loi emploie la notion de perturbation d’une activité d’importance vitale, sans préciser les critères permettant d’en apprécier concrètement l’ampleur. Or, la directive prévoit explicitement que cette appréciation repose notamment sur le nombre de personnes concernées, les dépendances d’autres activités essentielles, l’étendue géographique, la durée et l’intensité de la perturbation, ainsi que l’existence de solutions alternatives. Tout comme la directive, il est donc proposé de préciser ces critères dans la loi. De telles dispositions permettraient de donner aux pouvoirs publics comme aux opérateurs un cadre commun pour distinguer les incidents susceptibles d’affecter réellement la continuité des fonctions essentielles du pays de ceux dont les conséquences demeurent limitées. Il ne s’agit pas d’alléger les exigences de résilience, mais de les proportionner à l’impact réel d’une interruption de service. Cette précision est particulièrement nécessaire pour les services territoriaux, tels que les petits réseaux de chaleur et de froid : des obligations conçues sans considération de l’ampleur effective d’un incident pourraient générer des coûts disproportionnés, in fine supportés par les collectivités et les usagers, sans bénéfice équivalent pour la sécurité des services. Amendement travaillé avec la FEDENE.

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

36006/11/2026

Article PREMIER

Le présent amendement tend à permettre une meilleure prise en compte du risque environnemental par les opérateurs d’importance vitale (OIV). Comme l’ont montré les incendies de cet été, les phénomènes environnementaux peuvent représenter des risques pour la continuité des activités d’importance vitale. La fréquence et l’intensification de certains phénomènes environnementaux, déjà susceptibles d’affecter les activités d’importance vitale et leurs infrastructures, sont appelées à s’accroître dans les années à venir. Cette évolution doit être prise en compte dans l’anticipation des risques susceptibles d’affecter les OIV. Bien que le risque environnemental soit, par nature, inclus dans une analyse de risques incluant « tout risque », il paraît utile et nécessaire d’en prévoir explicitement l’inclusion dans le champ de cette analyse au regard de leur intensification prévisible.

Catherine HervieuProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

35706/11/2026

Amendement de conséquence avec celui présenté à l’art. 2 du projet de loi. Les cyberattaques visant les services essentiels et la sécurité nationale ciblent aussi bien les entreprises privées que les collectivités territoriales, exposant aux mêmes risques. Plutôt que de leur imposer des sanctions identiques à celles applicables au secteur privé, la loi doit obliger les collectivités à prévoir au budget les dépenses nécessaires à la cybersécurité. Si une collectivité ne respecte pas cette obligation, la chambre régionale des comptes pourra la mettre en demeure, puis demander au préfet d’inscrire ces crédits au budget et de proposer un rééquilibrage financier si nécessaire. La rédaction proposée s’applique aux communes, départements et régions ainsi qu’à leurs groupements et établissements publics administratifs, pour les obligations nées des Titres I et II du projet de loi. Cet amendement offre un cadre équilibré entre contrainte et accompagnement, garantissant à la fois la sécurité nationale et la soutenabilité budgétaire des collectivités.

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

352 (Rect)06/11/2026

Amendement rédactionnel de cohérence. La rédaction actuelle de cette disposition réduit la portée de la définition de la résilience à la seule continuité des activités d’importance vitale. Or le chapitre II du projet de loi, qui transpose la directive NIS2, oblige (à l’art. 14) les entités essentielles, les entités importantes, les administrations et leurs établissements publics administratifs à garantir un niveau de sécurité et de résilience adapté et proportionné au risque existant, et ne se limite pas aux seules activités d’importance vitale. En outre, cet amendement permet d’harmoniser les définitions de la notion de résilience entre les titres I et II du projet de loi, et de mettre en conformité cette définition avec celle prévue dans les directives transposées 2022/2557 et 2022/2555.

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

35006/11/2026

Le présent amendement, de nature rédactionnelle et clarificatrice, vise à reconnaître l’équivalence entre le règlement DORA et le cadre issu de la directive NIS2 pour les entités financières concernées. En matière de résilience opérationnelle numérique, le secteur financier est un précurseur. Avec le règlement DORA, ce dernier prévoit un cadre commun pour la gestion des risques liés aux technologies de l'information et de la communication (TIC). Il définit des règles en matière de cybersécurité et de gestion des risques informatiques qui s’appliquent à un grand nombre d’entités financières. Ce règlement fixe notamment des obligations en matière de gouvernance, de gestion des risques informatiques, de notification des incidents, de tests de résilience et de maîtrise des risques liés aux prestataires tiers. Cette articulation est expressément reconnue par la commission européenne, dont les lignes directrices de septembre 2023 précise que le règlement DORA constitue, pour les entités financières concernées, le cadre sectoriel spécifique applicable en matière de résilience opérationnelle numérique et se substitue aux dispositions correspondantes de NIS2. Il consacre ainsi un niveau d’exigence adapté aux spécificités du secteur financier, sans qu’il soit nécessaire d’y superposer un second cadre poursuivant les mêmes objectifs. Dans ce contexte, l’application d’un cadre supplémentaire aux entités financières concernées serait source d’insécurité juridique, dès lors que deux exigences poursuivant un objet comparable pourraient néanmoins être interprétées ou appréciées différemment par les autorités compétentes. Elle ferait en outre peser un risque de double supervision, notamment entre l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et l’Autorité de contrôle prudentiel et de résolution (ACPR), pour des entités relevant déjà du régime spécifique prévu par DORA. Le présent amendement vise ainsi à sécuriser l’articulation entre le cadre sectoriel prévu par DORA et les exigences issues de NIS2 applicables aux entités d’assurance. Il précise que, pour les entités assujetties au règlement DORA, les dispositions de ce règlement s’appliquent en lieu et place des exigences correspondantes de NIS2, notamment en matière de gestion des risques de cybersécurité, de notification des incidents et de supervision. Cette clarification permet d’éviter des exigen

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

34806/11/2026

Le présent amendement, de nature rédactionnelle et clarificatrice, vise à reconnaître l’équivalence entre le règlement DORA et le cadre issu de la directive NIS2 pour les entités financières concernées. En matière de résilience opérationnelle numérique, le secteur financier est un précurseur. Avec le règlement DORA, ce dernier prévoit un cadre commun pour la gestion des risques liés aux technologies de l'information et de la communication (TIC). Il définit des règles en matière de cybersécurité et de gestion des risques informatiques qui s’appliquent à un grand nombre d’entités financières. Ce règlement fixe notamment des obligations en matière de gouvernance, de gestion des risques informatiques, de notification des incidents, de tests de résilience et de maîtrise des risques liés aux prestataires tiers. Cette articulation est expressément reconnue par la commission européenne, dont les lignes directrices de septembre 2023 précise que le règlement DORA constitue, pour les entités financières concernées, le cadre sectoriel spécifique applicable en matière de résilience opérationnelle numérique et se substitue aux dispositions correspondantes de NIS2. Il consacre ainsi un niveau d’exigence adapté aux spécificités du secteur financier, sans qu’il soit nécessaire d’y superposer un second cadre poursuivant les mêmes objectifs. Dans ce contexte, l’application d’un cadre supplémentaire aux entités financières concernées serait source d’insécurité juridique, dès lors que deux exigences poursuivant un objet comparable pourraient néanmoins être interprétées ou appréciées différemment par les autorités compétentes. Elle ferait en outre peser un risque de double supervision, notamment entre l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et l’Autorité de contrôle prudentiel et de résolution (ACPR), pour des entités relevant déjà du régime spécifique prévu par DORA. Le présent amendement vise à clarifier le régime applicable aux entités financières soumises à DORA lorsqu’elles sont également qualifiées d’entités essentielles, importantes ou d’opérateurs d’importance vitale (OIV). Il précise que le règlement DORA est applicable en lieu et place des dispositions équivalentes issues de NIS2, notamment en matière de gestion des risques, de notification des incidents et de supervision. Il sécurise ainsi l’application d’un cadre unique, sans créer d’oblig

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

34706/11/2026

Article PREMIER

Le présent amendement, de nature rédactionnelle et clarificatrice, vise à reconnaître l’équivalence entre le règlement DORA et le cadre issu de la directive NIS2 pour les entités financières concernées. En matière de résilience opérationnelle numérique, le secteur financier est un précurseur. Avec le règlement DORA, ce dernier prévoit un cadre commun pour la gestion des risques liés aux technologies de l'information et de la communication (TIC). Il définit des règles en matière de cybersécurité et de gestion des risques informatiques qui s’appliquent à un grand nombre d’entités financières. Ce règlement fixe notamment des obligations en matière de gouvernance, de gestion des risques informatiques, de notification des incidents, de tests de résilience et de maîtrise des risques liés aux prestataires tiers. Cette articulation est expressément reconnue par la commission européenne, dont les lignes directrices de septembre 2023 précise que le règlement DORA constitue, pour les entités financières concernées, le cadre sectoriel spécifique applicable en matière de résilience opérationnelle numérique et se substitue aux dispositions correspondantes de NIS2. Il consacre ainsi un niveau d’exigence adapté aux spécificités du secteur financier, sans qu’il soit nécessaire d’y superposer un second cadre poursuivant les mêmes objectifs. Dans ce contexte, l’application d’un cadre supplémentaire aux entités financières concernées serait source d’insécurité juridique, dès lors que deux exigences poursuivant un objet comparable pourraient néanmoins être interprétées ou appréciées différemment par les autorités compétentes. Elle ferait en outre peser un risque de double supervision, notamment entre l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et l’Autorité de contrôle prudentiel et de résolution (ACPR), pour des entités relevant déjà du régime spécifique prévu par DORA. Le présent amendement vise donc à aligner le régime applicable aux OIV du secteur financier sur l’exemption sectorielle prévue à l’article 62 A, afin de consacrer l’équivalence entre DORA et NIS2 en matière de gestion des risques, de notification des incidents et de supervision. Il sécurise ainsi l’application d’un cadre unique, sans créer d’obligation nouvelle ni réduire le niveau d’exigence applicable, les OIV demeurant soumis aux exigences spécifiques relatives à leurs systèmes d’info

Éric BothorelProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

34406/11/2026

Pour les entités financières contrôlées par l’Autorité des marchés financiers, l’article 45 bis prévoit que les déclarations d’incidents et les notifications de cybermenaces sont réalisées au moyen d’un document unique, transmis simultanément à l’AMF et à l’ANSSI. Rien de tel n’est prévu pour les entités contrôlées par l’Autorité de contrôle prudentiel et de résolution, soit l’essentiel des banques et des assureurs, qui devront effectuer deux déclarations distinctes pour un même incident.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

32806/11/2026

L’article 16 bis, introduit par le Sénat et précisé par la commission, interdit d’imposer aux fournisseurs de services de chiffrement l’intégration de portes dérobées. Le groupe Rassemblement national en soutient pleinement le principe : une porte dérobée est une vulnérabilité offerte à tous, y compris aux services de renseignement étrangers et aux organisations criminelles. La compromission, révélée en 2024, des dispositifs d’interception légale d’opérateurs américains par un groupe attribué à la Chine l’a démontré. Le présent amendement ferme deux failles de la rédaction actuelle. En premier lieu, la notion de « fournisseurs de services de chiffrement » n’est définie par aucun texte ; une lecture stricte pourrait exclure les messageries, qui sont juridiquement des services de communications interpersonnelles. L’amendement vise donc expressément les fournisseurs de moyens et de prestations de cryptologie ainsi que les messageries. En second lieu, il interdit expressément l’ajout d’un participant invisible à une communication, technique qui permet d’accéder aux échanges sans modifier formellement le chiffrement, envisagée lors de l’examen de la loi n° 2025-532 du 13 juin 2025 visant à sortir la France du piège du narcotrafic. Enfin, l’amendement précise que ce principe ne désarme pas les services, répondant ainsi au principal argument du Gouvernement pour soutenir la suppression de cet article. Restent applicables la captation des données sur l’équipement terminal d’une personne ciblée, en matière de renseignement comme de procédure pénale, et l’obligation, pour les fournisseurs, de remettre les conventions de déchiffrement qu’ils détiennent. La lutte contre le terrorisme et la criminalité organisée passe par le ciblage des terminaux des criminels, non par l’affaiblissement de la sécurité des communications de tous les Français.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

32406/11/2026

Depuis la loi n° 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019, l’article L. 1332-6-1 du code de la défense permet d’imposer aux opérateurs d’importance vitale des systèmes de détection des attaques qualifiés par l’État et exploités sur le territoire national par des prestataires qualifiés, par l’ANSSI ou par d’autres services de l’État. L'article 1er du projet de loi réécrit ce chapitre sans reprendre cette disposition. L’article 16 lui substitue une faculté générale de prescrire le recours à des dispositifs ou prestataires « certifiés, qualifiés ou agréés », sans exigence d’exploitation sur le territoire national. Pour des systèmes qui surveillent en permanence les infrastructures les plus sensibles de la Nation et qui ont, par construction, accès à l’ensemble des flux et des événements du système protégé, ce double assouplissement constitue un recul de sécurité. Le présent amendement rétablit, pour les systèmes d’information d’importance vitale, le régime en vigueur depuis 2013. Il ne crée aucune obligation nouvelle pour les autres entités.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

32006/11/2026

Amendement de repli. Le présent amendement limite aux entités essentielles de droit privé l’extension de l’exigence de protection contre les législations extraterritoriales prévue par l’article 31 de la loi du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique : grands opérateurs de l’énergie, des transports, des communications électroniques, de la santé ou de l’eau. Il reprend pour le reste le dispositif de l’amendement principal.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

31906/11/2026

La commission a introduit à l’article 14 un critère de souveraineté : le choix des mesures de sécurité doit tenir compte de la maîtrise qu’elles permettent d’acquérir sur les systèmes d’information, afin de réduire les dépendances envers les prestataires qui ne présentent pas de garanties suffisantes. Ce critère reste général et difficilement contrôlable. Le législateur a déjà défini, pour les données les plus sensibles de l’État, une exigence précise. L’article 31 de la loi du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique impose aux administrations de l’État et à leurs opérateurs qui confient des données d’une sensibilité particulière à un service d’informatique en nuage de s’assurer que ce service les protège contre tout accès non autorisé des autorités d’États tiers. Le décret n° 2026-272 du 14 avril 2026 en a fixé les modalités ; le recours à une offre qualifiée SecNumCloud par l’ANSSI permet d’y satisfaire. Rien ne justifie que des données dont la compromission menacerait la sécurité nationale, la santé des personnes ou la continuité des services essentiels soient protégées lorsqu’elles sont détenues par l’État, mais puissent être exposées aux législations extraterritoriales, telles que le CLOUD Act ou la section 702 du FISA américains, lorsqu’elles sont détenues par un opérateur d’électricité, un hôpital ou un grand service d’eau. Le présent amendement étend cette exigence aux entités essentielles, avec un délai de mise en conformité de trois ans au plus.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

31806/11/2026

Le présent projet de loi prévoit une mise à jour tous les deux ans des listes des entités essentielles et importantes. Cet amendement vise à réduire le délai afin qu’il devienne annuel. Un rythme annuel de mise à jour permettrait d’éviter les angles morts liés à des activités émergentes ou à la transformation rapide des opérateurs, d’assurer une couverture plus fine et plus réactive du périmètre des entités assujetties, et surtout de coordonner plus efficacement l'application de la directive NIS 2, qui demande une évaluation régulière de la criticité.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

31706/11/2026

Le dispositif repose sur une logique déclarative : les entités transmettent à l’ANSSI les informations qui lui permettent d’établir la liste des entités essentielles et importantes. Rien n’oblige en revanche l’autorité à notifier à l’entité son inscription ni la catégorie retenue, alors que cette qualification détermine l’étendue de ses obligations, le régime de supervision qui lui est applicable et le plafond des sanctions encourues. Le présent amendement prévoit cette notification, gage de sécurité juridique pour les entreprises et les collectivités assujetties.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

31606/11/2026

Amendement de cohérence avec notre amendement à l’article 8. Les établissements publics de santé et les établissements et services sociaux et médico-sociaux qui n’atteignent pas les seuils des entités essentielles deviennent des entités importantes lorsqu’ils emploient au moins 50 personnes ou dépassent les seuils financiers de droit commun fixés au 1° du présent article. Les plus petites structures sortent du champ, sous réserve, pour les établissements de santé, d’une désignation individuelle par le Premier ministre en application de l’article 10.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

31506/11/2026

Amendement de repli. À défaut du seuil de 30 000 habitants, le présent amendement réserve le statut d’entité importante aux communautés de communes de 20 000 habitants et plus, soit environ 475 intercommunalités. Les plus petites disposeraient ainsi du temps nécessaire pour organiser leur cybersécurité à un rythme compatible avec leurs moyens. Il reprend une proposition de l’Association des maires de France.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

31406/11/2026

Le présent amendement réserve le statut d’entité importante aux communautés de communes de 30 000 habitants et plus, soit environ 210 intercommunalités, par cohérence avec le seuil retenu pour les communes à l’article 8. Il reprend une proposition de l’Association des maires de France, portée en commission par des députés de plusieurs groupes.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

31306/11/2026

La commission a inscrit les établissements publics de santé et les établissements et services sociaux et médico-sociaux (ESSMS) à la fois parmi les entités essentielles (article 8) et parmi les entités importantes (article 9). L’article 9 ne s’appliquant qu’aux entités qui ne sont pas des entités essentielles, ses dispositions restent sans effet : tous ces établissements deviennent des entités essentielles, quelle que soit leur taille. La sécurisation des hôpitaux est une nécessité : plusieurs centres hospitaliers ont été paralysés par des rançongiciels ces dernières années. Mais l’inclusion indifférenciée de plusieurs dizaines de milliers d’établissements et services, de l’EHPAD au service d’aide à domicile de quelques salariés, dans le régime le plus exigeant n’est ni proportionnée, ni finançable, ni contrôlable. Elle crée en outre une inégalité de traitement entre les hôpitaux publics, soumis sans seuil, et les cliniques privées, qui relèvent des seuils de droit commun. Le présent amendement applique à ces établissements les seuils de droit commun des entités essentielles. Combiné à l’amendement du groupe à l’article 9, il classe parmi les entités importantes ceux qui emploient au moins 50 personnes ou dépassent 10 millions d’euros de chiffre d’affaires ou de produits et de total de bilan. Un établissement de santé de plus petite taille dont la défaillance aurait un impact important pourra toujours être désigné par le Premier ministre en application de l’article 10.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

31206/11/2026

Amendement de repli. À défaut de supprimer la catégorie des éditeurs de logiciels introduite par la commission, le présent amendement leur applique les seuils de droit commun des entités essentielles, prévus au 1° du présent article. Les grands éditeurs, dont les produits équipent un grand nombre d’entités, restent soumis au régime. Les jeunes entreprises et les petites et moyennes entreprises françaises du secteur, déjà soumises au règlement (UE) 2024/2847 sur la cyberrésilience, ne sont plus exposées au régime de sanction le plus lourd.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

31106/11/2026

La commission a classé l’ensemble des éditeurs de logiciels parmi les entités essentielles, sans aucun seuil de taille. La directive (UE) 2022/2555 ne range pas les éditeurs de logiciels parmi les secteurs et types d’entités qu’elle couvre : il s’agit d’une surtransposition, au régime le plus lourd, puisqu’une entité essentielle encourt une amende pouvant atteindre dix millions d’euros ou 2 % de son chiffre d’affaires annuel mondial. Cette mesure frapperait d’abord les éditeurs français. En application de l’article 11, le titre II ne s’applique à cette catégorie que si l’entité est établie sur le territoire national : une jeune entreprise française d’édition de logiciels serait soumise au régime le plus contraignant, tandis qu’un éditeur étranger sans établissement en France y échapperait. Le problème soulevé en commission[R1] , celui des éditeurs qui tardent à corriger les vulnérabilités de logiciels utilisés notamment par les hôpitaux, est traité au bon niveau par le règlement (UE) 2024/2847 sur la cyberrésilience, d’application directe. Ce règlement impose aux fabricants de produits comportant des éléments numériques, logiciels compris, la gestion des vulnérabilités pendant toute la période d’assistance du produit et, depuis le 11 septembre 2026, le signalement des vulnérabilités activement exploitées et des incidents graves. Les logiciels fournis en ligne relèvent en outre déjà de la directive, au titre des services d’informatique en nuage, à partir de la taille moyenne. Le présent amendement supprime donc cette catégorie.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

31006/11/2026

Amendement de cohérence. La définition de la résilience introduite au titre II, consacré à la cybersécurité, reprend celle du titre Ier : elle vise la capacité « d’un opérateur » à assurer la continuité « de la ou des activités d’importance vitale qu’il exerce ». La notion est pourtant employée au titre II, notamment à l’article 14, pour l’ensemble des entités essentielles et importantes, dont la plupart ne sont pas des opérateurs d’importance vitale. Le présent amendement adapte la définition au champ du titre II et aligne sa rédaction sur celle retenue par la commission à l’article 1er.

Alexandre SabatouProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

27806/11/2026

Cet amendement vise à prévoir la possibilité de prescrire, par décret et non dans le référentiel mentionné à l’article 14, le recours à des produits, services ou processus certifiés dans le cadre de schémas européens de certification de cybersécurité adoptés conformément à l’article 49 du règlement (UE) 2019/881. En effet, en l’état du texte, l’alinéa 8 du présent article ouvre la possibilité pour le référentiel d’exigences techniques de prescrire le recours à des produits, ce qui reviendrait à lui conférer une portée contraignante à l’égard de l’ensemble des personnes mentionnées à l’article 14, y compris en matière de recours à des produits, services ou processus certifiés. Ce référentiel n’ayant pas vocation à avoir une telle portée, il est proposé de corriger cette erreur de plume. Par cohérence, il est proposé de supprimer l’alinéa 8, devenu sans objet.

le GouvernementProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

26006/11/2026

Article PREMIER

Cet amendement vise à assurer la cohérence du dispositif national avec le champ des obligations prévues par la directive REC et à éviter d’étendre celles-ci à des opérateurs qui n’y sont pas soumis au titre du droit européen. L’obligation d’analyser les dépendances à l’égard de tiers et les vulnérabilités des chaînes d’approvisionnement découle des exigences de résilience applicables aux entités critiques relevant de la directive REC. Il convient donc de réserver cette obligation aux opérateurs d’importance vitale désignés au titre du 1° du I de l’article L. 1332-2, auxquels s’appliquent ces exigences, et de ne pas l’étendre aux opérateurs désignés au titre du 2° du même I en raison du danger d’une particulière gravité que la destruction ou l’avarie de leurs installations pourrait présenter pour la population ou l’environnement.

Paul MidyProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

25606/11/2026

L'article 14 prévoit déjà que le choix des mesures de sécurité vise à minimiser les dépendances envers des prestataires tiers « ne présentant pas de garanties suffisantes ». Il ne précise pas comment ces garanties s'apprécient. Cet amendement complète les critères d'appréciation des risques liés aux fournisseurs en s'appuyant sur l'article 21, paragraphe 3, de la directive, qui impose de tenir compte des vulnérabilités propres aux fournisseurs et prestataires de services directs, ainsi que sur l'article 22 et les considérants 90 et 91, qui reconnaissent explicitement la pertinence des facteurs de risque non techniques, notamment l'influence d'un pays tiers, les vulnérabilités cachées, les ruptures d'approvisionnement systémiques et les situations de verrouillage technologique ou de dépendance à un fournisseur. Cet amendement est soutenu par Hexatrust, l’AFNIC et le CESIN.

Cyrielle ChatelainProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

25506/11/2026

L'article 7, paragraphe 2, point i), de la directive (UE) 2022/2555 impose aux États membres une politique de renforcement de la cyberrésilience et de la cyberhygiène des petites et moyennes entreprises, en particulier celles exclues de son champ. Le texte de la commission ne la prévoit pas. Le DUERP est obligatoire pour tout employeur dès le premier salarié, dans le secteur privé comme dans le secteur public. C'est donc un vecteur déjà existant pour atteindre les structures que NIS2 ne couvre pas, sans créer de nouvelle obligation. L'amendement confie au plan de sensibilisation, piloté par Cybermalveillance.gouv.fr, la production d'outils et de modèles. Les employeurs pourront ainsi évaluer les conséquences d'un incident cyber sur leurs salariés : risques psychosociaux, travail en mode dégradé, exposition des données personnelles, sécurité des installations. Cet amendement est soutenu par Hexatrust et l’AFNIC.

Cyrielle ChatelainProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

25406/11/2026

L’article 7, paragraphe 2, point b), de la directive (UE) 2022/2555 prévoit que la stratégie nationale en matière de cybersécurité comprend une politique relative à « l’inclusion et la spécification d’exigences liées à la cybersécurité pour les produits et services TIC dans les marchés publics », notamment en matière de certification de cybersécurité, de chiffrement et d’utilisation de produits de cybersécurité en sources ouvertes. Le présent amendement vise à assurer la pleine prise en compte de cette exigence dans la stratégie nationale. Il complète cette politique en prévoyant la prise en compte des facteurs de risque non techniques liés aux fournisseurs et prestataires de services. Cette approche est cohérente avec l’article 21, paragraphe 3, de la directive, qui impose de tenir compte des vulnérabilités propres aux fournisseurs et prestataires de services directs, ainsi qu’avec l’article 22, qui prévoit que les évaluations coordonnées des risques pour la sécurité des chaînes d’approvisionnement critiques tiennent compte, le cas échéant, de facteurs de risque non techniques. Les considérants 90 et 91 mentionnent quant à eux l’influence de pays tiers, les vulnérabilités cachées ou portes dérobées, les ruptures systémiques d’approvisionnement, le verrouillage technologique et la dépendance à l’égard d’un fournisseur. Dans ce cadre, la soumission d’un fournisseur, ou d’une entité qui le contrôle, à une législation d’un État non membre de l’Union européenne susceptible de permettre un accès non consenti aux données ou aux systèmes d’information constitue un facteur de risque pertinent dans l’appréciation de la sécurité de la chaîne d’approvisionnement. L’amendement vise également les mécanismes susceptibles de permettre la désactivation, l’interruption ou la restriction à distance du fonctionnement d’un produit ou service, dès lors qu’ils peuvent affecter la maîtrise, la continuité ou la résilience des solutions numériques acquises par les acteurs publics. Cet amendement est soutenu par Hexatrust, AFNIC et le CESIN

Cyrielle ChatelainProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

24706/11/2026

L’alinéa 11 de l’article 31 impose à la commission des sanctions de procéder à la liquidation des astreintes dont l’autorité nationale de la sécurité des systèmes d’information peut assortir les mesures d’exécution, dès lors que ces mesures d’exécution n’ont pas été exécutées totalement et dans les délais impartis par les personnes concernées. Le présent amendement vise à permettre à la commission des sanctions d’apprécier, au cas par cas, si elle doit procéder à la liquidation de ces astreintes. Elle pourra ainsi tenir compte des éléments de droit et de fait au moment où elle se prononce, et, notamment, du comportement de la personne mise en cause. Au regard des circonstances de l’espèce, la commission appréciera si, et dans quelle mesure, elle doit procéder à la liquidation.

Vincent ThiébautProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

24206/11/2026

Amendement de clarification sur le rôle des agents et personnels, dont ceux des organismes indépendants, et des experts mentionnés à l’article 26 et à l’article 27. Cet amendement vise à préciser, en lien avec l’alinéa 9 de l’article 26, que les agents et personnels des organismes indépendants et les experts peuvent également accéder aux locaux et accomplir certaines tâches dans le cadre des contrôles, dans le respect des conditions de l’article 26 et du cadre de leur habilitation. Il vise également à ce que les garanties de secret professionnel leur soient applicables dès lors qu’ils seront susceptibles d’avoir connaissance d’informations sensibles dans l’exercice de leur mission.

Vincent ThiébautProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

24106/11/2026

L'article 14 impose aux entités de mettre en place « des outils et des procédures pour assurer la défense des réseaux et des systèmes d'information et gérer les incidents » (3°). La veille sur les fuites de données (data breaches), en fait partie : concrètement, elle permet aux entités soumises à NIS2 ou à leurs prestataires à faire de la veille sur les fuites de données (concrètement : surveiller les sites cybercriminels afin d’y repérer toute fuite de données). Or les entreprises réalisant ces prestations peuvent, dans le cadre de ces activités, se voir accusées de recel. Cette situation de flou juridique freine d’ailleurs le développement d’une offre française ou européenne de prestataires en « threat intelligence ». Les entreprises ayant besoin de recourir vers de tels prestataires se tournent souvent vers des solutions étrangères, ce qui affecte l’objectif d’une résilience souveraine. Le présent amendement précise que ces veilles entrent dans les mesures exigées et les autorise lorsqu'ils sont accomplis de bonne foi par les entités soumises à l'article 14 ou par leurs prestataires de cybersécurité, dans des conditions strictes : nécessité et proportionnalité, finalité exclusive de cybersécurité, absence d'intrusion dans un système et de réutilisation, respect des données personnelles, transmission à l'ANSSI des informations utiles aux victimes. Il s'inspire de la protection accordée aux personnes de bonne foi signalant une vulnérabilité

Patricia LemoineProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

24006/11/2026

L’article 31 du projet de loi détaille les mesures que peut prendre l’ANSSI suite aux contrôles réalisés auprès des différents entités concernées par NIS2. L’ANSSI, si elle constate un manquement, peut donc enjoindre l’entité contrôlée à se mettre en conformité avec les obligations prévues au titre II de la présente loi dans un délai qui ne peut être inférieur à un mois. Toutefois, le texte ne fixe aucun plafond au délai. Le délai doit être proportionné, mais encadré, pour éviter qu'une mise en demeure sans suite pendant des mois. C’est pourquoi il est proposé de prévoir un délai maximum de six mois.

Patricia LemoineProjet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Sort non renseigné

Scrutin+ — La vie parlementaire en clair