Ce que les entreprises doivent anticiper avant la promulgation de la loi Résilience, remise à l’ordre du jour de l’Assemblée Nationale.
Deux ans après
l'échéance européenne, la France n'avait toujours pas transposé la directive
NIS2, toutefois le projet de loi Résilience a été remis à l'ordre du
jour de l'Assemblée nationale le lundi
9 Novembre à 16h. Pour Me Djamel Belhaouci**,
avocat en droit pénal du numérique, ce temps court avant mise en oeuvre ne doit
pas servir de répit : les quelque 15 000 entités concernées ont intérêt à se
préparer dès maintenant, en particulier à la gestion des fuites de données.
Un texte enfin débattu,
une menace qui n’a pas attendu
La directive (UE)
2022/2555, dite NIS2, devait être transposée au plus tard le 17 octobre 2024.
Adopté par le Sénat en mars 2025, le projet de loi relatif à la résilience des
infrastructures critiques et au renforcement de la cybersécurité arrive ce lundi
9 novembre en séance publique à l’Assemblée nationale, après plusieurs reports.
Les débats doivent se poursuivre jusqu’au 13 novembre. Le texte devra ensuite
passer par une commission mixte paritaire, puis être complété par des décrets
d’application avant que les obligations ne s’appliquent. Entre-temps, la
Commission européenne a saisi la Cour de justice de l’Union européenne en
juillet dernier et demande des sanctions financières contre la France.
Lors des Assises de la
cybersécurité, en octobre à Monaco, le directeur général de l’ANSSI, Vincent
Strubel, avait consacré l’essentiel de son discours d’ouverture aux fuites de
données et à l’urgence de corriger les vulnérabilités élémentaires. Il avait
également plaidé pour une autorité renforcée, capable d’imposer des mesures
plutôt que de compter sur la seule bonne volonté des organisations.
« Le calendrier
parlementaire n’a aucune incidence sur celui des attaquants, observe Me
Belhaouci. Une entreprise victime d’une fuite de données aujourd’hui
sera jugée demain sur ce qu’elle avait mis en place, que la loi soit votée ou
non. Dès lors, attendre la promulgation pour s’organiser, c’est se condamner à
le faire dans l’urgence. »
Ce que NIS2 changera
pour les dirigeants
Une fois transposée, la
directive imposera aux entités essentielles et importantes des mesures de
gestion des risques, une gouvernance impliquant directement les organes de
direction et des obligations de notification strictes : alerte précoce sous 24
heures, notification sous 72 heures, rapport final sous un mois. Les
manquements pourront être sanctionnés par des amendes administratives
atteignant jusqu’à 10 millions d'euros ou 2 % du chiffre d'affaires mondial.
Enfin, et ce n’est pas la moindre des mesures, les dirigeants pourront voir
leur responsabilité personnelle engagée.
L'ANSSI a publié en
mars 2026 le Référentiel Cyber France (ReCyF), qui détaille les mesures attendues,
à ce stade le document reste un texte de travail, mais il préfigure tout de
même les futurs contrôles.
L'avocat, au croisement
de la technique, de la conformité et du pénal
Un incident de sécurité
déclenche aujourd'hui plusieurs procédures en parallèle : notification à la
CNIL au titre du RGPD, demain signalement à l'ANSSI au titre de NIS2, dépôt de
plainte, communication auprès des clients et partenaires. Chacune obéit à ses
propres délais et peut avoir des conséquences sur les autres.
« Une notification mal
rédigée peut fragiliser une plainte, et une plainte déposée trop tard peut
compromettre la preuve, explique Me Belhaouci. Le rôle de l'avocat est de coordonner
ces démarches dès les premières heures, avec les équipes techniques, pour
protéger à la fois l'entreprise et ses dirigeants. »
Me Belhaouci accompagne
les entreprises sur trois axes :
- D’une part l'anticipation, qui
consiste notamment à faire une cartographie des obligations, une revue des
contrats avec les prestataires et sous-traitants, de formaliser la gouvernance
et les responsabilités internes ;
- D’autre part, la préparation à la
crise ; quid des procédures de notification, de la conservation des preuves,
exercices associant direction, DSI et RSSI ;
- Enfin la réaction, à savoir coordonner
les notifications, le dépôt de plainte et bien entendu, les relations avec les
enquêteurs ainsi que la défense des intérêts de l'entreprise.
« NIS2 fait entrer la cybersécurité dans le champ de la responsabilité des dirigeants. C'est une question juridique autant que technique, et elle se traite en amont », conclut Me Belhaouci
**Avocat pénaliste, Me Djamel Belhaouci construit son expertise à l'intersection du droit pénal et de la cybersécurité technique. Il conseille et représente des victimes de cyberattaques et de fuites de données personnelles, et intervient régulièrement pour décrypter les enjeux juridiques de l'actualité cyber.