Directive (UE) 2022/2555 du 14.12.2022 — dite « NIS2 » : art. 20, 21, 23, 32, 33PJL n° 33 (2024-2025) — résilience des infrastructures critiques et renforcement de la cybersécurité : art. 14, art. 16 bisRéférentiel Cyber France (ReCyF v2.5) — ANSSI, 17 mars 2026Le 9 septembre 2025, la commission spéciale de l'Assemblée nationale a adopté à l'unanimité le projet de loi « Résilience », qui transpose en droit français la directive NIS2 (aux côtés de DORA et REC), portée par la ministre déléguée à l'IA et au Numérique Clara Chappaz depuis son dépôt au Sénat le 15 octobre 2024 et son adoption en 1re lecture le 12 mars 2025. Sous l'impulsion de son président, Philippe Latombe, la commission a élargi l'article 16 bis pour interdire aux fournisseurs de chiffrement toute « clé de déchiffrement maîtresse » ou « processus » d'accès non consenti aux données protégées — sanctuarisant le chiffrement de bout en bout. L'examen en séance publique à l'Assemblée nationale est attendu en juillet 2026, pour une promulgation visée à l'été, alors que 20 États membres sur 27 avaient déjà transposé NIS2 au 1er janvier 2026.
Pour un professionnel de la sécurité, NIS2 change d'échelle : l'article 21 impose dix catégories de mesures minimales (authentification forte, chiffrement, sécurité de la chaîne d'approvisionnement, gestion des incidents), les entités essentielles doivent se soumettre à des audits de sécurité et tests d'intrusion obligatoires, et toute alerte précoce d'incident significatif doit remonter à l'ANSSI sous 24 heures puis un rapport détaillé sous 72 heures. Les sanctions atteignent 10 M€ ou 2 % du chiffre d'affaires mondial pour une entité essentielle (7 M€ / 1,4 % pour une entité importante) — et l'article 32(5) de la directive permet en plus une suspension temporaire des fonctions dirigeantes et la publication nominative du responsable. L'article 16 bis, lui, verrouille par ailleurs la porte à toute obligation de porte dérobée sur le chiffrement, en écho aux débats déjà tranchés côté renseignement et CEDH.