Mercredi 12 mars 2025, le Sénat a adopté, en première lecture, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité transposant trois directives européennes, dont NIS 2 qui impacte directement les collectivités. Départements de France a déposé des amendements afin d’éviter aux collectivités territoriales d’assumer le coût financier des contrôles. Le texte a été transmis à l’Assemblée nationale.
Les attaques par rançongiciel ont augmenté de 30 % entre 2022 et 2023. La cybermenace n’épargne plus aucun secteur de la vie économique et sociale : 34 % de ces attaques visaient des TPE/PME, 24 % des collectivités territoriales, 10 % des entreprises stratégique, 10 % des établissements de santé et 9 % des établissements d’enseignement supérieur.
Ce phénomène a conduit l’Union européenne à adopter, en 2022, trois directives européennes, que le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a pour objet de transposer :
– la directive (UE) 2022/2557 du parlement européen et du conseil du 14 décembre 2022 sur la résilience des entités critiques, dite « REC »
– la directive (UE) 2022/2555 du Parlement Européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite « NIS2 »
– la directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 en ce qui concerne la résilience opérationnelle numérique du secteur financier, dite « DORA ».
La transposition en droit national de la directive REC consistera essentiellement en une actualisation du dispositif de sécurité des activités d’importance vitale (SAIV) en place depuis 2006, et actera le passage d’une logique de protection des infrastructures d’importance vitale à une approche axée sur la résilience.
Concrètement, pour la France, cette transposition se traduira notamment par un élargissement du champ d’application du dispositif national actuel à plusieurs sous-secteurs, notamment les réseaux de chaleur et de froid, l’hydrogène et l’assainissement.
La transposition de la directive NIS2 conduira à un changement majeur de paradigme : il s’agira non plus seulement, comme avec la directive NIS1, de sécuriser des infrastructures critiques (environ 500), mais aussi d’assurer la résilience de quelque 15 000 entités « essentielles » ou « importantes », en tant qu’organisations, et de l’ensemble de leurs systèmes d’information dans la lutte contre les cyberattaques.
Le projet de loi fait en outre le choix d’inclure dans la transposition près de 1 500 collectivités territoriales, groupements de collectivités et organismes placés sous leur tutelle.
La transposition de la directive DORA permettra un encadrement plus rigoureux du secteur financier, cible de choix des cyberattaques.
La prise en compte de la spécificité des collectivités territoriales
- Le Sénat a tout d’abord clarifié la liste des entités publiques concernées par la directive. Toutes les grandes collectivités sont concernées. Le Sénat a cependant exclu les communautés d’agglomération ne comprenant pas au moins une commune de plus de 30.000 habitants du périmètre des entités essentielles. Le texte précise également les secteurs économiques concernés, il s’applique notamment aux réseaux de chaleur et de froid, à l’hydrogène et l’assainissement.
- Les sénateurs ont également décidé que la définition d’une stratégie nationale de cybersécurité devra inclure les modalités de soutien aux collectivités territoriales et à leurs groupements.
- La question des compétences cyber, soulevée par de nombreux élus, a également été prise en compte avec l’adoption d’un amendement intégrant l’identification et le renforcement des compétences et formations nécessaires sur l’ensemble du territoire dans la stratégie nationale.
- Une période de transition de trois ans est enfin prévue, durant laquelle s’appliqueront uniquement des contrôles blancs, dépourvus de sanctions car réalisés dans une visée éducative
- Le texte entérine enfin la dispense de sanctions financières des collectivités en cas de manquement à leurs obligations de sécurisation des systèmes d’information. « Elles ne sont ni financées ni assurées dans les mêmes conditions qu’un organisme privé« , a reconnu la Ministre Clara Chappaz.
Accédez au texte de la petite loi :
https://www.senat.fr/petite-loi-ameli/2024-2025/394.html
Accédez à la synthèse du rapport :
