Après les fuites de données à répétition, la France veut enfin renforcer sa cybersécurité, y compris chez les opérateurs

Après une succession de cyberattaques visant des administrations et des entreprises, un projet de loi attendu depuis plus de deux ans arrive enfin à l’Assemblée nationale. Il pourrait contraindre jusqu’à 15 000 organisations à renforcer la protection de leurs systèmes informatiques et donner davantage de pouvoirs à l’Anssi pour faire appliquer ces nouvelles règles.

Les piratages se sont multipliés en France ces derniers mois, exposant les données personnelles de millions de personnes. Les attaques visant plusieurs administrations durant l’été, notamment le fisc, ont une nouvelle fois mis en évidence les faiblesses de nombreux systèmes informatiques. Dans ce contexte, les députés doivent examiner à partir de ce lundi 9 novembre le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Déposé au Sénat en octobre 2024, le texte a connu de nombreux reports. Il doit transposer en droit français trois textes européens, dont la directive NIS 2, destinée à relever le niveau de protection informatique dans l’Union européenne.

Jusqu’à 15 000 organisations concernées

La principale évolution concerne l’élargissement des obligations de cybersécurité. Le nombre d’entités régulées devrait passer d’environ 500 à près de 15 000, voire jusqu’à 19 000 selon une estimation du Campus Cyber. Dix-huit secteurs seront concernés, parmi lesquels l’énergie, les transports, la santé, les banques, les télécommunications, les infrastructures numériques, mais aussi les services postaux et la gestion des déchets. Entreprises, administrations, collectivités et établissements de santé devront appliquer des mesures adaptées à leur niveau de criticité.

Concrètement, les organisations concernées devront renforcer la sécurité de leurs systèmes, mieux gérer les risques, encadrer les accès aux données et signaler les incidents cyber importants à l’Anssi. L’objectif est de mieux prévenir les intrusions, mais aussi de limiter leurs conséquences lorsqu’elles surviennent.

L’Anssi pourrait obtenir davantage de pouvoirs

Le texte prévoit également de renforcer les moyens de l’Agence nationale de la sécurité des systèmes d’information (Anssi). Elle pourra notamment contrôler le respect des nouvelles obligations et sanctionner les organisations qui ne les appliquent pas. Les amendes pourront atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, et jusqu’à 1,4 % pour les entités importantes. Le directeur de l’Anssi, Vincent Strubel, estime que plusieurs mesures prévues auraient pu contribuer à éviter une grande partie des vols de données constatés ces derniers mois. Il réclame également un « pouvoir contraignant qui lui manque aujourd’hui ».

Près de 400 amendements doivent être examinés. Parmi les sujets sensibles figure l’article 16 bis, qui vise à garantir l’inviolabilité des messageries chiffrées comme WhatsApp, Signal ou Telegram. Le gouvernement souhaite supprimer cette disposition, estimant qu’elle pourrait empêcher les autorités d’accéder à certaines données protégées et présenter un risque pour la sécurité nationale. La ministre chargée du Numérique, Anne Le Hénanff, s’est toutefois engagée à ne pas soutenir le retour d’une mesure imposant des portes dérobées dans ces services.

Après plus de deux ans d’attente, l’examen du texte doit enfin permettre d’avancer sur le renforcement de la cybersécurité en France, alors que les fuites de données continuent de toucher administrations, entreprises et particuliers.

Source : AFP

Cet article a été repris sur le site Univers FreeBox