Le Sénat a adopté le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, ce mercredi 12 mars 2025. Le texte a été transmis à l’Assemblée nationale.
Une nouvelle loi sur la cybersécurité a été adoptée par le sénat ce mercredi 12 mars 2025. Elle vise à anticiper les risques et garantir une continuité d’activité, même en cas de crise.
Sur le site senat.fr, on peut lire sur ce projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité qu’il est notamment dû à des menaces jugées de plus en plus présentes, notamment «par des groupes pro-russes ou russophones», comme l’explique la ministre déléguée chargée de l’intelligence artificielle et du Numérique Clara Chappaz.
De 300 à 15.000 entreprises concernées
Elle a également expliqué que les attaques ont été «multipliées par trois depuis le début du conflit entre l’Ukraine et la Russie», quand le site du Sénat informe que les attaques par rançongiciel ont augmenté de 30% entre 2022 et 2023. Elle souhaite donc que «les structures soient en conformité et prêtes à faire face à la menace». Pour ce faire, cette loi, qui transpose trois directives européennes, introduit notamment la NIS2, qui change de nombreux points de cybersécurité. La NIS ne ciblait que 300 entités critiques quand sa deuxième version élargit cette cible à 15.000 structures.
Comme on peut le lire sur senat.fr, les trois principes européens défendus par cette loi sont :
– la directive (UE) 2022/2557 du parlement européen et du conseil du 14 décembre 2022 sur la résilience des entités critiques, dite «REC».
– la directive (UE) 2022/2555 du Parlement Européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite «NIS2».
– la directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 en ce qui concerne la résilience opérationnelle numérique du secteur financier, dite «DORA».
L’un des points les plus importants est la réactualisation de la SAIV (sécurité des activités d’importance vitale), qui date de 2006. De même, la directive DORA doit être transposée pour permettre un encadrement plus strict du secteur financier.
A présent, 18 secteurs de l’économie française seront donc concernés, ce qui répond à l’élargissement des cyberattaques : aujourd’hui, 34% d’entre elles visent des TPE/PME, 24% des collectivités territoriales, 10% des entreprises stratégiques, 10% des établissements de santé et 9% des établissements d’enseignement supérieur.
Cependant, l’une des critiques que reçoit cette proposition de loi est l’opacité qu’elle renferme concernant les moyens financiers alloués à l’accompagnement des entreprises les plus modestes.