Directive NIS 2 : les demandes des élus locaux écartées à l'Assemblée nationale

Les 9 et 10 novembre derniers, les députés ont enfin examiné le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité.

Adopté au Sénat il y a plus d’un an (lire Maire info du 13 mars 2025), ce projet de loi qui transpose notamment la directive européenne « NIS 2 », vise à garantir une « immunité cyber »  à l’échelle nationale. 

Le projet de loi aurait dû être transposé avant le 17 octobre 2024. Ce retard de plus de deux ans a conduit la Commission européenne à saisir la CJUE contre la France en juillet 2026. La France s’expose à une amende de plusieurs millions d’euros, d’autant plus problématique que le contexte budgétaire impose à l’État de réduire ses dépenses.

Le texte, d’abord inscrit à l’ordre du jour de l’Assemblée début octobre (lire Maire info du 6 octobre), puis retiré, a enfin été examiné cette semaine par les députés. Le vote solennel sur ce texte aura lieu le 17 novembre.

Périmètre d’application 

Cette directive vise à atteindre collectivement une immunité cyber nationale. Elle distingue les entités essentielles, soumises à davantage d’objectifs, et les entités importantes.

Toutes les entités concernées devront s’enregistrer auprès de l’Anssi en indiquant elles-mêmes leur catégorie, puis appliquer des mesures de sécurité : analyse de risques, gestion des incidents, continuité d’activité, sécurité des fournisseurs, authentification multi facteur, chiffrement, formation et audits réguliers. Tout incident important devra être notifié à l’Anssi en trois temps : sous 24 heures, sous 72 heures, puis par un rapport final un mois plus tard. 

Sont considérés comme essentiels les régions, les départements, les communes de plus de 30 000 habitants, les communautés urbaines, d’agglomération et les métropoles, les SDIS et les centres de gestion. Les entités importantes incluent notamment les communautés de communes et leurs établissements publics administratifs actifs dans un secteur hautement critique ou critique. En l’état, la majorité des communes ne seront donc concernées que par l’intermédiaire de leur intercommunalité de rattachement.

L’enjeu pour les collectivités est dès lors de connaître précisément le périmètre d’application de ces nouvelles règles cyber.

Alors que le Sénat avait suivi l'AMF en adoptant un amendement intègrant les communautés d'agglomération ne comprenant pas au moins une commune d’une population supérieure à 30 000 habitants dans la catégorie des entités importantes, cette distinction n’apparaît plus dans le texte adopté en commission à l'Assemblée nationale – elle a été supprimée en commission.

Les petites communes l’ont échappé belle sur un autre point. La commission avait qualifié l’ensemble des établissements et services sociaux et médico-sociaux d’entités essentielles, quelle que soit leur taille. « La rédaction retenue fait entrer dans le régime le plus lourd des milliers de petites et très petites structures – services d’aide à domicile, résidence autonomie, foyers souvent gérés par des centres communaux ou intercommunaux d’action sociale (CCAS et CIAS) – et de nombreuses petites communes sous le seuil des 30 000 habitants », a pointé la députée Marie-Agnès Poussier-Winsback. Plusieurs amendements ont été adoptés afin de ne retenir comme critère, pour ces établissements que ceux de la taille d’une grande entreprise (250 personnes, ou plus de 50 millions d'euros de produits d’exploitation et 43 millions d'euros de bilan), les plus petites structures critiques restant désignables au cas par cas via l’article 10.

À l’Assemblée nationale, un amendement a été mis au vote reprenant une proposition de l’AMF, pour réserver le statut d’entité importante aux quelque 210 communautés de communes de 30 000 habitants et plus. À défaut, un amendement de repli proposait d’abaisser ce seuil à 20 000 habitants (environ 475 intercommunalités), afin de laisser aux plus petites le temps d’organiser leur cybersécurité à un rythme compatible avec leurs moyens.

En séance, la commission spéciale a exprimé un avis défavorable à ces deux amendements tout comme la ministre déléguée chargée de l'Intelligence artificielle et du Numérique, Anne Le Hénanff. La ministre considère que « les petites communautés de communes sont en effet exposées à la menace cybercriminelle, en particulier aux attaques de masse ». Ainsi « elles exercent toutes des compétences critiques comme la gestion de l’eau, l’assainissement des eaux usées ou le développement économique. Elles doivent donc être sécurisées. Les communes peuvent souvent s’appuyer sur la mutualisation de services numériques : il est courant que les intercommunalités œuvrent pour l’ensemble des communes membres. C’est aussi à ce titre que les intercommunalités doivent être protégées. »  Les amendements ont finalement été retirés.

Des moyens insuffisants pour les collectivités  

« L’État mettra-t-il en place des aides pour accompagner ces communes qui n’ont pas la taille critique nécessaire pour suivre ces recommandations ? », a demandé en séance la député Alexandre Sabatou. Réponse : pas vraiment. 

Le projet de loi prévoit « la création d’un fonds de soutien spécifiquement destiné à accompagner les collectivités territoriales et les établissements publics de coopération intercommunale à fiscalité propre qualifiés d’entités importantes ou essentielles n’ayant pas bénéficié du ''parcours de cybersécurité'' du plan France relance » . Or lors de son audition devant la commission spéciale de l’Assemblée nationale, Anne Le Hénanff a précisé que ce fonds de soutien ne serait pas abondé en 2027.

« Si l'État ne donne pas aux collectivités les moyens nécessaires, qu'il leur accorde au moins le temps indispensable pour se mettre en conformité. »

— Édouard Bénard, député de la Seine-Maritime

Le député Édouard Bénard a rappelé que « de nombreuses communes et intercommunalités ne disposent ni des équipes, ni des compétences, ni des budgets nécessaires pour se mettre en conformité du jour au lendemain » . Le député a précisé : « il faut aussi du temps » . Il a présenté un amendement fixant « un délai de deux ans pour définir une trajectoire progressive, fondée sur un diagnostic initial, une évaluation des moyens nécessaires et une feuille de route comportant des jalons adaptés au degré d’exposition aux risques de chaque collectivité. » 

« Si l’État ne donne pas aux collectivités les moyens nécessaires, qu’il leur accorde au moins le temps indispensable pour se mettre en conformité », a-t-il fait valoir. Cette demande n’a cependant pas été entendue et l’amendement a été rejeté. 

La ministre a répondu que la stratégie de contrôle annoncée par le directeur de l’Anssi prévoit déjà une montée en puissance progressive des contrôles sur deux ans, soit le délai demandé. Elle a rappelé que le référentiel Recyf est disponible depuis mars et que les entités concernées sont invitées à ne pas attendre la transposition pour se mettre en conformité. « Certaines ont d’ailleurs déjà entrepris cette démarche sur la base de Recyf » , a-t-elle expliqué. Elle assure que les 15 000 entités concernées ne partiront donc pas de zéro et qu’aucun contrôle ne sera mené dès l’entrée en vigueur de la loi.

Après le vote solennel prévu mardi prochain à l’Assemblée nationale sur l’ensemble du texte, le projet de loi devrait être examiné par une commission mixte paritaire (CMP). 

Suivez Maire info sur Twitter : @Maireinfo2