MtoM Mag - Le journal de l'MtoM.

Ce que les entreprises doivent anticiper avant la promulgation de la loi Résilience, remise à l’ordre du jour de l’Assemblée Nationale cet après-midi. Deux ans après l’échéance européenne, la France n’avait toujours pas transposé la directive NIS2, toutefois le projet de loi Résilience vient d’être remis à l’ordre du jour de l’Assemblée nationale ce lundi à 16h. Pour Me Djamel Belhaouci, avocat en droit pénal du numérique, ce temps court avant mise en oeuvre ne doit pas servir de répit : les quelque 15 000 entités concernées ont intérêt à se préparer dès maintenant, en particulier à la gestion des fuites de données.

Un texte enfin débattu, une menace qui n’a pas attendu

La directive (UE) 2022/2555, dite NIS2, devait être transposée au plus tard le 17 octobre 2024. Adopté par le Sénat en mars 2025, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité arrive ce lundi 9 novembre en séance publique à l’Assemblée nationale, après plusieurs reports. Les débats doivent se poursuivre jusqu’au 13 novembre. Le texte devra ensuite passer par une commission mixte paritaire, puis être complété par des décrets d’application avant que les obligations ne s’appliquent. Entre-temps, la Commission européenne a saisi la Cour de justice de l’Union européenne en juillet dernier et demande des sanctions financières contre la France.

Lors des Assises de la cybersécurité, en octobre à Monaco, le directeur général de l’ANSSI, Vincent Strubel, avait consacré l’essentiel de son discours d’ouverture aux fuites de données et à l’urgence de corriger les vulnérabilités élémentaires. Il avait également plaidé pour une autorité renforcée, capable d’imposer des mesures plutôt que de compter sur la seule bonne volonté des organisations.

« Le calendrier parlementaire n’a aucune incidence sur celui des attaquants », observe Me Belhaouci. « Une entreprise victime d’une fuite de données aujourd’hui sera jugée demain sur ce qu’elle avait mis en place, que la loi soit votée ou non. Dès lors, attendre la promulgation pour s’organiser, c’est se condamner à le faire dans l’urgence. »

Ce que NIS2 changera pour les dirigeants

Une fois transposée, la directive imposera aux entités essentielles et importantes des mesures de gestion des risques, une gouvernance impliquant directement les organes de direction et des obligations de notification strictes : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois. Les manquements pourront être sanctionnés par des amendes administratives atteignant jusqu’a 10 millions d’euros ou 2 % du chiffre d’affaires mondial. Enfin, et ce n’est pas la moindre des mesures, les dirigeants pourront voir leur responsabilité personnelle engagée.

L’ANSSI a publié en mars 2026 le Référentiel Cyber France (ReCyF), qui détaille les mesures attendues, à ce stade le document reste un texte de travail, mais il préfigure tout de même les futurs contrôles.

L’avocat, au croisement de la technique, de la conformité et du pénal

Un incident de sécurité déclenche aujourd’hui plusieurs procédures en parallèle : notification à la CNIL au titre du RGPD, demain signalement à l’ANSSI au titre de NIS2, dépôt de plainte, communication auprès des clients et partenaires. Chacune obéit à ses propres délais et peut avoir des conséquences sur les autres.

« Une notification mal rédigée peut fragiliser une plainte, et une plainte déposée trop tard peut compromettre la preuve », explique Me Belhaouci. « Le rôle de l’avocat est de coordonner ces démarches dès les premières heures, avec les équipes techniques, pour protéger à la fois l’entreprise et ses dirigeants. »

Me Belhaouci accompagne les entreprises sur trois axes :

D’une part l’anticipation, qui consiste notamment à faire une cartographie des obligations, une revue des contrats avec les prestataires et sous-traitants, de formaliser la gouvernance et les responsabilités internes ;

D’autre part, la préparation à la crise ; quid des procédures de notification, de la conservation des preuves, exercices associant direction, DSI et RSSI ;

Enfin la réaction, à savoir coordonner les notifications, le dépôt de plainte et bien entendu, les relations avec les enquêteurs ainsi que la défense des intérêts de l’entreprise.

« NIS2 fait entrer la cybersécurité dans le champ de la responsabilité des dirigeants. C’est une question juridique autant que technique, et elle se traite en amont », conclut-il.