Amendement n° 183

Comme le souligne l’ARCEP dans son Avis no 2024-1131 en date du 23 mai 2024 sur ce projet de loi, « la directive NIS 2 introduit une nouveauté importante : c’est désormais, par défaut, l’ensemble des systèmes d’information des entités essentielles ou importantes qui est soumis à des exigences de sécurité des systèmes d’information, et non uniquement les systèmes d’information essentiels. En pratique, il n’est pas exclu que certains acteurs nouvellement désignés entités essentielles ou importantes doivent mettre en œuvre des mesures de protection qui sont totalement nouvelles pour eux. Il en est de même pour les acteurs déjà opérateurs de services essentiels au titre de la directive précédente, qui devront étendre les mesures de gestion des risques à l’ensemble de leurs systèmes d’information.

En conséquence, il paraît nécessaire de prévoir une date d’entrée en vigueur de ces obligations qui donne aux acteurs un délai suffisant pour se mettre en conformité.

Auditionné en juin 2025, le directeur général de l’ANSSI a notamment affirmé qu’il fallait « un délai de mise en œuvre des mesures, au-delà de celles relatives à l’enregistrement et à la notification, suffisamment important pour permettre aux entités de se mettre en adéquation avec ces exigences. L’ANSSI estime ce délai raisonnable à trois ans. »

Un an plus tard, les attaques ont redoublé, le projet de loi est connu et fait l'objet de nombreux travaux préparatoires, tant par l'ANSSI, que dans la plupart des entités essentielles, les entités importantes et toutes les structures publiques et privées citées dans la première alinéa de cet article.

Il est donc tout à la fois important de fixer une délai, mais un délai qui soit responsable et ne nous fragilise pas.