Le Sénat a adopté, le 12 mars 2025, un projet de loi visant à renforcer la cybersécurité du pays en réponse à la montée alarmante des cyberattaques. Ce texte, qui doit maintenant passer devant l'Assemblée nationale, transpose trois directives européennes de décembre 2022, à savoir REC (résilience des entités critiques), NIS2 (cybersécurité) et DORA (résilience du secteur financier).

Avec seulement 500 infrastructures critiques réglementées jusqu'à présent, ce nouveau cadre étendra la couverture à environ 15 000 organisations, classées en "entités essentielles" et "entités importantes". Les entités essentielles, qui sont cruciales pour le bon fonctionnement de l'économie, auront des critères stricts : plus de 250 employés ou un chiffre d'affaires supérieur à 50 millions d'euros.

Les cybermenaces, telles que les ransomwares, ont explosé de 30% entre 2022 et 2023, mettant en péril les petites et moyennes entreprises, ainsi que les collectivités territoriales et les établissements de santé. En 2024, l'ANSSI a enregistré 218 incidents cyber touchant uniquement les collectivités territoriales, causant des pertes économiques d'environ 2 milliards d'euros en 2022.

Le projet de loi introduit aussi l'obligation pour les entités de signaler tout incident cyber à l'ANSSI et de mettre en place des "plans de résilience opérateur" détaillant leurs mesures de cybersécurité. De plus, des sanctions administratives pouvant atteindre 2% du chiffre d'affaires sont prévues pour les manquements à la loi.

Les sénateurs ont également recommandé des ajustements pour faciliter l'implémentation de ces nouvelles règles, en proposant un système de labellisation pour valoriser les efforts des entreprises en matière de cybersécurité. Le projet de loi, qui promet d’importants changements dans le paysage numérique français, attend maintenant l'évaluation par l'Assemblée nationale, un processus qui nécessitera également l'adoption de nombreux décrets pour sa mise en œuvre effective.