Discours du 24 mars 2026

À la suite de la cyberattaque de grande ampleur qui vient de toucher le logiciel de Cegedim Santé, le gouvernement a demandé à cette entreprise d’accélérer sa mise en conformité avec la directive européenne NIS 2 – relative à la cybersécurité – et avec le Cyber Resilience Act – le règlement européen relatif aux exigences de cybersécurité –, et de renforcer immédiatement sa cybersécurité.Madame la ministre déléguée chargée de l’intelligence artificielle et du numérique, votre communication souligne notamment que « la protection des données est une urgence absolue ». Loin de moi l’idée de contredire une telle affirmation, frappée au coin du bon sens ! Je me dois cependant de vous rappeler que la transposition de la directive NIS 2 n’est toujours pas effective et que le gouvernement a repoussé à la session extraordinaire de juillet prochain, au mieux, l’examen en séance publique du texte qui lui est dédié. Pourtant, ce projet de loi – relatif à la résidence des infrastructures critiques et au renforcement de la cybersécurité – a été voté en commission spéciale dès septembre dernier, à l’unanimité, et ne devrait pas occuper longtemps l’agenda législatif.Comment l’État, lui-même fort en retard pour le respect de ses obligations européennes, peut-il demander à une entreprise de se conformer à une directive qui n’a toujours pas été transposée dans sa propre réglementation ? Nemo auditur : nul ne peut se prévaloir de sa propre turpitude. En d’autres termes et de façon plus imagée, on ne peut pas casser la vitre et réclamer le remboursement du courant d’air ! Le projet de loi « résilience », que je viens de mentionner, est une « urgence absolue » – je reprends à dessein les termes de votre communication. Ma question est simple : dans un contexte international particulièrement dégradé, pensez-vous raisonnable d’attendre juillet pour en achever l’examen ?

Je vous remercie de votre réponse mais, chaque jour, des fuites de données se produisent – aujourd’hui, c’est du côté de l’éducation nationale et de son système Compas. Cela constitue un vrai problème d’hygiène numérique de base, y compris pour l’État. À chaque fois, il s’agit d’attaques de faible niveau technique ; la difficulté résidant très souvent dans l’absence d’authentification multifacteur. Le temps presse pour le secteur privé comme pour le secteur public ; nous avons besoin de deux à trois jours de fenêtre législative : si une opportunité se présente, saisissons-la !Nous faisons face à deux vrais problèmes : au niveau européen, la France est vue comme un pays qui transpose les directives européennes avec beaucoup de retard et l’Union européenne commence à penser que passer par des règlements, qui ne nécessitent pas de transposition, serait plus simple, ce qui pose un problème d’expression démocratique. Ensuite, alors que nous sommes un des moteurs de l’Europe, la France a un problème d’exemplarité sur le sujet.Enfin, puisque – vous l’avez dit – la directive s’applique, la vraie difficulté serait qu’une attaque génère un procès en responsabilité contre l’État pour non-transposition et que le juge judiciaire procède à une transposition de facto. Il nous faut régler le problème le plus vite possible.