Arizona Tribune - Loi Résilience : l'Assemblée supprime la clause interdisant les portes dérobées

Ce mardi 10 novembre 2026, les députés français ont voté la suppression de l'article 16 bis du projet de loi Résilience. Le scrutin s'est soldé par 69 voix pour, 37 contre et une abstention. Cette décision marque un changement majeur dans le cadre juridique régissant la cybersécurité en France, levant l'interdiction qui empêchait précédemment l'État d'imposer des dispositifs affaiblissant la sécurité des messageries chiffrées.

L'article 16 bis avait été introduit dans le texte par le Sénat en mars 2025. Il visait à interdire formellement aux fournisseurs de services de chiffrement, tels que WhatsApp ou Signal, d'intégrer des portes dérobées ou des clés de déchiffrement maîtresses qui compromettenttrait la confidentialité des échanges. Cette disposition s'inscrivait dans le cadre de la transposition par la France de la directive européenne NIS 2 sur la cybersécurité.

Le vote a révélé une division nette au sein de l'hémicycle. La suppression de l'article a été soutenue par le Rassemblement national (RN), les groupes du bloc central, la Droite républicaine, le groupe LIOT ainsi qu'une partie des socialistes. À l'inverse, La France insoumise et les députés écologistes se sont opposés à cette mesure.

L'origine de cet article remonte à une controverse précédente. Début 2025, le Sénat avait adopté dans la loi contre le narcotrafic un article 8 ter exigeant que les messageries chiffrées donnent aux enquêteurs l'accès aux échanges des personnes visées par les enquêtes. Cette mesure avait provoqué une vive opposition de la part des éditeurs de ces services et suscité des réserves chez plusieurs députés, conduisant l'Assemblée nationale à retirer le texte. En réaction, les sénateurs, sous l'initiative d'Olivier Cadic, président de la commission spéciale chargée du dossier, avaient inscrit dans le projet de loi Résilience une interdiction explicite d'imposer ce type de dispositif.

Dès le départ, le ministère de l'Intérieur et les services de renseignement s'étaient opposés à cette interdiction. Mahamadou Diarra, secrétaire général de la coordination nationale du renseignement et de la lutte contre le terrorisme, avait affirmé lors d'une audition en juillet 2025 que « l'article 16 bis n'a pas sa place dans le projet de loi ».

Le gouvernement a finalement suivi les recommandations du rapport remis en septembre par Florent Boudié, ancien député chargé par le Premier ministre Sébastien Lecornu d'une mission sur le chiffrement en janvier 2026. Ce rapport préconisait à la fois de renoncer aux portes dérobées et de supprimer l'article 16 bis.

En contrepartie du vote, la ministre déléguée au Numérique Anne Le Hénanff s'est engagée à ne pas réintroduire de mesure comparable « d'ici la fin de la session parlementaire ». Le ministre de l'Intérieur Laurent Nuñez a quant à lui parlé d'un engagement valable jusqu'à « la fin de l'actuelle mandature ». Toutefois, aucune de ces deux promesses ne possède de valeur juridique contraignante.

Le sort définitif de la loi Résilience n'est pas encore réglé. Les députés poursuivent l'examen du texte cette semaine, avant une probable commission mixte paritaire où ils devront accorder leur version avec celle du Sénat. Il faudra ensuite attendre les décrets d'application pour que les obligations de la directive NIS 2 s'appliquent en France.

Ce retard pèse sur les organisations concernées. Adoptée par l'Union européenne en 2022, la directive NIS 2 impose aux secteurs essentiels, comme l'énergie, la santé ou les administrations, de renforcer leur cybersécurité et de signaler leurs incidents graves aux autorités. En France, elle doit concerner environ 15 000 entités, contre quelques centaines sous la première directive. La transposition devait être achevée avant le 17 octobre 2024, et la Commission européenne a déjà saisi la Cour de justice de l'UE pour ce manquement.

Th.Gonzalez--AT