Projet de loi sur la résilience des infrastructures critiques : ce que prévoit le titre Ier

Le titre Ier du projet de loi sur la résilience des infrastructures critiques transpose la directive REC dans le code de la défense. Il prévoit que les opérateurs d’importance vitale élaborent un plan de résilience approuvé par l’administration, analysent leurs dépendances et notifient tout incident sous 24 heures. Les manquements sont passibles d’amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial.

L’Assemblée nationale a examiné le texte en séance publique les 9 et 10 novembre 2026, et le vote solennel est fixé au mardi 17 novembre. Cette analyse repose sur le texte de la commission spéciale (n° 1779). Les modifications adoptées en séance sur le titre Ier n’y sont pas intégrées. Mise à jour du 12 novembre 2026.

La France n’a pas encore transposé la directive européenne sur la résilience des entités critiques. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité doit le faire. Il compte trois titres : le premier transpose la directive REC, le deuxième la directive NIS 2, le troisième concerne la résilience du secteur financier (DORA). Cet article s’en tient au titre Ier, celui qui vise les opérateurs d’importance vitale.

Où en est le projet de loi sur la résilience des infrastructures critiques

Le Gouvernement a engagé la procédure accélérée le 15 octobre 2024, et le Sénat a adopté le texte en première lecture le 12 mars 2025. À l’Assemblée nationale, la commission spéciale a adopté son texte le 10 septembre 2025. Les députés ont examiné le texte en séance publique les 9 et 10 novembre 2026. Ils ont notamment supprimé l’article 16 bis, introduit par le Sénat, qui interdisait les portes dérobées dans les services de chiffrement (69 voix contre 37). Cette disposition relève du titre II. Le vote solennel sur l’ensemble du texte est fixé au mardi 17 novembre.

Après le vote, le Gouvernement pourra réunir une commission mixte paritaire : la procédure accélérée l’autorise après une seule lecture dans chaque assemblée. Le titre Ier entrera en vigueur à une date fixée par décret en Conseil d’État, au plus tard un an après la promulgation (article 4).

Ce que le titre Ier modifie dans le code de la défense

L’article 1er réécrit le chapitre II du titre III du livre III de la première partie du code de la défense, qui s’intitule désormais « Résilience des activités d’importance vitale ». Le vocabulaire suit : l’article 2 remplace, à l’article L. 1411-2, la mention des plans de « protection » par celle des plans de « résilience ».

Le dispositif n’est pas nouveau. Il existe en France depuis une vingtaine d’années, et selon le rapport du Sénat la directive REC s’en inspire en grande partie. Le projet de loi le conserve et le complète, notamment par une analyse des dépendances et par une définition légale de la résilience.

Une définition de la résilience plus courte que celle de la directive

L’article L. 1332-1 définit la résilience comme la capacité d’un opérateur à prévenir tout type d’incident, à s’en protéger et à y résister, afin d’assurer la continuité de ses activités d’importance vitale.

La directive REC énumère davantage de verbes : prévenir, se protéger, réagir, résister, atténuer, absorber, s’adapter et se rétablir. La rédaction française s’arrête à la prévention, à la protection et à la résistance. Elle garde la continuité pour objectif. L’absorption du choc, l’adaptation et le rétablissement n’y figurent pas, même s’ils peuvent apparaître dans le contenu des plans ou dans le décret qui précisera les mesures de résilience par catégorie d’opérateurs. À vérifier dans le texte adopté par les députés.

Qui est concerné

Le texte retient la qualité d’opérateur d’importance vitale (OIV). Il ne crée pas de statut distinct d’entité critique : l’acte de désignation précise, parmi les activités de l’opérateur, celles qui constituent des services essentiels au sens du règlement délégué (UE) 2023/2450 et qui justifient de le regarder comme une entité critique au sens de la directive.

L’article L. 1332-2 prévoit que l’autorité administrative désigne comme OIV deux catégories d’acteurs. Les premiers sont les opérateurs publics ou privés qui exercent, au moyen d’infrastructures critiques situées sur le territoire national, une activité d’importance vitale. Les seconds sont les exploitants d’établissements relevant de l’article L. 511-1 du code de l’environnement, ou comprenant une installation nucléaire de base, lorsque la destruction ou l’avarie d’une installation peut présenter un danger d’une particulière gravité pour la population ou l’environnement. Ces opérateurs supportent leurs obligations à leurs frais.

Le périmètre réel dépendra des actes de désignation. Tant qu’ils ne sont pas pris, une organisation peut occuper une place critique sans le savoir.

Les obligations des opérateurs désignés

Les délais ci-dessous courent à compter de la désignation.

• Analyse des risques de toute nature, y compris terroriste, dans les neuf mois, puis réévaluation au moins tous les quatre ans (article L. 1332-3).
• Analyse des dépendances à l’égard de tiers, y compris situés hors du territoire national, dans les neuf mois. Elle couvre les chaînes d’approvisionnement et les sous-traitants, pour lesquels le délai sera fixé par voie réglementaire, et évalue spécifiquement la dépendance à des fournisseurs de solutions logicielles et matérielles propriétaires : continuité de service, coût à long terme, capacité d’audit indépendant (article L. 1332-4).
• Plan de résilience opérateur, élaboré dans les dix mois et approuvé par l’autorité administrative. Il détaille l’analyse des risques et les mesures de résilience, techniques, opérationnelles et organisationnelles, proportionnées aux risques (article L. 1332-3).
• Plan particulier de résilience pour chaque point d’importance vitale, avec des dispositifs de surveillance, d’alarme, de protection matérielle et des conditions d’accès. Ce plan est lui aussi approuvé (article L. 1332-5).
• Notification à l’autorité administrative, au plus tard 24 heures après en avoir pris connaissance, de tout incident susceptible de compromettre la continuité des activités d’importance vitale (article L. 1332-7). Cette obligation vise les opérateurs du premier type, et non les exploitants d’établissements classés ou nucléaires.

Un document déjà établi en application d’accords internationaux, de lois ou de règlements peut tenir lieu, en tout ou partie, de plan de résilience opérateur, sur décision de l’autorité administrative. Le plan particulier de résilience bénéficie de la même souplesse lorsque le point concerné fait déjà l’objet de mesures suffisantes décrites dans un document particulier. Pour les exploitants d’établissements classés ou nucléaires, les mesures de résilience s’appliquent sous réserve de dispositions du code de l’environnement.

Une disposition touche les ressources humaines autant que la sûreté. L’article L. 1332-6 permet à l’opérateur de demander à l’autorité un avis, à la suite d’une enquête administrative, avant d’accorder un accès physique ou à distance à ses infrastructures critiques, ou avant de recruter ou d’affecter une personne à une fonction sensible. L’opérateur dresse la liste de ces fonctions dans son plan de résilience. La personne est informée de l’enquête. Si l’avis est défavorable, l’opérateur de droit privé est tenu de refuser l’autorisation.

Contrôles et sanctions

Des agents de l’État spécialement désignés et assermentés recherchent et constatent les manquements. Ils accèdent aux locaux des opérateurs, se font communiquer les documents utiles et peuvent entendre toute personne (articles L. 1332-12 et L. 1332-13).

Si un opérateur refuse d’élaborer, de modifier ou de mettre en œuvre un plan, l’autorité le met en demeure dans un délai qui ne peut être inférieur à un mois. Elle peut y ajouter une astreinte de 5 000 euros par jour de retard au plus. Les manquements relèvent ensuite d’une commission des sanctions placée auprès du Premier ministre, composée d’un membre du Conseil d’État, d’un membre de la Cour de cassation, d’un membre de la Cour des comptes et de trois personnalités qualifiées.

Cette commission peut infliger une amende administrative, proportionnée à la gravité du manquement, qui ne peut excéder 10 millions d’euros ou, pour une entreprise, 2 % du chiffre d’affaires annuel mondial hors taxes de l’exercice précédent, le montant le plus élevé étant retenu. Elle peut aussi ordonner la publication de la sanction, aux frais de la personne sanctionnée. Les recours sont de pleine juridiction. L’État, les collectivités territoriales, leurs groupements et leurs établissements publics administratifs échappent à l’amende (article L. 1332-17).

Le lien avec le titre II et la directive NIS 2

Pour les systèmes d’information, le titre Ier renvoie au titre II. L’article L. 1332-11 impose aux OIV d’appliquer les articles 14 à 17 du projet de loi, sauf pour les articles 14 et 15 lorsqu’une exigence sectorielle européenne produit un effet au moins équivalent. L’article 16 les oblige à recenser leurs systèmes d’information d’importance vitale et à en communiquer la liste à l’autorité nationale de sécurité des systèmes d’information. L’article 8 range par ailleurs les OIV parmi les entités essentielles, pour leurs activités de service essentiel.

Deux circuits de notification coexistent donc. Le premier mène à l’autorité administrative du titre Ier, sous 24 heures. Le second mène à l’autorité nationale de sécurité des systèmes d’information : notification initiale sous 24 heures, notification intermédiaire sous 72 heures, puis rapport final au plus tard un mois après (article 17). Un incident cyber qui compromet la continuité d’une activité d’importance vitale peut relever des deux. Il faut fixer à l’avance qui notifie, à qui et dans quel ordre.

Ce que cela change pour un dispositif de crise

Quatre points ressortent du texte de la commission. Le texte demande des documents approuvés par l’administration, et pas seulement des plans tenus en interne. Un plan de résilience que l’autorité peut refuser ou faire modifier, sous mise en demeure et astreinte, se prépare autrement qu’un plan de continuité que l’organisation actualise seule : il doit tenir devant un lecteur extérieur.

L’analyse des dépendances devient une obligation datée, avec une attention explicite aux fournisseurs de solutions propriétaires. Les incidents récents que nous avons détaillés, dont la cyberattaque d’un prestataire logiciel qui a désorganisé en même temps plusieurs grands aéroports européens en septembre 2025, montrent ce que cette disposition vise. Nous les décrivons dans notre article sur la résilience des entités critiques.

La notification sous 24 heures suppose une chaîne de décision capable de qualifier un incident dans les premières heures. Le texte ne dit pas qui, dans l’organisation, prend cette décision.

Enfin, le titre Ier ne mentionne pas d’exercices de crise. Le décret en Conseil d’État qui précisera la nature des mesures de résilience pour chaque catégorie d’opérateurs dira si le dispositif doit être éprouvé, et comment.

Décrets et désignations à venir

Plusieurs points ne sont pas tranchés. Le texte adopté par les députés le 17 novembre pourra différer de celui de la commission, et la commission mixte paritaire pourra encore le modifier. Des décrets en Conseil d’État préciseront la nature des mesures de résilience par catégorie d’opérateurs, les conditions de notification des incidents, le délai applicable aux sous-traitants et les modalités des enquêtes administratives. Quant aux désignations, l’autorité administrative les prononcera opérateur par opérateur.

Les OIV désignés avant l’entrée en vigueur seront regardés comme désignés à cette date au sens du nouvel article L. 1332-2. Ils restent soumis aux obligations actuelles jusqu’à ce qu’ils aient accompli celles des articles L. 1332-2 à L. 1332-5 et L. 1332-11 dans leur nouvelle rédaction (article 4). Les délais de neuf et dix mois semblent donc courir pour eux à partir de l’entrée en vigueur, ce que les décrets d’application devraient confirmer.

Préparer l’entrée en vigueur

1. Situer l’organisation au regard de l’article L. 1332-2 : exerce-t-elle une activité d’importance vitale, exploite-t-elle un établissement classé ou une installation nucléaire de base dont l’avarie peut avoir des conséquences d’une particulière gravité ?
2. Amorcer l’analyse des dépendances sans attendre la désignation. Neuf mois pour la livrer et dix pour un plan approuvable, c’est court si les fournisseurs critiques, y compris ceux établis hors du territoire national, ne sont pas déjà identifiés.
3. Recenser les documents déjà exigés par d’autres réglementations, puisque l’autorité peut décider que l’un d’eux tienne lieu de plan, en tout ou partie.
4. Vérifier qu’une chaîne de décision sait qualifier un incident et notifier en moins de 24 heures, y compris hors heures ouvrées.

Nous détaillons la méthode d’élaboration dans notre page sur le plan de résilience de l’entité critique, et l’articulation avec la directive NIS 2 dans notre page sur la mise en conformité NIS 2 et REC. Pour la lecture opérationnelle des incidents récents, voir notre analyse des infrastructures critiques et du black-out.

Textes de référence : dossier législatif du projet de loi (Assemblée nationale) texte de la commission spéciale n° 1779 et compte rendu de la séance du 10 novembre (Silicon.fr).