Loi Résilience (France)

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, communément désigné Loi Résilience, constitue la transposition française en droit interne de la directive NIS2 (UE) 2022/2555, de la directive REC sur la résilience des entités critiques (UE) 2022/2557 et de certaines dispositions du règlement DORA concernant les entités non financières. Présenté en conseil des ministres le 15 octobre 2024, adopté par le Sénat les 11 et 12 mars 2025 et examiné par l'Assemblée nationale à l'automne 2025, le texte était attendu en promulgation à l'été 2026, avec une entrée en vigueur des sanctions effectives à partir de 2027. La loi confère à l'ANSSI les pouvoirs de supervision, d'audit et de sanction prévus par NIS2, établit le régime des entités essentielles et importantes, et précise les modalités de notification des incidents. Pour le marché de l'assurance, la promulgation de la Loi Résilience marque le moment à partir duquel les obligations de NIS2 deviennent pleinement opposables en France, transformant la conformité d'une recommandation en une exigence légale dont le non-respect peut être sanctionné et documenté, avec les conséquences assurantielles qui en découlent sur la souscription et les conditions de garantie.

Avant la promulgation de la Loi Résilience, un groupe de distribution français incluait dans ses questionnaires NIS2 une clause déclarative volontaire. Dès l'entrée en vigueur du texte, l'ANSSI notifie au groupe son statut d'entité importante et lui fixe une échéance de mise en conformité. Son assureur cyber en tire immédiatement des conséquences, en exigeant la production du plan de mise en conformité avant le renouvellement de la police et en stipulant que tout manquement documenté par l'ANSSI entraîne une réduction d'indemnité de 30 pour cent en cas de sinistre lié à la non-conformité.

Loi relative à la résilience des infrastructures critiques, projet de loi résilience, Resilience Act France