Le 10 novembre 2026, l’Assemblée nationale a supprimé l’article 16 bis du projet de loi Résilience, qui interdisait à l’État d’imposer des portes dérobées aux messageries chiffrées. Le texte a été adopté par 69 voix pour, 37 contre et une abstention, lors d’un scrutin où la suppression a été votée par le RN, les groupes du bloc central, la Droite républicaine, LIOT et une partie des socialistes, tandis que La France insoumise et les écologistes s’y sont opposés.
- Le 10 novembre 2026, l’Assemblée nationale a supprimé l’article 16 bis du projet de loi Résilience.
- Cet article interdisait à l’État d’imposer des portes dérobées aux messageries chiffrées.
- Le gouvernement s’est engagé à ne pas réintroduire cette mesure, mais sans valeur juridique.
- La loi Résilience doit encore être finalisée et ses décrets d’application attendus pour entrer en vigueur.
Ajouté par le Sénat en mars 2025, l’article 16 bis interdisait à l’État d’imposer aux fournisseurs de services de chiffrement, comme WhatsApp ou Signal, des dispositifs qui affaiblissent volontairement leur sécurité, par exemple des portes dérobées ou des clés de déchiffrement maîtresses. Il avait été glissé dans le projet de loi qui doit transposer la directive européenne NIS 2 sur la cybersécurité.
Cette disposition répondait en fait à une mesure adoptée dans un autre texte. Début 2025, le Sénat avait voté, dans la loi contre le narcotrafic, un article 8 ter qui devait obliger les messageries chiffrées à donner aux enquêteurs l’accès aux échanges des personnes visées. Les éditeurs de messageries s’y étaient vivement opposés, plusieurs députés avaient exprimé leurs réserves, et l’Assemblée avait fini par retirer cette mesure. À l’initiative du sénateur Olivier Cadic, président de la commission spéciale chargée du texte, les sénateurs ont alors inscrit dans le projet de loi Résilience une interdiction d’imposer ce type de dispositif.
Un engagement sans valeur juridique
Le ministère de l’Intérieur et les services de renseignement s’étaient opposés à cette disposition dès le départ. Lors de son audition devant la commission spéciale de l’Assemblée en juillet 2025, Mahamadou Diarra, secrétaire général de la coordination nationale du renseignement et de la lutte contre le terrorisme, avait déclaré que « l’article 16 bis n’a pas sa place dans le projet de loi ».
Le gouvernement s’est finalement rangé à l’avis de l’ancien député Florent Boudié, chargé en janvier 2026 par le Premier ministre Sébastien Lecornu d’une mission sur le chiffrement. Remis en septembre, son rapport recommande de renoncer aux portes dérobées et de supprimer l’article 16 bis, selon Le Monde. En échange, la ministre déléguée au Numérique, Anne Le Hénanff, s’est engagée à ne pas réintroduire de mesure comparable « d’ici la fin de la session parlementaire ». Le ministre de l’Intérieur, Laurent Nuñez, a parlé d’un engagement valable jusqu’à « la fin de l’actuelle mandature ». Aucune de ces deux promesses n’a de valeur juridique.
Un texte encore loin de s’appliquer
Le sort de la loi Résilience n’est pas réglé pour autant. Les députés poursuivent l’examen du texte cette semaine, avant une probable commission mixte paritaire où ils devront accorder leur version avec celle du Sénat. Il faudra ensuite attendre les décrets d’application, sans lesquels les obligations de NIS 2 ne s’appliqueront pas en France.
Adoptée par l’Union européenne en 2022, la directive NIS 2 impose aux secteurs jugés essentiels, comme l’énergie, la santé ou les administrations, de renforcer leur cybersécurité et de signaler leurs incidents graves aux autorités. En France, elle doit concerner environ 15 000 entités, contre quelques centaines sous la première directive. Elle devait être transposée avant le 17 octobre 2024, et la Commission européenne a saisi la Cour de justice de l’UE pour ce manquement.
