12 octobre 2026 · Le décryptage #Les144

"Mesure 68 : cyberattaques, les administrations obligées de se préparer"

La directive européenne NIS 2 n'est toujours pas transposée en France, qui est en infraction depuis octobre 2024. La mesure 68 la transpose en 100 jours, impose un référentiel de sécurité opposable à toutes les administrations, triple le programme CaRE et crée un délit de mise en danger numérique en cas de défaut de préparation. La fiche chiffre la mesure à 0,35 milliard d'euros par an.

Le problème, d'abord

Selon la fiche, la directive européenne NIS 2 (2022) prévoit une responsabilité personnelle des dirigeants : interdictions d'exercer, responsabilité civile et pénale. La France est en infraction européenne : le délai de transposition du 17 octobre 2024 a été manqué et la procédure a été escaladée le 7 mai 2025. L'article 223-1 du Code pénal (mise en danger d'autrui) existe, mais il est peu appliqué au domaine cyber.

Les moyens affichés ne sont pas ceux qui sont engagés. Le programme CaRE est doté de 750 M€^* jusqu'en 2027, mais environ 110 M€ seulement étaient réellement engagés à mi-2026 (65 M€ pour le premier dispositif, 45 M€ pour les plans de continuité et de reprise d'activité). La fiche rappelle aussi le coût d'une attaque : 10 M€ de gestion de crise, jusqu'à 20 M€ de perte d'exploitation et 3 à 5 M€ de reconstruction par attaque ; 30 hôpitaux français ont été attaqués entre 2022 et 2023, avec 18 mois de reconstruction pour un CHU de 800 lits.

Ce que propose la mesure

La mesure s'organise en cinq volets :

• Transposition urgente et durcie de NIS 2 : adoption en 100 jours du projet de loi « Résilience », avec un périmètre élargi à tous les hôpitaux, toutes les collectivités de plus de 5 000 habitants, tous les ministères et opérateurs publics, et des sanctions administratives renforcées.
• Un nouveau délit, la « mise en danger numérique par défaut de préparation », propre aux responsables informatiques publics et articulé avec l'article 223-1. Il suppose une cyberattaque réussie avec préjudice avéré et un défaut caractérisé de préparation identifié par un audit de l'ANSSI^* après l'incident. Les peines prévues vont de 10 000 à 100 000 € d'amende, avec interdiction d'exercer de 3 à 10 ans et, en cas de mise en danger des personnes, jusqu'à 3 ans de prison.
• Un référentiel national de sécurité minimale, opposable : plan de reprise testé chaque année, plan de continuité validé par audit externe, sauvegardes 3-2-1 dont une copie hors ligne, audit annuel de l'ANSSI avec rapport public, formation continue (40 h par an pour les responsables informatiques), correctifs critiques sous 30 jours.
• Des moyens donnés avant toute sanction : pérennisation et triplement de CaRE (de 750 M€ sur 2023-2027 à 2,5 Md€^* sur 2027-2032), extension aux collectivités, formation gratuite par un Institut national de cybersécurité publique, SOC souverain mutualisé pour les petites administrations, réserve cyber mobilisable.
• Un Plan de reprise national cyber : une cellule nationale prête à intervenir en 24 heures sur tout site public attaqué, pour reconstruire les systèmes et restaurer les sauvegardes.

Les garanties sont prévues par la fiche : la responsabilité n'est engagée qu'en cas de défaut caractérisé, pas pour avoir subi une attaque imparable ; l'expertise est contradictoire ; et le responsable informatique dont les demandes budgétaires ont été refusées peut le faire valoir, auquel cas c'est sa hiérarchie qui est mise en cause. La fiche précise aussi que le référentiel doit être promulgué avant toute pénalisation, avec 18 à 24 mois avant les premières poursuites possibles.

Combien ça coûte

La fiche retient un coût de 0,35 milliard d'euros par an, avec un statut « Chiffré » et une visibilité publique. Aucune recette n'est renseignée. La note de la fiche rattache ce chiffre au programme CaRE, qui passe de 750 M€ à 2,5 Md€ sur 2027-2032.

Où vérifier

Le détail de la mesure figure sur sa fiche : https://les144.fr/mesure/68-responsabilite-personnelle-des-dsi-publics-plan-de-reprise-n/. L'ensemble des mesures est sur https://les144.fr/mesures/, et le financement global du programme sur https://les144.fr/qui-paie/.

Sources citées par la fiche : directive NIS 2 (UE^*, 2022) ; article 223-1 du Code pénal ; programme CaRE (750 M€).