Loi résilience : le gouvernement renonce aux portes dérobées dans les messageries chiffrées
A compter du lundi 9 novembre, l’Assemblée nationale doit examiner en séance publique le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit "résilience". Très attendu, ce texte a pour objectif de transposer des directives européennes censées renforcer la protection informatique de la France. Prévu initialement début octobre, son examen avait été reporté en raison d’un agenda législatif trop chargé.
L’enjeu est de taille : la France est poursuivie devant la justice européenne en raison du retard pris dans la transposition de l’une des directives. Le projet de loi est dans les limbes depuis plus d’un an et son adoption en commission.
Un texte essentiel pour la cybersécurité
Jeudi 1er octobre, les députés ont auditionné Anne Le Hénanff, la ministre déléguée chargée de l'intelligence artificielle et du numérique. Elle s'est félicitée qu'un texte soit examiné, lequel va "permettre à notre pays d'être cyberrésilient". Vincent Strubel, le directeur général de l'agence française de cybersécurité, a salué un "texte essentiel". Ses "mesures auraient été efficaces contre la majorité des vols de données constatés en France contre l'Etat ces derniers mois". Le haut fonctionnaire a insisté : "Il est urgent de finaliser l'examen de ce texte".
La question des portes dérobées : un point de blocage
Le long retard du projet de loi ne s’explique pas uniquement par l’encombrement du calendrier parlementaire. Il est aussi lié à une mesure controversée : l’introduction de portes dérobées dans les messageries chiffrées. Lors de l’examen, au printemps 2025, de la loi contre le narcotrafic, un sénateur introduit avec le soutien du gouvernement une obligation pour les entreprises commercialisant des messageries d’insérer une porte dérobée, permettant d’accéder au contenu des messages de certaines cibles, même chiffrés, et de le transmettre aux autorités.
La mesure est finalement supprimée par l’Assemblée, sous l’effet de la contestation des industriels et du malaise exprimé par certains députés. Les sénateurs réagissent en ajoutant un article 16 bis au projet de loi "résilience", afin d’interdire tout dispositif de portes dérobées. Juristes, députés et services de renseignement dénoncent ce nouvel article. Ils considèrent que ce texte, mal ficelé, pourrait fragiliser, au-delà de son objet initial, le socle juridique des écoutes en France. Début octobre, Anne Le Hénanff a de nouveau dénoncé son "impact délétère pour les services".
Pour sortir de l’impasse, le gouvernement a confié en janvier une mission à Florent Boudié, alors député Renaissance de Gironde et président de la commission des lois de l’Assemblée, afin d’étudier comment forcer les messageries à prévoir des moyens pour accéder aux messages de certains de leurs utilisateurs. Sa mission, initialement prévue pour trois mois, en a finalement pris huit.
Selon Le Monde, Florent Boudié demande sans ambiguïté au gouvernement, dans son rapport, d’abandonner le dispositif de portes dérobées envisagé dans la loi narcotrafic, ainsi que l’article 16 bis. L’exécutif a suivi ces recommandations et est revenu sur sa position. Il a annoncé qu’il renonçait à introduire des portes dérobées dans les messageries chiffrées. Devant les parlementaires, Anne Le Hénanff a promis que le gouvernement "s’engagera à ne pas réintroduire ni soutenir une réintroduction" de ce mécanisme dans les messageries, "jusqu’à la fin de la session parlementaire". Elle a aussi précisé qu’il "soutiendra" "la suppression" de l’article 16 bis.
Ce revirement a été salué par les opposants au dispositif : "Il s’agit d’un changement très clair de la position gouvernementale", a commenté un industriel du secteur. Le rapport Boudié, consulté par Le Monde, incite néanmoins l’Etat à "identifier une solution technique permettant un accès ciblé aux contenus protégés sans compromettre l’intégrité du chiffrement".
Une situation juridique et technique complexe
Pour les services de renseignement et la justice, l’accès aux communications chiffrées demeure un enjeu majeur. Une proportion toujours plus importante des échanges susceptibles de les intéresser passe désormais par des applications assurant un chiffrement de bout en bout. Ils ne peuvent donc être lus que par les personnes prenant part à la conversation. La directrice générale de la sécurité intérieure, Céline Berthon, a évoqué un "aveuglement programmé des services de renseignement sur le territoire national".
Les entreprises sont tenues par le droit français de fournir des clés de déchiffrement qu’elles n’ont pas. L’accès aux métadonnées reste également difficile. En mai, la délégation parlementaire au renseignement relevait : "La coopération avec les services de renseignement et la justice varie fortement selon les plateformes et dépend de leur politique interne".
Face à ces difficultés, les services de renseignement privilégient des techniques plus avancées de "recueil des données informatiques", comme l’accès physique à un appareil ou l’utilisation de logiciels espions. Le nombre de demandes des services "a plus que doublé entre 2021 et 2025" relève la Commission nationale de contrôle des techniques de renseignement (CNCTR), le gendarme des écoutes, dans son dernier rapport annuel. La CNCTR regrette que l’utilisation de cette technique, d’abord conçue comme un dernier recours car très intrusive, soit devenue quasi "automatique".
Des obstacles persistants
Les pratiques de surveillance des Etats sont aujourd’hui soumises à un encadrement strict par une jurisprudence européenne abondante. D’un point de vue technique, le consensus scientifique considère qu’ouvrir l’accès à des conversations chiffrées, même sélectionnées, ne peut se faire sans fragiliser la sécurité de l’ensemble des messages.
Le projet de loi "résilience", dans sa version amendée, doit désormais franchir l’étape de l’examen en séance publique, dans un contexte d’urgence pour la transposition des directives européennes.