ART. 9	N°CS193	
ASSEMBLÉE NATIONALE
5 Septembre 2025
___________________________________________________________________
RÉSILIENCE DES INFRASTRUCTURES CRITIQUES ET RENFORCEMENT DE LA CYBERSÉCURITÉ - (N° 1112)
Rejeté
AMENDEMENT N°CS193
présenté par
M. Mazaury, Mme Thillaye et Mme Sebaihi
------------
ARTICLE 9
À l’alinéa 5, après lesmots : 
« communautés decommunes »,
insérer les mots :
« de 20 000 habitants etplus ».
EXPOSÉ SOMMAIRE
Le projet de loi relatif à la résilience des infrastructurescritiques et au renforcement de la cybersécurité transpose troisdirectives européennes dont la directive NIS2 du 14 décembre 2022,qui concerne plus spécifiquement les mesures destinées à assurer unniveau élevé commun de cybersécurité dans l’ensemble del’Union.
Le choix qui a été fait par le Gouvernement est celui d’unetransposition très étendue de cette directive, comme l’a indiqué leConseil d’Etat.
Ainsi, dans son avis N° 408329 rendu le 6 juin 2024, il relève que« le projet de loi mobilise dans un sens extensif lespossibilités d’options offertes par la directive, notamment enincluant dans le champ du dispositif des collectivitésterritoriales autres que les régions, à savoir tous lesdépartements ainsi que les communes et groupements de communes deplus de trente mille habitants (…) ». « Ces choix,qui vont au-delà de ce qu’appelle strictement la transposition dela directive NIS2, trouvent leur justification dans la volonté duGouvernement d’assurer en France un haut niveau decybersécurité. »
Les nouvelles obligations imposées par ce projet de loientraîneront des charges supplémentaires importantes pour lescommunes et les intercommunalités – que l’étude d’impact n’ad’ailleurs pas chiffrées -, alors que dans le même temps, lesdéclarations récentes du Gouvernement appellent à un effort trèsimportant des collectivités locales au déficit public (chiffrés à5,3 milliards hors CNRACL), tout comme les rapports de la Cour desComptes qui invitent à contraindre davantage l’augmentation desdépenses de fonctionnement du bloc communal.
Imposer de nouvelles normes couteuses dans ce contexte relève d’uneinjonction contradictoire, quel qu’en soit le caractère légitime del’intention.
 
Si l’ensemble des élus est soucieux des questions de cybersécuritéet souhaite que l’application de la directive soit un succès, forceest de constater que le texte ne tient pas compte de la réalité desmoyens des communautés de communes et de leurs communes membres etdu contexte financier actuel afin que la mise en œuvre des mesuresrequises soit supportable financièrement, faisable techniquement etprogressive dans la durée.
L’absence de progressivité dans l’application du texte risque decompliquer sa mise en œuvre, d’autant plus que le secteur de lacybersécurité est déjà sous forte pression et que la filière Cyberpeine à répondre à la demande. Imposer ces nouvelles obligations àun grand nombre d’acteurs dès la publication de la loi sansanticipation adéquate ne fera qu’aggraver cette tension.
Ces préoccupations touchent particulièrement les communautés decommunes, situées en zone rurale, où l’accès à un certain niveaud’ingénierie est souvent difficile. Elles couvrent de vastesterritoires peu denses et leur centralité repose généralement surde petits bourgs dont les capacités techniques et les ressourcesfinancières sont limitées. Les structures de mutualisationnumérique de plus grande envergure (GIP, syndicats mixtes, etc.) nesont pas encore présents partout et leurs moyens sontvariables.
 
C’est pourquoi et afin de tenir compte de ces situations et desressources disponibles sur le territoire des communautés decommunes tant en ingénierie que financière, le présent amendementpropose :
 
1/ de retenir dans le périmètre des « Entités importantes » lescommunautés de communes dont la population totale regroupée estégale ou supérieure à 20 000 habitants. Cela concernerait 475communautés de communes qui seraient alors soumises aux règlesapplicables aux « Entités importantes ».
2/ d’exclure les communautés de communes de moins de 20 000habitants du périmètre des « entités importantes »,considérant que leurs moyens sont trop insuffisants pour appliquerles exigences du texte et du projet de référentiel. Il s’agit ainside leur laisser le temps nécessaire pour mettre en place unenouvelle organisation de la cybersécurité, laquelle doit êtreadaptée à leur réalité. Cela concernerait 515 communautés decommunes.
Cette mesure a également pour objectif de ne pas créer une pressionsupplémentaire dans la mise en œuvre des règles de cybersécuritéalors que le marché est déjà sous tension (les communautés decommunes entreront dans ce marché en même temps que de trèsnombreuses entreprises).
Pour autant, il est primordial d’assurer l’information et laformation des élus comme des agents, ainsi que de promouvoir ladiffusion des bonnes pratiques dans ces collectivités comme dansles communes ; des enjeux que le projet de loi gagnerait àmieux intégrer (soutien et programme d’actions de l’Etat et de sesopérateurs).
Si les objectifs de cybersécurité sont largement partagés, lesmoyens pour les atteindre doivent être repensés et adaptés auxréalités de ces collectivités.