Loi résilience : le gouvernement renonce aux « portes dérobées » dans les messageries chiffrées

Le gouvernement relance l’examen du projet de loi « résilience » à l’Assemblée nationale, à partir du lundi 9 novembre, après avoir renoncé à introduire des portes dérobées dans les messageries chiffrées. Ce revirement permet de sortir d’un blocage politique qui retardait un texte destiné à transposer des directives européennes de cybersécurité.

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité doit être examiné en séance publique à compter du lundi 9 novembre. Prévu initialement début octobre, son examen avait été reporté en raison d’un agenda législatif trop chargé. Le retard pèse sur la France, poursuivie devant la justice européenne pour la transposition tardive de l’une des directives.

Un texte attendu pour la cybersécurité

Lors de son audition par les députés, le jeudi 1er octobre, la ministre déléguée chargée de l’intelligence artificielle et du numérique, Anne Le Hénanff, s’est félicitée de l’examen du texte, qui doit « permettre à notre pays d’être cyberrésilient ». Vincent Strubel, directeur général de l’agence française de cybersécurité, a jugé le texte « essentiel ». Selon lui, ses mesures auraient été efficaces contre la majorité des vols de données constatés en France contre l’État ces derniers mois. Il a estimé qu' »il est urgent de finaliser l’examen de ce texte ».

Les portes dérobées, principal point de blocage

Le retard ne s’explique pas uniquement par l’encombrement du calendrier parlementaire. Il tient aussi à une mesure controversée : l’introduction de portes dérobées dans les messageries chiffrées. Au printemps 2025, lors de l’examen de la loi contre le narcotrafic, un sénateur a introduit, avec le soutien du gouvernement, une obligation pour les entreprises commercialisant des messageries. Celle-ci prévoyait d’insérer une porte dérobée permettant d’accéder au contenu des messages de certaines cibles, même chiffrés, et de le transmettre aux autorités.

L’Assemblée a finalement supprimé cette mesure, sous l’effet de la contestation des industriels et du malaise exprimé par certains députés. Les sénateurs ont alors ajouté un article 16 bis au projet de loi « résilience » afin d’interdire tout dispositif de portes dérobées. Juristes, députés et services de renseignement ont dénoncé ce nouvel article, qu’ils jugent mal ficelé et susceptible de fragiliser, au-delà de son objet initial, le socle juridique des écoutes en France. Anne Le Hénanff a dénoncé son « impact délétère pour les services ».

En janvier, le gouvernement a confié une mission à Florent Boudié, alors député Renaissance de Gironde et président de la commission des lois de l’Assemblée. Elle devait étudier comment contraindre les messageries à prévoir des moyens d’accès aux messages de certains utilisateurs. Initialement prévue pour trois mois, elle en a finalement pris huit.

Selon Le Monde, le rapport de Florent Boudié demande sans ambiguïté au gouvernement d’abandonner le dispositif de portes dérobées de la loi narcotrafic, ainsi que l’article 16 bis. L’exécutif a suivi ces recommandations. Devant les parlementaires, Anne Le Hénanff a promis que le gouvernement « s’engagera à ne pas réintroduire ni soutenir une réintroduction » de ce mécanisme « jusqu’à la fin de la session parlementaire », et qu’il soutiendra la suppression de l’article 16 bis. Un industriel du secteur a salué « un changement très clair de la position gouvernementale ». Le rapport invite néanmoins l’État à « identifier une solution technique permettant un accès ciblé aux contenus protégés sans compromettre l’intégrité du chiffrement ».

Des obstacles techniques et juridiques persistants

Pour les services de renseignement et la justice, l’accès aux communications chiffrées reste un enjeu majeur, car une part croissante des échanges utiles passe par des applications dotées d’un chiffrement de bout en bout. La directrice générale de la sécurité intérieure, Céline Berthon, a évoqué un « aveuglement programmé des services de renseignement sur le territoire national ». Les entreprises sont tenues par le droit français de fournir des clés de déchiffrement qu’elles ne possèdent pas, et l’accès aux métadonnées reste difficile. En mai, la délégation parlementaire au renseignement relevait que la coopération « varie fortement selon les plateformes et dépend de leur politique interne ».

Face à ces difficultés, les services privilégient des techniques de « recueil des données informatiques », comme l’accès physique à un appareil ou l’utilisation de logiciels espions. Selon la Commission nationale de contrôle des techniques de renseignement (CNCTR), dans son dernier rapport annuel, le nombre de demandes des services « a plus que doublé entre 2021 et 2025 ». La commission regrette que cette technique, très intrusive et conçue au départ comme un dernier recours, soit devenue quasi « automatique ».

Le projet de loi « résilience », dans sa version amendée, doit désormais franchir l’étape de l’examen en séance publique.