Chiffrement : le gouvernement veut supprimer la protection anti-portes dérobées

Le coût économique d’une porte dérobée · Article 1 sur 7

Enquête documentaire arrêtée au 7 novembre 2026. Le débat parlementaire reste ouvert à cette date.

Le projet de loi français sur la cybersécurité contient une proposition de protection contre l’affaiblissement imposé du chiffrement. Le gouvernement veut la supprimer, au nom des enquêtes et du renseignement. Derrière la bataille de rédaction se trouve une question économique très concrète : quelle sécurité une entreprise pourra-t-elle acheter, et qui assumera le risque créé par un accès supplémentaire ? ^S01S02

Une phrase au milieu d’une loi de sécurité

Le rendez-vous est fixé au lundi 9 novembre 2026, à 16 heures. L’Assemblée nationale doit commencer l’examen du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Le gouvernement a demandé que l’article 16 bis soit discuté par priorité le mardi 10, après les questions au gouvernement. Au moment où cette enquête est arrêtée, il s’agit d’un calendrier annoncé. ^S04S08

Ce petit article a une place singulière dans le texte. Autour de lui, le législateur organise la prévention des incidents, la supervision et les responsabilités des organisations. Lui trace une limite : jusqu’où les pouvoirs publics peuvent-ils demander à un fournisseur de modifier les protections de ses utilisateurs ? ^S01

La rédaction vise les dispositifs techniques destinés à « affaiblir volontairement la sécurité » des systèmes et des communications. Elle cite les clés de déchiffrement maîtresses, puis étend l’interdiction à « tout autre mécanisme ou processus permettant un accès non consenti aux données protégées ». Le texte concerne les fournisseurs de services de chiffrement, y compris les prestataires de services de confiance qualifiés. ^S01

Une clé maîtresse est, dans ce débat, un moyen de déchiffrement doté d’une portée supérieure à celle d’un utilisateur ordinaire. L’expression reste toutefois une image commode pour des architectures très différentes. Un accès supplémentaire pourrait aussi passer par une fonction de récupération, par l’ajout d’un destinataire ou par une modification du logiciel. Ses effets dépendraient de sa conception et des données qu’il permettrait réellement d’atteindre. ^S17S21

Le gouvernement demande d’effacer l’article entier. Son amendement 358 tient en trois mots : « Supprimer cet article. » L’exposé qui suit défend les capacités des services judiciaires et de renseignement. Il soutient qu’une interdiction formulée autour de tout accès non consenti pourrait fragiliser des obligations de coopération déjà prévues par le droit français. ^S02

Cet amendement retire une protection proposée dans un projet de loi. Les pouvoirs d’accès existants relèvent d’autres textes ; aucune architecture de déchiffrement supplémentaire n’est définie par cette suppression. Pour déterminer la portée d’une injonction future, il faudrait encore identifier le texte qui l’autorise, ses destinataires et ses limites. ^S01S02S10

Le vote du Sénat et l’avis de la commission

La protection est née au Sénat, le 12 mars 2025, par l’adoption de l’amendement d’Olivier Cadic. Le scrutin public numéro 227 donne 181 voix pour et 134 contre, sur 315 suffrages exprimés et 334 votants. Cette date figure dans le compte rendu officiel. ^S05

Le 9 septembre 2025, la commission de l’Assemblée adopte l’amendement CS358 de Philippe Latombe, qui ajoute les mots « ou processus ». Le texte déposé le lendemain reprend cette rédaction. L’ajout nourrit le désaccord : la protection couvre-t-elle uniquement une faiblesse introduite dans un système, ou risque-t-elle d’être opposée à une procédure d’enquête ? Cet amendement de commission de 2025 est distinct du 358 gouvernemental de 2026. ^S01S05S07

Le 14 octobre 2026, la commission spéciale accepte six amendements de suppression, dont celui du gouvernement et celui du rapporteur général Éric Bothorel. Elle intervient alors en application de l’article 88 du règlement de l’Assemblée, pour préparer l’examen des amendements en séance. ^S03S06

Cette étape donne une indication politique claire sur la position de la commission. Elle laisse la décision législative à la séance publique. Au 7 novembre, le document de référence reste le texte de commission portant l’article 16 bis ; l’amendement 358 est indiqué « À discuter » sur sa fiche. Il serait donc prématuré d’écrire que les députés ont déjà supprimé la protection, et plus encore qu’ils ont déjà imposé des portes dérobées. ^S01S02S03

Méthode et périmètre

La barre répartit proportionnellement les 334 votants du scrutin sénatorial du 12 mars 2025 : 181 pour, 134 contre et 19 abstentions. Les suffrages exprimés sont les 315 pour ou contre. La chronologie rapproche des étapes procédurales distinctes ; les espacements sont schématiques. L’avis de la commission au titre de l’article 88 précède la décision en séance. Les séances annoncées des 9 et 10 novembre restent programmées au 7 novembre 2026.

Le précédent de la loi sur le narcotrafic explique une partie de la tension. En 2025, un autre article, numéroté 8 ter, avait porté sur les obligations d’accès aux contenus des messageries. Supprimé en commission le 6 mars, il a fait l’objet d’une tentative de rétablissement rejetée en séance le 20 mars. Sa trajectoire appartient à un autre texte. Le rapprochement éclaire la continuité des préoccupations, en conservant la distinction entre un pouvoir envisagé et une protection discutée. ^S30

L’argument du gouvernement face au texte

Une enquête s’effectue souvent sans le consentement de la personne visée. Une formulation qui ferait de ce consentement la frontière de tout accès aux données pourrait donc entrer en conflit avec des actes légalement autorisés. C’est le meilleur argument de l’exécutif : la fin de la phrase peut sembler plus large que son objectif affiché de sécurité. ^S02

Il faut pourtant lire la phrase entière. Son début vise l’intégration de dispositifs techniques ayant pour objet d’affaiblir volontairement la sécurité. Cette condition donne une autre lecture : l’interdiction pourrait porter sur la modification vulnérabilisante d’un système, tandis que les pouvoirs d’enquête continueraient de s’exercer sur les données et les moyens déjà disponibles. La divergence porte sur l’articulation entre ces éléments de rédaction. Elle n’a pas été tranchée par une décision juridictionnelle sur cette disposition dans le corpus examiné. ^S01S02

Le gouvernement invoque aussi un risque de « cavalier législatif » : une disposition dont le lien avec le projet initial serait insuffisant, au regard des règles constitutionnelles de la procédure parlementaire. C’est une objection de recevabilité et de constitutionnalité, soutenue par l’auteur de l’amendement. Le contrôle éventuel du Conseil constitutionnel reste distinct de l’évaluation technique d’une porte dérobée. ^S02

Pour sortir de ce désaccord, le débat devrait préciser le verbe imposer. Obliger un opérateur à remettre une donnée qu’il possède, l’associer à une interception qu’il peut réaliser et lui demander de reconstruire son service pour rendre un contenu accessible engagent des actes différents. Une rédaction utile doit permettre d’identifier celui qui est exigé. ^S10S12S13

La suppression intégrale résout le désaccord de rédaction en retirant la règle. Une clarification chercherait, elle, à définir la protection et ses rapports avec les pouvoirs existants. Le choix entre ces voies appartient au législateur. Son évaluation suppose de montrer quels actes licites seraient réellement empêchés et quels changements techniques seraient autorisés en pratique : des exemples d’application vérifiables, accompagnés de leur base juridique. Cette demande de précision est notre critère d’analyse. ^S01S02

Un ordre légal rencontre une architecture

Prenons une conversation professionnelle protégée par le chiffrement de bout en bout. Le téléphone de l’expéditeur transforme le message en données illisibles pendant le transport. Celui du destinataire le rend lisible à l’arrivée. Dans ce modèle, les moyens permettant de lire le contenu restent aux extrémités ; le fournisseur assure le passage des messages. La sécurité dépend aussi de l’authentification des interlocuteurs, des appareils et de l’implémentation du service. ^S16S19S21

Cette description laisse plusieurs voies possibles à une enquête. Des données de compte, des horaires ou certaines informations de routage peuvent exister chez un prestataire, selon le service. Ces métadonnées renseignent sur l’environnement d’un échange. Leur disponibilité et leur précision varient ; l’étiquette « chiffré de bout en bout » ne suffit à les décrire. ^S21S27

Le contenu peut également être saisi sur un terminal, à un endroit où son utilisateur le lit ou le produit. Le code de procédure pénale prévoit, sous ses conditions et contrôles propres, la captation de données informatiques, notamment telles qu’elles s’affichent à l’écran ou sont saisies. Une telle opération agit sur le point d’extrémité. Son périmètre technique doit être examiné à partir de l’outil effectivement utilisé. ^S12

Une troisième situation apparaît lorsqu’une personne ou un prestataire dispose d’un moyen de déchiffrer. L’article L. 871-1 du code de la sécurité intérieure impose aux fournisseurs de prestations de cryptologie, dans son champ, de remettre les conventions permettant le déchiffrement des données transformées au moyen de leurs prestations. Il permet aussi de leur demander de les mettre eux-mêmes en œuvre, sauf s’ils démontrent ne pas pouvoir satisfaire cette réquisition. L’article 434-15-2 du code pénal vise, quant à lui, le refus de remettre ou de mettre en œuvre une convention secrète dont la personne a connaissance. La réserve d’impossibilité du premier texte porte sur la mise en œuvre demandée au fournisseur. ^S10S11

Enfin, une autorité pourrait vouloir obtenir une capacité dont le fournisseur est dépourvu. Il faudrait alors modifier quelque chose : la distribution des clés, le logiciel, la liste des destinataires ou un autre élément de l’architecture. Cette transformation soulève le débat sur l’accès exceptionnel. Une porte dérobée désigne ici un accès délibérément ajouté qui affaiblirait la protection du service. Elle demande une analyse distincte des réquisitions portant sur des éléments déjà accessibles. ^S17

Les sauvegardes et les appareils liés compliquent encore le tableau. Une conversation peut être bien protégée pendant son transport et devenir accessible par une copie ou un terminal associé. Le guide de CISA sur les communications mobiles, actualisé le 24 novembre 2025, recommande d’ailleurs de sécuriser les paramètres et usages des messageries privées. L’évaluation doit suivre le parcours réel de la donnée. ^S19

Méthode et périmètre

Modèle fonctionnel simplifié du chiffrement de bout en bout. Les clés du contenu restent aux extrémités dans le modèle montré. Copies, sauvegardes, appareils liés et authentification demandent leur propre examen. Une clé déjà disponible relève d’une situation différente du modèle de bout en bout montré. Une architecture modifiée pour créer un accès supplémentaire demanderait sa propre évaluation. Les trois voies du bas sont des situations alternatives ; elles restent soumises à leurs conditions juridiques et techniques.

Une cible unique peut dépendre d’un composant partagé

Le mot ciblé décrit d’abord l’autorisation : une personne, un compte, une période, un objet. Il apporte une garantie juridique essentielle. L’étendue du risque informatique répond à une autre question : quels accès deviendraient possibles si le mécanisme était détourné ? ^S17S21

Imaginons, à titre pédagogique, un service qui conserve un moyen supplémentaire de récupérer les clés de plusieurs comptes. Une autorisation peut porter sur un seul de ces comptes. Le composant qui exécute la demande doit néanmoins protéger tous les autres : vérifier l’identité de l’autorité, authentifier l’opérateur, limiter les droits, garder une trace, résister à un abus interne et gérer ses propres erreurs. Le partage de cette capacité crée une dépendance commune. ^S17S23

Le travail de recherche Keys Under Doormats, publié en 2015, examine précisément cette difficulté : les exigences d’accès exceptionnel ajoutent de la complexité, peuvent remettre en cause certaines propriétés de sécurité et créent des cibles concentrant des informations sensibles. Il s’agit d’une analyse technique de risques, antérieure au projet français. Elle ne mesure ni la probabilité d’une intrusion future en France, ni son coût. ^S17

La captation sur un appareil comporte ses propres risques. Un outil employé de manière ciblée peut exploiter une faiblesse présente dans beaucoup d’autres appareils ; son développement, sa conservation et son usage exigent également des contrôles. L’étude Lawful Hacking, publiée en 2014, examine notamment les conséquences de l’achat de vulnérabilités et du détournement possible des outils. Le contraste utile porte sur la fonction ajoutée au service, sa réutilisation possible et les dépendances qu’elle crée. ^S22

La Cour européenne des droits de l’homme a abordé cette question dans l’arrêt Podchasov c. Russie, rendu le 13 février 2024. Dans le cadre russe examiné, elle relève les conséquences qu’un affaiblissement du chiffrement de bout en bout ferait peser sur l’ensemble des utilisateurs et conclut à une violation de l’article 8. Le jugement porte sur ce dispositif de conservation et d’accès aux communications, avec ses garanties insuffisantes. Sa transposition à une mesure française demanderait d’examiner cette mesure et son encadrement. ^S24

Méthode et périmètre

Modèle conceptuel d’une capacité supplémentaire dépendant d’un composant partagé. Les quatre symboles de comptes servent uniquement la lecture : ils ne mesurent ni des victimes, ni le nombre de comptes exposés, ni une fréquence d’attaque. Une autorisation vise une cible, tandis que la portée d’une éventuelle compromission dépend de l’architecture et des contrôles. Le dessin n’attribue aucune architecture au projet français. La captation sur un terminal peut elle aussi dépendre d’une faiblesse présente sur plusieurs appareils.

L’alerte américaine porte sur les infrastructures

L’espionnage des télécommunications américaines fournit un cas concret de risque. Le 13 novembre 2024, le FBI et CISA annoncent qu’une campagne liée à la République populaire de Chine a compromis plusieurs entreprises de télécommunications. Leur communiqué fait état du vol de données d’appels, de communications privées concernant un nombre limité de personnes ciblées et de copies d’informations soumises à des demandes judiciaires américaines. L’attribution à la Chine est celle des autorités américaines. ^S18

Ces constatations montrent la valeur stratégique des réseaux et des informations de surveillance qu’ils traitent. Elles établissent une compromission d’infrastructures et de données. Le communiqué ne démontre pas que les attaquants ont cassé un protocole de chiffrement de bout en bout, ni que l’ensemble de l’opération serait passé par une unique porte dérobée légale. ^S18

La réponse de sécurité est instructive. CISA recommande l’usage cohérent de communications chiffrées de bout en bout, avec une attention particulière aux personnes fortement ciblées. La première version de son guide mobile date du 18 décembre 2024 ; la version du 24 novembre 2025 renforce les précautions autour des messageries privées. Une autorité publique chargée de protéger les infrastructures traite donc ce chiffrement comme un instrument de réduction de l’exposition. ^S19

Le cas américain justifie d’examiner la concentration des accès et les conséquences d’une intrusion. Il laisse ouverte l’évaluation d’un futur dispositif français, dont l’architecture devrait être décrite avant toute comparaison. La leçon économique est celle d’une dépendance : une organisation peut subir les conséquences d’une faiblesse située chez l’intermédiaire qui transporte ou traite ses informations. ^S18S21

La facture commence avec la conception

La première dépense apparaît dès qu’une fonction supplémentaire doit être construite et maintenue. Il faut définir les droits, développer les procédures, tester leurs erreurs, protéger les secrets et conserver la capacité de changer les clés. Les recommandations du NIST sur leur gestion couvrent tout ce cycle de vie. L’ajout d’un accès doit être évalué dans cet ensemble. ^S23

À cette charge s’ajoute une organisation. Qui reçoit la demande ? Qui vérifie sa base légale et son périmètre ? Qui dispose des droits nécessaires ? Comment traiter une erreur de compte, révoquer un accès ou prouver qu’il a été utilisé conformément à l’autorisation ? Ces questions mettent en relation ingénierie et gouvernance. La RFC 2804 de l’IETF soulignait dès 2000 la complexité supplémentaire des fonctions d’interception et la nécessité de protéger l’accès à ces fonctions. ^S21

Une partie du coût pourrait être prise en charge, selon le régime applicable. L’article L. 871-1 renvoie à un décret les conditions de prise en charge financière par l’État de la mise en œuvre de l’obligation qu’il prévoit. Pour les moyens d’assistance relevant de son propre régime, l’article D. 98-7 du code des postes et des communications électroniques prévoit une juste rémunération couvrant notamment la conception, le déploiement, la maintenance et le traitement des demandes, selon ses conditions de validation et de financement. L’indemnisation répartit la facture entre le fournisseur et le budget public. Les pertes commerciales ou les dommages associés à un système différent demanderaient une analyse séparée. ^S10S13

Vient ensuite la relation avec le client. Une entreprise achète une promesse de service, des garanties et un partage des responsabilités. Si l’architecture ou les contraintes juridiques du fournisseur changent, elle peut devoir réexaminer ses contrats, ses audits et l’adéquation du service aux données confiées. Il s’agit ici d’un mécanisme économique possible, dont la matérialité dépend du changement imposé et des engagements existants. Les exigences européennes de gestion du risque fournisseur et de sécurité des données donnent à cette vérification un fondement concret. ^S14S25

Imaginons un bureau d’études qui échange un projet industriel avec son client. Son choix de messagerie repose notamment sur l’identité des personnes capables de lire les plans. Si une nouvelle fonction permet à un tiers d’obtenir le contenu, l’équipe doit réévaluer cette garantie, déterminer quels échanges sont concernés et décider si elle conserve le service. Le temps d’audit, l’éventuelle migration et la formation des salariés représentent du travail, même en l’absence d’intrusion. Cet exemple est hypothétique : il illustre le trajet d’un changement technique vers une décision d’achat. La dépense réelle dépendrait de la fonction ajoutée et des solutions disponibles.

En cas d’incident, les dépenses se déplaceraient encore : investigation, confinement, révocation des accès, restauration des protections, traitement des obligations de notification applicables. Les clients pourraient supporter leurs propres travaux. La directive NIS2 fait précisément entrer la gestion des incidents, la continuité et la sécurité de la chaîne d’approvisionnement dans les mesures de gestion du risque. ^S14

La conséquence la plus durable pourrait toucher une information déjà copiée. Révoquer une clé ou fermer un accès peut protéger les échanges futurs. Une copie intelligible obtenue auparavant demeure exploitable par son détenteur. Pour une entreprise, le préjudice dépend alors du contenu : un secret de fabrication, une négociation, un dossier client ou un élément facilitant une fraude ont des usages et des durées de valeur différents. Ce sont des scénarios de perte, à documenter dossier par dossier. ^S23S27

Aucun montant global sérieux ne sort automatiquement de cette chaîne. Il manquerait la définition du dispositif, son coût de mise en œuvre, le nombre de systèmes concernés, l’étendue d’une compromission et les pertes évitées grâce aux enquêtes. Une moyenne publiée sur le coût des cyberattaques réunirait des incidents de causes et de périmètres trop différents pour mesurer l’effet marginal d’une porte dérobée. Notre enquête retient donc les mécanismes documentés et laisse le total ouvert.

La protection économique fait partie du mandat de sécurité

La directive NIS2 demande aux entités concernées des politiques et procédures sur l’utilisation de la cryptographie et, lorsque cela est approprié, du chiffrement. Son considérant 98 encourage le chiffrement de bout en bout et demande de le concilier avec les pouvoirs nationaux de sécurité et d’enquête, dans le respect du droit de l’Union. Il ajoute une limite explicite : « cela ne devrait pas affaiblir le chiffrement de bout en bout ». Un considérant guide l’interprétation ; l’obligation opérationnelle doit être lue dans les articles. ^S14

Cette articulation appelle un examen concret des mesures. Les dispositions européennes réservent des compétences nationales et comportent des exclusions relatives à certaines activités. Présenter NIS2 comme une interdiction générale de toute interception irait au-delà du texte. Présenter la sécurité cryptographique comme étrangère à son objet ferait perdre une de ses exigences explicites. ^S14

Pour l’entreprise utilisatrice, les deux demandes peuvent se rencontrer dans un même achat. Elle doit réduire son exposition, comprendre ses fournisseurs et protéger ses données, tandis que le service retenu peut recevoir des obligations d’assistance. La cohérence s’apprécie à partir de l’architecture précise, des garanties et des contrôles. Le mot « souverain » sur une offre renseigne peu, à lui seul, sur ces propriétés.

Une éventuelle capacité d’accès apporterait aussi un bénéfice public si elle permettait de recueillir des preuves utiles dans des affaires graves. Pour l’évaluer, il faudrait connaître les situations où elle change effectivement l’issue d’une enquête, les alternatives disponibles et les possibilités de déplacement des usages. La déclaration commune d’Europol et d’ENISA de 2016 reconnaissait à la fois la difficulté pour les enquêtes et l’importance d’un chiffrement robuste. Elle appelait à rechercher des solutions préservant la sécurité collective. ^S16

Les nombres de réquisitions ou d’interceptions renseignent sur une activité. À eux seuls, ils ne mesurent pas le gain d’une nouvelle obligation appliquée à un service chiffré. De même, une capacité technique supplémentaire ne garantit pas son usage efficace contre toutes les cibles. L’analyse doit comparer des dispositifs définis, avec les bénéfices et les risques qui leur sont propres. ^S21

Le débat doit rendre visible la capacité demandée

L’examen annoncé pour novembre doit permettre de savoir si l’Assemblée conserve, modifie ou supprime la protection de l’article 16 bis. Il faudra ensuite suivre la navette et le texte finalement adopté. Au 7 novembre 2026, cette issue reste ouverte. ^S01S02S04S08

Les documents déjà disponibles autorisent une conclusion plus précise sur le débat de fond. Une obligation d’assistance doit être rattachée à une donnée, à une capacité réellement détenue ou à une modification technique explicitement décrite. À partir de là, il devient possible d’examiner le périmètre d’un accès, les dépendances créées et la répartition des conséquences économiques. ^S10S17S21

La question utile pour la séance tient alors en quelques mots : quelle capacité supplémentaire faudrait-il construire, et quels utilisateurs en dépendraient ? Une réponse documentée permettrait de confronter le gain attendu pour les enquêtes au travail et au risque imposés aux autres acteurs. C’est sur ce terrain que le coût économique d’une porte dérobée commence à devenir observable.

Repères de lecture

Chiffrement de bout en bout. Protection du contenu entre les extrémités de la communication. La sécurité des appareils, les copies et l’identité des interlocuteurs restent déterminantes. ^S16S19

Convention de déchiffrement. Terme juridique désignant les éléments permettant de rendre lisibles des données chiffrées. Leur disponibilité et la capacité de les utiliser doivent être examinées avec les conditions propres à chaque texte. ^S10S11

Accès exceptionnel. Capacité conçue pour permettre à un tiers autorisé d’accéder à des données autrement protégées. Son architecture et ses risques varient ; « porte dérobée » désigne ici les mécanismes qui affaibliraient cette protection. ^S17

Externalité. Conséquence d’une décision supportée par d’autres acteurs. Dans cette analyse, l’hypothèse à examiner est le transfert d’une partie du risque technique vers les clients et les personnes dont les données circulent dans le service.

Méthode et limites

Cette enquête rapproche des documents parlementaires français, des textes juridiques et des publications techniques primaires, consultés le 7 novembre 2026. Les sources anciennes sont utilisées pour les mécanismes qu’elles décrivent, avec leur date ; les informations parlementaires correspondent à la situation documentée à cette date. Les graphiques distinguent les votes observés, les étapes programmées et les modèles conceptuels.

Le corpus permet d’établir les formulations et les positions publiques. Il ne donne accès ni à des dispositifs opérationnels secrets, ni à une mesure causale du bénéfice judiciaire ou du coût économique d’un accès exceptionnel en France. Les chaînes de coût proposées sont des inférences explicites. Les déclarations des autorités américaines sur l’origine de la campagne d’espionnage leur sont attribuées. Aucun entretien, test d’intrusion ou expérimentation de chiffrement n’est revendiqué.

Un point du dossier appelle une réserve documentaire : la fiche de l’amendement 358 est datée du 3 octobre 2026, tandis que son exposé mentionne une activité « au mois d’octobre 2026 ». En l’absence de clarification de cette discordance dans le corpus consulté, les volumes avancés dans ce passage sont écartés de l’analyse. ^S02

Volet suivant : comment une communication chiffrée protège une activité économique, depuis le message jusqu’aux copies et aux appareils qui le conservent.

Pour prolonger l’analyse

Le cinquième volet sur les accès détournés et les dommages distingue les capacités atteintes, la remise en état et la répartition des pertes.

Le quatrième volet sur iCloud, les frontières et les coûts de sortie examine la disponibilité des protections, les contrats et la préparation d’une migration.

Le troisième volet sur l’accès de l’État aux messages examine l’autorisation, les moyens techniques, les contrôles et la répartition des frais.

Le deuxième volet sur les messages, appareils liés et sauvegardes suit le trajet d’un secret d’entreprise et les moyens de le récupérer.

L’enquête sur la récupération des fonds après une cyberattaque distingue l’accès aux données, le gel des fonds et leur restitution. L’analyse de la transition cryptographique post-quantique aux États-Unis examine un autre risque de sécurité et les investissements nécessaires pour y répondre.

L’image de partage est une illustration conceptuelle d’un accès supplémentaire à des messages protégés. Elle représente le risque discuté, sans attribuer une architecture technique au projet de loi.

Sources

1. S01 · Assemblée nationale · 2025-09-10 · Consulté le 7 novembre 2026Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité : texte de commission n° 1779-A0
   Passages et périmètre

   Article 16 bis ; texte enregistré à la présidence de l’Assemblée nationale le 10 septembre 2025. Rédaction de la protection proposée, fournisseurs visés, affaiblissement volontaire, clés maîtresses et mécanisme ou processus permettant un accès non consenti. Texte de commission d’un projet de loi, non disposition promulguée. La portée de la phrase fait l’objet d’interprétations concurrentes ; aucune décision juridictionnelle sur cette rédaction n’est établie par le corpus.

   Document primaire complémentaire

2. S02 · Assemblée nationale / Gouvernement · 2026-10-03 · Consulté le 7 novembre 2026Amendement gouvernemental n° 358 au projet de loi n° 1779 : suppression de l’article 16 bis
   Passages et périmètre

   Dispositif et exposé sommaire ; date de dépôt et statut. Demande de suppression intégrale, arguments relatifs aux pouvoirs d’enquête et de renseignement et au cavalier législatif. L’amendement ne décrit aucune nouvelle architecture technique. Argumentaire de l’auteur de l’amendement, non constat juridictionnel. La fiche est datée du 3 octobre 2026 alors que l’exposé évoque une activité au mois d’octobre 2026 : les volumes concernés sont écartés de l’article. Une suppression proposée ne vaut ni adoption en séance ni nouvelle obligation technique.

3. S03 · Assemblée nationale · Consulté le 7 novembre 2026Commission spéciale : réunion du mercredi 14 octobre 2026 au titre de l’article 88
   Passages et périmètre

   Examen des amendements à l’article 16 bis : n° 5, 66, 200, 358, 397 et 300. La commission accepte six amendements de suppression, dont celui du gouvernement et celui du rapporteur général. Acceptation au titre de l’article 88 : les amendements ne sont pas incorporés au texte de commission et ne sont pas adoptés en séance par cette opération.

4. S04 · Assemblée nationale · Consulté le 7 novembre 2026Ordre du jour de l’Assemblée nationale : conférence des présidents du 3 novembre 2026 et mise à jour annoncée le 4 novembre
   Passages et périmètre

   Calendrier de la semaine du 9 novembre 2026 : séance du lundi 9 à 16 heures ; lettre gouvernementale du 4 novembre. Début annoncé de l’examen du projet de loi le lundi 9 novembre 2026 à 16 heures. Calendrier prévisionnel au 7 novembre 2026. URL d’un document susceptible d’être remplacé lors d’une mise à jour de l’ordre du jour ; ne prouve ni la tenue ultérieure de la séance ni le résultat d’un vote.

5. S05 · Sénat · Consulté le 7 novembre 2026Scrutin public n° 227 du 12 mars 2025 : amendement d’Olivier Cadic après l’article 16
   Passages et périmètre

   Scrutin n° 227 ; amendement n° 1 rectifié quinquies ; compte rendu de la séance du 12 mars 2025. Origine sénatoriale de l’article 16 bis et adoption par 181 voix contre 134, avec 315 suffrages exprimés et 334 votants. Les abstentions sont comprises dans les votants. Vote sénatorial sur cette rédaction et à cette étape seulement ; ne démontre pas l’adoption définitive de la loi. Le millésime 2024 de l’URL désigne la session, pas la date du vote.

   Document primaire complémentaire

6. S06 · Assemblée nationale · Consulté le 7 novembre 2026Règlement de l’Assemblée nationale
   Passages et périmètre

   Article 88, particulièrement alinéa 2 ; article 90 pour la discussion du texte de commission. La commission accepte ou repousse les amendements examinés au titre de l’article 88 sans les incorporer à ses propositions ; distinction avec l’examen législatif en séance. Règle procédurale générale à rapprocher du compte rendu S 03. La date de mise à jour de la page n’a pas été établie.

7. S07 · Assemblée nationale · 2025-09-05 · Consulté le 7 novembre 2026Amendement CS358 de Philippe Latombe : ajout des mots « ou processus »
   Passages et périmètre

   Date de dépôt, statut Adopté le mardi 9 septembre 2025, dispositif et exposé sommaire. Origine et date de l’ajout des mots « ou processus » ; élargissement revendiqué par l’auteur aux pratiques produisant le même effet qu’un dispositif technique. CS 358 de septembre 2025 est distinct de l’amendement gouvernemental 358 d’octobre 2026. L’intention de l’auteur ne suffit pas à établir que toute coopération judiciaire serait interdite.

8. S08 · Assemblée nationale · Consulté le 7 novembre 2026Compte rendu de la deuxième séance du mercredi 4 novembre 2026
   Passages et périmètre

   Section « Modification de l’ordre du jour » ; lettre du gouvernement et article 95, alinéa 5. Demande de discussion prioritaire de l’article 16 bis le mardi 10 novembre après les questions au gouvernement. Annonce de calendrier, non preuve d’un vote tenu ou de son résultat. La date distincte de mise en ligne du compte rendu n’est pas établie.

9. S10 · Légifrance · Consulté le 7 novembre 2026Code de la sécurité intérieure : article L. 871-1
   Passages et périmètre

   Alinéas 1 à 3 : remise des conventions, mise en œuvre par le fournisseur et prise en charge financière. Obligations des fournisseurs de prestations de cryptologie assurant la confidentialité ; réserve d’impossibilité pour la mise en œuvre demandée au fournisseur ; renvoi au décret pour la prise en charge financière par l’État. Le texte ne dit pas « conventions détenues ». La réserve d’impossibilité figure au deuxième alinéa, relatif à la mise en œuvre. Ne pas extrapoler à une obligation universelle de créer une capacité nouvelle ni à une indemnisation de tout dommage commercial.

10. S11 · Légifrance · Consulté le 7 novembre 2026Code pénal : article 434-15-2
    Passages et périmètre

    Premier alinéa : personne ayant connaissance de la convention secrète ; refus de remise ou de mise en œuvre sur réquisition judiciaire. La connaissance de la convention secrète est une condition textuelle de l’incrimination dans le champ défini par cet article. La connaissance de la convention et les conditions de réquisition sont déterminantes. Le texte ne décrit pas l’obligation de construire une capacité de déchiffrement inexistante.

11. S12 · Légifrance · Consulté le 7 novembre 2026Code de procédure pénale : article 706-102-1
    Passages et périmètre

    Premier alinéa : accès, enregistrement, conservation et transmission de données stockées, affichées, saisies, reçues ou émises. Existence d’un dispositif légal de captation de données informatiques, notamment au point d’extrémité, sous les conditions et contrôles du régime procédural applicable. Ne pas isoler cet article de ses autorisations et conditions procédurales. Ne prouve aucune obligation générale de clé maîtresse pour les messageries. L’abrogation mentionnée est différée au 1 er janvier 2029.

12. S13 · Légifrance · Consulté le 7 novembre 2026Code des postes et des communications électroniques : article D. 98-7
    Passages et périmètre

    Article D. 98-7, version en vigueur depuis le 4 novembre 2023. Le III définit des moyens répondant aux demandes judiciaires et de renseignement visées, avec conditions et contrôles. Le IV prévoit, dans ce périmètre, une rémunération couvrant notamment études, ingénierie, conception, déploiement, maintenance et traitement des demandes. Les modalités de validation et de financement encadrent cette prise en charge, distincte d’une couverture générale des pertes commerciales.

    Document primaire complémentaire

13. S14 · Parlement européen et Conseil de l’Union européenne / EUR-Lex · 2022-12-27 · Consulté le 7 novembre 2026Directive (UE) 2022/2555 : NIS2
    Passages et périmètre

    Article 21(1) et 21(2), notamment b), c), d) et h) ; considérant 98 ; article 2(6) à (12). Gestion du risque, incidents, continuité, sécurité de la chaîne d’approvisionnement, politiques de cryptographie et de chiffrement ; conciliation des pouvoirs nationaux avec la préservation du chiffrement de bout en bout. Un considérant guide l’interprétation et ne remplace pas les articles. Ni interdiction générale de toute interception ni obligation universelle de chiffrement de bout en bout ne découle littéralement de ces passages ; les exclusions nationales sont encadrées.

14. S16 · Europol et ENISA · Consulté le 7 novembre 2026On lawful criminal investigation that respects 21st Century data protection : Europol and ENISA Joint Statement
    Passages et périmètre

    Déclaration commune datée du 20 mai 2016, deux pages. Elle reconnaît les besoins des enquêtes et l’importance d’un chiffrement robuste, examine les risques collectifs d’un affaiblissement et appelle à rechercher des solutions préservant la sécurité. Position des deux agences, distincte d’une position formelle de toutes les institutions européennes. La date du document diffère du 25 mai présent dans le nom du fichier.

    Document primaire complémentaire

15. S17 · MIT Computer Science and Artificial Intelligence Laboratory · 2015-07-07 · Consulté le 7 novembre 2026Keys Under Doormats: Mandating insecurity by requiring government access to all data and communications
    Passages et périmètre

    Rapport MIT-CSAIL-TR-2015-026, résumé exécutif aux pages imprimées 2–3. Couverture et dépôt datés du 6 juillet 2015 ; page de titre intérieure et annonce MIT du 7 juillet. Analyse qualitative de la complexité et des cibles concentrant des informations sensibles. Le document ne mesure ni la probabilité actuelle d’une intrusion française, ni un coût économique agrégé.

    Document primaire complémentaire

    Document primaire complémentaire

    Document primaire complémentaire

16. S18 · FBI et CISA · 2024-11-13 · Consulté le 7 novembre 2026Joint Statement from FBI and CISA on the People’s Republic of China Targeting of Commercial Telecommunications Infrastructure
    Passages et périmètre

    Communiqué du 13 novembre 2024, texte intégral diffusé officiellement par CISA. Les autorités américaines signalent des réseaux de télécommunications compromis, des données d’appels, des communications privées d’un groupe limité de personnes et des copies d’informations soumises à des demandes judiciaires. L’attribution leur appartient. Aucun protocole de chiffrement de bout en bout cassé ou point d’entrée unique pour l’ensemble de la campagne n’est établi par ce communiqué.

    Document primaire complémentaire

17. S19 · CISA / copie officielle diffusée par le Government Publishing Office · 2025-11-24 · Consulté le 7 novembre 2026Mobile Communications Best Practice Guidance : version 2
    Passages et périmètre

    Page 1 : historique des versions et public visé ; page 2 et recommandations relatives aux communications et messageries privées. Recommandation de communications chiffrées de bout en bout, particulièrement pour les personnes fortement ciblées ; attention aux paramètres, aux usages et aux métadonnées. Aucune solution unique n’élimine les risques ; le guide ne garantit pas la protection d’un terminal compromis. L’original CISA de décembre 2024 a refusé l’ouverture directe, mais la version 2 a été lue dans sa copie officielle GovInfo.

    Document primaire complémentaire

18. S21 · IETF / RFC Editor · 2000-05 · Consulté le 7 novembre 2026RFC 2804 : IETF Policy on Wiretapping
    Passages et périmètre

    Section 1, Summary position : complexité des capacités d’interception et protection de leur accès. Complexité ajoutée par des capacités d’interception, nécessité de protéger ces capacités et limites d’une équivalence entre ciblage légal et périmètre technique. Position technique de mai 2000 ; ne fournit pas de coût chiffré ni une probabilité d’incident contemporain. Les mécanismes économiques de l’article sont des inférences explicites, non des estimations de cette RFC.

19. S22 · Northwestern Journal of Technology and Intellectual Property · 2014 · Consulté le 7 novembre 2026Lawful Hacking
    Passages et périmètre

    Steven M. Bellovin, Matt Blaze, Sandy Clark et Susan Landau, étude de 2014 : résumé original de la revue. Acquisition de vulnérabilités, incitations à les corriger et détournement possible des outils d’accès ciblé. Analyse des techniques et de leurs risques, distincte d’une évaluation empirique de tous les outils actuels ou d’une estimation du coût d’une future politique française.

20. S23 · NIST ; Elaine Barker · 2020-05-04 · Consulté le 7 novembre 2026Recommendation for Key Management: Part 1 : General, Revision 5 (NIST SP 800-57 Part 1 Rev. 5)
    Passages et périmètre

    Sections 5.3.3.2, 5.5, 8, 9.1 et 9.3 à 9.5 ; protection et cycle de vie des clés, contrôle d’accès, compromission et récupération. Exigences de gestion des secrets, maîtrise des droits, maintien et renouvellement des clés, organisation nécessaire à une capacité cryptographique ; limites de la révocation après exposition de données. Recommandations générales de gestion de clés, non évaluation d’une porte dérobée française et non barème de coûts. Une copie intelligible déjà obtenue constitue un scénario distinct de la protection de futurs échanges.

    Document primaire complémentaire

21. S24 · Cour européenne des droits de l’homme / HUDOC · 2024-02-13 · Consulté le 7 novembre 2026Podchasov c. Russie : requête n° 33696/19
    Passages et périmètre

    Arrêt du 13 février 2024, définitif le 13 mai, paragraphes 76–81 et dispositif. Conservation, accès direct et déchiffrement dans le régime russe examiné ; conséquences d’un affaiblissement du chiffrement pour les utilisateurs et violation de l’article 8. La portée reste attachée à ce régime et à ses garanties insuffisantes. Une mesure française demanderait un examen de son architecture et de son encadrement.

22. S25 · Parlement européen et Conseil de l’Union européenne / EUR-Lex · 2016-05-04 · Consulté le 7 novembre 2026Règlement (UE) 2016/679 : règlement général sur la protection des données
    Passages et périmètre

    Articles 28 et 32 : garanties des sous-traitants et sécurité du traitement. Fondement juridique du réexamen des garanties des fournisseurs et des mesures protégeant les données personnelles. Champ des données personnelles ; ne mesure ni le montant d’une migration ni l’effet économique de toute obligation d’assistance. Les conséquences commerciales présentées dans l’article sont conditionnelles.

23. S27 · CNIL · 2017-08-30 · Consulté le 7 novembre 2026L’accès des autorités publiques aux données chiffrées
    Passages et périmètre

    Passages sur les moyens d’accès, les données disponibles, les copies, la détention des moyens de déchiffrement et les risques collectifs des portes dérobées. Diversité des voies d’accès aux données et des protections ; risques liés à un secret partagé et limites de la récupération après compromission. Analyse institutionnelle datée de 2017 ; disponibilité des données et protections à vérifier service par service. Les positions de l’ANSSI évoquées par la CNIL sont une attribution indirecte, non une déclaration de l’ANSSI consultée pour cet article.

24. S30 · Assemblée nationale · 2025-02-28 · Consulté le 7 novembre 2026Précédent narcotrafic : suppression de l’article 8 ter en commission et rejet de son rétablissement
    Passages et périmètre

    Amendement CL 312 : suppression de l’article 8 ter adoptée en commission le 6 mars 2025. Scrutin 1102 du 20 mars : rejet du rétablissement proposé par l’amendement Marleix 640 et identiques, 24 pour, 119 contre et 6 abstentions. Le scrutin 1101 concerne un sous-amendement distinct. Ce précédent relève d’une autre loi et d’une rédaction différente.

    Document primaire complémentaire

    Document primaire complémentaire