Cybersécurité : les sanctions de la CNIL désormais affectées à un fond de modernisation des infrastructures numériques

Les sanctions de la CNIL seront désormais affectées à un fond de modernisation des infrastructures numériques

En réaction à la cyber-attaque massive subie par l'Agence nationale des titres sécurisés (ANTS) le 15 avril 2026, le Premier ministre Sébastien Lecornu a annoncé le 30 avril dernier que l'ensemble des amendes prononcées par la Cnil sera affecté à "un fonds de modernisation des infrastructures numériques". Ce montant est estimé à environ 500 millions d'euros par an sur la base des chiffres 2025, et le mécanisme sera porté dans le cadre du prochain projet de loi de finances. Le plan comprend également 200 millions d'euros débloqués pour financer des investissements dans les applications, les outils de détection et la cryptographie post-quantique. 

Cybersécurité : création d’une autorité numérique de l’État

Le Premier ministre a par ailleurs annoncé la fusion de la DINUM et de la DITP afin de créer une autorité numérique de l'État, placée directement auprès du Premier ministre. Son rôle sera d'assurer la standardisation et la sécurisation des infrastructures numériques des ministères.

Une accélération des exigences de résilience cyber pour les organisations

Cette actualité rappelle que la résilience cyber n'est plus un sujet réservé aux grandes administrations. Toute organisation traitant des données personnelles est exposée et susceptible d'engager sa responsabilité en cas d'incident. Pour les entités soumises à la directive NIS2 (obligations renforcées de gestion des risques, de notification des incidents et de gouvernance de la sécurité), l'heure est à la mise en conformité effective, non à l'anticipation. A cet effet, l’ANSSI a dévoilé le 17 mars dernier son Référentiel Cyber France (ReCyF) listant des recommandations de mesures pour atteindre les objectifs fixés par la directive NIS2.

Cette dynamique s'inscrit dans un mouvement réglementaire plus large. Le règlement DORA (Digital Operational Resilience Act), applicable depuis le 17 janvier 2025, impose à un grand nombre d'entités du secteur financier (notamment les sociétés de gestion de portefeuille, les infrastructures de marché, les entreprises d’investissement) un cadre de résilience numérique pour parer au risque lié aux TIC de manière rapide, efficiente et exhaustive, et garantir un niveau élevé de résilience opérationnelle numérique. Fait notable : les prestataires tiers de services TIC considérés comme critiques entrent eux aussi dans son champ, ce qui étend les obligations bien au-delà des seuls acteurs financiers directs.

Le Cyber Resilience Act (CRA), quant à lui, entre en application progressivement entre juin 2026 et décembre 2027, et vise à renforcer la cybersécurité des produits comportant des éléments numériques en établissant un cadre juridique uniforme et impose des obligations de cybersécurité aux fabricants, importateurs et distributeurs, dès la conception et tout au long du cycle de vie des produits. Les produits porteront le marquage CE pour indiquer qu’ils sont conformes aux exigences du CRA. Plus spécifiquement, le règlement CRA prévoit des exigences essentielles de cybersécurité sur les produits et sur la gestion des vulnérabilités, et établit des procédures d’évaluation de la conformité.

Accompagnement juridique en matière de conformité numérique

ALTIJ Avocats vous accompagne dans l'analyse de votre périmètre NIS2, DORA et CRA, la structuration de votre politique de sécurité, la mise en conformité de vos procédures de gestion des violations de données au sens du RGPD, et la coordination entre ces textes européens qui, comme le RIA, s'appliquent de manière cumulative.