MAJ juillet 2026. Le calendrier a bougé : le 9 juillet, le Parlement européen a laissé passer la reconduction de Chat Control 1.0, faute des 361 voix nécessaires pour bloquer alors que la majorité votait contre, avec l’E2E explicitement exclu de ce texte. Le CSAR 2.0, celui qui contredit NIS2 et qui est décrit ici, repart en trilogue en septembre : le « 4 mai » évoqué plus bas est périmé. Détails dans le radar.

Bruxelles a une idée brillante : t’obliger à chiffrer tes données. Elle a aussi une autre idée, moins brillante mais plus totalitaire, pouvoir les lire quand elle veut.

Ce ne sont pas deux politiques venues de deux institutions différentes. C’est la même Commission européenne, à quelques mois d’écart, qui signe les deux textes (si, si, c’est possible, je t’assure : bienvenue en absurdie).

NIS2 te contraint à sécuriser sous peine de sanctions. CSAR 2.0 te contraint à laisser une porte ouverte pour que l’on puisse t’espionner à bon compte.

Et, comme tout bon méli-mélo de textes pondus par nos chers technocrates européens, sous la pression de nos chers politiques, la main droite ne semble pas savoir ce que fait la main gauche.

Voici ce que ça veut dire concrètement pour ta protection numérique, et pourquoi cette incohérence n’est pas un accident.

NIS2 : l’UE découvre (enfin) la cybersécurité

La directive NIS2 est entrée en vigueur en janvier 2023. Elle s’appelait NIS1 avant, elle concernait environ 500 entités en France. NIS2 élargit le périmètre à 15 000-18 000 entités françaises selon l’ANSSI.

Ce ne sont plus seulement les opérateurs d’infrastructures critiques, c’est toute entreprise atteignant 50 salariés et 10 millions d’euros de chiffre d’affaires, ou de bilan, dans les secteurs couverts. La santé, l’énergie, les transports, le numérique, les finances. Le secteur hospitalier figure en Annexe I, hautement critique.

L’article 21 est le cœur du dispositif. Il liste dix catégories de mesures obligatoires, dont le chiffrement des données en transit et au repos, l’authentification multifacteur (MFA), et la mise en place de communications sécurisées. En langage humain : si tu gères des données dans un secteur concerné, chiffrer n’est plus un conseil, c’est une obligation légale.

La nouveauté structurelle de NIS2, c’est l’article 20. La responsabilité ne pèse plus seulement sur la société, elle pèse sur la personne physique qui dirige. Pas de DSI bouc émissaire, pas de « notre prestataire s’en chargeait ». Les organes de direction sont personnellement responsables de la mise en conformité (Doc, si t’es là, ton cabinet va pas désemplir, je connais des dirigeants qui vont droit vers la prise de tranxène).

La France, elle, est en retard (Ben comme d’hab, non ?). La deadline de transposition fixée par l’UE était le 17 octobre 2024. On approche de mai 2026 (essaie de faire ça avec une de tes échéances, et on en reparle) et le texte n’est toujours pas voté à l’Assemblée nationale. Ce retard n’exonère pas : les obligations NIS2 arrivent, la question est quand, et pas si.

Et dans le projet de loi français, un article sort du lot. L’article 16 bis du projet de loi interdit explicitement d’imposer des accès forcés dans les outils de chiffrement. Aucun fournisseur de solutions de chiffrement ne peut être contraint de laisser un accès imposé à leurs outils.

C’est là que les choses deviennent intéressantes.

CSAR : l’UE veut lire ce qu’elle vient de te demander de chiffrer

Le CSAR, officiellement Child Sexual Abuse Regulation, est l’autre texte. Si tu veux le détail complet du mécanisme et du dossier politique, l’article sur le Chat Control 2.0 l’explique intégralement.

Tu verras que si l’objectif est louable et que nous le partageons tous, les modalités de son application relèvent plus de pratiques totalitaires d’un autre temps, que de la saine démocratie.

La version courte :

Le CSAR obligerait les messageries à scanner le contenu de tes messages sur ton appareil, avant qu’ils soient chiffrés. Le terme technique est « client-side scanning ».

En pratique : ton message est lu sur ton appareil, avant d’être chiffré et envoyé. En France, accéder au contenu d’une correspondance sans autorisation est un délit aggravé quand c’est un agent public qui s’en charge. Apparemment, quand tu es l’Europe, tu peux, et ça ne te chiffonne pas.

Le chiffrement de bout en bout reste « techniquement intact » pendant le transport, mais il a été contourné avant de s’appliquer. Scanner avant de chiffrer, c’est chiffrer pour la galerie.

L’état du dossier au moment de la publication : le Conseil de l’UE a adopté sa position le 26 novembre 2025. Les trilogues, ces négociations opaques entre Parlement, Conseil et Commission où le texte final se fabrique en coulisses, ont commencé. Prochain trilogue : 4 mai 2026. Adoption formelle visée : juillet 2026.

Les termes ont évolué depuis la première version : « client-side scanning » s’appelle désormais « mesures d’atténuation des risques » dans les documents officiels. L’emballage est plus présentable. L’effet sur ta machine est identique.

La même Commission européenne qui a produit NIS2 pousse CSAR. Ce n’est pas une métaphore.

À lire : Chat Control 2.0 : l’UE veut lire tes messages avant que tu les envoies : mécanisme complet, Signal, Proton, et ce que tu peux faire.

La contradiction fondamentale

Posons les deux textes côte à côte.

NIS2, article 21 : chiffrement des données en transit et au repos, MFA, communications sécurisées. Obligation légale, responsabilité personnelle du dirigeant, sanctions en cas de non-conformité.

CSAR : scanning des messages avant chiffrement sur chaque appareil, sans mandat judiciaire, sans notification à l’utilisateur, pour toutes les communications, pas seulement les communications suspectes.

Le scan lit vraiment tout, et une IA décide de ton sort. Les faux positifs vont être grandioses. Gageons que la perquisition à six heures du mat, avec plates excuses à la clé, ou non, va l’être tout autant.

Pourquoi ces deux textes sont physiquement incompatibles : pour scanner un contenu « avant chiffrement », il faut qu’il soit accessible, à un moment donné, en clair, par un processus tiers. Ce processus crée un point d’accès obligatoire : assumé et légalisé, dans le cas de CSAR. Cette disposition est totalement incompatible avec les objectifs de NIS2.

C’est précisément ce que le droit français, dans le projet de loi de transposition de NIS2, via son article 16 bis, interdit d’imposer aux fournisseurs de chiffrement.

La même Commission a rédigé les deux textes. Le commissaire à la sécurité numérique supervise NIS2. Le commissariat à l’intérieur pousse CSAR. Ce ne sont pas deux ministères ennemis. En France, même schéma : l’ANSSI publie des référentiels de sécurité, la DGSI remonte ses besoins à son ministre, là encore, les intérêts divergent.

Le COM(2025)740 final (27 novembre 2025), rapport d’évaluation de la Commission elle-même, admet que le dispositif ne permet pas d’établir de lien démontrable entre les signalements générés et des condamnations réelles, ni de quantifier le nombre d’enfants effectivement identifiés grâce à lui.

Ce n’est pas une critique externe. C’est l’institution porteuse du texte qui, dans son propre bilan, reconnaît l’impossibilité méthodologique de valider l’outil qu’elle entend imposer à 450 millions d’Européens.

On construit l’infrastructure pour un espionnage de masse.

Son prétexte ne tient pas, à l’aune de la technique implémentée et des résultats non prouvés.

Ce que ça dit sur ta protection

NIS2 reste un bon texte. L’obligation de chiffrer, de prendre la cybersécurité au sérieux, de responsabiliser les dirigeants, ce sont de vraies avancées. Si tu es dans une entité concernée, NIS2 va te forcer à faire ce que tu aurais dû faire il y a dix ans. Ce n’est pas le problème.

Le problème, c’est ce que cette incohérence révèle sur la solidité de ta protection.

La protection numérique individuelle ne peut pas reposer sur la cohérence réglementaire des institutions. Elles se contredisent structurellement. NIS2 t’oblige à chiffrer aujourd’hui. CSAR veut rendre ce chiffrement contournable demain. La loi qui te protège et la loi qui t’espionne peuvent coexister dans le même corpus juridique, avec la même légitimité formelle.

Ce qui te protège vraiment, c’est la conception technique, pas la conformité légale.

Signal ne peut pas implémenter le client-side scanning sans casser son modèle architectural. C’est la raison pour laquelle Meredith Whittaker a dit préférer quitter le marché européen plutôt que de le faire. Ce n’est pas une posture : c’est une impossibilité technique déguisée en position politique. Proton fonctionne sur le même principe.

Un outil dont la conception technique rend le scan impossible est protégé autrement qu’un outil qui « respecte la loi en vigueur ». La loi peut changer. L’architecture, elle, demeure. C’est ta garantie.

Pour les entreprises concernées par NIS2, une nuance s’impose : cette conformité reste obligatoire et nécessaire. Chiffrer tes données en transit et au repos, mettre en place la MFA, sécuriser tes communications internes, ce sont des obligations réelles avec des sanctions réelles si non tenues.

Les implémenter avec des outils dont la conception est solide, dont le code est audité, dont la juridiction est favorable, c’est empiler deux couches de protection plutôt qu’une seule. NIS2 et la prudence architecturale ne sont pas en opposition. Ils devraient se compléter.

Ce qui ne tient pas, c’est de croire que « conformité NIS2 = protection complète » si CSAR passe. La conformité légale devient un filet insuffisant, le jour où une autre loi crée une brèche dans ce que la première exigeait de construire.

L’article 16 bis du projet de loi français, celui qui interdit le scan dans les outils de chiffrement, est une ligne de défense réelle. Le fait qu’il coexiste dans le même projet de loi que les obligations de NIS2 est encourageant. Le fait qu’il soit en friction politique avec CSAR, porté par la même Commission, donne une idée du terrain sur lequel cette tension va se jouer dans les prochains mois.

En résumé

Deux textes, une même institution, deux directions opposées. NIS2 t’oblige à chiffrer, responsabilise tes dirigeants et, pour la France, interdit explicitement le scanning dans les outils de chiffrement. CSAR veut scanner avant le chiffrement, c’est-à-dire contourner le chiffrement par conception, sans mandat judiciaire, pour toutes tes communications.

Ce n’est pas une contradiction surmontable par un amendement. C’est une incohérence structurelle entre deux priorités institutionnelles incompatibles : sécuriser et surveiller.

Concrètement, les points d’attention :

1. Si tu es concerné par NIS2, avance sur la conformité sans attendre le vote français. Les obligations arrivent, retard de transposition ou pas.

2. Choisis des outils dont la conception technique rend l’accès forcé impossible, pas seulement des outils qui « respectent les réglementations en vigueur ». Les réglementations bougent. L’architecture, moins.

3. Suis les trilogues CSAR : 4 mai 2026 est le prochain point de bascule. La pression publique a fonctionné sur Chat Control 1.0.

Pour aller plus loin sur le chiffrement de bout en bout, et pourquoi ça reste le seul rempart solide, l’article sur ce sujet arrive prochainement.

L’article sur le CSAR reste la référence pour le mécanisme détaillé, les positions de Signal et Proton, et les actions concrètes que tu peux prendre maintenant.

À lire : Chat Control 2.0 : l’UE veut lire tes messages avant que tu les envoies

Si la question de la souveraineté numérique te concerne au-delà du seul cadre réglementaire, le concept de base est posé dans l’article fondateur.

À lire : La souveraineté digitale, c’est quoi concrètement ?

La page ANSSI dédiée à NIS2 recense les secteurs concernés et les obligations en détail.