Die Loi Résilience ist zurück auf der Tagesordnung. Die Assemblée nationale berät den Gesetzentwurf über die Resilienz kritischer Infrastrukturen und die Stärkung der Cybersicherheit ab Montag, 9. November 2026, im Plenum. Mit ihm setzt Frankreich NIS2, die CER-Richtlinie und Teile von DORA um. Nach Fachpresseberichten sind Sitzungen bis Freitag, 13. November, vorgesehen. Beraten wird die Fassung des Sonderausschusses (Text Nr. 1779).
Der Weg bis hierher
- 12. März 2025: Annahme im Senat, im beschleunigten Verfahren.
- 10. September 2025: Annahme im Sonderausschuss der Nationalversammlung.
- 8. Juli 2026: Klage der EU-Kommission vor dem EuGH wegen der ausgebliebenen Umsetzung.
- 6. Oktober 2026: Die für den 7. und 9. Oktober angesetzte Beratung wird am Vorabend abgesetzt.
Worüber gestritten wird
Umstritten ist vor allem die Verschlüsselung: Eine Bestimmung des Entwurfs soll verhindern, dass Anbietern von Verschlüsselungsdiensten auferlegt werden kann, die Sicherheit ihrer Systeme absichtlich zu schwächen. Dass der Text in dieser Woche verabschiedet wird, gilt nicht als sicher.
Was danach kommt
Wegen des beschleunigten Verfahrens folgt auf die Abstimmung keine zweite Lesung: Weichen die Fassungen von Senat und Nationalversammlung ab, sucht ein Vermittlungsausschuss (commission mixte paritaire) einen gemeinsamen Text. Danach kommen Verkündung und Durchführungsdekrete, und erst diese setzen die konkreten Fristen für Registrierung und Meldung. Erwartet werden rund 15.000 betroffene Einrichtungen in 18 Sektoren und eine Übergangszeit von drei Jahren.
Was das für Unternehmen bedeutet
Für Unternehmen mit französischen Gesellschaften rückt das Gesetz in Reichweite, die Pflichten noch nicht. Die Zeit bis zu den Dekreten reicht für die Grundlagen: die Betroffenheit der französischen Einheiten klären, Meldewege vorbereiten und das Risikomanagement am Référentiel Cyber France (ReCyF) der ANSSI ausrichten.