Projet de loi sur la cyberdéfense nationale : Israël s'aligne sur les normes mondiales | Me Adiel Klein

Le 8 juin 2026, le projet de loi sur la cyberdéfense nationale, 2026, a été approuvé en séance plénière de la Knesset en première lecture. L'Europe l'a déjà fait, depuis longtemps avec la directive sur la cybersécurité (NIS, NIS2) ; le Royaume-Uni, l'Australie et le Canada y sont également déjà. Israël, qui figure parmi les pays les plus attaqués au monde dans le cyberespace, en particulier depuis le déclenchement de la guerre « Épées de fer », avec une augmentation marquée de l'ampleur et de l'intensité des attaques contre des entités civiles, est resté jusqu'à aujourd'hui sans cadre législatif national complet dans ce domaine. Cela est sur le point de changer — peut-être.

L'objectif de la future loi est avant tout de sensibiliser à la cyberdéfense aux niveaux public et privé, de créer une ligne uniforme pour la continuité fonctionnelle dans une organisation subissant un cyberincident, et en particulier d'ancrer le Système national de cyberdéfense (sections 2-4) en tant qu'organe coordonnant la défense nationale contre les cyberincidents, aux côtés des « unités sectorielles » (section 5) qui opéreront sous chaque régulateur — du ministère des Communications aux autorités locales.

Le cœur de la loi est le concept d'« organisation essentielle » (section 8) : tout organisme gouvernemental et toute organisation répondant aux critères sectoriels de la troisième annexe — communications, énergie, santé, eau et assainissement, transports, produits chimiques, agriculture, autorités locales, etc. Le régulateur du secteur a également le pouvoir d'ajouter ou de retirer une organisation de la liste individuellement, par une décision motivée (section 8(b)).

Dans le secteur privé, la question de l'applicabilité aux « fournisseurs de services numériques et services de stockage » (point 9 de la troisième annexe) est surprenante par son étendue — des fournisseurs de cloud et centres de données aux services informatiques et de cybersécurité, soit un total d'environ 20 types de services différents listés dans la loi. Un tel fournisseur tombera sous le coup de la loi s'il fournit l'un de ces services et que son chiffre d'affaires annuel est de 40 millions de shekels ou plus, s'il emploie 50 personnes ou plus, ou s'il fournit un service au gouvernement. Ainsi, non seulement les géants de la technologie pourraient se retrouver concernés, mais aussi de nombreuses entreprises qui ne se considèrent pas nécessairement comme des « infrastructures critiques ».

Le projet de loi inclut l'obligation pour chaque organisation de prendre des mesures de cyberdéfense appropriées pour son activité. De plus, les organisations essentielles sont tenues de prendre des mesures raisonnables en utilisant des normes internationales, par exemple ISO 27001, NIST 800-53, etc. Il existe également une obligation de signalement immédiat d'une cyberattaque significative (section 11), incluant des voies d'exemption.

Il y a un prix non négligeable pour la violation de la loi : des sanctions financières se chiffrant en centaines de milliers de shekels pour les infractions déterminées, et dans les cas graves, une responsabilité pénale et une exposition personnelle pour les dirigeants qui n'ont pas supervisé comme requis (sections 44-45).

Le Système national de cyberdéfense a déclaré :

« Le projet de loi sur la cyberdéfense nationale vise à accroître la résilience nationale et à maintenir la routine sur le front intérieur pour les services essentiels au profit du citoyen, en matière de cyberdéfense. La proposition a été formulée en équilibrant les besoins opérationnels et la poursuite du fonctionnement normal des organisations. La loi préserve et ancre le modèle géré de manière décentralisée, et ce faisant, des pouvoirs sont accordés aux régulateurs sectoriels qui connaissent le secteur en profondeur, tandis que le Système fournit des conseils professionnels pour la cyberdéfense au niveau national. Le projet de loi se concentre sur les organisations essentielles dans les secteurs clés, comme c'est l'usage dans la directive européenne NIS2, et le niveau de protection repose sur des normes internationales reconnues que de nombreuses organisations respectent déjà, parallèlement à l'ancrage de mécanismes d'équilibre et de contrôle dédiés. Parallèlement à tout cela, le Système national de cyberdéfense continuera d'œuvrer au renforcement de la cyberdéfense dans l'espace israélien ».

Il est possible que la proposition subisse encore des changements en route vers l'approbation législative et qu'il y ait également une période de préparation pour les organisations. Mais la direction est claire — le monde de la cyberdéfense et la compréhension nationale de son maintien passent à un niveau supérieur. Cela s'ajoute également à l'amendement 13 de la Loi sur la protection de la vie privée qui a sensibilisé aux obligations dans les mondes de la sécurité de l'information. Mon hypothèse de départ est qu'il y aura également un impact sur des aspects indirects, notamment opérationnels, assurantiels, et éventuellement un impact dans le monde du travail. En attendant, la direction est claire — il y a un alignement national sur les réglementations internationales et une compréhension qu'aujourd'hui, la cyberdéfense et la sécurité de l'information font partie intégrante du cycle de vie des entreprises.

Me Adiel Klein est un expert dans les domaines de la protection de l'information et de la cybernétique et agit en tant que DPO externe pour des organisations.