Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Chronologie

1. —

   1ère lecture (1ère assemblée saisie)

2. 15 octobre 2024

   1er dépôt d'une initiative.

3. 15 octobre 2024

   Le gouvernement déclare l'urgence / engage la procédure accélérée

4. —

   Travaux des commissions

5. —

   Travaux de la commission saisie au fond

6. 15 octobre 2024

   Renvoi en commission au fond

7. —

   Nomination de rapporteur

8. 4 mars 2025

   Dépôt de rapport

9. —

   Discussion en séance publique

10. 12 mars 2025

    Discussion en séance publique

11. 12 mars 2025

    Décision — adopté

12. —

    1ère lecture (2ème assemblée saisie)

13. 13 mars 2025

    Dépôt d'une initiative en navette

14. —

    Travaux des commissions

15. —

    Travaux de la commission saisie au fond

16. 13 mars 2025

    Renvoi en commission au fond

17. 8 avril 2025

    Nomination de rapporteur

18. 9 septembre 2025

    Réunion de commission

19. 9 septembre 2025

    Réunion de commission

20. 9 septembre 2025

    Réunion de commission

21. 10 septembre 2025

    Réunion de commission

22. 10 septembre 2025

    Dépôt de rapport

Scrutins liés

Aucun scrutin public lié à ce dossier. L'adoption d'un texte peut se faire à main levée, sans trace nominative.

Amendements

100 premiers amendements (par date de dépôt).

• CS531·ARTICLE 43 ATombé

  Amendement de repli par rapport au n° CS242. Cet amendement vise à désigner l'Autorité de contrôle prudentiel et de résolution comme autorité compétente chargée de recevoir les déclarations d'incidents majeurs liés aux TIC et les notifications volontaires des cybermenaces de la part des entités financières soumises à la surveillance de plusieurs autorités nationales compétentes, conformément au deuxième alinéa du paragraphe 1 de l'article 19 du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier (DORA). Contrairement à la rédaction adoptée par le Sénat, une communication simultanée et par le biais d'un formulaire unique est toutefois prévue au bénéfice de l'Agence nationale de sécurité des systèmes d'information (ANSSI), de manière obligatoire pour les entités assujetties au titre II du projet de loi et sur une base volontaire pour les autres entités, afin de faciliter l'information rapide et le traitement de ces incidents et menaces par l'ANSSI. Cette rédaction permet de concilier la simplification des démarches à accomplir par les entreprises concernées tout en permettant l'intervention rapide de l'ANSSI. En effet, une transmission à la seule ACPR engendrerait des délais importants, notamment en cas d'incidents nocturnes ou le week-end, l'ACPR ne disposant ni d'un système d'astreinte ni d'un portail de déclaration accessible en continu, contrairement à l'ANSSI. Ces délais peuvent être très préjudiciables dans le cadre de la gestion d'incidents cyber majeurs. Certains incidents peuvent affecter directement la situation prudentielle d'un établissement ou perturber la continuité de ses services essentiels. Dans ce contexte, une information directe et simultanée des autorités financières est indispensable pour permettre une réaction rapide, prévenir tout risque de contagion et sécuriser les intérêts des clients.

• CS532·ARTICLE PREMIERAdopté

  Le présent amendement vise à modifier les autorités de nomination des membres de la commission des sanctions pour revenir à la proposition initiale du Gouvernement laquelle se justifie par la nature et les missions de la commission des sanctions, qui aura à connaître d'enjeux très techniques et opérationnels, liés notamment à la sécurité des activités d'importance vitale et à la cybersécurité. Il paraît dès lors paradoxal de charger d'une telle nomination les plus hautes autorités relevant du pouvoir législatif que sont le président de l'Assemblée nationale et celui du Sénat. Néanmoins, afin de tenir compte du souhait d'une indépendance renforcée, il est proposé que le mandat de ces personnalités qualifiées ne soit pas renouvelable, sur le modèle de garanties d'indépendance applicables pour d'autres autorités (autorité de sûreté nucléaire et de radioprotection, président du collège des sanctions de l'autorité des marchés financiers, etc.).

• CS533·ARTICLE 45 BISAdopté

  Amendement de repli par rapport aux amendements CS242 et CS244. Cet amendement a le même objet que l'amendement n°531 mais concerne les déclarations des entités financières qui relèvent de la compétence de l'Autorité des marchés financiers.

• CS468·APRÈS L'ARTICLE PREMIER, insérer l'article suivant:Cavalier (45)
• CS505·ARTICLE 26Adopté

  La certification des services de coffre-fort numérique ayant été abrogée par l'article 26A du projet de loi, cet amendement de cohérence vise à supprimer corrélativement la compétence de l'ANSSI à contrôler le respect de cette certification.

• CS523·ARTICLE 45 BISAdopté

  Cet amendement tire les conséquences de l'adoption de l'amendement 522. Ses dispositions concernent les entités financières qui relèvent de l'Autorité des marchés financiers.

• CS478·ARTICLE PREMIERAdopté

  Amendement de précision. L'opérateur d'importance vitale relevant de la catégorie d'entité critique doit garantir l'activité régulière de chaque point d'importance vitale et fournir des services essentiels au sens de la directive REC. La rédaction actuelle de cet article ne distingue pas, dans le plan particulier de résilience, ce qui relève des équipements de ce qui dépend des dispositions et procédures mises en œuvre par l'opérateur. Or le plan particulier de résilience se doit de mentionner, au-delà des seules procédures propres à assurer la protection et la résilience de ces points d'importance vitale, les équipements et les dispositifs qui peuvent s'avérer indispensables pour assurer leur efficacité, notamment afin d'éclairer la décision de l'autorité administrative chargée de l'approuver.

• CS510·APRÈS L'ARTICLE 33, insérer l'article suivant:Adopté

  Le présent amendement vise à prévoir la possibilité d'une procédure dématérialisée. En effet, il paraît nécessaire de prévoir le traitement et la conservation dématérialisés des actes lors des contrôles, à l'instar d'autres dispositifs en vigueur (voir par exemple les articles L. 511-2-1 du code de la consommation ou 801-1 du code de procédure pénale).

• CS514·ARTICLE 37Adopté

  Le présent amendement a pour objet la mise en conformité à la directive NIS 2 qui ne conditionne pas l'interdiction d'exercer des dirigeants des entités essentielles à la persistance d'un manquement malgré l'imposition d'amendes pécuniaires. En effet, l'article 32 §5 de la directive NIS II prévoit, lorsque les mesures d'exécution de son paragraphe 4 aux points a) à d) et au point f) imposées aux entités essentielles – mesures de police administrative reprises dans le projet de loi aux articles 25 et 31 – sont inefficaces, une procédure en deux temps : (i) l'entité essentielle est invitée, dans un délai imparti, à pallier les insuffisances ou satisfaire aux exigences des mesures d'exécution ; (ii) si la mesure demandée n'est pas prise dans ce délai, alors l'autorité de supervision peut notamment prévoir une interdiction d'exercer temporaire des dirigeants, personnes physiques, de ces entités essentielles. De plus, conformément à l'article 34 paragraphe 2 de la directive NIS 2, les amendes administratives peuvent intervenir en complément de l'interdiction d'exercer. Il est donc proposé par cet amendement de conditionner l'interdiction d'exercer des dirigeants à l'inefficacité des mesures de police administratives (mesures d'exécution) mentionnées aux article 25 et 31 du projet de loi conformément aux articles 32 et 34 de la directive NIS 2.

• CS464·ARTICLE 5 BISRetiré

  Il ne peut y avoir de stratégie nationale relative à la cyber sécurité déconnectée d'une véritable stratégie en faveur de la souveraineté numérique. c'est le sens de notre amendement.

• CS522·ARTICLE 43 ATombé

  Cet amendement vise à désigner l'Autorité de contrôle prudentiel et de résolution comme autorité compétente chargée de recevoir les déclarations d'incidents et les notifications de cybermenaces de la part des entités financières soumises à la surveillance de plusieurs autorités nationales compétentes, conformément au deuxième alinéa du paragraphe 1 de l'article 19 du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier (DORA). Une communication additionnelle est toutefois prévue au bénéfice de l'ANSSI de manière obligatoire pour les entités assujetties à NIS2 et, sur base volontaire pour les autres entités, afin de faciliter l'information rapide et le traitement de ces incidents et menaces par l'ANSSI. Les collectivités ultramarines du Pacifique que sont la Nouvelle-Calédonie, la Polynésie française et les îles Wallis et Futuna régies par le principe de spécialité législative où toute création, modification ou abrogation d'articles métropolitains relevant de la sphère de compétence de l'Etat, en l'occurrence en matière bancaire et financière, doivent être rendues applicables par mention expresse.

• CS466·ARTICLE PREMIERAdopté

  L'amendement poursuit un objectif de cohérence en visant à soumettre l'ensemble des opérateurs d'importance vitale (OIV) aux obligations de notification d'incidents importants et de vulnérabilités critiques prévues à l'article 17. En effet, en ne visant que le premier alinéa de l'article 17 du projet de loi, la rédaction actuelle de l'article L. 1332-11 prévue à l'alinéa 60 omet l'obligation de notification par les OIV à leurs destinataires de services des incidents importants ayant un impact direct sur ceux-ci ainsi que des vulnérabilités critiques et de leurs mesures de correction. D'autre part, l'amendement vise à clarifier l'articulation entre les obligations applicables aux opérateurs d'importance vitale (OIV) et celles qui leurs sont applicables en vertu d'un acte juridique sectoriel de l'Union européenne. En effet, il existe des OIV qui n'entrent pas dans le champ d'application de la directive NIS 2 et qui ne sont, ainsi, ni entité essentielle, ni entité importante. En revanche, ils peuvent entrer dans le champ d'application de règlementations sectorielles. Tel est le cas, par exemple, d'OIV qui relèvent du règlement DORA sans pour autant entrer dans la catégorie des entités essentielles ou des entités importantes. Il importe donc de ne pas multiplier les exigences de sécurité qui auraient une même finalité lorsque les opérateurs sont soumis à des dispositions d'effet au moins équivalent, lesquelles priment sur le régime général s'agissant d'une lex specialis.

• CS501·ARTICLE 22Adopté

  Le projet de loi emploie, en lieu et place du terme « entité fournissant des services d'enregistrement de noms de domaine » utilisé dans la directive, le terme « bureau d'enregistrement » qui est utilisé dans le code des postes et des communications électroniques. Cet amendement vise, en conformité avec la directive, à appliquer aux agents agissant pour le compte des bureaux d'enregistrement les obligations prévues à l'article 22 du projet de loi, portant sur la communication des données relatives aux noms de domaine aux agents habilités à cet effet par l'autorité judiciaire.

• CS469·ARTICLE PREMIERAdopté

  Le présent amendement vise à modifier les autorités de nomination des membres de la commission des sanctions pour revenir à la proposition initiale du Gouvernement laquelle se justifie par la nature et les missions de la commission des sanctions, qui aura à connaître d'enjeux très techniques et opérationnels, liés notamment à la sécurité des activités d'importance vitale et à la cybersécurité. Il paraît dès lors paradoxal de charger d'une telle nomination les plus hautes autorités relevant du pouvoir législatif que sont le président de l'Assemblée nationale et celui du Sénat. Néanmoins, afin de tenir compte du souhait d'une indépendance renforcée, il est proposé que le mandat de ces personnalités qualifiées ne soit pas renouvelable, sur le modèle de garanties d'indépendance applicables pour d'autres autorités (autorité de sûreté nucléaire et de radioprotection, président du collège des sanctions de l'autorité des marchés financiers, etc.).

• CS512·ARTICLE 37Adopté

  Le projet de loi emploie, en lieu et place du terme « entité fournissant des services d'enregistrement de noms de domaine » utilisé dans la directive, le terme « bureau d'enregistrement » qui est utilisé dans le code des postes et des communications électroniques. Cet amendement vise à mettre l'article 37 du projet de loi en cohérence avec le changement de terminologie précité, en permettant à la commission des sanctions mentionnée à l'article L. 1332-15 du code de la défense de statuer sur les manquements de ces acteurs aux dispositions qui leur sont applicables.

• CS500·ARTICLE 21Adopté

  Le projet de loi emploie, en lieu et place du terme « entité fournissant des services d'enregistrement de noms de domaine » utilisé dans la directive, le terme « bureau d'enregistrement » qui est utilisé dans le code des postes et des communications électroniques. Cet amendement vise, en conformité avec la directive, à appliquer aux agents agissant pour le compte des bureaux d'enregistrement l'obligation de publication des données d'enregistrement qui n'ont pas de caractère personnel prévue à l'article 21 du projet de loi.

• CS506·ARTICLE 26Adopté

  L'amendement a pour objectif d'appliquer le règlement UE n° 2024/2847, dit CRA (CyberResilienceAct) visant à imposer des exigences de cybersécurité aux fournisseurs de produits numériques accessibles sur le marché unique, qui entrera prochainement en vigueur en droit national. Il ouvre en particulier la possibilité aux agents de l'ANSSI d'effectuer des contrôles pour rechercher les manquements au règlement CRA.

• CS520·ARTICLE 39Adopté

  Le présent amendement vise à assurer la coordination avec l'amendement n° XX visant à définir les agents agissants pour le compte des bureaux d'enregistrement, et supprime la définition de ces agents via le décret prévu à l'article L. 45-7 du code des postes et communications électroniques (CPCE). Le présent amendement reprend également à l'article L45-5 du CPCE la formulation de l'article 22 afin de préciser que les offices et bureaux d'enregistrement du CPCE doivent répondre aux demandes des agents habilités à cet effet.

• CS507·ARTICLE 27Adopté

  Le présent amendement tend à compléter les prérogatives des agents et personnels en charge des contrôles des entités assujetties en ouvrant la possibilité de prélever des échantillons de produits. En effet, la mise en œuvre du règlement n° 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l'ENISA (Agence de l'Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l'information et des communications, et abrogeant le règlement (UE) n° 526/2013 (règlement sur la cybersécurité) impose la pratique de prélèvements d'échantillons de produit. De même, le règlement (UE) n°2019/881 du règlement (UE) n ° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l'identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE nécessitent d'effectuer des prélèvements de produits afin de tester le respect des exigences techniques qui leur sont applicables. Dans ces conditions, le présent amendement tend à ouvrir la possibilité pour les agents contrôleurs de procéder à des prélèvements, dans des conditions directement inspirées de celles prévues aux articles L. 512-23 et L. 512-24 du code de la consommation.

• CS496·ARTICLE 17Adopté

  Cet amendement vise essentiellement à reprendre la rédaction du 2. de l'article 23 de la directive NIS 2 qui régit les obligations des Etats-Membres et des entités en matière d'information aux destinataires des services lorsque l'entité essentielle ou importante identifie qu'une vulnérabilité critique est susceptible de les affecter. Il vise à clarifier le champ des informations devant leur être communiquées en s'alignant sur le 2. de l'article 23 de la directive NIS 2, qui limite le champ des informations communiquées aux destinataires aux mesures et corrections que les utilisateurs peuvent appliquer, et, le cas échéant, les informations relatives à la vulnérabilité elle-même. L'amendement vise également à préciser la rédaction du texte actuel qui n'indique pas à qui sont notifiés les incidents importants et les vulnérabilités critiques.

• CS508·ARTICLE 31Adopté

  L'article 31 alinéa 1 doit prévoir des conditions de déclenchement de la phase d'instruction, compatibles avec la réalité opérationnelle des contrôles. Or, si c'est effectivement le cas lorsque de manière évidente les mesures de contrôle ont révélé un manquement, cela doit également être possible lorsque le constat de certains faits sont susceptibles de révéler un manquement qui n'est pas encore qualifié ou pleinement établi au moment de l'ouverture de l'instruction. Dans certaines hypothèses, la qualification d'un manquement nécessitera des mesures d'instructions approfondie assorties de mesures de contrôle complémentaires, le cas échéant. Ainsi, la phase d'instruction permettra la qualification de certains faits au regard des règlementations mentionnées à l'article 26 justement pour déterminer si des manquements peuvent être identifiés. C'est pourquoi, il apparaît important de ne pas limiter l'ouverture de la phase d'instruction uniquement aux manquements constatés et qualifiés dans le cadre des mesures de contrôle.

• CS483·ARTICLE 5 BISTombé

  Cet amendement a pour objectif d'intégrer la notion de souveraineté numérique et d'autonomie stratégique numérique dans la stratégie nationale.

• CS493·ARTICLE 13Adopté

  Le présent amendement tend à clarifier les dispositions qui ne trouvent pas à s'appliquer dans le cas d'un acte sectoriel de l'Union européenne reconnu comme lex specialis qui prévoit des dispositions équivalentes. Il tend ainsi à préciser que sont uniquement concernées les dispositions relatives à l'application de mesures de sécurité, à la notification des incidents ainsi qu'à celles de la supervision permettant d'en vérifier le respect. En dehors de ces dispositions, les entités restent soumises au projet de loi, comme par exemple, l'obligation d'enregistrement issue de l'article 12 dont elles ne sont pas déliées.

• CS495·ARTICLE 16Adopté

  Cet amendement vise à corriger une erreur rédactionnelle suite à la reprise textuelle de l'article 14 du projet de loi. En tant qu'établissement public à caractère industriel et commercial, le CEA, notamment pour ses activités dans le domaine de la défense, n'est en effet pas concerné par ces exigences spécifiques fixées par le Premier ministre à l'égard des systèmes d'information permettant des échanges d'informations par voie électronique avec le public et d'autres administrations. Ces exigences ne concernent en effet que les administrations qui sont entités essentielles ou importantes, les administrations de l'Etat et leurs établissements publics administratifs qui exercent leurs activités dans les domaines de la sécurité publique, de la défense et de la sécurité nationale, de la répression pénale, ou des missions diplomatiques et consulaires françaises pour leurs réseaux et systèmes d'information, et enfin les juridictions administratives et judiciaires.

• CS528·ARTICLE 14Adopté

  Cet amendement vise à exclure explicitement du champ d'application de la directive NIS 2 les activités liées à la sécurité nucléaire, pour lesquelles la France souhaite pouvoir exercer pleinement et entièrement sa compétence exclusive en matière de sauvegarde de la sécurité et de la souveraineté nationales tout en conservant leur assujettissement à un niveau d'exigence rigoureusement équivalent à celui prévu par la directive NIS 2. La directive NIS 2 prend en compte cette possibilité à son considérant (10) qui dispose que « bien que la présente directive s'applique aux entités exerçant des activités de production d'électricité à partir de centrales nucléaires, certaines de ces activités peuvent être liées à la sécurité nationale. Lorsque tel est le cas, un État membre devrait être en mesure d'exercer sa compétence en matière de sauvegarde de la sécurité nationale en ce qui concerne ces activités, y compris les activités au sein de la chaîne de valeur nucléaire, conformément aux traités. » Les activités qui correspondent au considérant (10) sont en France les activités relevant de la réglementation relative à la sécurité nucléaire, mentionnées à l'article L.1333-2 du code de la défense. La sécurité nucléaire, qui intègre la sécurité des systèmes d'information, ne relève d'ailleurs pas des compétences de la Commission européenne. Il est donc proposé d'exclure de la qualification d'entités essentielles et importantes les activités soumises à autorisation au titre de l'article L.1333-2 du code de la défense. Cependant, ces entités concernées seraient soumises pour ces activités aux obligations fixées à l'article 14, notamment la garantie, pour leurs réseaux et leurs systèmes d'information, d'un niveau de sécurité adapté et proportionné au risque existant, et à celles du premier alinéa de l'article 17 relatif à la notification à l'autorité nationale de sécurité des systèmes d'information de tout incident ayant un impact important sur la fourniture de leurs services. Ces entités pourront également faire l'objet de contrôles de l'autorité nationale de sécurité des systèmes d'information et faire l'objet des sanctions prévues à l'article 37.

• CS462·ARTICLE PREMIERRejeté

  Par cet amendement, le groupe LFI souhaite modifier les critères de désignation des membres de la commission des sanctions afin de renforcer son indépendance et son impartialité. Le groupe LFI souhaite également renforcer l'indépendance de la commission des sanctions en supprimant la possibilité de renouveler le mandat de ses membres. En privant l'exécutif de la possibilité de renouveler le mandat des membres de la commission des sanctions, le caractère désintéressé des décisions prises par elle s'en trouvera renforcé. L'avis des commissions des lois de l'Assemblée nationale et du Sénat permet en effet aux deux assemblées d'exercer leur pouvoir de contrôle sur les nominations décidées par l'exécutif, et ainsi prévenir d'éventuels conflits d'intérêt qui pourraient déboucher de ces nominations. Lorsque la commission des sanctions est saisie par l'ANSSI, les 3 personnes qualifiées nommées par le Premier Ministre et les Présidents du Sénat et de l'Assemblée nationale ne peuvent avoir été membre dans les 3 dernières années d'un opérateur concerné par les sanctions, ni avoir été membre de l'ANSSI durant la même période (article 36 du PJL). Le présent amendement vise également à étendre cette condition à tous les membres de la commission des sanctions, et pas seulement lors d'une saisine par l'ANSSI.

• CS519·ARTICLE 39Adopté

  Amendement rédactionnel visant à harmoniser la rédaction de l'alinéa 6 avec celles des alinéas 3, 4 et 7 de l'article 39.

• CS482·ARTICLE PREMIERRetiré

  L'article 2 (2) de la directive 2022/2557, qui définit la notion de résilience, contient également le concept de rétablissement suite à incident.

• CS475·APRÈS L'ARTICLE 5, insérer l'article suivant:Adopté

  Le présent amendement vise à inscrire le devoir d'information des populations, sans préjuger que cela doive être fait par les seuls Plans Communaux de Sauvegarde, prévus par le code de la sécurité intérieure. Il s'agit, comme le fait le GIP ACYMA au niveau national, que la prévention soit aussi locale et territoriale. En effet, il est économe de prévenir les risques et sensibiliser sur la cybersécurité avec la réalisation de publications et de campagnes de sensibilisation et de prévention contre les cybermenaces, grâce à des contenus sous différents formats, et très fortement localement.

• CS497·ARTICLE 19Adopté

  Le projet de loi emploie, en lieu et place du terme « entité fournissant des services d'enregistrement de noms de domaine » utilisé dans la directive, le terme « bureau d'enregistrement » qui est utilisé dans le code des postes et des communications électroniques. Cet amendement vise, en conformité avec la directive, à appliquer aux agents agissant pour le compte des bureaux d'enregistrement les obligations en matière de protection des données prévues à l'alinéa 2 de l'article 19 du projet de loi.

• CS504·ARTICLE 26Adopté

  Il s'agit d'un amendement de cohérence permettant de soumettre au contrôle de l'autorité nationale de sécurité des systèmes d'information les opérateurs d'importance vitale qui ne sont pas déjà soumis à son contrôle en tant qu'entité essentielle ou importante. En effet, la rédaction actuelle de l'article 26 ne couvre que les OIV des secteurs prévus par les directives NIS2 et REC soumis au contrôle en vertu des chapitre II et III du projet de loi alors que les OIV hors du champ des directives relèvent uniquement de l'article L. 1332‑11 du code de la défense portant les obligations qui leur sont applicables.

• CS515·ARTICLE 37Adopté

  Cet amendement a pour objet de tirer les conséquences de l'amendement n°XXXX, qui soumet les personnes morales dont leurs activités visées à l'article L. 1332-2 du code de la défense les ont exclues de la qualité d'entité essentielle ou importante aux obligations des articles 14 et 17, en les soumettant également au dispositif de sanction prévu à l'article 37 de la présente loi. Il vise par ailleurs à remplacer la notion d'entité importante ou essentielle par la notion de personne concernée, dans la mesure où les personnes morales visées, qui ont été exclues de la qualité d'entité essentielle ou importante, ne sauraient dès lors être considérées comme des entités au sens de la directive et désignées comme telles au sein de cet article.

• CS529·ARTICLE 14Adopté

  Le présent amendement a pour objectif d'offrir la possibilité pour les entités régulées de se prévaloir du recours à certaines prestations de services qualifiés, pour faciliter la démonstration de leur respect à tout ou partie des objectifs de sécurité. Cet amendement répond aux préoccupations émises par la commission spéciale relative à l'encadrement du recours aux prestataires qualifiés. Il permet en ce sens de valoriser le recours par les entités assujetties aux prestations qualifiées par l'ANSSI et de favoriser le développement de l'offre de confiance sans pour autant l'imposer aux entités régulées. L'approche incitative qu'il porte constitue une manière équilibrée de répondre à ces préoccupations. Les entités régulées pourront en fonction de leurs besoins identifier les solutions qu'elles considèrent comme adéquates à leurs enjeux. Les conditions d'application des dispositions introduites par le présent amendement seront prévues par décret en Conseil d'Etat.

• CS524·ARTICLE 58 BISAdopté

  S'agissant des assurances de dommages aux biens, les risques de guerre sont légalement exclus de la garantie de l'assureur, sauf convention contraire, conformément à l'article L. 121-8 du code des assurances. Cette exclusion se justifie par le caractère inassurable d'une guerre qui constitue un risque de nature systémique limitant les possibilités de mutualisation. Par exception aux principes assurantiels, la charge de la preuve repose ici sur l'assuré qui doit démontrer l'absence de lien de causalité entre le sinistre et un fait de guerre étrangère. L'Etat est compétent en matière assurantielle dans les îles Wallis et Futuna régies par le principe de spécialité législative. La modification de l'article L. 121-8 doit être rendue applicable dans ce territoire par mention expresse. Cette exclusion légale, issue de la loi du 13 juillet 1930, a été conçue dans un contexte international marqué par le formalisme des déclarations de guerre et l'envoi de troupes et n'a pas été pensée pour des cyberattaques. La jurisprudence n'a de plus jamais défini cette notion de « guerre étrangère » au sens de l'article L. 121-8 du code des assurances. En conséquence, la loi ne prévoit pas expressément d'exclusion pour le risque d'attaques cyber d'origine étatique (« cyberguerre »). Dans le silence de la loi, des exclusions conventionnelles disparates commencent cependant à émerger dans les polices d'assurance, ce qui crée une insécurité juridique à la fois pour les assurés et les assureurs. Un important travail de concertation entre la Direction générale du Trésor, l'ANSSI, l'ACPR, l'AMRAE et France Assureurs a permis d'aboutir à une rédaction consensuelle qui permet à la fois (i) d'assurer une sécurité juridique aux assureurs, (ii) d'inverser la charge de la preuve, (iii) d'améliorer la rédaction issue du sénat sans remettre en cause l'objectif poursuivi et (iv) de traiter un sujet identifié comme de plus en plus problématique pour le développement de l'assurance cyber.

• CS477·ARTICLE 5 BISAdopté

  L'État doit veiller, à l'instar de ce qui est pratiqué dans le domaine de la sécurité routière, à faire émerger une marque nationale de prévention du risque numérique, connue du grand public, en capitalisant sur le modèle du cyber moi/s européen. Le développement de cette marque serait confiée au Groupement d'Intérêt Public Action contre la cybercriminalité (GIP ACYMA), qui deviendrait ainsi le maître d'oeuvre d'un programme ambitieux de prévention nationale en matière de cybersécurité.

• CS467·ARTICLE PREMIERAdopté

  Le présent amendement vise à modifier les autorités de nomination des membres de la commission des sanctions pour revenir à la proposition initiale du Gouvernement laquelle se justifie par la nature et les missions de la commission des sanctions, qui aura à connaître d'enjeux très techniques et opérationnels, liés notamment à la sécurité des activités d'importance vitale et à la cybersécurité. Il paraît dès lors paradoxal de charger d'une telle nomination les plus hautes autorités relevant du pouvoir législatif que sont le président de l'Assemblée nationale et celui du Sénat. Néanmoins, afin de tenir compte du souhait d'une indépendance renforcée, il est proposé que le mandat de ces personnalités qualifiées ne soit pas renouvelable, sur le modèle de garanties d'indépendance applicables pour d'autres autorités (autorité de sûreté nucléaire et de radioprotection, président du collège des sanctions de l'autorité des marchés financiers, etc.).

• CS481·ARTICLE PREMIERAdopté

  Cet amendement vise à ce que le décret d'application encadrant les enquêtes administratives de sécurité pour l'accès aux points et systèmes d'information d'importance vitale soit pris après avis de la CNIL. Le présent PJL modifie l'article L. 1332‑6 du code de la défense dans une nouvelle rédaction qui prévoit l'élargissement du champ des enquêtes administratives de sécurité aux accès à distance aux Point d'Importance Vitale (PIV), ainsi qu'aux Systèmes d'Information d'Importance Vitale (SIIV). Il prévoit ainsi qu'avant d'accorder une autorisation d'accès physique ou informatique à un PIV ou un SIIV, un OIV peut demander l'avis de l'autorité administrative compétente dans les conditions prévues par l'article L. 114‑1 du code de la Sécurité Intérieure, selon des modalités précisées par décret. Les enquêtes administratives prévues par l'article L. 114‑1 du CSI prévoient notamment la possiblité de consulter du bulletin n° 2 du casier judiciaire et de traitements automatisés de données à caractère personnel relevant de l'article 31 de la loi n° 78‑17 du 6 janvier 1978, qui contient une partie des condamnations pénales des personnes visées et est généralement demandé pour les emplois amenant à être en contact avec des personnes mineures. L'avis de la CNIL permettrait ainsi de motiver davantage les demandes d'enquêtes administratives, qui peuvent entraîner la consultation de données personnelles à caractère sensible.

• CS484·ARTICLE 6Adopté

  Cet amendement vise à préciser la définition d'agent agissant pour le compte des bureaux d'enregistrement afin de clarifier les agents soumis au présent projet de loi. La définition vise notamment à dresser une liste non exhaustive de ces agents qui inclurait les revendeurs de noms de domaine ainsi que les fournisseurs de services d'anonymisation ou d'enregistrement fiduciaire comme la prévoit la directive.

• CS526·ARTICLE 62Adopté

  Pour éviter une rupture d'égalité entre la métropole et les collectivités ultramarines du Pacifique régies par le principe de spécialité législative où toute création, modification ou abrogation d'articles métropolitains relevant de la sphère de compétence de l'Etat, en l'occurrence en matière bancaire et financière, il convient de rendre applicables les dispositions transitoires et l'entrée en vigueur différée concernant les sociétés de financement prévues à l'article 62 dans ces territoires.

• CS530·ARTICLE 15Adopté

  Cet amendement procède à une réécriture quasi complète de l'article 15 afin de clarifier les conditions dans lesquelles seront reconnues les normes et spécifications techniques, europénnes ou interationales permettant aux entités régulées de démontrer leur conformité toute ou partie aux objectifs visés. Il vise par ailleurs à faciliter, pour les entités établies dans plusieurs pays au sein de l'Union européenne, la reconnaisance de leur conformité de tout ou partie des objectifs visés lorsqu'elles appliquent un autre référentiel que celui de l'ANSSI.

• CS487·ARTICLE 8Adopté

  Cet amendement a pour objectif d'inclure les établissements publics de santé ainsi que les établissements et services sociaux et médico-sociaux dans le périmètre du projet de loi.

• CS517·APRÈS L'ARTICLE 37, insérer l'article suivant:Adopté

  Cet amendement vise à prévoir une base législative pour permettre à l'ANSSI : - D'une part, de confier au cas par cas dans les schémas de certification, l'activité de certification à des organismes d'évaluation de la conformité : o Soit en application du droit de l'Union, en particulier l'article 56 §6 du règlement n°2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l'ENISA et à la certification de cybersécurité des technologies de l'information et des communications ; o Soit pour la certification nationale, par exemple dans le cadre du décret n°2010-112 du 2 février 2010 en application du référentiel général de sécurité. - D'autre part, de soumettre à autorisation préalable ces organismes dans les cas où les schémas de certification européens ou nationaux le prévoient, afin d'évaluer leur aptitude à procéder à des évaluations et à la certification de la cybersécurité dans des domaines sensibles et présentant une technicité particulière, par exemple pour la qualification SecNumCloud.

• CS476·ARTICLE 19Adopté

  L'article 19 vient transposer l'article 28 de la Directive « NIS 2 » et ses Considérants pour encadrer la collecte des données nécessaires à l'enregistrement des noms de domaine par les offices et bureaux d'enregistrement. Dans ce cadre, le présent amendement vise à garantir le fait que l'ensemble des informations relatives au titulaire du nom de domaine, y compris lorsque ce dernier fait appel à un service tiers, sont bien récupérées par les bureaux et offices d'enregistrement au stade de la collecte. En effet, certains titulaires ont recours à des services (services dits « proxy » ou services dits de « confidentialité ») pour anonymiser leurs données, leur permettant de rester hors d'atteinte de toute action judiciaire. Précisément pour pallier l'opacité des registres actuels, l'article 28 de la Directive NIS 2 prévoit bien la collecte des informations « du point de contact qui gère le nom de domaine, si ces coordonnées sont différentes de celles du titulaire » (art. 28.1(d)). Le fait que la loi nationale vise bien les cas de recours à des services tiers est ainsi vital pour l'ensemble des personnes en situation de défendre leurs droits dans l'espace numérique, notamment les titulaires de droits de propriété intellectuelle (droit d'auteur, droits voisins, droit des marques, des dessins et modèles…), les associations de protection de l'enfance ou associations de consommateurs. Force est de tirer des conséquences concrètes du fait que certains bureaux d'enregistrement de noms de domaine font obstacle à une coopération avec les victimes d'infractions pénales ou d'attaques contre des systèmes informatiques en se fondant sur la confidentialité, privant de recours efficace les personnes en cas de conflit.

• CS473·APRÈS L'ARTICLE 62 A, insérer l'article suivant:Rejeté

  Cet amendement vise à prévoir l'établissement d'un référentiel de bonnes pratiques et un annuaire d'auditeurs approuvés par une autorité indépendante, à l'instar de l'ANSSI ou de l'ACPR, pour réaliser, à la demande des entités financières, les inspections prévues au chapitre V du règlement DORA relatif à la gestion des risques liés aux prestataires tiers de services de technologies de l'information et de la communication (TIC). Ce nouveau cadre de gestion oblige en effet les entités financières à prévoir des obligations plus strictes dans la contractualisation avec leurs prestataires de services TIC (dont les opérateurs télécoms par exemple). Dès lors, elles pourraient se voir soumettre à des audits pour vérifier la conformité de leurs prestations de services avec les exigences contractuelles de leurs clients qui eux-mêmes sont soumis au règlement DORA. Il peut être redouté que celles aient à communiquer des données sensibles, voire fassent l'objet d'enquêtes intrusives de la part de cabinet d'audit étrangers, quand bien même ils le feraient pour le compte d'une entité financière française. Certes, la loi n° 68‑678 du 26 juillet 1968 relative à la communication de documents et renseignements d'ordre économique, commercial, industriel, financier ou technique à des personnes physiques ou morales étrangères interdit déjà de communiquer des informations de nature à porter atteinte à la souveraineté, à la sécurité, aux intérêts économiques essentiels de la France ou à l'ordre public. Cependant, un référencement indépendant permettrait d'éviter ces risques et faciliterait le travail des prestataires tiers de service TIC.

• CS490·ARTICLE 9Adopté

  Cet amendement vise à prendre en compte au niveau de la loi les activités liées à la sécurité nucléaire pour lesquelles la France souhaite pouvoir exercer pleinement et entièrement sa compétence exclusive en matière de sauvegarde de la sécurité et de la souveraineté nationales. La directive NIS 2 prend en compte cette possibilité au niveau de son considérant (10) qui dispose que « bien que la présente directive s'applique aux entités exerçant des activités de production d'électricité à partir de centrales nucléaires, certaines de ces activités peuvent être liées à la sécurité nationale. Lorsque tel est le cas, un État membre devrait être en mesure d'exercer sa compétence en matière de sauvegarde de la sécurité nationale en ce qui concerne ces activités, y compris les activités au sein de la chaîne de valeur nucléaire, conformément aux traités. » Les activités qui correspondent au considérant (10) sont en France les activités relevant de la réglementation relative à la sécurité nucléaire, mentionnées à l'article L. 1333‑2 du code de la défense. La sécurité nucléaire, qui intègre la sécurité des systèmes d'information, ne relève d'ailleurs pas des compétences de la Commission européenne. Il est donc proposé d'exclure de la qualification d'entités essentielles et importantes les activités soumises à autorisation au titre de l'article L. 1333‑2 du code de la défense. Cependant, ces entités concernées seraient soumises pour ces activités aux obligations fixées à l'article 14, notamment la garantie, pour leurs réseaux et leurs systèmes d'information, d'un niveau de sécurité adapté et proportionné au risque existant, et à celles du premier alinéa de l'article 17 relatif à la notification à l'autorité nationale de sécurité des systèmes d'information de tout incident ayant un impact important sur la fourniture de leurs services.

• CS492·ARTICLE 12Adopté

  Le projet de loi emploie, en lieu et place du terme « entité fournissant des services d'enregistrement de noms de domaine » utilisé dans la directive, le terme « bureau d'enregistrement » qui est utilisé dans le code des postes et des communications électroniques. Cet amendement vise à s'assurer de l'intégration des agents agissant pour le compte des bureaux d'enregistrement à la liste des entités établie par l'autorité nationale de sécurité des systèmes d'information, en conformité avec la directive tout en tenant compte de l'adaptation de terminologie entre la directive et le projet de loi.

• CS509·ARTICLE 33Adopté

  Cet amendement tend, à titre principal, à tirer les conséquences de précédents amendements, qui excluent les personnes morales dont leurs activités visées à l'article L. 1332-2 du code de la défense du champ de la directive NIS 2 tout en garantissant leur assujettissement à un niveau d'exigence équivalent. Il vise ainsi à soumettre ces personnes aux mesures consécutives à un contrôle prévues à l'article 33 de la présente loi. Il vise par ailleurs à remplacer la notion d'entité par la notion de personne concernée, dans la mesure où les personnes morales visées ci-dessus, qui ont été exclues de la qualité d'entité essentielle ou importante, ne sauraient dès lors être considérées comme des entités au sens de la directive et désignées comme telles au sein de cet article. Cet amendement vise enfin à simplifier la rédaction de l'alinéa 3 de l'article 33 en supprimant la mention des articles 8 à 10.

• CS518·ARTICLE 38Adopté

  Sans opérer de modification de fond dès lors que l'obligation de déclaration des moyens de cryptologie ainsi que son périmètre sont préservés au niveau de la loi, cet amendement s'inscrit dans une démarche de simplification règlementaire. Il vise à améliorer la lisibilité du dispositif pour les destinataires de l'obligation en permettant de s'appuyer sur le niveau règlementaire pour tenir à jour de manière régulière, en conformité avec les engagements européens en la matière, la liste des moyens et prestations concernés par l'obligation et éviter des formalités inutiles aux entreprises. Plus précisément, il s'agirait notamment d'ouvrir la possibilité pour l'ANSSI de modifier la liste des catégories de moyens dont les caractéristiques techniques ou les conditions d'utilisation sont telles que, au regard des intérêts de la défense nationale et de la sécurité intérieure ou extérieure de l'État, qu'ils peuvent être dispensés de toute formalité préalable, par arrêté et non par décret en Conseil d'Etat : une telle procédure, dont l'obligation découle aujourd'hui de la lettre de la loi, ne paraît pas justifiée au regard de l'objet du décret comme de la fréquence et la portée des modifications à y apporter.

• CS521·ARTICLE 39Adopté

  Les articles 9 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives sont abrogés par l'article 39 de la présente loi. Les exigences à l'égard des systèmes d'information permettant des échanges d'informations par voie électronique avec le public et d'autres administrations sont désormais prises en application de l'article 11 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives et du troisième alinéa de l'article 16 du projet de loi. Cet amendement de cohérence vise à tenir compte de cette abrogation en remplaçant au sein du droit positif les renvois à ces articles par des renvois aux exigences spécifiques mentionnées à l'article 11 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives et au troisième alinéa de l'article 16 du projet de loi.

• CS470 (Rect)·ARTICLE PREMIERTombé

  Le présent amendement vise à modifier les autorités de nomination des membres de la commission des sanctions pour revenir à la proposition initiale du Gouvernement laquelle se justifie par la nature et les missions de la commission des sanctions, qui aura à connaître d'enjeux très techniques et opérationnels, liés notamment à la sécurité des activités d'importance vitale et à la cybersécurité. Il paraît dès lors paradoxal de charger d'une telle nomination les plus hautes autorités relevant du pouvoir législatif que sont le président de l'Assemblée nationale et celui du Sénat. Néanmoins, afin de tenir compte du souhait d'une indépendance renforcée, il est proposé que le mandat de ces personnalités qualifiées ne soit pas renouvelable, sur le modèle de garanties d'indépendance applicables pour d'autres autorités (autorité de sûreté nucléaire et de radioprotection, président du collège des sanctions de l'autorité des marchés financiers, etc.).

• CS465·ARTICLE PREMIERAdopté

  Le présent amendement propose de clarifier la notion d'infrastructure critique utilisée dans la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil (directive « REC »), dont la transposition est assurée par le présent projet de loi. La directive « REC » adopte une définition de la notion d'infrastructure critique plus large que celle couvrant le périmètre actuel de la notion nationale de point d'importance vitale (PIV), bien connue et appréhendée par les opérateurs concernés. Par conséquent, le Gouvernement avait fait le choix initial de conserver le périmètre actuel des PIV, et de concevoir ces derniers comme une catégorie spécifique d'infrastructure critique au sens de la directive, au même titre que les Systèmes d'information d'importance vitale (SIIV), tout en réservant la possibilité d'avoir des infrastructures critiques ne correspondant ni à des PIV, ni à des SIIV par l'emploi de l'adverbe « notamment ». Toutefois, la multiplication, récente, des textes européens faisant référence à la notion d'infrastructure critique telle qu'elle apparaît dans la directive « REC » (Recommandation du Conseil du 25 juin 2024 relative à un schéma directeur visant à coordonner au niveau de l'Union la réponse en cas de perturbations des infrastructures critiques ayant une dimension transfrontière notable ; Règlement (UE) 2024/1309 du Parlement européen et du Conseil du 29 avril 2024 relatif à des mesures visant à réduire le coût du déploiement de réseaux gigabit de communications électroniques, modifiant le règlement (UE) 2015/2120 et abrogeant la directive 2014/61/UE (règlement sur les infrastructures gigabit) ; Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle et modifiant les règlements (CE) n° 300/2008, (UE) n° 167/2013, (UE) n° 168/2013, (UE) 2018/858, (UE) 2018/1139 et (UE) 2019/2144 et les directives 2014/90/UE, (UE) 2016/797 et (UE) 2020/1828 (règlement sur l'intelligence artificielle) ; Conclusions du Conseil portant sur la révision de la stratégie de sureté maritime de l'UE (SSMUE) et son plan d'action ; Recommandation (UE) 2024/779 de la Commission du 26 février 2024 pour des infrastructures de câbles sous-marins sûres et résilientes) rend de moins en moins pertinente et intelligible la distinction entre, d'une part, des infrastructures critiques qui correspondraient aux PIV ou aux SIIV, et d'autre part, des infrastructures critiques qui n'en seraient pas. Pour des raisons de lisibilité, de clarté du champ d'application des textes européens au niveau national et de simplification, il apparaît souhaitable de lever toute ambiguïté en prévoyant d'élargir le périmètre de la notion de PIV en rendant le caractère non substituable de l'infrastructure comme un élément d'appréciation de son caractère sensible, pour qu'elle couvre entièrement celui des infrastructures critiques physiques. Les infrastructures non physiques (SIIV) ne nécessitent en revanche pas un même ajustement Concrètement, cette précision qui étend sur le territoire national le champ de la notion de PIV ne devrait pas conduire à une augmentation substantielle de leur nombre, car tout en étant plus large, la notion d'infrastructure critique demeure extrêmement proche de celle de PIV, telle qu'actuellement définie dans le code de la défense.

• CS516·ARTICLE 37Retiré

  Cet amendement met en place un mécanisme de sanction à l'encontre des collectivités territoriales en cas de manquement aux obligations prévues au titre 2 du projet de loi. En cas de manquement, dans un premier temps, la commission des sanctions enjoint la collectivité territoriale concernée à mettre en place un plan de remédiation. Si ce plan n'a pas été mis en place, la commission des sanctions peut prononcer une amende administrative dont le montant ne peut excéder 10 millions d'euros. Cet amendement se fonde sur le point n°16 de l'avis du Conseil d'État, qui indique que l'exemption dont bénéficient les collectivités territoriales « ne peut être admise » car « leur exclusion du champ des sanctions méconnaît à la fois le principe d'égalité et les objectifs de la directive ».

• CS494·ARTICLE 16 BISRejeté

  Le présent amendement tend à reconnaître l'importance que revêt la sécurité des systèmes d'information, à laquelle contribue le chiffrement des communications électroniques, du point de vue de l'intérêt général. Ce faisant, il revient sur la rédaction initiale de l'article 16 bis, qui pose des difficultés désormais connues. Celle-ci percute en particulier un travail conduit par les services de l'État, qui exige une temporalité et une sérénité avec lesquelles il serait dommageable que le législateur interfère. Le présent amendement tend donc à reconnaître l'importance du chiffrement des moyens de communication électroniques tout en laissant à ces services le temps de mener à leur terme ces travaux. Le fruit de ceux-ci serait en outre présenté au Parlement dans le cadre d'un rapport remis dans les douze mois suivant la promulgation de la loi, afin de garantir la pleine information des parlementaires pour légiférer ultérieurement sur un sujet particulièrement complexe. Tel est l'objet du présent amendement.

• CS502·ARTICLE 25Adopté

  Le projet de loi emploie, en lieu et place du terme « entité fournissant des services d'enregistrement de noms de domaine » utilisé dans la directive, le terme « bureau d'enregistrement » qui est utilisé dans le code des postes et des communications électroniques. Cet amendement vise à étendre aux agents agissant pour le compte des bureaux d'enregistrement les dispositions de l'article 25, en cohérence avec l'intégration des bureaux d'enregistrement au sein de cet article. Cette intégration se justifie par ailleurs par le besoin opérationnel de l'autorité nationale de sécurité des systèmes d'information pour éviter ou remédier à un incident.

• CS499·ARTICLE 20Adopté

  Le projet de loi emploie, en lieu et place du terme « entité fournissant des services d'enregistrement de noms de domaine » utilisé dans la directive, le terme « bureau d'enregistrement » qui est utilisé dans le code des postes et des communications électroniques. Cet amendement vise, en conformité avec la directive, à appliquer aux agents agissant pour le compte des bureaux d'enregistrement les obligations prévues à l'article 20 du projet de loi portant sur la durée de conservation des données relatives à chaque nom de domaine.

• CS525·ARTICLE 62 AAdopté

  Si ce nouvel article introduit au Sénat prévoit que les entités financières essentielles et importantes (EE/EI) soumises à la directive DORA n'ont pas à appliquer la directive NIS 2 "dès lors que l'adoption de ces mesures et la notification de ces incidents ont un effet au moins équivalent à ces exigences", le gouvernement rappelle que cela ne remet pas en question la nécessité pour les entités financières soumises à DORA de s'enregistrer en tant que EE ou EI au titre de NIS 2. Par ailleurs, il convient d'apporter deux modifications formelles relatives d'une part à une erreur de référence pour la directive NIS 2 et d'autre part à l'application de l'article à la Nouvelle-Calédonie, à la Polynésie française et aux îles Wallis et Futuna.

• CS472·APRÈS L'ARTICLE 5, insérer l'article suivant:Tombé

  Le présent amendement vise à améliorer sensiblement le degré de préparation des collectivités territoriales face à la menace cyber en intégrant explicitement le risque de cyberattaque au sein du Plan Communal de Sauvegarde (PCS). Alors que les collectivités jouent un rôle essentiel dans la continuité des services publics et la gestion des crises locales, elles sont devenues ces dernières années des cibles privilégiées des cybercriminels et d'acteurs étatiques hostiles. Selon l'ANSSI, plus de 350 collectivités ont été victimes d'une cyberattaque en 2023, dont une majorité de communes de taille moyenne, souvent démunies en matière de protection informatique. Les exemples concrets abondent. En septembre 2024, la mairie de Caen a été victime d'une attaque par rançongiciel paralysant plusieurs de ses services administratifs pendant plusieurs jours. À la même période, la ville de Chaville (Hauts-de-Seine) a vu son système d'information compromis, entraînant la perte d'accès à des documents sensibles et des données personnelles. En 2022, la ville de La Rochelle avait également subi une cyberattaque majeure, impactant la gestion de ses services numériques. Ces incidents démontrent la vulnérabilité des collectivités et l'impact potentiel de ces attaques : paralysie administrative, interruption des services aux usagers, atteinte à la confidentialité des données des citoyens, voire mise en danger de la sécurité des populations en cas d'atteinte aux systèmes d'alerte ou de gestion de crise. Or, le Plan Communal de Sauvegarde, prévu par l'article L.731-3 du Code de la sécurité intérieure, constitue l'outil de référence permettant d'organiser la réponse opérationnelle de la commune en cas d'événement grave : catastrophes naturelles, risques technologiques, sanitaires… Il apparaît aujourd'hui indispensable que les risques cyber soient explicitement intégrés à ce dispositif, au même titre que les autres menaces susceptibles de désorganiser la vie locale. Le présent amendement vise donc à améliorer sensiblement le degré de préparation des collectivités en ajoutant le risque cyber au sein du plan communal de sauvegarde. Cet amendement a été travaillé avec Hexatrust.

• CS513·ARTICLE 37Adopté

  L'amendement a pour objectif d'appliquer le règlement UE n° 2024/2847, dit CRA (CyberResilienceAct) visant à imposer des exigences de cybersécurité aux fournisseurs de produits numériques accessibles sur le marché unique, qui entrera prochainement en vigueur en droit national. Il tire les conséquences des modifications proposées à l'article 26 à cet égard.

• CS463·ARTICLE 5 BISNon soutenu

  Il ne peut y avoir de stratégie nationale relative à la cyber sécurité déconnectée d'une véritable stratégie en faveur de la souveraineté numérique. c'est le sens de notre amendement.

• CS471 (2ème Rect)·ARTICLE PREMIERDoublon
• CS503·ARTICLE 26 AAdopté

  Le présent amendement tend à supprimer la certification par l'ANSSI des services de coffre-fort numérique, pour trois raisons. Premièrement, les dispositions prévues aux 1° à 5° de cet article et précisées dans les décrets no 2018-418[1] et no 2018-853[2] permettent de garantir un niveau de sécurité minimal, jugé suffisant par l'ANSSI, pour les services de coffre-fort numérique s'accompagnant d'un régime de sanction porté par l'article L. 122-22 du code de la consommation. De plus, la certification de ces services de coffre-fort numérique, introduite à l'avant-dernier alinéa de l'article L. 103 du code des postes et des communications électroniques, n'est pas obligatoire pour les fournisseurs de tels services. Par ailleurs, aucun cas d'usage nécessitant le recours à un service de coffre-fort numérique certifié n'est identifié. Par conséquent, aucun autre cadre légal ou règlementaire ne prévoit d'imposer le recours à de tels services certifiés. Enfin, la mise en place d'une telle certification représente un coût aussi bien pour l'administration que pour les fournisseurs de services de coffre-fort numérique qui souhaiterait bénéficier de cette certification. En effet, c'est l'administration et particulièrement l'ANSSI qui a la responsabilité, en lien avec le COFRAC, de mettre en œuvre le schéma lié à la certification des services de coffre-fort numérique et, une fois ce schéma mis en œuvre, de procéder à la certification desdits services. Pour les fournisseurs de ces services, la certification représente un coût significatif lié à la mise en conformité aux exigences prévues par le cahier des charges mentionné par l'avant-dernier alinéa de l'article L. 103 du CPCE d'une part et un coût lié au processus de certification d'autre part. [1] Décret no 2018-418 du 30 mai 2018 relatif aux modalités de mise en œuvre du service de coffre-fort numérique [2] Décret no 2018-853 du 5 octobre 2018 relatif aux conditions de récupération des documents et données stockés par un service de coffre-fort numérique

• CS486·ARTICLE 6Adopté

  Cet amendement vise à reprendre la définition telle que prévue par la directive NIS 2 qui ne prévoit pas le facteur humain, dans un souci d'harmonisation de cette définition avec les autres Etats membres.

• CS479·ARTICLE PREMIERAdopté

  L'article 1er institue une commission des sanctions contre les opérateurs qui manqueraient à leurs obligations. Cet amendement vise à consacrer l'application du principe du contradictoire tout au long de la procédure devant cette commission. La commission pourra infliger des sanctions lourdes avec des amendes allant jusqu'à 2 % du chiffre d'affaires annuel mondial d'une entreprise. Dans ces conditions, il est nécessaire d'inscrire explicitement dans la loi le principe du contradictoire. Le décret d'application devra prévoir des garanties suffisantes, l'opérateur devra notamment pouvoir être à même de consulter le dossier établi à son encontre et il devra aussi pouvoir présenter des observations écrites et orales.

• CS488·ARTICLE 8Adopté

  Cet amendement vise à prendre en compte au niveau de la loi les activités liées à la sécurité nucléaire pour lesquelles la France souhaite pouvoir exercer pleinement et entièrement sa compétence exclusive en matière de sauvegarde de la sécurité et de la souveraineté nationales. La directive NIS 2 prend en compte cette possibilité au niveau de son considérant (10) qui dispose que « bien que la présente directive s'applique aux entités exerçant des activités de production d'électricité à partir de centrales nucléaires, certaines de ces activités peuvent être liées à la sécurité nationale. Lorsque tel est le cas, un État membre devrait être en mesure d'exercer sa compétence en matière de sauvegarde de la sécurité nationale en ce qui concerne ces activités, y compris les activités au sein de la chaîne de valeur nucléaire, conformément aux traités. » Les activités qui correspondent au considérant (10) sont en France les activités relevant de la règlementation relative à la sécurité nucléaire, mentionnées à l'article L.1333-2 du code de la défense. La sécurité nucléaire, qui intègre la sécurité des systèmes d'information, ne relève d'ailleurs pas des compétences de la Commission européenne. Il est donc proposé d'exclure de la qualification d'entités essentielles et importantes les activités soumises à autorisation au titre de l'article L.1333-2 du code de la défense. Cependant, ces entités concernées seraient soumises pour ces activités aux obligations fixées à l'article 14, notamment la garantie, pour leurs réseaux et leurs systèmes d'information, d'un niveau de sécurité adapté et proportionné au risque existant, et à celles du premier alinéa de l'article 17 relatif à la notification à l'autorité nationale de sécurité des systèmes d'information de tout incident ayant un impact important sur la fourniture de leurs services.

• CS489·ARTICLE 9Adopté

  Cet amendement a pour objectif d'inclure les établissements publics de santé ainsi que les établissements et services sociaux et médico-sociaux dans le périmètre du projet de loi.

• CS498·ARTICLE 19Retiré

  Le présent amendement vise à clarifier le fait que les procédures de vérification des données n'ont pas pour objectif de s'assurer de l'exactitude de ces données au moment de leur collecte. En effet, les offices et bureaux d'enregistrement n'ont pas les capacités d'effectuer une telle vérification au moment même de la collecte pour l'ensemble des noms de domaine.

• CS491·ARTICLE 10Adopté

  Cet amendement vise à transposer le 8. de l'article 2 de la directive dite NIS 2[1] qui permet aux Etats membres d'exempter des entités spécifiques qui exercent dans les domaines visés par cette disposition, de certaines obligations, notamment en matière de gestion des risques et de notification d'incidents importants. Cette disposition permettrait, de manière exceptionnelle, et lorsque le niveau d'exigences en matière de cybersécurité sera au moins équivalent pour ces entités qu'elles ne soient pas soumises à certaines obligations. [1] DIRECTIVE (UE) 2022/2555 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union, modifiant le règlement (UE) no 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2)

• CS511·ARTICLE 36Adopté

  Cet amendement a pour objectif d'aligner, par cohérence, les conditions et garanties quant à la nomination des personnalités qualifiées sur celles prévues pour la composition de la commission des sanctions mentionnée au titre 1er. Il vise également à ne pas limiter le champ des personnes dont la compétence en matière cyber est avérée pour éclairer la décision de la commission des sanctions, alors qu'un mécanisme de déport permettrait, lorsque le dossier l'impose, de répondre au risque de conflit d'intérêts, à l'instar de ce qui existe dans d'autres instances prononçant des sanctions. Alors que d'autres moyens de lutter contre les conflits d'intérêts existent, il paraît ainsi disproportionné de prévoir des incompatibilités qui conduiraient à se priver de potentiels candidats au profil pourtant intéressant.

• CS461·ARTICLE PREMIERAdopté

  Par cet amendement, le groupe LFI souhaite modifier les critères de désignation des membres de la commission des sanctions afin de renforcer son indépendance et son impartialité. Le groupe LFI souhaite également renforcer l'indépendance de la commission des sanctions en supprimant la possibilité de renouveler le mandat de ses membres. En privant l'exécutif de la possibilité de renouveler le mandat des membres de la commission des sanctions, le caractère désintéressé des décisions prises par elle s'en trouvera renforcé. L'avis des commissions des lois de l'Assemblée nationale et du Sénat permet en effet aux deux assemblées d'exercer leur pouvoir de contrôle sur les nominations décidées par l'exécutif, et ainsi prévenir d'éventuels conflits d'intérêt qui pourraient déboucher de ces nominations. Lorsque la commission des sanctions est saisie par l'ANSSI, les 3 personnes qualifiées nommées par le Premier Ministre et les Présidents du Sénat et de l'Assemblée nationale ne peuvent avoir été membre dans les 3 dernières années d'un opérateur concerné par les sanctions, ni avoir été membre de l'ANSSI durant la même période (article 36 du PJL). Le présent amendement vise également à étendre cette condition à tous les membres de la commission des sanctions, et pas seulement lors d'une saisine par l'ANSSI.

• CS527·ARTICLE 62Adopté

  Le présent amendement vise deux objectifs. D'une part, il s'agit de rétablir le principe d'une entrée en application différenciée entre les plus grandes sociétés de financement et les autres entreprises de ce type. Les plus grandes sociétés de financement exercent, pour certaines, des activités critiques pour le secteur financier français et devraient être assujetties dès la promulgation de la présente loi à des standards élevés en matière de résilience et de cybersécurité. Les autres sociétés de financement, de taille modeste, devraient bénéficier d'un report de l'entrée en application de ces exigences dans le cadre d'un calendrier de mise en conformité proportionné. D'autre part, le présent amendement vise à rétablir une date d'assujettissement des petites sociétés de financement dans des délais plus adaptés, assurant qu'à moyen terme l'ensemble du secteur financier français applique un niveau d'exigences cohérent. Le 1er janvier 2030 apparaît dans cette optique comme un horizon trop lointain et l'ampleur de cette différenciation est inéquitable par rapport à d'autres acteurs du secteur financier distribuant des services comparables aux sociétés de financement. Dans un souci d'égalité de traitement, l'échéance du 17 janvier 2027 du présent amendement offre deux ans aux petites sociétés de financement pour se préparer aux exigences de DORA, à l'instar des délais qui avaient été offerts par le règlement aux établissements de crédit. Enfin, une entrée en application différée à un horizon aussi lointain que 2030 apparaît contraire au principe du droit français d'équivalence des exigences prudentielles entre sociétés de financement et établissements de crédit. Cette équivalence est profitable aux sociétés de financement dont les expositions bénéficient à ce titre d'un traitement prudentiel aussi favorable que celui-ci des expositions auprès des banques en application de l'article 119 du règlement « CRR ». Dans le cas où cette équivalence devait être questionnée, les sociétés de financement pourraient perdre le bénéfice de cette dérogation prudentielle. La nouvelle rédaction de l'article 62 proposée par le Gouvernement maintient en revanche le second alinéa introduit dans le cadre du l'examen du projet de loi au Sénat spécifiant que les sociétés de financement de petite taille et non complexe se conforment aux exigences de DORA en application du principe de proportionnalité.

• CS485·ARTICLE 6Adopté

  Par mesure de clarification et de simplification de la rédaction, le présent amendement tend, d'une part, à utiliser directement au sein du 5° de l'article les définitions prévues aux 1° et 2° du même article et, d'autre part, à ajouter les agents agissant pour le compte de bureaux d'enregistrement dans la définition prévue au même 5°.

• CS454·ARTICLE 14Adopté

  Cet amendement complète l'alinéa 5 de l'article 14 du projet de loi pour préciser que les entités listées à l'alinéa 1 de ce même article prennent les mesures nécessaires pour garantir la résilience des réseaux et des systèmes d'information.

• CS459·ARTICLE 29Adopté

  Cet amendement prévoit que les entités mentionnées à l'article 14 du projet de loi peuvent choisir les prestataires de services certifiés, qualifiés ou agréés ou organismes indépendants sur la base d'une liste élaborée par l'ANSSI. Cet amendement fait suite à de nombreuses inquiétudes soulevées lors des auditions, notamment s'agissant d'un potentiel risque confit d'intérêt entre l'audité et l'auditeur. Avec une liste de plusieurs prestataires établie par l'ANSSI, l'entité auditée ne sera pas contrainte de se faire auditer par un acteur directement concurrent par exemple.

• CS457·ARTICLE 15Adopté

  Cet amendement procède à une réécriture quasi complète de l'article 15 afin de clarifier les conditions dans lesquelles seront reconnues les normes et spécifications techniques, européennes ou internationales permettant aux entités régulées de démontrer leur conformité toute ou partie aux objectifs visés. Il vise par ailleurs à faciliter, pour les entités établies dans plusieurs pays au sein de l'Union européenne, la reconnaisance de leur conformité de toute ou partie des objectifs visés lorsqu'elles appliquent un autre référentiel que celui de l'ANSSI.

• CS460·ARTICLE 10Adopté

  Cet amendement vise à ce que la liste des entités essentielles et importantes soit la plus conforme possible à la réalité des secteurs d'activités concernés. Les opérateurs d'importance vitale visés par le titre I du projet de loi sont désignés par les ministères coordonnateurs du secteur auxquels ils appartiennent. Les acteurs visés par le titre III sont notamment désignés par les ministères économiques et financiers. En cohérence, cet amendement vise à apporter l'expertise les ministères coordonnateurs des secteurs d'activités visés par le projet de loi afin que les listes élaborées d'entités importantes et essentielles prennent en compte les spécificités des écosystèmes concernés. Ainsi, certaines entités ne correspondant pas aux critères prédéfinis d'entité importante ou essentielle pourraient être intégrées à la liste des entités concernées pour des critères stratégiques, économiques, technologiques ou sociaux relevant de l'analyse des ministères coordonnateurs. D'autres entités connues des ministères coordonnateurs pourraient omettre de s'enregistrer. Amendement travaillé avec le Cybercercle.

• CS456·ARTICLE 14Adopté

  Cet amendement, d'une part, ajoute les ministères à la liste des personnes avec lesquelles l'ANSSI se concertera pour l'élaboration, la modification et la publication du référentiel d'exigences techniques et organisationnelles, et d'autre part, procède à des modifications d'ordre rédactionnelles dans un but de clarification.

• CS453·ARTICLE 14Adopté

  Cet amendement prévoit que les entités listées à l'alinéa premier de l'article 14 mettent en œuvre à leurs frais les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d'information qu'elles utilisent dans le cadre de leurs activités ou de la fourniture de leurs services.

• CS448·ARTICLE PREMIERAdopté

  Le présent amendement propose de clarifier la notion d'infrastructure critique, utilisée en droit européen dans la directive REC transposée au titre Ier. La directive REC adopte une définition de la notion d'infrastructure critique plus large que celle couvrant le périmètre actuel de la notion de point d'importance vitale (PIV), utilisée en droit national et bien appréhendée par les opérateurs. Par conséquent, le projet de loi avait fait le choix initial de conserver le périmètre actuel des PIV, et de concevoir ces derniers comme une catégorie spécifique d'infrastructure critique au sens de la directive, au même titre que les Systèmes d'information d'importance vitale (SIIV). Cela réservait la possibilité d'avoir des infrastructures critiques ne correspondant ni à des PIV, ni à des SIIV, d'où l'emploi de l'adverbe « notamment ». Toutefois, la multiplication, récente, des textes européens faisant référence à la notion d'infrastructure critique telle qu'elle apparaît dans la directive REC rend de moins en moins pertinente et intelligible la distinction entre, d'une part, des infrastructures critiques qui correspondraient aux PIV ou aux SIIV, et d'autre part, des infrastructures critiques qui n'en seraient pas. Pour des raisons de lisibilité, de clarté du champ d'application des textes européens au niveau national et de simplification, il apparaît souhaitable de lever toute ambiguïté en prévoyant d'élargir le périmètre de la notion de PIV en rendant le caractère non substituable de l'infrastructure comme un élément d'appréciation de son caractère sensible, pour qu'elle couvre entièrement celui des infrastructures critiques physiques. Les infrastructures non physiques (SIIV) ne nécessitent en revanche pas un même ajustement Concrètement, cette précision, qui étend le champ de la notion de PIV, ne devrait pas conduire à une augmentation substantielle de leur nombre. Tout en étant plus large, la notion d'infrastructure critique demeure extrêmement proche de celle de PIV.

• CS446·ARTICLE PREMIERAdopté

  Cet amendement intègre les vulnérabilités des sous-traitants à l'analyse des dépendances réalisée par les opérateurs d'importance vitale. Conformément aux dispositions prévues par la directive REC, l'interdépendance croissante de l'économie nécessite de la part des opérateurs d'importance vitale une analyse détaillée des vulnérabilités de leur chaîne d'approvisionnement pour limiter les risques d'incidents. Or, cette analyse ne peut être complète sans prendre en compte les sous-traitants, dans une démarche analogue à celle prévue par la directive de 2022 sur le devoir de vigilance des entreprises. Afin d'éviter de surcharger les opérateurs, il est proposé que cette analyse soit réalisée selon un délai supplémentaire aux 9 mois prévus pour l'analyse des dépendances par la directive REC. Ce délai sera fixé par voie réglementaire

• CS452·ARTICLE PREMIERAdopté

  Amendement de précision. L'opérateur d'importance vitale relevant de la catégorie d'entité critique doit garantir l'activité régulière de chaque point d'importance vitale et fournir des services essentiels au sens de la directive REC. La rédaction actuelle de cet article ne distingue pas, dans le plan particulier de résilience, ce qui relève des équipements de ce qui dépend des dispositions et procédures mises en œuvre par l'opérateur. Or le plan particulier de résilience se doit de mentionner, au-delà des seules procédures propres à assurer la protection et la résilience de ces points d'importance vitale, les équipements et les dispositifs qui peuvent s'avérer indispensables pour assurer leur efficacité, notamment afin d'éclairer la décision de l'autorité administrative chargée de l'approuver.

• CS450·ARTICLE PREMIERAdopté

  Cet amendement vise à préciser le périmètre de l'analyse des risques de dépendance que doivent conduire les opérateurs d'importance vitale (OIV), afin de prendre en compte la nature de plus en plus numérique de nos infrastructures critiques. L'article L. 1332-4, dans sa rédaction issue du projet de loi, impose une analyse des dépendances à l'égard des tiers et des vulnérabilités des chaînes d'approvisionnement. Le présent amendement vient utilement clarifier que cette analyse doit explicitement inclure l'un des risques stratégiques majeurs du XXIe siècle : la dépendance technologique vis-à-vis de fournisseurs de solutions logicielles et matérielles propriétaires. Cette démarche s'inscrit dans la continuité des travaux du Parlement. Le rapport d'information de l'Assemblée nationale « Bâtir et promouvoir une souveraineté numérique nationale et européenne » (n°4299, 2021) souligne que la maîtrise technologique et la réversibilité sont des principes fondamentaux de la souveraineté de l'État. De même, cet amendement étend aux OIV l'esprit de l'article 16 de la loi pour une République numérique, qui impose déjà aux administrations de veiller à la « maîtrise, la pérennité et l'indépendance de leurs systèmes d'information ». En effet, l'enfermement propriétaire constitue une vulnérabilité critique pour la Nation. Cet amendement demande donc que l'analyse des risques évalue spécifiquement trois aspects clés lors du choix d'une solution propriétaire : 1. La continuité de service : Quelle est la pérennité de la solution si le fournisseur disparaît ou cesse de la maintenir ? Existe-t-il une stratégie de réversibilité ? 2. Le coût à long terme : Au-delà du coût d'acquisition, quel est le coût total de possession, incluant les montées en version et les frais de maintenance imposés par des fournisseurs en situation de monopole ? 3. La capacité d'audit indépendant : Est-il possible pour l'OIV ou pour un tiers de confiance mandaté par l'État de vérifier en profondeur le fonctionnement de la solution pour y déceler d'éventuelles failles de sécurité ou des fonctionnalités non documentées ? Imposer cette analyse de risque, c'est s'assurer que les OIV prennent des décisions éclairées, qui garantissent non seulement leur propre résilience, mais aussi la sécurité et l'autonomie stratégique de la France.

• CS451·ARTICLE PREMIERRejeté

  Historiquement, dans le dispositif français, ce sont les ministères compétents des secteurs d'activité qui désignent les OIV. Il serait donc justifié qu'un représentant du ministère compétent de l'OIV mis en cause participe aux délibérations de la commission des sanctions. Il serait ainsi en mesure d'apporter d'éventuels éléments non techniques (politiques publiques, économiques, sociaux, etc.) à charge ou à décharge susceptibles d'influer sur la décision de la commission des sanctions. Amendement travaillé avec le Cybercercle

• CS192·ARTICLE PREMIERRetiré après publication

  Cet amendement renforce l'indépendance de la commission des sanctions. Afin garantir l'impartialité de la commission, le mandat des membres de la commission des sanctions sera unique plutôt que renouvelable une fois.

• CS249·ARTICLE 52Adopté

  Amendement rédactionnel.

• CS314·ARTICLE 12Adopté

  Le projet de loi emploie, en lieu et place du terme « entité fournissant des services d'enregistrement de noms de domaine » utilisé dans la directive, le terme « bureau d'enregistrement » qui est utilisé dans le code des postes et des communications électroniques. Cet amendement vise à s'assurer de l'intégration des agents agissant pour le compte des bureaux d'enregistrement à la liste des entités établie par l'autorité nationale de sécurité des systèmes d'information, en conformité avec la directive tout en tenant compte de l'adaptation de terminologie entre la directive et le projet de loi.

• CS409·ARTICLE 33Adopté

  Rédactionnel.

• CS144·ARTICLE 62Non soutenu

  Cet amendement vise à supprimer le traitement différencié octroyé aux sociétés de financement ne justifiant pas d'une taille rendant complexe l'application des obligations de la directive DORA. Pour répondre aux enjeux de la cybersécurité, il est nécessaire de ne pas offrir de porte dérobée pour les cyberattaques. Offrir une dérogation aux sociétés de financement conduirait précisément à affaiblir globalement la sécurité de l'entièreté de notre réseau. Le traitement ad hoc des entités financières de petite taille et ne gérant pas des opérations complexes n'est pas remis en cause par cet amendement.

• CS253·ARTICLE 57Adopté

  Amendement rédactionnel.

• CS221·ARTICLE 14Rejeté

  Le présent article prévoit que le référentiel d'exigences techniques et organisationnelles pourra imposer le recours à des produits, services ou processus certifiés au titre du règlement (UE) 2019/881, dit Cybersecurity Act. Cette faculté vise à renforcer le niveau de sécurité des entités assujetties à la directive NIS 2, en favorisant l'usage de solutions certifiées selon un standard européen reconnu. Cependant, une incertitude demeure quant à l'intégration, dans ces schémas de certification – notamment le futur EUCS - de critères relatifs à l'immunité des fournisseurs aux droits extraterritoriaux. Plusieurs versions préliminaires du schéma ont montré des hésitations sur ce point crucial, sous la pression de certains États membres et d'acteurs économiques favorables à une approche plus souple. Or, l'absence de garanties sur l'immunité aux législations extraterritoriales (comme le Cloud Act américain) affaiblirait l'ambition même du dispositif. Elle exposerait potentiellement les données stratégiques d'entités essentielles ou importantes à des ingérences étrangères. Dans ce contexte, le présent amendement, reprenant la définition du Secnumcloud, vise à introduire explicitement un critère d'établissement en Europe pour les services certifiés que le gouvernement peut prescrire pour les entités régulées par Nis 2.

• CS246·ARTICLE 49Retiré

  Amendement rédactionnel.

• CS429·ARTICLE 39Adopté

  Les articles 9 et 12 de l'ordonnance n° 2005‑1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives sont abrogés par l'article 39 de la présente loi. Les exigences à l'égard des systèmes d'information permettant des échanges d'informations par voie électronique avec le public et d'autres administrations sont désormais prises en application de l'article 11 de l'ordonnance n° 2005‑1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives et du troisième alinéa de l'article 16 du projet de loi. Cet amendement de cohérence vise à tenir compte de cette abrogation en remplaçant au sein du droit positif les renvois à ces articles par des renvois aux exigences spécifiques mentionnées à l'article 11 de l'ordonnance n° 2005‑1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives et au troisième alinéa de l'article 16 du projet de loi.

• CS178·ARTICLE 8Adopté

  De nombreux responsables sécurité des systèmes d'information (RSSI), en particulier dans le secteur hospitalier, alertent sur une faille majeure du dispositif actuel : les éditeurs de logiciels ne sont soumis à aucune obligation de sécurité ni à aucune autorité de contrôle. Ainsi, lorsqu'une vulnérabilité est découverte dans un logiciel utilisé par un établissement de santé, rien n'impose à l'éditeur de mettre en œuvre dans des délais raisonnables les correctifs nécessaires, exposant directement l'hôpital à des risques de cyberattaque et de paralysie de ses systèmes critiques. Or, le considérant 85 de la directive NIS 2 souligne explicitement que les éditeurs de logiciels constituent un maillon essentiel de la chaîne d'approvisionnement numérique et que leurs produits sont régulièrement exploités par des acteurs malveillants pour compromettre la sécurité des réseaux et systèmes d'information. Afin de répondre à cette vulnérabilité structurelle, le présent amendement propose d'étendre les obligations de cybersécurité prévues par la directive NIS 2 aux éditeurs de logiciels. Cette évolution permettra d'imposer des exigences minimales de sécurité dès la conception et le développement des produits, mais aussi de prévoir une capacité d'intervention et de contrôle par l'autorité compétente (ANSSI). En intégrant les éditeurs de logiciels dans le champ d'application, il s'agit de protéger les établissements de santé et plus largement les entités essentielles contre des risques aujourd'hui avérés, en garantissant que les produits dont ils dépendent respectent un socle commun de sécurité et que les éditeurs assument pleinement leurs responsabilités en cas de faille critique.

• CS420·ARTICLE 37Adopté

  Rédactionnel.

• CS185·APRÈS L'ARTICLE 33, insérer l'article suivant:Adopté

  Cet amendement du groupe Horizons & Indépendants propose de sécuriser juridiquement la dématérialisation des actes établis par les agents et personnels compétents en matière de cybersécurité et de contrôle, mentionnés à l'article 26. Il prévoit que ces actes pourront être établis, signés et conservés exclusivement sous format numérique, dans des conditions garantissant leur intégrité et leur sécurité, sans nécessité de support papier ni de sceau. Une signature électronique unique et sécurisée, conforme aux standards techniques, assurera la valeur probante des actes, quels que soient leur nombre de pages ou le nombre de signataires. L'objectif est de moderniser et simplifier les procédures administratives, conformément à l'exigence de sobriété normative.

• CS375·ARTICLE 17Adopté

  Rédactionnel.

• CS405·ARTICLE 29Adopté

  Rédactionnel.

• CS385·ARTICLE 22Adopté

  Rédactionnel.

• CS415·ARTICLE 36Adopté

  Cet amendement a pour objectif d'aligner, par cohérence, les conditions et garanties quant à la nomination des personnalités qualifiées sur celles prévues pour la composition de la commission des sanctions mentionnée au titre 1er. Il vise également à ne pas limiter le champ des personnes dont la compétence en matière cyber est avérée pour éclairer la décision de la commission des sanctions, alors qu'un mécanisme de déport permettrait, lorsque le dossier l'impose, de répondre au risque de conflit d'intérêts, à l'instar de ce qui existe dans d'autres instances prononçant des sanctions. Alors que d'autres moyens de lutter contre les conflits d'intérêts existent, il paraît ainsi disproportionné de prévoir des incompatibilités qui conduiraient à se priver de potentiels candidats au profil pourtant intéressant.

• CS351·ARTICLE 16Adopté

  Rédactionnel.

• CS329·ARTICLE 14Rejeté

  L'objectif de cet amendement est : – D'intégrer des notions de : auditabilité, transparence, portabilité et interopérabilité des technologies choisies par les entités essentielles et les entités importantes afin notamment de réduire le risque de dépendance numérique, de maximiser la résilience des réseaux et systèmes, de permettre la continuité des activités. – Rappeler l'objectif de souveraineté numérique dans le processus de certification.