Charles Fournier

Les sous-traitants de la défense peuvent être exposés aux cyberattaques. Selon les auteurs, leur protection financière et technique compte pour la sécurité de toute la chaîne.

Le texte prévoit déjà un rapport annuel sur la stratégie nationale de cybersécurité et ses moyens.

L’amendement demanderait, sous six mois, un rapport distinct sur un fonds financé par les industriels de défense et une partie des recettes d’exportation d’armes. Il ne créerait pas ce fonds.

Pour, l’étude éclairerait le Parlement sur une piste de financement pour les sous-traitants. Contre, le rapport annuel prévu permettrait déjà d’examiner les moyens de cybersécurité sans privilégier ce fonds particulier.

Une banque peut confier des services informatiques ou de télécommunications à un prestataire, dont les systèmes peuvent ensuite être contrôlés.

Un règlement européen encadre les risques liés à ces prestataires et prévoit des audits à la demande des organismes financiers.

L’amendement chargerait le ministre de l’économie d’établir une liste d’organismes habilités à réaliser ces audits, sur proposition des autorités compétentes en cybersécurité et en contrôle financier.

Pour, les auteurs souhaitent limiter les risques de divulgation de données sensibles à des cabinets étrangers. Contre, conserver le choix des auditeurs sans cette liste laisserait davantage de latitude aux organismes financiers pour organiser leurs contrôles.

Une entité financière peut devoir signaler une attaque informatique majeure à son autorité de surveillance et à l’agence nationale de cybersécurité.

Le texte discuté prévoit un document unique envoyé simultanément aux deux autorités pour les déclarations d’incidents et les notifications de cybermenaces.

L’amendement supprimerait cette règle, sans retirer les obligations de déclaration et les possibilités de notification prévues par ailleurs.

Pour, les entités pourraient adapter leurs transmissions lorsque les deux autorités ne sont pas destinataires des mêmes signalements. Contre, le document unique envoyé simultanément viserait à informer rapidement les deux autorités pour faciliter le traitement des incidents et des menaces.

Une administration ou une collectivité peut manquer à ses obligations de cybersécurité, exposant ses données et ses services.

Le texte discuté exclut les administrations des amendes administratives prévues pour ces manquements, selon les auteurs.

L’amendement permettrait une amende contre un responsable public ayant commis une faute grave en ne remédiant pas aux manquements après mise en demeure. Celle-ci fixerait un délai d’au moins trois mois, sauf urgence ou manquement grave. Les moyens disponibles et les alertes données compteraient dans l’appréciation.

Pour, la responsabilité personnelle inciterait à corriger les défaillances persistantes. Contre, éviter cette responsabilité supplémentaire préserverait les responsables publics d’une exposition personnelle à une procédure, même encadrée par ces conditions.

Une collectivité peut manquer à ses obligations de cybersécurité, par exemple en ne signalant pas un incident important.

Le texte discuté prévoit des sanctions pour certains manquements, mais exclut les collectivités des amendes administratives correspondantes.

L’amendement obligerait la commission des sanctions à leur imposer un plan correctif sous trois mois, avec l’expertise de l’agence nationale de cybersécurité. En cas de retard, elle pourrait exiger sa présentation en assemblée et sa publication. Un incident important non signalé donnerait aussi lieu à un rapport.

Pour, le plan accompagné aiderait les collectivités à corriger leurs difficultés. Contre, éviter cette obligation uniforme leur laisserait plus de latitude pour organiser leurs corrections.

Une entreprise contrôlée pour des manquements de cybersécurité peut voir son cas examiné par une commission des sanctions.

Le texte discuté prévoit notamment trois personnalités choisies pour leurs compétences en sécurité informatique au sein de cette commission.

L’amendement y ajouterait un représentant du ministère responsable du secteur d’activité de l’entité concernée. La composition varierait donc selon le secteur examiné.

Pour, cette expertise pourrait éclairer la commission sur les conséquences pour les clients et les enjeux économiques ou technologiques. Contre, conserver la composition prévue donnerait plus de poids relatif aux compétences techniques et juridiques pour apprécier les manquements.

Une petite structure peut recevoir l’ordre de corriger une faille informatique, mais manquer de moyens pour le faire rapidement.

Le texte discuté permet d’assortir cet ordre d’une astreinte, somme due par jour de retard, jusqu’à 5 000 euros par jour. La commission doit ensuite déterminer la somme due si l’ordre n’est pas entièrement ou pas ponctuellement exécuté.

L’amendement rendrait cette décision facultative. Pour fixer le montant, la commission devrait notamment considérer la taille, les moyens, les efforts et les difficultés de l’entité.

Pour, adapter la somme tiendrait compte des moyens des petites structures. Contre, maintenir une liquidation obligatoire exercerait une pression financière plus systématique pour obtenir les corrections.

Un port victime d’une cyberattaque peut être accompagné par un organisme spécialisé dans les activités maritimes.

Le texte discuté prévoit que l’autorité nationale de cybersécurité agrée des organismes pour prévenir et gérer les incidents. Un décret doit fixer les modalités de cet agrément, c’est-à-dire de leur reconnaissance officielle.

L’amendement imposerait au décret d’adapter les conditions d’agrément aux missions et aux entités accompagnées, et de prévoir la coordination avec l’autorité nationale.

Pour, cette adaptation reconnaîtrait la connaissance des secteurs et territoires utile aux victimes, selon les auteurs. Contre, laisser le décret définir les modalités sans ces précisions préserverait davantage de souplesse dans l’organisation des agréments.

Des organismes publics ou privés peuvent aider à prévenir et gérer des incidents informatiques, par exemple en accompagnant une entité touchée.

Le texte discuté prévoit leur agrément par l’autorité nationale de cybersécurité et autorise leurs échanges d’informations couvertes par un secret protégé par la loi.

L’amendement préciserait leurs missions et autoriserait explicitement les échanges entre organismes, seulement si nécessaires. Il imposerait notamment confidentialité, protection des données et garanties de compétence et d’impartialité.

Pour, ces règles clarifieraient les rôles et protégeraient les informations sensibles. Contre, laisser davantage de souplesse aux organismes et au décret éviterait d’inscrire ces conditions détaillées dans la loi.

Un nom de domaine est l’adresse utilisée pour accéder à un site internet. Son enregistrement donne lieu à la conservation de données.

Le texte discuté prévoit leur conservation pendant l’utilisation du nom et un an après sa cessation.

L’amendement ajouterait une sauvegarde sécurisée pendant dix ans, pour répondre à une demande judiciaire pénale ou permettre à l’autorité de cybersécurité d’identifier l’origine d’un incident ou d’assurer la résilience des réseaux. L’accès et la protection seraient encadrés.

Pour, disposer plus longtemps de données aiderait à enquêter sur des attaques découvertes tardivement, selon les auteurs. Contre, limiter leur conservation protégerait davantage la vie privée des personnes concernées.

Enregistrer un nom de domaine, l’adresse d’un site internet, suppose de fournir des données sur son titulaire.

Le texte discuté prévoit la collecte des données nécessaires et charge un décret d’en établir la liste, après avis de l’autorité de protection des données.

L’amendement inscrirait dans la loi le nom de domaine, sa date d’enregistrement et les coordonnées du titulaire, dont son adresse postale. Il vise aussi les coordonnées distinctes des points de contact. Le décret pourrait prévoir des données complémentaires.

Pour, l’adresse postale permettrait notamment d’adresser une assignation en justice, selon les auteurs. Contre, laisser la liste au décret préserverait la souplesse pour définir les données nécessaires.

Enregistrer un nom de domaine, l’adresse d’un site internet, suppose de fournir des données sur son titulaire.

Le texte discuté prévoit la collecte des données nécessaires et charge un décret d’en établir la liste, après avis de l’autorité de protection des données.

L’amendement inscrirait une liste non exhaustive dans la loi, dont le nom de domaine, sa date d’enregistrement et les coordonnées du titulaire, adresse postale comprise. Il vise aussi les coordonnées distinctes des points de contact.

Pour, ces informations faciliteraient les démarches contre les usurpations, selon les auteurs. Contre, laisser la liste au décret préserverait la souplesse pour définir les données nécessaires.

Le chiffrement protège notamment le contenu de communications contre les accès non autorisés.

Le texte discuté interdit d’imposer aux fournisseurs de chiffrement des dispositifs affaiblissant volontairement la sécurité, comme une clé de déchiffrement maîtresse, ou permettant un accès non consenti aux données protégées.

L’amendement supprimerait cette interdiction. Il ne créerait pas lui-même une nouvelle obligation d’affaiblir le chiffrement.

Pour, ses auteurs craignent que l’interdiction entrave les accès aux données autorisés pour les enquêtes et le renseignement. Contre, maintenir l’interdiction protégerait les utilisateurs contre l’imposition de dispositifs affaiblissant volontairement la sécurité de leurs communications.

Certains organismes confient leurs services informatiques à des prestataires extérieurs, par exemple pour héberger des données.

Un amendement propose de choisir en priorité des prestataires qualifiés et soumis à l’impôt sur les sociétés en France, avec une dérogation autorisée si aucune offre ne satisfait les critères.

Le sous-amendement ajouterait un critère de priorité, l’absence de sanction administrative définitive pour un manquement grave aux obligations européennes de sécurité des données personnelles. La dérogation resterait possible.

Pour, les auteurs veulent tenir compte de manquements graves susceptibles de fragiliser les services numériques. Contre, ne pas ajouter ce critère laisserait aux organismes davantage de choix parmi les prestataires répondant aux autres conditions.

Des organismes publics et privés doivent protéger leurs réseaux et leurs systèmes informatiques contre les incidents.

Le texte discuté exige un niveau de sécurité adapté au risque. Il prévoit déjà de tenir compte de la maîtrise des systèmes et des dépendances envers les prestataires lors du choix des mesures.

L’amendement ajouterait les enjeux de souveraineté numérique aux éléments auxquels ce niveau de sécurité doit être adapté. Il ne précise pas de solution technique obligatoire.

Pour, cette mention soulignerait l’importance de maîtriser les systèmes numériques. Contre, le texte mentionne déjà la souveraineté dans le choix des mesures, ce qui peut rendre cet ajout redondant.

Des fournisseurs numériques établis hors de l’Union européenne proposent leurs services en France, par exemple des services de stockage de données en ligne.

Le texte discuté soumet certains d’entre eux aux règles françaises de cybersécurité s’ils ont désigné un représentant en France. Il prévoit une condition comparable pour des bureaux et agents d’enregistrement.

L’amendement remplacerait cette désignation par un établissement effectif en France comme critère d’application de ces règles. Il ne formule pas directement une obligation générale de s’y établir.

Pour, les auteurs recherchent un contrôle plus concret des fournisseurs. Contre, conserver le représentant permettrait de soumettre aux règles françaises des acteurs sans établissement effectif en France.

Une cyberattaque contre un service critique peut perturber la société ou menacer la santé publique.

Le projet de loi permet au Premier ministre de classer certains organismes critiques, quelle que soit leur taille. Ce classement leur impose des mesures supplémentaires de cybersécurité.

L’amendement imposerait son entrée en vigueur au plus tard six mois après sa publication. Les auteurs souhaitent laisser le temps de contester avant des conséquences économiques, mais ce plafond permet une application immédiate.

Pour, limiter le report favoriserait une application plus rapide des mesures protégeant les services critiques. Contre, permettre un délai plus long laisserait aux organismes davantage de temps pour préparer ces mesures ou contester leur classement.

Une organisation fournissant un service critique peut être soumise à des obligations supplémentaires de cybersécurité, quelle que soit sa taille.

Le texte discuté permet au Premier ministre de la désigner par arrêté comme entité essentielle ou importante, notamment si une interruption de son service menace la santé ou la sécurité publiques.

L’amendement imposerait à l’arrêté de fixer son entrée en vigueur au plus tard quatre mois après sa publication. Il ne prévoit pas de délai minimal avant son application.

Pour, les auteurs souhaitent laisser aux entités du temps pour contester leur classement et ses conséquences économiques. Contre, ce plafond laisserait au Premier ministre moins de latitude pour différer l’application si une organisation a besoin de davantage de temps.

Une organisation fournissant un service critique pourrait être classée comme essentielle ou importante pour la cybersécurité, quelle que soit sa taille.

Le texte discuté permettrait au Premier ministre de la désigner par arrêté, notamment selon les conséquences possibles d’une perturbation de son service.

L’amendement imposerait l’application de l’arrêté au plus tard trois mois après sa publication. Ses auteurs souhaitent laisser du temps pour contester un classement aux conséquences économiques possibles, mais ce plafond ne garantit aucun délai minimal avant son application.

Pour, ce plafond limiterait l’attente avant l’application des obligations de cybersécurité. Contre, laisser la date ouverte permettrait d’accorder davantage de temps aux organisations pour s’y préparer.

Le déficit public apparaît lorsque les dépenses des administrations dépassent leurs recettes. La dette représente leur endettement accumulé.

L’article présentant les prévisions a été supprimé. Le projet initial prévoyait un déficit de 5 % et une dette de 121,7 % du PIB, la richesse produite dans le pays.

L’amendement rétablirait le tableau avec un déficit prévu à 5,9 % et une dette à 122,6 % du PIB. Ces chiffres tiennent notamment compte d’amendements sur les recettes diminuant les prélèvements prévus.

Pour, ces prévisions éclaireraient les conséquences budgétaires des modifications. Contre, elles ne refléteraient pas tous les amendements adoptés, car le Gouvernement exclut ceux qu’il estime contraires aux normes supérieures.

Un particulier ou une entreprise pourrait prêter à l’État en achetant un titre de dette, qui rapporte des intérêts.

Le budget discuté autorise déjà le ministre des finances à emprunter en 2027 pour couvrir les besoins de trésorerie de l’État.

L’amendement lui permettrait de proposer directement ces titres aux personnes et organismes domiciliés fiscalement en France. Un décret préciserait les conditions.

Pour, les auteurs veulent maintenir davantage de dette en France et réduire la part détenue par des investisseurs étrangers. Contre, attirer des souscripteurs pourrait nécessiter des avantages fiscaux ou un taux bonifié, donc des conditions potentiellement coûteuses pour l’État.

L’État emprunte notamment en émettant des obligations indexées sur l’inflation. Lorsque les prix augmentent, le montant à rembourser augmente aussi.

Le budget discuté autorise le ministre des finances à emprunter en 2027 à court, moyen ou long terme.

L’amendement limiterait à cinq ans la durée des obligations indexées nouvellement émises. Une obligation remboursable après dix ans serait ainsi exclue.

Pour, les auteurs veulent limiter l’exposition des finances publiques aux hausses imprévisibles des prix à long terme. Contre, conserver des durées plus longues laisserait à l’État davantage de choix pour organiser ses emprunts.

L’État emprunte notamment au moyen d’obligations indexées sur l’inflation. Leur montant à rembourser augmente avec les prix.

Le budget discuté autorise le ministre des finances à emprunter en 2027 à court, moyen ou long terme, sans exclure ces emprunts indexés.

L’amendement interdirait d’indexer sur l’inflation les emprunts autorisés par cet article. Contrairement à l’exposé des auteurs, son texte ne prévoit pas de transition sur cinq ans.

Pour, les auteurs souhaitent protéger les finances publiques du surcoût lié aux hausses de prix. Contre, conserver cette possibilité laisserait à l’État plus de choix pour financer ses besoins.

Le projet de budget prévoyait un déficit de 156,4 milliards d’euros en 2027.

Des amendements adoptés réduiraient les recettes et augmenteraient les transferts aux collectivités.

En intégrant ces votes, le Gouvernement porterait le déficit à 177,1 milliards et la hausse de dette à court terme de 2,2 à 22,9 milliards. Le calcul exclut cinq amendements et certains ajustements de dépenses encore possibles.

Pour, le Gouvernement veut éviter de compter des recettes qu’il juge inapplicables ou susceptibles d’être remboursées. Contre, chiffrer aussi les cinq amendements rendrait les tableaux plus fidèles aux votes des députés.