Emmanuel Fernandes

Les sous-traitants de la défense peuvent être exposés aux cyberattaques. Selon les auteurs, leur protection financière et technique compte pour la sécurité de toute la chaîne.

Le texte prévoit déjà un rapport annuel sur la stratégie nationale de cybersécurité et ses moyens.

L’amendement demanderait, sous six mois, un rapport distinct sur un fonds financé par les industriels de défense et une partie des recettes d’exportation d’armes. Il ne créerait pas ce fonds.

Pour, l’étude éclairerait le Parlement sur une piste de financement pour les sous-traitants. Contre, le rapport annuel prévu permettrait déjà d’examiner les moyens de cybersécurité sans privilégier ce fonds particulier.

Une banque peut confier des services informatiques ou de télécommunications à un prestataire, dont les systèmes peuvent ensuite être contrôlés.

Un règlement européen encadre les risques liés à ces prestataires et prévoit des audits à la demande des organismes financiers.

L’amendement chargerait le ministre de l’économie d’établir une liste d’organismes habilités à réaliser ces audits, sur proposition des autorités compétentes en cybersécurité et en contrôle financier.

Pour, les auteurs souhaitent limiter les risques de divulgation de données sensibles à des cabinets étrangers. Contre, conserver le choix des auditeurs sans cette liste laisserait davantage de latitude aux organismes financiers pour organiser leurs contrôles.

Une entité financière peut devoir signaler une attaque informatique majeure à son autorité de surveillance et à l’agence nationale de cybersécurité.

Le texte discuté prévoit un document unique envoyé simultanément aux deux autorités pour les déclarations d’incidents et les notifications de cybermenaces.

L’amendement supprimerait cette règle, sans retirer les obligations de déclaration et les possibilités de notification prévues par ailleurs.

Pour, les entités pourraient adapter leurs transmissions lorsque les deux autorités ne sont pas destinataires des mêmes signalements. Contre, le document unique envoyé simultanément viserait à informer rapidement les deux autorités pour faciliter le traitement des incidents et des menaces.

Le chiffrement protège notamment le contenu de communications contre les accès non autorisés.

Le texte discuté interdit d’imposer aux fournisseurs de chiffrement des dispositifs affaiblissant volontairement la sécurité, comme une clé de déchiffrement maîtresse, ou permettant un accès non consenti aux données protégées.

L’amendement supprimerait cette interdiction. Il ne créerait pas lui-même une nouvelle obligation d’affaiblir le chiffrement.

Pour, ses auteurs craignent que l’interdiction entrave les accès aux données autorisés pour les enquêtes et le renseignement. Contre, maintenir l’interdiction protégerait les utilisateurs contre l’imposition de dispositifs affaiblissant volontairement la sécurité de leurs communications.

Certains organismes confient leurs services informatiques à des prestataires extérieurs, par exemple pour héberger des données.

Un amendement propose de choisir en priorité des prestataires qualifiés et soumis à l’impôt sur les sociétés en France, avec une dérogation autorisée si aucune offre ne satisfait les critères.

Le sous-amendement ajouterait un critère de priorité, l’absence de sanction administrative définitive pour un manquement grave aux obligations européennes de sécurité des données personnelles. La dérogation resterait possible.

Pour, les auteurs veulent tenir compte de manquements graves susceptibles de fragiliser les services numériques. Contre, ne pas ajouter ce critère laisserait aux organismes davantage de choix parmi les prestataires répondant aux autres conditions.

Des opérateurs privés essentiels, notamment dans l’énergie ou la santé, peuvent confier des données sensibles à un service de stockage en ligne, dit cloud.

Le texte discuté leur impose des mesures de cybersécurité proportionnées aux risques, notamment en cas de sous-traitance.

L’amendement exigerait des protections spécifiques pour certaines données sensibles confiées à un cloud privé, contre les accès étrangers non autorisés par le droit européen ou d’un État membre. Un décret préciserait les données et le délai de mise en conformité, limité à trois ans.

Pour, il vise à empêcher des autorités étrangères d’accéder aux données de services essentiels au titre de leurs lois. Contre, le texte initial laisserait aux opérateurs davantage de latitude pour adapter leurs mesures aux risques.

Un hôpital ou un service d’eau peut confier des données sensibles à un service de stockage en ligne, dit cloud.

Le texte discuté impose aux opérateurs essentiels des mesures de cybersécurité proportionnées aux risques. Certaines administrations sont déjà soumises à une protection spécifique contre les accès étrangers non autorisés.

L’amendement étendrait cette protection à d’autres opérateurs essentiels utilisant un cloud privé pour certaines données sensibles. Un décret préciserait les données et le délai de mise en conformité, limité à trois ans.

Pour, les auteurs veulent empêcher que des autorités étrangères accèdent à ces données en vertu de leurs lois. Contre, le texte initial laisserait aux opérateurs davantage de latitude pour adapter leurs mesures aux risques.

Des organismes de secteurs critiques, comme la santé, les transports ou l’alimentation, et certaines administrations conservent des données parfois sensibles.

Le texte discuté leur impose des mesures de cybersécurité adaptées aux risques, en tenant compte notamment de leur dépendance envers les prestataires.

L’amendement les obligerait, dans la mesure du possible, à utiliser un hébergement local, par exemple des serveurs internes plutôt qu’un service cloud distant. Il ne l’imposerait donc pas dans tous les cas.

Pour, les auteurs cherchent à mieux maîtriser les accès aux données et à limiter leur exposition aux législations étrangères. Contre, laisser les organismes choisir leurs solutions selon leurs risques préserverait leur capacité à adapter leur sécurité.

Des organismes publics et privés utilisent des services numériques pour stocker et traiter leurs données. Certaines lois étrangères peuvent permettre à des autorités d’accéder à ces données, même stockées à l’étranger.

Le texte discuté leur impose des mesures de cybersécurité proportionnées et prend déjà en compte la dépendance à certains prestataires.

L’amendement exigerait des solutions techniques à l’abri de toute législation étrangère extraterritoriale. Il ne fixe pas lui-même de lieu d’hébergement des données.

Pour, les auteurs veulent protéger ces données contre l’accès d’autorités étrangères. Contre, conserver le texte laisserait aux organismes davantage de latitude pour choisir des solutions adaptées à leurs risques.

Des organismes publics et privés doivent protéger leurs réseaux et leurs systèmes informatiques contre les incidents.

Le texte discuté exige un niveau de sécurité adapté au risque. Il prévoit déjà de tenir compte de la maîtrise des systèmes et des dépendances envers les prestataires lors du choix des mesures.

L’amendement ajouterait les enjeux de souveraineté numérique aux éléments auxquels ce niveau de sécurité doit être adapté. Il ne précise pas de solution technique obligatoire.

Pour, cette mention soulignerait l’importance de maîtriser les systèmes numériques. Contre, le texte mentionne déjà la souveraineté dans le choix des mesures, ce qui peut rendre cet ajout redondant.

Des fournisseurs numériques établis hors de l’Union européenne proposent leurs services en France, par exemple des services de stockage de données en ligne.

Le texte discuté soumet certains d’entre eux aux règles françaises de cybersécurité s’ils ont désigné un représentant en France. Il prévoit une condition comparable pour des bureaux et agents d’enregistrement.

L’amendement remplacerait cette désignation par un établissement effectif en France comme critère d’application de ces règles. Il ne formule pas directement une obligation générale de s’y établir.

Pour, les auteurs recherchent un contrôle plus concret des fournisseurs. Contre, conserver le représentant permettrait de soumettre aux règles françaises des acteurs sans établissement effectif en France.

Une cyberattaque contre un service critique peut perturber la société ou menacer la santé publique.

Le projet de loi permet au Premier ministre de classer certains organismes critiques, quelle que soit leur taille. Ce classement leur impose des mesures supplémentaires de cybersécurité.

L’amendement imposerait son entrée en vigueur au plus tard six mois après sa publication. Les auteurs souhaitent laisser le temps de contester avant des conséquences économiques, mais ce plafond permet une application immédiate.

Pour, limiter le report favoriserait une application plus rapide des mesures protégeant les services critiques. Contre, permettre un délai plus long laisserait aux organismes davantage de temps pour préparer ces mesures ou contester leur classement.

Une organisation fournissant un service critique peut être soumise à des obligations supplémentaires de cybersécurité, quelle que soit sa taille.

Le texte discuté permet au Premier ministre de la désigner par arrêté comme entité essentielle ou importante, notamment si une interruption de son service menace la santé ou la sécurité publiques.

L’amendement imposerait à l’arrêté de fixer son entrée en vigueur au plus tard quatre mois après sa publication. Il ne prévoit pas de délai minimal avant son application.

Pour, les auteurs souhaitent laisser aux entités du temps pour contester leur classement et ses conséquences économiques. Contre, ce plafond laisserait au Premier ministre moins de latitude pour différer l’application si une organisation a besoin de davantage de temps.

Une organisation fournissant un service critique pourrait être classée comme essentielle ou importante pour la cybersécurité, quelle que soit sa taille.

Le texte discuté permettrait au Premier ministre de la désigner par arrêté, notamment selon les conséquences possibles d’une perturbation de son service.

L’amendement imposerait l’application de l’arrêté au plus tard trois mois après sa publication. Ses auteurs souhaitent laisser du temps pour contester un classement aux conséquences économiques possibles, mais ce plafond ne garantit aucun délai minimal avant son application.

Pour, ce plafond limiterait l’attente avant l’application des obligations de cybersécurité. Contre, laisser la date ouverte permettrait d’accorder davantage de temps aux organisations pour s’y préparer.

Une cyberattaque peut exposer des données d’élèves ou perturber l’organisation d’un établissement scolaire, selon les auteurs de l’amendement.

Le texte discuté classe plusieurs secteurs comme critiques pour la cybersécurité, mais n’y cite pas l’éducation. Un décret préciserait les types d’entités concernés.

L’amendement ajouterait l’éducation à cette liste. Il ne désignerait pas automatiquement tous les établissements. Les entités concernées devraient financer leurs mesures de gestion des risques.

Pour, les auteurs veulent mieux protéger les données et le fonctionnement des établissements face aux attaques. Contre, ne pas étendre ce classement à l’éducation éviterait d’imposer à des entités du secteur de financer ces mesures.

Les satellites participent aux systèmes d’information et de télécommunication, pour des activités civiles ou militaires, selon les auteurs.

Le texte discuté classe déjà le secteur spatial parmi les secteurs hautement critiques pour la cybersécurité. Un décret préciserait les sous-secteurs et les types d’entités concernés.

L’amendement ajouterait explicitement les satellites et leurs opérateurs à cette liste. Il ne précise pas lui-même quels opérateurs seraient concernés ni leurs obligations.

Pour, les auteurs veulent reconnaître l’importance stratégique des satellites dans le cadre de cybersécurité. Contre, conserver la mention générale de l’espace laisserait davantage de latitude pour définir par décret les activités et entités concernées.

Les câbles sous-marins transportent des données de communication et sont exposés aux sabotages physiques et aux cyberattaques, selon les auteurs.

Le texte discuté classe déjà l’infrastructure numérique parmi les secteurs hautement critiques. Un décret préciserait les types d’entités concernés.

L’amendement ajouterait explicitement les câbles sous-marins et leurs opérateurs à cette liste. Il ne désignerait pas automatiquement chaque opérateur ni ne préciserait ses obligations.

Pour, les auteurs veulent rendre visible l’importance de ces câbles pour la continuité et la sécurité des communications. Contre, conserver la catégorie générale préserverait la souplesse du Gouvernement pour préciser par décret les entités concernées.

Une cyberattaque contre une université peut perturber son organisation et exposer des données d’étudiants, comme des relevés de notes.

Le texte classe la recherche parmi les secteurs critiques. Certains établissements sont déjà concernés et devraient financer des mesures de cybersécurité proportionnées.

L’amendement ajouterait l’enseignement supérieur et placerait la recherche parmi les secteurs hautement critiques. Il ne rendrait pas automatiquement tous les établissements essentiels, qualification associée à des contrôles différents.

Pour, les auteurs veulent mieux protéger les systèmes et données des étudiants. Contre, maintenir le classement initial limiterait pour les établissements les contraintes et contrôles liés à une éventuelle qualification comme entité essentielle.

Une attaque informatique contre une centrale d’achat peut désorganiser l’approvisionnement alimentaire. Les auteurs soulignent la dépendance du secteur à des systèmes numériques interconnectés.

Le texte discuté classe l’alimentation parmi les secteurs critiques, mais pas hautement critiques comme l’énergie ou la santé.

L’amendement la déplacerait dans cette seconde catégorie. Certaines grandes entreprises pourraient être qualifiées d’entités essentielles et soumises à des audits ponctuels, selon les types d’entités précisés par décret.

Pour, les auteurs veulent mieux préparer les chaînes alimentaires aux crises, notamment par des mesures de continuité et de cybersécurité. Contre, le classement initial éviterait d’étendre aux entreprises concernées les contrôles associés à la catégorie supérieure.

Les administrations doivent protéger leurs systèmes informatiques contre les cyberattaques et peuvent recourir à des prestataires privés.

Le texte discuté prévoit une stratégie nationale de cybersécurité élaborée par le Premier ministre, avec des objectifs, des organismes responsables et des mesures de formation.

L’amendement imposerait à cette stratégie de maintenir les acteurs publics au cœur du pilotage et de l’exécution des politiques et de développer les compétences nécessaires dans les administrations. Il n’interdit pas le recours au privé.

Pour, ses auteurs veulent préserver la maîtrise publique face aux risques de perte de compétences liés à l’externalisation. Contre, conserver le texte laisserait davantage de latitude sur la répartition des rôles avec les prestataires.

La stratégie nationale de cybersécurité vise à protéger les systèmes informatiques et prévoit des indicateurs pour suivre ses résultats.

Le texte discuté demande au Gouvernement de présenter au Parlement un rapport sur sa mise en œuvre avant le 30 septembre 2026, puis tous les deux ans.

L’amendement reporterait le premier rapport à 2027. Il conserverait la remise tous les deux ans et le suivi des indicateurs.

Pour, commencer en 2027 laisserait davantage de temps avant le premier bilan. Contre, maintenir 2026 permettrait aux parlementaires de disposer plus tôt d’informations pour contrôler la mise en œuvre de la stratégie.

Les données stratégiques et sensibles sont hébergées et gérées sur des infrastructures informatiques. Leur maîtrise pose, selon les auteurs, un enjeu de souveraineté.

Le texte discuté prévoit une stratégie nationale de cybersécurité et d’autonomie numérique, sans imposer cette étude particulière.

L’amendement y ajouterait une étude sur un système de stockage dont toutes les opérations seraient réalisées en France par une entreprise française, sous juridiction française. Il ne créerait pas lui-même ce système.

Pour, l’étude éclairerait une solution visant à réduire la dépendance étrangère. Contre, privilégier d’autres solutions peut se justifier car, selon l’agence nationale de cybersécurité, un cloud français peut encore utiliser des technologies étrangères.

Une collectivité ultramarine peut avoir besoin de former ses agents ou d’obtenir une expertise pour sécuriser ses systèmes informatiques.

Le texte discuté prévoit déjà des soutiens aux collectivités dans la stratégie nationale de cybersécurité, notamment pour leur mise en conformité et leur sécurité numérique.

L’amendement demanderait d’y préciser un accompagnement adapté à la Guadeloupe, la Guyane, la Martinique, La Réunion et Mayotte. Il ne définit pas les aides effectivement fournies et ne modifie pas les exigences de sécurité.

Pour, cette précision tiendrait compte des contraintes propres à ces territoires. Contre, le soutien général prévu laisserait davantage de souplesse pour adapter l’accompagnement à chaque collectivité.

Les administrations et les entreprises utilisent des infrastructures et des solutions numériques qui peuvent dépendre de fournisseurs étrangers.

Le texte prévoit une stratégie nationale associant cybersécurité et souveraineté numérique, c’est-à-dire la maîtrise des technologies utilisées.

L’amendement préciserait que cette approche doit favoriser le recours à des infrastructures et solutions souveraines françaises ou européennes. Il ne crée pas d’obligation d’acheter ces solutions.

Pour, les auteurs veulent soutenir l’offre française et européenne afin de réduire les dépendances aux législations étrangères. Contre, conserver une stratégie sans cette précision laisserait davantage de latitude pour choisir les solutions selon d’autres critères.