José Beaurain

Une petite structure peut recevoir l’ordre de corriger une faille informatique, mais manquer de moyens pour le faire rapidement.

Le texte discuté permet d’assortir cet ordre d’une astreinte, somme due par jour de retard, jusqu’à 5 000 euros par jour. La commission doit ensuite déterminer la somme due si l’ordre n’est pas entièrement ou pas ponctuellement exécuté.

L’amendement rendrait cette décision facultative. Pour fixer le montant, la commission devrait notamment considérer la taille, les moyens, les efforts et les difficultés de l’entité.

Pour, adapter la somme tiendrait compte des moyens des petites structures. Contre, maintenir une liquidation obligatoire exercerait une pression financière plus systématique pour obtenir les corrections.

Un port victime d’une cyberattaque peut être accompagné par un organisme spécialisé dans les activités maritimes.

Le texte discuté prévoit que l’autorité nationale de cybersécurité agrée des organismes pour prévenir et gérer les incidents. Un décret doit fixer les modalités de cet agrément, c’est-à-dire de leur reconnaissance officielle.

L’amendement imposerait au décret d’adapter les conditions d’agrément aux missions et aux entités accompagnées, et de prévoir la coordination avec l’autorité nationale.

Pour, cette adaptation reconnaîtrait la connaissance des secteurs et territoires utile aux victimes, selon les auteurs. Contre, laisser le décret définir les modalités sans ces précisions préserverait davantage de souplesse dans l’organisation des agréments.

Des organismes publics ou privés peuvent aider à prévenir et gérer des incidents informatiques, par exemple en accompagnant une entité touchée.

Le texte discuté prévoit leur agrément par l’autorité nationale de cybersécurité et autorise leurs échanges d’informations couvertes par un secret protégé par la loi.

L’amendement préciserait leurs missions et autoriserait explicitement les échanges entre organismes, seulement si nécessaires. Il imposerait notamment confidentialité, protection des données et garanties de compétence et d’impartialité.

Pour, ces règles clarifieraient les rôles et protégeraient les informations sensibles. Contre, laisser davantage de souplesse aux organismes et au décret éviterait d’inscrire ces conditions détaillées dans la loi.

Un nom de domaine est l’adresse utilisée pour accéder à un site internet. Son enregistrement donne lieu à la conservation de données.

Le texte discuté prévoit leur conservation pendant l’utilisation du nom et un an après sa cessation.

L’amendement ajouterait une sauvegarde sécurisée pendant dix ans, pour répondre à une demande judiciaire pénale ou permettre à l’autorité de cybersécurité d’identifier l’origine d’un incident ou d’assurer la résilience des réseaux. L’accès et la protection seraient encadrés.

Pour, disposer plus longtemps de données aiderait à enquêter sur des attaques découvertes tardivement, selon les auteurs. Contre, limiter leur conservation protégerait davantage la vie privée des personnes concernées.

Enregistrer un nom de domaine, l’adresse d’un site internet, suppose de fournir des données sur son titulaire.

Le texte discuté prévoit la collecte des données nécessaires et charge un décret d’en établir la liste, après avis de l’autorité de protection des données.

L’amendement inscrirait dans la loi le nom de domaine, sa date d’enregistrement et les coordonnées du titulaire, dont son adresse postale. Il vise aussi les coordonnées distinctes des points de contact. Le décret pourrait prévoir des données complémentaires.

Pour, l’adresse postale permettrait notamment d’adresser une assignation en justice, selon les auteurs. Contre, laisser la liste au décret préserverait la souplesse pour définir les données nécessaires.

Enregistrer un nom de domaine, l’adresse d’un site internet, suppose de fournir des données sur son titulaire.

Le texte discuté prévoit la collecte des données nécessaires et charge un décret d’en établir la liste, après avis de l’autorité de protection des données.

L’amendement inscrirait une liste non exhaustive dans la loi, dont le nom de domaine, sa date d’enregistrement et les coordonnées du titulaire, adresse postale comprise. Il vise aussi les coordonnées distinctes des points de contact.

Pour, ces informations faciliteraient les démarches contre les usurpations, selon les auteurs. Contre, laisser la liste au décret préserverait la souplesse pour définir les données nécessaires.

Le chiffrement protège notamment le contenu de communications contre les accès non autorisés.

Le texte discuté interdit d’imposer aux fournisseurs de chiffrement des dispositifs affaiblissant volontairement la sécurité, comme une clé de déchiffrement maîtresse, ou permettant un accès non consenti aux données protégées.

L’amendement supprimerait cette interdiction. Il ne créerait pas lui-même une nouvelle obligation d’affaiblir le chiffrement.

Pour, ses auteurs craignent que l’interdiction entrave les accès aux données autorisés pour les enquêtes et le renseignement. Contre, maintenir l’interdiction protégerait les utilisateurs contre l’imposition de dispositifs affaiblissant volontairement la sécurité de leurs communications.

Les câbles sous-marins transportent des données de communication et sont exposés aux sabotages physiques et aux cyberattaques, selon les auteurs.

Le texte discuté classe déjà l’infrastructure numérique parmi les secteurs hautement critiques. Un décret préciserait les types d’entités concernés.

L’amendement ajouterait explicitement les câbles sous-marins et leurs opérateurs à cette liste. Il ne désignerait pas automatiquement chaque opérateur ni ne préciserait ses obligations.

Pour, les auteurs veulent rendre visible l’importance de ces câbles pour la continuité et la sécurité des communications. Contre, conserver la catégorie générale préserverait la souplesse du Gouvernement pour préciser par décret les entités concernées.

Une cyberattaque contre une université peut perturber son organisation et exposer des données d’étudiants, comme des relevés de notes.

Le texte classe la recherche parmi les secteurs critiques. Certains établissements sont déjà concernés et devraient financer des mesures de cybersécurité proportionnées.

L’amendement ajouterait l’enseignement supérieur et placerait la recherche parmi les secteurs hautement critiques. Il ne rendrait pas automatiquement tous les établissements essentiels, qualification associée à des contrôles différents.

Pour, les auteurs veulent mieux protéger les systèmes et données des étudiants. Contre, maintenir le classement initial limiterait pour les établissements les contraintes et contrôles liés à une éventuelle qualification comme entité essentielle.

Une attaque informatique contre une centrale d’achat peut désorganiser l’approvisionnement alimentaire. Les auteurs soulignent la dépendance du secteur à des systèmes numériques interconnectés.

Le texte discuté classe l’alimentation parmi les secteurs critiques, mais pas hautement critiques comme l’énergie ou la santé.

L’amendement la déplacerait dans cette seconde catégorie. Certaines grandes entreprises pourraient être qualifiées d’entités essentielles et soumises à des audits ponctuels, selon les types d’entités précisés par décret.

Pour, les auteurs veulent mieux préparer les chaînes alimentaires aux crises, notamment par des mesures de continuité et de cybersécurité. Contre, le classement initial éviterait d’étendre aux entreprises concernées les contrôles associés à la catégorie supérieure.

Les administrations doivent protéger leurs systèmes informatiques contre les cyberattaques et peuvent recourir à des prestataires privés.

Le texte discuté prévoit une stratégie nationale de cybersécurité élaborée par le Premier ministre, avec des objectifs, des organismes responsables et des mesures de formation.

L’amendement imposerait à cette stratégie de maintenir les acteurs publics au cœur du pilotage et de l’exécution des politiques et de développer les compétences nécessaires dans les administrations. Il n’interdit pas le recours au privé.

Pour, ses auteurs veulent préserver la maîtrise publique face aux risques de perte de compétences liés à l’externalisation. Contre, conserver le texte laisserait davantage de latitude sur la répartition des rôles avec les prestataires.

La stratégie nationale de cybersécurité vise à protéger les systèmes informatiques et prévoit des indicateurs pour suivre ses résultats.

Le texte discuté demande au Gouvernement de présenter au Parlement un rapport sur sa mise en œuvre avant le 30 septembre 2026, puis tous les deux ans.

L’amendement reporterait le premier rapport à 2027. Il conserverait la remise tous les deux ans et le suivi des indicateurs.

Pour, commencer en 2027 laisserait davantage de temps avant le premier bilan. Contre, maintenir 2026 permettrait aux parlementaires de disposer plus tôt d’informations pour contrôler la mise en œuvre de la stratégie.

Les données stratégiques et sensibles sont hébergées et gérées sur des infrastructures informatiques. Leur maîtrise pose, selon les auteurs, un enjeu de souveraineté.

Le texte discuté prévoit une stratégie nationale de cybersécurité et d’autonomie numérique, sans imposer cette étude particulière.

L’amendement y ajouterait une étude sur un système de stockage dont toutes les opérations seraient réalisées en France par une entreprise française, sous juridiction française. Il ne créerait pas lui-même ce système.

Pour, l’étude éclairerait une solution visant à réduire la dépendance étrangère. Contre, privilégier d’autres solutions peut se justifier car, selon l’agence nationale de cybersécurité, un cloud français peut encore utiliser des technologies étrangères.

Une collectivité ultramarine peut avoir besoin de former ses agents ou d’obtenir une expertise pour sécuriser ses systèmes informatiques.

Le texte discuté prévoit déjà des soutiens aux collectivités dans la stratégie nationale de cybersécurité, notamment pour leur mise en conformité et leur sécurité numérique.

L’amendement demanderait d’y préciser un accompagnement adapté à la Guadeloupe, la Guyane, la Martinique, La Réunion et Mayotte. Il ne définit pas les aides effectivement fournies et ne modifie pas les exigences de sécurité.

Pour, cette précision tiendrait compte des contraintes propres à ces territoires. Contre, le soutien général prévu laisserait davantage de souplesse pour adapter l’accompagnement à chaque collectivité.

Les administrations et les entreprises utilisent des infrastructures et des solutions numériques qui peuvent dépendre de fournisseurs étrangers.

Le texte prévoit une stratégie nationale associant cybersécurité et souveraineté numérique, c’est-à-dire la maîtrise des technologies utilisées.

L’amendement préciserait que cette approche doit favoriser le recours à des infrastructures et solutions souveraines françaises ou européennes. Il ne crée pas d’obligation d’acheter ces solutions.

Pour, les auteurs veulent soutenir l’offre française et européenne afin de réduire les dépendances aux législations étrangères. Contre, conserver une stratégie sans cette précision laisserait davantage de latitude pour choisir les solutions selon d’autres critères.

Les administrations achètent des solutions numériques auprès de prestataires, parfois soumis à des lois étrangères. Le choix de ces fournisseurs pose des questions de sécurité et d’indépendance.

Le texte prévoit une stratégie nationale rapprochant cybersécurité et souveraineté numérique, sans mentionner explicitement les achats publics dans cette orientation.

L’amendement y ajouterait la commande publique, c’est-à-dire les achats des organismes publics. Il n’imposerait pas de choisir un fournisseur particulier.

Pour, les auteurs souhaitent utiliser ces achats pour soutenir les solutions françaises et européennes et réduire les dépendances. Contre, ne pas préciser ce levier laisserait davantage de latitude pour définir les priorités de la stratégie.

Les opérateurs d’importance vitale assurent des activités indispensables à la société ou à la sécurité. Un fournisseur peut détenir des données nécessaires à leur fonctionnement.

Le texte leur demande déjà d’analyser leurs dépendances envers leurs fournisseurs et d’en tenir compte pour leur résilience.

L’amendement imposerait de considérer, lors de l’attribution de marchés publics et concessions, les liens capitalistiques, les lois étrangères, la localisation des données et, si nécessaire, les conditions de leur récupération en fin de contrat.

Pour, ces critères aideraient à prévenir les vulnérabilités signalées par les auteurs, notamment l’impossibilité de récupérer des données utilisables. Contre, l’analyse déjà prévue laisserait davantage de latitude pour choisir les fournisseurs.

Certaines infrastructures sont indispensables à la société ou à la sécurité. Leur protection peut être confiée par concession, un contrat qui charge un opérateur d’une mission.

Le texte discuté soumet certaines concessions sensibles à des règles de commande publique et prévoit d’en informer l’administration.

L’amendement exigerait un contrôle effectif de l’État sur les opérateurs et sous-traitants, notamment par des clauses de sécurité. Il faudrait rechercher des entreprises dont les activités et données sont basées en France et dont les chaînes d’approvisionnement sont moins vulnérables, sans l’imposer systématiquement.

Pour, les auteurs veulent limiter les dépendances et protéger les données. Contre, les règles existantes laisseraient davantage de latitude dans le choix des prestataires.

Une commission pourrait sanctionner les opérateurs chargés d’activités indispensables à la société lorsqu’ils manquent à leurs obligations de sécurité.

Le texte discuté prévoit notamment trois personnalités qualifiées pour leur compétence. Tous les membres devraient être impartiaux et ne recevoir aucune instruction.

L’amendement exclurait ces trois personnalités si elles ont travaillé, dans les trois années précédant leur nomination, pour certains organismes contrôlés, l’autorité nationale de cybersécurité ou l’administration saisissant la commission.

Pour, cette séparation limiterait les conflits d’intérêts liés aux carrières entre contrôle et organismes contrôlés. Contre, conserver les règles prévues laisserait davantage de candidats expérimentés disponibles, tout en maintenant l’obligation d’impartialité.

Les opérateurs d’infrastructures critiques devraient protéger les installations nécessaires aux activités vitales. Une commission pourrait sanctionner certains manquements, par exemple à l’obligation d’établir un plan de protection.

Le texte discuté prévoit que le Premier ministre nomme seul trois personnalités qualifiées siégeant dans cette commission. Ses membres devraient agir impartialement, sans recevoir d’instructions.

L’amendement confierait une nomination au Premier ministre et une à chacun des présidents de l’Assemblée nationale et du Sénat.

Pour, ses auteurs souhaitent renforcer l’indépendance de la commission en diversifiant les autorités qui nomment ses membres. Contre, confier les trois nominations au Premier ministre préserverait une responsabilité unique, avec les garanties d’impartialité déjà prévues.

Certains opérateurs fournissent des services essentiels dans au moins six pays européens, y compris dans des secteurs sensibles comme le nucléaire ou la défense.

Le texte permet à l’administration de les dispenser de tout ou partie des obligations européennes particulières. Avec son accord, une mission de conseil peut accéder aux informations, systèmes et installations nécessaires, dans le respect des secrets protégés, puis donner lieu à un avis de la Commission européenne.

L’amendement rendrait la dispense obligatoire, mais elle pourrait rester partielle. Une mission ne serait donc pas nécessairement exclue.

Pour, les auteurs souhaitent préserver la maîtrise nationale face à cet accès. Contre, une dispense facultative permettrait de privilégier, selon les situations, le conseil européen sur la protection des services essentiels.

Certains opérateurs français fournissent des services essentiels dans plusieurs pays européens, par exemple dans l’énergie ou les communications.

Le texte prévoit que ceux qui fournissent ces services dans au moins six États membres soient identifiés comme entités critiques européennes. Avec l’accord français, une mission de conseil pourrait accéder aux informations et installations nécessaires, dans le respect des secrets protégés.

L’amendement supprimerait ces dispositions particulières, y compris la déclaration des activités concernées. Les autres obligations nationales des opérateurs resteraient prévues.

Pour, les auteurs veulent réserver à l’État la protection de structures stratégiques. Contre, conserver la mission permettrait un avis européen sur la résilience de services dont dépendent plusieurs pays.

Une personne peut demander l’accès physique ou à distance à une infrastructure critique, par exemple dans les transports ou l’énergie. L’opérateur peut demander une enquête administrative sur son comportement.

Le texte discuté imposerait aux seuls opérateurs privés de refuser l’accès après un avis défavorable, émis si l’enquête établit un risque pour l’activité ou l’infrastructure.

L’amendement étendrait cette obligation aux opérateurs publics. La personne resterait informée de l’enquête.

Pour, les auteurs veulent protéger les infrastructures quel que soit le statut de leur exploitant. Contre, laisser la décision aux opérateurs publics préserverait leur marge d’appréciation pour autoriser ou non l’accès malgré l’avis.

Les opérateurs d’importance vitale assurent des activités indispensables à la société ou à la sécurité. Certains postes sont sensibles parce qu’ils sont indispensables à ces activités ou exposent l’opérateur à des vulnérabilités.

Le projet de loi leur permet de demander un avis administratif, après enquête, avant un recrutement ou une affectation sur ces postes.

L’amendement rendrait cette demande obligatoire pour les postes sensibles. Elle resterait facultative pour les postes nécessitant un accès aux infrastructures critiques.

Pour, les auteurs veulent vérifier systématiquement les profils face aux menaces terroristes et aux ingérences étrangères. Contre, laisser le choix aux opérateurs permettrait de réserver ces enquêtes aux situations qu’ils jugent nécessaires.