Julie Ozenne

Une petite structure peut recevoir l’ordre de corriger une faille informatique, mais manquer de moyens pour le faire rapidement.

Le texte discuté permet d’assortir cet ordre d’une astreinte, somme due par jour de retard, jusqu’à 5 000 euros par jour. La commission doit ensuite déterminer la somme due si l’ordre n’est pas entièrement ou pas ponctuellement exécuté.

L’amendement rendrait cette décision facultative. Pour fixer le montant, la commission devrait notamment considérer la taille, les moyens, les efforts et les difficultés de l’entité.

Pour, adapter la somme tiendrait compte des moyens des petites structures. Contre, maintenir une liquidation obligatoire exercerait une pression financière plus systématique pour obtenir les corrections.

Un port victime d’une cyberattaque peut être accompagné par un organisme spécialisé dans les activités maritimes.

Le texte discuté prévoit que l’autorité nationale de cybersécurité agrée des organismes pour prévenir et gérer les incidents. Un décret doit fixer les modalités de cet agrément, c’est-à-dire de leur reconnaissance officielle.

L’amendement imposerait au décret d’adapter les conditions d’agrément aux missions et aux entités accompagnées, et de prévoir la coordination avec l’autorité nationale.

Pour, cette adaptation reconnaîtrait la connaissance des secteurs et territoires utile aux victimes, selon les auteurs. Contre, laisser le décret définir les modalités sans ces précisions préserverait davantage de souplesse dans l’organisation des agréments.

Des organismes publics ou privés peuvent aider à prévenir et gérer des incidents informatiques, par exemple en accompagnant une entité touchée.

Le texte discuté prévoit leur agrément par l’autorité nationale de cybersécurité et autorise leurs échanges d’informations couvertes par un secret protégé par la loi.

L’amendement préciserait leurs missions et autoriserait explicitement les échanges entre organismes, seulement si nécessaires. Il imposerait notamment confidentialité, protection des données et garanties de compétence et d’impartialité.

Pour, ces règles clarifieraient les rôles et protégeraient les informations sensibles. Contre, laisser davantage de souplesse aux organismes et au décret éviterait d’inscrire ces conditions détaillées dans la loi.

Un nom de domaine est l’adresse utilisée pour accéder à un site internet. Son enregistrement donne lieu à la conservation de données.

Le texte discuté prévoit leur conservation pendant l’utilisation du nom et un an après sa cessation.

L’amendement ajouterait une sauvegarde sécurisée pendant dix ans, pour répondre à une demande judiciaire pénale ou permettre à l’autorité de cybersécurité d’identifier l’origine d’un incident ou d’assurer la résilience des réseaux. L’accès et la protection seraient encadrés.

Pour, disposer plus longtemps de données aiderait à enquêter sur des attaques découvertes tardivement, selon les auteurs. Contre, limiter leur conservation protégerait davantage la vie privée des personnes concernées.

Enregistrer un nom de domaine, l’adresse d’un site internet, suppose de fournir des données sur son titulaire.

Le texte discuté prévoit la collecte des données nécessaires et charge un décret d’en établir la liste, après avis de l’autorité de protection des données.

L’amendement inscrirait dans la loi le nom de domaine, sa date d’enregistrement et les coordonnées du titulaire, dont son adresse postale. Il vise aussi les coordonnées distinctes des points de contact. Le décret pourrait prévoir des données complémentaires.

Pour, l’adresse postale permettrait notamment d’adresser une assignation en justice, selon les auteurs. Contre, laisser la liste au décret préserverait la souplesse pour définir les données nécessaires.

Enregistrer un nom de domaine, l’adresse d’un site internet, suppose de fournir des données sur son titulaire.

Le texte discuté prévoit la collecte des données nécessaires et charge un décret d’en établir la liste, après avis de l’autorité de protection des données.

L’amendement inscrirait une liste non exhaustive dans la loi, dont le nom de domaine, sa date d’enregistrement et les coordonnées du titulaire, adresse postale comprise. Il vise aussi les coordonnées distinctes des points de contact.

Pour, ces informations faciliteraient les démarches contre les usurpations, selon les auteurs. Contre, laisser la liste au décret préserverait la souplesse pour définir les données nécessaires.

Le chiffrement protège notamment le contenu de communications contre les accès non autorisés.

Le texte discuté interdit d’imposer aux fournisseurs de chiffrement des dispositifs affaiblissant volontairement la sécurité, comme une clé de déchiffrement maîtresse, ou permettant un accès non consenti aux données protégées.

L’amendement supprimerait cette interdiction. Il ne créerait pas lui-même une nouvelle obligation d’affaiblir le chiffrement.

Pour, ses auteurs craignent que l’interdiction entrave les accès aux données autorisés pour les enquêtes et le renseignement. Contre, maintenir l’interdiction protégerait les utilisateurs contre l’imposition de dispositifs affaiblissant volontairement la sécurité de leurs communications.

Certains organismes confient leurs services informatiques à des prestataires extérieurs, par exemple pour héberger des données.

Un amendement propose de choisir en priorité des prestataires qualifiés et soumis à l’impôt sur les sociétés en France, avec une dérogation autorisée si aucune offre ne satisfait les critères.

Le sous-amendement ajouterait un critère de priorité, l’absence de sanction administrative définitive pour un manquement grave aux obligations européennes de sécurité des données personnelles. La dérogation resterait possible.

Pour, les auteurs veulent tenir compte de manquements graves susceptibles de fragiliser les services numériques. Contre, ne pas ajouter ce critère laisserait aux organismes davantage de choix parmi les prestataires répondant aux autres conditions.

Des opérateurs privés essentiels, notamment dans l’énergie ou la santé, peuvent confier des données sensibles à un service de stockage en ligne, dit cloud.

Le texte discuté leur impose des mesures de cybersécurité proportionnées aux risques, notamment en cas de sous-traitance.

L’amendement exigerait des protections spécifiques pour certaines données sensibles confiées à un cloud privé, contre les accès étrangers non autorisés par le droit européen ou d’un État membre. Un décret préciserait les données et le délai de mise en conformité, limité à trois ans.

Pour, il vise à empêcher des autorités étrangères d’accéder aux données de services essentiels au titre de leurs lois. Contre, le texte initial laisserait aux opérateurs davantage de latitude pour adapter leurs mesures aux risques.

Un hôpital ou un service d’eau peut confier des données sensibles à un service de stockage en ligne, dit cloud.

Le texte discuté impose aux opérateurs essentiels des mesures de cybersécurité proportionnées aux risques. Certaines administrations sont déjà soumises à une protection spécifique contre les accès étrangers non autorisés.

L’amendement étendrait cette protection à d’autres opérateurs essentiels utilisant un cloud privé pour certaines données sensibles. Un décret préciserait les données et le délai de mise en conformité, limité à trois ans.

Pour, les auteurs veulent empêcher que des autorités étrangères accèdent à ces données en vertu de leurs lois. Contre, le texte initial laisserait aux opérateurs davantage de latitude pour adapter leurs mesures aux risques.

Des organismes de secteurs critiques, comme la santé, les transports ou l’alimentation, et certaines administrations conservent des données parfois sensibles.

Le texte discuté leur impose des mesures de cybersécurité adaptées aux risques, en tenant compte notamment de leur dépendance envers les prestataires.

L’amendement les obligerait, dans la mesure du possible, à utiliser un hébergement local, par exemple des serveurs internes plutôt qu’un service cloud distant. Il ne l’imposerait donc pas dans tous les cas.

Pour, les auteurs cherchent à mieux maîtriser les accès aux données et à limiter leur exposition aux législations étrangères. Contre, laisser les organismes choisir leurs solutions selon leurs risques préserverait leur capacité à adapter leur sécurité.

Des organismes publics et privés utilisent des services numériques pour stocker et traiter leurs données. Certaines lois étrangères peuvent permettre à des autorités d’accéder à ces données, même stockées à l’étranger.

Le texte discuté leur impose des mesures de cybersécurité proportionnées et prend déjà en compte la dépendance à certains prestataires.

L’amendement exigerait des solutions techniques à l’abri de toute législation étrangère extraterritoriale. Il ne fixe pas lui-même de lieu d’hébergement des données.

Pour, les auteurs veulent protéger ces données contre l’accès d’autorités étrangères. Contre, conserver le texte laisserait aux organismes davantage de latitude pour choisir des solutions adaptées à leurs risques.

Des organismes publics et privés doivent protéger leurs réseaux et leurs systèmes informatiques contre les incidents.

Le texte discuté exige un niveau de sécurité adapté au risque. Il prévoit déjà de tenir compte de la maîtrise des systèmes et des dépendances envers les prestataires lors du choix des mesures.

L’amendement ajouterait les enjeux de souveraineté numérique aux éléments auxquels ce niveau de sécurité doit être adapté. Il ne précise pas de solution technique obligatoire.

Pour, cette mention soulignerait l’importance de maîtriser les systèmes numériques. Contre, le texte mentionne déjà la souveraineté dans le choix des mesures, ce qui peut rendre cet ajout redondant.

Une cyberattaque contre un service critique peut perturber la société ou menacer la santé publique.

Le projet de loi permet au Premier ministre de classer certains organismes critiques, quelle que soit leur taille. Ce classement leur impose des mesures supplémentaires de cybersécurité.

L’amendement imposerait son entrée en vigueur au plus tard six mois après sa publication. Les auteurs souhaitent laisser le temps de contester avant des conséquences économiques, mais ce plafond permet une application immédiate.

Pour, limiter le report favoriserait une application plus rapide des mesures protégeant les services critiques. Contre, permettre un délai plus long laisserait aux organismes davantage de temps pour préparer ces mesures ou contester leur classement.

Une organisation fournissant un service critique peut être soumise à des obligations supplémentaires de cybersécurité, quelle que soit sa taille.

Le texte discuté permet au Premier ministre de la désigner par arrêté comme entité essentielle ou importante, notamment si une interruption de son service menace la santé ou la sécurité publiques.

L’amendement imposerait à l’arrêté de fixer son entrée en vigueur au plus tard quatre mois après sa publication. Il ne prévoit pas de délai minimal avant son application.

Pour, les auteurs souhaitent laisser aux entités du temps pour contester leur classement et ses conséquences économiques. Contre, ce plafond laisserait au Premier ministre moins de latitude pour différer l’application si une organisation a besoin de davantage de temps.

Une organisation fournissant un service critique pourrait être classée comme essentielle ou importante pour la cybersécurité, quelle que soit sa taille.

Le texte discuté permettrait au Premier ministre de la désigner par arrêté, notamment selon les conséquences possibles d’une perturbation de son service.

L’amendement imposerait l’application de l’arrêté au plus tard trois mois après sa publication. Ses auteurs souhaitent laisser du temps pour contester un classement aux conséquences économiques possibles, mais ce plafond ne garantit aucun délai minimal avant son application.

Pour, ce plafond limiterait l’attente avant l’application des obligations de cybersécurité. Contre, laisser la date ouverte permettrait d’accorder davantage de temps aux organisations pour s’y préparer.

Une cyberattaque peut exposer des données d’élèves ou perturber l’organisation d’un établissement scolaire, selon les auteurs de l’amendement.

Le texte discuté classe plusieurs secteurs comme critiques pour la cybersécurité, mais n’y cite pas l’éducation. Un décret préciserait les types d’entités concernés.

L’amendement ajouterait l’éducation à cette liste. Il ne désignerait pas automatiquement tous les établissements. Les entités concernées devraient financer leurs mesures de gestion des risques.

Pour, les auteurs veulent mieux protéger les données et le fonctionnement des établissements face aux attaques. Contre, ne pas étendre ce classement à l’éducation éviterait d’imposer à des entités du secteur de financer ces mesures.

Les satellites participent aux systèmes d’information et de télécommunication, pour des activités civiles ou militaires, selon les auteurs.

Le texte discuté classe déjà le secteur spatial parmi les secteurs hautement critiques pour la cybersécurité. Un décret préciserait les sous-secteurs et les types d’entités concernés.

L’amendement ajouterait explicitement les satellites et leurs opérateurs à cette liste. Il ne précise pas lui-même quels opérateurs seraient concernés ni leurs obligations.

Pour, les auteurs veulent reconnaître l’importance stratégique des satellites dans le cadre de cybersécurité. Contre, conserver la mention générale de l’espace laisserait davantage de latitude pour définir par décret les activités et entités concernées.

Les câbles sous-marins transportent des données de communication et sont exposés aux sabotages physiques et aux cyberattaques, selon les auteurs.

Le texte discuté classe déjà l’infrastructure numérique parmi les secteurs hautement critiques. Un décret préciserait les types d’entités concernés.

L’amendement ajouterait explicitement les câbles sous-marins et leurs opérateurs à cette liste. Il ne désignerait pas automatiquement chaque opérateur ni ne préciserait ses obligations.

Pour, les auteurs veulent rendre visible l’importance de ces câbles pour la continuité et la sécurité des communications. Contre, conserver la catégorie générale préserverait la souplesse du Gouvernement pour préciser par décret les entités concernées.

Une cyberattaque contre une université peut perturber son organisation et exposer des données d’étudiants, comme des relevés de notes.

Le texte classe la recherche parmi les secteurs critiques. Certains établissements sont déjà concernés et devraient financer des mesures de cybersécurité proportionnées.

L’amendement ajouterait l’enseignement supérieur et placerait la recherche parmi les secteurs hautement critiques. Il ne rendrait pas automatiquement tous les établissements essentiels, qualification associée à des contrôles différents.

Pour, les auteurs veulent mieux protéger les systèmes et données des étudiants. Contre, maintenir le classement initial limiterait pour les établissements les contraintes et contrôles liés à une éventuelle qualification comme entité essentielle.

Une attaque informatique contre une centrale d’achat peut désorganiser l’approvisionnement alimentaire. Les auteurs soulignent la dépendance du secteur à des systèmes numériques interconnectés.

Le texte discuté classe l’alimentation parmi les secteurs critiques, mais pas hautement critiques comme l’énergie ou la santé.

L’amendement la déplacerait dans cette seconde catégorie. Certaines grandes entreprises pourraient être qualifiées d’entités essentielles et soumises à des audits ponctuels, selon les types d’entités précisés par décret.

Pour, les auteurs veulent mieux préparer les chaînes alimentaires aux crises, notamment par des mesures de continuité et de cybersécurité. Contre, le classement initial éviterait d’étendre aux entreprises concernées les contrôles associés à la catégorie supérieure.

Les administrations doivent protéger leurs systèmes informatiques contre les cyberattaques et peuvent recourir à des prestataires privés.

Le texte discuté prévoit une stratégie nationale de cybersécurité élaborée par le Premier ministre, avec des objectifs, des organismes responsables et des mesures de formation.

L’amendement imposerait à cette stratégie de maintenir les acteurs publics au cœur du pilotage et de l’exécution des politiques et de développer les compétences nécessaires dans les administrations. Il n’interdit pas le recours au privé.

Pour, ses auteurs veulent préserver la maîtrise publique face aux risques de perte de compétences liés à l’externalisation. Contre, conserver le texte laisserait davantage de latitude sur la répartition des rôles avec les prestataires.

La stratégie nationale de cybersécurité vise à protéger les systèmes informatiques et prévoit des indicateurs pour suivre ses résultats.

Le texte discuté demande au Gouvernement de présenter au Parlement un rapport sur sa mise en œuvre avant le 30 septembre 2026, puis tous les deux ans.

L’amendement reporterait le premier rapport à 2027. Il conserverait la remise tous les deux ans et le suivi des indicateurs.

Pour, commencer en 2027 laisserait davantage de temps avant le premier bilan. Contre, maintenir 2026 permettrait aux parlementaires de disposer plus tôt d’informations pour contrôler la mise en œuvre de la stratégie.

Les données stratégiques et sensibles sont hébergées et gérées sur des infrastructures informatiques. Leur maîtrise pose, selon les auteurs, un enjeu de souveraineté.

Le texte discuté prévoit une stratégie nationale de cybersécurité et d’autonomie numérique, sans imposer cette étude particulière.

L’amendement y ajouterait une étude sur un système de stockage dont toutes les opérations seraient réalisées en France par une entreprise française, sous juridiction française. Il ne créerait pas lui-même ce système.

Pour, l’étude éclairerait une solution visant à réduire la dépendance étrangère. Contre, privilégier d’autres solutions peut se justifier car, selon l’agence nationale de cybersécurité, un cloud français peut encore utiliser des technologies étrangères.