Timothée Houssin

Des fournisseurs numériques établis hors de l’Union européenne proposent leurs services en France, par exemple des services de stockage de données en ligne.

Le texte discuté soumet certains d’entre eux aux règles françaises de cybersécurité s’ils ont désigné un représentant en France. Il prévoit une condition comparable pour des bureaux et agents d’enregistrement.

L’amendement remplacerait cette désignation par un établissement effectif en France comme critère d’application de ces règles. Il ne formule pas directement une obligation générale de s’y établir.

Pour, les auteurs recherchent un contrôle plus concret des fournisseurs. Contre, conserver le représentant permettrait de soumettre aux règles françaises des acteurs sans établissement effectif en France.

Une cyberattaque contre un service critique peut perturber la société ou menacer la santé publique.

Le projet de loi permet au Premier ministre de classer certains organismes critiques, quelle que soit leur taille. Ce classement leur impose des mesures supplémentaires de cybersécurité.

L’amendement imposerait son entrée en vigueur au plus tard six mois après sa publication. Les auteurs souhaitent laisser le temps de contester avant des conséquences économiques, mais ce plafond permet une application immédiate.

Pour, limiter le report favoriserait une application plus rapide des mesures protégeant les services critiques. Contre, permettre un délai plus long laisserait aux organismes davantage de temps pour préparer ces mesures ou contester leur classement.

Une organisation fournissant un service critique peut être soumise à des obligations supplémentaires de cybersécurité, quelle que soit sa taille.

Le texte discuté permet au Premier ministre de la désigner par arrêté comme entité essentielle ou importante, notamment si une interruption de son service menace la santé ou la sécurité publiques.

L’amendement imposerait à l’arrêté de fixer son entrée en vigueur au plus tard quatre mois après sa publication. Il ne prévoit pas de délai minimal avant son application.

Pour, les auteurs souhaitent laisser aux entités du temps pour contester leur classement et ses conséquences économiques. Contre, ce plafond laisserait au Premier ministre moins de latitude pour différer l’application si une organisation a besoin de davantage de temps.

Une organisation fournissant un service critique pourrait être classée comme essentielle ou importante pour la cybersécurité, quelle que soit sa taille.

Le texte discuté permettrait au Premier ministre de la désigner par arrêté, notamment selon les conséquences possibles d’une perturbation de son service.

L’amendement imposerait l’application de l’arrêté au plus tard trois mois après sa publication. Ses auteurs souhaitent laisser du temps pour contester un classement aux conséquences économiques possibles, mais ce plafond ne garantit aucun délai minimal avant son application.

Pour, ce plafond limiterait l’attente avant l’application des obligations de cybersécurité. Contre, laisser la date ouverte permettrait d’accorder davantage de temps aux organisations pour s’y préparer.

Une cyberattaque peut exposer des données d’élèves ou perturber l’organisation d’un établissement scolaire, selon les auteurs de l’amendement.

Le texte discuté classe plusieurs secteurs comme critiques pour la cybersécurité, mais n’y cite pas l’éducation. Un décret préciserait les types d’entités concernés.

L’amendement ajouterait l’éducation à cette liste. Il ne désignerait pas automatiquement tous les établissements. Les entités concernées devraient financer leurs mesures de gestion des risques.

Pour, les auteurs veulent mieux protéger les données et le fonctionnement des établissements face aux attaques. Contre, ne pas étendre ce classement à l’éducation éviterait d’imposer à des entités du secteur de financer ces mesures.

Les satellites participent aux systèmes d’information et de télécommunication, pour des activités civiles ou militaires, selon les auteurs.

Le texte discuté classe déjà le secteur spatial parmi les secteurs hautement critiques pour la cybersécurité. Un décret préciserait les sous-secteurs et les types d’entités concernés.

L’amendement ajouterait explicitement les satellites et leurs opérateurs à cette liste. Il ne précise pas lui-même quels opérateurs seraient concernés ni leurs obligations.

Pour, les auteurs veulent reconnaître l’importance stratégique des satellites dans le cadre de cybersécurité. Contre, conserver la mention générale de l’espace laisserait davantage de latitude pour définir par décret les activités et entités concernées.

Les câbles sous-marins transportent des données de communication et sont exposés aux sabotages physiques et aux cyberattaques, selon les auteurs.

Le texte discuté classe déjà l’infrastructure numérique parmi les secteurs hautement critiques. Un décret préciserait les types d’entités concernés.

L’amendement ajouterait explicitement les câbles sous-marins et leurs opérateurs à cette liste. Il ne désignerait pas automatiquement chaque opérateur ni ne préciserait ses obligations.

Pour, les auteurs veulent rendre visible l’importance de ces câbles pour la continuité et la sécurité des communications. Contre, conserver la catégorie générale préserverait la souplesse du Gouvernement pour préciser par décret les entités concernées.

Une cyberattaque contre une université peut perturber son organisation et exposer des données d’étudiants, comme des relevés de notes.

Le texte classe la recherche parmi les secteurs critiques. Certains établissements sont déjà concernés et devraient financer des mesures de cybersécurité proportionnées.

L’amendement ajouterait l’enseignement supérieur et placerait la recherche parmi les secteurs hautement critiques. Il ne rendrait pas automatiquement tous les établissements essentiels, qualification associée à des contrôles différents.

Pour, les auteurs veulent mieux protéger les systèmes et données des étudiants. Contre, maintenir le classement initial limiterait pour les établissements les contraintes et contrôles liés à une éventuelle qualification comme entité essentielle.

Une attaque informatique contre une centrale d’achat peut désorganiser l’approvisionnement alimentaire. Les auteurs soulignent la dépendance du secteur à des systèmes numériques interconnectés.

Le texte discuté classe l’alimentation parmi les secteurs critiques, mais pas hautement critiques comme l’énergie ou la santé.

L’amendement la déplacerait dans cette seconde catégorie. Certaines grandes entreprises pourraient être qualifiées d’entités essentielles et soumises à des audits ponctuels, selon les types d’entités précisés par décret.

Pour, les auteurs veulent mieux préparer les chaînes alimentaires aux crises, notamment par des mesures de continuité et de cybersécurité. Contre, le classement initial éviterait d’étendre aux entreprises concernées les contrôles associés à la catégorie supérieure.

Les administrations doivent protéger leurs systèmes informatiques contre les cyberattaques et peuvent recourir à des prestataires privés.

Le texte discuté prévoit une stratégie nationale de cybersécurité élaborée par le Premier ministre, avec des objectifs, des organismes responsables et des mesures de formation.

L’amendement imposerait à cette stratégie de maintenir les acteurs publics au cœur du pilotage et de l’exécution des politiques et de développer les compétences nécessaires dans les administrations. Il n’interdit pas le recours au privé.

Pour, ses auteurs veulent préserver la maîtrise publique face aux risques de perte de compétences liés à l’externalisation. Contre, conserver le texte laisserait davantage de latitude sur la répartition des rôles avec les prestataires.

La stratégie nationale de cybersécurité vise à protéger les systèmes informatiques et prévoit des indicateurs pour suivre ses résultats.

Le texte discuté demande au Gouvernement de présenter au Parlement un rapport sur sa mise en œuvre avant le 30 septembre 2026, puis tous les deux ans.

L’amendement reporterait le premier rapport à 2027. Il conserverait la remise tous les deux ans et le suivi des indicateurs.

Pour, commencer en 2027 laisserait davantage de temps avant le premier bilan. Contre, maintenir 2026 permettrait aux parlementaires de disposer plus tôt d’informations pour contrôler la mise en œuvre de la stratégie.

Les données stratégiques et sensibles sont hébergées et gérées sur des infrastructures informatiques. Leur maîtrise pose, selon les auteurs, un enjeu de souveraineté.

Le texte discuté prévoit une stratégie nationale de cybersécurité et d’autonomie numérique, sans imposer cette étude particulière.

L’amendement y ajouterait une étude sur un système de stockage dont toutes les opérations seraient réalisées en France par une entreprise française, sous juridiction française. Il ne créerait pas lui-même ce système.

Pour, l’étude éclairerait une solution visant à réduire la dépendance étrangère. Contre, privilégier d’autres solutions peut se justifier car, selon l’agence nationale de cybersécurité, un cloud français peut encore utiliser des technologies étrangères.

Une collectivité ultramarine peut avoir besoin de former ses agents ou d’obtenir une expertise pour sécuriser ses systèmes informatiques.

Le texte discuté prévoit déjà des soutiens aux collectivités dans la stratégie nationale de cybersécurité, notamment pour leur mise en conformité et leur sécurité numérique.

L’amendement demanderait d’y préciser un accompagnement adapté à la Guadeloupe, la Guyane, la Martinique, La Réunion et Mayotte. Il ne définit pas les aides effectivement fournies et ne modifie pas les exigences de sécurité.

Pour, cette précision tiendrait compte des contraintes propres à ces territoires. Contre, le soutien général prévu laisserait davantage de souplesse pour adapter l’accompagnement à chaque collectivité.

Les administrations et les entreprises utilisent des infrastructures et des solutions numériques qui peuvent dépendre de fournisseurs étrangers.

Le texte prévoit une stratégie nationale associant cybersécurité et souveraineté numérique, c’est-à-dire la maîtrise des technologies utilisées.

L’amendement préciserait que cette approche doit favoriser le recours à des infrastructures et solutions souveraines françaises ou européennes. Il ne crée pas d’obligation d’acheter ces solutions.

Pour, les auteurs veulent soutenir l’offre française et européenne afin de réduire les dépendances aux législations étrangères. Contre, conserver une stratégie sans cette précision laisserait davantage de latitude pour choisir les solutions selon d’autres critères.

Les administrations achètent des solutions numériques auprès de prestataires, parfois soumis à des lois étrangères. Le choix de ces fournisseurs pose des questions de sécurité et d’indépendance.

Le texte prévoit une stratégie nationale rapprochant cybersécurité et souveraineté numérique, sans mentionner explicitement les achats publics dans cette orientation.

L’amendement y ajouterait la commande publique, c’est-à-dire les achats des organismes publics. Il n’imposerait pas de choisir un fournisseur particulier.

Pour, les auteurs souhaitent utiliser ces achats pour soutenir les solutions françaises et européennes et réduire les dépendances. Contre, ne pas préciser ce levier laisserait davantage de latitude pour définir les priorités de la stratégie.

Les opérateurs d’importance vitale assurent des activités indispensables à la société ou à la sécurité. Un fournisseur peut détenir des données nécessaires à leur fonctionnement.

Le texte leur demande déjà d’analyser leurs dépendances envers leurs fournisseurs et d’en tenir compte pour leur résilience.

L’amendement imposerait de considérer, lors de l’attribution de marchés publics et concessions, les liens capitalistiques, les lois étrangères, la localisation des données et, si nécessaire, les conditions de leur récupération en fin de contrat.

Pour, ces critères aideraient à prévenir les vulnérabilités signalées par les auteurs, notamment l’impossibilité de récupérer des données utilisables. Contre, l’analyse déjà prévue laisserait davantage de latitude pour choisir les fournisseurs.

Certaines infrastructures sont indispensables à la société ou à la sécurité. Leur protection peut être confiée par concession, un contrat qui charge un opérateur d’une mission.

Le texte discuté soumet certaines concessions sensibles à des règles de commande publique et prévoit d’en informer l’administration.

L’amendement exigerait un contrôle effectif de l’État sur les opérateurs et sous-traitants, notamment par des clauses de sécurité. Il faudrait rechercher des entreprises dont les activités et données sont basées en France et dont les chaînes d’approvisionnement sont moins vulnérables, sans l’imposer systématiquement.

Pour, les auteurs veulent limiter les dépendances et protéger les données. Contre, les règles existantes laisseraient davantage de latitude dans le choix des prestataires.

Une commission pourrait sanctionner les opérateurs chargés d’activités indispensables à la société lorsqu’ils manquent à leurs obligations de sécurité.

Le texte discuté prévoit notamment trois personnalités qualifiées pour leur compétence. Tous les membres devraient être impartiaux et ne recevoir aucune instruction.

L’amendement exclurait ces trois personnalités si elles ont travaillé, dans les trois années précédant leur nomination, pour certains organismes contrôlés, l’autorité nationale de cybersécurité ou l’administration saisissant la commission.

Pour, cette séparation limiterait les conflits d’intérêts liés aux carrières entre contrôle et organismes contrôlés. Contre, conserver les règles prévues laisserait davantage de candidats expérimentés disponibles, tout en maintenant l’obligation d’impartialité.

Les opérateurs d’infrastructures critiques devraient protéger les installations nécessaires aux activités vitales. Une commission pourrait sanctionner certains manquements, par exemple à l’obligation d’établir un plan de protection.

Le texte discuté prévoit que le Premier ministre nomme seul trois personnalités qualifiées siégeant dans cette commission. Ses membres devraient agir impartialement, sans recevoir d’instructions.

L’amendement confierait une nomination au Premier ministre et une à chacun des présidents de l’Assemblée nationale et du Sénat.

Pour, ses auteurs souhaitent renforcer l’indépendance de la commission en diversifiant les autorités qui nomment ses membres. Contre, confier les trois nominations au Premier ministre préserverait une responsabilité unique, avec les garanties d’impartialité déjà prévues.

Certaines entités financières exercent des activités indispensables à l’économie. Elles doivent protéger leurs systèmes informatiques selon des règles européennes propres au secteur financier.

Le texte discuté prévoit des obligations de cybersécurité pour les opérateurs d’importance vitale, avec une exemption partielle si des règles sectorielles ont un effet au moins équivalent.

L’amendement reconnaîtrait cette équivalence notamment pour la gestion des risques, la notification des incidents et la supervision, et préciserait les obligations supplémentaires écartées. Les règles financières et les exigences propres aux systèmes d’importance vitale resteraient applicables.

Pour, éviter des exigences et contrôles superposés aux entités concernées. Contre, préserver une appréciation de l’équivalence avant la dispense, pour vérifier que les protections sectorielles sont suffisantes.

Certains opérateurs fournissent des services essentiels dans au moins six pays européens, y compris dans des secteurs sensibles comme le nucléaire ou la défense.

Le texte permet à l’administration de les dispenser de tout ou partie des obligations européennes particulières. Avec son accord, une mission de conseil peut accéder aux informations, systèmes et installations nécessaires, dans le respect des secrets protégés, puis donner lieu à un avis de la Commission européenne.

L’amendement rendrait la dispense obligatoire, mais elle pourrait rester partielle. Une mission ne serait donc pas nécessairement exclue.

Pour, les auteurs souhaitent préserver la maîtrise nationale face à cet accès. Contre, une dispense facultative permettrait de privilégier, selon les situations, le conseil européen sur la protection des services essentiels.

Certains opérateurs français fournissent des services essentiels dans plusieurs pays européens, par exemple dans l’énergie ou les communications.

Le texte prévoit que ceux qui fournissent ces services dans au moins six États membres soient identifiés comme entités critiques européennes. Avec l’accord français, une mission de conseil pourrait accéder aux informations et installations nécessaires, dans le respect des secrets protégés.

L’amendement supprimerait ces dispositions particulières, y compris la déclaration des activités concernées. Les autres obligations nationales des opérateurs resteraient prévues.

Pour, les auteurs veulent réserver à l’État la protection de structures stratégiques. Contre, conserver la mission permettrait un avis européen sur la résilience de services dont dépendent plusieurs pays.

Une personne peut demander l’accès physique ou à distance à une infrastructure critique, par exemple dans les transports ou l’énergie. L’opérateur peut demander une enquête administrative sur son comportement.

Le texte discuté imposerait aux seuls opérateurs privés de refuser l’accès après un avis défavorable, émis si l’enquête établit un risque pour l’activité ou l’infrastructure.

L’amendement étendrait cette obligation aux opérateurs publics. La personne resterait informée de l’enquête.

Pour, les auteurs veulent protéger les infrastructures quel que soit le statut de leur exploitant. Contre, laisser la décision aux opérateurs publics préserverait leur marge d’appréciation pour autoriser ou non l’accès malgré l’avis.

Les opérateurs d’importance vitale assurent des activités indispensables à la société ou à la sécurité. Certains postes sont sensibles parce qu’ils sont indispensables à ces activités ou exposent l’opérateur à des vulnérabilités.

Le projet de loi leur permet de demander un avis administratif, après enquête, avant un recrutement ou une affectation sur ces postes.

L’amendement rendrait cette demande obligatoire pour les postes sensibles. Elle resterait facultative pour les postes nécessitant un accès aux infrastructures critiques.

Pour, les auteurs veulent vérifier systématiquement les profils face aux menaces terroristes et aux ingérences étrangères. Contre, laisser le choix aux opérateurs permettrait de réserver ces enquêtes aux situations qu’ils jugent nécessaires.