Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Les sous-traitants de la défense peuvent être exposés aux cyberattaques. Selon les auteurs, leur protection financière et technique compte pour la sécurité de toute la chaîne.

Le texte prévoit déjà un rapport annuel sur la stratégie nationale de cybersécurité et ses moyens.

L’amendement demanderait, sous six mois, un rapport distinct sur un fonds financé par les industriels de défense et une partie des recettes d’exportation d’armes. Il ne créerait pas ce fonds.

Pour, l’étude éclairerait le Parlement sur une piste de financement pour les sous-traitants. Contre, le rapport annuel prévu permettrait déjà d’examiner les moyens de cybersécurité sans privilégier ce fonds particulier.

Une banque peut confier des services informatiques ou de télécommunications à un prestataire, dont les systèmes peuvent ensuite être contrôlés.

Un règlement européen encadre les risques liés à ces prestataires et prévoit des audits à la demande des organismes financiers.

L’amendement chargerait le ministre de l’économie d’établir une liste d’organismes habilités à réaliser ces audits, sur proposition des autorités compétentes en cybersécurité et en contrôle financier.

Pour, les auteurs souhaitent limiter les risques de divulgation de données sensibles à des cabinets étrangers. Contre, conserver le choix des auditeurs sans cette liste laisserait davantage de latitude aux organismes financiers pour organiser leurs contrôles.

Une entité financière peut devoir signaler une attaque informatique majeure à son autorité de surveillance et à l’agence nationale de cybersécurité.

Le texte discuté prévoit un document unique envoyé simultanément aux deux autorités pour les déclarations d’incidents et les notifications de cybermenaces.

L’amendement supprimerait cette règle, sans retirer les obligations de déclaration et les possibilités de notification prévues par ailleurs.

Pour, les entités pourraient adapter leurs transmissions lorsque les deux autorités ne sont pas destinataires des mêmes signalements. Contre, le document unique envoyé simultanément viserait à informer rapidement les deux autorités pour faciliter le traitement des incidents et des menaces.

Une administration ou une collectivité peut manquer à ses obligations de cybersécurité, exposant ses données et ses services.

Le texte discuté exclut les administrations des amendes administratives prévues pour ces manquements, selon les auteurs.

L’amendement permettrait une amende contre un responsable public ayant commis une faute grave en ne remédiant pas aux manquements après mise en demeure. Celle-ci fixerait un délai d’au moins trois mois, sauf urgence ou manquement grave. Les moyens disponibles et les alertes données compteraient dans l’appréciation.

Pour, la responsabilité personnelle inciterait à corriger les défaillances persistantes. Contre, éviter cette responsabilité supplémentaire préserverait les responsables publics d’une exposition personnelle à une procédure, même encadrée par ces conditions.

Une collectivité peut manquer à ses obligations de cybersécurité, par exemple en ne signalant pas un incident important.

Le texte discuté prévoit des sanctions pour certains manquements, mais exclut les collectivités des amendes administratives correspondantes.

L’amendement obligerait la commission des sanctions à leur imposer un plan correctif sous trois mois, avec l’expertise de l’agence nationale de cybersécurité. En cas de retard, elle pourrait exiger sa présentation en assemblée et sa publication. Un incident important non signalé donnerait aussi lieu à un rapport.

Pour, le plan accompagné aiderait les collectivités à corriger leurs difficultés. Contre, éviter cette obligation uniforme leur laisserait plus de latitude pour organiser leurs corrections.

Une entreprise contrôlée pour des manquements de cybersécurité peut voir son cas examiné par une commission des sanctions.

Le texte discuté prévoit notamment trois personnalités choisies pour leurs compétences en sécurité informatique au sein de cette commission.

L’amendement y ajouterait un représentant du ministère responsable du secteur d’activité de l’entité concernée. La composition varierait donc selon le secteur examiné.

Pour, cette expertise pourrait éclairer la commission sur les conséquences pour les clients et les enjeux économiques ou technologiques. Contre, conserver la composition prévue donnerait plus de poids relatif aux compétences techniques et juridiques pour apprécier les manquements.

Une petite structure peut recevoir l’ordre de corriger une faille informatique, mais manquer de moyens pour le faire rapidement.

Le texte discuté permet d’assortir cet ordre d’une astreinte, somme due par jour de retard, jusqu’à 5 000 euros par jour. La commission doit ensuite déterminer la somme due si l’ordre n’est pas entièrement ou pas ponctuellement exécuté.

L’amendement rendrait cette décision facultative. Pour fixer le montant, la commission devrait notamment considérer la taille, les moyens, les efforts et les difficultés de l’entité.

Pour, adapter la somme tiendrait compte des moyens des petites structures. Contre, maintenir une liquidation obligatoire exercerait une pression financière plus systématique pour obtenir les corrections.

Un port victime d’une cyberattaque peut être accompagné par un organisme spécialisé dans les activités maritimes.

Le texte discuté prévoit que l’autorité nationale de cybersécurité agrée des organismes pour prévenir et gérer les incidents. Un décret doit fixer les modalités de cet agrément, c’est-à-dire de leur reconnaissance officielle.

L’amendement imposerait au décret d’adapter les conditions d’agrément aux missions et aux entités accompagnées, et de prévoir la coordination avec l’autorité nationale.

Pour, cette adaptation reconnaîtrait la connaissance des secteurs et territoires utile aux victimes, selon les auteurs. Contre, laisser le décret définir les modalités sans ces précisions préserverait davantage de souplesse dans l’organisation des agréments.

Des organismes publics ou privés peuvent aider à prévenir et gérer des incidents informatiques, par exemple en accompagnant une entité touchée.

Le texte discuté prévoit leur agrément par l’autorité nationale de cybersécurité et autorise leurs échanges d’informations couvertes par un secret protégé par la loi.

L’amendement préciserait leurs missions et autoriserait explicitement les échanges entre organismes, seulement si nécessaires. Il imposerait notamment confidentialité, protection des données et garanties de compétence et d’impartialité.

Pour, ces règles clarifieraient les rôles et protégeraient les informations sensibles. Contre, laisser davantage de souplesse aux organismes et au décret éviterait d’inscrire ces conditions détaillées dans la loi.

Un nom de domaine est l’adresse utilisée pour accéder à un site internet. Son enregistrement donne lieu à la conservation de données.

Le texte discuté prévoit leur conservation pendant l’utilisation du nom et un an après sa cessation.

L’amendement ajouterait une sauvegarde sécurisée pendant dix ans, pour répondre à une demande judiciaire pénale ou permettre à l’autorité de cybersécurité d’identifier l’origine d’un incident ou d’assurer la résilience des réseaux. L’accès et la protection seraient encadrés.

Pour, disposer plus longtemps de données aiderait à enquêter sur des attaques découvertes tardivement, selon les auteurs. Contre, limiter leur conservation protégerait davantage la vie privée des personnes concernées.

Enregistrer un nom de domaine, l’adresse d’un site internet, suppose de fournir des données sur son titulaire.

Le texte discuté prévoit la collecte des données nécessaires et charge un décret d’en établir la liste, après avis de l’autorité de protection des données.

L’amendement inscrirait dans la loi le nom de domaine, sa date d’enregistrement et les coordonnées du titulaire, dont son adresse postale. Il vise aussi les coordonnées distinctes des points de contact. Le décret pourrait prévoir des données complémentaires.

Pour, l’adresse postale permettrait notamment d’adresser une assignation en justice, selon les auteurs. Contre, laisser la liste au décret préserverait la souplesse pour définir les données nécessaires.

Enregistrer un nom de domaine, l’adresse d’un site internet, suppose de fournir des données sur son titulaire.

Le texte discuté prévoit la collecte des données nécessaires et charge un décret d’en établir la liste, après avis de l’autorité de protection des données.

L’amendement inscrirait une liste non exhaustive dans la loi, dont le nom de domaine, sa date d’enregistrement et les coordonnées du titulaire, adresse postale comprise. Il vise aussi les coordonnées distinctes des points de contact.

Pour, ces informations faciliteraient les démarches contre les usurpations, selon les auteurs. Contre, laisser la liste au décret préserverait la souplesse pour définir les données nécessaires.

Le chiffrement protège notamment le contenu de communications contre les accès non autorisés.

Le texte discuté interdit d’imposer aux fournisseurs de chiffrement des dispositifs affaiblissant volontairement la sécurité, comme une clé de déchiffrement maîtresse, ou permettant un accès non consenti aux données protégées.

L’amendement supprimerait cette interdiction. Il ne créerait pas lui-même une nouvelle obligation d’affaiblir le chiffrement.

Pour, ses auteurs craignent que l’interdiction entrave les accès aux données autorisés pour les enquêtes et le renseignement. Contre, maintenir l’interdiction protégerait les utilisateurs contre l’imposition de dispositifs affaiblissant volontairement la sécurité de leurs communications.

Certains organismes confient leurs services informatiques à des prestataires extérieurs, par exemple pour héberger des données.

Un amendement propose de choisir en priorité des prestataires qualifiés et soumis à l’impôt sur les sociétés en France, avec une dérogation autorisée si aucune offre ne satisfait les critères.

Le sous-amendement ajouterait un critère de priorité, l’absence de sanction administrative définitive pour un manquement grave aux obligations européennes de sécurité des données personnelles. La dérogation resterait possible.

Pour, les auteurs veulent tenir compte de manquements graves susceptibles de fragiliser les services numériques. Contre, ne pas ajouter ce critère laisserait aux organismes davantage de choix parmi les prestataires répondant aux autres conditions.

Des opérateurs privés essentiels, notamment dans l’énergie ou la santé, peuvent confier des données sensibles à un service de stockage en ligne, dit cloud.

Le texte discuté leur impose des mesures de cybersécurité proportionnées aux risques, notamment en cas de sous-traitance.

L’amendement exigerait des protections spécifiques pour certaines données sensibles confiées à un cloud privé, contre les accès étrangers non autorisés par le droit européen ou d’un État membre. Un décret préciserait les données et le délai de mise en conformité, limité à trois ans.

Pour, il vise à empêcher des autorités étrangères d’accéder aux données de services essentiels au titre de leurs lois. Contre, le texte initial laisserait aux opérateurs davantage de latitude pour adapter leurs mesures aux risques.

Un hôpital ou un service d’eau peut confier des données sensibles à un service de stockage en ligne, dit cloud.

Le texte discuté impose aux opérateurs essentiels des mesures de cybersécurité proportionnées aux risques. Certaines administrations sont déjà soumises à une protection spécifique contre les accès étrangers non autorisés.

L’amendement étendrait cette protection à d’autres opérateurs essentiels utilisant un cloud privé pour certaines données sensibles. Un décret préciserait les données et le délai de mise en conformité, limité à trois ans.

Pour, les auteurs veulent empêcher que des autorités étrangères accèdent à ces données en vertu de leurs lois. Contre, le texte initial laisserait aux opérateurs davantage de latitude pour adapter leurs mesures aux risques.

Des organismes de secteurs critiques, comme la santé, les transports ou l’alimentation, et certaines administrations conservent des données parfois sensibles.

Le texte discuté leur impose des mesures de cybersécurité adaptées aux risques, en tenant compte notamment de leur dépendance envers les prestataires.

L’amendement les obligerait, dans la mesure du possible, à utiliser un hébergement local, par exemple des serveurs internes plutôt qu’un service cloud distant. Il ne l’imposerait donc pas dans tous les cas.

Pour, les auteurs cherchent à mieux maîtriser les accès aux données et à limiter leur exposition aux législations étrangères. Contre, laisser les organismes choisir leurs solutions selon leurs risques préserverait leur capacité à adapter leur sécurité.

Des organismes publics et privés utilisent des services numériques pour stocker et traiter leurs données. Certaines lois étrangères peuvent permettre à des autorités d’accéder à ces données, même stockées à l’étranger.

Le texte discuté leur impose des mesures de cybersécurité proportionnées et prend déjà en compte la dépendance à certains prestataires.

L’amendement exigerait des solutions techniques à l’abri de toute législation étrangère extraterritoriale. Il ne fixe pas lui-même de lieu d’hébergement des données.

Pour, les auteurs veulent protéger ces données contre l’accès d’autorités étrangères. Contre, conserver le texte laisserait aux organismes davantage de latitude pour choisir des solutions adaptées à leurs risques.

Des organismes publics et privés doivent protéger leurs réseaux et leurs systèmes informatiques contre les incidents.

Le texte discuté exige un niveau de sécurité adapté au risque. Il prévoit déjà de tenir compte de la maîtrise des systèmes et des dépendances envers les prestataires lors du choix des mesures.

L’amendement ajouterait les enjeux de souveraineté numérique aux éléments auxquels ce niveau de sécurité doit être adapté. Il ne précise pas de solution technique obligatoire.

Pour, cette mention soulignerait l’importance de maîtriser les systèmes numériques. Contre, le texte mentionne déjà la souveraineté dans le choix des mesures, ce qui peut rendre cet ajout redondant.

Des fournisseurs numériques établis hors de l’Union européenne proposent leurs services en France, par exemple des services de stockage de données en ligne.

Le texte discuté soumet certains d’entre eux aux règles françaises de cybersécurité s’ils ont désigné un représentant en France. Il prévoit une condition comparable pour des bureaux et agents d’enregistrement.

L’amendement remplacerait cette désignation par un établissement effectif en France comme critère d’application de ces règles. Il ne formule pas directement une obligation générale de s’y établir.

Pour, les auteurs recherchent un contrôle plus concret des fournisseurs. Contre, conserver le représentant permettrait de soumettre aux règles françaises des acteurs sans établissement effectif en France.

Une cyberattaque contre un service critique peut perturber la société ou menacer la santé publique.

Le projet de loi permet au Premier ministre de classer certains organismes critiques, quelle que soit leur taille. Ce classement leur impose des mesures supplémentaires de cybersécurité.

L’amendement imposerait son entrée en vigueur au plus tard six mois après sa publication. Les auteurs souhaitent laisser le temps de contester avant des conséquences économiques, mais ce plafond permet une application immédiate.

Pour, limiter le report favoriserait une application plus rapide des mesures protégeant les services critiques. Contre, permettre un délai plus long laisserait aux organismes davantage de temps pour préparer ces mesures ou contester leur classement.

Une organisation fournissant un service critique peut être soumise à des obligations supplémentaires de cybersécurité, quelle que soit sa taille.

Le texte discuté permet au Premier ministre de la désigner par arrêté comme entité essentielle ou importante, notamment si une interruption de son service menace la santé ou la sécurité publiques.

L’amendement imposerait à l’arrêté de fixer son entrée en vigueur au plus tard quatre mois après sa publication. Il ne prévoit pas de délai minimal avant son application.

Pour, les auteurs souhaitent laisser aux entités du temps pour contester leur classement et ses conséquences économiques. Contre, ce plafond laisserait au Premier ministre moins de latitude pour différer l’application si une organisation a besoin de davantage de temps.

Une organisation fournissant un service critique pourrait être classée comme essentielle ou importante pour la cybersécurité, quelle que soit sa taille.

Le texte discuté permettrait au Premier ministre de la désigner par arrêté, notamment selon les conséquences possibles d’une perturbation de son service.

L’amendement imposerait l’application de l’arrêté au plus tard trois mois après sa publication. Ses auteurs souhaitent laisser du temps pour contester un classement aux conséquences économiques possibles, mais ce plafond ne garantit aucun délai minimal avant son application.

Pour, ce plafond limiterait l’attente avant l’application des obligations de cybersécurité. Contre, laisser la date ouverte permettrait d’accorder davantage de temps aux organisations pour s’y préparer.

Une cyberattaque peut exposer des données d’élèves ou perturber l’organisation d’un établissement scolaire, selon les auteurs de l’amendement.

Le texte discuté classe plusieurs secteurs comme critiques pour la cybersécurité, mais n’y cite pas l’éducation. Un décret préciserait les types d’entités concernés.

L’amendement ajouterait l’éducation à cette liste. Il ne désignerait pas automatiquement tous les établissements. Les entités concernées devraient financer leurs mesures de gestion des risques.

Pour, les auteurs veulent mieux protéger les données et le fonctionnement des établissements face aux attaques. Contre, ne pas étendre ce classement à l’éducation éviterait d’imposer à des entités du secteur de financer ces mesures.