Amendement n° 1037 · Article 34

À la fin de l’alinéa 8, substituer aux mots :

« les critères d’appréciation du caractère significatif de la vulnérabilité ou de l’incident mentionnés au premier alinéa en fonction des pratiques et des standards internationaux communément admis »,

les mots :

« le référentiel permettant l’évaluation objective du caractère significatif de la vulnérabilité ou de l’incident mentionnés au premier alinéa ».

La présente disposition impose aux éditeurs de logiciels établis en France de notifier à l'ANSSI tout incident informatique ou vulnérabilité significative de leurs produits et d'informer leurs utilisateurs. La LPM crée ainsi une nouvelle restriction pour les éditeurs de logiciels, qui devront signaler les incidents et vulnérabilités à l'ANSSI et informer les utilisateurs concernés. Toutefois, cette disposition soulève plusieurs problèmes, notamment en ce qui concerne la clarté des conditions déclenchant cette obligation, l'absence d'un cadre juridique et administratif approprié pour encadrer l'obligation de notification à l'ANSSI, et le risque de divulguer publiquement des vulnérabilités non corrigées. Il est donc recommandé de s'appuyer sur des référentiels existants, tels que le CVSS, pour évaluer objectivement la criticité desdites vulnérabilités.