Scrutin n° 1765 du 01/06/2023

Après l’alinéa 6, insérer les deux alinéas suivants :

« Les entreprises qui méconnaissent l’obligation prévue au premier alinéa du présent article peuvent se voir appliquer par l’autorité nationale de sécurité des systèmes d’information une pénalité dans la limite de 1 % du chiffre d’affaires annuel mondial au titre de l’année précédant celle durant laquelle l’obligation est méconnue.

« Pour les entreprises, quelle que soit leur forme, qui sont liées, directement ou indirectement, au sens du II de l’article L. 233‑16 du code de commerce, le seuil mentionné à l’alinéa précédent s’apprécie au niveau du groupe qu’elles constituent. »

Cet amendement du groupe socialistes et apparentés vise à rendre obligatoire et sanctionnable
l’obligation de communication à l’ANSSI de vulnérabilité significative et d’incident informatique.
En l’état, le dispositif n’est pas sanctionné et l’autorité ne dispose pas de pouvoirs de vérification
particuliers. Il apparaît donc nécessaire d’assoir cette obligation sur une nouvelle sanction à la
disposition de l’ANSSI et dont le pouvoir réglementaire pourra prévoir le modalités concrètes.