AN · données ouvertes
Textes / Projet de loi relatif à la résilience des infrastructures critiques et au...

rapport sur le projet de loi, adopté par le Sénat après engagement de la procédure accélérée, relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (n°1112). — Synthèse, commentaires des articles, personnes auditionnées

Rapport · tome ou annexe · 10/09/2025 · 628 248 caractères · HTML sur assemblee-nationale.fr

Parties du document (3)
Sommaire (361)
  1. avant-PROPOS du rapporteur général
  2. SYNTHÈSE
  3. I. Les dispositions du projet de loi initial
  4. A. Titre Ier : la transposition de la directive REC conduit à un renforcement du dispositif de sécurité des activités d’importance vitale
  5. B. Titre II : la transposition de la directive NIS 2 a pour objectif de renforcer significativement la cybersécurité de la nation
  6. C. Titre III : la transposition de la directive DORA entend renforcer la résilience opérationnelle numérique des entités financières
  7. II. Les modifications introduites par le Sénat
  8. A. Titre Ier
  9. B. titre ii
  10. C. titre iii
  11. III. Les Modifications apportées par la commission spéciale
  12. A. Titre Ier
  13. B. titre ii
  14. C. titre III
  15. COMMENTAIRE DES ARTICLES
  16. titre ier Résilience des activités d’importance vitale
  17. Chapitre Ier Dispositions générales
  18. L’état du droit : la France est dotée d’un dispositif destiné à assurer la sécurité des activités d’importance vitale
  19. Le dispositif de SAIV garantit la protection d’environ 1 500 points d’importance vitale pour la nation
  20. Le dispositif de SAIV repose sur les directives nationales de sécurité et l’élaboration de plans par les opérateurs
  21. Le dispositif est coordonné par le SGDSN, animé par le ministre coordonnateur pour son secteur et décliné à l’échelle territoriale par...
  22. Le dispositif proposé : une actualisation du dispositif de SAIV qui tire les conséquences de la directive REC
  23. La révision du dispositif est rendue nécessaire par la directive européenne sur la résilience des activités critiques (REC)
  24. Articles L. 1332-1 et L. 1332-2 (modifiés) : définitions
  25. Article L. 1332-3 (modifié) : évaluation des risques, mesures de résilience et plan de résilience opérateur des OIV
  26. Article L. 1332-4 (modifié) : analyse des dépendances
  27. Article L. 1332-5 (modifié) : établissement d’un plan particulier de résilience
  28. Article L. 1332-6 (modifié) : enquêtes administratives de sécurité
  29. Article L. 1332-7 (nouveau) : notification des incidents
  30. Article L. 1332-8 (nouveau) : entités critiques d’importance européenne particulière
  31. Article L. 1332-9 (nouveau) : missions de conseil de la Commission européenne
  32. Article L. 1332-11 (nouveau) : systèmes d’information d’importance vitale
  33. Articles L. 1332-12 à L. 1332-14 (nouveaux) : habilitations et contrôles des agents
  34. Article L. 1332-15 à L. 1332-19 (nouveaux) : commission des sanctions
  35. Articles L. 1332-20 à L. 1332-22 (nouveaux) : marchés publics et contrats de concession
  36. Les modifications apportées par le Sénat
  37. Articles L. 1332-1 : définitions
  38. Article L. 1332-3 (modifié) : évaluation des risques, mesures de résilience et plan de résilience opérateur des OIV
  39. Article L. 1332-4 (modifié) : analyse des dépendances
  40. Article L. 1332-5 (modifié) : établissement d’un plan particulier de résilience
  41. Article L. 1332-7 (nouveau) : notification des incidents
  42. Article L. 1332-9 (nouveau) : missions de conseil de la Commission européenne
  43. Article L. 1332-11 (nouveau) : systèmes d’information d’importance vitale
  44. Article L. 1332-15 à L. 1332-19 (nouveaux) : commission des sanctions
  45. La position de la commission
  46. Articles L. 1332-1 et L. 1332-2 (modifiés) : définitions
  47. Article L. 1332-4 (modifié) : analyse des dépendances
  48. Article L. 1332-5 (modifié) : établissement d’un plan particulier de résilience
  49. Article L. 1332-6 (modifié) : enquêtes administratives de sécurité
  50. Article L. 1332-11 (nouveau) : systèmes d’information d’importance vitale
  51. Article L. 1332-15 à L. 1332-19 (nouveaux) : commission des sanctions
  52. Chapitre II Dispositions diverses
  53. Article 2 — (art. L. 1331-1, L. 2113-2, L. 2151-1, L. 2151-4, L. 2171-6, L. 2321-2-1, L. 2321-3 et L. 4231-6 du code de la défense ;...
  54. Le dispositif proposé : une actualisation de références législatives qui tire les conséquences des modifications apportées par l’article 1er
  55. Les modifications apportées par le Sénat
  56. La position de la commission
  57. Article 3 — (art. L. 6221-2, L. 6222-1, L. 6242-2 et L. 6312-3 [nouveaux] du code de la défense ; art. 711-1 du code pénal ; art. L....
  58. Le dispositif proposé : une application du dispositif de SAIV sur l’ensemble du territoire
  59. Les modifications apportées
  60. Le Sénat n’a pas modifié cet article.
  61. La position de la commission
  62. Chapitre III Dispositions transitoires
  63. Article 4 — Modalités d’entrée en vigueur du titre Ier
  64. Le dispositif proposé : modalités d’entrée en vigueur des dispositions du titre Ier
  65. Les modifications apportées par le Sénat
  66. La position de la commission
  67. titre ii cybersécurité
  68. Chapitre Ier De l’autorité nationale de sécurité des systèmes d’information
  69. L’état du droit
  70. Le dispositif proposé
  71. Les modifications apportées par le Sénat
  72. La position de la commission
  73. L’état du droit
  74. Le dispositif introduit par la commission spéciale
  75. L’état du droit
  76. Le dispositif proposé
  77. Les modifications apportées par le Sénat
  78. La position de la commission
  79. Chapitre ii De la cyber-résilience
  80. Section 1 Définitions
  81. L’état du droit
  82. Le dispositif proposé
  83. Les modifications apportées par le Sénat
  84. La position de la commission
  85. Section 2 Des exigences de sécurité des systèmes d’information
  86. L’état du droit
  87. Le dispositif proposé
  88. Les modifications apportées par le Sénat
  89. La position de la commission
  90. L’état du droit
  91. Le dispositif proposé
  92. Les modifications apportées par le Sénat
  93. La position de la commission
  94. L’état du droit
  95. Le dispositif proposé
  96. Les modifications apportées par le Sénat
  97. La position de la commission
  98. L’état du droit
  99. Le dispositif proposé
  100. Les modifications apportées par le Sénat
  101. La position de la commission
  102. L’état du droit
  103. Le dispositif proposé
  104. Les modifications apportées par le Sénat
  105. La position de la commission
  106. L’état du droit
  107. Le dispositif proposé
  108. Les modifications apportées par le Sénat
  109. La position de la commission
  110. L’état du droit
  111. Le dispositif proposé
  112. Les modifications apportées par le Sénat
  113. La position de la commission
  114. L’état du droit
  115. Le dispositif proposé
  116. Les modifications apportées par le Sénat
  117. La position de la commission
  118. L’état du droit
  119. Le dispositif proposé
  120. Les modifications apportées par le Sénat
  121. La position de la commission
  122. L’état du droit
  123. Le dispositif proposé
  124. Les modifications apportées par le Sénat
  125. La position de la commission
  126. L’état du droit
  127. Les modifications apportées par le Sénat
  128. La position de la commission
  129. L’état du droit
  130. Le dispositif proposé
  131. Les modifications apportées par le Sénat
  132. La position de la commission
  133. Section 3 Enregistrement des noms de domaine
  134. L’état du droit
  135. Le dispositif proposé
  136. Les modifications apportées par le Sénat
  137. La position de la commission
  138. L’état du droit
  139. Le dispositif proposé
  140. Les modifications apportées par le Sénat
  141. La position de la commission
  142. L’état du droit
  143. Le dispositif proposé
  144. Les modifications apportées par le Sénat
  145. La position de la commission
  146. L’état du droit
  147. Le dispositif proposé
  148. Les modifications apportées par le Sénat
  149. La position de la commission
  150. L’état du droit
  151. Le dispositif proposé
  152. Les modifications apportées par le Sénat
  153. La position de la commission
  154. Section 4 Coopération et échanges d’informations
  155. L’état du droit
  156. Le dispositif proposé
  157. Les modifications apportées par le Sénat
  158. La position de la commission
  159. L’état du droit
  160. Le dispositif proposé
  161. Les modifications apportées par le Sénat
  162. La position de la commission
  163. Chapitre III De la supervision
  164. L’état du droit
  165. Le dispositif proposé
  166. Les modifications apportées par le Sénat
  167. La position de la commission
  168. Section 1 Recherche et constatation des manquements
  169. Article 26 A — (art. L. 103 du code des postes et des communications électroniques) Services de coffre-fort numérique
  170. L’état du droit
  171. Le dispositif proposé
  172. Les modifications apportées par le Sénat
  173. La position de la commission
  174. L’état du droit
  175. Le dispositif proposé
  176. Les modifications apportées par le Sénat
  177. La position de la commission
  178. L’état du droit
  179. Le dispositif proposé
  180. Les modifications apportées par le Sénat
  181. La position de la commission
  182. L’état du droit
  183. Le dispositif proposé
  184. Les modifications apportées par le Sénat
  185. La position de la commission
  186. L’état du droit
  187. Le dispositif proposé
  188. Les modifications apportées par le Sénat
  189. La position de la commission
  190. Le dispositif proposé
  191. Les modifications apportées par le Sénat
  192. La position de la commission
  193. Section 2 Mesures consécutives aux contrôles
  194. L’état du droit
  195. Le dispositif proposé
  196. Les modifications apportées par le Sénat
  197. La position de la commission
  198. Le dispositif proposé
  199. Les modifications apportées par le Sénat
  200. La position de la commission
  201. Le dispositif proposé
  202. Les modifications apportées par le Sénat
  203. La position de la commission
  204. 1. L’état du droit
  205. Le dispositif introduit par la commission spéciale
  206. Le dispositif proposé
  207. Les modifications apportées par le Sénat
  208. La position de la commission
  209. Section 3 Des sanctions
  210. L’état du droit
  211. Le dispositif proposé
  212. Les modifications apportées par le Sénat
  213. La position de la commission
  214. L’état du droit
  215. Le dispositif proposé
  216. Les modifications apportées par le Sénat
  217. La position de la commission
  218. L’état du droit
  219. Le dispositif proposé
  220. Les modifications apportées par le Sénat
  221. La position de la commission
  222. L’état du droit
  223. Le dispositif introduit par la commission spéciale
  224. Chapitre IV Dispositions diverses d’adaptation
  225. Article 38 — (art. 30 et 35 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique) Alléger le contrôle des...
  226. L’état du droit
  227. Le dispositif proposé
  228. Les modifications apportées par le Sénat
  229. La position de la commission
  230. L’état du droit
  231. Le dispositif proposé
  232. Les modifications apportées par le Sénat
  233. La position de la commission
  234. Article 40 — (art. 57 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique, art. 24 de la loi n° 2018-133...
  235. L’état du droit
  236. Le dispositif proposé
  237. Les modifications apportées par le Sénat
  238. La position de la commission
  239. Chapitre V Dispositions relatives aux communications électroniques
  240. L’état du droit
  241. Le dispositif proposé
  242. Les modifications apportées par le Sénat
  243. La position de la commission
  244. Article 42 — (art. L. 97-2 et L. 97-4 du code des postes et des communications électroniques) Renforcement des conditions d’accès à une...
  245. L’état du droit
  246. Le dispositif proposé
  247. Les modifications apportées par le Sénat
  248. La position de la commission
  249. titre iii résilience opérationnelle numérique du secteur financier
  250. Chapitre Ier Dispositions modifiant le code monétaire et financier
  251. L’état du droit
  252. Le dispositif proposé par le Sénat
  253. La position de la commission
  254. L’état du droit
  255. Le dispositif proposé
  256. Les modifications apportées par le Sénat
  257. La position de la commission
  258. L’état du droit
  259. Le dispositif proposé
  260. Les modifications apportées par le Sénat
  261. La position de la commission
  262. L’état du droit
  263. Le dispositif proposé
  264. Les modifications apportées par le Sénat
  265. La position de la commission
  266. L’état du droit
  267. Le dispositif proposé par le Sénat
  268. La position de la commission
  269. L’état du droit
  270. Le dispositif proposé
  271. Les modifications apportées par le Sénat
  272. La position de la commission
  273. L’état du droit
  274. Le dispositif proposé
  275. Les modifications apportées par le Sénat
  276. La position de la commission
  277. L’état du droit
  278. Le dispositif proposé
  279. Les modifications apportées par le Sénat
  280. La position de la commission
  281. L’état du droit
  282. Le dispositif proposé
  283. Les modifications apportées par le Sénat
  284. En commission spéciale
  285. En séance
  286. La position de la commission
  287. L’état du droit
  288. Le dispositif proposé par le Sénat
  289. La position de la commission
  290. L’état du droit
  291. Le dispositif proposé
  292. Les modifications apportées par le Sénat
  293. La position de la commission
  294. L’état du droit
  295. Le dispositif proposé
  296. Les modifications apportées par le Sénat
  297. La position de la commission
  298. L’état du droit
  299. Le dispositif proposé
  300. Les modifications apportées par le Sénat
  301. La position de la commission
  302. L’état du droit
  303. Le dispositif proposé
  304. Les modifications apportées par le Sénat
  305. La position de la commission
  306. L’état du droit
  307. Le dispositif proposé
  308. Les modifications apportées par le Sénat
  309. La position de la commission
  310. L’état du droit
  311. Le dispositif proposé
  312. Les modifications apportées par le Sénat
  313. La position de la commission
  314. L’état du droit
  315. Le dispositif proposé
  316. Les modifications apportées par le Sénat
  317. La position de la commission
  318. Chapitre II Dispositions modifiant le code des assurances
  319. L’état du droit
  320. Le dispositif proposé
  321. Les modifications apportées par le Sénat
  322. La position de la commission
  323. L’état du droit
  324. Le dispositif proposé
  325. Les modifications apportées par le Sénat
  326. La position de la commission
  327. L’état du droit
  328. Le dispositif proposé par le Sénat
  329. La position de la commission
  330. Chapitre III Dispositions modifiant le code de la mutualité
  331. L’état du droit
  332. Le dispositif proposé
  333. Les modifications apportées par le Sénat
  334. La position de la commission
  335. L’état du droit
  336. Le dispositif proposé
  337. Les modifications apportées par le Sénat
  338. La position de la commission
  339. Chapitre IV Dispositions modifiant le code de la sécurité sociale
  340. L’état du droit
  341. Le dispositif proposé
  342. Les modifications apportées par le Sénat
  343. La position de la commission
  344. Chapitre V Dispositions finales
  345. L’état du droit
  346. Le dispositif proposé par le Sénat
  347. La position de la commission
  348. L’état du droit
  349. Le dispositif proposé
  350. Les modifications apportées par le Sénat
  351. En commission
  352. En séance
  353. La position de la commission
  354. L’état du droit
  355. Le dispositif introduit par la commission spéciale
  356. L’état du droit
  357. Le dispositif introduit par la commission spéciale
  358. liste des personnes auditionnées en commission plénière
  359. liste des personnes auditionnées par mme cATHERINE HERVIEU, rapporteure sur le titre ier
  360. liste des personnes auditionnées par mme anne le hénanff, rapporteure sur le titre ii
  361. liste des personnes auditionnées par m. mickaël bouloux, rapporteur sur le titre iiI

N° 1779

ASSEMBLÉE NATIONALE

CONSTITUTION DU 4 OCTOBRE 1958

DIX-SEPTIÈME LÉGISLATURE

Enregistré à la Présidence de l’Assemblée nationale le 10 septembre 2025.

RAPPORT

FAIT

AU NOM DE LA COMMISSION SPÉCIALE ([1]) CHARGÉE D’EXAMINER LE PROJET DE LOI, adopté par le sénat, après engagement de la procédure accélérée, relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (n° 1112),

par M. Éric BOTHOREL

Rapporteur général,

et

M. Mickaël BOULOUX, Mmes Catherine HERVIEU et Anne LE HÉNANFF,

Rapporteurs thématiques

TOME I :

SYNTHÈSE, COMMENTAIRES DES ARTICLES,

PERSONNES AUDITIONNÉES

Voir les numéros :

Sénat : 33, 393, 394 et T.A. 78 (2024-2025).

Assemblée nationale : 1112.

La commission spéciale est composée de :

M. Philippe Latombe, président ;

Mme Virginie Duby-Muller, M. Thomas Gassilloud, M. Laurent Mazaury, M. Hervé Saulignac, vice-présidents ;

Mme Amélia Lakrafi, M. Aurélien Lopez-Liguori, Mme Liliana Tanguy, M. Vincent Thiébaut, secrétaires ;

M. Éric Bothorel, rapporteur général ;

M. Mickaël Bouloux, Mme Catherine Hervieu, Mme Anne Le Hénanff, rapporteurs thématiques ;

M. Xavier Albertini, M. Pouria Amirshahi, M. Rodrigo Arenas, Mme Bénédicte Auzanot, Mme Lisa Belluco, M. Édouard Bénard, M. Ugo Bernalicis, M. Matthieu Bloch, Mme Émilie Bonnivard, Mme Manon Bouquin, M. Jérôme Buisson, M. Eddy Casterman, M. François Cormier-Bouligeon, M. Jean-François Coulomme, Mme Geneviève Darrieussecq, M. Hervé de Lépinau, Mme Élisabeth de Maistre, Mme Sandra Delannoy, Mme Sophie Errante, M. Yannick Favennec-Bécot, Mme Marina Ferrari, M. Julien Gabarron, Mme Olga Givernet, M. Philippe Gosselin, M. Patrick Hetzel, M. Sébastien Huyghe, Mme Marietta Karamanli, M. Bastien Lachaud, M. Tristan Lahais, M. Maxime Laisney, Mme Constance Le Grip, M. Denis Masséglia, M. Emmanuel Maurel, M. Paul Midy, M. Jacques Oberti, M. René Pilato, M. Stéphane Rambaud, M. Julien Rancoule, Mme Marie Récalde, M. Matthias Renault, Mme Véronique Riotton, Mme Marie-Ange Rousselot, M. Alexandre Sabatou, M. Arnaud Saint-Martin, M. Sébastien Saint-Pasteur, Mme Laetitia Saint-Paul, M. Aurélien Saintoul, M. EmÉric Salmon, M. Philippe Schreck, Mme Sabrina Sebaihi, M. Aurélien Taché, Mme Sabine Thillaye, Mme Mélanie Thomin, M. Roger Vicot, M. Antoine Villedieu, Mme Estelle Youssouffa, membres.

SOMMAIRE

Pages

  1. avant-PROPOS du rapporteur général
  2. SYNTHÈSE
  3. I. Les dispositions du projet de loi initial
  4. A. Titre Ier : la transposition de la directive REC conduit à un renforcement du dispositif de sécurité des activités d’importance vitale
  5. B. Titre II : la transposition de la directive NIS 2 a pour objectif de renforcer significativement la cybersécurité de la nation
  6. C. Titre III : la transposition de la directive DORA entend renforcer la résilience opérationnelle numérique des entités financières
  7. II. Les modifications introduites par le Sénat
  8. A. Titre Ier
  9. B. titre ii
  10. C. titre iii
  11. III. Les Modifications apportées par la commission spéciale
  12. A. Titre Ier
  13. B. titre ii
  14. C. titre III
  15. COMMENTAIRE DES ARTICLES
  16. titre ier Résilience des activités d’importance vitale
  17. Chapitre Ier Dispositions générales
  18. Article 1er (art. L. 1332-1 à 6 et art. L. 1332-7 à 22 [nouveaux] du code de la défense) Transposition de la directive 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des activités critiques (REC)
  19. Chapitre II Dispositions diverses
  20. Article 2 (art. L. 1331-1, L. 2113-2, L. 2151-1, L. 2151-4, L. 2171-6, L. 2321-2-1, L. 2321-3 et L. 4231-6 du code de la défense ; art. 226-3 du code pénal ; art. L. 33-1 et L. 33-14 du code des postes et des télécommunications électroniques ; art. L. 1333-9 du code de la santé publique ; art. L. 223-2 et 223-8 du code de la sécurité intérieure ; art. 15 de la loi n° 2006-961 du 1er août 2006 relative aux droits d’auteur et aux droits voisins ) Actualisation de références législatives
  21. Article 3 (art. L. 6221-2, L. 6222-1, L. 6242-2 et L. 6312-3 [nouveaux] du code de la défense ; art. 711-1 du code pénal ; art. L. 33-1, L. 33-15 et L. 34-14 du code des postes et des communications ; art. L. 285-1, L. 286-1, L. 287-1 et L. 288-1 du code de la sécurité intérieure) Dispositions relatives à l’outre-mer
  22. Chapitre III Dispositions transitoires
  23. Article 4 Modalités d’entrée en vigueur du titre Ier
  24. titre ii cybersécurité
  25. Chapitre Ier De l’autorité nationale de sécurité des systèmes d’information
  26. Article 5 Missions et compétences de l’autorité nationale de sécurité des systèmes d’information (ANSSI)
  27. Article 5 bis A (nouveau) Inscription dans les plans communaux de sauvegarde du risque d’incident informatique ayant un impact important sur la fourniture des services à la population
  28. Article 5 bis Stratégie nationale en matière de cybersécurité
  29. Chapitre ii De la cyber-résilience
  30. Section 1 Définitions
  31. Article 6 Définitions
  32. Section 2 Des exigences de sécurité des systèmes d’information
  33. Article 7 Liste des secteurs d’activité hautement critiques et « critiques »
  34. Article 8 Définition des entités essentielles
  35. Article 9 Définition des entités importantes
  36. Article 10 Autres entités susceptibles d’être désignées comme essentielles ou importantes par arrêté du premier ministre
  37. Article 11 Compétence et territorialité des dispositions du titre II
  38. Article 12 Enregistrement des entités essentielles et importantes auprès de l’ANSSI
  39. Article 13 Absence d’application des dispositions du projet de loi aux entités soumises à des exigences équivalentes en application d’un acte juridique de l’Union européenne
  40. Article 14 Mise en place de mesures de cybersécurité par les entités essentielles et importantes
  41. Article 15 Opposabilité à l’ANSSI en cas de contrôle de la mise en œuvre du référentiel d’exigences techniques et organisationnelles
  42. Article 16 Exigences de protection cyber supplémentaires pour les OIV et pour les administrations
  43. Article 16 bis Empêcher l’intégration de dispositifs techniques visant à affaiblir la sécurité des systèmes d’information et des communications électroniques
  44. Article 17 Obligation de notification à l’ANSSI des incidents importants
  45. Section 3 Enregistrement des noms de domaine
  46. Article 18 Détermination des critères territoriaux pour l’application aux offices et aux bureaux d’enregistrement des noms de domaine
  47. Article 19 Obligation pour les offices et les bureaux d’enregistrement des noms de domaine de mettre en place une base de données
  48. Article 20 Durée de conservation des données collectées par les offices et les bureaux d’enregistrement des noms de domaine
  49. Article 21 Obligation de publication des données d’enregistrement d’un nom de domaine
  50. Article 22 Obligation de communiquer les données collectées par les offices et les bureaux d’enregistrement à l’autorité judiciaire et à l’ANSSI pour les besoins des procédures pénales ou de la sécurité des systèmes d’information
  51. Section 4 Coopération et échanges d’informations
  52. Article 23 Dérogation aux secrets protégés par la loi pour la communication d’informations en matière de cybersécurité entre l’ANSSI et ses interlocuteurs
  53. Article 24 Agrément par l’ANSSI d’organismes publics ou privés en tant que relais dans la prévention et la gestion des incidents cyber
  54. Chapitre III De la supervision
  55. Article 25 Prescription par l’ANSSI de mesures nécessaires en cas de cybermenaces
  56. Section 1 Recherche et constatation des manquements
  57. Article 26 A (art. L. 103 du code des postes et des communications électroniques) Services de coffre-fort numérique
  58. Article 26 Habilitation des agents de plusieurs organismes à rechercher et constater les manquements et infractions en matière de cybersécurité
  59. Article 27 Droits et obligations des agents chargés d’un contrôle de l’ANSSI et de la personne contrôlée
  60. Article 28 Devoir de coopération de la personne contrôlée et amende administrative en cas d’obstacle à un contrôle
  61. Article 29 Forme et prise en charge financière des contrôles
  62. Article 30 Modalités d’application des dispositions relatives aux prérogatives de l’ANSSI en matière de recherche et de constatation des manquements
  63. Section 2 Mesures consécutives aux contrôles
  64. Article 31 Ouverture d’une procédure à l’encontre de la personne contrôlée
  65. Article 32 (suppression maintenue) Mesures d’exécution
  66. Article 33 Saisine par l’ANSSI de la commission des sanctions
  67. Article 33 bis (nouveau) Dématérialisation des actes établis par les agents et personnels compétents en matière de cybersécurité
  68. Article 34 Modalités d’application des dispositions relatives à la procédure pouvant être engagée par l’ANSSI à l’encontre de la personne contrôlée
  69. Section 3 Des sanctions
  70. Article 35 Compétence de la commission des sanctions
  71. Article 36 Composition de la commission des sanctions
  72. Article 37 Sanctions en cas de manquements aux obligations en matière de cybersécurité
  73. Article 37 bis (nouveau) Octroi par l’ANSSI aux organismes d’évaluation du pouvoir d’évaluation de la conformité à des exigences de cybersécurité et à la délivrance de certificats de conformité
  74. Chapitre IV Dispositions diverses d’adaptation
  75. Article 38 (art. 30 et 35 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique) Alléger le contrôle des biens de cryptologie
  76. Article 39 (art. L. 2321-2-1 et L. 2321-3 du code de la défense, art. L. 33-1, L. 45, L. 45-3, L. 45-4, L. 45-5 et L. 45-8 du code des postes et des communications électroniques, titre Ier de la loi n° 2018-133 du 26 février 2018 portant diverses dispositions d’adaptation au droit de l’Union européenne dans le domaine de la sécurité [supprimés], art. 1er, 9, 12 et 14 de l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives) Abrogation de la transposition de la directive NIS 1 et simplification du cadre réglementaire
  77. Article 40 (art. 57 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique, art. 24 de la loi n° 2018-133 du 26 février 2018 portant diverses dispositions d’adaptation au droit de l’Union européenne dans le domaine de la sécurité, art. 16 de l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives) Mesures applicables à l’outre-mer pour les territoires régis par le principe de spécialité législative
  78. Chapitre V Dispositions relatives aux communications électroniques
  79. Article 41 (art. L. 39-1 du code des postes et des communications électroniques) Renforcement des sanctions pénales pour améliorer la lutte contre les brouillages
  80. Article 42 (art. L. 97-2 et L. 97-4 du code des postes et des communications électroniques) Renforcement des conditions d’accès à une assignation de fréquences déposée par la France auprès de l’UIT
  81. titre iii résilience opérationnelle numérique du secteur financier
  82. Chapitre Ier Dispositions modifiant le code monétaire et financier
  83. Article 43 A (art. L. 141-10 et L. 612-24-1 [nouveaux] du code monétaire et financier) Désignation de la Banque de France et de l’Autorité de contrôle prudentiel et de résolution comme autorités compétentes dans le cas où une entité financière est assujettie à plusieurs autorités de supervision
  84. Article 43 (art. L. 314-1 du code monétaire et financier) Modification de la définition des prestataires de services techniques
  85. Article 44 (art. L. 420-3 du code monétaire et financier) Maintien de la résilience opérationnelle des gestionnaires de plates-formes de négociation
  86. Article 45 (art. L. 421-4 et L. 421-11 du code monétaire et financier) Gestion du risque lié aux technologies de l’information et de la communication par les entreprises de marché
  87. Article 45 bis (art. L. 54-10-7 et L. 421-11-1 [nouveau] du code monétaire et financier) Désignation de l’Autorité des marchés financiers comme autorité compétente dans le cas où une entreprise de marché ou un prestataire de services pour crypto-actifs est assujetti à plusieurs autorités de supervision
  88. Article 46 (art. L. 511-41-1-B du code monétaire et financier) Références aux risques liés aux technologies de l’information et de la communication au sein des dispositifs de gestion des risques des établissements de crédit et des sociétés de financement
  89. Article 47 (art. L. 511-55 du code monétaire et financier) Référence aux réseaux et systèmes d’information au sein des exigences de contrôle interne des établissements de crédit et des sociétés de financement
  90. Article 48 (art. L. 521-9 du code monétaire et financier) Obligations des prestataires de services de paiement en matière de gestion du risque lié aux technologies de l’information et de la communication
  91. Article 49 (art. L. 521-10 du code monétaire et financier) Modification de la liste des prestataires de services de paiement soumis à une obligation de notification des incidents opérationnels ou de sécurité majeur
  92. Article 49 bis (art. L. 532-50 du code monétaire et financier) Extension de l’application du règlement DORA aux succursales d’entreprises d’investissement de pays tiers
  93. Article 50 (art. L. 533-2 du code monétaire et financier) Référence aux réseaux et systèmes d’information au sein des exigences de contrôle et de sauvegarde des prestataires de service d’investissement
  94. Article 51 (art. L. 533-10 du code monétaire et financier) Systèmes de technologies de l’information et de la communication et dispositifs de contrôle des prestataires de services d’investissement
  95. Article 52 (art. L. 533-10-4 du code monétaire et financier) Systèmes de contrôle des risques mis en œuvre par les prestataires de services d’investissement autres que les sociétés de gestion de portefeuille qui ont recours à la négociation algorithmique
  96. Article 53 (suppression maintenue) (art. L. 612-24 du code monétaire et financier) Référence aux prestataires informatiques critiques au sein des tiers auxquels l’Autorité de contrôle prudentiel et de résolution peut demander toute information
  97. Article 54 (art. L. 613-38 du code monétaire et financier) Référence à la résilience opérationnelle numérique au sein des plans préventifs de résolution des établissements de crédit et des sociétés de financement
  98. Article 55 (art. L. 631-1 du code monétaire et financier) Extension de la liste des autorités habilitées à échanger des informations
  99. Article 56 (art. L. 712-7, L. 752-10, L. 753-10, L. 754-8, L. 761-1, L. 762-3, L. 763-3, L. 764-3, L. 762-4, L. 763-4, L. 764-4, L. 771-1, L. 781-1, L. 773-5, L. 774-5, L. 775-5, L. 773-6, L. 774-6, L. 775-6, L. 773-21, L. 774-21, L. 775-15, L. 773-30, L. 774-30, L. 775-24, L. 783-2, L. 784-2, L. 785-2, L. 783-4, L. 784-4, L. 785-4, L. 783-13, L. 784-13 et L. 785-12 du code monétaire et financier) Adaptations pour rendre applicables en outre-mer les modifications du code monétaire et financier prévues par le présent projet de loi
  100. Chapitre II Dispositions modifiant le code des assurances
  101. Article 57 (art. L. 354-1 du code des assurances) Nouvelles obligations pour les entreprises d’assurance et de réassurance en matière de gouvernance des risques liés à l’utilisation des systèmes d’information
  102. Article 58 (art. L. 356-18 du code des assurances) Extension aux groupes d’assurance des nouvelles obligations de gouvernance des risques liés à l’utilisation des systèmes d’information
  103. Article 58 bis (art. L. 121-8 du code des assurances) Inversion de la charge de la preuve pour les cyberattaques
  104. Chapitre III Dispositions modifiant le code de la mutualité
  105. Article 59 (art. L. 211-12 du code de la mutualité) Nouvelles obligations pour les unions et mutuelles du code de la mutualité en matière de gouvernance des risques liés à l’utilisation des systèmes d’information
  106. Article 60 (art. L. 212-1 du code de la mutualité) Suppression de dispositions redondantes dans le code de la mutualité
  107. Chapitre IV Dispositions modifiant le code de la sécurité sociale
  108. Article 61 (art. L. 931-7 du code de la sécurité sociale) Nouvelles obligations pour les institutions de prévoyance et unions du code de la sécurité sociale en matière de gouvernance des risques liés à l’utilisation des systèmes d’information
  109. Chapitre V Dispositions finales
  110. Article 62 A Absence de double assujettissement à DORA et NIS 2
  111. Article 62 Dates d’application des dispositions du titre III
  112. Article 63 (nouveau) Demande de rapport sur les moyens humains et financiers de l’Agence nationale de la sécurité des systèmes d’information
  113. Article 64 (nouveau) Demande de rapport sur la mise en œuvre de la stratégie nationale en matière de cybersécurité
  114. liste des personnes auditionnées en commission plénière
  115. liste des personnes auditionnées par mme cATHERINE HERVIEU, rapporteure sur le titre ier
  116. liste des personnes auditionnées par mme anne le hénanff, rapporteure sur le titre ii
  117. liste des personnes auditionnées par m. mickaël bouloux, rapporteur sur le titre iiI

avant-PROPOS du rapporteur général

Le 14 décembre 2022, le Parlement européen et le Conseil ont adopté trois directives concernant :

– la résilience des entités critiques (REC) ([2]) ;

– les mesures destinées à assurer un niveau élevé commun de cybersécurité (NIS 2) ([3]) ;

– la résilience opérationnelle numérique du secteur financier (DORA) ([4]).

Les États membres avaient respectivement jusqu’au 17 octobre 2024 pour transposer dans leur droit interne les directives REC et NIS 2 et jusqu’au 17 janvier 2025 pour la directive DORA.

Dans notre pays, cette transposition a pris du temps en raison de la dissolution de l’Assemblée nationale, de la censure du gouvernement de M. Michel Barnier et, en conséquence, de l’encombrement du calendrier législatif.

Les 9 et 10 septembre 2025, la commission spéciale a enfin pu examiner le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Il avait été adopté par le Sénat en première lecture le 12 mars.

Après avoir discuté de 472 amendements, elle en a adopté 244, présentés par les différents groupes représentés en son sein.

Dès le début de ses travaux, le rapporteur général s’est fixé pour ligne de conduite d’éviter tant la sur-transposition que la sous-transposition des trois directives faisant l’objet du projet de loi. D’autant plus que la démission du gouvernement de M. François Bayrou n’autorisait guère les membres de la commission spéciale à s’émanciper du cadre posé par ces actes européens. Le rapporteur général a ainsi veillé, par ses avis, à ce que la discussion obéisse à ces principes.

Il salue par ailleurs la qualité du travail des rapporteurs de chaque titre du projet de loi – Mme Catherine Hervieu (titre Ier), Mme Anne Le Hénanff (titre II) et M. Mickaël Bouloux (titre III) – et n’a pas manqué de reprendre à son compte et de soutenir un nombre important de leurs amendements.

Les travaux de la commission spéciale sont intervenus alors que l’actualité ne cesse de faire état de cyberattaques. Ont ainsi été victimes, au cours des derniers mois, le centre communal d’action sociale de Poitiers, le logiciel Kairos de France Travail, le constructeur automobile Jaguar Land Rover, le Muséum national d’histoire naturelle, l’entreprise Naval Group, les services sociaux du conseil départemental de l’Aude, le groupe Auchan, les opérateurs de télécommunication Orange et Bouygues. La diversité des organismes touchés témoigne de la diffusion de la menace cyber dans notre pays.

« Ils ne mouraient pas tous, mais tous étaient frappés », pourrait-on dire en paraphrasant Jean de La Fontaine dans Les Animaux malades de la peste.

Le rapporteur général tient à rappeler que la menace cyber peut affecter toutes et tous. Le présent projet de loi doit œuvrer à la résilience de tous les maillons de la chaîne. Il répond à la nécessité de renforcer la capacité de notre économie et de notre société à surmonter ces attaques. Comme le soulignait le directeur général de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) en audition, « cette menace, actuellement opportuniste, pourrait un jour, s’avérer coordonnée avec des menaces étatiques dans un contexte géopolitique plus large ».

Face à cette situation, l’Union européenne a élaboré la directive NIS 2 grâce à l’impulsion de la France. Elle complète un cadre législatif européen préexistant tout en s’inscrivant dans une nouvelle logique. La directive représente aussi un changement d’échelle radical s’agissant du nombre d’entités régulées.

Le rapporteur général rappelle également que la résilience n’est pas un sujet nouveau. Dès octobre 2015, l’État est parti du constat, au travers de sa stratégie nationale pour la sécurité du numérique, que s’il était plutôt en mesure de protéger ses propres infrastructures ou les infrastructures vitales du pays, il se devait d’apporter une réponse structurée aux autres composantes de la société, souvent désarmées face à une cybercriminalité en plein essor. C’est de cette volonté qu’est né le groupement d’intérêt public (GIP) d’action contre la cyber-malveillance (ACYMA) en mars 2017 qui pilote actuellement le site internet cybermalveillance.gouv.fr dédié à la sensibilisation, à la prévention et à l’assistance aux victimes, qu’il s’agisse de particuliers, d’entreprises ou de collectivités territoriales. Dans cet élan, le renforcement des moyens de l’ANSSI doit se poursuivre, notamment au regard des nouvelles compétences que ce projet de loi lui confère.

La sécurisation et la régulation de l’espace numérique progressent mais les attaquants avancent toujours plus vite. Les acteurs du numérique attendent ce projet de loi et en espèrent des dispositions claires et précises. Il doit aussi être l’occasion de sensibiliser nos compatriotes à la cybersécurité.

Ainsi, le rapporteur général ne peut que se réjouir que la commission spéciale ait adopté à l’unanimité ce projet de loi, modifié par les apports de son président, de ses rapporteurs thématiques, de ses différents membres ainsi que des siens. Le présent rapport fait état de l’ensemble de ses travaux.

*

SYNTHÈSE

I. Les dispositions du projet de loi initial

A. Titre Ier : la transposition de la directive REC conduit à un renforcement du dispositif de sécurité des activités d’importance vitale

L’article 1er du projet de loi transpose en droit national la directive du 14 décembre 2022, dite REC ([5]), sur la résilience des entités critiques, en modifiant les articles L. 1332-1 et suivants du code de la défense. Les obligations prévues par la directive sont inspirées de celles prévues en France, depuis 2006, par le dispositif de sécurité des activités d’importance vitale (SAIV). Ainsi, la transposition de la directive se traduit par une actualisation du dispositif de SAIV, afin de renforcer le cadre existant qui a montré son efficacité.

Le dispositif de SAIV vise à garantir la protection des points d’importance vitale (PIV), désignés par l’État, essentiels au potentiel économique et militaire de la nation. Prévu aux articles L. 1332-1 à L. 1332-7 du code de la défense, le dispositif s’applique aux opérateurs d’importance vitale (OIV), publics et privés, qui exploitent les établissements et ouvrages dont l’indisponibilité menacerait la continuité de la vie de la nation ou qui pourraient constituer un danger grave pour la population. Le dispositif actuel concerne environ 300 OIV et 1 500 PIV, dont la liste est classifiée. Les OIV concernent des entreprises, publiques et privées, et des administrations, qui gèrent des sites sensibles : usines, centrales nucléaires, hôpitaux, bases militaires etc.

Le dispositif est fondé sur une planification assurée par l’État et les OIV pour garantir la sécurité de leurs sites sensibles et la continuité de leur activité. L’opérateur doit établir un plan de sécurité opérateur (PSO) et un plan particulier de protection (PPP) pour chaque PIV.

Le premier ministre fixe la liste des secteurs éligibles au dispositif et approuve les directives nationales de sécurité (DNS) qui décrivent les besoins de sécurité pour chaque secteur. Le secrétariat général de la défense et de la sécurité nationale (SGDSN) coordonne le dispositif au niveau national, décliné au niveau territorial par les préfectures et animé pour chaque secteur d’activité par les ministères coordonnateurs dans leur champ de compétences, au travers du service du haut fonctionnaire de défense et de sécurité.

La directive REC, négociée sous présidence française de l’Union européenne, fixe des règles minimales harmonisées pour garantir la fourniture, dans le marché intérieur, des services considérés comme essentiels au maintien de fonctions sociétales ou économiques vitales. Elle remplace la directive du 8 décembre 2008 ([6]), qui se limitait à recenser les infrastructures critiques dans les secteurs de l’énergie et des transports et à prévoir leur protection physique par les États membres. Une évaluation menée par la Commission européenne en 2019 a souligné la nécessité de mettre à jour le dispositif, volonté accrue par la pandémie de Covid de 2020, pour faire face à des nouveaux enjeux : dépendance énergétique, cybersécurité, changement climatique, souveraineté numérique, sécurité économique.

La directive REC s’inscrit dans une politique de résilience globale, puisque les entités seront également soumises aux obligations de cybersécurité prévues par la directive du 14 décembre 2022, dite NIS 2 ([7]), et transposées dans le titre II du projet de loi. Elle s’applique aux entités critiques, c’est-à-dire à toute entité publique ou privée désignée par un État membre et opérant dans un secteur stratégique. La résilience est entendue comme la capacité d’une entité à prévenir tout incident, à s’en protéger, y réagir, l’atténuer, l’absorber et s’en rétablir. En vertu de la directive, les États doivent notamment développer une stratégie nationale de résilience, recenser les entités critiques et déterminer un régime de sanctions. Les entités doivent, de leur côté, procéder à une évaluation des risques et mettre en œuvre des mesures de sécurité, détaillées au sein d’un plan.

Les principales modifications du dispositif de SAIV à la suite de la transposition de la directive REC sont les suivantes :

– le plan de résilience opérateur se substitue au plan de sécurité opérateur, avec une notion de continuité de l’activité et d’analyse des risques et des dépendances ;

– une astreinte pourra être imposée aux opérateurs, publics et privés, qui refusent de se mettre en conformité avec leurs obligations ;

– le champ des enquêtes administratives pour contrôler l’accès aux sites est étendu aux accès à distance et l’avis de l’autorité administratif passe de simple à conforme ;

– les opérateurs devront signaler les incidents à l’autorité administrative ;

– la notion d’entité critique d’importance européenne particulière est introduite en droit national, c’est-à-dire les opérateurs qui réalisent des activités similaires dans au moins six États membres de l’Union ;

– le régime de sanctions pénales, actuellement prévu par le dispositif, est remplacé par un régime de sanctions administratives, et une commission des sanctions est instituée pour réprimer les manquements des opérateurs.

Ces nouvelles obligations conduiront à un surcroît d’activité modéré pour les opérateurs, déjà pour la plupart sensibilisés à la prévention des risques et la continuité de leur activité. Néanmoins, le délai réduit de réalisation des nouveaux plans, en particulier celui de dix mois prévu pour le plan de résilience opérateur, pourrait causer quelques difficultés aux opérateurs et à l’autorité administrative pour faire la transition vers le dispositif actualisé.

En outre, la transposition de la directive conduit à l’élargissement des secteurs couverts par le dispositif à trois nouveaux secteurs, à savoir l’assainissement de l’eau, les réseaux de chaleur et de froid et l’hydrogène. Le nombre d’opérateurs d’importance vitale ne devrait pas évoluer de manière significative.

L’article 2 procède à des actualisations législatives pour tirer les conséquences du dispositif introduit à l’article 1er du présent projet de loi. Il actualise le code de la défense, le code pénal, le code des postes et des communications électroniques, le code de la santé publique, le code la sécurité intérieure et la loi n° 2006-961 du 1er août 2006 relative aux droits d’auteur et aux droits voisins.

L’article 3 prévoit les modalités d’application du dispositif introduit à l’article 1er en outre-mer. Le dispositif s’appliquera sur l’ensemble du territoire national, qu’il s’agisse des collectivités d’outre-mer régies par le principe d’identité législative ou de spécialité législative.

L’article 4 prévoit les modalités d’entrée en vigueur des dispositions prévues au titre Ier. Le texte initial ne prévoyant pas de date d’entrée en vigueur, il serait entré en vigueur au lendemain de la publication du projet de loi au Journal officiel.

B. Titre II : la transposition de la directive NIS 2 a pour objectif de renforcer significativement la cybersécurité de la nation

L’article 5 désigne l’ANSSI comme cheffe de file, à l’échelle nationale, pour la mise en œuvre de la politique du gouvernement en matière de sécurité des systèmes d’information.

L’article 6 définit les principales notions nécessaires à la mise en œuvre du dispositif national de cybersécurité tel qu’imposé par la directive NIS 2.

L’article 7 renvoie à un décret en Conseil d’État l’établissement de la liste des secteurs d’activité critiques et hautement critiques pour le fonctionnement de l’économie et de la société.

L’article 8 liste les entités considérées comme « essentielles » du point de vue de la sécurité des systèmes d’information et qui, à ce titre, se verront appliquer les dispositions prévues par la directive NIS 2.

L’article 9 liste les entités considérées comme « importantes » du point de vue de la sécurité des systèmes d’information et qui, à ce titre, se verront appliquer les dispositions prévues par la directive NIS 2.

L’article 10 donne la faculté au premier ministre de désigner par arrêté comme entité « essentielle » ou « importante » une entité exerçant une activité relevant d’un secteur d’activité hautement critique ou critique en fonction de critères prévus à cet effet.

L’article 11 définit les règles de compétences des États membres pour l’application des dispositions de la directive selon des critères territoriaux.

L’article 12 prévoit que l’ANSSI établit et met à jour la liste des entités essentielles, des entités importantes et des bureaux d’enregistrement sur la base des informations communiquées par ces entités et ces bureaux d’enregistrement.

L’article 13 prévoit les conditions dans lesquelles les dispositions du présent projet de loi peuvent ne pas s’appliquer aux entités soumises à des exigences équivalentes en application d’un acte juridique de l’Union européenne.

L’article 14 prévoit que les entités essentielles et importantes sont tenues de prendre les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information qu’elles utilisent dans le cadre de leurs activités ou de la fourniture de leurs services, ainsi que pour éliminer ou réduire les conséquences que les incidents ont sur les destinataires de leurs services.

L’article 15 vise à rendre opposable à l’ANSSI, en cas de contrôle effectué par elle, la mise en œuvre du référentiel qu’elle prescrit en matière de gestion des risques cyber.

L’article 16 confère au premier ministre le pouvoir de rajouter des obligations supplémentaires en matière de cybersécurité aux OIV ainsi qu’aux administrations les plus sensibles.

L’article 17 prévoit que les entités régulées au titre de la directive NIS 2 doivent notifier à l’ANSSI sans retard injustifié les incidents importants qu’elles subissent en matière de cybersécurité ayant un impact sur la fourniture de leurs services. Il prévoit également que l’ANSSI peut exiger qu’une entité ayant fait l’objet d’un incident de cybersécurité en informe le public, voire en informer directement le public.

L’article 18 détermine les offices d’enregistrement et les bureaux d’enregistrement auxquels s’appliquent les dispositions de la section 3 « Enregistrement des noms de domaine » du projet de loi selon les critères territoriaux fixés à l’article 11.

L’article 19 oblige les offices et les bureaux d’enregistrement des noms de domaine à mettre en place une base de données afin de pouvoir accéder aux données permettant d’identifier le propriétaire d’un nom de domaine en cas d’incident.

L’article 20 fixe la durée de conservation des données collectées par les offices et les bureaux d’enregistrement des noms de domaines, en prévoyant qu’ils doivent conserver les données relatives à chaque nom de domaine dans leur base de données tant que le nom de domaine est utilisé.

L’article 21 oblige les offices et bureaux d’enregistrement à publier sans retard les données d’enregistrement relatives à un nom de domaine qui ne sont pas des données à caractère personnel.

L’article 22 prévoit que les offices et les bureaux d’enregistrement devront mettre en place des procédures permettant à l’ANSSI et à l’autorité judiciaire d’accéder aux données collectées relatives aux noms de domaine, à leur demande, dans un délai maximal de 72 heures.

L’article 23 vise à déroger aux secrets protégés par la loi et au secret de l’instruction pour la communication d’informations en matière de cybersécurité entre l’ANSSI et plusieurs de ses interlocuteurs.

L’article 24 permet à l’ANSSI d’agréer des organismes publics ou privés en tant que relais de son action dans la prévention et la gestion des incidents de cybersécurité.

L’article 25 autorise l’ANSSI à prescrire des mesures à diverses entités lorsqu’elle aura connaissance d’une menace susceptible de porter atteinte à la sécurité de leurs systèmes d’information.

L’article 26 permet aux agents de l’ANSSI, ainsi que des organismes indépendants et des services de l’État spécialement désignés, de rechercher et constater les manquements à la réglementation et les infractions en matière de cybersécurité.

L’article 27 précise le cadre dans lequel doivent se dérouler les contrôles de l’ANSSI en fixant les droits et obligations des agents chargés du contrôle et des personnes contrôlées.

L’article 28 oblige la personne contrôlée par l’ANSSI à coopérer avec elle et instaure une amende administrative en cas d’obstacle au contrôle.

L’article 29 prévoit les formes que pourraient revêtir les contrôles de l’ANSSI et en fait supporter le coût par la personne contrôlée.

L’article 30 renvoie à un décret en Conseil d’État la détermination des modalités d’application des dispositions relatives aux prérogatives de l’ANSSI en matière de recherche et de constatation des manquements.

L’article 31 permet à l’ANSSI d’ouvrir une procédure à l’encontre de la personne contrôlée au vu des résultats du contrôle.

L’article 32 détermine la manière dont pourrait se poursuivre une procédure ouverte par l’ANSSI à l’encontre de la personne contrôlée, en particulier les mesures d’exécution pouvant être mises en œuvre.

L’article 33 prévoit la saisine par l’ANSSI de la commission des sanctions en cas d’inexécution d’une mesure d’exécution.

L’article 34 renvoie à un décret en Conseil d’État la détermination des modalités d’application des dispositions relatives à la procédure pouvant être engagée par l’ANSSI à l’encontre de la personne contrôlée.

L’article 35 prévoit que la commission des sanctions, placée auprès du premier ministre et créée par l’article 1er du projet de loi, est compétente pour statuer sur l’application des dispositions du chapitre II « De la cyber-résilience » et du chapitre III « De la supervision » du présent projet de loi.

L’article 36 précise la composition de la commission des sanctions.

L’article 37 transpose les différentes sanctions administratives prévues par la directive NIS 2 en cas de méconnaissance des obligations imposées aux entités régulées.

L’article 38 allège le contrôle des moyens et prestations de cryptologie en passant d’un dispositif d’autorisation à un régime de déclaration préalable en matière d’exportation.

L’article 39 abroge la directive NIS 1 et procède à une simplification du cadre réglementaire pour tenir compte de la transposition de la directive NIS 2.

L’article 40 étend l’application du titre II du projet de loi aux collectivités d’outre-mer régies par le régime de spécialité législative.

L’article 41 renforce les sanctions pénales pour améliorer la lutte contre les brouillages.

L’article 42 renforce les conditions d’accès à une assignation de fréquences déposée par la France auprès de l’Union internationale des télécommunications (UIT).

C. Titre III : la transposition de la directive DORA entend renforcer la résilience opérationnelle numérique des entités financières

Le chapitre Ier modifie le code monétaire et financier en répercussion des changements opérés par la directive sur la résilience opérationnelle numérique du secteur financier (DORA) dans plusieurs directives sectorielles déjà transposées dans le droit interne.

L’article 43 remplace le terme de « technologie de l’information » par « technologie de l’information et de la communication » (TIC) dans la définition des services de paiement.

L’article 44 introduit une référence à la gestion du risque lié aux TIC et aux tests de résilience opérationnelle numérique, prévus par le règlement 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier (DORA), dans les exigences opérationnelles des gestionnaires de plates-formes de négociation.

L’article 45 introduit une référence à la gestion du risque lié aux TIC, prévue par le règlement DORA, dans les obligations des sociétés qui gèrent un marché réglementé.

L’article 46 met en cohérence les exigences prudentielles des prestataires de services bancaires avec la prise en compte renforcée du risque lié aux TIC par le règlement DORA.

L’article 47 introduit une référence aux réseaux et systèmes d’information mis en place et gérés conformément au règlement DORA dans le dispositif de gouvernance des prestataires de services bancaires.

L’article 48 impose aux prestataires de services de paiement de respecter le cadre de gestion du risque lié aux TIC établi par le règlement DORA dans les procédures de contrôle des risques opérationnels de sécurité.

L’article 49 prévoit de réserver les obligations de déclaration des incidents majeurs, actuellement en vigueur pour l’ensemble des prestataires de services de paiement, à la Banque de France, au Trésor public et à la Caisse des dépôts et consignations du fait de nouvelles règles issues du règlement DORA en la matière.

L’article 50 introduit une référence aux réseaux et systèmes d’information mis en place et gérés conformément au règlement DORA dans les dispositifs de contrôle et de sauvegarde de leurs systèmes informatiques des entreprises d’investissement et des entreprises de crédit.

L’article 51 introduit une référence aux réseaux et systèmes d’information mis en place et gérés conformément au règlement DORA dans les règles d’organisation des prestataires de services d’investissement.

L’article 52 introduit une référence à la gestion du risque lié aux TIC, à la réponse aux incidents, au rétablissement des services et à la conduite de tests de résilience opérationnelle numérique dans le dispositif de prévention et de contrôle des incidents liés à la négociation algorithmique des entreprises d’investissement et des entreprises de crédit.

L’article 53 (supprimé) incluait les prestataires tiers de services fondés sur les TIC dans la liste des organismes susceptibles de devoir communiquer tous documents ou renseignements à l’Autorité de contrôle prudentiel et de résolution (ACPR).

L’article 54 introduit une référence à la résilience opérationnelle numérique ainsi qu’aux réseaux et systèmes d’information mis en place et gérés conformément au règlement DORA dans les plans de résolution établis par le collège de résolution de l’ACPR.

L’article 55 étend à la Banque de France et à l’ACPR l’habilitation à échanger des informations relatives à la sécurité des systèmes d’information avec l’Autorité des marchés financiers (AMF) et l’ANSSI.

L’article 56 rend applicable en Nouvelle-Calédonie, en Polynésie française et dans les îles Wallis et Futuna les dispositions du chapitre Ier du titre III.

Le chapitre II modifie le code des assurances en répercussion des changements opérés par la directive DORA dans la directive « solvabilité II » déjà transposée dans le droit interne.

L’article 57 introduit une référence aux réseaux et systèmes d’information mis en place et gérés conformément au règlement DORA dans les règles prudentielles des entreprises d’assurance et de réassurance.

L’article 58 introduit une référence aux réseaux et systèmes d’information mis en place et gérés conformément au règlement DORA dans les règles prudentielles des groupes du secteur de l’assurance.

Le chapitre III modifie le code de la mutualité en répercussion des changements opérés par la directive DORA dans la directive « solvabilité II ».

L’article 59 introduit une référence aux réseaux et systèmes d’information mis en place et gérés conformément au règlement DORA dans les règles prudentielles des mutuelles et de leurs unions.

L’article 60 supprime une redondance rédactionnelle du fait de l’application des articles 57 à 59.

Le chapitre IV modifie le code de la sécurité sociale en répercussion des changements opérés par la directive DORA dans la directive « solvabilité II ».

L’article 61 introduit une référence aux réseaux et systèmes d’information mis en place et gérés conformément au règlement DORA dans les règles prudentielles des institutions de prévoyance et de leurs unions.

Le chapitre V comporte les dispositions finales pour l’application du titre III.

L’article 62 détermine les modalités d’entrée en vigueur des dispositions du titre III.

II. Les modifications introduites par le Sénat

A. Titre Ier

À l’article 1er, les principales modifications apportées par le Sénat sont les suivantes :

– les notions d’incident et de résilience ont été définies ;

– l’astreinte journalière a été précisée comme s’appliquant 24 heures après la mise en demeure ;

– la notification d’incidents à l’autorité administrative devra intervenir au plus tard 24 heures après la notification et un décret en Conseil d’État précisera les conditions de mise en œuvre de l’obligation de notification ;

– les conditions de saisine de la Commission européenne pour effectuer une mission de conseil ont été précisées ;

– les personnalités qualifiées membres de la commission des sanctions seront nommées par le premier ministre, le président de l’Assemblée nationale et le président du Sénat, et pas seulement par le premier ministre.

L’article 4 a été modifié pour préciser que le titre Ier entrera en vigueur à une date fixée par décret en Conseil d’État, au plus tard un an après la promulgation de la présente loi, pour laisser le temps aux opérateurs de se conformer aux nouvelles obligations, en attendant la publication des actes d’application.

B. titre ii

Les principales modifications apportées par le Sénat sont les suivantes :

– désignation de l’ANSSI comme autorité nationale compétente et précision du champ des missions de l’ANSSI (accompagnement et soutien au développement de la filière cybersécurité) (article 5) ;

– introduction de l’élaboration par le premier ministre d’une stratégie nationale en matière de cybersécurité (article 5 bis) ;

– introduction des définitions des notions d’incident et de vulnérabilité (article 6) ;

– introduction de la liste des secteurs hautement critiques et critiques tels qu’ils figurent en annexe de la directive NIS 2 (article 7) ;

– exclusion des communautés d’agglomération ne comprenant pas au moins une commune d’une population supérieure à 30 000 habitants de la liste des entités essentielles (article 8) et importantes (article 9) ;

– mise à jour de la liste des entités essentielles, des entités importantes et des bureaux d’enregistrement concernés par le titre II du projet de loi a minima tous les deux ans (article 12) ;

– transmission des informations à l’ANSSI par les entités essentielles et importantes et les bureaux d’enregistrement dans le respect des modalités de chiffrement de bout en bout ainsi que de la protection des données recueillies de l’effet des lois extraterritoriales (article 12) ;

– adaptation du référentiel d’exigences techniques aux spécificités des acteurs mentionnés au premier alinéa de l’article 14 du projet de loi, en fonction de leur degré d’exposition au risque, de leur taille, de la probabilité de survenance d’un incident et de leur gravité (article 14) ;

– prise en compte des modalités de concertation des représentants des entités concernées et des associations d’élus dans l’élaboration du référentiel d’exigences techniques (article 14) ;

– création d’un mécanisme de reconnaissance mutuelle entre les États membres de l’Union européenne et vers d’autres types de référentiels, de sorte qu’une entité qui aurait vu certifiée sa conformité à un référentiel dont le niveau équivalent de sécurité a été validé par l’ANSSI puisse s’en prévaloir lors d’un contrôle (article 15) ;

– possibilité de vérifier la conformité au référentiel d’exigences techniques via un label de confiance approuvé par l’ANSSI (article 15) ;

– introduction d’un article additionnel empêchant d’imposer aux fournisseurs de services de chiffrement l’intégration de dispositifs techniques visant à affaiblir la sécurité des systèmes d’information et des communications électroniques (article 16 bis) ;

– intégration de critères pour considérer qu’un incident est important au sens de la directive et précisions quant à la nature des incidents importants devant être notifiés sans retard injustifié (article 17) ;

– introduction de délais de notification aux CERT nationaux des incidents informatiques (article 17) ;

– obligation pour les CERT de fournir, sans retard injustifié, une réponse à l’entité émettrice d’une notification alertant d’une cyberattaque (article 17) ;

– suppression de la notion d’incident « critique » pour se limiter à la seule notion d’incident « important » prévue dans la directive (article 17) ;

– extension du délai de conservation des données par les bureaux d’enregistrement à la durée d’utilisation du nom de domaine et jusqu’à l’expiration d’un délai d’un an à compter de la cessation de l’utilisation de ce nom de domaine (article 20) ;

– encadrement de la communication d’informations aux agents habilités par l’autorité judiciaire pour les besoins des procédures pénales et de la sécurité des systèmes d’information (article 23) ;

– modification rédactionnelle des dispositions sur le coffre-fort numérique (article 26 A) ;

– suppression de la référence aux infractions pouvant être commises par les personnes contrôlées par l’ANSSI, clarification du rôle des agents et personnels des organismes indépendants en matière de recherche des manquements, possibilité pour les agents et personnels habilités par l’ANSSI de concourir à la recherche des manquements (article 26) ;

– absence de prise en charge financière par les entités contrôlées du coût du contrôle en cas d’absence de manquement aux obligations prévues par le projet de loi (article 29) ;

– introduction des dispositions de l’article 32 du projet de loi dans l’article 31, possibilité pour l’ANSSI de rendre publique la mesure d’exécution adoptée et d’enjoindre à la personne contrôlée de rendre public son manquement, ouverture d’une procédure à l’encontre de l’entité contrôlée lorsque le contrôle révèle des éléments ou des faits éveillant une suspicion de manquement (articles 31 et 32) ;

– exclusion des avertissements du champ des mesures d’exécution dont la non-application peut entraîner la suspension d’une certification ou d’une autorisation par l’ANSSI (article 33) ;

– saisine de la commission des sanctions par l’ANSSI, nomination par les présidents des deux assemblées de deux des trois personnalités qualifiées membres de la commission des sanctions, limitation de la possibilité de nommer des personnalités qualifiées aux personnes qui n’ont pas exercé, au cours des trois années précédant leur nomination, une activité ni au sein d’une entité essentielle ou importante , ni au sein de l’ANSSI (article 36) ;

– restriction de la faculté pour la commission des sanctions d’interdire à toute personne physique exerçant les fonctions de dirigeant dans l’entité essentielle d’exercer des responsabilités dirigeantes dans cette entité, possibilité pour la commission des sanctions d’exiger que l’entité qui s’est rendue coupable d’un manquement communique au public le manquement constaté, voire que la commission des sanctions rende elle-même public le manquement, nécessité pour la commission des sanctions de prendre en compte les circonstances et la gravité du manquement (article 37) ;

– clarification de l’applicabilité en Nouvelle-Calédonie et en Polynésie française des modifications prévues à l’article 39 du projet de loi (article 40).

C. titre iii

Au chapitre Ier, les principales modifications apportées par le Sénat sont les suivantes :

– désignation de la Banque de France et de l’ACPR comme seules destinataires des déclarations d’incidents majeurs liés aux TIC et des notifications volontaires de cybermenaces de la part des entités financières qui relèvent de leur compétence, en application de l’article 19 du règlement DORA et dans un but de simplification administrative pour les entreprises (article 43 A) ;

– désignation également de l’AMF comme seule destinataire des déclarations d’incidents majeurs liés aux TIC et des notifications volontaires de cybermenaces de la part des entités financières qui relèvent de sa compétence (article 45 bis) ;

– réécriture de l’article 49 dans un souci de simplification afin, d’une part, de faire de l’ACPR l’unique destinataire des déclarations d’incidents qu’elle doit ensuite transmettre à la Banque de France et, d’autre part, de prévoir expressément que les obligations déclaratives auxquelles sont soumises les entités financières fournissant des services de paiement relèvent du règlement DORA ;

– extension des dispositions du règlement DORA aux succursales d’entreprises d’investissement de pays tiers afin de ne pas créer une rupture de l’égalité avec les autres prestataires de services d’investissement en France (article 49 bis) ;

– suppression de l’article 53 car la rédaction actuelle de l’article L. 612-24 du code monétaire et financier régissant la transmission des documents et informations devant être périodiquement remis à l’ACPR inclut déjà l’ensemble des tiers auprès desquels les personnes assujetties à cette autorité ont externalisé des fonctions ou activités opérationnelles.

Au chapitre II, les sénateurs ont ajouté l’article 58 bis visant à confier la charge de la preuve à l’assureur en cas de cyberattaque afin que les pertes et dommages que ces sinistres sont susceptibles d’occasionner soient mieux indemnisés.

Au sein des dispositions finales du chapitre V, le Sénat a expressément exclu du champ de la directive NIS 2 les entités financières auxquelles s’appliquent le règlement et la directive DORA en ce qui concerne les mesures de gestion des risques en matière de cybersécurité ou de notification d’incidents importants (article 62 A) afin d’éviter tout risque de double assujettissement.

À l’article 62, les sénateurs ont modifié la date d’entrée en vigueur des dispositions du titre III :

– au lendemain de la promulgation de la loi de manière générale, compte tenu du retard pris dans l’examen du texte ;

– au 1er janvier 2030 pour l’application des exigences prudentielles propres aux prestataires de services bancaires à l’ensemble des sociétés de financement, sans référence à leur taille, en raison du fait qu’elles ne sont pas expressément visées par la directive DORA et pour tenir compte de leurs spécificités par comparaison aux autres prestataires de services bancaires que sont les établissements de crédit.

Le Sénat a également posé un principe de proportionnalité pour l’application du règlement DORA aux sociétés de financement de petite taille et non complexes.

III. Les Modifications apportées par la commission spéciale

A. Titre Ier

À l’article 1er, les principales modifications apportées par la commission sont les suivantes :

– clarification entre la notion d’infrastructure critique utilisée en droit européen et celle de point d’importance vitale utilisée en droit national (alinéa 9) ;

– extension de l’analyse des dépendances aux sous-traitants, selon un délai fixé par voie réglementaire, et aux vulnérabilités envers les fournisseurs de solutions logicielles et matérielles propriétaires (alinéa 32) ;

– distinction dans le plan de résilience entre les dispositifs et les dispositions de résilience (alinéa 35) ;

– ajout de l’avis de la Commission nationale de l’informatique et des libertés (CNIL) sur le décret en Conseil d’État précisant les modalités de l’avis de l’autorité administrative sur une autorisation d’accès à un point d’importance vitale (alinéa 40) ;

– mise en cohérence des obligations imposées aux OIV avec celles prévues par la directive NIS 2 (alinéa 60) ;

– nomination des personnalités qualifiées de la commission des sanctions par le premier ministre, plutôt que par le premier ministre, le président de l’Assemblée nationale et le président du Sénat (alinéa 83) ;

– inscription dans le code de la défense de la procédure contradictoire devant la commission des sanctions (alinéa 87) ;

– mandat non renouvelable des membres, hors personnalités qualifiées, de la commission des sanctions (alinéa 90).

B. titre ii

Les modifications suivantes ont été apportées aux articles du titre II :

– inscription dans les missions de l’ANSSI de la promotion de la cyberprotection, de la cyberhygiène et de l’éducation aux bonnes pratiques numériques (article 5) ;

– inscription dans les plans communaux de sauvegarde du risque d’incident informatique ayant un impact important sur la fourniture des services à la population (ajout d’un article 5 bis A) ;

– intégration dans la stratégie nationale de cybersécurité de l’autonomie stratégique, de mesures pour améliorer le niveau de sensibilisation face au risque cyber, des modalités de soutien financier aux collectivités territoriales, de la création d’un fonds de soutien destiné à accompagner certaines collectivités territoriales et leurs établissements publics, d’une stratégie d’aménagement du territoire pour renforcer la cyber-résilience des territoires, du renforcement de l’offre de formation publique dans les domaines de la cybersécurité et de la cyberdéfense et d’orientations pour promouvoir le recours aux logiciels libres (article 5 bis) ;

– définition des notions « d’agent agissant pour le compte des bureaux d’enregistrement » et de « résilience » et modification de la définition de la notion de « vulnérabilité » (article 6) ;

– exclusion de la liste des entités essentielles des entités dont les activités relèvent du secteur de la sécurité nucléaire, inclusion dans la liste des entités essentielles des entreprises éditrices de logiciels, de l’ensemble des communautés d’agglomération, des établissements publics de santé et des établissements et services sociaux et médico-sociaux (article 8) ;

– exclusion de la liste des entités importantes des entités dont les activités relèvent du secteur de la sécurité nucléaire, inclusion dans la liste des entités importantes de l’ensemble des communautés d’agglomération, des établissements publics de santé et des établissements et services sociaux et médico-sociaux (article 9) ;

– précision que l’élaboration de la liste des entités essentielles et importantes doit être faite après avis des ministères compétents et possibilité pour le premier ministre d’exempter par arrêté certaines entités exerçant des missions régaliennes de certaines obligations prévues par les articles 14 et 17 du projet de loi (article 10) ;

– mise en œuvre à leurs frais par les entités des mesures techniques, opérationnelles et organisationnelles, précision que les mesures précitées garantissent un niveau de résilience adapté et proportionné au risque, inscription de critères pour déterminer les mesures de cybersécurité prises par les entités critiques (article 14) ;

– clarification des conditions dans lesquelles seront reconnues les normes et spécifications techniques permettant aux entités régulées de démontrer leur conformité aux objectifs visés et facilitation pour les entités établies dans plusieurs pays au sein de l’Union européenne de la reconnaissance de leur conformité lorsqu’elles appliquent un autre référentiel que celui de l’ANSSI (article 15) ;

– élargissement du champ de l’article 16 bis pour inclure, au-delà des outils techniques, les « processus » permettant un accès non consenti aux données protégées (article 16 bis) ;

– précision qu’un incident est considéré comme important uniquement s’il a causé des pertes financières significatives (article 17) ;

– précision que, dans le cadre d’infractions au droit de la propriété intellectuelle, deux catégories d’agents doivent être spécialement habilités pour solliciter un accès aux données d’enregistrement des noms de domaines : les agents assermentés et les commissaires de justice (article 22) ;

– suppression de la notion d’intérêts commerciaux afin de permettre le partage d’informations entre les autorités compétentes (article 23) ;

– suppression de la certification par l’ANSSI des services de coffre-fort numérique (article 26 A) ;

– possibilité de soumettre aux contrôles de l’ANSSI les OIV qui ne sont pas déjà soumis à son contrôle en tant qu’entité essentielle ou importante (article 26) ;

– introduction d’un critère de nécessité pour apprécier la légalité des demandes d’accès aux systèmes d’information appartenant aux entités contrôlées dans le cadre d’un contrôle diligenté par l’ANSSI et ouverture de la possibilité pour les agents en charge des contrôles de prélever des échantillons de produits (article 27) ;

– distinction des montants des sanctions financières entre les entités essentielles et les entités importantes (article 28) ;

– possibilité pour les entités mentionnées à l’article 14 du projet de loi de choisir les prestataires de services certifiés, qualifiés ou agréées ou organismes indépendants sur la base d’une liste élaborée par l’ANSSI (article 29) ;

– possibilité d’une procédure dématérialisée pour l’établissement ou la conversion des actes établis par les agents en charge des contrôles (article 33 bis) ;

– possibilité de nommer une personnalité qualifiée au sein de la commission des sanctions si celle-ci a exercé au cours des trois années précédentes une activité au sein de l’ANSSI ou au sein d’entités essentielles ou importantes (article 36) ;

– octroi par l’ANSSI aux organismes d’évaluation du pouvoir d’évaluation de la conformité à des exigences de cybersécurité et à la délivrance de certificats de conformité (article 37 bis).

C. titre III

Au chapitre Ier, les principaux apports de la commission spéciale ont été les suivants :

– transmission à l’Agence nationale de sécurité des systèmes d’information (ANSSI) des déclarations d’incidents majeurs liés aux technologies de l’information et de la communication (TIC) et des notifications volontaires de cybermenaces importantes reçues par l’Autorité de contrôle prudentiel et de résolution (ACPR) de la part des entités financières considérées comme essentielles ou importantes au sens de la directive NIS 2 (article 43 A) ;

– transmission également à l’ANSSI de celles reçues par l’Autorité des marchés financiers (AMF) au moyen d’un document commun (article 45 bis).

Au chapitre II, la commission spéciale a réécrit l’article 58 bis afin que l’inversion de la charge de la preuve en cas d’attaque informatique soit effectivement inversée vis-à-vis des assurances.

Parmi les dispositions finales du chapitre V, la commission spéciale a rétabli une entrée en application différenciée des nouvelles exigences prudentielles propres aux prestataires de services bancaires pour les sociétés de financement selon leur taille (article 62). Elles entreront en vigueur dès le lendemain de la promulgation de la loi pour les plus grandes d’entre elles tandis que celles « de petite taille et non complexes », au sens du droit de l’Union européenne, ne devront s’y conformer que d’ici le 17 janvier 2027, soit un an de plus que ce que prévoyait le projet de loi dans sa rédaction initiale.

La commission spéciale a également adopté deux articles additionnels relatifs à des demandes de rapport :

– sur les moyens nécessaires à l’ANSSI pour s’assurer de la mise en œuvre de la transposition de la directive NIS 2 (article 63) ;

– au sujet de la mise en œuvre de la stratégie nationale en matière de cybersécurité dont l’élaboration est prévue à l’article 5 bis (article 64).

Enfin, les membres de la commission spéciale ont adopté divers amendements rédactionnels et ont étendu l’application des articles additionnels par rapport au projet de loi initial en Nouvelle-Calédonie, en Polynésie française et dans les îles Wallis et Futuna.

*

COMMENTAIRE DES ARTICLES

titre ier Résilience des activités d’importance vitale

Chapitre Ier Dispositions générales

Article 1er

(art. L. 1332-1 à 6 et art. L. 1332-7 à 22 [nouveaux] du code de la défense)

Transposition de la directive 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des activités critiques (REC)

➢ Résumé du dispositif et effets principaux

Cet article transpose en droit national la directive 2022/2557 du Parlement et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, dite directive REC. L’article actualise le dispositif de sécurité des activités d’importance vitale (SAIV) prévu dans le code de la défense depuis 2006. Les principales modifications apportées à ce dispositif sont les suivantes :

– les opérateurs d’importance vitale (OIV) seront tenus d’analyser les risques de toute nature auxquels ils font face et d’analyser leurs dépendances à l’échelle de l’opérateur, et non plus seulement des points d’importance vitale (PIV) ;

– un plan de résilience opérateur (PRO) fusionne le plan de sécurité opérateur (PSO) et le plan de continuité de l’activité (PCA), qui existent actuellement ;

– le plan particulier de résilience (PPR) se substitue au plan particulier de protection (PPP) ;

– une astreinte pourra être imposée aux opérateurs qui refusent de se mettre en conformité avec leurs obligations ;

– le champ des enquêtes administratives pour contrôler l’accès aux sites est étendu aux accès à distance et l’avis de l’autorité administratif passe de simple à conforme ;

– les OIV devront signaler les incidents à l’autorité administrative compétente – préfecture de département et secrétariat général de la défense et de la sécurité nationale (SGDSN), qui pourra en informer le public ;

– la notion d’entité critique d’importance européenne particulière est introduite en droit national, avec la possibilité de solliciter des missions de conseil de la Commission européenne auprès de ces entités ;

– une commission des sanctions est instituée pour réprimer les manquements des opérateurs au dispositif, à la place des sanctions pénales actuellement prévues ;

– les OIV pourront recourir à des régimes dérogatoires aux marchés publics ou aux contrats de concession, pour lutter contre des tentatives d’ingérence étrangères.

En outre, la transposition de la directive se traduit par un élargissement des secteurs couverts par le dispositif à l’assainissement de l’eau, aux réseaux de chaleur et de froid et à l’hydrogène.

➢ Dernières modifications législatives intervenues

Le dispositif de SAIV a été institué par l’ordonnance n° 2004-1374 du 20 décembre 2004 relative à la partie législative du code de la défense, sur la base de l’ancien dispositif de protection des points et réseaux sensibles datant de l’ordonnance n° 58-1371 du 29 décembre 1958 tendant à renforcer la protection des installations d’importance vitale.

L’article 3 de la loi n° 2005-1550 du 12 décembre 2005 a précisé que les dispositions entraient en vigueur à compter de la désignation de l’autorité administrative compétente. Cette autorité administrative, le préfet de département, a été désignée par le décret n° 2006-212 du 23 février 2006.

L’article 22 de la loi n° 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019 et portant diverses dispositions concernant la défense et la sécurité nationale a déplacé les articles régissant le dispositif dans le code de la défense, au sein d’une nouvelle section 1 au chapitre II du titre III du livre III.

➢ Modifications apportées par le Sénat

Outre des amendements rédactionnels, le Sénat a apporté les modifications suivantes :

– la notion d’incident (alinéa 12) et celle de résilience (alinéa 13) ont été définies ;

– l’astreinte journalière a été précisée comme s’appliquant 24 heures après la mise en demeure ;

– la notification d’incidents à l’autorité administrative devra intervenir au plus tard 24 heures après la notification et un décret en Conseil d’État précisera les conditions de mise en œuvre de l’obligation de notification (alinéa 46) ;

– les conditions de saisine de la Commission européenne pour effectuer une mission de conseil ont été précisées (alinéa 53) ;

– l’applicabilité du moyen de démontrer la conformité aux règles de sécurité, prévue à l’article 15 du présent projet de loi, a été étendue aux opérateurs d’importance vitale qui ne sont soumis ni à la directive 2022/2555 NIS 2 ni à la directive REC ;

– les personnalités qualifiées membres de la commission des sanctions seront nommées par le premier ministre, le président de l’Assemblée nationale et le président du Sénat (alinéa 83), et pas seulement par le premier ministre.

➢ Modifications apportées par la commission

Au-delà de plusieurs amendements rédactionnels, la commission spéciale a apporté plusieurs modifications à l’article 1er :

– clarification entre la notion d’infrastructure critique utilisée en droit européen et celle de point d’importance vitale utilisée en droit national (alinéa 9) ;

– extension de l’analyse des dépendances aux sous-traitants, selon un délai fixé par voie réglementaire, et aux vulnérabilités envers les fournisseurs de solutions logicielles et matérielles propriétaires (alinéa 32) ;

– distinction dans le plan de résilience entre les dispositifs et les dispositions de résilience (alinéa 35) ;

– ajout de l’avis de la Commission nationale de l’informatique et des libertés (CNIL) sur le décret en Conseil d’État précisant les modalités de l’avis de l’autorité administrative sur une autorisation d’accès à un point d’importance vitale (alinéa 40) ;

– mise en cohérence des obligations imposées aux OIV avec celles prévues par la directive NIS 2 (alinéa 60) ;

– nomination des personnalités qualifiées de la commission des sanctions par le premier ministre, plutôt que par le premier ministre, le président de l’Assemblée nationale et le président du Sénat (alinéa 83) ;

– inscription dans le code de la défense du caractère contradictoire de la procédure devant la commission des sanctions (alinéa 87) ;

– mandat non renouvelable des membres, hors personnalités qualifiées, de la commission des sanctions (alinéa 90).

L’état du droit : la France est dotée d’un dispositif destiné à assurer la sécurité des activités d’importance vitale
Le dispositif de SAIV garantit la protection d’environ 1 500 points d’importance vitale pour la nation

Le dispositif de sécurité des activités d’importance vitale mis en place en 2006 vise à garantir la protection des points d’importance vitale, c’est-à-dire les installations et ouvrages essentiels pour garantir le potentiel économique et militaire ainsi que la survie de la nation. Prévu aux articles L. 1332-1 à L. 1332-7 du code de la défense, le dispositif s’applique aux opérateurs d’importance vitale, publics et privés, qui exploitent les établissements et ouvrages dont l’indisponibilité menacerait la continuité de la vie de la nation ou qui pourraient constituer un danger grave pour la population. Les établissements sensibles peuvent être des hôpitaux, des usines, des locaux d’administration, des bases militaires etc.

Un arrêté du premier ministre du 2 juin 2006 ([8]), modifié par un arrêté du 3 juillet 2008, fixe la liste des douze secteurs d’importance vitale couverts par ce dispositif, qui concerne environ 300 OIV et 1 500 PIV, dont environ 40 OIV dans le secteur de la défense. Ces secteurs ont trait à la production de biens et services indispensables à la satisfaction des besoins essentiels pour la vie des populations, à l’exercice de l’autorité de l’État, au fonctionnement de l’économie, au maintien du potentiel de défense ou à la sécurité de la nation. Chaque secteur est supervisé par un ministre coordonnateur. Le critère clé d’identification d’un opérateur est celui de la non redondance : en cas de défaillance, l’absence des activités de l’opérateur menacerait la continuité de la vie de la nation.

liste des secteurs couverts par le dispositif

et des ministères coordonnateurs

SecteursMinistre coordonnateur
Activités civiles de l’ÉtatIntérieur
Activités judiciairesJustice
Activités militaires de l’ÉtatDéfense
AlimentationAgriculture
Communications électroniques, audiovisuel et informatiqueCommunications électroniques
ÉnergieÉnergie
Espace et rechercheRecherche
FinancesÉconomie et finances
Gestion de l’eauÉcologie
IndustrieIndustrie
SantéSanté
TransportsTransports

Source : étude d’impact, page 11.

Les interlocuteurs auditionnés par la rapporteure Catherine Hervieu soulignent l’efficacité et la robustesse du dispositif, qui a fait ses preuves face à la menace terroriste ou à l’occasion des Jeux olympiques et paralympiques de Paris. Le dispositif a permis de créer une culture de la sécurité au sein des entreprises et des établissements publics, avec une logique d’anticipation des risques et de protection des sites sensibles (notion de « points fortifiés »). Il repose sur la collaboration entre les services de l’État et les opérateurs au travers d’un accompagnement de la part de l’autorité administrative.

Le dispositif de SAIV repose sur les directives nationales de sécurité et l’élaboration de plans par les opérateurs

L’instruction générale interministérielle n° 6600 relative à la sécurité des activités d’importance vitale du 7 janvier 2014 fixe les modalités de mise en œuvre du dispositif.

Une directive nationale de sécurité (DNS) s’applique à tout ou partie d’un secteur d’importance vitale. Elle décrit le périmètre, identifie les responsables et détermine le besoin de sécurité et les politiques associées. Elle définit des mesures planifiées et graduées de vigilance, de prévention, de protection et de réaction contre toute menace, notamment à caractère terroriste.

Désignés par l’État, les opérateurs d’importance vitale sont tenus de garantir à leurs frais la sécurité de leurs sites à travers des documents de planification. Ils doivent identifier les PIV, analyser les risques pouvant menacer leur activité, décliner des mesures de sauvegarde et désigner un délégué à la défense et la sécurité (DDSS), habilité au secret de la défense nationale. Le DDSS est l’interlocuteur de l’administration pour tout ce qui a trait au dispositif.

L’opérateur doit élaborer un plan particulier de protection (PPP) pour chaque PIV, un plan de continuité de l’activité (PCA) et un plan de sécurité opérateur (PSO). Ce dernier est obligatoire si l’opérateur a plus d’un PIV. Le plan de protection externe est élaboré par le préfet de département en complément de chaque PPP.

Le PSO décrit l’organisation et la politique de sécurité d’un OIV. Il repose sur une analyse des risques et doit permettre à l’opérateur de s’approprier la DNS. Les plans particuliers de protection y sont annexés. Le PSO n’est aujourd’hui évoqué que dans la partie réglementaire du code de la défense (articles R. 1332-19 et suivants). Il s’agit d’un document classifié et approuvé par arrêté du ministre coordonnateur. L’opérateur dispose d’un délai de 6 mois à compter de la réception de la DNS pour élaborer le PSO et le transmettre au ministère coordonnateur.

Processus d’élaboration d’un plan de sécurité opérateur,

hors secteur de la défense

Source : étude d’impact, page 73.

Le PCA décline la stratégie d’ensemble pour assurer la continuité de l’activité de l’OIV. Le PCA n’est pas classifié et n’est pas validé par l’autorité administrative.

Le PPP est établi pour chaque PIV. Il précise les mesures de protection. Il décrit les moyens utilisés pour retarder et mettre en échec les tentatives malveillantes et faciliter le rétablissement de l’activité. C’est un document comprenant 50 à 100 pages, approuvé par arrêté du préfet de département.

Un PPE, élaboré par les pouvoirs publics, complète le PPP en précisant les modalités d’intervention des forces de sécurité, sous l’autorité du préfet de département. Document classifié, il décrit les moyens humains et matériels nécessaires. Le document comprend une quinzaine de pages. Les services du haut fonctionnaire de défense et de sécurité (HFDS) auditionnés ont indiqué que le taux de complétion des PPE est relativement modéré.

Le dispositif est coordonné par le SGDSN, animé par le ministre coordonnateur pour son secteur et décliné à l’échelle territoriale par le préfet de zone de défense et de sécurité

Le premier ministre définit le cadre général du dispositif. Il est chargé de fixer la liste des secteurs soumis à cette réglementation, de désigner pour chacun d’entre eux un ministre coordonnateur et de déterminer une méthode à suivre pour déterminer, pour chaque secteur, les scénarios de menaces et les PSO types pour y remédier. Il approuve par arrêté les DNS.

Le SGDSN coordonne le dispositif de SAIV au niveau national, au nom du premier ministre. Il assure la présidence et le secrétariat de la commission interministérielle de défense et de sécurité (CIDS), dont le rôle est consultatif et qui se réunit deux fois par an. La commission est sollicitée pour avis sur la désignation des OIV, les DNS, les PSO et la liste des PIV fournie par les OIV. La commission ne rend pas d’avis sur les OIV, les DNS et les PIV du secteur de la défense, qui relèvent du seul ministère de la défense, en raison de la confidentialité des activités.

Le ministre coordonnateur veille à l’application du dispositif dans les secteurs d’activité de son champ de compétences. Il désigne les OIV pour son secteur après avis de la CIDS, instruit les PSO et les approuve par arrêté. Il désigne les PIV, sur proposition des OIV (hors PIV classés ICPE ([9]) ou comprenant une installation nucléaire de base ([10]) dont la désignation revient alors au préfet de département). Il élabore la DNS puis, après approbation par le premier ministre, la diffuse aux préfectures de zone et aux services déconcentrés de son ministère. L’animation de la mise en œuvre du dispositif est assurée par les services du HFDS ; pour la défense, il s’agit de la direction de la protection des installations, moyens et activités de la défense (DPID). Le ministère chargé de l’économie et des finances est responsable d’environ 20 % des OIV et celui de la transition écologique de 50 %.

Processus de désignation d’un OIV initié par un ministre coordonnateur

Source : étude d’impact, page 59.

Le préfet de zone de défense et de sécurité est responsable de coordonner le dispositif à l’échelle territoriale, avec le soutien du préfet délégué pour la défense et la sécurité. Le préfet préside la commission zonale de défense et de sécurité (CZDS), qui contrôle les PIV sur le ressort territorial de la zone de défense. La CZDS exerce les mêmes fonctions que la CIDS pour les OIV qui ne sont présents que sur une seule zone de défense et de sécurité. Des agents du service du HFDS pour les ministères de l’économie et des finances ([11]) et de la transition écologique ([12]) sont rattachés aux préfectures de zone pour faire le lien entre l’échelon territorial et les ministères coordonnateurs.

Les préfets de département supervisent l’application des mesures pour les PIV de leur département, approuvent les PPP (hors secteur de la défense) après avis de la CZDS et planifient les moyens d’intervention de l’État avec les plans de protection externe (PPE). Ils peuvent initier la nomination d’un OIV.

Le dispositif proposé : une actualisation du dispositif de SAIV qui tire les conséquences de la directive REC
La révision du dispositif est rendue nécessaire par la directive européenne sur la résilience des activités critiques (REC)

La directive du 8 décembre 2008 ([13]) a introduit en droit européen la notion d’infrastructure critique européenne (ICE), en se limitant à recenser les infrastructures dans les secteurs de l’énergie et des transports et à prévoir leur protection physique par les États membres. Une ICE est une infrastructure située dans un État membre dont l’arrêt ou la destruction aurait un impact considérable sur deux États membres au moins. La directive était doublement limitée, par son périmètre d’abord, car elle se limitait à deux secteurs et aux entités de dimension européenne, et par ses obligations ensuite, la protection physique des infrastructures critiques relevant des États membres et des opérateurs.

Une évaluation menée par la Commission européenne en 2019 a souligné la nécessité de mettre à jour le dispositif, volonté accrue par la pandémie de Covid de 2020. La Commission a indiqué sa volonté de passer d’une logique d’infrastructures à celle d’entités, comprenant aussi les services associés, et de renforcer les règles ayant trait à résilience des entités critiques.

La directive de 2022 sur la résilience des entités critiques (dite directive REC), négociée sous présidence française de l’Union européenne, élargit le champ de la résilience des opérateurs aux entités critiques nationales, au-delà des seules infrastructures critiques européennes, et fixe des standards minimums de résilience (article 3 de la directive). Elle s’inscrit dans une politique de résilience globale puisque les entités seront également soumises aux obligations de cyber-résilience prévues par la directive NIS 2 ([14]) . Le texte final constitue une position d’équilibre entre des enjeux de souveraineté et une volonté de la Commission européenne de disposer d’un fort niveau d’harmonisation et de partage d’information entre les États membres de l’Union. La directive REC devait être transposée au sein des États membres au plus tard le 17 octobre 2024 (article 26), comme la directive NIS 2.

Une entité critique désigne toute entité publique ou privée désignée par un État membre et opérant dans un secteur stratégique. Une entité est qualifiée « d’importance européenne particulière » si elle opère des services similaires dans moins six États membres. La résilience est entendue comme la capacité d’une entité à prévenir tout incident, à s’en protéger, y réagir, l’atténuer, l’absorber et s’en rétablir. La criticité des entités est évaluée à l’aune de plusieurs critères précisés à l’article 7 de la directive REC : le nombre d’utilisateurs tributaires du service, l’impact potentiel des incidents sur les activités économiques et sociétales, la part de marché, la zone géographique couverte, l’existence de solutions de rechange pour fournir le service essentiel. À l’inverse, une clause de sauvegarde permet aux États membres de ne pas appliquer certaines dispositions aux entités liées à la défense ou à la sécurité nationale.

L’objet de la directive REC est d’établir des règles minimales harmonisées pour garantir la fourniture, dans le marché intérieur, des services considérés comme essentiels au maintien de fonctions sociétales ou économiques vitales. La directive impose par conséquent des obligations aux États membres et aux entités critiques. Elle crée un cadre pour traiter de manière globale la résilience des entités critiques en ce qui concerne tous les risques, qu’ils soient naturels, d’origine humaine, accidentels ou intentionnels. La directive vise également à améliorer la coopération transfrontalière, en évitant le dumping réglementaire et en améliorant la prise en compte des entités critiques qui opèrent dans plusieurs États membres.

Les États membres doivent :

– développer une stratégie nationale pour renforcer la sécurité des entités critiques, en s’appuyant quand c’est possible sur les stratégies sectorielles et les plans existants (art. 4) ;

– recenser les entités critiques qui seront soumises à des exigences de résilience (art. 6) et les aider à s’acquitter de leurs obligations (art. 10) ;

– évaluer les risques auxquelles les entités critiques peuvent être exposées (art. 5) ;

– communiquer à la Commission européenne la liste des services essentiels et le nombre d’entités critiques ;

– désigner des autorités chargées de surveiller l’application de cette directive (art. 9) et faire en sorte qu’elles disposent des pouvoirs adéquats (art. 21) ;

– préciser les conditions dans lesquelles les entités critiques peuvent demander des vérifications des antécédents auprès des autorités (art. 14) ;

– déterminer un régime de sanctions pour assurer la mise en œuvre du dispositif (art. 22).

Les entités critiques doivent, quant à elles, procéder à une évaluation des risques auxquelles elles sont exposées et qui pourraient perturber leur fourniture de services essentiels (art. 12). Elles doivent ensuite mettre en œuvre des mesures techniques, de sécurité et organisationnelles de manière à prévenir tout incident, à s’en protéger, à y réagir, à y résister, à l’atténuer, à l’absorber et à s’en remettre (art. 13). Ces mesures doivent figurer dans un plan de résilience et inclure des mécanismes de notification des incidents aux pouvoirs publics (art. 15).

Enfin, la directive identifie les entités critiques d’importance européenne particulière, qui fournissent des services essentiels à ou dans au moins six États membres de l’Union (art. 17).

correspondance entre les articles de la directive et

ceux du code de la défense introduits par le projet de loi

DispositifArticle de la directive RECArticle du code de la défense
Définitions21332-1 (modifié)
Entité critique11332-2 (modifié)
Évaluation des risques121332-3 (modifié)
Mesures de résilience131332-3 (modifié)
Analyse des dépendances4, 12 et 191332-4 (modifié)
Plan particulier de résilience131332-5 (modifié)
Enquêtes administratives de sécurité141332-6 (modifié)
Notification des incidents151332-7 (nouveau)
Entité critique d’importance européenne particulière171332-8 (nouveau)
Missions de conseil de la Commission181332-9 (nouveau)
Habilitation et contrôle des agents211332-12 à 14 (nouveaux)
Régime de sanctions221332-15 à 19 (nouveaux)

La directive REC s’applique à onze secteurs listés en annexe de la directive, chacun comprenant plusieurs sous-secteurs : énergie, transports, bancaire, infrastructure des marchés financiers, santé, eau potable, eaux résiduaires, infrastructures numériques, administration publique, espace, denrées alimentaires. Le règlement délégué 2023/450 de la Commission du 25 juillet 2023 identifie les services essentiels dans les secteurs et sous-secteurs couverts par la directive.

La transposition de la directive REC devrait se traduire, selon l’étude d’impact, par un élargissement du dispositif de SAIV à trois sous-secteurs : réseaux de chaleur et de froid (service essentiel n° 1b), hydrogène (n° 1e) et assainissement de l’eau (n° 6). Les associations représentatives de ces secteurs ont été auditionnées par la rapporteure Catherine Hervieu. Selon le HFDS du ministère de la transition écologique, cela correspond à une hausse d’une dizaine de nouveaux OIV. Les réseaux de chaleur et de froid sont des infrastructures locales qui desservent des bâtiments ou des quartiers. Selon la FEDENE, la France métropolitaine compte environ 1 000 réseaux de chaleur et de froid, de dimensions très hétérogènes. Seuls quelques réseaux de très grande taille devraient être assujettis au dispositif.

Le titre Ier du projet de loi vise ainsi à transposer la directive REC en révisant le dispositif national pour y intégrer les obligations prévues par la directive et étendre son champ d’application. La transposition de la directive repose sur une révision du dispositif actuel et non sur une refonte du dispositif national. Il acte le passage de la protection des « points fortifiés » à la résilience des entités. Les hauts fonctionnaires de défense et de sécurité ont rappelé dans leur audition la possibilité, avec cette révision, de faire face plus efficacement à des nouvelles menaces : dépendance énergétique, cyber, changement climatique, souveraineté numérique, sécurité économique.

PLANS avant et aprÈs l’entrée en vigueur du projet de loi

Plan actuelNouveau plan
Plan de sécurité opérateur (PSO)Plan de résilience opérateur (PRO)
Plan de continuité de l’activité (PCA)
Plan particulier de protection (PPP)Plan particulier de résilience (PPR)
Plan de protection externe (PPE)Plan particulier de résilience (PPR)
Articles L. 1332-1 et L. 1332-2 (modifiés) : définitions

L’article 1er du projet de loi introduit plusieurs définitions principales pour mettre en conformité le droit national avec le droit européen :

– activités d’importance vitale (alinéa 7) : « les activités indispensables au fonctionnement de l’économie ou de la société ainsi qu’à la défense ou à la sécurité de la Nation. » ;

– infrastructure critique (alinéa 8) : « tout ou partie d’un bien, d’une installation, d’un équipement, d’un réseau ou d’un système nécessaire à l’exercice d’une activité d’importance vitale ou dont une perturbation pourrait mettre gravement en cause la santé de la population ou l’environnement ». Le texte distingue les points d’importance vitale et les systèmes d’information d’importance vitale.

– opérateurs d’importance vitale (alinéas 14 à 17, qui modifient l’article L. 1332-2 du code de la défense) : il s’agit des opérateurs qui exercent une activité d’importance vitale au moyen d’une infrastructure critique.

Le champ des OIV retenu dans la transposition est plus large que celui des entités critiques au sens de la directive car il inclut les opérateurs régaliens du secteur de la défense et de la sécurité de la nation, exclus du champ de la directive REC (art. 1er, alinéa 6). L’entrée en vigueur du texte devrait conduire à augmenter le nombre d’OIV et de PIV d’une dizaine selon le SGDSN, même si le nombre exact est couvert par le secret de la défense nationale.

Il revient à l’autorité administrative de préciser les activités d’importance vitale exercées par un opérateur qui relèvent du champ des services essentiels, et ainsi les opérateurs qui doivent être considérés comme des entités critiques au sens de la directive (alinéa 16).

Comme dans le dispositif actuel de SAIV, l’ensemble des obligations imposées aux OIV est à la charge financière des opérateurs (alinéa 18).

Article L. 1332-3 (modifié) : évaluation des risques, mesures de résilience et plan de résilience opérateur des OIV

Les OIV seront tenus d’évaluer les risques de toute nature (alinéa 22), dans un délai de neuf mois à compter de la désignation comme OIV, conformément au paragraphe 1 de l’article 12 de la directive REC. Cette évaluation devra être actualisée au moins tous les quatre ans (alinéa 23). Le SGDSN a précisé que les nouveaux opérateurs assujettis seront, pour la plupart, informés en amont de leur désignation formelle comme OIV, pour leur laisser le temps de désigner un DDSS qui sera en charge du dispositif.

À partir de cette analyse des risques, les OIV devront prévoir des mesures de résilience technique, opérationnelle et organisationnelle pour assurer la continuité de leur opération (alinéa 24). Un décret en Conseil d’État précise la nature des mesures de résilience pour chaque catégorie d’OIV (alinéa 31).

Actuellement, la partie législative du code de la défense dispose seulement que les opérateurs sont tenus de prévoir des mesures de protection au niveau des PIV, tandis que l’évaluation des risques relève de la partie réglementaire. Ce nouvel article L. 1332-3 permet ainsi de faire entrer dans la loi les obligations d’analyse de risque et de plan de résilience.

L’analyse des risques des OIV et les mesures pour y faire face devront être détaillées dans un plan de résilience opérateur (PRO, alinéa 25). Le PRO, prévu à l’article 13 de la directive REC, fusionnera le plan de sécurité opérateur et le plan de continuité de l’activité qui existent aujourd’hui. Le PCA actuel n’étant validé qu’à l’échelle de l’opérateur, la création du PRO fera donc entrer dans le champ de l’autorité administrative la continuité de l’activité. Établi dans les dix mois après la désignation comme OIV, le plan sera approuvé par l’autorité administrative (alinéa 25).

L’autorité administrative pourra décider qu’un document déjà existant tienne lieu de PRO (alinéa 26), ce qui permettra aux opérateurs déjà assujettis de se conformer plus facilement à leurs obligations. Toutefois, les PSO actuels devront être in fine mis à jour pour se conformer aux nouveaux plans-types.

Les associations professionnelles (FEDENE, FP2E) ainsi que la DPID, auditionnées par la rapporteure Catherine Hervieu, ont exprimé une inquiétude sur la capacité des opérateurs à respecter les délais imposés par le projet de loi. Aujourd’hui, il s’écoule entre deux et trois ans entre la désignation d’un OIV et la validation définitive des PPR par le ministère coordonnateur, dont un an et demi pour la validation du PSO. Le délai légal, de 39 mois, va être réduit à 10 mois avec le nouveau dispositif.

Si l’opérateur refuse d’élaborer un PRO, l’autorité administrative pourra lui adresser une mise en demeure pour élaborer le plan ou le modifier, dans un délai qui devra être supérieur à un mois (alinéa 28). La mise en demeure pourra être assortie d’une astreinte d’un montant de 5 000 euros par jour de retard.

Alors que le régime de sanctions administratives introduit par le présent projet de loi aux alinéas 76 à 97 exclut explicitement les établissements publics, l’État et les collectivités territoriales (alinéa 91), ces derniers ne sont pas exclus du dispositif d’astreinte.

Article L. 1332-4 (modifié) : analyse des dépendances

Les OIV devront également, dans un délai de neuf mois à compter de leur désignation, réaliser une analyse de leurs dépendances à l’égard de tiers, y compris dans leur chaîne d’approvisionnement (alinéa 32).

Article L. 1332-5 (modifié) : établissement d’un plan particulier de résilience

Les alinéas 34 à 37 modifient l’article L. 1332-5 du code de la défense et fixent l’obligation aux OIV d’établir un plan particulier de résilience (PPR) pour chaque PIV, qui se substitue au plan particulier de protection (PPP). Comme pour le PSO, l’autorité administrative pourra reconnaître comme équivalent au PPR un document existant (alinéa 36). Le PPR, comme précisé dans l’étude d’impact, a vocation à intégrer en annexe ce qui figure actuellement dans le PPE. L’objectif est d’appréhender la sécurité des PIV dans une approche globale, où les services de l’État et l’opérateur œuvrent de concert, justifiant un document unique.

Ce nouveau plan constitue une obligation supplémentaire par rapport à la directive REC qui fixe au niveau de l’opérateur seulement l’obligation d’élaborer un plan de résilience.

Si l’opérateur refuse d’élaborer le PPR, l’autorité administrative pourra lui adresser une mise en demeure pour élaborer le plan ou le modifier, dans un délai qui devra être supérieur à un mois (alinéa 37). La mise en demeure pourra être accompagnée d’une astreinte d’un montant de 5 000 euros par jour de retard.

Article L. 1332-6 (modifié) : enquêtes administratives de sécurité

Les alinéas 40 à 45 modifient l’article L. 1332-6 du code de la défense en actualisant le dispositif de contrôle des sites vitaux. La loi du 14 mars 2011 dite LOPPSI 2 ([15]) a institué la possibilité pour les OIV de demander un avis à l’autorité administrative pour contrôler l’accès des individus aux PIV. Cette faculté est inscrite aujourd’hui à l’article L. 1332-2-1 du code de la défense. L’avis est rendu à la suite d’une enquête administrative qui peut donner lieu à la consultation du casier judiciaire et de traitements automatisés de données à caractère personnel.

En pratique, le service national des enquêtes administratives de sécurité (SNEAS), saisi pour tous les sites des opérateurs civils par les préfectures, estime à 70 000 le nombre d’enquêtes annuelles réalisées pour les points d’importance vitale. Le service estime qu’entre 1 et 2 % de ces enquêtes donnent lieu à un avis négatif. La direction du renseignement et de la sécurité de la défense (DRSD), saisie pour tous les sites relevant du ministère chargé de la défense, réalise les enquêtes annuelles pour les PIV relevant de leurs secteurs d’activités et pour les besoins du ministère. Dans le secteur de la défense, la DPID a indiqué que l’ensemble des accès sont déjà couverts par une obligation d’enquête administrative. Le SGDSN a précisé que le volume d’activité supplémentaire était en cours d’évaluation.

Le dispositif prévu élargit le champ des enquêtes aux accès à distance et acte le passage d’une logique d’avis simple à celle d’un avis conforme lorsque l’avis est négatif. Conformément à l’article 14 de la directive REC, le PRO devra ainsi prévoir :

– les cas dans lesquels l’avis peut être sollicité avant d’accorder une autorisation d’accès physique ou à distance aux points d’importance vitale et aux systèmes d’information (alinéa 43) ;

– les fonctions sensibles qui peuvent nécessiter un avis avant le recrutement ou l’affectation d’une personne (alinéa 42).

La personne concernée est avertie de l’enquête dont elle fait l’objet (alinéa 44). Un avis défavorable est émis si le comportement de la personne est de nature à porter atteinte à l’exercice d’une activité d’importance vitale ou à la sécurité d’une infrastructure critique (alinéa 45).

En cas d’avis défavorable, l’opérateur, s’il est une personne morale de droit privé, est tenu de refuser l’autorisation (alinéa 45). La personne publique pourra directement refuser l’autorisation, ce qui constitue une mesure de police administrative.

Les administrations auditionnées par la rapporteure Catherine Hervieu ont mis en évidence plusieurs difficultés relatives à la logique d’avis conforme. La DGA souligne que la logique d’avis conforme pourra entrer en contradiction avec celle d’avis non conforme qui prévaut pour l’accès aux zones protégées (art. 413-7 du code pénal). Le service de HFDS du ministère de l’économie et des finances indique de son côté que l’avis obligatoire pourrait inciter des employeurs privés à formuler moins de demande d’avis, par crainte d’un refus. Le SNEAS admet que la procédure actuelle est parfois contournée, avec des départements qui ne formulent aucune demande d’enquête malgré la présence de PIV.

Article L. 1332-7 (nouveau) : notification des incidents

En application de l’article 15 de la directive REC, l’alinéa 46 impose aux OIV de signaler à l’autorité administrative tout incident pouvant compromettre la continuité de leur activité. Un mécanisme de notification obligation était déjà prévu dans certains secteurs (télécommunications ([16]), nucléaire) et le présent article le généralise à l’ensemble des OIV.

L’alinéa 47 prévoit la possibilité pour l’autorité administrative d’informer le public sur l’incident, si elle estime qu’il est dans l’intérêt général de le faire. Les autorités administratives auditionnées par la rapporteure Catherine Hervieu ont rappelé que cette possibilité sera utilisée au cas par cas, pour ne pas compromettre le secret de la défense nationale.

Article L. 1332-8 (nouveau) : entités critiques d’importance européenne particulière

Les alinéas 48 à 52 introduisent la notion d’entités critiques d’importance européenne particulière qui figure à l’article 17 de la directive REC, à l’article L. 1332-8 du code de la défense. Comme indiqué dans la directive, il s’agit des OIV qui fournissent des services essentiels similaires dans au moins six États membres. La liste des services essentiels est précisée dans le règlement délégué 2023/450 du 25 juillet 2023 ([17]). Les entités critiques d’importance européenne particulière sont tenues d’en informer l’autorité administrative au plus tard lors de l’approbation de leur plan de résilience (alinéa 50). La France notifiera ensuite à la Commission européenne l’existence d’une entité critique d’importance européenne.

Les obligations imposées aux entités critiques d’importance européenne particulière sont peu contraignantes, il s’agit d’accorder un accès en cas de mission de conseil de la Commission européenne prévue à l’article suivant du présent projet de loi, et à transmettre des informations supplémentaires à la Commission si nécessaire.

Les opérateurs relevant de la sécurité nationale, de la défense, du nucléaire ou de la répression pénale peuvent être exemptées des obligations incombant aux entités critiques d’importance européenne particulière (clause de sauvegarde), selon des modalités définies par un décret en Conseil d’État (alinéa 52). Le décret devrait prévoir que les PIV du secteur de la défense seront exonérés du mécanisme de remontée d’information à la Commission européenne prévu par la directive REC (art. 9, alinéa 3).

Article L. 1332-9 (nouveau) : missions de conseil de la Commission européenne

L’article L. 1332-9 du code de la défense, créé par les alinéas 53 et 54, permet à la Commission européenne d’effectuer des missions de conseil auprès des entités critiques d’importance européenne particulière. Cette disposition, issue de l’article 18 de la directive REC et conditionnée à l’accord de l’autorité administrative, permet à la Commission de fournir un avis sur le respect des obligations par l’opérateur et sur les moyens d’accroître sa résilience. À cette fin, l’opérateur est tenu de garantir l’accès aux informations, systèmes et installations, dans le respect du secret-défense (alinéa 53).

L’alinéa 57 déplace les dispositions figurant actuellement à l’article L. 1332-6-1 A du code de la défense au sein d’un nouvel article L. 1332-10. Il s’agit de dispositions indépendantes de la directive REC qui autorisent les services de l’État à procéder à la captation, à l’enregistrement et à la transmission d’images à partir de caméras installées sur des aéronefs à des fins de protection des établissements et installations d’importance vitale. Il s’agit d’une simple modification de numérotation dans le cadre de la réécriture du chapitre II, sans modification sur le fond.

Article L. 1332-11 (nouveau) : systèmes d’information d’importance vitale

L’alinéa 60 précise que les opérateurs relevant des obligations du titre Ier du présent projet de loi sont également assujettis aux obligations de cyber-résilience prévues par le titre II, qui transpose la directive NIS 2. Alors que les assujettis à REC sont également assujettis à NIS 2 en droit européen (considérant 30 de la directive NIS 2), le champ des OIV retenu dans le dispositif français étant plus large que celui de REC, il s’agissait d’acter ce changement de périmètre en droit national. C’est l’objectif du nouvel article L. 1332-11 du code de la défense, qui renvoie aux articles 14 à 16 et au premier alinéa de l’article 17 du projet de loi.

Articles L. 1332-12 à L. 1332-14 (nouveaux) : habilitations et contrôles des agents

Les articles L. 1332-12 à 14 du code de la défense, créés par les alinéas 62 à 75, définissent les prérogatives des agents chargés de contrôler les obligations des OIV. L’article L. 1332-12 prévoit que les agents désignés et assermentés selon des modalités prévues par un décret en Conseil d’État sont habilités à rechercher des manquements aux obligations incombant aux OIV, en dehors de celles résultant de la transposition de NIS 2.

En pratique, les visites sont effectuées par le préfet de département ou son représentant et des membres de la CZDS, accompagnés au besoin d’experts des services déconcentrés de l’État. L’équipe de contrôle est en général composée d’un représentant du préfet de zone de défense (chef de délégation), d’un représentant du préfet de département, de la gendarmerie ou de la police, d’un représentant du ministère coordonnateur et d’experts de l’ANSSI.

Les agents disposent de prérogatives étendues prévues à l’article L. 1332-13. Ils peuvent ainsi (alinéas 68 à 71) :

– accéder aux locaux des OIV ;

– accéder à tout document nécessaire à l’accomplissement de leur mission auprès des administrations publiques, des établissements et organismes placés sous le contrôle de l’État et des collectivités territoriales ainsi que dans les entreprises ou services concédés par l’État, les régions, les départements et les communes ;

– recueillir, sur place ou sur convocation, tout renseignement, toute justification ou tout document nécessaire aux contrôles. À ce titre, ils peuvent exiger la communication de documents de toute nature propres à faciliter l’accomplissement de leur mission ;

– procéder, sur convocation ou sur place, à l’audition de toute personne susceptible d’apporter des éléments utiles à leurs constatations.

Les agents sont tenus au secret professionnel mais il ne peut leur être opposé (alinéa 71).

Le nouvel article L. 1332-14 précise qu’il est interdit de faire obstacle à l’exercice des fonctions des agents habilités (alinéa 73). Toute obstruction peut entraîner une sanction prononcée par la commission des sanctions d’un montant de dix millions d’euros ou pour une entreprise de 2 % du chiffre d’affaires mondial hors taxe de l’exercice précédent (alinéa 74).

Article L. 1332-15 à L. 1332-19 (nouveaux) : commission des sanctions

Les alinéas 76 à 97 détaillent le nouveau dispositif de sanctions administratives, en remplacement des sanctions pénales prévues actuellement à l’article L. 1332-7 du code de la défense. En l’état actuel, le fait de se soustraire à une obligation incombant aux OIV est puni de 150 000 euros d’amende pour les dirigeants des opérateurs et de 750 000 euros pour les personnes morales. Les sanctions administratives doivent permettre une plus grande souplesse et une meilleure efficacité. Le SGDSN indique qu’aucune sanction n’a été prononcée depuis la mise en place du dispositif.

Si l’article 22 de la directive REC renvoie aux États membres la détermination du régime de sanctions applicables, la directive NIS 2 prévoit à son article 34 un régime de sanctions administratives. Or, comme les opérateurs d’importance vitale seront soumis aux sanctions administratives prévues par NIS 2, il apparaissait opportun de prévoir un régime analogue par souci de cohérence.

Une commission des sanctions est instituée auprès du premier ministre pour constater et sanctionner tout manquement aux obligations incombant aux OIV (art. L. 1332-15 nouveau). Elle est composée : (i) d’un membre du Conseil d’État, président, désigné par le vice-président du Conseil d’État, (ii) d’un membre de la Cour de cassation désigné par le premier président de la Cour de cassation, (iii) d’un membre de la Cour des comptes désigné par le premier président de la Cour des comptes, (iv) de trois personnalités qualifiées nommées par le premier ministre, dans la version initiale du texte.

Ils exercent leurs fonctions en toute impartialité (alinéa 85). La commission statue par décision motivée, à la majorité des membres présents, après avoir entendu l’opérateur concerné (alinéa 88).

Le plafond de l’amende, fixé à l’article L. 1332-17 (nouveau), est de dix millions d’euros ou, lorsqu’il s’agit d’une entreprise, 2 % du chiffre d’affaires annuel mondial hors taxes de l’exercice précédent. Ces niveaux sont identiques à ceux prévus par l’article 34 de la directive NIS 2. La commission peut également décider de publier la sanction selon des modalités qu’elle précise, les frais étant supportés par la personne sanctionnée (art. L. 1332-18 nouveau).

Les administrations de l’État et ses établissements publics administratifs, les collectivités territoriales et leurs groupements ou établissements publics administratifs ne peuvent être sanctionnés par une amende administrative (alinéa 91).

Articles L. 1332-20 à L. 1332-22 (nouveaux) : marchés publics et contrats de concession

Les alinéas 100 à 106 introduisent les articles L. 1332-20 à 22 du code de la défense qui autorisent les OIV à recourir aux régimes dérogatoires des marchés publics et des contrats de concession. Ces dispositifs sont prévus dans le code de la commande publique respectivement au titre II du livre V de la deuxième partie du code et au titre II du livre II de la troisième partie du code. Ces régimes permettent de se soustraire à l’obligation de mise en concurrence et de publicité.

L’objectif de cette disposition est de se prémunir du risque d’ingérence étrangère, en évitant qu’un acteur hostile se porte candidat à des marchés publics ou des contrats de concessions et, le cas échéant, remporte le contrat. Actuellement, le code de la commande publique soumet au seul titre II du livre V de la deuxième partie les marchés publics qui exigent le secret ou dont l’exécution doit s’accompagner de mesures particulières de sécurité. Le présent projet de loi précise les marchés publics et les concessions des OIV qui pourront recourir à un tel dispositif. Le SGDSN a indiqué à l’occasion de son audition que le dispositif restera exceptionnel.

Deux conditions cumulatives doivent être réunies : (i) concerner des marchés ou des contrats de concessions nécessaires à la protection des infrastructures critiques de l’opérateur ou dont le détournement de l’usage porterait atteinte aux intérêts essentiels de l’État ; (ii) la protection ou la prévention du détournement d’usage ne peut être garantie par d’autres moyens.

Afin de garantir la conformité au droit de l’Union, les OIV devront informer l’autorité administrative qu’ils mettent en œuvre ces mesures, selon des modalités prévues par voie réglementaire (alinéa 106).

Si ces dispositions ne sont pas issues de la directive REC, elles s’inscrivent dans le cadre normatif européen, en particulier l’article 14 de la directive 2014/24 ([18]) et l’article 24 de la directive 2014/25 ([19]) sur les marchés publics qui prévoient une exclusion de l’application des règles de passation pour des raisons de sécurité.

Les modifications apportées par le Sénat
Articles L. 1332-1 : définitions

Un amendement porté par M. Vallet, du groupe socialiste, a été adopté en commission spéciale pour préciser la notion d’activité d’importance vitale, à l’alinéa 7. Toutefois un amendement du gouvernement en séance publique, soutenu par la commission, a rétabli la rédaction initiale, pour ne pas restreindre la notion.

En commission spéciale, les rapporteurs ont ajouté les définitions d’incident et de résilience à l’article L. 1332-1, absentes du projet de loi initial :

– incident (alinéa 12) : « un événement qui perturbe ou est susceptible de perturber de manière importante l’exercice d’une activité d’importance vitale » ;

– résilience (alinéa 13) : « la capacité d’un opérateur à prévenir et à se protéger contre tout incident, ainsi qu’à assurer la continuité de l’activité d’importance vitale qu’il exerce ».

Les définitions s’inspirent de celles présentes dans la directive REC à l’article 2 mais renvoient à la notion d’activité d’importance vitale à la place de celle d’entité critique, pour tenir compte de la nomenclature en droit national.

Le gouvernement, en séance publique, a précisé la définition de résilience introduite en commission spéciale comme « la capacité d’un opérateur à prévenir à se protéger et à résister contre tout type d’incident afin d’assurer la continuité de la ou des activités d’importance vitale qu’il exerce. » L’amendement du gouvernement, soutenu par la commission, dispose ainsi que la finalité de la résilience est de pouvoir résister aux attaques pour poursuivre les activités d’importance vitale.

Article L. 1332-3 (modifié) : évaluation des risques, mesures de résilience et plan de résilience opérateur des OIV

Un amendement porté par M. Vallet, du groupe socialiste, a été adopté en commission spéciale pour préciser la notion de risques à l’alinéa 22 comme les risques : « naturels ou d’origine humaine, accidentels ou intentionnels, y compris à caractère terroristes et ceux qui revêtent un caractère transsectoriel ou transfrontière ». Toutefois un amendement du gouvernement en séance publique, soutenu par la commission, a rétabli la rédaction initiale, pour conserver l’approche la plus large possible des risques devant être analysés par les opérateurs.

La commission spéciale a adopté un amendement, porté par les rapporteurs, qui précise que l’astreinte pécuniaire, prévue à l’article L. 1332-3 du projet de loi en cas de refus des opérateurs d’élaborer un PRO, ne peut être imposée qu’à compter de l’expiration du délai imparti par la mise en demeure.

Article L. 1332-4 (modifié) : analyse des dépendances

La commission spéciale a adopté un amendement, porté par les rapporteurs, qui précise que l’analyse des dépendances à l’égard de tiers ne se limite pas à leur chaîne d’approvisionnement mais inclue également leurs sous-traitants. Toutefois, alors que la directive REC ne prévoit pas de prendre en compte les sous-traitants, un amendement du gouvernement en séance publique a supprimé cette mention. Les rapporteurs ne s’y sont pas opposés (sagesse).

Article L. 1332-5 (modifié) : établissement d’un plan particulier de résilience

La commission spéciale a adopté un amendement, porté par les rapporteurs, qui précise que l’astreinte pécuniaire, prévue à l’article L. 1332-5 du projet de loi en cas de refus des opérateurs d’élaborer un PPR, ne peut être imposée qu’à compter de l’expiration du délai imparti par la mise en demeure.

Article L. 1332-7 (nouveau) : notification des incidents

Alors que le projet de loi initial laissait à un décret en Conseil d’État la fixation du délai de notification d’un incident par l’opérateur à l’autorité administrative, un amendement adopté en commission spéciale et porté par les rapporteurs a précisé que ce délai est au plus tard de 24 heures après que l’opérateur a pris connaissance d’un incident. Ce délai est prévu par la directive REC.

Article L. 1332-9 (nouveau) : missions de conseil de la Commission européenne

Un amendement porté par M. Vallet et adopté en commission spéciale a précisé que la demande de mission de conseil ne pouvait se faire que sur demande motivée de la Commission européenne ou d’un ou plusieurs États membres dans lesquels l’opérateur exerce sa mission.

Si le projet de loi initial prévoyait que les missions de conseil ne peuvent être effectuées qu’avec l’accord des autorités étatiques compétentes, l’amendement a permis de préciser que cette inspection exige également au préalable la présentation d’une demande motivée de la Commission européenne ou d’un ou de plusieurs des États membres auxquels ou dans lesquels le service essentiel est fourni, conformément à l’article 18 de la directive REC.

Article L. 1332-11 (nouveau) : systèmes d’information d’importance vitale

Un amendement des rapporteurs en commission spéciale a étendu la capacité de démontrer la conformité aux règles de sécurité, prévue à l’article 15 du présent projet de loi, aux opérateurs d’importance vitale qui ne sont ni soumis à la directive NIS 2 en tant qu’entité essentielle ou importante, ni soumis à la directive REC.

Article L. 1332-15 à L. 1332-19 (nouveaux) : commission des sanctions

La commission spéciale, à la suite d’un amendement des rapporteurs, a modifié la nomination des trois personnalités qualifiées à la commission des sanctions. Alors que le projet de loi initial prévoyait que les trois personnalités étaient nommées par le premier ministre, elles seront nommées par le premier ministre, le président de l’Assemblée nationale et le président du Sénat.

La position de la commission

La commission a adopté l’article 1er modifié par plusieurs amendements. Elle a adopté plusieurs amendements rédactionnels portés par la rapporteure Catherine Hervieu.

Articles L. 1332-1 et L. 1332-2 (modifiés) : définitions

La rapporteure Catherine Hervieu ainsi que le groupe Écologiste et Social (EcoS) ont proposé d’ajouter la préservation de l’environnement à la définition des activités d’importance vitale (alinéa 7). L’environnement n’est pas mentionné dans la définition actuelle des activités d’importance vitale, alors même que la plupart des secteurs d’application de la directive REC sont directement liés à sa préservation (énergie, transports, eau potable, denrées alimentaires). À ce titre, le point 478 de la revue nationale stratégique 2025, qui concerne la résilience des infrastructures critiques, indique spécifiquement que le risque environnemental devrait être mieux intégré au dispositif. Toutefois, la Commission a rejeté cet amendement, avec un avis défavorable du rapporteur général Éric Bothorel.

Un amendement, porté par le rapporteur général Éric Bothorel et la rapporteure Catherine Hervieu, a permis de mettre en cohérence la notion d’infrastructure critique utilisée en droit européen avec celle de point d’importance vitale utilisée en droit national (alinéa 9).

La directive REC adopte une définition de la notion d’infrastructure critique plus large que celle couvrant le périmètre actuel de la notion de PIV, cette dernière étant déjà bien appréhendée par les opérateurs. Par conséquent, le projet de loi avait fait le choix de conserver le périmètre actuel des points d’importance vitale, et de concevoir ces derniers comme une catégorie spécifique d’infrastructure critique au sens de la directive, par l’emploi de l’adverbe « notamment ». Toutefois, la multiplication des textes européens faisant référence à la notion d’infrastructure critique rend de moins en moins pertinente la distinction ([20]).

Pour des raisons de cohérence entre le droit européen et le droit interne, l’amendement lève cette distinction. Il supprime le mot « notamment » pour assurer une identité entre, d’une part, les points d’importance vitale et les systèmes d’information d’importance vitale et, d’autre part, les infrastructures critiques.

Article L. 1332-4 (modifié) : analyse des dépendances

La Commission a adopté un amendement, porté par la rapporteure Catherine Hervieu, qui étend l’analyse des dépendances aux sous-traitants, selon un délai fixé par voie réglementaire (alinéa 32). Conformément aux dispositions prévues par la directive REC, l’interdépendance croissante de l’économie nécessite de la part des opérateurs d’importance vitale une analyse détaillée des vulnérabilités de leur chaîne d’approvisionnement. Or, cette analyse n’est pas complète sans prendre en compte les sous-traitants, dans une démarche analogue à celle prévue par la directive de 2024 sur le devoir de vigilance ([21]). Afin d’éviter de surcharger les opérateurs, l’amendement précise que cette analyse sera réalisée selon un délai supplémentaire aux 9 mois prévus pour l’analyse des dépendances par la directive REC. Ce délai sera fixé par voie réglementaire.

La commission a également adopté un amendement du président Philippe Latombe qui étend l’analyse des dépendances aux vulnérabilités envers les fournisseurs de solutions logicielles (alinéa 32). Cet amendement précise que l’analyse menée par les opérateurs évalue spécifiquement les dépendances envers les solutions logicielles et matérielles propriétaires.

Article L. 1332-5 (modifié) : établissement d’un plan particulier de résilience

La commission spéciale a adopté un amendement, porté par le rapporteur général Éric Bothorel, le président Philippe Latombe et la vice-présidente Virginie Duby-Muller, pour distinguer, dans le plan particulier de résilience, les dispositifs et les dispositions de résilience (alinéa 35). Le plan particulier de résilience, établi par l’opérateur pour chaque PIV, devra préciser les mesures qui relèvent d’équipements spécifiques et celles qui dépendent de procédures à mettre en œuvre.

Article L. 1332-6 (modifié) : enquêtes administratives de sécurité

La commission spéciale a adopté un amendement porté par le rapporteur général Éric Bothorel, M. Édouard Bénard et les groupes La France Insoumise (LFI) et Écologiste et Social, qui ajoute un avis de la CNIL sur le décret en Conseil d’État précisant les modalités de l’avis de l’autorité administrative sur une autorisation d’accès à un point d’importance vitale (alinéa 40). L’avis de la CNIL permettra d’éclairer le gouvernement sur les conditions dans lesquelles doivent s’effectuer les enquêtes administratives de sécurité en matière de protection de données privées et d’accès à des informations personnelles.

Article L. 1332-11 (nouveau) : systèmes d’information d’importance vitale

Un amendement du rapporteur général Éric Bothorel a clarifié les obligations des OIV à l’égard de la directive NIS 2, transposée par le titre II du présent projet de loi (alinéa 60).

D’une part, l’amendement soumet les OIV à l’obligation de notification des incidents à leurs destinataires de services, prévue à l’article 17 du présent projet de loi et issue de la directive NIS 2.

D’autre part, l’amendement clarifie les obligations applicables aux OIV qui n’entrent pas dans le champ d’application de NIS 2 avec celles qui leurs sont applicables en vertu d’un acte juridique sectoriel de l’Union européenne. En effet, il existe des OIV qui ne sont pas considérés comme des entités essentielles ou importantes au sens de la directive NIS 2. En revanche, ils peuvent entrer dans le champ d’application de règlementations sectorielles de l’Union relatives à la sécurité des réseaux et des systèmes d’informations. Dès lors, cet amendement précise que les opérateurs ne seront pas tenus de mettre en œuvre les obligations prévues aux articles 14 et 15 du projet de loi, afin de ne pas multiplier les exigences de sécurité qui auraient une même finalité et un effet équivalent.

Article L. 1332-15 à L. 1332-19 (nouveaux) : commission des sanctions

La Commission a adopté un amendement, porté par le rapporteur général Éric Bothorel, qui prévoit la nomination des personnalités qualifiées de la commission des sanctions par le premier ministre plutôt que par le premier ministre, le président de l’Assemblée nationale et le président du Sénat (alinéa 83). Cet amendement a rétabli le dispositif du projet de loi initial, contre l’avis de la rapporteure Catherine Hervieu, qui considérait utile que le parlement intervienne dans la nomination des membres de la commission, en particulier pour des personnalités qualifiées.

Un amendement, porté par le rapporteur général Éric Bothorel, le vice-président Laurent Mazaury, la rapporteure Catherine Hervieu et le groupe LFI a consacré le principe du contradictoire devant la commission des sanctions (alinéa 87).

Un amendement porté par la rapporteure Catherine Hervieu a supprimé la possibilité de renouveler le mandat des membres de la commission des sanctions (alinéa 90). Le mandat unique, plutôt que renouvelable une fois, permettra de garantir le caractère désintéressé et impartial des décisions prises par la commission. Néanmoins, en raison de l’adoption d’un amendement du rapporteur général Éric Bothorel, le mandat unique ne sera pas applicable aux personnalités qualifiées de la commission des sanctions, dont la durée de mandat n’est plus spécifiée dans le texte adopté par la Commission. Un amendement sera porté en séance par la rapporteure Catherine Hervieu pour appliquer un mandat non renouvelable à l’ensemble des membres de la commission des sanctions.

*

Chapitre II Dispositions diverses

Article 2 (art. L. 1331-1, L. 2113-2, L. 2151-1, L. 2151-4, L. 2171-6, L. 2321-2-1, L. 2321-3 et L. 4231-6 du code de la défense ; art. 226-3 du code pénal ; art. L. 33-1 et L. 33-14 du code des postes et des télécommunications électroniques ; art. L. 1333-9 du code de la santé publique ; art. L. 223-2 et 223-8 du code de la sécurité intérieure ; art. 15 de la loi n° 2006-961 du 1er août 2006 relative aux droits d’auteur et aux droits voisins ) Actualisation de références législatives

➢ Résumé du dispositif et effets principaux

Cet article procède à des actualisations législatives pour tirer les conséquences du dispositif introduit à l’article 1er du présent projet de loi.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Cet article n’a pas été modifié par le Sénat.

➢ Modifications apportées par la commission

La commission spéciale a adopté un amendement rédactionnel.

Le dispositif proposé : une actualisation de références législatives qui tire les conséquences des modifications apportées par l’article 1er

L’article 2 actualise plusieurs références législatives afin de prendre en compte l’article 1er du présent projet de loi. Il actualise le code de la défense (I), le code pénal (II), le code des postes et des communications électroniques (III), le code de la santé publique (IV), le code la sécurité intérieure (V) et la loi n° 2006-961 du 1er août 2006 relative aux droits d’auteur et aux droits voisins (VI).

S’agissant du code de la défense (I) :

– à l’article L. 1333-1, qui concerne la protection des sites nucléaires, la référence aux « établissements, installations et ouvrages relevant de l’article L. 1332-1 » est remplacée par la référence à « certaines infrastructures des opérateurs d’importance vitale mentionnés au 1° du I de l’article L. 1332-2 », c’est-à-dire des opérateurs exerçant une activité d’importance vitale autre que sur une installation nucléaire de base ou classée protection de l’environnement (alinéa 2) ;

– à l’article L. 2113-1, qui concerne la collaboration de ressortissants étrangers en temps de guerre, la référence aux « installations ou aux ouvrages mentionnés aux articles L. 1332-1 et L. 1332-2 » est remplacée par la référence aux « opérateurs d’importance vitale mentionnés au I de l’article L. 1332-2 », c’est-à-dire les opérateurs exerçant une activité d’importance vitale (alinéa 3) ;

– à l’article L. 2151-1, qui concerne l’applicabilité du service de sécurité nationale au personnel visé par un plan de continuité d’activité, est introduite la référence aux « documents de planification des opérateurs désignés au titre de l’article L. 1332-1 visant à garantir la continuité de leur activité » (alinéa 4) ;

– à l’article L. 2151-4, qui renvoie à l’article ci-dessus, la mention « des plans de continuité ou de rétablissement d’activité » est supprimée (alinéa 5) ;

– au deuxième alinéa de l’article L. 2171-6, qui concerne la dispense de mobilisation de la réserve de sécurité nationale pour les agents exerçant dans un opérateur d’importance vitale, la référence aux opérateurs « publics et privés ou des gestionnaires d’établissements désignés par l’autorité administrative conformément aux articles L. 1332-1 et L. 1332-2 » est remplacée par la référence aux opérateurs « d’importance vitale mentionnés au I de l’article L. 1332-2 », c’est-à-dire les opérateurs exerçant une activité d’importance vitale (alinéa 6) ;

– aux premier et quatrième alinéas de l’article L. 2321-2-1, qui concerne la sécurité des systèmes d’information des opérateurs, la référence aux opérateurs mentionnés « aux articles L. 1332-1 et L. 1332-2 » est remplacée par la référence aux opérateurs « d’importance vitale mentionnés au I de l’article L. 1332-2 », c’est-à-dire les opérateurs exerçant une activité d’importance vitale (alinéa 7) ;

– à l’article L. 2321-3, qui concerne la sécurité des systèmes d’information des opérateurs, les références aux opérateurs « mentionnés aux articles L. 1332-1 et L. 1332-2 » sont remplacées par les références aux opérateurs « d’importance vitale mentionnés au I de l’article L. 1332-2 », c’est-à-dire les opérateurs exerçant une activité d’importance vitale (alinéas 9 et 10) ;

– à l’article L. 4231-6, qui concerne la dispense de disponibilité pour la réserve pour les agents exerçant dans un opérateur d’importance vitale, la référence aux opérateurs « publics et privé ou des gestionnaires d’établissements désignés par l’autorité administrative conformément aux articles L. 1332-1 et L. 1332-2 » est remplacée par la référence aux opérateurs « d’importance vitale mentionnés au I de l’article L. 1332-2 », c’est-à-dire les opérateurs exerçant une activité d’importance vitale (alinéa 11).

S’agissant du code pénal (II), à l’article 226-3, la référence aux opérateurs « mentionnés à l’article L. 1332-1 » est remplacée par la référence aux opérateurs « d’importance vitale mentionnés au I de l’article L. 1332-2 », c’est-à-dire les opérateurs exerçant une activité d’importance vitale (alinéa 12).

S’agissant du code des postes et des communications électroniques (III) :

– la référence aux opérateurs « mentionnés aux articles L. 1332-1 et L. 1332-2 » est remplacée par la référence aux opérateurs « d’importance vitale mentionnés au I de l’article L. 1332-2 », c’est-à-dire les opérateurs exerçant une activité d’importance vitale (alinéa 14) ;

– la référence aux opérateurs « mentionnés à l’article L. 1332-1 » est remplacée par la référence aux opérateurs « d’importance vitale mentionnés au 1° du I de l’article L. 1332-2 », c’est-à-dire des opérateurs exerçant une activité d’importance vitale autre que sur une installation nucléaire de base ou classée protection de l’environnement (alinéa 15).

S’agissant du code de la santé publique (IV), les références à « certains établissements, installations et ouvrages relevant de l’article L. 1332-1 » sont remplacées par les références à « certaines infrastructures des opérateurs d’importance vitale mentionnés au 1° du I de l’article L. 1332-2 », c’est-à-dire des opérateurs exerçant une activité d’importance vitale autre que sur une installation nucléaire de base ou classée protection de l’environnement (alinéa 16).

S’agissant du code de la sécurité intérieure (V), les références aux opérateurs « exploitant des établissements, installations et ouvrages mentionnés aux articles L. 1332-1 et L. 1332-2 » sont remplacées par les références aux « opérateurs d’importance vitale mentionnés au I de l’article L. 1332-2 », c’est-à-dire les opérateurs exerçant une activité d’importance vitale (alinéas 18 et 19).

S’agissant de la loi n° 2006-961 du 1er août 2006 relative aux droits d’auteur et aux droits voisins (VI), la référence aux opérateurs « publics ou privés gérant des installations d’importance vitale au sens des articles L. 1332-1 à L. 1332-7 » est remplacée par la référence aux opérateurs « d’importance vitale mentionnés au I de l’article L. 1332-2 », c’est-à-dire les opérateurs exerçant une activité d’importance vitale (alinéa 20).

Les modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

La position de la commission

La commission spéciale a adopté l’article 2 modifié par un amendement rédactionnel porté par la rapporteure Catherine Hervieu.

*

Article 3 (art. L. 6221-2, L. 6222-1, L. 6242-2 et L. 6312-3 [nouveaux] du code de la défense ; art. 711-1 du code pénal ; art. L. 33-1, L. 33-15 et L. 34-14 du code des postes et des communications ; art. L. 285-1, L. 286-1, L. 287-1 et L. 288-1 du code de la sécurité intérieure) Dispositions relatives à l’outre-mer

➢ Résumé du dispositif et effets principaux

Cet article prévoit les modalités d’application du dispositif introduit à l’article 1er en outre-mer. Le dispositif s’appliquera sur l’ensemble du territoire national, qu’il s’agisse des collectivités d’outre-mer régies par le principe d’identité législative ou de spécialité législative.

Toutefois, les dispositions spécifiques aux entités critiques d’importance européenne particulière ne seront pas applicables dans les pays et territoires d’outre-mer au sens du droit de l’Union : la Polynésie française, Wallis-et-Futuna, la Nouvelle-Calédonie, les Terres australes et antarctiques françaises (TAAF), Saint-Pierre-et-Miquelon et Saint-Barthélemy.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Cet article n’a pas été modifié au Sénat.

➢ Modifications apportées par la commission

La commission spéciale a adopté un amendement rédactionnel.

Le dispositif proposé : une application du dispositif de SAIV sur l’ensemble du territoire

Conformément à l’article L. 1 du code de la défense, les dispositions du code de la défense sont applicables sur tout le territoire. À ce titre, le projet de loi est applicable de plein droit aux collectivités d’outre-mer, de la même manière que le dispositif de SAIV actuel. Il s’agit des collectivités relevant à la fois du principe de l’identité législative – la Guadeloupe, la Guyane, la Martinique, La Réunion, Mayotte, Saint-Barthélemy, Saint-Martin et Saint-Pierre-et-Miquelon – et du principe de spécialité législative – la Polynésie française, Wallis-et-Futuna, la Nouvelle-Calédonie et les Terres australes et antarctiques françaises (TAAF).

Toutefois, le droit de l’Union distingue les régions ultrapériphériques (RUP), où le droit de l’Union est pleinement applicable, et les pays et territoires d’outre-mer (PTOM) qui ne sont pas intégrés à l’Union européenne. Les PTOM français sont les collectivités d’outre-mer régies par le principe de spécialité législative auxquelles s’ajoutent les collectivités de Saint-Pierre-et-Miquelon et Saint-Barthélemy.

Dès lors, la transposition de la directive REC issue de l’article 1er du présent projet de loi ne s’applique aux PTOM qu’en cas d’adaptation spécifique. L’article 3 adapte donc les dispositions du projet de loi aux PTOM pour assurer une application du dispositif de SAIV, en dehors des dispositions concernant les entités critiques d’importance européenne particulière (sous-section 2 de la section 1 du chapitre II du titre III du livre III du code de la défense, introduite par le présent projet de loi).

Le I du présent article est consacré aux adaptations du code de la défense.

Les alinéas 2 et 3 créent un article L. 6221-2 au sein du code de la défense qui établit un principe de substitution automatique des références à des dispositions inapplicables à Saint-Barthélemy par des références à des dispositions applicables localement. La disposition reprend l’article R*. 6311-1 du code de la défense qui prévoit un tel dispositif pour Wallis-et-Futuna, la Polynésie française, la Nouvelle-Calédonie et les TAAF. Cette disposition garantit l’application du dispositif de SAIV aux pays et territoires d’outre-mer au sens du droit de l’Union.

Les alinéas 4 à 9 précisent que les dispositions concernant les entités critiques d’importance européenne particulière ne sont pas applicables aux PTOM, à savoir Saint-Barthélemy (art. L. 6222-1 nouveau), Saint-Pierre-et-Miquelon (art. L. 6242-2 nouveau), Wallis-et-Futuna, la Polynésie française, la Nouvelle-Calédonie et les TAAF (art. L. 6312-3 nouveau).

Le II du présent article introduit un article 711-1 dans le code pénal pour préciser que les dispositions des livres Ier à V du code pénal sont applicables, dans leur rédaction résultant du présent projet de loi, en Nouvelle-Calédonie, en Polynésie française et dans les îles Wallis et Futuna (alinéa 11).

Le III du présent article modifie le code des postes et des communications électroniques pour faire référence à la présente loi aux articles L. 33-1, L. 33-15 et L. 34-14 (alinéas 13 à 15).

Le IV du présent article modifie le code de la sécurité intérieure pour faire référence à la présente loi aux articles L. 285-1, L. 286-1, L. 287-1 et L. 288-1 (alinéa 16).

Les modifications apportées
Le Sénat n’a pas modifié cet article.
La position de la commission

La commission spéciale a adopté l’article 3 modifié par un amendement rédactionnel de la rapporteure Catherine Hervieu, qui actualise les références législatives du code de la sécurité intérieure devant être modifiées par une référence à la présente loi.

*

Chapitre III Dispositions transitoires

Article 4 Modalités d’entrée en vigueur du titre Ier

➢ Résumé du dispositif et effets principaux

Cet article prévoit les modalités d’entrée en vigueur des dispositions prévues au titre Ier.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

La commission spéciale du Sénat a précisé que l’entrée en vigueur du titre Ier serait fixée à une date précisée par un décret en Conseil d’État, au plus tard un an après la promulgation du présent projet de loi.

➢ Modifications apportées par la commission

La commission spéciale n’a pas modifié cet article.

Le dispositif proposé : modalités d’entrée en vigueur des dispositions du titre Ier

L’article 4 fixe les modalités d’entrée en vigueur des dispositions prévues au titre Ier du présent projet de loi.

Le texte initial ne prévoyait pas de date d’entrée en vigueur du titre Ier. En l’absence de disposition spécifique, le titre Ier serait donc entré en vigueur au lendemain de la publication au Journal officiel du présent projet de loi, conformément aux règles fixées à l’article 1er du code civil. Néanmoins, la transposition de la directive REC en droit interne, prévue par le titre Ier du présent projet de loi, devait être réalisée au plus tard le 17 octobre 2024.

L’alinéa 2 dispose que les opérateurs d’importance vitale désignés avant la date d’entrée en vigueur de la présente loi le resteront à l’entrée en vigueur de la loi et seront donc soumis automatiquement aux nouvelles obligations. À ce titre, ils seront soumis aux délais impartis suivants :

– neuf mois pour réaliser l’analyse des risques de toute nature prévue au premier alinéa de l’article L. 1332-3 ;

– dix mois pour réaliser le plan de résilience opérateur mentionné au quatrième alinéa de l’article L. 1332-3 ;

– neuf mois pour réaliser l’analyse des dépendances mentionnée à l’article L. 1332-4.

L’alinéa 3 précise que les OIV désignés avant la date d’entrée en vigueur de la présente loi resteront soumis aux obligations applicables avant l’entrée en vigueur de la présente loi, jusqu’à l’accomplissement de leurs nouvelles obligations. L’objet de cet alinéa est d’éviter tout vide juridique dans la transition entre l’ancien et le nouveau dispositif de sécurité des activités d’importance vitale.

Les modifications apportées par le Sénat

À la suite d’un amendement déposé par les rapporteurs en commission, le premier alinéa de l’article 4 précise que le présent titre entrera en vigueur à une date fixée par décret en Conseil d’État, au plus tard un an après la promulgation de la présente loi. Ce délai vise à laisser le temps aux opérateurs de se conformer aux nouvelles obligations, en attendant la publication des actes d’application.

La position de la commission

La commission spéciale a adopté l’article 4 sans modification.

*

titre ii cybersécurité

Chapitre Ier De l’autorité nationale de sécurité des systèmes d’information

Article 5

Missions et compétences de l’autorité nationale de sécurité des systèmes d’information (ANSSI)

➢ Résumé du dispositif et effets principaux

Cet article désigne l’ANSSI comme autorité compétente à l’échelle nationale en matière de cybersécurité, en plus de sa compétence initiale antérieure dans le domaine de la cyberdéfense.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a adopté deux amendements : un amendement désignant explicitement l’ANSSI comme autorité nationale compétente et un amendement précisant que les missions de l’ANSSI « comprennent notamment l’accompagnement et le soutien au développement de la filière cybersécurité en coordination avec les ministères compétents ».

➢ Modifications apportées par la commission

La commission a adopté un amendement rédactionnel ainsi qu’un amendement complétant les missions de l’ANSSI en y incluant la promotion de la cyberprotection et de la cyberhygiène et de l’éducation aux bonnes pratiques numériques.

L’état du droit

Les compétences du premier ministre en matière de sécurité des systèmes d’information sont encadrées par le code de la défense. L’article L. 2321-1 dispose ainsi que le premier ministre « définit la politique et coordonne l’action gouvernementale en matière de sécurité et de défense des systèmes d’information » par l’intermédiaire de « l’autorité nationale de sécurité des systèmes d’information qui assure la fonction d’autorité nationale de défense des systèmes d’information », qui, en l’espèce, correspond à l’ANSSI (article R. 2321-1).

L’article 8 de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2), dite directive NIS 2, prévoit que « chaque membre désigne ou établit une ou plusieurs autorités compétentes chargées de la cybersécurité et des tâches de supervision ».

Le dispositif proposé

L’article 5 du projet de loi prévoit, en conséquence, que l’ANSSI, unique autorité nationale compétente en matière de sécurité des systèmes d’information, assure les missions prévues par l’article 8 de la directive NIS 2. Ainsi, le premier alinéa dispose que l’ANSSI est chargée « de la mise en œuvre de la politique du Gouvernement en matière de sécurité des systèmes d’information régie par le [titre 2] et de son contrôle ».

Au regard de ce champ très vaste, le projet de loi fait le choix, que n’impose pas la directive, de confier à une autorité unique le soin de piloter et coordonner la mise en œuvre de la politique du gouvernement en matière de cybersécurité et, en particulier, d’assurer le contrôle des obligations mises à la charge des opérateurs. Cette autorité unique sera l’ANSSI, service rattaché au secrétariat général de la défense et de la sécurité nationale (SGDSN) et déjà chargé de la défense des systèmes d’information par l’article L. 2321-1 du code de la défense. Toutefois, dans la mesure où le projet de loi soumet à une partie des obligations qu’il prévoit en application de la directive NIS2 des services de l’État exerçant en matière de défense des activités appelant un traitement particulier, le Conseil d’État a proposé dans son avis d’ajouter au projet de loi une disposition permettant au premier ministre de désigner, pour ces activités, une autre autorité.

L’alinéa 2 prévoit également la possibilité pour le premier ministre de désigner un autre organisme que l’ANSSI pour exercer certaines de ses responsabilités à l’égard de certaines entités, à raison de leur activité dans le domaine de la défense. Cette disposition concerne principalement le commandement de la cyberdéfense du ministère des armées, qui exerce, par délégation, les missions et les compétences de l’ANSSI à l’échelle du ministère des armées.

Les missions de l’ANSSI et les conditions d’exercices au titre de cet article seront précisées par décret en Conseil d’État (alinéa 3).

Les modifications apportées par le Sénat

Le Sénat a apporté deux modifications à l’article 5.

D’une part, il a introduit une référence à l’article L. 2321-1 du code de la défense pour désigner clairement l’ANSSI comme autorité nationale compétente. Il s’agissait d’un amendement de précision des rapporteurs, MM. Michel Canévet, Patrick Chaize et Hugues Saury, adopté en commission.

D’autre part, et même si les missions de l’ANSSI seront précisées par décret, le Sénat a complété l’alinéa 3 de l’article en précisant que ces missions « comprennent notamment l’accompagnement et le soutien au développement de la filière cybersécurité en coordination avec les ministères compétents ». Cet ajout a été motivé par le souci d’accompagner l’ensemble des entités concernées par les dispositions du titre II du projet de loi (entreprises, collectivités territoriales…) compte tenu de l’ampleur de la transformation induite par lesdites dispositions. Cet amendement, à l’initiative de Mme Catherine Morin-Desailly, a été adopté en commission.

La position de la commission

La commission spéciale a adopté un amendement rédactionnel de la rapporteure Anne Le Hénanff ainsi qu’un amendement de M. René Pilato et plusieurs de ses collègues du groupe La France insoumise-Nouveau Front populaire qui complète l’alinéa 3 par les mots : « ainsi que la promotion de la cyberprotection et de la cyberhygiène et de l’éducation aux bonnes pratiques numériques ». L’objectif de cet amendement est de compléter les missions de l’ANSSI en y incluant que la promotion de la cyberprotection et de la cyberhygiène et de l’éducation aux bonnes pratiques numériques.

*

Article 5 bis A (nouveau)

Inscription dans les plans communaux de sauvegarde du risque d’incident informatique ayant un impact important sur la fourniture des services à la population

➢ Résumé du dispositif et effets principaux

Cet article inscrit à l’article L. 731-3 du code de la sécurité intérieure l’obligation pour les plans communaux de sauvegarde d’inclure le risque d’incident informatique ayant un impact important sur la fourniture des services à la population.

➢ Dernières modifications législatives intervenues

(sans objet).

L’état du droit

L’article L. 731-3 du code de la sécurité intérieure décrit le contenu du plan communal de sauvegarde. Celui-ci prépare la réponse aux situations de crise et regroupe l’ensemble des documents de compétence communale contribuant à l’information préventive et à la protection de la population. Il détermine, en fonction des risques connus, les mesures immédiates de sauvegarde et de protection des personnes, fixe l’organisation nécessaire à la diffusion de l’alerte et des consignes de sécurité, recense les moyens disponibles et définit la mise en œuvre des mesures d’accompagnement et de soutien de la population.

La mise en place, l’évaluation régulière et les éventuelles révisions du plan communal de sauvegarde peuvent être assurées par un adjoint au maire ou un conseiller municipal chargé des questions de sécurité civile désigné par le maire ou, à défaut, par le correspondant incendie et secours.

Les plans communaux de sauvegarde sont obligatoires pour chaque commune. Par ailleurs, la mise en œuvre des mesures de sauvegarde relève de chaque maire sur le territoire de sa commune.

Les plans communaux de sauvegarde sont arrêtés par le maire et, à Paris, par le préfet de police. Tous les cinq ans au moins, leur mise en œuvre fait l’objet d’un exercice associant les communes et les services concourant à la sécurité civile. Dans la mesure du possible, cet exercice implique aussi la population.

Le dispositif introduit par la commission spéciale

Cet article additionnel a été introduit par un amendement du rapporteur général Éric Bothorel, prévoyant l’obligation pour les plans communaux de sauvegarde d’inclure le risque d’incident informatique ayant un impact important sur la fourniture des services à la population.

*

Article 5 bis

Stratégie nationale en matière de cybersécurité

➢ Résumé du dispositif et effets principaux

Cet article prévoit que le premier ministre élabore une stratégie nationale de cybersécurité, conformément aux stipulations de l’article 7 de la directive dite NIS 2.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a introduit cet article additionnel en commission pour transposer les stipulations de l’article 7 de la directive dite NIS 2.

En séance, trois amendements ont été adoptés pour préciser que la stratégie nationale en matière de cybersécurité devra, d’une part, fixer les orientations permettant une approche intégrée des enjeux de cybersécurité et de souveraineté numérique, d’autre part, faire état des modalités de soutien aux collectivités territoriales et à leurs groupements pour la mise en œuvre des dispositions du titre II, et enfin, permettre l’identification et le renforcement des compétences et formations nécessaires sur l’ensemble du territoire.

➢ Modifications apportées par la commission

La commission spéciale a adopté de nombreux amendements.

Plusieurs amendements ont complété la stratégie nationale de cybersécurité par l’ajout de nouvelles thématiques telles que la notion d’autonomie stratégique, l’amélioration du niveau général de sensibilisation à la cybersécurité, l’éducation et la formation en matière de cybersécurité et de cyberdéfense ou encore la promotion de l’utilisation de logiciels libres.

Deux amendements ont porté plus spécifiquement sur la question des collectivités territoriales. Un amendement a prévu la création, dans le cadre de la stratégie nationale, d’un fonds de soutien spécifiquement destiné à accompagner certaines collectivités territoriales et leurs établissements publics. Un second amendement a précisé que la stratégie nationale devrait également prévoir une dimension relative à l’aménagement du territoire.

L’état du droit

L’article 7 de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2, stipule que « chaque État membre adopte une stratégie nationale en matière de cybersécurité ».

Or, si une stratégie nationale en matière de cybersécurité est en cours de finalisation sous l’égide du secrétariat général de la défense et de la sécurité nationale (SGDSN), celle-ci n’a toujours pas été rendue publie et aucune disposition législative n’en a fixé le cadre.

Le dispositif proposé

Le premier alinéa dispose que « le Premier ministre élabore une stratégie nationale en matière de cybersécurité », et ce dans le but « de parvenir à un niveau élevé de cybersécurité et de le maintenir ».

Les alinéas 2 à 10 détaillent le contenu de cette stratégie. Celle-ci devra en particulier comprendre :

– les objectifs et priorités de la Nation en matière de cybersécurité, couvrant en particulier les secteurs mentionnés à l’article 7 ;

– une liste des différents acteurs et autorités concernés par la mise en œuvre de la stratégie nationale en matière de cybersécurité ;

– un cadre de gouvernance visant une coordination renforcée ;

– un inventaire des mesures garantissant le partage d’informations sur les risques, les menaces et les incidents en matière de cybersécurité ainsi que la préparation, la réaction et la récupération des services après incident ;

– les orientations permettant une approche intégrée des enjeux de cybersécurité et de souveraineté numérique ;

– un plan comprenant les mesures nécessaires en vue d’améliorer le niveau général de sensibilisation des entreprises, des administrations publiques et des citoyens à la cybersécurité ;

– les modalités de soutien aux collectivités territoriales et à leurs groupements ;

– l’identification et le renforcement des compétences et des formations nécessaires sur l’ensemble du territoire ;

– et les indicateurs clés de performance aux fins de l’évaluation de la mise en œuvre de la stratégie nationale en matière de cybersécurité.

L’alinéa 11 prévoit que cette stratégie devra, en vertu de cet article, être mise à jour « au moins tous les trois ans ». Elle fera l’objet, « à compter de 2026 et tous les deux ans », d’un rapport remis au Parlement relatif à sa mise en œuvre (alinéa 12).

Les modifications apportées par le Sénat

Cet article additionnel a été introduit en commission à l’initiative des rapporteurs du projet de loi, MM. Michel Canévet, Patrick Chaize et Hugues Saury.

En séance publique, trois amendements, à l’initiative des membres du groupe « Socialiste, Écologiste et Républicain », ont été adoptés pour préciser que la stratégie nationale en matière de cybersécurité devra fixer les orientations permettant une approche intégrée des enjeux de cybersécurité et de souveraineté numérique, faire état des modalités de soutien aux collectivités territoriales et à leurs groupements, et enfin, permettre l’identification et le renforcement des compétences et formations nécessaires sur l’ensemble du territoire.

La position de la commission

Outre quatorze amendements rédactionnels de la rapporteure Anne Le Hénanff, la commission spéciale a adopté neuf amendements sur cet article.

Trois amendements du président Philippe Latombe ont :

– intégré la notion d’autonomie stratégique dans les objectifs et priorités de la Nation dans le cadre de la stratégie nationale de cybersécurité ;

– inscrit dans la stratégie nationale la fixation des orientations visant à promouvoir l’utilisation de logiciels libres et des standards ouverts ;

– prévu dans la stratégie nationale la création d’un fonds de soutien spécifiquement destiné à accompagner les collectivités territoriales et les EPCI à fiscalité propre qualifiés d’entités importantes ou essentielles n’ayant pas bénéficié du « parcours de cybersécurité » du plan France Relance.

S’agissant du plan comprenant les mesures nécessaires pour améliorer le niveau général de sensibilisation des entreprises, des administrations publiques et des citoyens à la cybersécurité, un amendement du rapporteur général Éric Bothorel a précisé que le plan doit être mis en place annuellement dès 2026 et piloté par le dispositif national d’assistance aux victimes d’actes de cybermalveillance et un amendement de M. René Pilato et plusieurs de ses collègues du groupe LFI-NFP a précisé qu’il devrait se traduire notamment par la mise en place de politiques actives de cyberprotection, de cyberhygiène et d’éducation aux bonnes pratiques numériques.

Deux amendements de M. Vincent Thiébaut, M. Xavier Albertini, Mme Le Hénanff et Mme Laetitia Saint-Paul ont :

– précisé que les modalités de soutien aux collectivités territoriales et à leurs groupements seront notamment de nature financière ;

– inscrit dans la stratégie nationale des objectifs de promotion et de développement de l’éducation et de la formation en matière de cybersécurité, des initiatives de sensibilisation, et de recherche et développement en matière de cybersécurité ainsi que des orientations sur les bonnes pratiques de cyberhygiène et les contrôles, à l’attention des citoyens, des parties prenantes et des entités.

Un amendement de M. René Pliato et de plusieurs de ses collègues du groupe LFI-NFP a inscrit dans la stratégie nationale une stratégie d’aménagement du territoire comprenant le maillage territorial des compétences en matière de cybersécurité, les établissements d’enseignement supérieur, les lycées professionnels et les organismes de formation continue, les dispositifs de soutien aux collectivités territoriales pour leur mise en conformité, leur sécurisation numérique et leur capacité de résilience, et des objectifs de réduction des inégalités territoriales d’accès aux métiers, aux formations et aux ressources en cybersécurité.

Un amendement de M. Arnaud Saint-Martin et de plusieurs de ses collègues du groupe LFI-NFPIa inscrit dans la stratégie nationale un objectif de renforcement de l’offre de formation publique dans les domaines de la cybersécurité et de la cyberdéfense.

*

Chapitre ii De la cyber-résilience

Section 1 Définitions

Article 6

Définitions

➢ Résumé du dispositif et effets principaux

Cet article définit les principales notions nécessaires pour la mise en œuvre du dispositif national de cybersécurité imposé par la directive dite NIS 2.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a adopté plusieurs amendements en commission pour introduire les définitions des notions d’incident et de vulnérabilité telles qu’elles figurent dans la directive NIS 2 et un amendement en séance, pour préciser la notion de vulnérabilité telle qu’elle a été insérée en commission.

➢ Modifications apportées par la commission

La commission spéciale a adopté des amendements à cet article visant en particulier à définir les notions d’« agent agissant pour le compte des bureaux d’enregistrement » et de « résilience ».

L’état du droit

L’article 6 de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2, liste les définitions des notions employées dans la directive. Il en comporte quarante et une.

Le dispositif proposé

L’article 6 du projet de loi se limitait initialement à la définition des notions suivantes :

– les bureaux d’enregistrement (alinéa 2) ;

– les offices d’enregistrement (alinéa 3) ;

– les prestataires de services de confiance (alinéa 5) ;

– les prestataires de services de confiance qualifiés (alinéa 6) ;

– les représentants (alinéa 7) ;

– les services de centre de données (alinéa 8) ;

– et les systèmes d’information (alinéa 9).

Par ailleurs, les notions retenues dans l’article 6 du projet de loi, y compris dans leurs formulations, ne reprennent pas exactement celles prévues à l’article 6 de la directive.

Par exemple, tandis que l’article 6 de la directive NIS 2 retient les notions d’entité fournissant des services d’enregistrement de noms de domaine d’une part, et de registre de noms de domaine de premier niveau d’autre part, l’article 6 du projet de loi distingue les bureaux d’enregistrement et les offices d’enregistrement.

Ce choix se justifie essentiellement par la nécessité d’adapter les dispositions du projet de loi aux spécificités nationales.

Les modifications apportées par le Sénat

Le Sénat a apporté plusieurs modifications à l’article 6.

Tout d’abord, il a ajouté des définitions qui ne figuraient pas dans la version initiale de l’article. En particulier, il a inscrit la définition de la notion d’incident (alinéa 4) en reprenant à l’identique celle prévue à l’article 6 de la directive NIS 2. Cet ajout a été effectué en commission à l’initiative des rapporteurs MM. Michel Canévet, Hugues Saury et Patrick Chaize.

Par ailleurs, il a ajouté la définition de la notion de vulnérabilité (alinéa 10), là encore en reprenant à l’identique la définition prévue à l’article 6 de la directive NIS 2. Cet ajout a également été effectué en commission à l’initiative des rapporteurs MM. Michel Canévet, Hugues Saury et Patrick Chaize.

Enfin, un amendement du gouvernement a été adopté en séance pour apporter une précision à la définition de la notion de vulnérabilité. Cet amendement visait à tenir compte du facteur humain susceptible de relever d’une vulnérabilité tout en le reliant directement à l’utilisation des produits et services des technologies de l’information et de la communication.

La position de la commission

Outre trois amendements rédactionnels de la rapporteure Anne Le Hénanff, la commission spéciale a adopté huit amendements à cet article :

– deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff inscrivant la définition de la notion d’agent agissant pour le compte des bureaux d’enregistrement afin de clarifier les agents soumis aux dispositions du projet de loi. Cette définition vise notamment à dresser une liste non exhaustive de ces agents qui inclurait les revendeurs de noms de domaine ainsi que les fournisseurs de services d’anonymisation ou d’enregistrement fiduciaire comme le prévoit la directive ;

– deux amendements identiques de clarification du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff sur les office d’enregistrement, d’un bureau d’enregistrement, d’un agent agissant pour le compte d’un bureau d’enregistrement afin d’harmoniser les définitions inscrites à l’alinéa 7 avec celles inscrites aux alinéas 1er et 2 de l’article ;

– un amendement de la rapporteure Anne Le Hénanff inscrivant la notion de résilience dans la liste des définitions de l’article, en reprenant celle inscrite dans le titre Ier du projet de loi ;

– trois amendements identiques du rapporteur général Éric Bothorel, de la rapporteure Anne Le Hénanff et de Mme Marina Ferrari visant à rapprocher la définition de la notion de vulnérabilité inscrite à l’article 3 du règlement dit CRA (Cyber Resilience Act), qui n’inclut pas de référence au facteur humain. Ainsi, la suppression des mots « ou d’un utilisateur de ces derniers » permet d’aligner la définition de la notion de vulnérabilité avec celle inscrite dans le droit européen.

*

Section 2 Des exigences de sécurité des systèmes d’information

Article 7

Liste des secteurs d’activité hautement critiques et « critiques »

➢ Résumé du dispositif et effets principaux

L’article 7 renvoie à un décret en Conseil d’État l’établissement de la liste des secteurs d’activité considérés comme hautement critiques et critiques du point de vue de la cybersécurité.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a adopté un amendement pour inscrire dans le projet de loi la liste des secteurs hautement critiques et critiques du point de vue de la cybersécurité.

➢ Modifications apportées par la commission

La commission spéciale a adopté deux amendements rédactionnels.

L’état du droit

La directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union, dite NIS 1, identifiait sept secteurs essentiels :

– l’énergie ;

– les transports ;

– les banques ;

– les infrastructures de marchés financiers ;

– la santé ;

– la fourniture et la distribution d’eau potable ;

– et les infrastructures numériques.

La loi n° 2018-133 du 26 février 2018 portant diverses dispositions d’adaptation au droit de l’Union européenne dans le domaine de la sécurité, qui a transposé la directive NIS 1 en droit national a rajouté à cette liste sept secteurs supplémentaires :

– les assurances ;

– la restauration collective ;

– le traitement des eaux ;

– les organismes sociaux ;

– l’emploi et la formation professionnelle ;

– l’éducation.

La directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2), dite directive NIS 2, a considérablement étendu la liste des secteurs concernés, rebaptisés hautement critiques et « critiques », en intégrant de nouveaux secteurs d’activité.

La liste des dix-huit secteurs hautement critiques et critiques est établie respectivement par les annexes I et II de la directive. S’agissant des secteurs « hautement critiques », en plus des secteurs essentiels listés dans la directive NIS 1, figurent désormais les eaux usées, la gestion des services des technologies de l’information et de la communication (TIC), l’administration publique (à l’exception de celles dont les activités portent sur la sécurité nationale, la sécurité publique, la défense ou l’application de la loi) et l’espace.

Par ailleurs, les secteurs critiques listés dans l’annexe II de la directive sont les suivants :

– les services postaux et d’expédition ;

– la gestion des déchets ;

– la fabrication, la production et la distribution de produits chimiques ;

– la production, transformation et distribution des denrées alimentaires ;

– la fabrication, dont la fabrication de dispositifs médicaux, de produits informatiques, électroniques et optiques, d’équipements électriques, de machines et d’équipements, de véhicules et de matériels de transport ;

– les fournisseurs numériques ;

– et la recherche.

Le dispositif proposé

L’article 7 du projet de loi prévoyait initialement que la liste des secteurs hautement critiques et des secteurs critiques soit précisée par décret en Conseil d’État.

Les modifications apportées par le Sénat

Le Sénat a considérablement modifié l’article 7 du projet de loi en y inscrivant la liste des secteurs hautement critiques et des secteurs « critiques », estimant que le renvoi à un décret en Conseil d’État de la liste desdits secteurs n’était pas opportun. Cette modification a été apportée en commission à l’initiative des rapporteurs MM. Michel Canévet, Hugues Saury et Patrick Chaize. La commission spéciale a estimé qu’il n’était pas acceptable que des dispositions aussi importantes que les listes des secteurs hautement critiques et « critiques », qui figurent dans les annexes I et II de la directive, ne soient pas inscrites dans le projet de loi et soient renvoyées à un décret en Conseil d’État.

Le I (alinéas 1er à 11) définit désormais les secteurs hautement critiques :

– l’énergie ;

– les transports ;

– les banques ;

– les infrastructures des marchés financiers ;

– la santé ;

– l’eau potable ;

– les eaux usées ;

– l’infrastructure numérique ;

– la gestion des services des technologies de l’information et de la communication ;

– et l’espace.

Le II (alinéas 12 à 19) définit quant à lui les secteurs critiques :

– les services postaux et d’expédition ;

– la gestion des déchets ;

– la fabrication, la production et la distribution de produits chimiques ;

– la production, de la transformation et de la distribution des denrées alimentaires ;

– la fabrication de certains biens, équipements et produits ;

– les fournisseurs de certains services numériques ;

– et la recherche.

Toutefois, le III (alinéa 20) renvoie à un décret en Conseil d’État les modalités d’application de l’article ainsi que la liste des sous-secteurs et les entités relevant des secteurs hautement critiques et critiques. Ce choix est justifié par le souhait de laisser au gouvernement les marges de manœuvre nécessaires pour l’application de l’article, afin de tenir compte notamment du caractère fluctuant des périmètres ministériels qu’il ne conviendrait pas de figer au niveau de la loi.

La position de la commission

La commission spéciale a adopté deux amendements rédactionnels de la rapporteure Anne Le Hénanff.

*

Article 8

Définition des entités essentielles

➢ Résumé du dispositif et effets principaux

Cet article précise la liste des entités considérées comme essentielles du point de vue de la sécurité des systèmes d’information.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a adopté quatre amendements en séance publique. Le premier amendement met en cohérence le projet de loi à la suite de l’amendement à l’article 7 listant les secteurs hautement critiques et critiques du point de vue de la cybersécurité et remplace, lorsque cela était nécessaire, le critère de l’appartenance à un secteur d’activité par celui de l’appartenance à un type d’entités.

En outre, trois amendements ont exclu du champ d’application de l’article les communautés d’agglomération ne comprenant pas au moins une commune d’une population supérieure à 30 000 habitants.

➢ Modifications apportées par la commission

Outre plusieurs amendements rédactionnels, la commission spéciale a adopté des amendements visant à :

– exempter les entités dont les activités relèvent de la sécurité nucléaire ;

– inclure les entreprises éditrices de logiciels dans la liste des entités essentielles ;

– inclure l’ensemble des communautés d’agglomération dans la catégorie des entités essentielles et non plus uniquement celles comprenant au moins une commune de plus de 30 000 habitants. Ce faisant, la commission spéciale est revenue à la rédaction initiale du texte ;

– inclure les établissements publics de santé et les établissements et services sociaux et médico-sociaux dans la liste des entités essentielles.

L’état du droit

L’article 3 de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2), dite directive NIS 2, distingue deux catégories d’entités régulées : les entités essentielles et les entités importantes. La distinction entre les deux catégories s’établit selon leur degré de criticité, leur taille et, pour les entreprises, leur chiffre d’affaires.

Le dispositif proposé

L’article 8 transpose les articles 2 et 3 de la directive NIS 2 en établissant la liste des entités considérées comme essentielles en reprenant les critères fixés par ladite directive. Sont ainsi des entités essentielles :

– les entités appartenant à un secteur « hautement critique » dont les effectifs sont au moins de 250 personnes, dont le chiffre d’affaires annuel est supérieur à 50 millions d’euros ou dont le total du bilan annuel est supérieur à 43 millions d’euros (alinéa 2) ;

– les établissements publics à caractère industriel et commercial, à l’exception du Commissariat à l’énergie atomique et aux énergies alternatives pour ses seules activités dans le domaine de la défense, ainsi que les régies dotées de la seule autonomie financière chargées d’un service public industriel et commercial créées en application du 2° de l’article L. 2221-4 du code général des collectivités territoriales, relevant d’un type d’entités appartenant à un des secteurs d’activité hautement critiques, qui emploient au moins 250 personnes ou dont les produits d’exploitation excèdent 50 millions d’euros et le total du bilan annuel excède 43 millions d’euros. Le critère d’emploi est calculé selon les modalités prévues au I de l’article L. 130-1 du code de la sécurité sociale, les critères financiers sont appréciés au niveau de la personne morale ou de la régie concernée (alinéa 3) ;

– les opérateurs de communications électroniques qui emploient au moins 50 personnes ou dont le chiffre d’affaires annuel et le total du bilan annuel excèdent chacun 10 millions d’euros (alinéa 4) ;

– les prestataires de services de confiance qualifiés (alinéa 5) ;

– les offices d’enregistrement (alinéa 6) ;

– les fournisseurs de services de système de noms de domaine (alinéa 7) ;

– les administrations de l’État et leurs établissements publics administratifs (EPA), à l’exception des administrations de l’État qui exercent leurs activités dans les domaines de la sécurité publique, de la défense et de la sécurité nationale, de la répression pénale et des missions diplomatiques et consulaires françaises pour leurs réseaux et systèmes d’information ainsi que de leurs EPA qui exercent leurs activités dans les mêmes domaines ou qui sont désignés entité importante par arrêté du premier ministre. Le premier ministre désigne par arrêté les établissements publics administratifs de l’État qui, compte tenu du faible impact économique et social de leur activité, ne sont pas soumis à la présente loi, dans des conditions précisées par décret en Conseil d’État (alinéas 8 et 9) ;

– les régions, les départements, les communes d’une population supérieure à 30 000 habitants, leurs EPA dont les activités s’inscrivent dans un des secteurs d’activité hautement critiques ou critiques (alinéa 10) ;

– les centres de gestion mentionnés à l’article L. 452-1 du code général de la fonction publique (alinéa 11) ;

– les services départementaux d’incendie et de secours mentionnés à l’article L. 1424-1 du code général des collectivités territoriales (alinéa 12) ;

– les communautés urbaines, les communautés d’agglomération comprenant au moins une commune de plus de 30 000 habitants et les métropoles, leurs EPA dont les activités s’inscrivent dans un des secteurs d’activité hautement critiques ou critiques (alinéa 13) ;

– les syndicats mentionnés aux articles L. 5212-1, L. 5711-1 et L. 5721-2 du même code dont les activités s’inscrivent dans un des secteurs d’activité hautement critiques ou critiques et dont la population est supérieure à 30 000 habitants (alinéa 14) ;

– les institutions et organismes interdépartementaux mentionnés à l’article L. 5421-1 dudit code dont les activités s’inscrivent dans un des secteurs d’activité hautement critiques ou critiques (alinéa 15) ;

– les autres organismes et personnes de droit public ou de droit privé chargés d’une mission de service public administratif, mentionnés au 1° de l’article L. 100-3 du code des relations entre le public et l’administration, à compétence nationale, à l’exception de ceux qui sont désignés entité importante par arrêté du premier ministre. Le premier ministre désigne par arrêté les organismes et personnes morales qui, compte tenu du faible impact économique et social de leur activité, ne sont pas soumis à la présente loi, dans des conditions précisées par décret en Conseil d’État (alinéa 16) ;

– les opérateurs d’importance vitale en tant qu’ils exercent une activité qualifiée de service essentiel en application du second alinéa du 1° du I de l’article L. 1332-2 du code de la défense (alinéa 17) ;

– les opérateurs de services essentiels désignés en application de l’article 5 de la loi n° 2018-133 du 26 février 2018 portant diverses dispositions d’adaptation au droit de l’Union européenne dans le domaine de la sécurité avant l’entrée en vigueur de la présente loi (alinéa 18) ;

– et les établissements d’enseignement menant des activités de recherche, désignés par arrêté du premier ministre dans des conditions précisées par décret en Conseil d’État, qui remplissent l’un des critères mentionnés à l’article 10 de la présente loi (alinéa 19).

Il est à noter que le Conseil d’État relève dans son avis que le projet de loi mobilise dans un sens extensif les possibilités d’options offertes par la directive, notamment en incluant dans le champ du dispositif des collectivités territoriales autres que les régions, à savoir tous les départements ainsi que les communes et groupements de communes de plus de trente mille habitants, et, s’agissant d’un dispositif de défense et de sécurité nationale, en le rendant applicable à toutes les collectivités d’outre-mer, y compris celles auxquelles la directive n’est pas applicable. Il soumet en outre à un régime proche les services régaliens entendus au sens large. Ces choix, qui vont au-delà de ce qu’appelle strictement la transposition de la directive NIS 2, trouvent leur justification dans la volonté du gouvernement d’assurer en France un haut niveau de cybersécurité.

Les modifications apportées par le Sénat

Le Sénat a adopté quatre amendements en séance. Le premier amendement, à l’initiative du gouvernement, visait à mettre en cohérence le projet de loi à la suite de l’amendement à l’article 7 listant les secteurs hautement critiques et critiques du point de vue de la cybersécurité. Il visait également à remplacer, lorsque cela était nécessaire, le critère de l’appartenance à un secteur d’activité par celui de l’appartenance à un type d’entités.

En outre, trois amendements identiques, à l’initiative des groupes « Communiste Républicain Citoyen et Écologiste – Kanaky » et « Écologiste – Solidarité et Territoires » ainsi que des rapporteurs MM. Patrick Chaize, Hugues Saury et Michel Canévet, ont exclu du champ d’application de l’article les communautés d’agglomération comprenant au moins une commune d’une population supérieure à 30 000 habitants. Celles-ci ne sont donc pas considérées comme des entités essentielles. Ce choix a été motivé par la nécessité de ne pas faire peser une charge trop importante aux collectivités territoriales de petite taille. En pratique, selon les estimations du Sénat, 120 communautés d’agglomérations seraient, de ce fait, intégrées dans le périmètre des entités importantes.

La position de la commission

Outre trois amendements rédactionnels de la rapporteure thématique, la commission spéciale a adopté six amendements :

– deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff exemptant les entités dont les activités relèvent de la sécurité nucléaire, pour lesquelles la France souhaite pouvoir exercer pleinement et entièrement sa compétence exclusive en matière de sauvegarde de la sécurité et de la souveraineté nationales ;

– un amendement de Mme Véronique Riotton incluant les entreprises éditrices de logiciels dans la liste des entités essentielles ;

– un amendement de Mme Marina Ferrari incluant l’ensemble des communautés d’agglomération dans la catégorie des entités essentielles et non plus uniquement celles comprenant au moins une commune de plus de 30 000 habitants. Ce faisant, la commission spéciale est revenue à la rédaction initiale du texte ;

– deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff incluant les établissements publics de santé et les établissements et services sociaux et médico-sociaux dans la liste des entités essentielles.

*

Article 9

Définition des entités importantes

➢ Résumé du dispositif et effets principaux

Cet article définit la liste des entités considérées comme importantes du point de vue de la sécurité des systèmes d’information. Il s’agit des entités faisant l’objet de mesures de cybersécurité significatives mais qui sont toutefois moins exigeantes que celles qui s’appliquent aux entités essentielles listées à l’article 8 du projet de loi.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a adopté deux amendements visant à mettre en cohérence le projet de loi à la suite de l’amendement à l’article 7 listant les secteurs hautement critiques et critiques du point de vue de la cybersécurité et à inclure dans la liste des communautés d’agglomération ne comprenant pas au moins une commune de 30 000 habitants dans la catégorie des entités importantes.

➢ Modifications apportées par la commission

La commission spéciale a adopté plusieurs amendements visant en particulier à :

– exempter les entités dont les activités relèvent de la sécurité nucléaire ;

– inclure l’ensemble des communautés d’agglomération dans la catégorie des entités importantes et non plus uniquement celles comprenant au moins une commune de plus de 30 000 habitants. Ce faisant, la commission spéciale est revenue à la rédaction initiale du texte ;

– inclure les établissements publics de santé et les établissements et services sociaux et médico-sociaux dans la liste des entités importantes lorsque ceux-ci ne sont pas des entités essentielles.

L’état du droit

L’article 3 de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2, distingue deux catégories d’entités régulées : les entités essentielles et les entités importantes. La distinction entre les deux catégories s’établit selon leur degré de criticité, leur taille et, pour les entreprises, leur chiffre d’affaires.

Les critères de définition des entités importantes ne sont pas aussi explicites que ceux des entités essentielles dans la directive. En effet, les entités importantes sont les entités appartenant à un secteur hautement critique ou critique qui ne constituent pas des entités essentielles.

Le dispositif proposé

L’article 9 du projet de loi liste les entités importantes en creux par rapport à la liste des entités essentielles. Ainsi, sont des entités importantes :

– les entreprises appartenant à un secteur hautement critique ou critique qui ne sont pas des entités essentielles et qui emploient au moins 50 personnes ou dont le chiffre d’affaires et le total du bilan annuel excèdent chacun 10 millions d’euros (alinéa 2) ;

– les opérateurs de communications électroniques qui ne sont pas des entités essentielles (alinéa 3) ;

– les prestataires de services de confiance qui ne sont pas des entités essentielles (alinéa 4) ;

– les communautés de communes et leurs établissements publics administratifs (EPA) dont les activités s’inscrivent dans un des secteurs d’activité hautement critiques ou critiques (alinéa 5) ;

– les établissements d’enseignement menant des activités de recherche qui ne sont pas des entités essentielles et qui, compte tenu du faible impact économique et social de leur activité, ne sont pas soumis aux dispositions du projet de loi, dans des conditions fixées par décret en Conseil d’État (alinéa 6) ;

– les EPA expressément désignés par le premier ministre comme relevant de la catégorie des entités importantes en application de l’article 10 du projet de loi (alinéa 7) ;

– les autres organismes et personnes de droit public ou de droit privé chargés d’une mission de service public administratif expressément désignés en tant qu’entités importantes par arrêté du premier ministre dans des conditions fixées par un décret en Conseil d’État (alinéa 8) ;

– et les établissements publics de coopération intercommunale (EPCI) et les régies dotées de la seule autonomie financière chargées d’un service public industriel et commercial appartenant à un secteur hautement critique ou critique qui emploient au moins 50 personnes ou dont le produit d’exploitation et le total du bilan annuel excèdent chacun 10 millions d’euros et qui ne sont pas des entités essentielles (alinéa 9).

Les modifications apportées par le Sénat

Le Sénat a adopté deux amendements en séance sur l’article 9. Le premier amendement, à l’initiative du gouvernement, met en cohérence le projet de loi à la suite de l’amendement à l’article 7 listant les secteurs hautement critiques et critiques du point de vue de la cybersécurité. Il visait également à remplacer, lorsque cela était nécessaire, le critère de l’appartenance à un secteur d’activité par celui de l’appartenance à un type d’entités.

Le second amendement, à l’initiative du rapporteur M. Patrick Chaize au nom de la commission spéciale, inclut à la liste des communautés d’agglomération ne comprenant pas au moins une commune de 30 000 habitants dans la catégorie des entités importantes. Cet amendement était en lien avec l’amendement déposé par les rapporteurs à l’article 8 du projet de loi excluant les communautés d’agglomération ne comprenant pas au moins une commune de 30 000 habitants de la liste des entités essentielles. L’objectif poursuivi était, dans un souci de proportionnalité, d’éviter d’imposer des obligations jugées excessives en matière de cybersécurité à des intercommunalités dont la taille ne le justifierait pas. D’après le Sénat, seront ainsi des entités importantes les 120 communautés d’agglomération qui ne comptent pas au moins une commune de plus de 30 000 habitants ainsi que les communautés de commune.

La position de la commission

Outre deux amendements rédactionnels de la rapporteure thématique, la commission a adopté cinq amendements :

– deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff exemptant les entités dont les activités relèvent de la sécurité nucléaire, pour lesquelles la France souhaite pouvoir exercer pleinement et entièrement sa compétence exclusive en matière de sauvegarde de la sécurité et de la souveraineté nationales ;

– un amendement de Mme Marina Ferrari incluant l’ensemble des communautés d’agglomération dans la catégorie des entités importantes et non plus uniquement celles comprenant au moins une commune de plus de 30 000 habitants. Ce faisant, la commission spéciale est revenue à la rédaction initiale du texte ;

– deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff incluant les établissements publics de santé et les établissements et services sociaux et médico-sociaux dans la liste des entités importantes lorsque ceux-ci ne sont pas des entités essentielles.

*

Article 10

Autres entités susceptibles d’être désignées comme essentielles ou importantes par arrêté du premier ministre

➢ Résumé du dispositif et effets principaux

Cet article transpose les stipulations de l’article 2 de la directive dite NIS 2 qui prévoit d’assujettir aux stipulations de ladite directive sans condition de taille des entités appartenant aux secteurs hautement critiques ou critiques, dès lors que la perturbation de leur service par une cyberattaque pourrait avoir un impact important pour le fonctionnement de la société, de secteurs économiques critiques, pour la sécurité publique, la sûreté publique ou encore la santé publique.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

➢ Modifications apportées par la commission

Outre un amendement rédactionnel, la commission spéciale a adopté plusieurs amendements visant à :

– préciser que l’élaboration de la liste des entités essentielles et importantes doit être faite après avis des ministères compétents ;

– octroyer au premier ministre la possibilité d’exempter, par arrêté, certaines entités exerçant des missions régaliennes de certaines obligations prévues par les articles 14 et 17 du projet de loi.

L’état du droit

L’article 2 de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2, prévoit que la directive s’applique aux entités relevant d’un secteur d’activité hautement critique ou critique quelle que soit leur taille lorsque :

– l’entité est, dans un État membre, le seul prestataire d’un service qui est essentiel au maintien d’activités sociétales ou économiques critiques (b) du 1.) ;

– une perturbation du service fourni par l’entité pourrait avoir un impact important sur la sécurité publique, la sûreté publique ou la santé publique (c) du 1.) ;

– une perturbation du service fourni par l’entité pourrait induire un risque systémique important, en particulier pour les secteurs où cette perturbation pourrait avoir un impact transfrontière (d) du 1.) ;

– l’entité est critique en raison de son importance spécifique au niveau national ou régional pour le secteur ou le type de service en question, ou pour d’autres secteurs interdépendants dans l’État membre (e) du 1.).

Le dispositif proposé

L’article 10 prévoit qu’outre les entités mentionnées aux articles 8 et 9 du projet de loi, le premier ministre peut désigner par arrêté comme entité essentielle ou comme entité importante une entité exerçant une activité relevant d’un secteur d’activité hautement critique ou critique, quelle que soit sa taille, sous réserve de justifier cette désignation au regard de plusieurs critères qui reprennent fidèlement la liste des critères fixés au 1. de l’article 2 de la directive NIS 2.

Les modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

La position de la commission

Outre un amendement rédactionnel de la rapporteure Anne Le Hénanff, la commission spéciale a adopté trois amendements :

– un amendement du président Philippe Latombe précisant que l’élaboration de la liste des entités essentielles et des entités importantes doit être faite après avis des ministères compétents des secteurs d’activités mentionnés à l’article 7 du projet de loi ;

– deux amendements identiques du rapporteur général Éric Bothorel et de M. Vincent Thiébaut, M. Xavier Albertini et Mme Laetitia Saint-Paul octroyant au premier ministre la possibilité d’exempter, par arrêté, certaines entités exerçant des missions régaliennes (sécurité nationale, sécurité publique, défense, répression pénale…) de certaines obligations prévues par les articles 14 et 17 du projet de loi. L’objectif est de concilier l’application de la directive avec les impératifs de souveraineté et de sécurité nationale, en particulier s’agissant des obligations générales de notification ou de supervision.

*

Article 11

Compétence et territorialité des dispositions du titre II

➢ Résumé du dispositif et effets principaux

Cet article définit les règles de compétences des États membres pour l’application des dispositions de la directive avant tout par des critères territoriaux.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

➢ Modifications apportées par la commission

La commission n’a pas modifié cet article.

L’état du droit

Les règles de compétence des États membres pour l’application des dispositions de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2, sont précisées à son article 26. Il s’agit avant tout de critères territoriaux.

Le paragraphe 1 de l’article 26 prévoit que les entités relevant du champ d’application de la directive sont considérées comme relevant de la compétence de l’État membre dans lequel elles sont établies, à l’exception :

a) des fournisseurs de réseaux de communications électroniques publics ou les fournisseurs de services de communications électroniques publics ou les fournisseurs de services de communications électroniques accessibles au public, qui sont considérés comme relevant de la compétence de l’État membre dans lequel ils fournissent leurs services ;

b) des fournisseurs de services DNS, les registres des noms de domaine de premier niveau, les entités fournissant des services d’enregistrement de noms de domaine, les fournisseurs de services d’informatique en nuage, les fournisseurs de services de centres de données, les fournisseurs de réseaux de diffusion de contenu, les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés, ainsi que les fournisseurs de places de marché en ligne, de moteurs de recherche en ligne ou de plateformes de services de réseaux sociaux, qui sont considérés comme relevant de la compétence de l’État membre dans lequel ils ont leur établissement principal dans l’Union ;

c) et des entités de l’administration publique, qui sont considérées comme relevant de la compétence de l’État membre qui les a établies.

En outre, le paragraphe 2 de l’article 26 stipule que les entités visées au b) sont considérées avoir leur établissement principal dans l’Union et dans l’État membre où sont principalement prises les décisions relatives aux mesures de gestion des risques de cybersécurité.

Le dispositif proposé

L’article 11 du projet de loi transpose fidèlement l’article 26 de la directive, en reprenant les critères fixés par celui-ci tout en les présentant de manière plus claire et plus détaillée. L’article distingue plusieurs catégories d’entités, auxquelles les critères de détermination de la compétence de l’État varient selon les cas.

Le I fixe les critères, alternatifs, permettant de déterminer le champ d’application territorial du projet de loi aux entités essentielles et importantes.

Le II définit les critères de territorialité spécifiques qui s’appliquent aux bureaux d’enregistrement.

Le III précise la manière dont la notion d’établissement principal doit être entendue. Cette notion est en effet utilisée à l’alinéa 5 s’agissant d’un certain nombre de fournisseurs de services et à l’alinéa 9 s’agissant des bureaux d’enregistrement. Il s’agit de la reprise fidèle du 2. de l’article 26 de la directive NIS 2, ce qui ne pose donc pas de difficulté.

Les modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

La position de la commission

La commission spéciale n’a pas modifié cet article.

*

Article 12

Enregistrement des entités essentielles et importantes auprès de l’ANSSI

➢ Résumé du dispositif et effets principaux

Cet article prévoit que l’ANSSI établit et met à jour la liste des entités essentielles, des entités importantes et des bureaux d’enregistrement sur la base des informations que ces entités et bureaux d’enregistrement lui communiquent.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a adopté des amendements à cet article visant à :

– inscrire dans la loi la nécessité de mettre à jour a minima tous les deux ans la liste des entités essentielles, des entités importantes et des bureaux d’enregistrement concernés par les dispositions du titre II du projet de loi, conformément au 5. de l’article 3 de la directive NIS 2 ;

– prévoir que les informations transmises par les entités et les bureaux d’enregistrement à l’ANSSI doivent l’être « dans le respect des modalités de chiffrement de bout en bout ainsi que de protection des données recueillies de l’effet des lois extraterritoriales ».

➢ Modifications apportées par la commission

La commission a adopté plusieurs amendements visant à :

– introduire la notion d’agents agissant pour le compte des bureaux d’enregistrement ;

– préciser que la liste des entités essentielles et importantes, des bureaux d’enregistrement et des agents agissant pour le compte de ces derniers est communiquée après avis des ministères compétents ;

– préciser que le décret en Conseil d’État fixant les modalités d’application de l’article est pris après avis de la Commission nationale de l’informatique et des libertés (CNIL).

L’état du droit

Le paragraphe 3 de l’article 3 de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2, prévoit que les États membres établissent une liste des entités essentielles et importantes ainsi que des entités fournissant des services d’enregistrement des noms de domaine au plus tard le 17 avril 2025.

Cette exigence a une importante toute particulière compte tenu du nombre d’entités qui seront assujetties aux stipulations de la directive, à savoir 15 000 selon l’étude d’impact du projet de loi. À ce titre, le paragraphe 4 de l’article 3 de la directive NIS 2 prévoit que les États membres peuvent mettre en place des mécanismes nationaux permettant aux entités de s’enregistrer elles-mêmes. L’auto-enregistrement est donc une simple faculté laissée aux États membres.

Les entités doivent communiquer aux autorités compétentes au moins les informations suivantes :

– le nom de l’entité ;

– l’adresse et les coordonnées actualisées, y compris les adresses électroniques, les plages d’IP et les numéros de téléphone ;

– le cas échéant, le secteur et le sous-secteur concernés ;

– le cas échéant, une liste des États membres dans lesquels elles fournissent des services relevant du champ d’application de la présente directive.

Le dispositif proposé

Le premier alinéa attribue à l’ANSSI le rôle d’autorité auprès de laquelle les entités essentielles et importantes devront s’enregistrer. Celle-ci établira et mettra à jour la liste de ces entités et des bureaux d’enregistrement sur la base des informations qui lui seront communiquées par ces entités et bureaux d’enregistrement. De ce point de vue, il reviendra donc aux entités et aux bureaux d’enregistrement d’évaluer si elles entrent ou pas dans une des deux catégories.

Le second alinéa renvoie à un décret en Conseil d’État la définition des informations à transmettre, leurs modalités de communication et les délais dans lesquels les modifications doivent être transmises par les entités concernées à l’ANSSI.

Les modifications apportées par le Sénat

Le Sénat a adopté quatre amendements à cet article, dont deux en commission et un en séance publique.

Un premier amendement, adopté en commission à l’initiative des rapporteurs, inscrit dans la loi la nécessité de mettre à jour a minima tous les deux ans la liste des entités essentielles, des entités importantes et des bureaux d’enregistrement concernés par les dispositions du titre II du projet de loi, conformément au 5. de l’article 3 de la directive NIS 2.

Un second amendement, adopté en commission à l’initiative de Mme Audrey Linkenheld (Socialiste, Écologiste et Républicain), a introduit la nécessité que le décret en Conseil d’État pris pour l’application de cet article fasse l’objet d’un avis de la CNIL.

Un troisième amendement, adopté en séance publique à l’initiative de Mme Catherine Morin-Dessailly avec l’avis favorable de la commission et du gouvernement et sous-amendé par le gouvernement, prévoit que les informations transmises par les entités et les bureaux d’enregistrement à l’ANSSI doivent l’être « dans le respect des modalités de chiffrement de bout en bout ainsi que de protection des données recueillies de l’effet des lois extraterritoriales ». Cet ajout a été motivé par le fait que les informations communiquées à l’ANSSI revêtent souvent un caractère sensible et confidentiel et que, de ce fait, le partage des informations doit se faire dans des conditions de sécurité optimales. Le sous-amendement du gouvernement, adopté en séance publique, a supprimé les alinéas 1 à 3 de l’amendement de Mme Morin-Dessailly qui prévoyait que l’État, par l’intermédiaire de ses ministères, informe et sensibilise les entités concernées par la directive NIS 2 quant aux obligations qui leur incomberont.

La position de la commission

La commission spéciale a adopté quatre amendements :

– deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff visant à s’assurer de l’intégration des agents agissant pour le compte des bureaux d’enregistrement à la liste des entités établie par l’ANSSI tout en reprenant la terminologie utilisée dans le code des postes et des communications électroniques (CPCE) ;

– un amendement du président Philippe Latombe précisant que la liste des entités essentielles et importantes, des bureaux d’enregistrement et des agents agissant pour le compte de ces derniers est communiquée après avis des ministères compétents pour les secteurs d’activité mentionnés à l’article 7 du projet de loi. L’objectif est que la liste en question soit la plus conforme possible à la réalité des secteurs d’activités concernés ;

– un amendement de M. Arnaud Saint-Martin et plusieurs de ses collègues du groupe LFI- NFP qui précise que le décret en Conseil d’État prévu à l’alinéa 2 fixant les informations à transmettre, leurs modalités de communication et les délais dans lesquelles les modifications doivent être transmises est pris après avis de la CNIL.

*

Article 13

Absence d’application des dispositions du projet de loi aux entités soumises à des exigences équivalentes en application d’un acte juridique de l’Union européenne

➢ Résumé du dispositif et effets principaux

Cet article prévoit les conditions dans lesquelles les dispositions du projet de loi peuvent ne pas s’appliquer aux entités soumises à des exigences équivalentes en application d’un acte juridique de l’Union européenne.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

➢ Modifications apportées par la commission

La commission a adopté deux amendements clarifiant les dispositions qui ne trouvent pas à s’appliquer dans le cas d’un acte sectoriel de l’Union européenne reconnu comme lex specialis qui prévoit des dispositions équivalentes. Il précise que sont uniquement concernées les dispositions relatives à l’application de mesures de sécurité, à la notification des incidents ainsi qu’à celles de la supervision permettant d’en vérifier le respect. En dehors de ces dispositions, les entités restent soumises au projet de loi.

L’état du droit

L’article 4 de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2, porte sur la compatibilité entre les dispositions de la directive et les autres actes juridiques sectoriels de l’Union européenne.

Il stipule que lorsque des actes juridiques sectoriels de l’Union imposent à des entités essentielles ou importantes d’adopter des mesures de gestion des risques en matière de cybersécurité ou de notifier des incidents importants, et lorsque ces exigences ont un effet au moins équivalent à celui des obligations prévues par la directive, les dispositions pertinentes de la directive ne sont pas applicables auxdites entités.

En revanche, lorsque des actes juridiques sectoriels de l’Union ne couvrent pas toutes les entités d’un secteur spécifique relevant du champ d’application de la directive, les dispositions pertinentes de la directive continuent de s’appliquer aux entités non couvertes par ces actes juridiques sectoriels de l’Union.

Cet article a notamment vocation à permettre la conciliation entre les stipulations de la directive NIS 2 et celles du règlement dit DORA et de la directive accompagnant ce règlement. Il devrait également s’appliquer à certaines entités relevant du secteur numérique, qui devront faire l’objet d’un règlement d’exécution spécifique de la Commission européenne.

Au plus tard le 17 juillet 2023, la Commission fournit des lignes directrices clarifiant l’application des paragraphes 1 et 2 de la directive[22].

Le dispositif proposé

L’article 13 du projet de loi transpose fidèlement les stipulations de l’article 4 de la directive.

Il convient de noter toutefois que la rédaction de l’article omet de transposer la stipulation de l’article 4 de la directive qui indique que lorsque des actes juridiques sectoriels de l’Union ne couvrent pas toutes les entités d’un secteur spécifique relevant du champ d’application de la directive, les dispositions pertinentes de la directive continuent de s’appliquer aux entités non couvertes par ces actes juridiques sectoriels de l’Union.

Les modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

La position de la commission

La commission a adopté deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff qui clarifie les dispositions qui ne trouvent pas à s’appliquer dans le cas d’un acte sectoriel de l’Union européenne reconnu comme lex specialis qui prévoit des dispositions équivalentes.

Il précise que sont uniquement concernées les dispositions relatives à l’application de mesures de sécurité, à la notification des incidents ainsi qu’à celles de la supervision permettant d’en vérifier le respect. En dehors de ces dispositions, les entités restent soumises au projet de loi, comme par exemple, l’obligation d’enregistrement issue de l’article 12 dont elles ne sont pas déliées.

*

Article 14

Mise en place de mesures de cybersécurité par les entités essentielles et importantes

➢ Résumé du dispositif et effets principaux

Cet article prévoit que les entités essentielles et importantes sont tenues de prendre les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information qu’elles utilisent dans le cadre de leurs activités ou de la fourniture de leurs services, ainsi que pour éliminer ou réduire les conséquences que les incidents ont sur les destinataires de leurs services et sur d’autres services.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a adopté quatre amendements à cet article.

Tout d’abord, le Sénat a adopté un amendement réécrivant l’alinéa 2 pour prévoir que les mesures que prennent les entités régulées visent notamment à faire en sorte que les organes de direction approuvent et supervisent les mesures de pilotage de la sécurité des réseaux et systèmes d’information, leurs membres ainsi que les personnes exposées aux risques devant être formés à la cybersécurité.

Ensuite, il a complété l’alinéa 6 par un amendement précisant que le référentiel d’exigences techniques devra être adapté aux spécificités des différents acteurs mentionnés au premier alinéa de l’article, en fonction de leur degré d’exposition aux risques, de leur taille, de la probabilité de survenance d’incident et de leur gravité.

Un amendement a complété l’alinéa 6 pour imposer que le référentiel tienne compte des modalités de concertation des représentants des entités concernées et des associations d’élus.

Enfin, le Sénat a adopté un amendement de précision au début de l’alinéa 8 visant à circonscrire le périmètre des exigences de sécurité propres à certains opérateurs du numérique aux seuls d’entre eux qui sont des entités essentielles ou importantes.

➢ Modifications apportées par la commission

La commission spéciale a adopté plusieurs amendements visant principalement à :

– exempter les entités dont les activités relèvent de la sécurité nucléaire ;

– prévoir que les entités mettent en œuvre à leurs frais les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information qu’elles utilisent dans le cadre de leurs activités ou de la fourniture de leurs services ;

– préciser que les mesures techniques et organisationnelles garantissent un niveau de résilience adapté et proportionné au risque ;

– renforcer les objectifs de sécurité et de résilience numérique en s’assurant que les mesures de cybersécurité prises par les entités critiques reposent sur des critères techniques objectifs ;

– indiquer que les membres des organes de direction ainsi que les personnes exposées aux risques doivent être formés à la cybersécurité en fonction de leur degré d’exposition au risque ;

– préciser que les mesures techniques, opérationnelles et organisationnelles doivent garantir la résilience des activités, des réseaux et des systèmes d’information ;

– ajouter les ministères à la liste des personnes avec lesquelles l’ANSSI se concerte pour l’élaboration, la modification et la publication du référentiel d’exigences techniques et organisationnelles ;

– offrir la possibilité pour les entités régulées de se prévaloir du recours à certaines prestations de services qualifiés, pour faciliter la démonstration de leur respect à tout ou partie des objectifs de sécurité.

L’état du droit

L’article 21 de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2, prévoit que les États membres veillent à ce que les entités essentielles et importantes prennent les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information que ces entités utilisent dans le cadre de leurs activités ou de la fourniture de leurs services, ainsi que pour éliminer ou réduire les conséquences que les incidents ont sur les destinataires de leurs services et sur d’autres services.

En outre, les mesures doivent garantir, pour les réseaux et les systèmes d’information, un niveau de sécurité adapté au risque existant, en tenant compte de l’état des connaissances et, s’il y a lieu, des normes européennes et internationales applicables, ainsi que du coût de mise en œuvre. Ces mesures sont fondées sur une approche dite « tous risques », qui vise à protéger les réseaux et les systèmes d’information ainsi que leur environnement physique contre les incidents. Celles-ci comprennent :

– les politiques relatives à l’analyse des risques et à la sécurité des systèmes d’information ;

– la gestion des incidents ;

– la continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, et la gestion des crises ;

– la sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ;

– la sécurité de l’acquisition, du développement et de la maintenance des réseaux et des systèmes d’information, y compris le traitement et la divulgation des vulnérabilités ;

– des politiques et des procédures pour évaluer l’efficacité des mesures de gestion des risques en matière de cybersécurité ;

– les pratiques de base en matière d’hygiène numérique et la formation à la cybersécurité ;

– les politiques et des procédures relatives à l’utilisation de la cryptographie et, le cas échéant, du chiffrement ;

– la sécurité des ressources humaines, des politiques de contrôle d’accès et la gestion des actifs ;

– et l’utilisation de solutions d’authentification à plusieurs facteurs ou d’authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes sécurisés de communication d’urgence au sein de l’entité, selon les besoins.

Le dispositif proposé

L’article 14 du projet de loi transpose fidèlement les stipulations de l’article 21 de la directive, tout en apportant davantage de précisions quant aux obligations qui incombent aux différents acteurs assujettis.

Le premier alinéa précise que ces obligations s’appliquent :

– aux entités essentielles ;

– aux entités importantes ;

– aux administrations de l’État et à leurs établissements publics administratifs qui exercent leurs activités dans les domaines de la sécurité publique, de la défense et de la sécurité nationale ainsi que de la répression pénale, les missions diplomatiques et consulaires pour leurs réseaux de systèmes d’information ;

– au Commissariat à l’énergie atomique et aux énergies alternatives (CEA) pour ses activités dans le domaine de la défense ;

– et aux juridictions administratives et judiciaires.

Les alinéas 1ers à 5, qui ont trait aux mesures techniques, opérationnelles et organisationnelles que doivent prendre ces acteurs pour se conformer aux exigences, reprennent textuellement les mesures prévues à l’article 21 de la directive.

L’alinéa 6 prévoit qu’un décret en Conseil d’État fixe les objectifs auxquels doivent se conformer les acteurs auxquels s’applique l’article 14 et détermine les conditions d’élaboration, de modification et de publication d’un référentiel d’exigences techniques et organisationnelles adaptées à ces différents acteurs.

Les modifications apportées par le Sénat

Le Sénat a apporté quatre modifications à l’article 14.

Tout d’abord, le Sénat a adopté en commission un amendement des rapporteurs réécrivant l’alinéa 2 pour prévoir que les mesures que prennent les entités régulées visent notamment à faire en sorte que les organes de direction approuvent et supervisent les mesures de pilotage de la sécurité des réseaux et systèmes d’information, leurs membres ainsi que les personnes exposées aux risques devant être formés à la cybersécurité. L’objectif était d’insister sur la nécessité pour les organes de direction d’approuver et de superviser directement les mesures relatives à la cybersécurité.

Ensuite, il a complété l’alinéa 6 par un amendement des rapporteurs adopté en commission en précisant que le référentiel d’exigences techniques devra être adapté aux spécificités des différents acteurs mentionnés au premier alinéa de l’article, en fonction de leur degré d’exposition aux risques, de leur taille, de la probabilité de survenance d’incident et de leur gravité. L’objectif était de renforcer le caractère strictement proportionné des obligations auxquelles devront se conformer les entreprises et les administrations publiques visées à l’article.

En séance publique, un amendement de Mme Linkenheld, qui a reçu un avis de sagesse de la commission et un avis favorable du gouvernement, a complété l’alinéa 6 pour imposer que le référentiel tienne compte des modalités de concertation des représentants des entités concernées et des associations d’élus.

Enfin, le Sénat a adopté en séance publique un amendement de précision du gouvernement, qui avait reçu un avis favorable de la commission, au début de l’alinéa 8 visant à circonscrire le périmètre des exigences de sécurité propres à certains opérateurs du numérique (fournisseurs de services de systèmes de noms de domaine, offices d’enregistrement, fournisseurs de services d’informatique en nuage, fournisseurs de services de centres de données, fournisseurs de réseaux de diffusion du contenu, fournisseurs de services gérés, fournisseurs de services de sécurité gérés, fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux et prestataires de services de confiance) aux seuls d’entre eux qui sont des entités essentielles ou importantes.

La position de la commission

Outre quatre amendements rédactionnels de la rapporteure Anne Le Hénanff, la commission spéciale a adopté onze amendements :

– deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff exemptant les entités dont les activités relèvent de la sécurité nucléaire, pour lesquelles la France souhaite pouvoir exercer pleinement et entièrement sa compétence exclusive en matière de sauvegarde de la sécurité et de la souveraineté nationales ;

– un amendement de la rapporteure Anne Le Hénanff qui prévoit que les entités listées à l’alinéa premier de l’article 14 mettent en œuvre à leurs frais les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information qu’elles utilisent dans le cadre de leurs activités ou de la fourniture de leurs services ;

– un amendement du président Philippe Latombe qui précise que les mesures techniques et organisationnelles garantissent, pour leurs réseaux et leurs systèmes d’information, un niveau de résilience adapté et proportionné au risque ;

– un amendement du président Philippe Latombe qui vise à renforcer les objectifs de sécurité et de résilience numérique inscrits dans le projet de loi en s’assurant que les mesures de cybersécurité prises par les entités critiques reposent sur des critères techniques objectifs. Cet amendement s’inscrit dans la continuité de l’article 16 de la loi n° 2016-1321 pour une République numérique, qui dispose déjà que les administrations doivent veiller « à préserver la maîtrise, la pérennité et l’indépendance de leurs systèmes d’information ». Il propose d’étendre cette exigence à l’ensemble des entités essentielles et importantes et de la traduire en cinq critères techniques objectifs : auditabilité, transparence, interopérabilité, pérennité et maitrise ;

– un amendement du président Philippe Latombe qui indique que les membres des organes de direction ainsi que les personnes exposées aux risques doivent être formés à la cybersécurité en fonction de leur degré d’exposition au risque ;

– un amendement de la rapporteure Anne Le Hénanff à l’alinéa 5 qui précise que les mesures techniques, opérationnelles et organisationnelles doivent garantir la résilience des activités, des réseaux et des systèmes d’information ;

– un amendement de la rapporteure Anne Le Hénanff à l’alinéa 6, qui, d’une part, ajoute les ministères à la liste des personnes avec lesquelles l’ANSSI se concertera pour l’élaboration, la modification et la publication du référentiel d’exigences techniques et organisationnelles, et d’autre part, procède à des modifications d’ordre rédactionnelles dans un but de clarification ;

– un amendement de la rapporteure Anne Le Hénanff à l’alinéa 8 qui clarifie cet alinéa en faisant référence explicitement au référentiel européen défini par le règlement d’exécution (UE) n° 2024/2690, pris en application de la directive NIS 2. Cette clarification garantit la cohérence entre le cadre européen et le dispositif national élaboré par l’ANSSI, prévu par décret en Conseil d’État, pour les entités concernées. Elle permet en outre d’écarter toute ambiguïté d’interprétation et de prévenir les risques de surtransposition ;

– deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff offrant la possibilité pour les entités régulées de se prévaloir du recours à certaines prestations de services qualifiés, pour faciliter la démonstration de leur respect à tout ou partie des objectifs de sécurité. Il valorise le recours par les entités assujetties aux prestations qualifiées par l’ANSSI et favorise le développement de l’offre de confiance. Les entités régulées pourront en fonction de leurs besoins identifier les solutions qu’elles considèrent comme adéquates à leurs enjeux. Les conditions d’application des dispositions introduites par cet amendement seront prévues par décret en Conseil d’État.

*

Article 15

Opposabilité à l’ANSSI en cas de contrôle de la mise en œuvre du référentiel d’exigences techniques et organisationnelles

➢ Résumé du dispositif et effets principaux

Cet article rend opposable à l’ANSSI, en cas de contrôle effectué par elle, la mise en œuvre du référentiel qu’elle prescrit en matière de gestion des risques cyber.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Deux amendements ont été adoptés à cet article. Un premier amendement crée un mécanisme de reconnaissance mutuelle entre les États membres de l’Union européenne et vers d’autres types de référentiels, de sorte qu’une entité qui aurait vu certifiée sa conformité à un référentiel dont le niveau équivalent de sécurité a été validé par l’ANSSI, puisse s’en prévaloir à l’occasion d’un contrôle.

Un second amendement précise que la modalité de vérification par l’ANSSI de la conformité au référentiel d’exigences techniques peut se faire au moyen d’un label de confiance approuvé par elle.

➢ Modifications apportées par la commission

La commission spéciale a procédé à une réécriture quasi complète de l’article 15 afin de clarifier les conditions dans lesquelles seront reconnues les normes et spécifications techniques, europénnes ou interationales permettant aux entités régulées de démontrer leur conformité à tout ou partie des objectifs visés. La nouvelle rédaction facilite par ailleurs, pour les entités établies dans plusieurs pays au sein de l’Union européenne, la reconnaisance de leur conformité de tout ou partie des objectifs visés lorsqu’elles appliquent un autre référentiel que celui de l’ANSSI.

L’état du droit

L’article 15 du projet de loi ne transpose pas une stipulation de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2. Il précise les modalités d’application de l’article 14 du projet de loi.

Le dispositif proposé

Le premier alinéa apporte des précisions quant au référentiel d’exigences techniques et organisationnelles prévu à l’article 14 du projet de loi, qui sera mis en place par décret en Conseil d’État. En particulier, il vise à rendre opposable à l’ANSSI, en cas de contrôle effectué par elle, la mise en œuvre du référentiel qu’elle prescrit en matière de gestion des risques cyber. L’objectif est de simplifier la procédure de contrôle du respect des exigences techniques par l’ANSSI. Cette simplification vaut d’ailleurs tant pour les acteurs contrôlés que pour l’ANSSI elle-même.

Le second alinéa dispose qu’à défaut de pouvoir opposer la mise en œuvre du référentiel que l’ANSSI prescrit, les personnes mentionnées à l’article 14 du projet de loi sont tenues de démontrer que les mesures qu’elles mettent en œuvre permettent de se conformer à ces objectifs.

Les modifications apportées par le Sénat

Afin de prévoir le cas des entreprises exerçant leurs activités dans plusieurs États membres et appliquant partout un même référentiel qui ne serait pas celui de l’ANSSI mais qui serait reconnu par elle comme de même niveau que son propre référentiel, le Sénat a modifié le premier alinéa en commission, à l’initiative des rapporteurs, en créant un mécanisme de reconnaissance mutuelle entre les États membres de l’Union européenne. Ainsi, une entité qui aurait été jugée certifiée conforme aux exigences de la directive NIS 2 dans un autre État membre de l’Union européenne pourrait s’en prévaloir lors d’un contrôle de l’ANSSI.

Par ailleurs, le Sénat a précisé en séance publique, par un amendement du gouvernement qui a reçu l’avis favorable de la commission, que la modalité de vérification par l’ANSSI de la conformité au référentiel d’exigences techniques peut se faire au moyen d’un label de confiance approuvé par elle. Ce label n’existe pas encore et devrait donc être éventuellement créé, à l’initiative de l’ANSSI, si cette disposition législative demeurait.

La position de la commission

La commission spéciale a adopté deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff qui procèdent à une réécriture quasi complète de l’article 15 afin de clarifier les conditions dans lesquelles seront reconnues les normes et spécifications techniques, europénnes ou interationales permettant aux entités régulées de démontrer leur conformité toute ou partie aux objectifs visés.

Cette nouvelle rédaction vise par ailleurs à faciliter, pour les entités établies dans plusieurs pays au sein de l’Union européenne, la reconnaisance de leur conformité de tout ou partie des objectifs visés lorsqu’elles appliquent un autre référentiel que celui de l’ANSSI.

*

Article 16

Exigences de protection cyber supplémentaires pour les OIV et pour les administrations

➢ Résumé du dispositif et effets principaux

Cet article confère au premier ministre le pouvoir de rajouter des obligations supplémentaires en matière de cybersécurité aux opérateurs d’importance vitale (OIV) ainsi qu’aux administrations, en particulier les administrations régaliennes les plus sensibles.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a adopté un seul amendement rédactionnel.

➢ Modifications apportées par la commission

La commission spéciale a adopté plusieurs amendements visant en particulier à corriger des erreurs rédactionnelles.

L’état du droit

Comme indiqué précédemment, l’article 21 de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2, prévoit que les États membres veillent à ce que les entités essentielles et importantes prennent les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information que ces entités utilisent dans le cadre de leurs activités ou de la fourniture de leurs services, ainsi que pour éliminer ou réduire les conséquences que les incidents ont sur les destinataires de leurs services et sur d’autres services.

Le dispositif proposé

En plus des dispositions de l’article 14 du projet de loi imposant des obligations en matière de cybersécurité, qui transposent les stipulations de l’article 21 de la directive NIS 2, l’article 16 prévoit des obligations supplémentaires pour rehausser le niveau de sécurité des opérateurs d’importance vitale (OIV) et de plusieurs catégories d’administrations.

En vertu de l’article L. 1332-1 du code de la défense, sont des OIV les opérateurs publics ou privés exploitant des établissements ou utilisant des installations et ouvrages, dont l’indisponibilité risquerait de diminuer d’une façon importante le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la nation, sont tenus de coopérer à leurs frais dans les conditions définies au présent chapitre, à la protection desdits établissements, installations et ouvrages contre toute menace, notamment à caractère terroriste ([23]) .

L’article L. 1332-2 du même code précise que les obligations prescrites aux OIV peuvent être étendues à des établissements mentionnés à l’article L. 511-1 du code de l’environnement ou comprenant une installation nucléaire de base visée à l’article L. 593-1 du code de l’environnement quand la destruction ou l’avarie de certaines installations de ces établissements peut présenter un danger grave pour la population.

Le premier alinéa prévoit que les OIV doivent identifier, tenir à jour et communiquer à l’ANSSI la liste de leurs systèmes d’information d’importance vitale.

Le deuxième alinéa dispose que les OIV mettent en œuvre les mesures du référentiel d’exigences techniques prévu à l’article 14 du projet de loi et les exigences spécifiques à ces systèmes d’information fixées par le premier ministre.

Le troisième alinéa liste les administrations qui devront mettre en œuvre les exigences du référentiel mentionné à l’article 14 ainsi que les exigences spécifiques du premier ministre.

Le quatrième alinéa prévoit que les exigences spécifiques peuvent inclure le recours à des dispositifs matériels et logiciels, à des prestataires de services certifiés, qualifiés ou agréés et prévoir que ce recours emporte présomption de conformité à l’exigence de sécurité concernée. Ces exigences peuvent également prescrire des audits de sécurité réguliers réalisés par des organismes indépendants.

Il est à noter que les acteurs qui relèvent de l’article 16 appliquent ces exigences à leurs frais.

Les modifications apportées par le Sénat

Un amendement rédactionnel des rapporteurs Patrick Chaize, Hugues Saury et Michel Canévet a modifié l’alinéa 3 pour mettre en cohérence la rédaction de cet article avec la rédaction retenue aux articles 8 et 14 du projet de loi.

La position de la commission

La commission spéciale a adopté neuf amendements :

– deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff qui visent à corriger une erreur rédactionnelle. En tant qu’établissement public à caractère industriel et commercial, le Commissariat à l’énergie atomique et aux énergies alternatives (CEA), notamment pour ses activités dans le domaine de la défense, n’est en effet pas concerné par ces exigences spécifiques fixées par le premier ministre à l’égard des systèmes d’information permettant des échanges d’informations par voie électronique avec le public et d’autres administrations ;

– et sept amendements rédactionnels de la rapporteure Anne Le Hénanff.

*

Article 16 bis

Empêcher l’intégration de dispositifs techniques visant à affaiblir la sécurité des systèmes d’information et des communications électroniques

➢ Résumé du dispositif et effets principaux

Cet article vise à empêcher l’intégration de dispositifs techniques dans les systèmes d’information et les systèmes de communications électroniques visant à affaiblir leur cybersécurité.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a introduit cet article additionnel en séance publique.

➢ Modifications apportées par la commission

La commission spéciale a adopté un amendement qui insère les mots « ou processus » après le mot « mécanisme » afin d’élargir le champ de l’article 16 bis.

L’état du droit

● L’article L. 33-1 du code des postes et des communications électroniques (CPCE) pose le principe de liberté de l’établissement et de l’exploitation des réseaux ouverts au public et de la fourniture de services de communications électroniques.

Le I fixe néanmoins plusieurs limites : cette liberté s’exerce, en particulier, sous réserve « des prescriptions exigées par l’ordre public, la défense nationale et la sécurité publique, notamment celles nécessaires à la mise en œuvre des interceptions justifiées par les nécessités de la sécurité publique, ainsi que les garanties d’une juste rémunération des prestations assurées à ce titre » (e du I de l’article L. 33-1 du CPCE).

● Le II de l’article L. 34-1 du CPCE impose aux opérateurs de communications électroniques, et notamment aux personnes dont l’activité est d’offrir un accès à des services de communication au public en ligne, d’effacer ou de rendre anonymes les données relatives aux communications électroniques. De nouveau, plusieurs réserves sont prévues, énumérées aux II bis à VI de l’article.

Le II bis formule ainsi une obligation de conservation de certaines données et informations au regard de plusieurs finalités :

– pour les besoins des procédures pénales, de la prévention des menaces contre la sécurité publique et de la sauvegarde de la sécurité nationale, l’opérateur doit conserver les informations relatives à l’identité civile de l’utilisateur, jusqu’à l’expiration d’un délai de cinq ans à compter de la fin de la validité du contrat qui le lie à celui-ci (1°). Il doit également, pour ces mêmes finalités, conserver les autres informations fournies par l’utilisateur lors de la souscription d’un contrat ou de la création d’un compte, selon le service de communication utilisé, ainsi que les informations relatives au paiement, jusqu’à l’expiration d’un délai d’un an à compter de la fin de la validité du contrat ou de la clôture du compte (2°) ;

– pour les besoins de la lutte contre la criminalité et la délinquance grave, de la prévention des menaces graves contre la sécurité publique et de la sauvegarde de la sécurité nationale, les opérateurs doivent conserver les données techniques permettant d’identifier la source de la connexion ou celles relatives aux équipements terminaux utilisés, jusqu’à l’expiration d’un délai d’un an à compter de la connexion ou de l’utilisation des équipements terminaux (3°).

Le III étend l’obligation de conservation mentionnée au II. Ainsi, pour des motifs tenant à la sauvegarde de la sécurité nationale, lorsqu’est constatée une menace grave, actuelle ou prévisible, le premier ministre peut enjoindre par décret aux opérateurs de communications électroniques de conserver, pour une durée d’un an, certaines catégories de données de trafic, en complément de celles mentionnées au 3° du II bis, et de données de localisation précisées par décret en Conseil d’État. Cette injonction du Premier ministre peut être renouvelée si les conditions continuent d’être réunies.

Par ailleurs, le III bis prévoit que les données conservées par les opérateurs peuvent faire l’objet d’une injonction de conservation rapide par les autorités disposant d’un accès aux données relatives aux communications électroniques, à des fins de prévention et de répression de la criminalité, de la délinquance grave et des autres manquements graves aux règles dont elles ont la charge d’assurer le respect, afin d’accéder à ces données.

Le VI détermine le champ des données conservées et traitées en application de l’article L. 34-1. Celles-ci portent exclusivement sur l’identification des personnes utilisatrices des services fournis par les opérateurs, les caractéristiques techniques des communications assurées par ces deniers et sur la localisation des équipements terminaux. En aucun cas, elles ne peuvent porter sur le contenu des correspondances échangées ou des informations consultées.

● Les obligations des opérateurs et fournisseurs de services sur internet sont également prévues par le titre VII du livre VIII du code de la sécurité intérieure (CSI).

L’article L. 871-1 du code de sécurité intérieure dispose que « les personnes physiques ou morales qui fournissent des prestations de cryptologie visant à assurer une fonction de confidentialité sont tenues de remettre dans un délai de soixante-douze heures aux agents autorisés dans les conditions prévues à l’article L. 821-4, sur leur demande, les conventions permettant le déchiffrement des données transformées au moyen des prestations qu’elles ont fournies ». Les « agents autorisés dans les conditions prévues à l’article L. 821-4 » désignent, en pratique, les services de renseignement.

En outre, cet article dispose que « les agents autorisés peuvent demander aux fournisseurs de prestations susmentionnés de mettre eux-mêmes en œuvre dans un délai de soixante-douze heures ces conventions ».

Toutefois, il précise que la transmission des conventions permettant le déchiffrement des données transformées au moyen des prestations fournies par les personnes physiques ou morales qui fournissent les prestations de cryptologie visant à assurer une fonction de confidentialité est obligatoire « sauf si ceux-ci démontrent qu’ils ne sont pas en mesure de satisfaire à ces réquisitions ».

C’est précisément cette dernière disposition qui est au cœur des difficultés rencontrées par les services de renseignement. En effet, le recours par ces prestataires de techniques de chiffrement dit « de bout en bout » rend impossible l’accès au contenu des messageries chiffrées par les services de renseignement et par les prestataires en question. Il s’agit d’un niveau de confidentialité optimal, qui présente toutefois l’inconvénient de rendre impossible le déchiffrement des données chiffrées de bout en bout qui ont été interceptées par les services de renseignement.

Toutefois, les services de renseignement ont accès à ce qu’on appelle les « métadonnées », c’est-à-dire à l’ensemble des données « autour » de la donnée principale qu’est le message chiffré. Ainsi, grâce à ces métadonnées, les services de renseignement sont à même de savoir, par exemple, que deux individus ont échangé des messages, à une heure et à une date précise, à partir d’un lieu précis, et depuis des terminaux et un mode de connexion à internet précis. En revanche, ils ne seront pas en mesure de connaître le contenu du message, qui a été chiffré de bout en bout.

Aux termes de l’article L. 871-3, le ministre chargé des communications électroniques doit veiller à ce que les exploitants de réseaux ouverts au public de communications électroniques et les fournisseurs de services de communications électroniques au public prennent les mesures nécessaires pour assurer l’application, dans le respect de la défense nationale, de ces dispositions dans le cadre de la mise en œuvre des techniques de renseignement et des interceptions de correspondances et techniques spéciales d’enquête ordonnées par l’autorité judiciaire.

L’article L. 871-4 impose aux opérateurs et fournisseurs de services sur internet d’autoriser, à des fins de contrôle, les membres et les agents de la Commission nationale de contrôle des techniques de renseignement (CNCTR) mandatés à cet effet à entrer dans ceux de leurs locaux dans lesquels sont mises en œuvre des techniques de recueil de renseignement soumises à autorisation du premier ministre.

Les exigences essentielles mentionnées au 12° de l’article L. 32 du CPCE et le secret des correspondances ne sont opposables, selon l’article L. 871-5 du CSI, ni aux juridictions compétentes pour ordonner des interceptions ni au ministre chargé des communications électroniques.

L’article L. 871-6 du CSI détermine les modalités de coopération des opérateurs dans la mise en œuvre des techniques de recueil de renseignement suivantes :

– le recueil des données de connexion (article L. 851-1) ;

– le recueil en temps réel des informations, documents et adresses complètes de ressources sur internet utilisés par une personne, pour les seuls besoins de la prévention du terrorisme (article L. 851-2) ;

– la mise en place de traitements automatisés sur les données transitant par les réseaux des opérateurs, dits « technique de l’algorithme » (article L. 851-3) :

– le recueil des données techniques relatives à la localisation des équipements terminaux auprès d’un opérateur (article L. 851-4) ;

– le recueil direct des données techniques permettant l’identification d’un équipement terminal ou du numéro d’abonnement de son utilisateur ainsi que les données relatives à la localisation des équipements terminaux (article L. 851-6) ;

– les interceptions de correspondances émises par la voie des communications électroniques (article L. 852-1) ;

– l’utilisation de dispositifs techniques permettant d’accéder à des données informatiques stockées dans un système informatique (article L. 853-2).

Ainsi, ces opérations peuvent être réalisées dans les locaux et installations des services ou organismes placés sous l’autorité ou la tutelle du ministre chargé des communications électroniques ou des exploitants de réseaux ou fournisseurs de communications électroniques, dès lors que le premier ministre ou la personne spécialement déléguée par lui en a donné l’ordre, par des agents qualifiés de ces services, organismes, exploitants ou fournisseurs dans leurs installations respectives.

À cet égard, il convient de rappeler que la loi n° 2021-998 du 30 juillet 2021 relative à la prévention du terrorisme et au renseignement a étendu le champ des techniques de renseignement pour lesquelles l’autorité administrative peut requérir le concours des opérateurs, en incluant les trois dernières techniques de la liste supra, mentionnées aux articles L. 851-6, L 852-1 et L. 853-2 du CSI.

Les opérateurs et fournisseurs de service sur internet concernés par cette obligation bénéficient d’une compensation financière de l’État, au regard des surcoûts identifiables et spécifiques auxquels ils sont éventuellement exposés pour répondre à la mise en œuvre des techniques de renseignement.

● Ces obligations des opérateurs et fournisseurs de services font l’objet d’une répression pénale spécifique.

Ainsi, selon l’article L. 881-1 du CSI, le fait pour une personne concourant à l’exécution d’une technique de recueil de renseignement de révéler l’existence de la mise en œuvre de cette technique est puni des peines réprimant les atteintes au secret professionnel prévues par :

– l’article 226-13 du code pénal, qui punit d’un an d’emprisonnement et de 15 000 euros d’amende la révélation d’une information à caractère secret par une personne qui en est dépositaire soit par état ou par profession, soit en raison d’une fonction ou d’une mission temporaire ;

– l’article 226-14 du même code, qui prévoit que l’article 226-13 n’est pas applicable dans les cas où la loi impose ou autorise la révélation du secret ni dans les cas prévus aux 1° à 5° de l’article ;

– l’article 226-31, qui détermine diverses peines complémentaires.

Par ailleurs, selon l’article L. 881-2 du CSI, le fait de ne pas déférer aux demandes des autorités habilitées est puni de deux ans d’emprisonnement et 150 000 euros d’amende. Les mêmes peines répriment le fait pour un opérateur ou un fournisseur de services de refuser de communiquer les informations ou documents ou le fait de communiquer des renseignements erronés.

De plus, l’article 434-15-2 du code pénal punit de trois ans d’emprisonnement et 270 000 euros d’amende le fait, pour quiconque ayant connaissance de la convention secrète de déchiffrement d’un moyen de cryptologie susceptible d’avoir été utilisé pour préparer, faciliter ou commettre un crime ou un délit, de refuser de remettre ladite convention aux autorités judiciaires ou de la mettre en œuvre, sur les réquisitions de ces autorités. Si le refus est opposé alors que la remise ou la mise en œuvre de la convention aurait permis d’éviter la commission d’un crime ou d’un délit ou d’en limiter les effets, la peine est portée à cinq ans d’emprisonnement et à 450 000 euros d’amende.

Les modifications apportées par le Sénat

Le Sénat a introduit cet article additionnel en séance publique à l’initiative de M. Olivier Cadic. Cet amendement a été adopté au Sénat, contre l’avis de la commission et du gouvernement, dans le contexte de l’examen d’un article additionnel après l’article 8 de la proposition de loi dite « Narcotrafic » qui avait été adopté en commission au Sénat. Après avoir été adopté en commission au Sénat, cet article additionnel, 8 ter, a été supprimé en commission des Lois à l’Assemblée nationale et n’a pas été rétabli à l’occasion de son examen en séance publique. Il n’a pas non plus été rétabli en commission mixte paritaire.

Dans un contexte de généralisation du recours aux protocoles de chiffrement de bout en bout pour garantir la confidentialité des données, l’article 16 bis dispose qu’« il ne peut être imposé aux fournisseurs de services de chiffrement […] l’intégration de dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d’information et des communications électroniques » afin d’empêcher « [tout] accès non consenti aux données protégées ». Cette disposition s’applique également aux prestataires de services de confiance qualifiés.

L’objectif de cet article est d’interdire l’introduction de « portes dérobées », c’est-à-dire de vulnérabilités informatiques volontairement introduites par les concepteurs des systèmes d’information et des services de communications électroniques pour permettre aux services de renseignement d’accéder au contenu des messageries chiffrées.

L’exposé sommaire de l’amendement ayant introduit cet article additionnel indique que « certaines initiatives législatives et réglementaires, tant au niveau national qu’international, ont cherché à imposer aux fournisseurs de services de chiffrement des obligations visant à insérer des dispositifs techniques permettant un accès aux données protégées par des tiers, notamment par les autorités publiques ».

Il ajoute en outre que « ces dispositifs créent des vulnérabilités exploitables non seulement par les autorités prévues, mais également par des acteurs malveillants, qu’il s’agisse de cybercriminels, d’États hostiles ou d’entités privées cherchant à compromettre la sécurité des systèmes d’information ».

La position de la commission

La commission a adopté un amendement du président Philippe Latombe, avec l’avis favorable de la rapporteure Anne Le Hénanff et défavorable du rapporteur général, qui insère les mots « ou processus » après le mot « mécanisme ». Cette insertion a pour objectif d’élargir le champ de l’article 16 bis pour inclure, au-delà des outils techniques tels que les portes dérobées ou les clés maitresses, des pratiques telles que la création d’un accès non consenti aux données protégées ou la mise en place d’un protocole de remise systématique de copies de clés privées qui, in fine, auraient le même effet que les outils techniques précités.

*

Article 17

Obligation de notification à l’ANSSI des incidents importants

➢ Résumé du dispositif et effets principaux

Cet article prévoit que les entités régulées au titre de la directive dite NIS 2 doivent notifier à l’ANSSI sans retard injustifié les incidents importants qu’elles subissent en matière de cybersécurité ayant un impact sur la fourniture de leurs services. Elles doivent également, sous réserve de plusieurs secrets protégés par la loi, en informer les destinataires de leurs services, voire le public.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a apporté plusieurs modifications substantielles à l’article 17.

Tout d’abord, il a introduit les critères pour considérer qu’un incident est important au sens de la directive.

Par ailleurs, ont été introduits des délais de notification au Computer Emergency Response Team (CERT) national des incidents informatiques qui figurent à l’article 23 de la directive mais qui ne figuraient pas dans l’article 17 du projet de loi.

De plus, a été introduite à l’alinéa 11 l’obligation figurant au paragraphe 5 de l’article 23 prévoyant que le CERT fournit, sans retard injustifié et si possible dans les heures suivant la réception de l’alerte précoce en cas de cyberattaque, une réponse à l’entité émettrice de la notification, y compris un retour d’information initial sur l’incident important et, à la demande de l’entité, des orientations ou des conseils opérationnels sur la mise en œuvre d’éventuelles mesures d’atténuation.

Enfin, a été supprimée la notion d’incident « critique », pour se limiter à la seule notion d’incident « important » prévu dans la directive.

En séance publique, un amendement a complété l’alinéa 14 de l’article en précisant la nature des incidents importants devant être notifiés sans retard injustifié.

➢ Modifications apportées par la commission

La commission a adopté plusieurs amendements visant principalement à :

– préciser qu’un incident est considéré comme important uniquement s’il a causé ou est susceptible de causer des pertes financières « significatives » ;

– reprendre la rédaction de la directive NIS 2 qui régit les obligations des États membres et des entités en matière d’information aux destinataires des services lorsque l’entité essentielle ou importante identifie qu’une vulnérabilité critique est susceptible de les affecter et à clarifier le champ des informations devant leur être communiquées ;

– préciser à qui sont notifiés les incidents importants et les vulnérabilités critiques.

L’état du droit

La réponse à des incidents informatiques en France s’articule autour de l’ANSSI, et tout particulièrement de son centre de réponse aux incidents de sécurité CERT qui assure les fonctions de CERT à l’échelle nationale. À ce titre, les incidents informatiques affectant les opérateurs d’importance vitale (OIV), les opérateurs de services essentiels (OSE) et les opérateurs de communications électroniques doivent systématiquement être notifiés à l’ANSSI en vertu de la loi n° 2018-133 de transposition de la directive dite NIS 1. En plus du CERT de l’ANSSI, des centres de réponse aux incidents de sécurité informatique (CSIRT) régionaux, sectoriels et ministériels ont été créés. Ils contribuent également à la notification d’incidents, à l’aide à la remédiation ainsi qu’à la connaissance de l’état de la menace et à la sensibilisation face au risque cyber.

L’article 11 de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2, confie au CERT national la tâche de surveiller et d’analyser les cybermenaces au niveau national et, sur demande, d’apporter une assistance aux entités essentielles et importantes concernées pour surveiller leurs réseaux et systèmes d’information (paragraphe 3).

Le paragraphe 2 de l’article 23 de la directive prévoit que les États membres veillent à ce que les entités essentielles et importantes communiquent, sans retard injustifié, aux destinataires de leurs services qui sont potentiellement affectés par une cybermenace importante toutes mesures ou corrections que ces destinataires peuvent appliquer en réponse à cette menace.

Le paragraphe 3 de l’article 23 de la directive définit également la notion d’incident important. Un incident est considéré comme important :

– s’il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour l’entité concernée ;

– s’il a affecté ou est susceptible d’affecter d’autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables.

La notion d’incident important a également été précisée dans le règlement d’exécution (UE) 2024/2690 du 17 octobre 2024 établissant des règles relatives à l’application de la directive (UE) 2022/2555 pour ce qui est des exigences techniques et méthodologiques liées aux mesures de gestion des risques en matière de cybersécurité et précisant plus en détail les cas dans lesquels un incident est considéré comme important, en ce qui concerne les fournisseurs de services DNS, les registres des noms de domaine de premier niveau, les fournisseurs de services d’informatique en nuage, les fournisseurs de services de centres de données, les fournisseurs de réseaux de diffusion de contenu, les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés, ainsi que les fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux, et les prestataires de services de confiance.

Le dispositif proposé

Le premier alinéa dispose que les personnes mentionnées à l’article 14 du projet de loi notifient sans retard injustifié à l’ANSSI tout incident ayant un impact important sur la fourniture de leurs services.

En cas de cyberattaque ayant affecté une entité essentielle ou une entité importante, l’ANSSI peut exiger de celles-ci qu’elles informent le public de l’incident dont elles ont été la cible ou le faire elle-même, dans le but de prévenir un incident ou pour faire face à un incident en cours ou lorsque la divulgation de l’incident est dans l’intérêt du public (alinéa 12).

L’alinéa 15 prévoit par ailleurs que les entités essentielles et importantes notifient sans retard les vulnérabilités critiques affectant leurs services ou les affectant potentiellement, ainsi que les mesures ou corrections, dès qu’elles en ont connaissance, que ces destinataires peuvent appliquer en réponse à cette vulnérabilité ou à cette menace.

L’alinéa 16 prévoit que l’obligation de notification ne s’étend pas aux informations dont la divulgation porterait atteinte aux intérêts de la défense et de la sécurité nationale.

L’alinéa 17 prévoit qu’en cas d’incident important ou de vulnérabilité critique, les personnes mentionnées au premier alinéa peuvent communiquer à l’ANSSI la liste des destinataires de leurs services. Celle-ci doit tenir compte, dans l’usage qu’elle fait de ces informations, des intérêts économiques de ces personnes et veille à ne pas révéler d’informations susceptibles de porter atteinte à leur sécurité et au secret en matière commerciale et industrielle.

En outre, l’alinéa 18 prévoit que l’ANSSI informe la Commission nationale de l’informatique et des libertés (CNIL) de tout incident mentionné au premier alinéa susceptible d’entraîner une violation de données à caractère personnel.

Enfin, un décret en Conseil d’État fixe les modalités d’application du présent article. Il précise notamment la procédure applicable et les critères d’appréciation des caractères importants et critiques des incidents et vulnérabilités (alinéa 19).

Les modifications apportées par le Sénat

Le Sénat a apporté plusieurs modifications substantielles à l’article 17.

Tout d’abord, dans l’article, aux alinéas 2 à 4, il a introduit les critères pour considérer qu’un incident est important au sens de la directive. Cet amendement, à l’initiative des rapporteurs Patrick Chaize, Hugues Saury et Michel Canévet, a été adopté en commission.

Par ailleurs, toujours via cet amendement, ont été introduits aux alinéas 5 à 10 des délais de notification au CERT national des incidents informatiques qui figurent à l’article 23 de la directive mais qui ne figuraient pas dans l’article 17 du projet de loi. Ces délais de notification devaient initialement être précisés par décret mais le Sénat a estimé que leur introduction dans la loi était indispensable.

Le séquençage prévu par le Sénat est le suivant :

– dans les 24 premières heures, une notification initiale qui, le cas échéant, indique si l’incident important est susceptible d’avoir été causé par des actes illicites ou malveillants ou s’il pourrait avoir un impact en dehors du territoire national (alinéa 6) ;

– dans les 72 heures, une notification intermédiaire qui, le cas échéant, met à jour les informations communiquées à l’occasion de la notification initiale, et qui fournit une évaluation initiale de l’incident important, y compris de sa gravité et de son impact, ainsi que des indicateurs de compromission lorsqu’ils sont disponibles (alinéa 7) ;

– dans le mois, un rapport final, sous réserve que l’incident soit traité (alinéa 9) ;

Par ailleurs, à la demande de l’ANSSI, l’entité peut être amenée à établir un rapport sur les mises à jour pertinentes (alinéa 8).

De plus, a été introduite à l’alinéa 11 l’obligation figurant au paragraphe 5 de l’article 23 prévoyant que le CERT fournit, sans retard injustifié et si possible dans les heures suivant la réception de l’alerte précoce en cas de cyberattaque, une réponse à l’entité émettrice de la notification, y compris un retour d’information initial sur l’incident important et, à la demande de l’entité, des orientations ou des conseils opérationnels sur la mise en œuvre d’éventuelles mesures d’atténuation.

Enfin, a été supprimée la notion d’incident « critique », pour se limiter à la seule notion d’incident « important » prévu dans la directive.

En séance publique, un amendement du gouvernement ayant reçu un avis favorable de la commission a précisé la nature des incidents importants devant être notifiés sans retard injustifié en complétant l’alinéa 14 par les mots « ayant un impact direct sur les destinataires de leurs services, notamment lorsqu’ils ont causé ou sont susceptibles de causer l’extraction de données sensibles de ces derniers, ou de causer la mort ou des dommages considérables à la santé d’une personne physique destinataire, ou qu’ils consistent en un accès non autorisé effectif au réseau et aux systèmes d’information de l’entité, susceptible d’être malveillant et de causer une perturbation opérationnelle grave pour le destinataire ». Cet amendement de sécurisation juridique vise à clarifier les types d’incidents importants que les entités devront notifier aux destinataires de leurs services afin de se conformer aux stipulations de l’article 23 de la directive qui soumet cette notification à la détermination de son caractère approprié.

La position de la commission

Outre six amendements rédactionnels de la rapporteure Anne Le Hénanff, la commission spéciale a adopté trois amendements :

– un amendement du président Philippe Latombe qui précise qu’un incident est considéré comme important uniquement s’il a causé ou est susceptible de causer des pertes financières « significatives » ;

– deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff qui reprennent la rédaction du 2. de l’article 23 de la directive NIS 2 qui régit les obligations des États membres et des entités en matière d’information aux destinataires des services lorsque l’entité essentielle ou importante identifie qu’une vulnérabilité critique est susceptible de les affecter. Ils clarifient également le champ des informations devant leur être communiquées en s’alignant sur le même article de la directive NIS 2 qui limite le champ des informations communiquées aux destinataires aux mesures et corrections que les utilisateurs peuvent appliquer, et, le cas échéant, les informations relatives à la vulnérabilité elle-même. Enfin, ils précisent la rédaction du projet de loi qui n’indique pas à qui sont notifiés les incidents importants et les vulnérabilités critiques.

*

Section 3 Enregistrement des noms de domaine

Article 18

Détermination des critères territoriaux pour l’application aux offices et aux bureaux d’enregistrement des noms de domaine

➢ Résumé du dispositif et effets principaux

Cet article définit par des critères de compétence territoriaux les offices et les bureaux d’enregistrement auxquels s’appliquent les dispositions de la section 3 « Enregistrement des noms de domaine » du projet de loi.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

➢ Modifications apportées par la commission

La commission a adopté un amendement rédactionnel.

L’état du droit

Le cadre juridique relatif aux noms de domaine est aujourd’hui fixé par les articles L. 45 à L. 48 du code des postes et des communications électroniques.

De ce point de vue, la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2, opère un changement important en intégrant en son article 28 les offices d’enregistrement pour ce qui concerne les obligations de sécurisation et les bureaux d’enregistrement pour ce qui relève de la collecte et de la mise à jour des données d’enregistrement des noms de domaine.

En effet, l’article 28 stipule qu’afin de contribuer à la sécurité, à la stabilité et à la résilience du Domain Name System (DNS), les États membres imposent aux registres des noms de domaine de premier niveau et aux entités fournissant des services d’enregistrement de noms de domaine de collecter les données d’enregistrement de noms de domaine et de les maintenir exactes et complètes au sein d’une base de données spécialisée avec la diligence requise par le droit de l’Union en matière de protection des données pour ce qui concerne les données à caractère personnel.

Les autorités chargées de la sécurité des systèmes d’information ou les autorités judiciaires pourront ainsi accéder, à leur demande et dans un délai maximal de 72 heures, à des données exactes, permettant d’identifier le propriétaire d’un nom de domaine en cas d’incident de cybersécurité.

Pour ce faire, les États membres devront donc imposer aux offices d’enregistrement de collecter ou de conserver certaines données d’enregistrement des noms de domaine et organiser l’accès à ces données aux autorités légitimes.

Le dispositif proposé

L’article 18 du projet de loi dispose que les offices d’enregistrement et les bureaux d’enregistrement ainsi que les agents agissant pour le compte de ces derniers qui satisfont à l’une des conditions prévues à l’article 11 du projet de loi ([24]) sont soumis aux dispositions de la section 3 relative à l’enregistrement des noms de domaine, dont l’objet est de transposer les stipulations de l’article 28 de la directive.

Les modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

La position de la commission

La commission a adopté un amendement rédactionnel de la rapporteure Anne Le Hénanff.

*

Article 19

Obligation pour les offices et les bureaux d’enregistrement des noms de domaine de mettre en place une base de données

➢ Résumé du dispositif et effets principaux

Cet article oblige les offices et les bureaux d’enregistrement des noms de domaine à mettre en place une base de données afin de pouvoir accéder aux données permettant d’identifier le propriétaire d’un nom de domaine en cas d’incident.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

➢ Modifications apportées par la commission

La commission a adopté plusieurs amendements visant à :

– compléter l’alinéa 1er par les mots : « y compris les données du point de contact qui gère le nom de domaine, si ces coordonnées sont différentes de celles du titulaire, notamment en cas de recours à des services permettant l’anonymisation des données d’enregistrement » ;

– appliquer aux agents agissant pour le compte des bureaux d’enregistrement les obligations en matière de protection des données prévues à l’alinéa 2 ;

– indiquer que les procédures de vérification des données n’ont pas pour objectif de s’assurer de l’exactitude de ces données au moment de leur collecte ;

– spécifier le contenu du décret mentionné à l’alinéa 3.

L’état du droit

L’article 28 de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2, prévoit de nouvelles règles en matière d’enregistrement des noms de domaine ([25]) .

En vertu de cet article, afin de contribuer à la sécurité, à la stabilité et à la résilience du Domain Name System (DNS), les États membres imposent aux registres des noms de domaine de premier niveau et aux entités fournissant des services d’enregistrement de noms de domaine de collecter les données d’enregistrement de noms de domaine et de les maintenir exactes et complètes au sein d’une base de données spécialisée avec la diligence requise par le droit de l’Union en matière de protection des données pour ce qui concerne les données à caractère personnel.

À cette fin, le paragraphe 2 de l’article 28 de la directive prévoit que les États membres exigent que la base des données d’enregistrement des noms de domaine contienne les informations nécessaires pour identifier et contacter les titulaires des noms de domaine et les points de contact qui gèrent les noms de domaine relevant des domaines de premier niveau. Ces informations comprennent notamment les éléments suivants :

– le nom de domaine ;

– la date d’enregistrement ;

– le nom du titulaire, l’adresse de courrier électronique et le numéro de téléphone permettant de le contacter ;

– l’adresse de courrier électronique et le numéro de téléphone permettant de contacter le point de contact qui gère le nom de domaine, si ses coordonnées sont différentes de celles du titulaire du nom de domaine.

En outre, les États membres doivent exiger que les registres des noms de domaine de premier niveau et les entités fournissant des services d’enregistrement de noms de domaine aient mis en place des politiques et des procédures, notamment des procédures de vérification, visant à garantir que les bases de données visées au paragraphe 1 contiennent des informations exactes et complètes. Les États membres imposent que ces politiques et procédures soient mises à la disposition du public.

De plus, les États membres exigent que les registres des noms de domaine de premier niveau et les entités fournissant des services d’enregistrement de noms de domaine rendent publiques, sans retard injustifié après l’enregistrement d’un nom de domaine, les données d’enregistrement du nom de domaine qui ne sont pas des données à caractère personnel.

Enfin, le paragraphe 6 de l’article 28 de la directive précise que les États membres imposent aux registres de noms de domaine de premier niveau et aux entités fournissant des services d’enregistrement de noms de domaine de coopérer entre eux.

Le dispositif proposé

L’article 19 transpose les obligations prévues à l’article 28 de la directive. En particulier, l’alinéa premier, qui prévoit que les offices d’enregistrement collectent, par l’intermédiaire des bureaux d’enregistrement ainsi que des agents agissant pour le compte de ces derniers, les données nécessaires à l’enregistrement des noms de domaine, transpose les stipulations du paragraphe 1 de l’article 28 de la directive.

Les offices et les bureaux d’enregistrement ont l’obligation de maintenir ces bases de données à jour, en maintenant les données exactes et complètes, sans redondance de collecte, prévue au paragraphe 1 de l’article 28 de la directive et à l’alinéa 2. À cette fin, les offices et les bureaux d’enregistrement mettent en place des procédures, accessibles au public, permettant de vérifier ces données lors de leur collecte et d’assurer la sécurité de leur base de données.

Enfin, un décret en Conseil d’État, pris après avis de la CNIL, fixe la liste des données relatives aux noms de domaine devant être collectées (alinéa 3).

Les modifications apportées par le Sénat

Le Sénat n’a apporté que des modifications d’ordre légistique.

La position de la commission

Outre un amendement rédactionnel de la rapporteure Anne Le Hénanff, la commission spéciale a adopté dix amendements :

– quatre amendements identiques portés par le rapporteur général Éric Bothorel, M. Denis Masséglia, M. René Pilato et plusieurs de ses collègues membres du groupe LFI-NFP, ainsi que Mme Marie Récalde et plusieurs de ses collègues du groupe Socialistes et apparentés, qui garantissent le fait que l’ensemble des informations relatives au titulaire du nom de domaine, y compris lorsque ce dernier fait appel à un service tiers, sont bien récupérées par les bureaux et offices d’enregistrement au stade de la collecte, en cohérence avec l’article 28 de la directive qui prévoit la collecte des informations « du point de contact qui gère le nom de domaine, si ces coordonnées sont différentes de celles du titulaire » ;

– deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff qui visent, en conformité avec la directive, à appliquer aux agents agissant pour le compte des bureaux d’enregistrement les obligations en matière de protection des données prévues à l’alinéa 2 ;

– deux amendements de la rapporteure Anne Le Hénanff et de M. Antoine Villedieu qui clarifient le fait que les procédures de vérification des données n’ont pas pour objectif de s’assurer de l’exactitude de ces données au moment de leur collecte. En effet, les offices et bureaux d’enregistrement n’ont pas les capacités d’effectuer une telle vérification au moment même de la collecte pour l’ensemble des noms de domaine ;

– deux amendements de M. Denis Masséglia et de M. René Pilato et plusieurs de ses collègues membres du groupe LFI-NFP qui visent à spécifier le contenu du décret mentionné à l’alinéa 3 en indiquant que celui-ci devra préciser les procédures de vérification des données d’enregistrement des noms de domaine menées par les bureaux et les offices d’enregistrement.

*

Article 20

Durée de conservation des données collectées par les offices et les bureaux d’enregistrement des noms de domaine

➢ Résumé du dispositif et effets principaux

Cet article définit la durée de conservation des données collectées par les offices et les bureaux d’enregistrement des noms de domaines, en prévoyant que ceux-ci doivent conserver les données relatives à chaque nom de domaine dans leur base de données tant que le nom de domaine est utilisé.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Un amendement a modifié le délai de conservation des données en étendant celle-ci à la durée d’utilisation du nom de domaine et jusqu’à l’expiration d’un délai d’un an à compter de la cessation de l’utilisation de ce nom de domaine.

➢ Modifications apportées par la commission

La commission a adopté deux amendements qui visent, en conformité avec la directive, à appliquer aux agents agissant pour le compte des bureaux d’enregistrement les obligations prévues au présent article portant sur la durée de conservation des données relatives à chaque nom de domaine.

L’état du droit

L’article 28 de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2, ne prévoit pas de durée de conservation des données collectées par les offices et les bureaux d’enregistrement des noms de domaine.

Toutefois, pour que les stipulations de l’article 28 de la directive puissent s’appliquer, en particulier celles relatives à l’obligation de collecter ces données et de les maintenir exactes et complètes au sein d’une base de données prévue à cet effet, la fixation d’une durée de conservation semble opportune.

Le dispositif proposé

Cet article prévoyait initialement que les offices et les bureaux d’enregistrement des noms de domaine conservent les données relatives à chaque nom de domaine dans leur base de données tant que le nom de domaine est utilisé.

Les modifications apportées par le Sénat

Un amendement de Mme Sylvie Robert (Socialiste, Écologiste et Républicain) adopté en séance publique a modifié le délai de conservation des données en étendant celle-ci à la durée d’utilisation du nom de domaine et jusqu’à l’expiration d’un délai d’un an à compter de la cessation de l’utilisation de ce nom de domaine, pour éviter l’acquisition multiple de noms de domaine par un même acteur dans des intervalles de temps réduits.

La position de la commission

La commission spéciale a adopté deux amendements du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff qui visent, en conformité avec la directive, à appliquer aux agents agissant pour le compte des bureaux d’enregistrement les obligations prévues au présent article portant sur la durée de conservation des données relatives à chaque nom de domaine.

*

Article 21

Obligation de publication des données d’enregistrement d’un nom de domaine

➢ Résumé du dispositif et effets principaux

Cet article oblige les offices et les bureaux d’enregistrement à publier sans retard les données d’enregistrement relatives à un nom de domaine qui ne sont pas des données à caractère personnel.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

➢ Modifications apportées par la commission

La commission spéciale a adopté deux amendements qui visent, en conformité avec la directive, à appliquer aux agents agissant pour le compte des bureaux d’enregistrement l’obligation de publication des données d’enregistrement qui n’ont pas de caractère personnel prévue au présent article .

L’état du droit

Le paragraphe 4 de l’article 28 de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2, prévoit que les États membres exigent que les registres des noms de domaine de premier niveau et les entités fournissant des services d’enregistrement de noms de domaine rendent publiques, sans retard injustifié après l’enregistrement d’un nom de domaine, les données d’enregistrement du nom de domaine qui ne sont pas des données à caractère personnel.

Le dispositif proposé

Cet article transpose les stipulations du paragraphe 4 de l’article 28 de la directive en prévoyant que les offices et bureaux d’enregistrement rendent publiques, sans retard injustifié après l’enregistrement d’un nom de domaine, les données d’enregistrement relatives à ce nom de domaine dès lors qu’elles n’ont pas de caractère personnel. Il reprend donc quasiment mot à mot le paragraphe 4 de l’article 28 de la directive.

Les modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

La position de la commission

La commission a adopté deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff qui visent, en conformité avec la directive, à appliquer aux agents agissant pour le compte des bureaux d’enregistrement l’obligation de publication des données d’enregistrement qui n’ont pas de caractère personnel prévue à l’article 21 du projet de loi.

*

Article 22

Obligation de communiquer les données collectées par les offices et les bureaux d’enregistrement à l’autorité judiciaire et à l’ANSSI pour les besoins des procédures pénales ou de la sécurité des systèmes d’information

➢ Résumé du dispositif et effets principaux

Cet article prévoit que les offices et les bureaux d’enregistrement devront mettre en place des procédures permettant aux services de l’État d’accéder aux données collectées relatives aux noms de domaine, à leur demande, dans un délai maximal de 72 heures.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

➢ Modifications apportées par la commission

La commission a adopté plusieurs amendements visant à :

– appliquer aux agents agissant pour le compte des bureaux d’enregistrement les obligations prévues au présent article , portant sur la communication des données relatives aux noms de domaine aux agents habilités à cet effet par l’autorité judiciaire ;

– préciser que, dans le cadre d’infractions au droit de la propriété intellectuelle, deux catégories d’agents doivent être spécialement habilités pour solliciter un accès aux données d’enregistrement des noms de domaines, en plus de ceux figurant déjà à l’article 22 : les agents assermentés et les commissaires de justice.

L’état du droit

Le paragraphe 5 de l’article 28 de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2, prévoit que les États membres imposent aux registres des noms de domaine de premier niveau et aux entités fournissant des services d’enregistrement de noms de domaine de donner accès aux données spécifiques d’enregistrement de noms de domaine sur demande légitime et dûment motivée des demandeurs d’accès légitimes, dans le respect du droit de l’Union en matière de protection des données.

En outre, il prévoit que les États membres exigent que les registres des noms de domaine de premier niveau et les entités fournissant des services d’enregistrement de noms de domaine répondent sans retard injustifié et en tout état de cause dans un délai de 72 heures après réception de toute demande d’accès.

Enfin, les États membres imposent que les politiques et procédures de divulgation de ces données soient rendues publiques.

Le dispositif proposé

Le premier alinéa prévoit que les agents habilités à cet effet par l’autorité judiciaire ou par l’ANSSI peuvent obtenir des offices et bureaux d’enregistrement les données mentionnées à l’article 20 pour les besoins des procédures pénales et de la sécurité des systèmes d’information.

En outre, l’alinéa 2 prévoit que les offices et les bureaux d’enregistrement fixent les règles de procédure pour la communication de ces données, qui doit intervenir dans un délai n’excédant pas 72 heures. Ces règles sont accessibles au public.

Enfin, un décret en Conseil d’État, pris après avis de la CNIL, fixera les modalités d’application de l’article (alinéa 3).

Les modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

La position de la commission

Outre trois amendements rédactionnels de la rapporteure Anne Le Hénanff, la commission spéciale a adopté trois amendements :

– deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff qui appliquent aux agents agissant pour le compte des bureaux d’enregistrement les obligations prévues à l’article 22 du projet de loi, portant sur la communication des données relatives aux noms de domaine aux agents habilités à cet effet par l’autorité judiciaire ;

– un amendement de M. Denis Masséglia qui précise que, dans le cadre d’infractions au droit de la propriété intellectuelle, deux catégories d’agents doivent être spécialement habilités pour solliciter un accès aux données d’enregistrement des noms de domaines, en plus de ceux figurant déjà à l’article 22 : les agents assermentés mentionnés à l’article L. 331.2 du code de la propriété intellectuelle, c’est-à-dire des agents d’organismes autorisés par la loi à dresser des procès-verbaux constatant des faits susceptibles d’une qualification pénale au titre de leur mission de lutte contre la contrefaçon, et les commissaires de justice de l’article 1er de l’ordonnance 2016-728 du 2 juin 2016 modifiée par la loi n° 2023-1059 du 20 novembre 2023, c’est-à-dire des auxiliaires de justice qualifiés par la loi à dresser ces mêmes procès-verbaux, dans le cas présent, en matière d’atteinte aux droits de la propriété intellectuelle. La finalité de cet amendement est de combattre les utilisations abusives du système d’enregistrement de noms de domaine pour mener des activités illégales et préjudiciables.

*

Section 4 Coopération et échanges d’informations

Article 23

Dérogation aux secrets protégés par la loi pour la communication d’informations en matière de cybersécurité entre l’ANSSI et ses interlocuteurs

➢ Résumé du dispositif et effets principaux

Cet article déroge aux secrets protégés par la loi et au secret de l’instruction pour la communication d’informations en matière de cybersécurité entre l’ANSSI et plusieurs de ses interlocuteurs.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a adopté deux amendements identiques prévoyant que la communication d’informations ne peut intervenir que si elle est nécessaire à l’accomplissement des missions des personnes émettrices ou destinataires de ces informations. En outre, les informations échangées doivent se limiter au strict nécessaire et doivent être proportionnées à l’objectif du partage ; ce qui était, du reste, prévu par la directive. Enfin, le partage des informations doit préserver la confidentialité des informations en question et protéger la sécurité et les intérêts commerciaux des entités concernées.

➢ Modifications apportées par la commission

Outre un amendement rédactionnel, la commission spéciale a adopté un amendement destiné à éviter l’introduction de la notion d’intérêts commerciaux dans la loi.

L’état du droit

Le paragraphe 13 de l’article 2 de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2, prévoit que sans préjudice de l’article 346 du Traité sur le fonctionnement de l’Union européenne, les informations considérées comme confidentielles en application de la réglementation de l’Union ou nationale, telle que les règles applicables au secret des affaires, ne peuvent faire l’objet d’un échange avec la Commission européenne et d’autres autorités concernées conformément à la directive que si cet échange est nécessaire à l’application de la présente directive.

Les informations échangées se limitent au minimum nécessaire et sont proportionnées à l’objectif de cet échange. Cet échange d’informations préserve la confidentialité des informations concernées et protège la sécurité et les intérêts commerciaux des entités concernées. Ainsi, ces informations confidentielles peuvent faire l’objet d’échanges pour permettre l’application de la directive mais à la condition de les limiter au strict nécessaire et que ce partage soit proportionné à l’objectif de l’échange.

En outre, le paragraphe 11 de l’article 2 de la directive prévoit que les obligations énoncées dans la directive n’impliquent pas la fourniture d’informations dont la divulgation serait contraire aux intérêts essentiels des États membres en matière de sécurité nationale, de sécurité publique ou de défense.

Le dispositif proposé

Cet article transpose les stipulations des paragraphes 11 et 13 de l’article 2 de la directive. Celui-ci vise :

– à définir un cadre en matière de coopération et d’échange d’informations en matière de cybersécurité ;

– à déroger, dans cette perspective, aux secrets protégés par la loi et au secret de l’instruction ;

– et, dans le même temps, à apporter des garanties suffisantes à la sécurité nationale, la sécurité publique ou la défense nationale.

Ainsi, le premier alinéa prévoit que les dispositions de l’article 11 du code de procédure pénale ou celles relatives aux autres secrets protégés par la loi ne font pas obstacle à la communication d’informations dont ils disposent aux fins de l’accomplissement de leurs missions respectives, à l’exception des informations dont la communication porterait atteinte à la sécurité publique, à la défense et la sécurité nationale ou à la conduite des relations internationales, entre, d’une part, l’ANSSI, et, d’autre part, la CNIL ou les autorités compétentes chargées de la gestion des risques en matière de cybersécurité en vertu d’un acte sectoriel de l’Union européenne ou les autorités chargées de la conduite de la politique pénale, de l’action publique et de l’instruction ou la Commission européenne ou les autorités compétentes des autres États membres de l’Union européenne ou des CSIRT ou des organismes internationaux concourant aux missions de sécurité ou de défense des systèmes d’information.

Par conséquent, l’échange d’informations exclut directement la communication d’informations couvertes par le secret de la défense nationale. En revanche, les informations relevant du secret des affaires peuvent être communiquées, tout comme les données à caractère personnel au sens du règlement général sur la protection des données.

Les modalités d’application de l’article, notamment celles relatives au partage d’informations, sont déterminées par un décret en Conseil d’État (alinéa 3).

Les modifications apportées par le Sénat

Le Sénat a adopté deux amendements identiques en commission à l’initiative de Mme Morin-Desailly et de Mme Paoli-Gagin. Ces amendements prévoient que la communication d’informations ne peut intervenir que si elle est nécessaire à l’accomplissement des missions des personnes émettrices ou destinataires de ces informations. En outre, les informations échangées doivent se limiter au strict nécessaire et doivent être proportionnées à l’objectif du partage ; ce qui était, du reste, prévu par la directive. Enfin, le partage des informations doit préserver la confidentialité des informations en question et protéger la sécurité et les intérêts commerciaux des entités concernées.

La position de la commission

La commission spéciale a adopté deux amendements de la rapporteure Anne Le Hénanff : un amendement rédactionnel et un amendement destiné à éviter l’introduction de la notion d’intérêts commerciaux dans la loi, notion dont les contours ne sont pas déterminés en droit français, lequel connaît en revanche celle de secret des affaires. L’objectif de cet amendement est que le partage d’information puisse avoir lieu entre les autorités compétentes dans la mesure nécessaire à l’exercice des missions qui leur sont confiées par les textes, les garanties de confidentialité et de partage limité à ce qui est justifié figurent dans le texte et sont de nature à répondre aux prescriptions de la directive NIS 2.

*

Article 24

Agrément par l’ANSSI d’organismes publics ou privés en tant que relais dans la prévention et la gestion des incidents cyber

➢ Résumé du dispositif et effets principaux

Cet article permet à l’ANSSI d’agréer des organismes publics ou privés en tant que relais de son action dans la prévention et la gestion des incidents de cybersécurité.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

➢ Modifications apportées par la commission

La commission a adopté un amendement rédactionnel.

L’état du droit

L’article 24 du projet de loi ne transpose pas directement un article de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2, mais participe de l’effort de structuration du réseau des CSIRT et CERT placés sous l’autorité de l’ANSSI.

Le dispositif proposé

L’article 24 du projet de loi prévoit que l’ANSSI agrée des organismes publics ou privés en tant que relais dans la prévention et la gestion des incidents de cybersécurité. S’agissant des relais privés, c’est déjà le cas depuis longtemps : l’ANSSI agrée des prestataires de réponse à incidents (PRIS) qui interviennent pour rétablir les systèmes d’informations d’acteurs publics ou privés victimes de cyberattaques.

Par ailleurs, il prévoit que l’ANSSI et les organismes qu’elle agrée peuvent échanger entre eux des informations couvertes par des secrets protégés par la loi.

Les modalités d’application de cet article seront précisées par un décret en Conseil d’État.

Les modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

La position de la commission

La commission spéciale a adopté un amendement rédactionnel de la rapporteure Anne Le Hénanff.

*

Chapitre III De la supervision

Article 25

Prescription par l’ANSSI de mesures nécessaires en cas de cybermenaces

➢ Résumé du dispositif et effets principaux

Cet article autorise l’ANSSI à prescrire des mesures à diverses entités lorsqu’elle aura connaissance d’une menace susceptible de porter atteinte à la sécurité de leurs systèmes d’information.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a adopté un amendement rédactionnel.

➢ Modifications apportées par la commission

La commission a adopté des amendements étendant aux agents agissant pour le compte des bureaux d’enregistrement les dispositions de l’article 25, en cohérence avec l’intégration des bureaux d’enregistrement au sein de cet article.

L’état du droit

L’article 21 de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2, prévoit que les États membres veillent à ce que les entités essentielles et importantes prennent les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information que ces entités utilisent dans le cadre de leurs activités ou de la fourniture de leurs services, ainsi que pour éliminer ou réduire les conséquences que les incidents ont sur les destinataires de leurs services et sur d’autres services.

Le dispositif proposé

Si la transposition de l’article 21 de la directive NIS 2 est assurée par l’article 14 du projet de loi, le présent article confère également à l’ANSSI des pouvoirs lorsqu’elle a connaissance d’une menace susceptible de porter atteinte aux entités régulées au titre de la directive.

En effet, lorsque l’ANSSI aura connaissance d’une menace susceptible de porter atteinte à la sécurité des systèmes d’information des entités mentionnées à l’article 14 et des bureaux d’enregistrement, elle pourra prescrire à la personne ou au bureau d’enregistrement concerné les mesures nécessaires pour éviter un incident ou y remédier et déterminer les délais accordés pour les mettre en œuvre et en rendre compte (premier alinéa).

En outre, un décret en Conseil d’État précisera les modalités d’application de l’article (alinéa 2).

Les modifications apportées par le Sénat

Le Sénat a adopté un amendement rédactionnel à l’initiative des rapporteurs complétant l’alinéa 1er de l’article en insérant les mots « pour éviter un incident ou y remédier et déterminer les délais accordés pour les mettre en œuvre et en rendre compte » après les mots « mesures nécessaires ».

La position de la commission

La commission a adopté deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff qui visent à étendre aux agents agissant pour le compte des bureaux d’enregistrement les dispositions de l’article 25, en cohérence avec l’intégration des bureaux d’enregistrement au sein de cet article. Cette intégration se justifie par les besoins opérationnels de l’ANSSI pour éviter ou remédier à un incident.

*

Section 1 Recherche et constatation des manquements
Article 26 A (art. L. 103 du code des postes et des communications électroniques) Services de coffre-fort numérique

➢ Résumé du dispositif et effets principaux

Cet article complète l’avant-dernier alinéa de l’article L. 103 du code des postes et des communications électroniques (CPCE) en substituant à la mention « établie selon un » la mention « lorsqu’il répond aux prescriptions d’un ». Cet article ne transpose pas un article de la directive dite NIS 2.

➢ Dernières modifications législatives intervenues

L’article L. 103 du CPCE est entré en vigueur le 6 octobre 2017. Il a été modifié par l’article 14 de l’ordonnance n° 2018-1125 du 12 décembre 2018 prise en application de l’article 32 de la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles et portant modification de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et diverses dispositions concernant la protection des données à caractère personnel qui a remplacé à l’alinéa 4 de l’article les mots « accord exprès » par le mot « consentement ».

➢ Modifications apportées par le Sénat

Cet article a été introduit en commission par un amendement des rapporteurs MM. Patrick Chaize, Hugues Saury et Michel Canévet.

➢ Modifications apportées par la commission

La commission spéciale a supprimé la certification par l’ANSSI des services de coffre-fort numérique.

L’état du droit

L’article L. 103 du CPCE a trait aux services de coffre-fort numérique. Il correspond à un service en ligne permettant de stocker de manière dématérialisée et de protéger tous les documents importants d’une entreprise et de ses salariés. Seules les personnes disposant des codes d’accès peuvent ajouter, supprimer, consulter ou modifier un document stocké dans ce coffre-fort numérique.

En vertu de l’article L. 103, un service de coffre-fort numérique est un service qui a pour objet :

– la réception, le stockage, la suppression et la transmission de données ou documents électroniques dans des conditions permettant de justifier de leur intégrité et de l’exactitude de leur origine ;

– la traçabilité des opérations réalisées sur ces documents ou données et la disponibilité de cette traçabilité pour l’utilisateur ;

– l’identification de l’utilisateur lors de l’accès au service par un moyen d’identification électronique ;

– de garantir l’accès exclusif aux documents électroniques, données de l’utilisateur ou données associées au fonctionnement du service à cet utilisateur, aux tiers autres que le prestataire de service de coffre-fort numérique, explicitement autorisés par l’utilisateur à accéder à ces documents et données et, le cas échéant, au prestataire de service de coffre-fort numérique réalisant un traitement de ces documents ou données au seul bénéfice de l’utilisateur et après avoir recueilli son consentement dans le respect de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

– et de donner la possibilité à l’utilisateur de récupérer les documents et les données stockées dans un standard ouvert aisément réutilisable et exploitable par un système de traitement automatisé de données, sauf dans le cas des documents initialement déposés dans un format non ouvert ou non aisément réutilisable qui peuvent être restitués dans leur format d’origine, dans des conditions définies par décret.

Ce service de coffre-fort numérique peut bénéficier d’une certification établie selon un cahier des charges proposé par l’ANSSI après avis de la CNIL et approuvé par arrêté du ministre chargé du numérique.

Le dispositif proposé

L’article 26 A complète l’avant-dernier alinéa de l’article L. 103 du CPCE en substituant à la mention « établie selon un » la mention « lorsqu’il répond aux prescriptions d’un ». Cet article ne transpose pas un article de la directive dite NIS 2.

Les modifications apportées par le Sénat

Le Sénat a introduit cet article par voie d’amendement des rapporteurs. Il s’agit d’un amendement de coordination.

La position de la commission

La commission a adopté deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff qui suppriment la certification par l’ANSSI des services de coffre-fort numérique, pour trois raisons :

– les dispositions prévues aux 1° à 5° de l’article L. 103 du CPCE permettent de garantir un niveau de sécurité minimal, jugé suffisant par l’ANSSI, pour les services de coffre-fort numérique s’accompagnant d’un régime de sanction porté par l’article L. 122-22 du code de la consommation ;

– la certification de ces services de coffre-fort numérique, introduite à l’avant-dernier alinéa de l’article L. 103 du CPCE, n’est pas obligatoire pour les fournisseurs de tels services. Par ailleurs, aucun cas d’usage nécessitant le recours à un service de coffre-fort numérique certifié n’est identifié. Par conséquent, aucun autre cadre légal ou règlementaire ne prévoit d’imposer le recours à de tels services certifiés ;

– la mise en place d’une telle certification représente un coût aussi bien pour l’administration que pour les fournisseurs de services de coffre-fort numérique qui souhaiteraient bénéficier de cette certification. En effet, c’est l’administration et particulièrement l’ANSSI qui a la responsabilité de mettre en œuvre le schéma lié à la certification des services de coffre-fort numérique et, une fois ce schéma mis en œuvre, de procéder à la certification desdits services. Pour les fournisseurs de ces services, la certification représente un coût significatif lié à la mise en conformité aux exigences prévues par le cahier des charges mentionné par l’avant-dernier alinéa de l’article L. 103 du CPCE d’une part et un coût lié au processus de certification d’autre part.

*

Article 26

Habilitation des agents de plusieurs organismes à rechercher et constater les manquements et infractions en matière de cybersécurité

➢ Résumé du dispositif et effets principaux

Cet article permet aux agents de l’ANSSI, des organismes indépendants et des services de l’État spécialement désignés, de rechercher et constater les manquements à la réglementation et les infractions en matière de cybersécurité.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a adopté plusieurs amendements qui ont :

– supprimé la référence aux infractions pouvant être commises par les personnes contrôlées par l’ANSSI compte tenu de la mise en place du régime d’amendes administratives ;

– clarifié le rôle des agents et personnels des organismes indépendants en matière de recherche des manquements, en limitant les interventions à la recherche des manquements aux obligations qui s’imposent aux personnes contrôlées, sous le contrôle des agents et personnels assermentés de l’ANSSI ou des services de l’État désignés par elle. Ils ne seraient eux-mêmes ni assermentés, ni habilités à constater lesdits manquements ;

– apporté des modifications purement rédactionnelles ;

– précisé que les agents et personnels des organismes indépendants ou experts spécialement habilités par l’ANSSI peuvent concourir à la recherche des manquements mentionnés au premier alinéa de l’article sous le contrôle des agents et personnels mentionnés au même premier alinéa ;

– prévu la supervision de l’activité de certification par des organismes d’évaluation de la conformité en plus de l’ANSSI ;

– précisé que la recherche de manquements peut être effectuée par des experts qui ne seront ni des contrôleurs au sens du premier alinéa de l’article, ni des organismes indépendants.

➢ Modifications apportées par la commission

La commission spéciale a adopté plusieurs amendements visant principalement à :

– tirer les conséquences de l’abrogation de la certification des services de coffre-fort numérique à l’article 26 A du projet de loi en supprimant corrélativement la compétence de l’ANSSI pour contrôler le respect de cette certification ;

– soumettre au contrôle de l’ANSSI les OIV qui ne sont pas déjà soumis à son contrôle en tant qu’entité essentielle ou importante ;

– appliquer le règlement UE n°2024/2847 dit CRA (Cyber Resilience Act) qui impose des exigences de cybersécurité aux fournisseurs de produits numériques accessibles sur le marché unique.

L’état du droit

Pour contrôler l’application des nouvelles obligations incombant aux entités contrôlées en matière de cybersécurité, l’ANSSI s’est vue attribuer des missions supplémentaires depuis sa création en 2009.

En premier lieu, pour l’application du règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE, dit eIDAS, l’ANSSI assure un triple rôle :

– de certification, d’une part, de la conformité des moyens d’identification électronique aux exigences du cahier des charges, qu’elle établit, et d’autre part, de la délivrance d’une certification attestant du niveau de garantie aux prestataires fournissant un moyen d’identification électronique autre que présumé fiable ;

– de publication sur son site internet des décisions de certification en cours de validité ;

– et de contrôle, soit par ses propres moyens, soit par le biais d’un prestataire de confiance.

Par ailleurs, l’ANSSI est, en application du Cyber Security Act (CSA) de 2019, l’autorité nationale en matière de certification.

Le dispositif proposé

Le premier alinéa habilite les agents et personnes spécialement désignés et assermentés à cet effet, de l’ANSSI et des organismes indépendants ou services de l’État qu’elle désigne, à rechercher et à constater les manquements et infractions aux obligations prévues par :

– le règlement eIDAS de 2014 (alinéa 2);

– le règlement CSA de 2019 (alinéa 3) ;

– les chapitres II et III du titre II du projet de loi, respectivement consacrés à la cyber-résilience et à la supervision (alinéa 4) ;

– les articles L. 100, L. 102 et L. 103 du code des postes et des communications électroniques (CPCE) relatifs aux envois recommandés électroniques et aux services de coffre-fort numérique (alinéa 5) ;

– les exigences de cybersécurité résultants des autorisations, certifications, qualifications et agréments que l’ANSSI délivre (alinéa 6).

Les modifications apportées par le Sénat

Le Sénat a adopté un amendement des rapporteurs en commission qui a procédé à plusieurs modifications :

– il a supprimé la référence aux infractions pouvant être commises par les personnes contrôlées par l’ANSSI compte tenu de la mise en place du régime d’amendes administratives (alinéa 1er) ;

– il a clarifié le rôle des agents et personnels des organismes indépendants en matière de recherche des manquements, en limitant les interventions à la recherche des manquements aux obligations qui s’imposent aux personnes contrôlées, sous le contrôle des agents et personnels assermentés de l’ANSSI ou des services de l’État désignés par elle. Ils ne seraient eux-mêmes ni assermentés, ni habilités à constater lesdits manquements (alinéa 6) ;

– il a apporté des modifications purement rédactionnelles (alinéa 5).

En outre, le Sénat a adopté un amendement à l’initiative du gouvernement en séance publique, qui a reçu un avis favorable de la commission, précisant la rédaction en :

– prévoyant la supervision de l’activité de certification par des organismes d’évaluation de la conformité en plus de l’ANSSI (alinéa 6) ;

– et en précisant que la recherche de manquements peut être effectuée par des experts (par exemple des expertises d’autorités de supervision d’États de l’Union européenne dans le cadre d’enquêtes transfrontalières, de consultants indépendants ou d’agents de l’État dont l’expertise pointue et temporaire pourrait être utile sans pour autant qu’il ne soit nécessaire de les désigner et de les faire assermenter) qui ne seront ni des contrôleurs au sens du premier alinéa de l’article, ni des organismes indépendants (alinéa 7).

La position de la commission

Outre un amendement rédactionnel de la rapporteure Anne Le Hénanff, la commission spéciale a adopté six amendements :

– deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff tirant les conséquences de l’abrogation de la certification des services de coffre-fort numérique à l’article 26 A du projet de loi en supprimant corrélativement la compétence de l’ANSSI pour contrôler le respect de cette certification ;

– deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff permettant de soumettre au contrôle de l’ANSSI les OIV qui ne sont pas déjà soumis à son contrôle en tant qu’entité essentielle ou importante. En effet, la rédaction initiale de l’article ne couvrait que les OIV des secteurs prévus par les directives NIS 2 et REC soumis au contrôle en vertu des chapitres II et III du projet de loi alors que les OIV hors du champ des directives relèvent uniquement de l’article L. 1332-11 du code de la défense portant les obligations qui leur sont applicables ;

– deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff qui ont pour objectif d’appliquer le règlement UE n°2024/2847 dit CRA (Cyber Resilience Act) visant à imposer des exigences de cybersécurité aux fournisseurs de produits numériques accessibles sur le marché unique, qui entrera prochainement en vigueur en droit national.

*

Article 27

Droits et obligations des agents chargés d’un contrôle de l’ANSSI et de la personne contrôlée

➢ Résumé du dispositif et effets principaux

Cet article oblige les personnes faisant l’objet d’un contrôle de l’ANSSI à mettre à disposition des agents ou personnels chargés du contrôle les moyens nécessaires pour effectuer les vérifications sur pièces et sur place et évaluer leur conformité aux exigences et le respect des obligations qui leur incombent.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a adopté deux amendements rédactionnels.

➢ Modifications apportées par la commission

La commission a adopté plusieurs amendements visant à :

– introduire un critère de nécessité pour apprécier la légalité des demandes aux systèmes d’information, logiciels, programmes informatiques et données stockées appartenant aux entités contrôlées dans le cadre d’un contrôle diligenté par l’ANSSI ;

– supprimer la mention « , qui doit comporter les questions auxquelles il est répondu » de l’alinéa 6 ;

– compléter les prérogatives des agents en charge des contrôles des entités assujetties en ouvrant la possibilité de prélever des échantillons de produits.

L’état du droit

En application de l’article 8 de la loi n° 2018-133 du 26 février 2018 portant diverses dispositions d’adaptation au droit de l’Union européenne dans le domaine de la sécurité, les opérateurs de services essentiels (OSE) peuvent être soumis par le premier ministre à des contrôles destinés à vérifier le respecte de leurs obligations en matière de sécurité des réseaux et systèmes d’information ainsi que le niveau de sécurité des réseaux et systèmes d’information nécessaires à la fourniture de services essentiels. Dans ce cadre, les OSE sont tenus de communiquer à l’ANSSI les informations et éléments nécessaires à la réalisation de ce contrôle.

En cas de manquement constaté à l’occasion d’un contrôle, l’ANSSI peut mettre en demeure les dirigeants de l’OSE concerné de se conformer aux obligations qui lui incombent. Le fait, pour les dirigeants d’un OSE, de ne pas se conformer aux règles de sécurité qui s’imposent à eux à l’issue du délai fixé par la mise en demeure est puni de 100 000 euros d’amende en application de l’article 9 de la loi précitée. Ils encourent par ailleurs une amende de 125 000 euros s’ils font obstacle aux opérations de contrôle.

Par ailleurs, en vertu de l’article 22 de la loi n° 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019 et portant diverses dispositions concernant la défense et la sécurité nationale, le premier ministre peut demander à l’ANSSI, à des services de l’État désignés par lui ou à des prestataires de service qualifiés de soumettre les opérateurs d’importance vitale (OIV) à des contrôles destinés à vérifier le niveau de sécurité et le respect des règles de sécurité nécessaires à la protection des systèmes d’information.

Le fait, pour les dirigeants d’un OIV, de ne pas satisfaire à leurs obligations en la matière est puni d’une amende de 150 000 euros après mise en demeure, en applications de l’article L. 1332-7 du code de la défense.

Néanmoins, qu’il s’agisse des OSE ou des OIV, il n’existe aucune disposition législative ou réglementaire qui détermine les prérogatives reconnues aux agents chargés d’effectuer ces contrôles, ni les obligations qui s’imposent à eux.

Le dispositif proposé

Le premier alinéa prévoit que la personne faisant l’objet d’un contrôle de l’ANSSI met à disposition des agents et personnels mentionnés à l’article 26 du projet de loi les moyens nécessaires pour vérifier sur pièces et sur place le respect des obligations mentionnées au même article 26.

Par ailleurs, ces agents et personnels ont accès aux locaux à usage professionnel des entités contrôlées et sont habilités à :

– exiger la communication de tout document nécessaire à l’accomplissement de leur mission, quel qu’en soit le support, et obtenir ou prendre copie de ces documents par tout moyen et sur tout support (alinéa 2) ;

– recueillir, sur convocation, sur place ou sur demande, tout renseignement ou toute justification nécessaire au contrôle (alinéa 3) ;

– accéder aux systèmes d’information, aux logiciels, aux programmes informatiques et aux données stockées et en demander la transcription (alinéa 5) ;

– procéder, sur convocation ou sur place, aux auditions des personnes susceptibles d’apporter des éléments utiles à leurs constatations. Ils en dressent procès-verbal, qui doit comporter les questions auxquelles il est répondu. Les personnes entendues procèdent elles-mêmes à sa lecture, peuvent y faire consigner leurs observations et y apposent leur signature. Si elles déclarent ne pas pouvoir lire, lecture leur en est faite préalablement à la signature. En cas de refus de signer le procès-verbal, mention en est faite sur celui-ci (alinéa 6).

En outre, dans le cadre du contrôle, le secret professionnel ne peut être opposé aux agents et personnels (alinéa 7). Toutefois, ces derniers sont tenus au secret professionnel pour les éléments dont ils ont connaissance en raison de leurs fonctions, sous réserve des éléments utiles à l’établissement des documents nécessaires à l’instruction (alinéa 8).

Les rapports, avis ou autres documents justifiant d’adopter les mesures mentionnées aux articles 28, 29 et 32 du présent projet de loi – c’est-à-dire, respectivement, l’application d’une amende administrative en cas d’obstacle au contrôle, la mise à la charge de la personne contrôlée du coût du contrôle et la mise en œuvre d’une mesure d’exécution -, y compris ceux établis ou recueillis dans le cadre de la recherche de manquement, pourraient être communiquées à la personne contrôlée (alinéa 9).

Enfin, il est dressé procès-verbal des vérifications et visites menées dans le cadre du contrôle, qui fait foi jusqu’à preuve du contraire (alinéa 10).

Les modifications apportées par le Sénat

Le Sénat a adopté deux amendements rédactionnels.

Le premier amendement, adopté en commission à l’initiative des rapporteurs, apporte plusieurs modifications d’ordre légistique pour renforcer la sécurité juridique du dispositif, notamment en ce qui concerne les modalités d’établissement des procès-verbaux d’auditions.

Le second amendement, adopté en séance publique à l’initiative des rapporteurs avec un avis favorable de la commission, a apporté une modification d’ordre légistique à l’alinéa premier.

La position de la commission

La commission spéciale a adopté quatre amendements :

– deux amendements identiques de M. Denis Masséglia, de Mme Sabine Thillaye et de M. Laurent Mazaury qui introduisent un critère de nécessité pour apprécier la légalité des demandes aux systèmes d’information, logiciels, programmes informatiques et données stockées appartenant aux entités contrôlées dans le cadre d’un contrôle diligenté par l’ANSSI ;

– un amendement de la rapporteure Anne Le Hénanff qui supprime la mention « , qui doit comporter les questions auxquelles il est répondu » de l’alinéa 6. En effet, imposer lors d’un contrôle la rédaction des questions auxquelles les entités correspond dans les faits à une exigence prévue dans le cadre des procédures pénales et non en contrôle de nature administrative. Cette exigence est, en outre, source de complexité pour les contrôleurs et pour l’entité contrôlée au regard du déroulement pratique d’un contrôle en matière de système d’informations où les demandes et échanges se succèdent. L’entité peut faire des observations de procès-verbal ;

– et un amendement du rapporteur général Éric Bothorel, qui complète les prérogatives des agents et personnels en charge des contrôles des entités assujetties en ouvrant la possibilité de prélever des échantillons de produits.

*

Article 28

Devoir de coopération de la personne contrôlée et amende administrative en cas d’obstacle à un contrôle

➢ Résumé du dispositif et effets principaux

Cet article oblige les personnes contrôlées par l’ANSSI à coopérer avec elle et à instaurer une amende administrative prononcée en cas d’obstacle au contrôle.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a adopté un amendement afin d’apporter des modifications de nature rédactionnelles et de préciser que le chiffre d’affaires retenu pour la détermination du plafond de l’amende est celui de l’entreprise à laquelle appartient la personne contrôlée.

➢ Modifications apportées par la commission

La commission spéciale a adopté plusieurs amendements visant principalement à distinguer le montant des sanctions en fonction de la qualification de l’entité : 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, hors taxes, de l’exercice précédent pour les entités essentielles, et 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial, hors taxes, de l’exercice précédent pour les entités importantes.

L’état du droit

L’article 34 de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2, prévoit que les États membres veillent à ce que les amendes administratives imposées aux entités essentielles et importantes pour des violations de la directive soient effectives, proportionnées et dissuasives, compte tenu des circonstances de chaque cas.

Si un régime de sanctions pénales existe bien en vertu de l’article 9 de la loi n° 2018-133 du 26 février 2018 portant diverses dispositions d’adaptation au droit de l’Union européenne dans le domaine de la sécurité transposant la directive dite NIS 1 pour les opérateurs de services essentiels (OSE) et de l’article L. 1332-7 du code de la défense pour les opérateurs d’importance vitale (OIV), ce régime de sanctions pénales n’a, dans les faits, jamais été appliqué.

Les paragraphes 2 et 3 de l’article 34 de la directive prévoient ainsi que les États membres veillent à ce que, lorsqu’elles violent l’article 21 ou 23, les entités essentielles soient soumises à des amendes administratives d’un montant maximal s’élevant à au moins 10 millions d’euros ou à au moins 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise à laquelle l’entité essentielle appartient, le montant le plus élevé étant retenu ; les entités importantes sont soumises à des amendes administratives d’un montant maximal s’élevant à au moins 7 millions d’euros ou à au moins 1,4 % du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise à laquelle l’entité importante appartient, le montant le plus élevé étant retenu.

Le dispositif proposé

Le premier alinéa transpose l’article 34 de la directive en obligeant les personnes contrôlées à coopérer avec l’ANSSI. Il habilite également les agents et personnels chargés du contrôle à constater toute action de la part de la personne contrôlée de nature à faire obstacle au contrôle.

En outre, le fait pour la personne contrôlée de faire obstacle aux contrôles, notamment en fournissant des renseignements incomplets ou inexacts ou en communiquant des pièces incomplètes ou dénaturées, est constitutif d’un manquement et puni d’une amende administrative prononcée par la commission des sanctions mentionnée à l’article L. 1332-15 du code de la défense, dont le montant, proportionné à la gravité du manquement, ne peut excéder 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, hors taxes, de l’exercice précédent de l’entreprise à laquelle appartient la personne contrôlée, le montant le plus élevé étant retenu (alinéa 2).

L’alinéa 3 précise que l’ANSSI notifie à la personne contrôlée les griefs constitutifs d’obstacle retenus à son encontre et saisit la commission des sanctions.

Ces dispositions ne s’appliquent ni aux administrations de l’État, ni à ses établissements publics administratifs (alinéa 4). La directive permet en effet à chaque État membre d’établir les règles déterminant si et dans quelle mesure des amendes administratives peuvent être imposées à des entités de l’administration publique.

S’agissant du régime des sanctions, le Conseil d’État considère dans son avis que la possibilité ouverte par la directive d’aménager voire d’exempter les entités administratives des amendes administratives peut être mobilisée à l’égard des administrations de l’État et de ses établissements publics, dans la mesure où le gouvernement dispose à leur égard d’autres moyens que ces amendes pour garantir le respect de leurs obligations. Il estime en revanche qu’il n’en va pas de même des collectivités territoriales et de leurs groupements et établissements, en l’absence de dispositif d’effet équivalent et qu’en conséquence cette exemption ne peut être admise.

Les modifications apportées par le Sénat

Le Sénat a adopté un amendement en commission à l’initiative des rapporteurs afin d’y apporter des modifications de nature rédactionnelles et précisant que le chiffre d’affaires retenu pour la détermination du plafond de l’amende est celui de l’entreprise à laquelle appartient la personne contrôlée, conformément aux prescriptions de la directive, conformément aux stipulations de la directive NIS 2.

La position de la commission

Outre un amendement rédactionnel de la rapporteure Anne Le Hénanff, la commission spéciale a adopté deux amendements identiques de M. Denis Masséglia et de Mme Marina Ferrari, qui distinguent le montant des sanctions en fonction de la qualification de l’entité : 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, hors taxes, de l’exercice précédent pour les entités essentielles, et 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial, hors taxes, de l’exercice précédent pour les entités importantes.

*

Article 29

Forme et prise en charge financière des contrôles

➢ Résumé du dispositif et effets principaux

Cet article prévoit les formes que pourraient revêtir les contrôles de l’ANSSI et à en faire supporter le coût par la personne contrôlée.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a adopté un amendement en commission pour prévoir que la personne faisant l’objet d’un contrôle de l’ANSSI ne soit pas tenue de prendre en charge le coût du contrôle lorsque celui-ci ne révèle aucun manquement aux obligations qui s’imposent à elle.

Par ailleurs, le Sénat a adopté un amendement pour modifier les conditions dans lesquelles le coût des contrôles peut être mis à la charge de l’entité assujettie, dans le but d’éviter toute surtransposition.

➢ Modifications apportées par la commission

La commission a adopté plusieurs amendements visant principalement à prévoir que les entités mentionnées à l’article 14 du projet de loi peuvent choisir les prestataires de services certifiés, qualifiés ou agréés ou organismes indépendants sur la base d’une liste élaborée par l’ANSSI.

L’état du droit

Les articles 32 et 33 de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2, prévoient que les autorités compétentes aient, dans le cadre de leur mission de supervision, le pouvoir de soumettre les entités essentielles (article 32) et importantes (article 33) à :

– des inspections sur place et des contrôles à distance ;

– des audits de sécurité réguliers et ciblés ;

– des scans de sécurité ;

– des demandes d’informations nécessaires à l’évaluation de la situation ;

– des demandes d’accès à des données, à des documents et à toutes informations nécessaires à l’accomplissement de leur mission de supervision ;

– et des demandes de preuves de la mise en œuvre des politiques de cybersécurité.

De plus, les entités essentielles doivent pouvoir être soumises à des audits ad hoc, notamment lorsqu’ils sont justifiés en raison d’un incident important ou d’une violation de la directive par l’entité.

Il est précisé par ailleurs que le coût d’un audit de sécurité ciblé effectué par un organisme indépendant doit être pris en charge par l’entité contrôlée, sauf lorsque l’autorité compétente en décide autrement dans des cas dûment motivés. Aujourd’hui, la loi met déjà le coût du contrôle à la charge de la personne contrôlée dans le cas des contrôles destinés à vérifier le niveau de sécurité des systèmes d’information des opérateurs de services essentiels (OSE) et des opérateurs d’importance vitale (OIV) et le respect des règles de sécurité en la matière.