rapport sur le projet de loi, adopté par le Sénat après engagement de la procédure accélérée, relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (n°1112). — Synthèse, commentaires des articles, personnes auditionnées

Le dispositif proposé

Le premier alinéa prévoit les différentes formes que pourra prendre un contrôle de l’ANSSI, à savoir :

– des inspections sur place et des contrôles à distance (alinéa 2) ;

– des audits de sécurité réguliers et ciblés réalisés par l’ANSSI ou par un organisme indépendant choisi par elle (alinéa 3) ;

– des scans de sécurité (alinéa 5) ;

– et des audits en cas d’incident important ou d’une violation des dispositions de l’article 26 (alinéa 6).

En outre, il était initialement prévu que le coût du contrôle soit pris en charge par la personne contrôlée, « sauf, lorsque, à titre exceptionnel », l’ANSSI en décidait autrement (alinéa 7).

Les modifications apportées par le Sénat

Le Sénat a adopté un amendement en commission à l’initiative des rapporteurs pour prévoir que la personne faisant l’objet d’un contrôle de l’ANSSI ne soit pas tenue de prendre en charge le coût du contrôle lorsque celui-ci ne révèle aucun manquement aux obligations qui s’imposent à elle. La commission a estimé que le choix de faire reposer le coût de ces contrôles sur la personne contrôlée va bien au-delà des prescriptions de la directive, qui ne met à la charge des entités contrôlées que le coût des audits de sécurité ciblés effectués par un organisme indépendant, sauf décision contraire de l’autorité compétente. À l’issue de ses travaux, les rapporteurs ont estimé qu’il était possible de ne faire supporter le coût d’un contrôle par la personne faisant l’objet de ce contrôle que dans le cas où celui-ci révèlerait une infraction ou un manquement aux obligations qui s’imposent à la personne contrôlée.

Par ailleurs, le Sénat a adopté en séance publique un amendement du gouvernement qui a reçu un avis favorable de la commission pour modifier les conditions dans lesquelles le coût des contrôles peut être mis à la charge de l’entité assujettie, dans le but d’éviter toute surtransposition. Le dispositif adopté prévoit que ne puissent être pris en charge par l’entité assujettie aux contrôles que les coûts résultant des audits de sécurité ciblés, conformément aux articles 32 et 33 de la directive NIS 2.

La position de la commission

Outre deux amendements rédactionnels de la rapporteure thématique, la commission a adopté un amendement de la rapporteure Anne Le Hénanff qui prévoit que les entités mentionnées à l’article 14 du projet de loi peuvent choisir les prestataires de services certifiés, qualifiés ou agréés ou organismes indépendants sur la base d’une liste élaborée par l’ANSSI. Cet amendement fait suite à de nombreuses inquiétudes soulevées lors des auditions, notamment s’agissant d’un potentiel risque confit d’intérêt entre l’audité et l’auditeur. Avec une liste de plusieurs prestataires établie par l’ANSSI, l’entité auditée ne sera pas contrainte de se faire auditer par un acteur directement concurrent par exemple.

*

Article 30

Modalités d’application des dispositions relatives aux prérogatives de l’ANSSI en matière de recherche et de constatation des manquements

➢ Résumé du dispositif et effets principaux

Cet article renvoie à un décret en Conseil d’État la détermination des modalités d’application des dispositions relatives aux prérogatives de l’ANSSI en matière de recherche et de constatation des manquements.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

➢ Modifications apportées par la commission

La commission spéciale n’a pas modifié cet article.

Le dispositif proposé

Cet article prévoit que les modalités d’application de la section 1 « Recherche et constatations des manquements » du chapitre III du projet de loi sont fixées par décret en Conseil d’État.

Les modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

La position de la commission

La commission spéciale n’a pas modifié cet article.

*

Section 2 Mesures consécutives aux contrôles

Article 31

Ouverture d’une procédure à l’encontre de la personne contrôlée

➢ Résumé du dispositif et effets principaux

Cet article permet à l’ANSSI d’ouvrir une procédure à l’encontre de la personne contrôlée au vu des résultats du contrôle.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a modifié cet article en introduisant les dispositions de l’article 32 du projet de loi dans le présent article 31 (cf. commentaire de l’article 32).

Par ailleurs, le Sénat a supprimé la possibilité pour l’ANSSI prévue à la fin de l’alinéa 9 de l’article 32 du projet de loi dans sa version initiale de rendre publique la mesure d’exécution adoptée et d’enjoindre à la personne contrôlée de rendre public son manquement.

En outre, le Sénat a modifié l’alinéa 1er de l’article pour permettre l’ouverture d’une procédure à l’encontre de l’entité contrôlée lorsque le contrôle mené révèle des éléments ou des faits éveillant une suspicion de manquement. Les agents chargés de l’instruction devront alors vérifier si le manquement peut ou non être qualifié et déterminer si l’adoption d’une mesure d’exécution est requise ou non dans les circonstances de l’espèce.

➢ Modifications apportées par la commission

La commission a adopté plusieurs amendements visant à clarifier les suites à donner en cas de manquement ou de suspicion de manquement aux obligations prévues par le projet de loi et à préciser que les astreintes sont prononcées par l’ANSSI.

L’état du droit

En application de l’article 8 de la loi n° 2018-133 du 26 février 2018 portant diverses dispositions d’adaptation au droit de l’Union européenne dans le domaine de la sécurité transposant la directive dite NIS 1, lorsqu’un manquement est constaté dans le cadre d’un contrôle d’un opérateur de services essentiels (OSE), l’ANSSI peut mettre en demeure les dirigeants de l’OSE concerné de se conformer aux obligations qui leur incombent dans un délai qu’elle détermine. Le fait, pour un OSE, de ne pas se conformer aux règles de sécurité qui s’imposent à lui à l’issue du délai fixé est puni de 100 000 euros d’amende, en application de l’article 9 de la loi susmentionnée.

S’agissant des OIV, l’article L. 1332-7 du code de la défense prévoit un régime similaire, l’amende étant portée à 150 000 euros les concernant.

Les articles 32 et 33 de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2, prévoient que les États membres veillent à ce que leurs autorités compétentes, lorsqu’elles exercent leurs pouvoirs d’exécutions à l’égard d’entités essentielles (article 32) ou importantes (article 33), aient a minima le pouvoir :

– d’émettre des avertissements concernant les violations de la présente directive par les entités concernées ;

– d’adopter des instructions contraignantes, y compris en ce qui concerne les mesures nécessaires pour éviter un incident ou y remédier, ainsi que les délais pour mettre en œuvre ces mesures et rendre compte de cette mise en œuvre, ou une injonction exigeant des entités concernées qu’elles remédient aux insuffisances constatées ou aux violations de la directive ;

– d’ordonner aux entités concernées de mettre un terme à un comportement qui viole la présente directive et de ne pas le réitérer ;

– d’ordonner aux entités concernées de garantir la conformité de leurs mesures de gestion des risques en matière de cybersécurité avec l’article 21 ou de respecter les obligations d’information énoncées à l’article 23, de manière spécifique et dans un délai déterminé ;

– d’ordonner aux entités concernées d’informer les personnes physiques ou morales à l’égard desquelles elles fournissent des services ou exercent des activités susceptibles d’être affectées par une cybermenace importante de la nature de la menace, ainsi que de toutes mesures préventives ou réparatrices que ces personnes physiques ou morales pourraient prendre en réponse à cette menace ;

– d’ordonner aux entités concernées de mettre en œuvre les recommandations formulées à la suite d’un audit de sécurité dans un délai raisonnable ;

– d’ordonner aux entités concernées de rendre publics les aspects de violations de la présente directive de manière spécifique ;

– et d’imposer ou de demander aux organes compétents ou aux juridictions d’imposer, conformément au droit national, une amende administrative.

S’agissant des entités essentielles, les autorités compétentes doivent également désigner, pour une période déterminée, un responsable du contrôle ayant des tâches bien définies pour superviser le respect, par les entités concernées, des articles 21 et 23 de la directive.

En outre, si les mesures prises sont inefficaces, les États membres veillent à ce que leurs autorités compétentes aient le pouvoir de fixer un délai dans lequel l’entité essentielle est invitée à prendre les mesures nécessaires pour pallier les insuffisances ou satisfaire aux exigences de ces autorités.

Si la mesure demandée n’est pas prise dans le délai imparti, les États membres veillent à ce que leurs autorités compétentes aient le pouvoir de suspendre temporairement ou de demander à un organisme de certification ou d’autorisation ou à une juridiction de suspendre temporairement une certification ou une autorisation concernant tout ou partie des services pertinents fournis ou des activités pertinentes menées par l’entité essentielle.

Enfin, les États membres peuvent imposer des astreintes pour contraindre les entités essentielles et importantes à mettre un terme à une violation de la directive conformément à une décision préalable de l’autorité compétente.

Le dispositif proposé

Le premier alinéa permet à l’ANSSI d’engager une procédure à l’encontre de la personne contrôlée au vu des résultats d’un contrôle en cas de constatation de manquements ou de suspicion de manquements aux obligations mentionnées à l’article 26. Dans ce cas, l’ANSSI notifie son intention à la personne contrôlée.

Les modifications apportées par le Sénat

Le Sénat a modifié cet article en commission à l’initiative des rapporteurs en introduisant les dispositions de l’article 32 du projet de loi dans le présent article 31 (cf. commentaire de l’article 32).

Les alinéas 2 à 11 encadrent la manière dont se déroulerait la procédure ouverte par l’ANSSI à l’encontre de la personne contrôlée au vu des résultats d’un contrôle.

Si l’instruction ne fait pas état de faits justifiant une mesure d’exécution, l’ANSSI clôt la procédure et en informe la personne concernée. Dans le cas contraire, l’ANSSI est habilitée à adopter une mesure d’exécution après avoir mis la personne concernée en mesure de présenter ses observations (alinéa 4). Elle pourrait ainsi :

– prononcer une mise en garde à l’encontre de la personne contrôlée (alinéa 5) ;

– lui enjoindre de prendre les mesures nécessaires pour éviter un incident ou y remédier et définir les délais accordés pour les mettre en œuvre et en rendre compte (alinéa 6) ;

– lui enjoindre de se mettre en conformité avec les obligations qui lui sont applicables dans un délai qu’elle détermine et qui ne peut être inférieur à un mois, sauf en cas de manquement gravé ou répété (alinéa 7) ;

– lui ordonner d’informer les personnes au profit desquelles elle fournit des services ou exerce des activités susceptibles d’être affectées par une cybermenace importante de la nature de cette menace et de toute mesure préventive ou réparatrice qu’elles pourraient prendre pour répondre à cette menace (alinéa 8) ;

– lui enjoindre de mettre en œuvre dans le délai qu’elle fixe les recommandations formulées à la suite d’un audit de sécurité (alinéa 9) ;

La mesure d’exécution pourrait être assortie d’une mesure d’astreinte dont le montant serait plafonné à 5 000 euros par jour de retard (alinéa 10).

L’alinéa 11 organise les modalités de liquidation de l’astreinte.

Par ailleurs, cet amendement a supprimé la possibilité pour l’ANSSI prévue à la fin de l’alinéa 9 de l’article 32 du projet de loi dans sa version initiale de rendre publique la mesure d’exécution adoptée et d’enjoindre à la personne contrôlée de rendre public son manquement. Ainsi, seule la commission des sanctions serait habilitée à décider d’une mesure de publicité de la sanction.

En outre, le Sénat a modifié l’alinéa 1er de l’article en séance publique à l’initiative des rapporteurs pour permettre l’ouverture d’une procédure à l’encontre de l’entité contrôlée lorsque le contrôle mené, sans aboutir à la constatation d’un manquement évident de la part de cette entité, révèle des éléments ou des faits éveillant une suspicion de manquement. Les agents chargés de l’instruction devront alors vérifier si le manquement peut ou non être qualifié et déterminer si l’adoption d’une mesure d’exécution est requise ou non dans les circonstances de l’espèce.

La position de la commission

Outre un amendement de la rapporteure Anne Le Hénanff qui précise que les astreintes sont prononcées par l’ANSSI, la commission a adopté deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff de clarification sur les suites à donner en cas de manquement ou de suspicion de manquement aux obligations prévues par le projet de loi.

En effet, l’article 31 doit prévoir des conditions de déclenchement de la phase d’instruction, compatibles avec la réalité opérationnelle des contrôles. Or, si c’est effectivement le cas lorsque, de manière évidente, les mesures de contrôle ont révélé un manquement, cela doit également être possible lorsque le constat de certains faits sont susceptibles de révéler un manquement qui n’est pas encore qualifié ou pleinement établi au moment de l’ouverture de l’instruction. Dans certaines hypothèses, la qualification d’un manquement nécessitera des mesures d’instructions approfondies assorties de mesures de contrôle complémentaires, le cas échéant. Ainsi, la phase d’instruction permettra la qualification de certains faits au regard des règlementations mentionnées à l’article 26 du projet de loi justement pour déterminer si des manquements peuvent être identifiés.

*

Article 32 (suppression maintenue)

Mesures d’exécution

➢ Résumé du dispositif et effets principaux

Cet article détermine la manière dont pourrait se poursuivre la procédure ouverte par l’ANSSI à l’encontre de la personne contrôlée, et notamment les mesures d’exécution pouvant être mises en œuvre.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a adopté un amendement de suppression de l’article, dont le dispositif a été intégré à l’article 31 du projet de loi par souci de clarté et de lisibilité.

➢ Modifications apportées par la commission

Sans objet.

Le dispositif proposé

Dans sa rédaction initiale, cet article détaillait la manière se déroulerait la procédure ouverte par l’ANSSI à l’encontre de la personne contrôlée au vu des résultats d’un contrôle.

Les modifications apportées par le Sénat

Le Sénat a adopté en commission à l’initiative des rapporteurs un amendement de suppression de l’article, dont le dispositif a été intégré à l’article 31 du projet de loi par souci de clarté et de lisibilité.

La position de la commission

La commission a maintenu la suppression de cet article.

*

Article 33

Saisine par l’ANSSI de la commission des sanctions

➢ Résumé du dispositif et effets principaux

Cet article prévoit la saisine de l’ANSSI de la commission des sanctions en cas d’inexécution d’une mesure d’exécution.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a adopté un amendement visant à améliorer la rédaction de l’article, à procéder aux coordinations découlant de l’intégration des dispositions de l’article 32 du projet de loi à l’article 31 et à exclure les avertissements du champ des mesures d’exécution dont la non-application peut entraîner la suspension d’une certification ou d’une autorisation par l’ANSSI.

➢ Modifications apportées par la commission

La commission a adopté plusieurs amendements visant principalement à tirer les conséquences de précédents amendements qui excluent les personnes morales dont les activités sont visées à l’article L. 1332-2 du code de la défense du champ de la directive NIS 2 tout en garantissant leur assujettissement à un niveau d’exigence équivalent en soumettant ces personnes aux mesures consécutives à un contrôle prévues au présent article.

Le dispositif proposé

L’article 33 du projet de loi encadre les modalités de conclusion de la procédure ouverte par l’ANSSI à l’encontre de la personne contrôlée dans le cas où il aurait été décidé d’une mesure d’exécution.

Si l’ANSSI constate qu’il n’y a pas lieu de poursuivre la procédure au motif que la personne concernée a fourni les éléments montrant qu’elle s’est conformée à la mesure d’exécution dans le délai imparti, elle notifie sa décision à ladite personne (premier alinéa).

En revanche, dans le cas où la personne concernée ne se serait pas conformée à l’une des mesures d’exécution prononcées par l’ANSSI, cette dernière lui notifierait les griefs retenus et saisirait la commission des sanctions instituée par l’article 1er du projet de loi (alinéa 2).

Dans le cas où la personne contrôlée serait une entité essentielle et où elle n’apporterait pas la preuve qu’elle s’est mise en conformité avec les mesures d’exécutions édictées par l’ANSSI dans le délai imparti, l’ANSSI pourrait suspendre une certification ou une autorisation concernant tout ou partie des services fournis ou des activités exercées par l’entité jusqu’à ce que celle-ci ait mis un terme au manquement (alinéa 3).

En outre, lorsque cette certification ou cette autorisation a été délivrée par un organisme de certification ou d’autorisation tiers, l’ANSSI pourrait enjoindre à cet organisme de la suspendre jusqu’à ce que l’entité ait mis un terme au manquement.

Les modifications apportées par le Sénat

Le Sénat a adopté un amendement en commission à l’initiative des rapporteurs visant à améliorer la rédaction de l’article, à procéder aux coordinations découlant de l’intégration des dispositions de l’article 32 du projet de loi à l’article 31 et à exclure les avertissements du champ des mesures d’exécution dont la non-application peut entraîner la suspension d’une certification ou d’une autorisation par l’ANSSI.

La position de la commission

Outre un amendement rédactionnel de la rapporteure Anne Le Hénanff, la commission spéciale a adopté deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff qui tirent les conséquences de précédents amendements qui excluent les personnes morales dont les activités relèvent de l’article L. 1332-2 du code de la défense du champ de la directive NIS 2 tout en garantissant leur assujettissement à un niveau d’exigence équivalent en soumettant ces personnes aux mesures consécutives à un contrôle prévues au présent article.

Enfin, ces amendements simplifient la rédaction de l’alinéa 3 de l’article 33 en supprimant la mention des articles 8 à 10.

*

Article 33 bis (nouveau)

Dématérialisation des actes établis par les agents et personnels compétents en matière de cybersécurité

➢ Résumé du dispositif et effets principaux

Cet article prévoit la possibilité d’une procédure dématérialisée pour l’établissement ou la conversion des actes mentionnés dans le titre II du projet de loi. Ces actes sont établis par les agents et personnels mentionnés à l’article 26 du projet de loi.

Avec ce régime de dématérialisation, les actes peuvent être établis ou convertis sous format numérique et peuvent être intégralement conservés sous cette forme, dans des conditions sécurisées, sans nécessité de support papier. Lorsque ces actes sont établis sous format numérique et que les dispositions du présent titre exigent qu’ils soient signés, ils font l’objet, quel qu’en soit le nombre de pages et pour chaque signataire, d’une signature unique sous forme numérique, selon des modalités techniques qui garantissent que l’acte ne peut plus ensuite être modifié. Ces actes n’ont pas à être revêtus d’un sceau.

➢ Dernières modifications législatives intervenues

Sans objet.

1. L’état du droit

Sans objet.

Le dispositif introduit par la commission spéciale

Cet article additionnel a été introduit par l’adoption de deux amendements identiques du rapporteur général Éric Bothorel d’une part et de M. Thiébaut, M. Albertini, Mme Le Hénanff et Mme Saint-Paul d’autre part.

*

Article 34

Modalités d’application des dispositions relatives à la procédure pouvant être engagée par l’ANSSI à l’encontre de la personne contrôlée

➢ Résumé du dispositif et effets principaux

Cet article renvoie à un décret en Conseil d’État la détermination des modalités d’application des dispositions relatives à la procédure pouvant être engagée par l’ANSSI à l’encontre de la personne contrôlée.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

➢ Modifications apportées par la commission

La commission a adopté un amendement rédactionnel.

Le dispositif proposé

L’article 34 prévoit la fixation par un décret en Conseil d’État des modalités d’application de la section 2 du chapitre III du projet de loi, qui détermine le cadre juridique applicable à la procédure pouvant être engagée par l’ANSSI à l’encontre de la personne contrôlée au terme de ce contrôle.

Les modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

La position de la commission

La commission spéciale a adopté un amendement rédactionnel de la rapporteure Anne Le Hénanff.

*

Section 3 Des sanctions

Article 35

Compétence de la commission des sanctions

➢ Résumé du dispositif et effets principaux

Cet article prévoit que la commission des sanctions en matière de cybersécurité placée auprès du Premier ministre prévue à l’article L. 1332-15 du code de la défense est compétente pour statuer sur l’application des chapitres II « De la cyber-résilience » et III « De la supervision » du projet de loi.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a adopté un amendement rédactionnel en commission.

➢ Modifications apportées par la commission

La commission spéciale n’a pas modifié cet article.

L’état du droit

La directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2, ne prévoit pas explicitement la mise en place d’une commission des sanctions. Il s’agit d’une initiative inscrite dans le projet de loi afin de garantir la bonne application des mesures prévues par la directive.

Elle se fonde toutefois sur les stipulations de l’article 36 de la directive qui prévoit que les États membres déterminent le régime des sanctions applicables aux violations des dispositions nationales adoptées conformément à la présente directive et prennent toutes les mesures nécessaires pour assurer la mise en œuvre de ces sanctions. Ainsi, la création de la commission des sanctions constitue une mesure nécessaire pour assurer la mise en œuvre des sanctions prévues par la directive.

Le dispositif proposé

La commission des sanctions, instituée auprès du premier ministre, est créée par l’article 1er du projet de loi, qui introduit un article L. 1332-15 dans le code de la défense à cette fin. L’article 35 du projet de loi prévoit que la commission des sanctions statue sur les manquements constatés aux obligations découlant de l’application des chapitres II et III du titre II du projet de loi, dans les conditions prévues par la section 3 du chapitre III du projet de loi.

Les modifications apportées par le Sénat

Le Sénat a adopté un amendement rédactionnel en commission à l’initiative des rapporteurs précisant au début de l’alinéa premier que la commission des sanctions est saisie par l’ANSSI.

La position de la commission

La commission spéciale n’a pas modifié cet article.

*

Article 36

Composition de la commission des sanctions

➢ Résumé du dispositif et effets principaux

Cet article prévoit la composition de la commission des sanctions lorsqu’elle doit statuer sur l’application des chapitres II « De la cyber-résilience » et III « De la supervision » du projet de loi.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a adopté plusieurs amendements à cet article visant à :

– préciser que la commission des sanctions est saisie par l’ANSSI ;

– prévoir que le premier ministre ne nommait qu’une des trois personnalités qualifiées, les deux autres étant nommées par les présidents des deux assemblées parlementaires ;

– préciser que les personnalités qualifiées membres de la commission des sanctions ne doivent pas avoir exercé de fonctions au sein de l’ANSSI depuis moins de cinq ans ;

– limiter la possibilité de nommer des personnalités qualifiées aux seules personnes qui n’ont pas exercé, au cours des trois années précédant leur nomination, une activité ni au sein de l’une des entités essentielles ou importantes mentionnées aux articles 8 et 9 du projet de loi, ni au sein de l’ANSSI.

➢ Modifications apportées par la commission

La commission a adopté plusieurs amendements qui visent à revenir sur le régime d’incompatibilité adopté par le Sénat consistant à exclure la nomination en tant que personne qualifiée au sein de la commission des sanctions de toute personne ayant exercé au cours des trois années précédentes une activité au sein de l’ANSSI ou au sein d’entités essentielles ou importantes.

L’état du droit

Comme indiqué dans le commentaire de l’article 35 du projet de loi, il n’existe pas actuellement de commission des sanctions dans le domaine de la cybersécurité. Celle-ci est créée par l’article 1er du projet de loi, en application des stipulations de l’article 36 de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2.

Le dispositif proposé

Le présent article prévoyait initialement que lorsque la commission des sanctions serait saisie par l’ANSSI, elle serait composée :

– des personnes mentionnées au 1° de l’article L. 1332-16 du code de la défense, c’est-à-dire d’un membre du Conseil d’État, président de la commission des sanctions, désigné par le vice-président du Conseil d’État, d’un membre de la Cour de cassation désigné par le premier président de la Cour de cassation, et d’un membre de la Cour des comptes désigné par le premier président de la Cour des comptes (alinéa 2) ;

– et de trois personnalités qualifiées, nommées par le premier ministre en raison de leurs compétences dans le domaine de la sécurité de systèmes d’information (alinéa 3).

La composition de la commission des sanctions est donc différente selon qu’elle soit saisie sur le fondement des dispositions du titre Ier ou du titre II du projet de loi. Si elle est toujours composée d’un membre du Conseil d’État, de la Cour de cassation et de la Cour des comptes, les trois personnalités qualifiées sont désignées en raison de leurs compétences dans le domaine de la sécurité :

– des activités d’importance vitale (titre Ier) ;

– des systèmes d’information (titre II).

Les modifications apportées par le Sénat

Le Sénat a adopté quatre amendements à cet article.

En commission, un premier amendement des rapporteurs a été adopté, précisant que la commission des sanctions est saisie par l’ANSSI.

Par ailleurs, un deuxième amendement des rapporteurs a été adopté en commission qui précise que les trois personnalités qualifiées sont nommées respectivement par le Premier ministre, le président de l’Assemblée nationale et le président du Sénat. Ainsi, alors que le premier ministre nommait les trois personnalités qualifiées dans la version initiale du projet de loi, le Sénat a prévu que celui-ci ne nommait qu’une des trois personnalités qualifiées, les deux autres étant nommées par les présidents des deux assemblées parlementaires.

Enfin, un troisième amendement des rapporteurs a été adopté en commission, qui précise que les personnalités qualifiées membres de la commission des sanctions ne doivent pas avoir exercé de fonctions au sein de l’ANSSI depuis moins de cinq ans. L’objectif poursuivi était de prévenir les conflits d’intérêts.

En séance publique, un amendement du gouvernement qui a reçu un avis favorable de la commission a été adopté, qui a limité la possibilité de nommer des personnalités qualifiées aux seules personnes qui n’ont pas exercé, au cours des trois années précédant leur nomination, une activité ni au sein de l’une des entités essentielles ou importantes mentionnées aux articles 8 et 9 du projet de loi, ni au sein de l’ANSSI. L’objectif poursuivi était là encore de prévenir les conflits d’intérêt.

La position de la commission

La commission a adopté trois amendements identiques du rapporteur général Éric Bothorel, de la rapporteure Anne Le Hénanff et de Mme Marina Ferrari qui visent à revenir sur le régime d’incompatibilité adopté par le Sénat consistant à exclure la nomination en tant que personne qualifiée au sein de la commission des sanctions de toute personne ayant exercé au cours des trois années précédentes une activité au sein de l’ANSSI ou au sein d’entités essentielles ou importantes. Cette incompatibilité ne permettrait en effet pas à la commission des sanctions de disposer de personnalités qualifiées sur les questions de cybersécurité.

*

Article 37

Sanctions en cas de manquements aux obligations en matière de cybersécurité

➢ Résumé du dispositif et effets principaux

Cet article transpose les différentes sanctions administratives prévues par la directive dite NIS 2 en cas de méconnaissance des obligations qu’elle impose aux entités régulées.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a apporté plusieurs modifications à cet article visant à :

– restreindre au V la faculté pour la commission des sanctions d’interdire à toute personne physique exerçant les fonctions de dirigeant dans l’entité essentielle d’exercer des responsabilités dirigeantes dans cette entité, jusqu’à ce que l’entité essentielle ait remédié au manquement en indiquant que cette possibilité devait être envisagée en dernier recours et si le manquement persiste après que l’amende administrative a été prononcée ;

– prévoir que la commission des sanctions peut exiger que l’entité qui s’est rendue coupable d’un manquement communique au public, par tout moyen adapté et à ses frais, le manquement constaté (alinéa 14). La commission des sanctions peut d’ailleurs elle-même décider de rendre publique tout ou partie de sa décision si elle estime que cela va dans l’intérêt du public (alinéa 15) ;

– préciser que la commission des sanctions devait prendre en compte les circonstances et la gravité du manquement, le comportement de son auteur, notamment sa bonne foi, ainsi que ses ressources et ses charges lorsqu’elle fait le choix de sanctionner une entité qui s’est rendue coupable d’un manquement (alinéa 16).

➢ Modifications apportées par la commission

La commission spéciale a adopté plusieurs amendements visant principalement à :

– tirer les conséquences d’amendements précédents, en soumettant les personnes morales dont les activités sont visées à l’article L. 1332-2 du code de la défense au dispositif de sanction prévu au présent article ;

– appliquer le règlement CRA visant à imposer des objectifs de cybersécurité aux fournisseurs de produits numériques accessibles sur le marché unique, qui entrera prochainement en vigueur en droit national ;

– conditionner l’interdiction d’exercer des dirigeants des entités essentielles à l’inefficacité des mesures de police administrative mentionnées aux articles 25 et 31 du projet de loi.

L’état du droit

L’article 36 de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2, prévoit que les États membres déterminent le régime des sanctions applicables aux violations des dispositions nationales adoptées conformément à cette directive et prennent toutes les mesures nécessaires pour assurer la mise en œuvre de ces sanctions. Il précise également que les sanctions prévues sont effectives, proportionnées et dissuasives.

Cette mention figure également à l’article 34 de la directive, qui stipule que les États membres veillent à ce que les amendes administratives imposées aux entités essentielles et importantes pour des violations de la directive soient effectives, proportionnées et dissuasives, compte tenu des circonstances de chaque cas. Ce même article définit le montant des amendes encourues par les entités essentielles et importantes. Il précise également que chaque État membre peut établir les règles déterminant si et dans quelle mesure des amendes administratives peuvent être imposées à des entités de l’administration publique.

Le dispositif proposé

Le I du présent article établit les sanctions que la commission des sanctions peut prononcer à l’encontre des entités essentielles, des entités importantes, des offices d’enregistrement et des bureaux d’enregistrement.

S’agissant des entités essentielles et des opérateurs mentionnés à l’article L. 1332-2 du code de la défense, le montant de l’amende administrative ne peut excéder 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial (alinéa 2).

S’agissant des entités importantes, le montant de l’amende administrative ne peut excéder 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial (alinéa 3).

Les administrations de l’État et de ses établissements publics administratifs (EPA), des collectivités territoriales, de leurs groupements et de leurs établissements publics administratifs ne peuvent se voir appliquer les sanctions mentionnées aux alinéas 2 et 3.

S’agissant des offices d’enregistrement et des bureaux d’enregistrement, le montant de l’amende administrative ne peut excéder 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial. Cette amende peut se cumuler avec l’amende prévue pour les entités essentielles à l’encontre d’un office d’enregistrement en cas de manquement aux obligations applicables aux entités essentielles (alinéa 4).

Il s’agit dans l’ensemble d’une transposition fidèle du paragraphe 4 de l’article 34 de la directive NIS 2, avec l’utilisation de l’exemption pour les administrations publiques rendue possible par le paragraphe 7 dudit article 34. Toutefois, ainsi que l’a souligné le Conseil d’État, dans son avis sur le présent projet de loi, cette exemption soulève une difficulté d’ordre constitutionnel. Dans son avis, le Conseil d’État indique que l’exclusion des collectivités territoriales, de leurs groupements et de leurs EPA du champ des entités susceptibles de faire l’objet d’amendes administratives en cas de manquement aux obligations mises à leur charge ne se justifie pas compte tenu de l’objectif poursuivi par le projet de loi, à savoir de faire en sorte que la sécurité et la continuité des activités d’importance vitale pour le pays soient assurées, quel que soit le statut de l’opérateur qui les exerce. Il cite l’exemple de la fourniture d’eau potable, qui peut être assurée par des collectivités territoriales en régie. Le Conseil d’État considère en outre qu’une telle exemption ne serait pas compatible avec les termes de la directive et que, de ce fait, celle-ci méconnaît le principe d’égalité et les objectifs de la directive.

En outre, si les manquements constatés constituent également une violation du règlement général sur la protection des données (RGPD) et ont donné lieu à une amende de la CNIL, la commission des sanctions ne peut prononcer de sanction sous forme d’amende administrative (alinéa 5). Cette disposition constitue une application du principe non bis in idem au terme duquel nul ne peut être poursuivi ou puni pénalement à raison des mêmes faits.

Par ailleurs, le II du présent article prévoit que la commission des sanctions peut prononcer une amende administrative dont le montant ne peut excéder 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial à l’encontre :

– des fournisseurs de moyens d’identification électronique relevant des schémas d’identification électronique notifiés par l’État, des prestataires de services de confiance établis sur le territoire français, des fournisseurs de dispositifs de création de signature et de cachet électronique qualifié que l’autorité nationale de sécurité des systèmes d’information certifie[26] et des organismes d’évaluation de la conformité, à l’exception des administrations de l’État et de leurs établissements publics à caractère administratif, en cas de manquement constaté au règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur (alinéa 7) ;

– et des organismes d’évaluation de la conformité sauf si l’organisme d’évaluation de la conformité est l’autorité nationale de certification de cybersécurité, des titulaires d’une déclaration de conformité aux exigences d’un schéma de certification européen et de cybersécurité, des titulaires d’un agrément, d’une qualification ou d’un certificat dans le domaine de la cybersécurité, en cas de manquement constaté au règlement (UE) n° 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA ou aux exigences mentionnées aux 4° et 5° de l’article 26 de la présente loi (alinéa 8).

Le III prévoit que lorsque la commission des sanctions envisage de prononcer l’amende prévue à l’article 28 du projet de loi à l’encontre de la même personne, le montant cumulé ne peut excéder 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial (alinéa 9).

Le IV prévoit en outre que la commission des sanctions peut prononcer les mesures suivantes à l’encontre des organismes d’évaluation de la conformité et des titulaires d’agréments, de qualifications ou de certificats en matière de cybersécurité :

– l’abrogation d’un agrément, d’une qualification ou d’un certificat (alinéa 11) ;

– et l’abrogation de l’autorisation, de l’agrément ou de l’habilitation délivrés à l’organisme d’évaluation de la conformité, lorsque le manquement n’est pas corrigé dans le délai imparti par l’ANSSI (alinéa 12).

Enfin, le V prévoit que la commission des sanctions peut interdire à toute personne physique exerçant les fonctions de dirigeant dans l’entité essentielle d’exercer des responsabilités dirigeantes dans cette entité, jusqu’à ce que l’entité essentielle ait remédié au manquement. Cette sanction est prévue pour assurer la transposition du b) du paragraphe 5 de l’article 32 de la directive NIS 2. Ces dispositions ne s’appliquent toutefois pas aux administrations (alinéa 13).

Les modifications apportées par le Sénat

Le Sénat a apporté plusieurs modifications à cet article.

Tout d’abord, un premier amendement adopté en commission à l’initiative des rapporteurs a restreint au V la faculté pour la commission des sanctions d’interdire à toute personne physique exerçant les fonctions de dirigeant dans l’entité essentielle d’exercer des responsabilités dirigeantes dans cette entité, jusqu’à ce que l’entité essentielle ait remédié au manquement en indiquant que cette possibilité devait être envisagée en dernier recours et si le manquement persiste après que l’amende administrative a été prononcée.

Par ailleurs, un second amendement des rapporteurs adopté en commission a introduit un VI prévoyant que la commission des sanctions peut exiger que l’entité qui s’est rendue coupable d’un manquement communique au public, par tout moyen adapté et à ses frais, le manquement constaté (alinéa 14). La commission des sanctions peut d’ailleurs elle-même décider de rendre publique tout ou partie de sa décision si elle estime que cela va dans l’intérêt du public (alinéa 15).

En séance publique, trois amendements identiques ont été adoptés, à l’initiative de Mmes Morin-Desailly et Conway-Mouret et de M. Bleunven, créant un VII précisant que la commission des sanctions devait prendre en compte les circonstances et la gravité du manquement, le comportement de son auteur, notamment sa bonne foi, ainsi que ses ressources et ses charges lorsqu’elle fait le choix de sanctionner une entité qui s’est rendue coupable d’un manquement (alinéa 16).

La position de la commission

Outre deux amendements rédactionnels de la rapporteure Anne Le Hénanff, la commission spéciale a adopté huit amendements :

– plusieurs amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff qui tirent les conséquences d’amendements précédents, en soumettant les personnes morales dont les activités sont visées à l’article L. 1332-2 du code de la défense au dispositif de sanction prévu à l’article 37 de la présente loi ;

– deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff qui appliquent le règlement CRA visant à imposer des objectifs de cybersécurité aux fournisseurs de produits numériques accessibles sur le marché unique, qui entrera prochainement en vigueur en droit national ;

– deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff qui conditionnent l’interdiction d’exercer des dirigeants des entités essentielles à l’inefficacité des mesures de police administrative (mesures d’exécution) mentionnées aux articles 25 et 31 du projet de loi, conformément aux articles 32 et 34 de la directive NIS 2.

*

Article 37 bis (nouveau)

Octroi par l’ANSSI aux organismes d’évaluation du pouvoir d’évaluation de la conformité à des exigences de cybersécurité et à la délivrance de certificats de conformité

➢ Résumé du dispositif et effets principaux

Cet article donne une base législative pour permettre à l’ANSSI :

– d’une part, de confier au cas par cas dans les schémas de certification, l’activité de certification à des organismes d’évaluation de la conformité, soit en application du droit de l’Union, en particulier l’article 56.6 du règlement n° 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA et à la certification de cybersécurité des technologies de l’information et des communications, soit pour la certification nationale, par exemple dans le cadre du décret n° 2010-112 du 2 février 2010 en application du référentiel général de sécurité ;

– et d’autre part, de soumettre à autorisation préalable ces organismes dans les cas où les schémas de certification européens ou nationaux le prévoient, afin d’évaluer leur aptitude à procéder à des évaluations et à la certification de la cybersécurité dans des domaines sensibles et présentant une technicité particulière, par exemple pour la qualification SecNumCloud.

➢ Dernières modifications législatives intervenues

Sans objet.

L’état du droit

Sans objet.

Le dispositif introduit par la commission spéciale

Cet article additionnel a été introduit par l’adoption de deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff.

*

Chapitre IV Dispositions diverses d’adaptation

Article 38 (art. 30 et 35 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique) Alléger le contrôle des biens de cryptologie

➢ Résumé du dispositif et effets principaux

Cet article allège le contrôle des moyens et prestations de cryptologie, en particulier en passant d’un dispositif d’autorisation à un régime de déclaration préalable en matière d’exportation.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

➢ Modifications apportées par la commission

La commission a adopté des amendements qui visent à améliorer la lisibilité du dispositif de déclaration des moyens de cryptologie pour les destinataires de l’obligation en permettant de s’appuyer sur le niveau règlementaire pour tenir à jour de manière régulière, en conformité avec les engagements européens en la matière, la liste des moyens et prestations concernés par l’obligation et éviter des formalités inutiles aux entreprises.

L’état du droit

Le titre III de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique, dite LCEN, est consacré à la sécurité dans l’économie numérique. Le chapitre Ier du titre III a trait aux moyens et prestations de cryptologie.

Aux termes du premier alinéa de l’article 29 de la loi LCEN, un moyen de cryptologie correspond à tout matériel ou logiciel conçu ou modifié pour transformer des données, qu’il s’agisse d’informations ou de signaux, à l’aide de conventions secrètes ou pour réaliser l’opération inverse avec ou sans convention secrète. Ces moyens de cryptologie ont principalement pour objet de garantir la sécurité du stockage ou de la transmission de données, en permettant d’assurer leur confidentialité, leur authentification ou le contrôle de leur intégrité.

En outre, le deuxième alinéa de l’article 29 dispose que l’on entend par prestation de cryptologie toute opération visant à la mise en œuvre, pour le compte d’autrui, de moyens de cryptologie.

Par ailleurs, l’article 30 de la loi LCEN dispose que l’utilisation des moyens de cryptologie est libre. La fourniture, le transfert depuis ou vers un État membre de la Communauté européenne, l’importation et l’exportation des moyens de cryptologie assurant exclusivement des fonctions d’authentification ou de contrôle d’intégrité sont libres.

De plus, la fourniture, le transfert depuis un État membre de la Communauté européenne ou l’importation d’un moyen de cryptologie n’assurant pas exclusivement des fonctions d’authentification ou de contrôle d’intégrité sont soumis à une déclaration préalable auprès du premier ministre, sauf dans des cas spécifiques.

Le fournisseur ou la personne procédant au transfert ou à l’importation tiennent à la disposition du premier ministre une description des caractéristiques techniques de ce moyen de cryptologie, ainsi que le code source des logiciels utilisés.

En outre, un décret en Conseil d’État fixe :

– les conditions dans lesquelles sont souscrites ces déclarations, les conditions et les délais dans lesquels le premier ministre peut demander communication des caractéristiques du moyen, ainsi que la nature de ces caractéristiques ;

– les catégories de moyens dont les caractéristiques techniques ou les conditions d’utilisation sont telles que, au regard des intérêts de la défense nationale et de la sécurité intérieure ou extérieure de l’État, leur fourniture, leur transfert depuis un État membre de la Communauté européenne ou leur importation peuvent être dispensés de toute formalité préalable.

Le transfert vers un État membre de la Communauté européenne et l’exportation d’un moyen de cryptologie n’assurant pas exclusivement des fonctions d’authentification ou de contrôle d’intégrité sont soumis à autorisation du Premier ministre, sauf dans des cas spécifiques. Un décret en Conseil d’État fixe :

– les conditions dans lesquelles sont souscrites les demandes d’autorisation ainsi que les délais dans lesquels le premier ministre statue sur ces demandes ;

– et les catégories de moyens dont les caractéristiques techniques ou les conditions d’utilisation sont telles que, au regard des intérêts de la défense nationale et de la sécurité intérieure ou extérieure de l’État, leur transfert vers un État membre de la Communauté européenne ou leur exportation peuvent être soit soumis au régime déclaratif et aux obligations d’information prévus au III, soit dispensés de toute formalité préalable.

Le décret n° 2007-663 du 2 mai 2007 modifié, qui précise les modalités d’application de l’article 30, dispose notamment que c’est à l’ANSSI que les déclarations et demandes d’autorisation d’exportation sont adressées. Il prévoit également que les autorisations d’exportation sont délivrées pour une durée qui ne peut excéder cinq ans et doivent être renouvelées passé ce délai.

Cette réglementation coexiste avec celle relative aux biens à double usage (BDU), à savoir les biens, produits ou technologies essentiellement civils mais sujets au risque de détournement d’usage à des fins militaires prohibées ou de prolifération nucléaire, biologique ou chimique, dont l’exportation est contrôlée. De ce fait, certains moyens de cryptologie sont également soumis à cette réglementation des BDU. Lorsqu’un BDU intègre un dispositif de cryptologie, une autorisation préalable d’exportation de bien de cryptologie délivrée par l’ANSSI est nécessaire, puis une autorisation de licence d’exportation de BDU délivrée par la commission interministérielle des biens à double usage (CIBDU), qui dépend du secrétariat général de la défense et de la sécurité nationale (SGDSN).

À ses articles 32 et 33, la loi LCEN définit également un principe de responsabilité civile pour les prestataires de services de cryptologie au titre des prestations fournies.

Elle définit, à son article 34, les sanctions administratives associées au non-respect de l’article 30 et, à son article 35, les sanctions pénales associées au non-respect des articles 30, 31 et 34.

Le dispositif proposé

L’objectif poursuivi par l’article est d’alléger la charge pour les entreprises et l’administration.

Le 1° du présent article (alinéa 2 à 8) procède à une réécriture en profondeur de l’article 30 de la loi LCEN

Le I de l’article 30 demeure inchangé et prévoit toujours que l’utilisation des moyens de cryptologie est libre.

Au II de l’article 30, la seule modification opérée est la substitution de la mention « Communauté européenne » par la mention « Union européenne ».

Le III prévoit désormais que la fourniture, le transfert depuis ou vers un État membre de l’Union européenne, l’importation et l’exportation d’un moyen de cryptologie n’assurant pas exclusivement des fonctions d’authentification ou de contrôle d’intégrité sont soumis à une déclaration préalable auprès du premier ministre, sans préjudice des exigences applicables aux BDU intégrant un moyen de cryptologie.

Cette disposition fait donc passer d’un régime d’autorisation à un régime de déclaration préalable l’exportation de moyens de cryptologie. Cette évolution s’inscrit dans un objectif de simplification, notamment vis-à-vis de l’administration qui voit ainsi sa charge diminuée tout en maintenant un dispositif de contrôle et de recueil d’informations techniques sur les moyens de cryptologie.

En outre, l’obligation faite au fournisseur ou à la personne procédant au transfert ou à l’importation de tenir à la disposition du premier ministre une description des caractéristiques techniques du moyen de cryptologie, ainsi que le code source des logiciels utilisés, est retirée.

De plus, les dispositions du III ainsi modifié s’appliquent sans préjudice des exigences applicables aux BDU intégrant un moyen de cryptologie.

En conséquence le IV, qui prévoyait le régime d’autorisation, est abrogé.

Par ailleurs, le 2° de l’article (alinéa 8) abroge l’article 33 de la loi LCEN, devenu obsolète. Cet article 33 prévoyait un régime de responsabilité civile des prestataires de services de certification électronique. Or, les principes énoncés dans cet article étaient devenus obsolètes et en partie incohérents avec les dispositions prévues à l’article 13 du règlement européen 910/2014 dit eIDAS. L’abrogation de l’article 33 constitue donc une mesure de simplification et de clarification juridique.

Enfin, le 3° de l’article (alinéas 10 et 11) réécrit le I de l’article 35 de la loi LCEN en punissant d’une peine d’an de prison et de 15 000 euros d’amende le fait de ne pas satisfaire à l’obligation prévue à l’article 30 de ladite loi en cas de fourniture, de transfert depuis ou vers un État membre de l’Union européenne, d’importation ou d’exportation d’un moyen de cryptologie. Cette modification a pour effet de faire disparaître la sanction qui était prévue en cas d’exportation d’un moyen de cryptologie ou son transfert vers un État membre de l’Union européenne sans autorisation préalable lorsqu’une telle autorisation est exigée.

Les modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

La position de la commission

La commission a adopté deux amendements identiques du rapporteur général et de la rapporteure Anne Le Hénanff qui visent à améliorer la lisibilité du dispositif de déclaration des moyens de cryptologie pour les destinataires de l’obligation en permettant de s’appuyer sur le niveau règlementaire pour tenir à jour de manière régulière, en conformité avec les engagements européens en la matière, la liste des moyens et prestations concernés par l’obligation et éviter des formalités inutiles aux entreprises.

*

Article 39

(art. L. 2321-2-1 et L. 2321-3 du code de la défense, art. L. 33-1, L. 45, L. 45-3, L. 45-4, L. 45-5 et L. 45-8 du code des postes et des communications électroniques, titre Ier de la loi n° 2018-133 du 26 février 2018 portant diverses dispositions d’adaptation au droit de l’Union européenne dans le domaine de la sécurité [supprimés], art. 1er, 9, 12 et 14 de l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives)

Abrogation de la transposition de la directive NIS 1 et

simplification du cadre réglementaire

➢ Résumé du dispositif et effets principaux

Cet article abroge la transposition de la directive dite NIS 1 et à procéder à une simplification du cadre réglementaire, pour tenir compte de la transposition de la directive NIS 2 assurée par le présent projet de loi.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a adopté un amendement rédactionnel.

➢ Modifications apportées par la commission

La commission a adopté plusieurs amendements visant à :

– définir les agents agissant pour le compte des bureaux d’enregistrement ;

– tenir compte de l’abrogation des articles 9 et 12 de l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives.

L’état du droit

La transposition de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite directive NIS 2, rend caduques toute une série de dispositions législatives. Parmi les dispositions législatives concernées, figurent :

– le titre Ier de la loi n° 2018-133 du 26 février 2018, qui assure la transposition en droit français de la directive dite NIS 1 ;

– l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;

– et les dispositions du code des postes et des communications électroniques (CPCE) portant sur les opérateurs de communication électronique et les offices d’enregistrement.

Le dispositif proposé

L’article 44 de la directive NIS 2 abrogeant la directive NIS 1, le III du présent article abroge le titre Ier de la loi n° 2018-133 du 26 février 2018, qui assure la transposition en droit français de cette directive.

En conséquence, les alinéas 3, 4, 6 et 7 procèdent au remplacement de la référence à la loi du 26 février 2018 par la référence à la présente loi à différents articles du code de la défense. De même, en vertu de la directive NIS 2, les opérateurs d’importance vitale (OIV) et les opérateurs de services essentiels (OSE) mentionnés aux articles L. 2321-2-1 et L. 2321-3 du code de la défense sont remplacés par la notion d’entité essentielle.

Par ailleurs, le II du présent article apporte des modifications à plusieurs articles du CPCE relatifs aux modalités d’enregistrement des noms de domaine de premier niveau afin :

– de supprimer, au sein du CPCE, les dispositions spéciales concernant la cybersécurité en matière de communications électroniques afin de les intégrer dans le droit général prévu par le présent projet de loi (alinéa 10) ;

– de modifier l’article L. 33-1 du CPCE en prévoyant que l’établissement et l’exploitation des réseaux ouverts au public et la fourniture au public de services de communications électroniques sont libres sous réserve du respect de règles portant notamment sur les conditions de permanence, de qualité, de disponibilité, de sécurité et d’intégrité du réseau et du service qui incluent des obligations de notification à l’autorité compétente des incidents de sécurité ayant eu un impact significatif sur leur fonctionnement (alinéas 11 à 15)

– que chaque office d’enregistrement soit responsable du fonctionnement technique du domaine de premier niveau qui lui est attribué (alinéa 17) ;

– d’apporter une précision rédactionnelle à l’article L. 45-3 relatif à la numérotation et à l’adressage des noms de domaines (alinéa 18) ;

– d’ajouter des références aux agents agissant pour le compte des bureaux d’enregistrement à l’article L. 45-4 du CPCE (alinéa 22) et de prévoir qu’un décret en Conseil d’État vienne préciser les catégories auxquelles appartiennent lesdits agents (alinéa 24) ;

– que les offices d’enregistrement collectent les données nécessaires à l’enregistrement des noms de domaines (alinéa 27) ;

– et que les offices et les bureaux d’enregistrement répondent aux demandes d’accès aux données d’enregistrement dans un délai n’excédant pas 72 heures après réception de la demande (alinéa 30).

Enfin, le IV du présent article procède à l’abrogation de plusieurs articles de l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, qui avait introduit le référentiel général de sécurité (RGS) qui impose aux autorités administratives la mise en œuvre de mesures de sécurité visant à limiter la fraude liée à l’usage des services numériques de ces administrations pour échanger avec leurs usagers ou d’autres administrations.

Les modifications apportées par le Sénat

Un amendement rédactionnel a été adopté en commission à l’initiative des rapporteurs.

La position de la commission

Outre trois amendements rédactionnels du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff, la commission spéciale a adopté quatre amendements :

– deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff visant à définir les agents agissant pour le compte des bureaux d’enregistrement. Ils prévoient également la reprise à l’article L. 45-5 du CPCE de la formulation retenue à l’article 22 du projet de loi afin de préciser que les offices et les bureaux d’enregistrement mentionnés dans le CPCE doivent répondre aux demandes des agents habilités à cet effet ;

– deux amendements identiques du rapporteur général Éric Bothorel et de la rapporteure Anne Le Hénanff de coordination pour tenir compte de l’abrogation des articles 9 et 12 de l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives par l’article 39 du projet de loi.

*

Article 40 (art. 57 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique, art. 24 de la loi n° 2018-133 du 26 février 2018 portant diverses dispositions d’adaptation au droit de l’Union européenne dans le domaine de la sécurité, art. 16 de l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives) Mesures applicables à l’outre-mer pour les territoires régis par le principe de spécialité législative

➢ Résumé du dispositif et effets principaux

Cet article étend l’application du titre II du projet de loi aux collectivités d’outre-mer par le régime de spécialité législative.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a adopté un amendement en commission pour clarifier l’applicabilité en Nouvelle-Calédonie et en Polynésie française des modifications prévues à l’article 39 du projet de loi.

➢ Modifications apportées par la commission

La commission a adopté trois amendements rédactionnels.

L’état du droit

Si les dispositions de la loi n° 2018-133 du 26 février 2018 portant diverses dispositions d’adaptation au droit de l’Union européenne dans le domaine de la sécurité, qui transposait la directive dite NIS 1, étaient directement applicables aux collectivités régies par le régime de l’identité législative, il avait fallu adopter des mesures spécifiques pour les collectivités régies par le régime de spécialité législative.

Le dispositif proposé

Les stipulations de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, dite NIS 2, sont applicables de plein droit aux collectivités d’outre-mer régies par le régime de l’identité législative, à savoir :

– les départements et régions de la Guadeloupe et de La Réunion ;

– les collectivités de la Guyane, de la Martinique et de Mayotte ;

– et Saint-Martin.

En outre, le I de l’article 40 prévoit que le titre II du projet de loi est applicable dans les collectivités régies par le principe de spécialité législative, à l’exception de l’article 13 du projet de loi, qui sont les suivantes :

– les îles Wallis et Futuna ;

– la Polynésie française ;

– la Nouvelle-Calédonie ;

– et les Terres australes et antarctiques françaises.

Cette application aux collectivités régies par le principe de spécialité législative se fait toutefois sous réserve des adaptations suivantes :

– en l’absence d’adaptation, les références faites, par des dispositions du titre II applicables en Polynésie française et en Nouvelle-Calédonie, à des dispositions qui n’y sont pas applicables sont remplacées par les références aux dispositions ayant le même objet applicable localement (alinéa 2) ;

– dans les îles Wallis et Futuna, en Polynésie française et en Nouvelle-Calédonie, les sanctions pécuniaires encourues sont prononcées en monnaie locale, compte tenu de la contre-valeur de l’euro dans cette monnaie (alinéas 3 et 4).

Le II prévoit également que l’article 13 du présent projet de loi ne s’applique pas à Saint-Barthélemy et à Saint-Pierre-et-Miquelon (alinéa 5).

Le III dispose toutefois que sont applicables à Saint-Barthélemy, Saint-Pierre-et-Miquelon, dans les îles Wallis et Futuna, en Polynésie française, en Nouvelle-Calédonie et dans les Terres australes et antarctiques françaises les dispositions du titre II du projet de loi « en tant que droit national faisant référence au droit dérivé ». Ainsi, dans ces territoires, les références à la directive NIS 2 et à d’autres textes européens sont remplacées par la référence aux règles en vigueur en métropole (alinéa 6).

Enfin, les IV à VI visent à coordonner les textes et à assurer la cohérence pour la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique, l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, et la loi n° 2018-133 du 26 février 2018 portant diverses dispositions d’adaptation au droit de l’Union européenne dans le domaine de la sécurité.

Les modifications apportées par le Sénat

Le Sénat a adopté un amendement en commission à l’initiative des rapporteurs pour clarifier l’applicabilité en Nouvelle-Calédonie et en Polynésie française des modifications du code des postes et des communications électroniques (CPCE) en matière de noms de domaine prévus à l’article 39 du projet de loi. Il précise en particulier que le titre II s’applique en Nouvelle-Calédonie et en Polynésie française à l’exception des modifications des articles L. 45 et suivants du CPCE prévues par l’article 39 du projet de loi.

La position de la commission

La commission a adopté trois amendements rédactionnels de la rapporteure Anne Le Hénanff.

*

Chapitre V Dispositions relatives aux communications électroniques

Article 41

(art. L. 39-1 du code des postes et des communications électroniques)

Renforcement des sanctions pénales pour améliorer

la lutte contre les brouillages

➢ Résumé du dispositif et effets principaux

Cet article procède à une réécriture de l’article L. 39-1 du CPCE dans le sens d’un durcissement des sanctions pénales associées à certaines infractions.

– passage de six mois de prison et 30 000 euros d’amende à trois ans de prison et 75 000 euros d’amende pour les infractions de perturbation d’émissions hertziennes autorisées du fait de l’utilisation d’installations ou d’équipements électriques, électroniques et radioélectriques dans des conditions non conformes aux exigences essentielles des réglementations relatives à leurs mises sur le marché ou de l’utilisation de fréquences sans autorisation d’utilisation de fréquence ou de certificat d’opérateur ;

– passage de six mois de prison et 30 000 euros d’amende à cinq ans de prison et 150 000 euros d’amende pour le fait de pratiquer l’une des activités prohibées à l’article L. 33-3-1 du CPCE, à savoir importation, publicité, cession à titre gratuit ou onéreux, mise en circulation, installation, détention et utilisation de tout dispositif destiné à rendre inopérants des appareils de communications électroniques de tous types. Il s’agit de ce qu’on appelle plus communément des brouilleurs ;

– et passage de six mois de prison et 30 000 euros d’amende à cinq ans de prison et 150 000 euros d’amende pour l’utilisation sans l’autorisation prévue à l’article L. 41-1 des fréquences ou des installations radioélectriques.

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Deux amendements ont été adoptés par le Sénat. Un amendement rédactionnel a été adopté en commission mais le Sénat est revenu à la rédaction initiale lors de la séance publique.

➢ Modifications apportées par la commission

La commission a adopté six amendements rédactionnels.

L’état du droit

La transmission hertzienne, c’est-à-dire sur des liaisons sans fil (réseaux de téléphonie mobile, réseaux professionnels privés, WiFi…) de données ou de la voix tient une place essentielle dans la continuité des activités économiques, sociétales et étatiques. L’utilisation d’un appareil électrique, radioélectrique ou électronique ou d’une fréquence radioélectrique dans des conditions non conformes ou d’un brouilleur d’ondes peut, en perturbant des émissions hertziennes, compromettre le fonctionnement de tous les services utilisant les bandes de fréquences concernées pour la transmission et la réception d’informations ou la communication vocale.

Ces dernières années, le nombre de cas de brouillage a connu une forte augmentation. Entre 1 400 et 1 800 cas sont signalés chaque année à l’Agence nationale des fréquences (ANFR), qui indique que ces brouillages peuvent avoir des conséquences de plus en plus graves en raison de l’évolution des technologies hertziennes et de la densification des usages dans des bandes de fréquences en partage avec d’autres services. Au-delà des brouillages accidentels, la préoccupation majeure porte sur l’utilisation délibérée de brouilleurs alors que la loi les prohibe pourtant. Ces outils sont d’une dangerosité particulièrement accrue, dans la mesure où ils peuvent, par exemple, perturber des avions volant à plus de 2 000 mètres d’altitude. Ces brouilleurs sont, du reste, de plus en plus souvent utilisés par des personnes qui souhaitent commettre des infractions et pourraient même constituer des outils de guerre électronique.

Dès lors, la lutte contre ces perturbations ou brouillages est une nécessité pour assurer le bon fonctionnement des services de communication par radiofréquence. Afin de dissuader les auteurs de brouillages, intentionnels ou non, l’article L. 39-1 du code des postes et des communications électroniques (CPCE) dispose qu’est puni de 6 mois de prison et de 30 000 euros d’amende le fait :

– de maintenir un réseau indépendant en violation d’une décision de suspension ou de retrait du droit d’établir un tel réseau ;

– de perturber, en utilisant une fréquence, un équipement ou une installation radioélectrique, dans des conditions non conformes ou sans posséder d’autorisation ou en dehors des conditions de cette autorisation ou des conditions réglementaires générales les émissions hertziennes d’un service autorisé ;

– de perturber, en utilisant un appareil, un équipement ou une installation, dans des conditions non conformes aux dispositions applicables en matière de compatibilité électromagnétique des équipements électriques et électroniques, les émissions hertziennes d’un service autorisé ;

– d’utiliser une fréquence, un équipement ou une installation radioélectrique dans des conditions non conformes ou sans posséder d’autorisation ou en dehors des conditions de l’autorisation ou sans posséder le certificat d’opérateur ou en dehors des conditions réglementaires générales ou sans l’accord mentionné au I de l’article L. 43 ;

– et d’avoir pratiqué l’une des activités prohibées par le I de l’article L. 33-3-1 en dehors des cas et conditions prévus au II de cet article.

Ces dispositions sont sans préjudice de l’application de l’article 78 de la loi n° 86-1067 du 30 septembre 1986 relative à la liberté de communication, qui prévoit des amendes de 75 000 euros pour le dirigeant de droit ou de fait d’un service de communication audiovisuelle ayant émis ou fait émettre sans disposer des autorisations requises.

La sanction maximale prévue par l’article L. 39-1 du CPCE est considérée comme faible dans le quantum des peines. Par ailleurs, non seulement les infractions constatées ne donnent que très rarement lieu à des poursuites, mais au demeurant, les peines prononcées sont souvent minimes. Comme l’indique le Sénat dans son rapport, 80 % des procès-verbaux d’infraction transmis aux parquets sont classés sans suite. Un sentiment d’impunité en découle et nuit tant à la prévention qu’à la prise de conscience par les auteurs de la nature délictuelle de leurs actes. En outre, lorsque le tribunal judiciaire est saisi, les peines sont minimes. Par exemple, l’auteur d’un brouillage près de l’aéroport de Nantes qui avait en 2017 perturbé plusieurs avions n’a été condamné à l’issue de son procès qu’à une amende de 1 500 euros.

Le dispositif proposé

Le présent article procède à une réécriture de l’article L. 39-1 du CPCE dans le sens d’un durcissement des sanctions pénales associées à certaines infractions.

● Un quantum de peine inchangé pour les infractions les moins graves

Le deuxième alinéa prévoit que sera puni de six mois d’emprisonnement et de 30 000 euros d’amende le fait :

– de maintenir un réseau indépendant en violation d’une décision de suspension ou de retrait du droit d’établir un tel réseau (alinéa 3) ;

– d’utiliser une fréquence, un équipement ou une installation radioélectrique dans des conditions non conformes (alinéa 5), sans posséder l’autorisation (alinéa 6) ou en dehors des conditions de cette autorisation lorsque celle-ci est requise (alinéa 7), sans posséder le certificat d’opérateur (alinéa 8) ou en dehors des conditions réglementaires générales (alinéa 9).

Une nouvelle infraction est également créée, à l’alinéa 10, elle aussi punie de six mois d’emprisonnement et de 30 000 euros d’amende lorsqu’une station radioélectrique ne respecte pas les caractéristiques déclarées lors de la demande d’accord ou d’avis, prévue au I de l’article L. 43 du CPCE, préalable à son implantation.

● Une sanction durcie en cas de perturbation des émissions hertziennes d’un service autorisé

L’alinéa 11 prévoit qu’est puni de trois ans d’emprisonnement et de 75 000 euros d’amende le fait de perturber les émissions hertziennes d’un service autorisé en utilisant une fréquence, un équipement ou une installation radioélectrique dans des conditions non conformes (alinéa 13), sans posséder l’autorisation (alinéa 14) ou en dehors des conditions de cette autorisation lorsque celle-ci est requise (alinéa 15), sans posséder le certificat d’opérateur (alinéa 16) ou en dehors des conditions réglementaires générales (alinéa 17), lorsqu’une station radioélectrique ne respecte pas les caractéristiques déclarées lors de la demande d’accord ou d’avis, prévue au I de l’article L. 43 du CPCE, préalable à son implantation (alinéa 18).

L’alinéa 19 prévoit également qu’est puni de trois ans d’emprisonnement et de 75 000 euros d’amende le fait de perturber les émissions hertziennes d’un service autorisé en utilisant un appareil, un équipement ou une installation, électrique ou électronique, dans des conditions non conformes à la réglementation régissant la compatibilité électromagnétique des équipements électriques et électroniques.

● Cinq ans de prison pour les cas de brouillages volontaires ou offensifs

L’alinéa 20 prévoit qu’est puni de cinq ans d’emprisonnement et de 150 000 euros d’amende le fait :

– d’avoir pratiqué l’importation, la publicité, la cession à titre gratuit ou onéreux, la mise en circulation, l’installation, la détention et l’utilisation de tout dispositif destiné à rendre inopérants des appareils de communications électroniques de tous types, tant pour l’émission que pour la réception, c’est-à-dire des « brouilleurs » (alinéa 21) ;

– d’utiliser, sans l’autorisation attribuée par l’ANFR, des fréquences attribuées par le premier ministre pour les besoins de la défense nationale et de la sécurité publique ou d’utiliser une installation radioélectrique, en vue d’assurer la réception de signaux transmis sur ces mêmes fréquences, sans l’autorisation attribuée par l’ANFR (alinéa 22).

Ce quantum maximal permettra donc de sanctionner beaucoup plus sévèrement qu’auparavant les cas de brouillage volontaires voire offensifs, mais également toutes les actions susceptibles d’y contribuer en amont, et notamment toutes celles permettant de se procurer des brouilleurs.

Les modifications apportées par le Sénat

Deux amendements ont été adoptés par le Sénat.

Le premier amendement, adopté en commission à l’initiative des rapporteurs, de nature rédactionnelle, a remplacé les mots « sous réserve » par les mots « sans préjudice » à l’alinéa 11 de l’article.

Le second amendement, adopté en séance publique à l’initiative gouvernement avec un avis favorable de la commission, a rétabli la rédaction initiale de l’alinéa 11 modifiée en commission en remplaçant les mots « sans préjudice » par les mots « sous réserve ».

Le gouvernement a justifié la nécessité de revenir à la rédaction initiale du projet de loi telle qu’issue du Conseil d’État par le fait que la substitution de la mention « sous réserve » par la mention « sans préjudice » aurait pour conséquence que l’administration devra choisir sur quel fondement elle entend sanctionner un brouillage alors que le quantum des peines diffère selon le fondement retenu.

La position de la commission

La commission a adopté six amendements rédactionnels de la rapporteure Anne Le Hénanff.

*

Article 42 (art. L. 97-2 et L. 97-4 du code des postes et des communications électroniques) Renforcement des conditions d’accès à une assignation de fréquences déposée par la France auprès de l’UIT

➢ Résumé du dispositif et effets principaux

Cet article renforce les conditions d’accès à une assignation de fréquences déposée par la France auprès de l’Union internationale des télécommunications (UIT).

➢ Dernières modifications législatives intervenues

Sans objet.

➢ Modifications apportées par le Sénat

Le Sénat a adopté un amendement rédactionnel.

➢ Modifications apportées par la commission

La commission a adopté cinq amendements rédactionnels.

L’état du droit

Afin de délivrer un service, les systèmes satellitaires orbitaux doivent pouvoir communiquer avec des équipements placés sur terre. L’établissement d’un tel lien de communication est essentiel à l’activité de ces derniers, car il leur permet d’être commandés à distance et de transmettre des données (imagerie, télécommunication, etc.). Cette communication est établie grâce à l’émission et la réception d’ondes radioélectriques qui utilisent des bandes de fréquences spécifiques à chaque satellite.

Les positions orbitales des satellites ainsi que les fréquences associées permettant de communiquer entre les satellites géostationnaires et non géostationnaires et les stations terriennes constituent une ressource rare. On estime généralement entre quatre et six le nombre maximal de constellations de grande ampleur, soit comptant plusieurs milliers de satellites, qui pourraient in fine cohabiter en orbite. Afin d’en garantir la disponibilité et éviter ainsi les risques de brouillage entre satellites, l’UIT met en œuvre un processus préalable à tout lancement de satellites de déclaration des fréquences associées.

En pratique, il revient aux États de déposer auprès de l’UIT une demande d’enregistrement portant à la fois sur une ou plusieurs bandes de fréquences et sur une position orbitale donnée. En cas de problématique de coexistence, l’utilisateur de la demande d’enregistrement la plus ancienne est prioritaire vis-à-vis des autres utilisateurs, ces derniers devant adapter leurs émissions radioélectriques pour ne pas perturber l’activité du premier.

L’article L. 43 du code des postes et des communications électroniques (CPCE) prévoit que l’Agence nationale des fréquences (ANFR) prépare la position française et coordonne l’action de la représentation française dans les négociations internationales dans le domaine des fréquences radioélectriques. À ce titre, elle est en charge de déposer, au nom de la France, des demandes d’enregistrement auprès de l’UIT. En outre, l’article L. 97-2 du CPCE prévoit que toute demande d’assignation de fréquence relative à un système satellitaire est adressée à l’ANFR. L’octroi de l’autorisation est subordonné à la justification par le demandeur de sa capacité à contrôler l’émission de l’ensemble des stations radioélectriques utilisant l’assignation de fréquence.

Toutefois, le I de l’article L. 97-2 prévoit que l’autorisation d’assignation de fréquence relative à un système satellitaire peut être refusée dans les cas suivants :

– pour la sauvegarde de l’ordre public, les besoins de la défense ou ceux de la sécurité publique ;

– lorsque la demande n’est pas compatible, soit avec les engagements souscrits par la France dans le domaine des radiocommunications, soit avec les utilisations existantes ou prévisibles de bandes de fréquences, soit avec d’autres demandes d’autorisation permettant une meilleure gestion du spectre des fréquences ;

– lorsque la demande a des incidences sur les droits attachés aux assignations de fréquence antérieurement déclarées par la France à l’UIT ;

– ou lorsque le demandeur a fait l’objet d’une des sanctions prévues au III de l’article L. 97-2 du CPCE ou à l’article L. 97-3 du CPCE.

Le II de l’article L. 97-2 du CPCE prévoit en outre un certain nombre d’obligations qui incombent au titulaire d’une autorisation d’exploitation d’une assignation déposée par la France auprès de l’UIT. À défaut de respect par ce dernier des obligations qui lui sont imposées par les textes législatifs et réglementaires, le III du même article prévoit que le ministre en charge des communications électroniques le met en demeure de s’y conformer. Si le titulaire ne donne pas suite à la mise en demeure, le ministre chargé des communications électroniques peut prononcer à son encontre l’une des sanctions prévues au 2° de l’article L. 36-11.

Enfin, conformément à l’article L. 97-3 du CPCE, est puni d’un emprisonnement de six mois et d’une amende de 75 000 euros le fait d’exploiter une assignation de fréquence relative à un système satellitaire déclarée par la France à l’UIT sans l’autorisation prévue à l’article L. 97-2, ou de poursuivre cette exploitation en violation d’une décision de suspension ou de retrait ou d’un constat de caducité de cette autorisation.

Le dispositif proposé

Le I du présent article modifie substantiellement l’article L. 97-2 du CPCE pour étendre les marges de manœuvre de l’État avant, durant et après le processus d’autorisation d’exploitation d’une assignation déposée par la France auprès de l’UIT.

Tout d’abord, les alinéas 3 à 8 ajoutent deux réserves supplémentaires possibles au I de l’article 97-2 du CPCE, susceptibles de ne pas entraîner de déclaration de l’assignation de fréquence par l’ANFR à l’UIT, à savoir :

– l’existence d’un intérêt économique ou d’un intérêt pour la défense nationale justifiant que la déclaration soit effectuée au nom de la France ;

– et que les assignations soumises ne soient pas de nature à compromettre les intérêts de la sécurité nationale et le respect par la France de ses engagements internationaux.

En outre, au 2 du I de l’article L. 97-2 du CPCE (alinéas 9 à 17) :

– est ajoutée une nouvelle condition pour obtenir une autorisation d’exploitation d’une fréquence à un système satellitaire, à savoir que l’autorisation est octroyée à une entité de droit français ou à un établissement immatriculé au registre du commerce et des sociétés en France (alinéa 11) ;

– est précisé que l’attribution de cette autorisation ne doit pas s’opposer aux besoins de la défense nationale ni au respect par la France de ses engagements internationaux, que le demandeur puisse démontrer l’existence d’un intérêt économique à ce que l’autorisation lui soit délivrée et qu’il ne soit pas dans l’incapacité technique ou financière de faire face durablement aux obligations résultant de l’obtention de l’autorisation.

Par ailleurs, les alinéas 18 à 29 complètent le III de l’article L. 97-2 du CPCE pour préciser les sanctions auxquelles s’expose le titulaire d’une autorisation prévue au I du même article, dans l’hypothèse où il ne respecterait pas les obligations qui lui sont imposées. Le ministre chargé des communications électroniques pourra ainsi le mettre en demeure de respecter ses obligations puis, s’il n’est pas donné suite à cette mise en demeure, prononcer à son encontre une des différentes sanctions énumérées au même article.

Enfin, les alinéas 30 à 38 réécrivent le VI de l’article L. 97-2 du CPCE en ajoutant trois alinéas :

– les conditions dans lesquelles l’ANFR déclare, au nom de la France, les assignations de fréquence à l’UIT ;

– les conditions dont les autorisations d’exploitation peuvent être assorties ;

– et les modalités des procédures de mise en demeure et de sanction prévues dans la nouvelle rédaction du III.

En conséquence, le II du présent article procède à une actualisation de référence à l’article L. 97-4 du CPCE.

Il est enfin prévu au III du présent article que l’article s’applique à compter de l’entrée en vigueur du décret prévu au VI de l’article L. 97-2 et au plus tard le 31 décembre 2025.

Les modifications apportées par le Sénat

Le Sénat a adopté un amendement rédactionnel en commission à l’initiative des rapporteurs qui, d’une part, complète l’alinéa 14 en insérant les mots « que l’autorisation présente un intérêt économique pour la France », et d’autre part, à l’alinéa 27, insère le mot « pécuniaires » après les mots « des sanctions ».

La position de la commission

La commission a adopté six amendements rédactionnels de la rapporteure Anne Le Hénanff.

*

titre iii résilience opérationnelle numérique du secteur financier

Chapitre Ier Dispositions modifiant le code monétaire et financier

Article 43 A

(art. L. 141-10 et L. 612-24-1 [nouveaux] du code monétaire et financier)

Désignation de la Banque de France et de l’Autorité de contrôle prudentiel et de résolution comme autorités compétentes dans le cas où une entité financière est assujettie à plusieurs autorités de supervision

➢ Résumé du dispositif et effets principaux

Cet article additionnel adopté par le Sénat prévoit de désigner une seule autorité compétente pour exercer les fonctions et les missions prévues à l’article 19 du règlement DORA (déclaration des incidents majeurs liés aux technologies de l’information et de la communication et notification volontaire des cybermenaces importantes) à l’égard de deux catégories d’entité financière :

– la Banque de France pour les dépositaires centraux ;

– l’Autorité de contrôle prudentiel et de résolution (ACPR) pour les personnes morales relevant de sa compétence au sein du secteur de la banque, des services de paiement et des services d’investissement, à l’exception des entreprises de marché, ainsi qu’au sein du secteur de l’assurance, à l’exception des véhicules de titrisation.

➢ Dernières modifications législatives intervenues

L’article 43 A crée deux nouveaux articles dans le code monétaire et financier au sein du chapitre dédié aux missions de la Banque de France, d’une part, et, d’autre part, au sein de celui consacré à l’ACPR.

➢ Modifications apportées par la commission

La commission spéciale a désigné l’ACPR comme autorité compétente chargée de recevoir les déclarations des incidents majeurs liés aux TIC et les notifications de cybermenaces importantes de la part des entités financières qui relèvent de sa compétence tout en prévoyant une communication additionnelle à l’attention de l’Agence nationale de sécurité des systèmes d’information (ANSSI).

L’état du droit

L’article 19 du règlement DORA ([27]) de l’Union européenne (UE) du 14 décembre 2022 ([28]) encadre la déclaration des incidents majeurs liés aux technologies de l’information et de la communication (TIC) et la notification volontaire des cybermenaces importantes par les entités financières.

Considérant comme essentiel que le régime de notification des incidents majeurs liés aux TIC soit harmonisé, l’UE impose à toutes les entités financières de les notifier à leurs autorités compétences au moyen d’un cadre rationalisé unique. Au sens du règlement DORA, un incident majeur se caractérise par une incidence négative élevée sur les réseaux et les systèmes d’information qui soutiennent les fonctions critiques ou importantes de l’entité financière.

De même, afin d’être cohérent avec la directive NIS 2 du 14 décembre 2022 ([29]), l’UE autorise ces entités à notifier volontairement à ces mêmes autorités les cybermenaces importantes qu’elles estiment pertinentes pour le système financier, les utilisateurs de services ou les clients. Telle que définies par le règlement, celles-ci présentent des caractéristiques techniques indiquant qu’elles pourraient donner lieu à un incident majeur lié au TIC ou à un incident opérationnel ou de sécurité majeur lié au paiement.

L’article 19 du règlement DORA précise en outre que « lorsqu’une entité financière est soumise à la surveillance de plusieurs autorités nationales compétentes […], les États membres désignent une seule autorité compétente ».

Le dispositif proposé par le Sénat

La commission spéciale du Sénat a adopté un amendement du rapporteur Michel Canévet visant à désigner une seule autorité compétente pour exercer les fonctions et les missions prévues à l’article 19 du règlement DORA à l’égard de deux catégories d’entité financière :

– la Banque de France pour les dépositaires centraux ;

– l’Autorité de contrôle prudentiel et de résolution (ACPR) pour les personnes morales du secteur de la banque, des services de paiement et des services d’investissement qui relèvent de sa compétence, à l’exception des entreprises de marché.

Pour le rapporteur, « la désignation d’un "guichet unique" constitue une mesure de simplification qui, sans préjudice des échanges d’informations entre les services administratifs compétents, réduit la charge administrative des entreprises ».

Les dépositaires centraux sont responsables de l’enregistrement et de la conservation des titres financiers ainsi que de la livraison des titres contre paiement. En application de l’article L. 441-1 du code monétaire et financier, ces organismes sont supervisés par l’Autorité des marchés financiers (AMF) et par la Banque de France. Le dispositif proposé par le Sénat entend donc faire de cette dernière l’unique destinataire de leurs déclarations d’incidents majeurs liés aux TIC et de leurs notifications volontaires des cybermenaces importantes.

En ce qui concerne les entités financières placées sous la supervision de l’ACPR, la commission spéciale a voulu clarifier le rôle de cette autorité chargée de veiller à la préservation de la stabilité du système financier quant à la réception et au traitement des déclarations d’incidents majeurs et des notifications de cybermenaces.

L’idée des sénateurs est également d’éviter un risque de double assujettissement au règlement DORA et à la directive NIS 2. L’article 17 du projet de loi prévoit en effet que les entités essentielles et importantes « notifient sans retard injustifié à l’autorité nationale de sécurité des systèmes d’information tout incident ayant un impact important sur la fourniture de leurs services », conformément à l’article 23 de la directive.

En séance, le gouvernement s’est opposé au dispositif proposé par la commission spéciale. Il a présenté un amendement prévoyant que la Banque de France et l’ACPR « veillent [seulement] au respect » du règlement DORA au lieu d’exercer les fonctions et missions prévues à son article 19.

Il considère que l’articulation du règlement DORA et de la directive NIS 2 en ce qui concerne la déclaration des incidents majeurs liés aux TIC et la notification volontaire des cybermenaces par les entités financières est déjà satisfaite. D’après lui, cet article additionnel au projet de loi risque de priver certaines entités financières de l’appui de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) en désignant l’ACPR comme unique destinataire des déclarations et notifications prévues à l’article 19 du règlement DORA.

En séance, les sénateurs ont suivi l’avis de la commission spéciale en adoptant un sous-amendement à l’amendement du gouvernement supprimant l’essentiel de son dispositif mais conservant la correction d’une erreur de référence relative à la liste des entreprises devant adresser à l’ACPR leurs déclarations d’incidents majeurs liés au TIC et leurs notifications de cybermenaces importantes.

La position de la commission

Tant au cours des auditions de la commission spéciale que de celles conduites par le rapporteur thématique Mickaël Bouloux, il a été mis en avant à plusieurs reprises la nécessité d’inclure l’ANSSI dans les destinataires des déclarations d’incidents majeurs liés aux TIC et des notifications de cybermenaces importantes de la part des entités financières.

Si l’ACPR est compétente pour apprécier l’impact financier des incidents, elle ne dispose ni du mandat ni des moyens techniques pour accompagner les entités dans leur gestion opérationnelle, qui relève davantage de la compétence de l’ANSSI.

En l’état de la rédaction issue de l’examen du projet de loi par le Sénat, l’ACPR se verrait contrainte de transmettre les déclarations qu’elle reçoit à l’ANSSI, ce qui engendrerait des délais importants, notamment en cas d’incidents de nuit ou en fin de semaine, celle-ci ne disposant ni d’un système d’astreinte ni d’un portail de déclaration accessible en continu, contrairement à l’ANSSI.

Dans ce contexte, il est apparu à la commission spéciale qu’une information directe et simultanée des autorités financières demeurait indispensable pour permettre une réaction rapide, prévenir tout risque de contagion et sécuriser les intérêts des clients.

Après avoir examiné plusieurs amendements ayant également pour objet de faire de l’ANSSI le destinataire des déclarations et notifications évoquées mais selon des modalités différentes, la commission spéciale a adopté l’amendement de M. Paul Midy visant à :

– désigner l’ACPR comme autorité compétente chargée de recevoir les déclarations d’incidents majeurs liés aux TIC et les notifications volontaires de cybermenaces importantes des entités financières qui relèvent de sa compétence en application de l’article 19 du règlement DORA ;

– prévoir que l’ANSSI est également destinataire de ces déclarations et notifications lorsque l’entité financière est également soumise aux dispositions de la directive NIS 2 en tant qu’entité essentielle ou importante ;

– étendre l’application de ces dispositions en Nouvelle-Calédonie, en Polynésie française et dans les îles Wallis et Futuna ([30]).

*

Article 43

(art. L. 314-1 du code monétaire et financier)

Modification de la définition des prestataires de services techniques

➢ Résumé du dispositif et effets principaux

Cet article remplace le terme de « technologie de l’information » par « technologie de l’information et de la communication » (TIC) à l’article L. 314-1 du code monétaire et financier qui définit les services de paiement.

Il s’agit d’une transposition de l’article 7 de la directive DORA qui elle-même met en cohérence avec le règlement éponyme l’article 3 de la directive 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur (DSP 2) que l’article L. 314-1 transpose déjà en droit interne.

➢ Dernières modifications législatives intervenues

L’ordonnance n° 2017-1252 du 9 août 2017 portant transposition de la directive DSP 2 est à l’origine de la version actuellement en vigueur de la définition des services de paiement et plus particulièrement de l’exclusion de leur champ de la fourniture de service par un prestataire technique.

➢ Modifications apportées par le Sénat

Cet article n’a pas été modifié par le Sénat.

➢ Modifications apportées par la commission

La commission spéciale n’a pas modifié cet article.

L’état du droit

L’article L. 314-1 du code monétaire et financier détermine ce qu’est un service de paiement. Il exclut notamment de son champ l’assistance d’un prestataire technique à l’appui de la fourniture de ces services de paiement ainsi que l’équipement et la maintenance des terminaux et dispositifs utilisés à ces fins.

Cette prestation technique consiste dans le traitement et l’enregistrement des données, les services de protection de la confiance de la vie privée, l’authentification des données et des entités, les technologies de l’information et la fourniture des réseaux de communication.

L’exclusion de cette activité du champ des services de paiement est une transposition de l’article 3 de la seconde directive de l’Union européenne (UE) sur les services de paiement (DSP 2) du 25 novembre 2015 ([31]) par l’article 6 de l’ordonnance n° 2017-1252 du 9 août 2017 ([32]).

Le dispositif proposé

L’article 7 de la directive de l’UE sur la résilience opérationnelle numérique du secteur financier (DORA ([33])) du 14 décembre 2022 ([34]) modifie l’article 3 de la directive DSP 2 pour faire mention des technologies de l’information « et de la communication » (TIC) dans la définition de la fourniture de services par un prestataire de services techniques à l’appui de la fourniture de services de paiement.

Il s’agit de la dénomination employée par le règlement DORA ([35]) dont le premier considérant rappelle qu’à l’ère numérique les TIC « sous-tendent les systèmes complexes qui sont utilisés dans les activités quotidiennes, [qu’elles] contribuent à la bonne marche de nos économies dans des secteurs clés, tels que le secteur financier, et [qu’elles] améliorent le fonctionnement du marché intérieur ».

Cette évolution nécessite donc la modification de l’article L. 314-1 du code monétaire et financier qui définit les services de paiement.

Les modifications apportées par le Sénat

Cet article a été adopté sans modification par le Sénat.

La position de la commission

La commission spéciale a adopté cet article sans modifications.

*

Article 44

(art. L. 420-3 du code monétaire et financier)

Maintien de la résilience opérationnelle des gestionnaires de plates-formes de négociation

➢ Résumé du dispositif et effets principaux

Cet article prévoit de modifier le I et le III de l’article L. 420-3 du code monétaire et financier, qui détermine les exigences organisationnelles auxquelles doivent répondre les gestionnaires de plates-formes de négociation, afin de transposer l’article 6 § 4 de la directive DORA sur la résilience opérationnelle numérique du secteur financier, qui modifie elle-même la directive MIFID 2 sur les marchés financiers dont sont issues les dispositions de droit interne visées.

Le règlement DORA fixe un certain nombre d’exigences en ce qui concerne la gestion du risque lié aux technologies de l’information et de la communication ainsi que les tests de résilience opérationnelle numérique. L’article 44 du projet de loi prévoit donc qu’il soit expressément fait référence à ces règles européennes.

➢ Dernières modifications législatives intervenues

Les dispositions concernées de l’article L. 420-3 du code monétaire et financier ont été introduites par l’ordonnance n° 2016-827 du 23 juin 2016 relative aux marchés d’instruments financiers qui transposait la directive MIFID 2.

➢ Modifications apportées par le Sénat

Cet article n’a pas été modifié par le Sénat.

➢ Modifications apportées par la commission

La commission spéciale a adopté un amendement rédactionnel.

L’état du droit

Les articles L. 420-3 à L. 420-8 du code monétaire et financier déterminent les exigences organisationnelles auxquelles doivent se soumettre les plates-formes de négociation.

En application de l’article L. 420-1, une plate-forme de négociation peut prendre trois formes différentes qui constituent toujours au moins « un système multilatéral qui assure la rencontre en son sein […] de multiples intérêts acheteurs et vendeurs exprimés par des tiers » :

– le marché réglementé d’instruments financiers (article L. 421-1) ;

– le système multilatéral de négociation (article L. 424-1) ;

– le système organisé de négociation (article L. 425-1).

formes prises par les plateformes de négociation

Source : commission spéciale.

Les trois marchés réglementés actuellement agréés par l’Autorité des marchés financiers (AMF) sont Euronext Paris SA (la Bourse de Paris), le marché à terme international de France (MATIF) et le marché des options négociables de Paris (MONEP).

Ces plates-formes doivent répondre à un certain nombre d’exigences, parmi lesquelles se trouve la mise en place de systèmes, de procédures et de mécanismes efficaces :

– assurant que leurs systèmes de négociation sont résilients, possèdent une capacité suffisante de gestion de volumes élevés d’ordres et de messages et permettent un processus de négociation ordonné en période de tension sur les marchés ;

– exigeant des personnes utilisant des systèmes de négociation algorithmique qu’elles procèdent à des tests appropriés d’algorithmes et disposent d’environnements de tests, afin de s’assurer que les systèmes de négociation algorithmique ne créent pas ou ne contribuent pas à des conditions de négociation de nature à perturber le bon ordre du marché.

Ces dispositions ont été introduites par l’ordonnance n° 2016-827 du 23 juin 2016 relative aux marchés d’instruments financiers qui transposait la seconde directive de l’Union européenne (UE) sur les marchés d’instruments financiers (MIFID 2 ([36])) en date du 15 mai 2014 ([37]).

Le dispositif proposé

L’article 6 (§ 4) de la directive sur la résilience opérationnelle numérique du secteur financier (DORA) du 14 décembre 2022 ([38]) modifie notamment l’article 48 (§ 1 et § 6) de la directive MIFID 2 en ce qui concerne la résilience opérationnelle des gestionnaires de plates-formes de négociation.

Celle-ci doit être désormais répondre aux exigences prévues aux chapitres II et IV du règlement DORA ([39]) respectivement relatifs à la gestion du risque lié aux technologies de l’information et de la communication (TIC) et aux tests de résilience opérationnelle numérique.

En conséquence, l’article 44 du projet de loi prévoit de modifier l’article L. 420-3 du code monétaire et financier de manière que ses dispositions mentionnent expressément le respect du règlement DORA. Il entend aussi préciser que la mise en place de mécanismes assurant la continuité des activités en cas de défaillance imprévue des systèmes de négociation doit s’exécuter conformément à l’article 11 du règlement DORA qui détaille les modalités de mise en œuvre d’une politique complète de continuité des activités de TIC par les entités financières.

À noter également que le projet de loi rapproche le droit interne du droit de l’UE en prévoyant que les systèmes de négociation des plates-formes doivent être soumis à des tests « exhaustifs » afin de confirmer que les conditions de résilience opérationnelle des gestionnaires soient réunies en toutes circonstances et plus seulement « dans des situations d’extrême volatilité des marchés ».

Les modifications apportées par le Sénat

Cet article a été adopté sans modification par le Sénat.

La position de la commission

La commission spéciale a adopté l’amendement rédactionnel du rapporteur thématique Mickaël Bouloux.

*

Article 45

(art. L. 421-4 et L. 421-11 du code monétaire et financier)

Gestion du risque lié aux technologies de l’information et de la communication par les entreprises de marché

➢ Résumé du dispositif et effets principaux

Cet article introduit une référence au chapitre II du règlement DORA relatif à la gestion du risque lié aux technologies de l’information et de la communication dans les dispositions que sont tenues de prendre les sociétés qui gèrent un marché réglementé.

➢ Dernières modifications législatives intervenues

Les dispositions relatives aux obligations des entreprises de marché mentionnées par l’article 45 ont été introduites par l’ordonnance n° 2007-544 du 12 avril 2007 relative aux marchés d’instruments financiers qui transposait la directive MIFID 2.

➢ Modifications apportées par le Sénat

Cet article a été modifié par un amendement rédactionnel.

➢ Modifications apportées par la commission

La commission spéciale a adopté cet article sans modifications.

L’état du droit

Un marché réglementé est une catégorie de plate-forme de négociation ([40]) qui constitue un système multilatéral assurant ou facilitant la rencontre, en son sein et selon des règles non discrétionnaires, de multiples intérêts acheteurs et vendeurs exprimés par des tiers pour des instruments financiers, d’une manière qui aboutisse à la conclusion de contrats portant sur les instruments financiers admis à la négociation dans le cadre des règles et systèmes de ce marché, ainsi que le définit l’article L. 421-1 du code monétaire et financier.

Il est géré par une entreprise de marché prenant la forme d’une société commerciale aux termes de l’article L. 421-2. Les trois marchés réglementés qui existent en France sont tous gérés par l’entreprise Euronext : le marché des actions (communément appelé « Bourse de Paris ») et les deux marchés de produits dérivés (le MATIF ([41]) et le MONEP ([42])).

En application de l’article L. 421-11, cette entreprise de marché est tenue de prendre les dispositions nécessaires en vue notamment de :

– disposer en permanence des moyens, d’une organisation et de procédures de suivi adéquats permettant d’identifier les risques significatifs de nature à compromettre le bon fonctionnement du marché réglementé qu’elle gère et prendre les mesures appropriées pour atténuer ces risques ;

– garantir le bon fonctionnement des systèmes techniques de négociation et disposer notamment de procédures d’urgence destinées à faire face aux éventuels dysfonctionnements.

Un arrêté du ministre chargé de l’économie, pris après l’avis de l’Autorité des marchés financiers (AMF) et du Comité consultatif de la législation et de la réglementation financières (CCLRF), détermine les règles relatives à ces deux obligations. Il revient également à l’AMF de s’assurer de la bonne application de ces règles, en s’appuyant notamment sur les contrôles effectués par l’Autorité de contrôle prudentiel et de résolution (ACPR), comme le prévoient les articles L. 421-4 et L. 421-11.

Ces dispositions sont conformes à l’article 47 de la seconde directive sur les marchés d’instruments financiers ([43]) (MIFID ([44]) 2). Elles avaient été introduites en droit interne par l’ordonnance n° 2007-544 du 12 avril 2007 relative aux marchés d’instruments financiers qui transposait la première directive MIFID ([45]).

Le dispositif proposé

L’article 45 du projet de loi introduit une référence aux exigences introduites par le chapitre II du règlement de l’UE du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier ([46]) (DORA ([47])) dans les obligations auxquelles sont astreintes les entreprises de marché.

Le chapitre II du règlement DORA traite de la gestion du risque lié aux technologies de l’information et de la communication (TIC). L’article 6 de la directive éponyme ([48]) modifie en conséquence l’article 47 de la directive MIFID 2 afin que les États membres exigent des marchés réglementés « qu’ils soient adéquatement équipés pour gérer les risques auxquels ils sont exposés, y compris le risque lié aux TIC conformément au chapitre II du règlement [DORA], qu’ils mettent en œuvre des dispositifs et des systèmes appropriés leur permettant de cerner les risques significatifs pouvant compromettre leur bon fonctionnement, et qu’ils instaurent des mesures effectives pour atténuer ces risques ».

L’article 45 du projet de loi propose donc de modifier l’article L. 421-11 du code monétaire et financier, ainsi que l’article L. 421-4 par coordination, afin d’y introduire cette référence au nouveau cadre européen de gestion des risques en matière de TIC.

Les modifications apportées par le Sénat

La commission spéciale a adopté un amendement rédactionnel du rapporteur Michel Canévet.

La position de la commission

La commission spéciale a adopté cet article sans le modifier.

*

Article 45 bis

(art. L. 54-10-7 et L. 421-11-1 [nouveau] du code monétaire et financier)

Désignation de l’Autorité des marchés financiers comme autorité compétente dans le cas où une entreprise de marché ou un prestataire de services pour crypto-actifs est assujetti à plusieurs autorités de supervision

➢ Résumé du dispositif et effets principaux

Cet article additionnel adopté par le Sénat prévoit de désigner l’Autorité des marchés financiers (AMF) comme seule autorité compétente pour exercer les fonctions et les missions prévues à l’article 19 du règlement DORA (déclaration des incidents majeurs liés aux technologies de l’information et de la communication et notification volontaire des cybermenaces importantes) à l’égard de deux catégories d’entité financière :

– les prestataires de services de crypto-actifs ;

– les entreprises de marché.

Cette proposition s’inscrit dans la continuité de l’article 43 A (nouveau) du projet de loi qui confère le même rôle à la Banque de France et à l’Autorité de contrôle prudentiel et de résolution (ACPR) à l’égard d’autres entités financières.

➢ Dernières modifications législatives intervenues

L’article 45 bis complète l’article L. 54-10-7 du code monétaire financier qui a été créé par l’article 18 de l’ordonnance n° 2024-936 du 15 octobre 2024 relative aux marchés de crypto-actifs.

Il insère également un article L. 421-11-1 à ce même code au sein de la sous-section consacrée aux obligations des entreprises de marché.

➢ Modifications apportées par la commission

La commission spéciale a désigné l’AMF comme autorité compétente chargée de recevoir les déclarations des incidents majeurs liés aux TIC et les notifications de cybermenaces importantes de la part des entités financières qui relèvent de sa compétence tout en prévoyant une communication additionnelle à l’attention de l’Agence nationale de sécurité des systèmes d’information (ANSSI) par le biais d’un formulaire unique.

L’état du droit

L’article 19 du règlement DORA du 14 décembre 2022 ([49]) encadre la déclaration des incidents majeurs liés aux technologies de l’information et de la communication (TIC) et la notification volontaire des cybermenaces importantes par les entités financières ([50]).

Aux termes de cet acte, toutes les entités financières doivent notifier les incidents majeurs à leurs autorités compétentes au moyen d’un cadre rationalisé unique. De même, ces entités sont autorisées à notifier volontairement à ces mêmes autorités les cybermenaces importantes qu’elles estiment pertinentes pour le système financier, les utilisateurs de services ou les clients.

L’article 19 du règlement DORA précise en outre que « lorsqu’une entité financière est soumise à la surveillance de plusieurs autorités nationales compétentes […], les États membres désignent une seule autorité compétente ».

Le dispositif proposé par le Sénat

Par analogie avec la désignation, à l’article 43 A (nouveau), de la Banque de France et de l’Autorité de contrôle prudentiel et de résolution (ACPR) comme autorités respectivement compétentes pour les dépositaires centraux et pour la plupart des personnes morales du secteur de la banque et de l’assurance, le Sénat a également désigné l’Autorité des marchés financiers (AMF) comme autorité compétente pour :

– les prestataires de services sur crypto-actifs ;

– les entreprises de marché.

Cet ajout résulte de l’adoption en séance, contre l’avis du gouvernement, d’un amendement du rapporteur Michel Canévet. D’après lui, « la désignation d’un "guichet unique" constitue une mesure de simplification qui, sans préjudice des échanges d’informations entre les services administratifs compétents, réduit la charge administrative des entreprises qui constituent par suite un unique dossier de déclaration ou de notification ».

L’AMF se voit déjà soumettre les demandes d’agrément des prestataires de services sur crypto-actifs en application de l’article L. 54-10-7 du code monétaire et financier que le Sénat propose ainsi de compléter.

En ce qui concerne les entreprises de marché, en charge de la gestion des marchés réglementés ([51]), l’AMF vérifie la conformité des règles qu’elles édictent aux lois et aux règlements ([52]) et s’assure de la bonne application des dispositions auxquelles elles sont astreintes ([53]). C’est également cette autorité qui propose au ministre chargé de l’économie la reconnaissance d’un marché réglementé ([54]).

Si le gouvernement avait également proposé que l’AMF soit destinataire des déclarations d’incidents majeurs liés aux TIC et de la notification volontaire des cybermenaces importantes pour les prestataires de services de crypto-actifs ([55]) et pour les entreprises de marché ([56]) , il souhaitait néanmoins prévoir que, pour ces dernières, elles transmettent également ces signalements à l’Agence nationale de sécurité des systèmes d’information (ANSSI), notamment lorsqu’elles sont aussi soumises, en tant qu’entités essentielles, au titre II du projet de loi transposant la directive dite NIS 2 ([57]).

Ce débat rejoint celui posé lors de la discussion de l’article 43 A concernant la désignation de la Banque de France et de l’ACPR comme autorités compétentes au titre de l’application de l’article 19 du règlement DORA et la question du double assujettissement à celui-ci et la directive NIS 2.

La position de la commission

À l’instar des entités financières relevant de l’ACPR ([58]), la commission spéciale a adopté trois amendements identiques (du président, du rapporteur général et du rapporteur thématique Mickaël Bouloux) visant à désigner l’AMF comme destinataire des déclarations d’incidents majeurs liés aux TIC et des notifications de cybermenaces importantes des entités financières qu’elle supervise, tout en prévoyant une communication additionnelle à l’ANSSI.

Toutefois, les amendements adoptés précisent que « les déclarations et notifications mentionnées […] sont réalisées par le biais d’un document unique transmis simultanément » à l’AMF et à l’ANSSI, ce qui n’est pas le cas à l’article 43 A modifié par la commission spéciale.

L’application de l’article 45 bis est également étendu à la Nouvelle-Calédonie, à la Polynésie française et aux îles Wallis et Futuna.

*

Article 46

(art. L. 511-41-1-B du code monétaire et financier)

Références aux risques liés aux technologies de l’information et de la communication au sein des dispositifs de gestion des risques des établissements de crédit et des sociétés de financement

➢ Résumé du dispositif et effets principaux

Cet article prévoit de transposer l’article 4 de la directive DORA qui met en cohérence les exigences prudentielles auxquelles sont soumis les prestataires de services bancaires avec la prise en compte renforcée du risque lié aux technologies de l’information et de la communication par le règlement éponyme.

➢ Dernières modifications législatives intervenues

Ces dispositions ont été créées par l’article 3 de l’ordonnance n° 2014-158 du 20 février 2014 portant diverses dispositions d’adaptation de la législation au droit de l’Union européenne en matière financière qui transposait la directive CRD (Capital Requirements Directive) du 26 juin 2013 concernant l’accès à l’activité des établissements de crédit et la surveillance prudentielle.

➢ Modifications apportées par le Sénat

Cet article n’a pas été modifié par le Sénat.

➢ Modifications apportées par la commission

La commission spéciale a adopté un amendement rédactionnel.

L’état du droit

Les prestataires de services bancaires sont tenus de prendre des dispositions prudentielles consistant à respecter des normes de gestion destinées à garantir leur liquidité et leur solvabilité à l’égard des déposants et des tiers, ainsi que l’équilibre de leur structure financière, en application de l’article L. 511-41 du code monétaire et financier.

Parmi ces dispositions prudentielles figure, à l’article L. 511-41-1-B, l’obligation de mettre en place « des dispositifs, stratégies et procédures faisant l’objet d’un contrôle interne régulier […], leur permettant de détecter, de mesurer et de gérer les risques auxquels [les prestataires de services bancaires] sont ou pourraient être exposés du fait de leurs activités ».

Les risques mentionnés sont :

– le risque de crédit et de contrepartie, y compris le risque résiduel ;

– le risque de concentration lié aux expositions sur des contreparties ;

– le risque généré par les opérations de titrisation ;

– les risques de marché ;

– les risques de variation des taux d’intérêt et de variation des écarts de crédit lorsque ces variations affectent la valeur économique des fonds propres et les produits d’intérêts nets de leurs activités hors portefeuille de négociation ;

– le risque opérationnel ;

– le risque de liquidité ;

– le risque de levier excessif ;

– les risques mis en évidence dans le cadre de tests de résistance régulièrement mis en œuvre.

En fonction de la nature des risques encourus, les prestataires de services bancaires sont tenus d’établir des plans d’urgence et de poursuite de leur activité, de maintenir des coussins adéquats de liquidité et de disposer de plans de rétablissement de leur liquidité.

Ces dispositions ont été introduites par l’article 3 de l’ordonnance n° 2014-158 du 20 février 2014 portant diverses dispositions d’adaptation de la législation au droit de l’Union européenne en matière financière. Elles transposent la directive CRD ([63]) du 26 juin 2013 concernant l’accès à l’activité des établissements de crédit et la surveillance prudentielle ([64]) qui, elle-même, met en cohérence le droit de l’UE avec les normes internationales établies par les seconds accords de Bâle.

Le dispositif proposé

L’article 4 de la directive Digital Operational Resilience Act (DORA) du 14 décembre 2022 ([65]) modifie notamment les articles 85 et 97 de la directive CRD afin de mettre en cohérence les exigences prudentielles avec le nouveau cadre posé par le règlement DORA du même jour ([66]).

Au quatrième considérant de la directive DORA, il est en effet rappelé que la directive CRD n’énonce que des règles générales de gouvernance interne.

Le risque lié aux technologies de l’information et de la communication n’y est traité que de manière implicite sur la base de la prévention du risque opérationnel à l’article 85 de la directive CRD. Ce risque désigne l’éventualité de pertes découlant d’une inadéquation ou d’une défaillance des processus, du personnel et des systèmes internes ou d’événements extérieurs, y compris le risque juridique ([67]).

La directive DORA entend désormais traiter le risque lié aux TIC « explicitement et clairement », notamment en incluant les plans de réponse et de rétablissement dans les exigences en matière de plans d’urgence et de poursuite de l’activité.

Ainsi, les risques mis en évidence par les tests de résilience opérationnelle numérique prévus par le règlement DORA doivent figurer parmi les dangers auxquels les prestataires de services bancaires sont susceptibles d’être exposés et qui doivent faire l’objet d’un processus de contrôle et d’évaluation prudentiel harmonisé au niveau de l’UE (SREP ([68])). La directive DORA modifie en ce sens l’article 97 de la directive CRD.

L’article 46 du projet de loi prévoit donc d’inclure expressément les risques liés aux TIC, tels que définis par le règlement DORA, y compris ceux liés aux services de TIC fournis par les prestataires tiers, dans le périmètre du risque opérationnel.

Il ajoute également une dixième catégorie de risque correspondant à ceux « mis en évidence par des tests de résilience opérationnelle numérique conformément au chapitre IV du règlement [DORA] », ce dernier énonçant les exigences applicables à la réalisation de ces tests.

Enfin, le dispositif proposé par le gouvernement prévoit d’imposer aux établissements de crédit et aux sociétés de financement l’établissement de « politiques » d’urgence et de poursuite de leur activité et non plus seulement des « plans ». Ces derniers seraient complétés de « plans de réponse et de rétablissement des [TIC] qu’ils utilisent pour la communication d’informations ».

À noter que la directive CRD modifiée par la directive DORA ne vise que les établissements de crédit et non les sociétés de financement. Le gouvernement a néanmoins fait le choix d’étendre à ces dernières la transposition dans la mesure où « ces sociétés sont confrontées aux mêmes risques en matière de sécurité des systèmes d’information » comme le souligne le Conseil d’État dans son avis sur le projet de loi. Cet objectif lui apparaît cohérent avec la réglementation prudentielle qui traite ces sociétés de la même manière que les établissements de crédit.

Les modifications apportées par le Sénat

Le Sénat n’a pas apporté de modification à cet article.

La position de la commission

La commission spéciale a adopté l’amendement rédactionnel du rapporteur thématique Mickaël Bouloux.

*

Article 47

(art. L. 511-55 du code monétaire et financier)

Référence aux réseaux et systèmes d’information au sein des exigences de contrôle interne des établissements de crédit et des sociétés de financement

➢ Résumé du dispositif et effets principaux

Cet article transpose l’article 4 de la directive DORA en modifiant l’article L. 511-55 du code monétaire et financier qui oblige les prestataires de services bancaires à se doter d’un dispositif de gouvernance solide de manière à inclure les réseaux et systèmes d’information mis en place et gérés conformément au règlement DORA.

➢ Dernières modifications législatives intervenues

Ces dispositions ont été introduites dans le code monétaire et financier par l’ordonnance n° 2014-158 du 20 février 2014 portant diverses dispositions d’adaptation de la législation au droit de l’Union européenne en matière financière. Elles visaient à assurer la transposition de l’article 74 de la directive du 26 juin 2013 concernant l’accès à l’activité des établissements de crédit et la surveillance prudentielle des établissements de crédit et des entreprises d’investissement ([69]), dite CRD (Capital Requirements Directive).

➢ Modifications apportées par le Sénat

Cet article n’a pas été modifié par le Sénat.

➢ Modifications apportées par la commission

La commission spéciale n’a pas modifié cet article.

L’état du droit

Les établissements de crédit et les sociétés de financement constituent les deux catégories de prestataires de services bancaires ([70]). Ils sont soumis à plusieurs règles en ce qui concerne leur organisation et leur contrôle interne.

Ainsi, l’article L. 511-55 du code monétaire et financier dispose que ces prestataires de services bancaires doivent se doter d’un dispositif de gouvernance solide comprenant notamment :

– une organisation claire assurant un partage des responsabilités bien défini, transparent et cohérent ;

– des procédures efficaces de détection, de gestion, de suivi et de déclaration des risques auxquels ils sont ou pourraient être exposés ;

– un dispositif adéquat de contrôle interne ;

– des procédures administratives et comptables saines ;

– des politiques et pratiques de rémunération permettant et favorisant une gestion saine et efficace des risques ;

– un plan préventif de rétablissement, s’ils sont soumis à cette obligation.

Ces dispositions ont été introduites dans le code monétaire et financier par l’article 3 de l’ordonnance n° 2014-158 du 20 février 2014 portant diverses dispositions d’adaptation de la législation au droit de l’Union européenne en matière financière et constituent une transposition de l’article 74 de la directive CRD du 26 juin 2013 ([71]).

Le dispositif proposé

L’article 4 de la directive DORA du 14 décembre 2022 ([72]) modifie l’article 74 de la directive CRD. Au quatrième considérant de la directive DORA, il est en effet constaté les limites de cette dernière dans la mesure où celle-ci n’énonçait que des règles générales de gouvernance interne dans le domaine des services bancaires ([73]).

Désormais, les établissements de crédit doivent disposer d’un dispositif solide de gouvernance d’entreprise, comprenant notamment « des réseaux et des systèmes d’information qui sont mis en place et gérés conformément au règlement (UE) 2022/2554 ([74]) [DORA] ».

En conséquence, l’article 47 du projet de loi modifie l’article L. 511-55 du code monétaire et financier de sorte à ce que les établissements de crédit et les sociétés de financement se dotent « de réseaux et de systèmes d’information mis en place et gérés conformément au règlement [DORA] ». L’inclusion des sociétés de financement, alors que la directive CRD ainsi modifiée, ne vise que les établissements de crédit, se justifie par la similitude des risques auxquels elles sont exposées. Même s’il observe une forme de « sur-transposition », le Conseil d’État partage l’analyse du gouvernement ([75]), d’autant plus que ces deux prestataires de services bancaires sont d’ores et déjà soumis aux mêmes règles d’ordre prudentiel.

Les modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

La position de la commission

La commission spéciale a adopté cet article sans le modifier.

*

Article 48

(art. L. 521-9 du code monétaire et financier)

Obligations des prestataires de services de paiement en matière de gestion du risque lié aux technologies de l’information et de la communication

➢ Résumé du dispositif et effets principaux

Cet article prévoit que les prestataires de service de paiement respectent le cadre de gestion du risque lié aux technologies de l’information et de la communication établi par le règlement DORA du 14 décembre 2022 dans le cadre des procédures qu’ils sont tenus de mettre en place pour atténuer et contrôler les risques opérationnels de sécurité (article L. 521-9 du code monétaire et financier).

➢ Dernières modifications législatives intervenues

L’article L. 521-9 a été introduit dans le code monétaire et financier par l’ordonnance n° 2017-1252 du 9 août 2017 portant transposition de la directive 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur (DSP 2).

➢ Modifications apportées par le Sénat

Cet article n’a pas été modifié par le Sénat.

➢ Modifications apportées par la commission

La commission spéciale n’a pas modifié cet article.

L’état du droit

Au sens de l’article L. 521-1 du code monétaire et financier, les prestataires de services de paiement correspondent aux :

– établissements de paiement ;

– établissements de monnaie électronique ;

– établissements de crédit ;

– prestataires de services d’information sur les comptes.

La Banque de France ([76]), le Trésor public et la Caisse des dépôts et consignations (CDC) peuvent également être considérés comme de tels prestataires lorsqu’ils fournissent des services de paiement.

En vue de gérer les risques opérationnels et de sécurité liés à ces services, les prestataires en question sont tenus de mettre en place des procédures prévoyant des mesures d’atténuation et des mécanismes de contrôle appropriés, conformément à l’article 95 de la directive DSP 2 transposé à l’article L. 521-9 du code monétaire et financier ([77]).

Un arrêté du ministre en charge de l’économie et des finances du 3 novembre 2014 ([78]) précise le contenu de ces procédures.

Le dispositif proposé

L’article 95 de la directive DSP 2 a été modifié par l’article 7 (§ 4) de la directive DORA du 14 décembre 2022 ([80]). Ce dernier prévoit que le cadre prévoyant des mesures d’atténuation et des mécanismes de contrôle appropriés en vue de gérer les risques opérationnels et de sécurité soit établi « sans préjudice de l’application du chapitre II du règlement [DORA] ([81]) » par les prestataires de services de paiement.

Le chapitre en question fixe un cadre de gestion du risque lié aux technologies de l’information et de la communication (TIC) par les entités financières dans l’Union européenne. Par analogie avec les articles 44 (gestionnaires de plates-formes de négociation), 45 (entreprises de marché) et 52 (prestataires de services d’investissement) du projet de loi, l’article 48 prévoit qu’il soit fait référence à ces dispositions du règlement DORA pour les prestataires de services de paiement.

L’article L. 521-9 serait complété par un alinéa précisant que ces derniers « respectent en outre les exigences du chapitre II du règlement [DORA] ».

Les modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

La position de la commission

La commission spéciale a adopté cet article sans modification.

*

Article 49

(art. L. 521-10 du code monétaire et financier)

Modification de la liste des prestataires de services de paiement soumis à une obligation de notification des incidents opérationnels ou de sécurité majeur

➢ Résumé du dispositif et effets principaux

Cet article prévoyait initialement de réserver les obligations de déclaration des incidents majeurs actuellement en vigueur pour l’ensemble des prestataires de services de paiement (article L. 521-10 du code monétaire et financier) à la Banque de France, au Trésor public et à la Caisse des dépôts et consignations du fait de l’entrée en application directe du règlement DORA du 14 décembre 2022 pour ce qui concerne les entités financières.

➢ Dernières modifications législatives intervenues

Les dispositions de l’article L. 521-10 ont été introduites par l’ordonnance n° 2017-1252 du 9 août 2017 portant transposition de la directive 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur (DSP 2).

➢ Modifications apportées par le Sénat

Cet article a été réécrit par le Sénat dans un souci de simplification afin, d’une part, de faire de l’Autorité de contrôle prudentiel et de résolution (ACPR) l’unique destinataire des déclarations d’incidents qu’elle doit ensuite déclarer à la Banque de France et, d’autre part, de prévoir expressément que les obligations déclaratives auxquelles sont soumises les entités financières fournissant des services de paiement relèvent du règlement DORA. Le cas de la Caisse des dépôts et consignations demeure à part en raison de l’adoption à venir d’un nouveau décret relatif au contrôle interne et externe de celle-ci.

➢ Modifications apportées par la commission

La commission spéciale n’a pas modifié cet article.

L’état du droit

Lorsqu’ils sont confrontés à un incident majeur, les prestataires de services de paiement sont tenus d’en informer dans les meilleurs délais l’ACPR, la Banque de France ou encore ses utilisateurs selon les cas de figure en application de l’article L. 521-10 du code monétaire et financier.

Tels que définis à l’article L. 521-1, les prestataires de services de paiement sont les établissements de paiement, les établissements de monnaie électronique, les établissements de crédit et les prestataires de services d’information sur les comptes ([82]). Dès lors qu’ils fournissent des services de paiement, la Banque de France ([83]) , le Trésor public et la Caisse des dépôts et consignations (CDC) sont aussi considérés comme de tels prestataires.

En présence d’un incident opérationnel majeur, les prestataires de services de paiement doivent informer sans retard injustifié l’ACPR. S’il s’agit d’un incident de sécurité majeur, c’est la Banque de France qui est destinataire de l’information. Dans ce cas, elle évalue la gravité de l’événement et prend au besoin des mesures appropriées. Elle peut également en informer l’ACPR.

Pour le règlement DORA du 14 décembre 2022 ([84]), un incident opérationnel ou de sécurité majeur lié au paiement désigne « un événement ou une série d’événements liés entre eux que les [prestataires] n’ont pas prévu, lié ou non aux technologies de l’information et de la communication [TIC], qui une incidence négative élevée sur la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données liées au paiement ou sur les services liés au paiement fournis par l’entité financière » (article 3 § 9 et 11).

La Banque de France et l’ACPR doivent ensuite communiquer dans les meilleurs délais les détails importants de l’événement à l’Autorité bancaire européenne (ABE) et à la Banque centrale européenne (BCE), voire à d’autres autorités nationales concernées si elles l’estiment nécessaire.

L’article L. 521-10 dispose également que les utilisateurs de services de paiement doivent être informés sans retard injustifié d’un incident ayant ou susceptible d’avoir des répercussions sur leurs intérêts financiers ainsi que de toutes les mesures disponibles qu’ils peuvent prendre pour atténuer les effets dommageables de l’incident.

Ces dispositions ont été introduites par l’ordonnance n° 2017-1252 du 9 août 2017 portant transposition de la directive 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur (DSP 2) ([85]).

Le dispositif proposé

Le chapitre III du règlement DORA établit désormais des règles uniformes de gestion, de classification et de notification des incidents liés aux TIC pour les entités financières, notamment en ce qui concerne :

– la déclaration des incidents majeurs liés aux TIC et la notification volontaire des cybermenaces importantes (article 19) ([86]) ;

– le retour d’information en matière de surveillance (article 22) ;

– les incidents opérationnels ou de sécurité liés au paiement concernant les prestataires de services de paiement (article 23).

Ce dernier article dispose que les exigences du chapitre III du règlement s’appliquent également aux incidents opérationnels ou de sécurité, majeurs ou non, des prestataires de paiement au sens strict, c’est-à-dire « des établissements de paiement, des prestataires de services d’information sur les comptes et des établissements de monnaie électronique ». La mention expresse de ces seules entités financières conduit donc l’article 7 (§ 5) de la directive DORA ([87]) à modifier l’article 96 de la directive DSP 2 pour que ses règles de notification des incidents ne s’appliquent plus à ces prestataires de services de paiement nommément désignés et éviter ainsi un chevauchement des obligations de notification aux autorités compétentes.

La transposition en droit interne de cette nouvelle directive implique donc de limiter le champ de l’article L. 521-10 du code monétaire et financier à la Banque de France (Institut d’émission des départements d’outre-mer et Institut d’émission en d’outre-mer inclus), au Trésor public et à la CDC, les autres prestataires de services de paiement au sens strict étant désormais soumis à l’application directe du chapitre III du règlement DORA.

La version initiale de l’article 49 du projet de loi prévoyait donc de modifier cet article pour ne viser expressément que les institutions et services mentionnés au II de l’article L. 521-1.

Les modifications apportées par le Sénat

Le Sénat a intégralement réécrit, avec l’avis favorable du gouvernement, l’article 49 du projet de loi.

En commission spéciale

La commission spéciale a adopté un amendement du rapporteur Michel Canévet visant à répercuter une partie des dispositions du règlement DORA dans la rédaction de l’article L. 521-10 tout en élargissant à la CDC les règles de déclaration désormais prévues pour les prestataires de services de paiement au sens strict. Il fait également de l’ACPR la seule destinataire des notifications.

Dans le détail, le texte adopté par la commission spéciale prévoit ainsi que :

– les prestataires de services de paiement déclarent à l’ACPR tout incident opérationnel ou de sécurité majeur lié au paiement ;

– les prestataires de services de paiement au sens strict ainsi que la CDC réalisent cette déclaration conformément à l’article 23 du règlement DORA ([88]) et dans les conditions prévues à l’article 19 ([89]) ;

– l’ACPR prend, au besoin, des mesures appropriées, conformément aux dispositions de l’article 22 ([90]), à l’exception des mesures relatives à la Banque de France, à l’IEDOM, à l’IEOM et au Trésor public ;

– l’ACPR communique ces incidents et les mesures prises à la Banque de France en application de l’article L. 631-1 ([91]) ;

– la Banque de France évalue les incidents opérationnels ou de sécurité majeurs liés au paiement et prend, au besoin, des mesures appropriées en informant l’ACPR.

Dans un souci de simplification, les sénateurs ont voulu faire de l’ACPR un point d’entrée unique pour les prestataires de services de paiement au sens strict et la CDC en supprimant ainsi la distinction entre les incidents opérationnels et les incidents de sécurité. L’application à la CDC des règles de notification du règlement DORA se justifie par le cadre prudentiel de ce groupe public comparable à celui des établissements de crédit.

En séance

L’article 49 modifié par la commission spéciale n’a pas fait l’objet d’un amendement du gouvernement.

Le rapporteur Michel Canévet a présenté un amendement visant à en corriger la rédaction pour tenir compte de la modification à venir du décret n° 2020-94 du 5 février 2020 relatif au contrôle interne et externe de la Caisse des dépôts et consignations qui devrait précisément tirer les conséquences de l’application du règlement DORA. La rédaction proposée fait référence à ce décret en Conseil d’État sur les obligations déclaratives de la CDC.

L’article ainsi modifié a été adopté par le Sénat avec l’avis favorable du gouvernement.

comparaison des rédactions proposées pour l’article L. 521-10

du code monétaire et financier

En précisant que les règles de déclaration obéissent à celles du chapitre III du règlement DORA.

En précisant que les règles de déclaration obéissent : à celles du chapitre III du règlement DORA (en commission spéciale) ; à celles du décret du 5 février 2020 (en séance).

La position de la commission

La commission spéciale a adopté cet article sans le modifier.

*

Article 49 bis

(art. L. 532-50 du code monétaire et financier)

Extension de l’application du règlement DORA aux succursales d’entreprises d’investissement de pays tiers

➢ Résumé du dispositif et effets principaux

Cet article additionnel adopté par le Sénat prévoit d’étendre l’application du règlement Digital Operational Resilience Act (DORA) du 14 décembre 2022 aux succursales d’entreprises d’investissement de pays tiers afin de ne pas créer une rupture de l’égalité avec les autres prestataires de services d’investissement en France. En effet, le règlement DORA ne vise que les entreprises d’investissement stricto sensu.

➢ Dernières modifications législatives intervenues

L’article L. 532-50 du code monétaire et financier que le Sénat propose de compléter soumet les succursales d’entreprises d’investissement de pays tiers aux exigences prudentielles du règlement et de la directive Investment Firms Regulations and Directive (IFR-IFD) du 27 novembre 2019. Ses dispositions ont été introduites par l’article 77 de la loi n° 2019-486 du 22 mai 2019 relative à la croissance et la transformation des entreprises.

➢ Modifications apportées par la commission

La commission spéciale a adopté un amendement rédactionnel.

L’état du droit

L’article L. 531-4 du code monétaire et financier définit les entreprises d’investissement comme des personnes morales agréées pour fournir à titre de profession habituelle des services d’investissement. Avec les sociétés de gestion de portefeuille et les établissements de crédit qui ont reçu un agrément en ce sens, elles appartiennent à la catégorie des prestataires de services d’investissement, conformément à l’article L. 531-1.

Une entreprise d’investissement doit satisfaire plusieurs conditions d’exercice, notamment en ce qui concerne les règles spécifiques relatives à une entreprise de pays tiers, c’est-à-dire « une entreprise qui, si son administration centrale ou son siège social étaient situés dans un État membre de l’Union européenne [UE], serait […] une entreprise d’investissement » (article L. 532-47).

Celle-ci peut établir une succursale dans un État membre l’UE pour pouvoir fournir des services d’investissement à des clients, dès lors qu’elle a obtenu un agrément de l’autorité nationale compétente, soit l’Autorité de contrôle prudentiel et de résolution (ACPR) en la France.

À ce titre, l’article L. 532-50 prévoit que les dispositions du règlement du 27 novembre 2019 concernant les exigences prudentielles applicables aux entreprises d’investissement ([93]) doivent être respectées par ces succursales d’entreprises de pays tiers, de même que plusieurs normes de gestion en droit interne transposées à partir de la directive du 27 novembre 2019 concernant la surveillance prudentielle de ces mêmes entreprises ([94]). Ces deux actes législatifs de l’UE sont communément désignés ensemble sous l’acronyme IFR-IFD (Investment Firms Regulations et Investment Firms Directive en anglais).

Le dispositif proposé par le Sénat

La commission spéciale a adopté un amendement du rapporteur Michel Canévet portant article additionnel après l’article 49 du projet de loi.

Ces nouvelles dispositions étendent aux succursales d’entreprises d’investissement de pays tiers l’application du règlement DORA du 14 décembre 2022 ([95]), l’auteur de l’amendement soulignant que l’effet direct de cet acte législatif en droit interne ne permet pas d’inclure ces établissements. L’article 2 du règlement DORA ne mentionne que les entreprises d’investissement parmi les entités financières auxquelles ses dispositions s’appliquent.

Le rapporteur a considéré que « pour des raisons d’égalité de traitement, ces succursales devraient être soumises aux mêmes standards que tout autre acteur financier délivrant des services d’investissement en France ». Il a également défendu une analogie avec les exigences prudentielles qui s’imposent tant aux entreprises d’investissement de l’UE qu’aux succursales d’entreprises de pays tiers.

En séance, l’article additionnel a été adopté sans faire l’objet d’amendement du gouvernement.

La position de la commission

La commission spéciale a adopté l’amendement rédactionnel du rapporteur thématique Mickaël Bouloux.

*

Article 50

(art. L. 533-2 du code monétaire et financier)

Référence aux réseaux et systèmes d’information au sein des exigences de contrôle et de sauvegarde des prestataires de service d’investissement

➢ Résumé du dispositif et effets principaux

Cet article transpose l’article 4 de la directive DORA en modifiant l’article L. 533-2 du code monétaire et financier, qui oblige les entreprises d’investissement et les entreprises de crédit qui fournissent des services d’investissement à se doter de dispositifs efficaces de contrôle et de sauvegarde de leurs systèmes informatiques, afin de faire référence aux réseaux et systèmes d’information mis en place et gérés conformément au règlement DORA.

➢ Dernières modifications législatives intervenues

Ces dispositions ont été introduites par l’ordonnance n° 2007-544 du 12 avril 2007 relative aux marchés d’instruments financiers. Elles sont conformes à l’article 74 de la directive CRD du 26 juin 2013.

➢ Modifications apportées par le Sénat

Cet article n’a pas été modifié par le Sénat.

➢ Modifications apportées par la commission

La commission spéciale n’a pas modifié cet article.

L’état du droit

Les prestataires de services d’investissement (entreprises d’investissement, sociétés de gestion de portefeuille, établissements de crédit agréés ([96])) doivent respecter plusieurs normes de gestion.

Parmi elles se trouve l’obligation pour les entreprises d’investissement et les établissements de crédit agréés de disposer de :

– procédures administratives saines ;

– mécanismes de contrôle interne ;

– techniques efficaces d’évaluation des risques ;

– dispositifs efficaces de contrôle et de sauvegarde de leurs systèmes informatiques ;

– de techniques d’atténuation des risques pour les contrats dérivés de gré à gré non compensés par une contrepartie centrale.

Les sociétés de gestion de portefeuille ne sont pas concernées par ces obligations.

Ces dispositions figurant à l’article L. 533-2 du code monétaire et financier ont été, pour la plupart, introduites par l’article 4 de l’ordonnance n° 2007-544 du 12 avril 2007 relative aux marchés d’instruments financiers ainsi que par l’article 46 de la loi n° 2013-672 du 26 juillet 2013 de séparation et de régulation des activités bancaires pour ce qui concerne les techniques d’atténuation des risques pour certains contrats dérivés.

La rédaction actuelle respecte l’article 74 de la directive du 26 juin 2013 concernant l’accès à l’activité des établissements de crédit et la surveillance prudentielle des établissements de crédit et des entreprises d’investissement ([97]), dite « CRD » (Capital Requirements Directive).

Le dispositif proposé

L’article 4 de la directive Digital Operational Resilience Act (DORA) du 14 décembre 2022 ([98]) modifie l’article 74 de la directive CRD. Désormais, les entreprises d’investissement et l’ensemble des établissements de crédit, y compris donc ceux qui ont reçu un agrément pour fournir des services d’investissement conformément à l’article L. 531-1 du code précité, doivent disposer d’un dispositif solide de gouvernance d’entreprise, comprenant notamment « des réseaux et des systèmes d’information qui sont mis en place et gérés conformément au règlement (UE) 2022/2554 ([99]) [DORA] ».

Par analogie avec l’article 47 du projet de loi qui intégrait cette référence à l’article L. 511-55 au sujet de la gouvernance des établissements de crédit et des sociétés de financement ([100]), il est proposé que l’obligation faite aux prestataires de service d’investissement – autres que les sociétés de gestion de portefeuille – de se doter de « dispositifs efficaces de contrôle et de sauvegarde de leurs systèmes informatiques » concerne bien les « réseaux et systèmes d’information mis en place et gérés conformément au règlement [DORA] ».

Les modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

La position de la commission

La commission spéciale a adopté cet article sans le modifier.

*

Article 51

(art. L. 533-10 du code monétaire et financier)

Systèmes de technologies de l’information et de la communication et dispositifs de contrôle des prestataires de services d’investissement

➢ Résumé du dispositif et effets principaux

Cet article transpose les articles premier et 6 de la directive DORA qui, elle-même, modifie deux directives sectorielles consacrées aux organismes de placement collectif en valeurs mobilières (OPCVM) et aux marchés d’instruments financiers (MIFID 2).

Il est question de faire référence au règlement DORA pour ce qui concerne plusieurs règles d’organisation auxquelles sont soumises les prestataires de services d’investissement en ce qui concerne les réseaux, les systèmes et les technologies de l’information et de la communication.

➢ Dernières modifications législatives intervenues

Les dispositions de l’article L. 533-10 ont été introduites dans le code monétaire et financier par l’ordonnance n° 2016-827 du 23 juin 2016 relative aux marchés d’instruments financiers.

➢ Modifications apportées par le Sénat

Cet article n’a pas été modifié par le Sénat.

➢ Modifications apportées par la commission

La commission spéciale a adopté un amendement rédactionnel.

L’état du droit

Les différents prestataires de services d’investissement (entreprises d’investissement, sociétés de gestion de portefeuille et établissements de crédits agréés ([101])) doivent obéir à plusieurs règles d’organisation.

L’article L. 533-10 du code monétaire et financier dispose que les sociétés de gestion de portefeuille ont l’obligation de :

– mettre en place des règles et procédures permettant de garantir le respect des dispositions qui leur sont applicables, y compris par les personnes placées sous leur autorité ou agissant pour leur compte (en particulier les conditions et limites dans lesquelles ces dernières peuvent effectuer pour leur propre compte des transactions personnelles) ;

– prendre toutes les mesures raisonnables pour empêcher les conflits d’intérêts de porter atteinte aux intérêts de leurs clients ;

– prendre des mesures raisonnables en utilisant des ressources et des procédures appropriées et proportionnées pour garantir la continuité et la régularité de la fourniture des services d’investissement, notamment lorsqu’elles confient à des tiers des fonctions opérationnelles importantes ;

– conserver un enregistrement de tout service qu’elles fournissent et de toute transaction qu’elles effectuent, permettant à l’Autorité des marchés financiers (AMF) de contrôler le respect de leurs obligations et, en particulier, de toutes leurs obligations à l’égard des clients, notamment des clients potentiels.

Les prestataires de services d’investissement autres que les sociétés de gestion de portefeuille, c’est-à-dire les entreprises d’investissement et les établissements de crédits à ce titre agréés, se soumettent à des conditions analogues.

Toutefois, l’article L. 533-10 précité précise, au 4° du II, que ces derniers doivent prendre des mesures raisonnables, en utilisant « des systèmes » – en plus des ressources et des procédures appropriées et proportionnées – pour garantir la continuité, la régularité mais aussi « le caractère satisfaisant » de la fourniture des services d’investissement, notamment lorsqu’ils confient à des tiers des fonctions « ou d’autres tâches » opérationnelles essentielles ou importantes. Il est en outre précisé que ces prestataires doivent éviter une aggravation indue du risque opérationnel.

La loi prévoit également que les entreprises d’investissement et les établissements de crédits agréés disposent en plus de mécanismes de sécurité solides pour garantir la sécurité et l’authentification des moyens de transfert de l’information, réduire au minimum le risque d’altération de données et d’accès non autorisé et empêcher les fuites d’informations afin de maintenir en permanence la confidentialité des données (5° du II).

Ces dispositions ont été introduites par l’article 11 de l’ordonnance n° 2016-827 du 23 juin 2016 relative aux marchés d’instruments financiers. Elles constituent une transposition de deux directives :

– la directive du 13 juillet 2009 concernant certains OPCVM, notamment son article 12 ;

– la directive du 15 mai 2014 concernant les marchés d’instruments financiers, dite MIFID 2 (Markets in Financial Instruments Directive II) ([104]), notamment son article 16.

Le dispositif proposé

La directive DORA du 14 décembre 2022 ([105]) modifie plusieurs directives sectorielles, dont les articles précités des directives OPCVM et MIFID 2.

L’article premier (§ 1) de la directive DORA amende l’article 12 de la directive OPCVM afin que les autorités compétentes de l’État membre d’origine d’une société de gestion de portefeuille exigent de celle-ci qu’elle ait « des procédures administratives et comptables saines, des dispositifs de contrôle et de sauvegarde dans le domaine du traitement électronique des données, y compris en ce qui concerne les réseaux et les systèmes d’information qui sont mis en place et gérés conformément au règlement [DORA] » ([106]).

En conséquence, le 1° de l’article 51 du projet de loi propose de compléter le I de l’article L. 533-10 du code monétaire et financier par un 6° visant à ce que les sociétés de gestion de portefeuille, à l’exception de celles qui gèrent des FIA, mettent en place de telles procédures faisant référence aux « réseaux et systèmes d’information mis en place et gérés conformément au règlement [DORA] ». Cette mention est analogue à celles que le projet de loi envisage d’introduire :

– à l’article L. 511-55 par l’article 47 concernant les établissements de crédit et les sociétés de financement ;

– à l’article L. 533-2 par l’article 50 au sujet des entreprises d’investissement et des établissements de crédit fournissant des services d’investissement.

L’article 6 (§ 1) de la directive DORA modifie également l’article 16 de la directive MIFID 2 afin de prévoir que « toute entreprise d’investissement prend des mesures raisonnables pour garantir la continuité et la régularité de la fourniture de ses services d’investissement et de l’exercice de ses activités d’investissement » et qu’à cette fin « elle utilise des systèmes appropriés et proportionnés, y compris des systèmes de technologies de l’information et de la communication [TIC] mis en place et gérés conformément à l’article 7 du règlement [DORA] ainsi que des ressources et des procédures appropriées et proportionnées ».

Il précise également que les entreprises d’investissement assurent la sécurité et l’authentification des moyens de transfert de l’information conformément à ce même règlement.

Dès lors, le 2° de l’article 51 du projet de loi vise à ce que les prestataires de services d’investissement – autres que les sociétés de gestion de portefeuille – utilisent des systèmes « appropriés et proportionnés », y compris des systèmes de TIC conformes au règlement précité, pour garantir la continuité des services d’investissement qu’ils offrent.

Il ajoute que la garantie de la sécurité et de l’authentification des moyens de transfert de l’information se fait aussi conformément au règlement DORA et procède, par la même occasion, à une correction rédactionnelle.

Les modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

La position de la commission

La commission spéciale a adopté l’amendement du rapporteur thématique Mickaël Bouloux.

*

Article 52

(art. L. 533-10-4 du code monétaire et financier)

Systèmes de contrôle des risques mis en œuvre par les prestataires de services d’investissement autres que les sociétés de gestion de portefeuille qui ont recours à la négociation algorithmique

➢ Résumé du dispositif et effets principaux

Cet article modifie l’article L. 533-10-4 du code monétaire et financier relatif à la prévention et à la résolution des incidents susceptibles d’affecter les activités de négociation algorithmique des entreprises d’investissement et des établissements de crédit agréés afin de transposer l’article 6 de la directive DORA du 14 décembre 2022 modifiant l’article 17 de la directive MIFID 2 du 15 mai 2014.

Celui-ci fait désormais référence aux exigences fixées par le règlement DORA en matière de gestion des risques liés aux technologies de l’information et de la communication, de réponse aux incidents, de rétablissement des services et de conduite de tests de résilience opérationnelle numérique.

➢ Dernières modifications législatives intervenues

Les dispositions de l’article L. 533-10-4 ont été introduites dans le code monétaire et financier par l’article 11 de l’ordonnance n° 2016-827 du 23 juin 2016 relative aux marchés d’instruments financiers, transposant l’article 17 de la directive MIFID 2.

➢ Modifications apportées par le Sénat

Cet article n’a pas été modifié par le Sénat.

➢ Modifications apportées par la commission

La commission spéciale a adopté un amendement rédactionnel.

L’état du droit

Les prestataires de services d’investissement (entreprises d’investissement, sociétés de gestion de portefeuille, établissements de crédit agréés ([107]) sont soumis à plusieurs règles d’organisation. Plusieurs d’entre elles régissent plus spécifiquement les activités de négociation algorithmique.

Celle-ci désigne la négociation d’instruments financiers dans laquelle un algorithme informatique détermine automatiquement les paramètres des ordres tels que l’opportunité ou le moment de leur émission, les conditions de prix ou de quantité ou la façon dont ils seront gérés après leur émission, sans intervention humaine ou avec une intervention humaine limitée. Cette définition, inscrite à l’article L. 533-10-3 du code monétaire et financier, est issue de la directive du 15 mai 2014 concernant les marchés d’instruments financiers ([108]) (MIFID 2 ([109])).

En pratique, la négociation algorithmique prend, par exemple, la forme des paramètres d’ordre pour l’achat ou la vente d’actions (prix de saisie, volume de position, instant d’ouverture et de clôture…).

L’article L. 533-10-4 dispose que les prestataires de services d’investissement autres que les sociétés de gestion de portefeuille, c’est-à-dire les entreprises d’investissement et les établissements de crédit agréés, ayant recours à la négociation algorithmique sont tenus de disposer de systèmes et contrôles des risques efficaces et adaptés à leur activité pour garantir que leurs systèmes de négociation :

– soient résilients et aient une capacité suffisante ;

– soient soumis à des seuils et limites de négociation appropriés ;

– préviennent l’envoi d’ordres erronés ou tout autre fonctionnement des systèmes susceptible de donner naissance ou de contribuer à une perturbation de marché ;

– ne puissent être utilisés à aucune fin contraire au règlement du 16 avril 2014 sur les abus de marché ([110]) ou aux règles d’une plate-forme de négociation à laquelle ces prestataires sont connectés.

Les entreprises d’investissement et les établissements de crédit agréés doivent, en outre, disposer de plans de continuité des activités efficaces pour faire face à toute défaillance de leurs systèmes de négociation et veiller à ce que ces derniers soient entièrement testés et convenablement suivis de manière à garantir leur conformité à ces exigences.

Ces dispositions ont été introduites dans le code monétaire et financier par l’article 11 de l’ordonnance n° 2016-827 du 23 juin 2016 relative aux marchés d’instruments financiers, transposant l’article 17 de la directive MIFID 2 précitée.

Le dispositif proposé

L’article 6 (§ 2) de la directive DORA du 14 décembre 2022 ([111]) modifie l’article 17 de la directive MIFID 2 pour mettre en cohérence ses dispositions avec le règlement DORA du même jour ([112]).

Tout d’abord, il prévoit que les systèmes et contrôles des risques dont disposent les entreprises d’investissement soient conformes aux exigences du chapitre II du règlement DORA, dédié à la gestion du risque lié aux technologies de l’information et de la communication (TIC). Cette référence est analogue à celles proposées aux articles 44 (gestionnaires de plate-forme de négociation), 45 (entreprises de marché) et 48 (prestataires de services de paiement) du projet de loi.

Concernant les mécanismes de continuité des activités, l’article 6 de la directive DORA amende également l’article 17 de la directive MIFID 2 de manière à ce qu’ils comprennent aussi « une politique et des plans en matière de continuité des activités de TIC et de plans de réponse et de rétablissement des TIC mis en place conformément à l’article 11 du règlement [DORA] ». Cet article détaille les modalités de réponse aux incidents et de rétablissement des services.

En outre, les systèmes de négociation de ces prestataires de services d’investissement doivent satisfaire les exigences spécifiques fixées aux chapitres II et IV du règlement DORA, ce dernier chapitre portant sur les tests de résilience opérationnelle numérique.

En conséquence, le présent article du projet de loi entend modifier l’article L. 533-10-4 du code monétaire et financier pour :

– préciser que l’obligation de résilience et de capacité suffisante des systèmes et contrôles des risques se fait conformément aux exigences du chapitre II du règlement DORA ;

– imposer que les prestataires disposent de « mécanismes » et non de « plans » de continuité des activités « y compris d’une politique et de plans en matière de continuité des activités liées aux [TIC] et de plans de réponse et de rétablissement des [TIC] mis en place conformément à l’article 11 du règlement [DORA] » ;

– faire en sorte que ces mécanismes soient testés et suivis de manière à garantir leur conformité aux chapitres II et IV du règlement DORA.

Les modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

La position de la commission

La commission spéciale a adopté l’amendement rédactionnel du rapporteur thématique Mickaël Bouloux.

*

Article 53 (suppression maintenue)

(art. L. 612-24 du code monétaire et financier)

Référence aux prestataires informatiques critiques au sein des tiers auxquels l’Autorité de contrôle prudentiel et de résolution peut demander toute information

➢ Résumé du dispositif et effets principaux

Cet article incluait les prestataires tiers de services fondés sur les technologies de l’information et de la communication dans la liste des organismes susceptibles de devoir communiquer tous documents et renseignements à l’Autorité de contrôle prudentiel et de résolution (ACPR) à la demande de son secrétaire général en application de l’article L. 612-24 du code monétaire et financier.

La rédaction proposée était une transposition de l’article 4 de la directive DORA amendant l’article 65 de la directive CRD.

➢ Dernières modifications législatives intervenues

Ces dispositions avaient été introduites dans le code monétaire et financier par l’article 4 de l’ordonnance n° 2014-158 du 20 février 2014 portant diverses dispositions d’adaptation de la législation au droit de l’Union européenne en matière financière qui transposait l’article 65 de la directive CRD.

➢ Modifications apportées par le Sénat

Cet article a été supprimé par le Sénat au motif que la rédaction actuelle de l’article L. 612-24 inclut déjà l’ensemble des tiers auprès desquels les personnes assujetties à l’ACPR ont externalisé des fonctions ou activités opérationnelles.

➢ Modifications apportées par la commission

La commission spéciale a maintenu la suppression de cet article.

L’état du droit

L’ACPR est chargée de veiller à la préservation de la stabilité du système financier et à la protection des clients, des assurées, des adhérents et des autres bénéficiaires des personnes qui sont soumises à son contrôle en application de l’article L. 612-1 du code monétaire et financier.

Ces personnes appartiennent au secteur de la banque, des services de paiement et des services d’investissement ainsi qu’à celui de l’assurance.

Pour exercer son contrôle, l’article L. 612-24 prévoit notamment que l’ACPR détermine la liste, le modèle, la fréquence et les délais de transmission des documents et des informations qui doivent lui être remis périodiquement.

À ce titre, son secrétaire général est habilité à demander tous renseignements et documents aux tiers auprès desquels les entités assujetties à son contrôle ont externalisé des fonctions ou activités opérationnelles. Il peut s’agir de rapports d’audit interne ou de contrats souscrits par exemple.

Ces dernières dispositions ont été introduites dans le code monétaire et financier par l’article 4 de l’ordonnance n° 2014-158 du 20 février 2014 portant diverses dispositions d’adaptation de la législation au droit de l’Union européenne en matière financière. Elles constituent une transposition de l’article 65 de la directive du 26 juin 2013 concernant l’accès à l’activité des établissements de crédit et la surveillance prudentielle des établissements de crédit et des entreprises d’investissement ([113]), dite Capital Requirements Directive (CRD). Cette dernière met elle-même en œuvre les stipulations des seconds accords de Bâle de 2004.

Le dispositif proposé

L’article 4 de la directive DORA du 14 décembre 2022 ([114]) modifie l’article 65 de la directive CRD de manière à préciser que les tiers susceptibles de devoir communiquer leurs documents à leur autorité de supervision comprennent aussi les prestataires tiers de services de technologie de l’information et de la communication (TIC) visés au chapitre V du règlement DORA ([115]).

En conséquence, l’article 53 du projet de loi proposait d’inscrire cette précision au troisième alinéa de l’article L. 612-24 du code monétaire et financier.

Les modifications apportées par le Sénat

La commission spéciale du Sénat a adopté un amendement du rapporteur Michel Canévet visant à supprimer cet article.

D’après lui, le secrétaire général de l’ACPR dispose déjà d’un pouvoir de communication des renseignements et documents nécessaires à l’accomplissement de sa mission de contrôle des entités financières de la part des prestataires tiers.

En effet, le troisième alinéa de l’article L. 612-24 prévoit que ce pouvoir s’exerce à l’égard des filiales des personnes assujetties « ainsi qu’aux tiers auprès desquels ces personnes ont externalisé des fonctions ou activités opérationnelles ».

Le rapporteur a observé que « le fait de mentionner une catégorie spécifique de prestataires tiers risquerait, par un effet d’a contrario, de fragiliser cette rédaction large qui permet d’inclure l’ensemble des prestataires dans le cadre d’une externalisation ».

En séance, aucun amendement visant au rétablissement de cet article n’a été déposé.

La position de la commission

La commission spéciale n’a pas rétabli cet article.

*

Article 54

(art. L. 613-38 du code monétaire et financier)

Référence à la résilience opérationnelle numérique au sein des plans préventifs de résolution des établissements de crédit et des sociétés de financement

➢ Résumé du dispositif et effets principaux

Cet article prévoit de modifier l’article L. 613-38 du code monétaire et financier de façon à ce que deux éléments compris dans les plans de résolution établis par le collège éponyme de l’Autorité de contrôle prudentiel et de résolution (ACPR) fassent référence à la résilience opérationnelle et numérique ainsi qu’aux réseaux et aux systèmes d’information mise en place et gérés conformément au règlement DORA du 14 décembre 2022.

L’article transpose ainsi l’article 5 de la directive éponyme qui elle-même modifie l’article 10 de la directive du 15 mai 2014 établissant un cadre pour le redressement et la résolution des établissements de crédit et des entreprises d’investissement (BRRD).

➢ Dernières modifications législatives intervenues

Ces dispositions ont été introduites dans le code monétaire et financier par l’article 3 de l’ordonnance n° 2015-1024 du 20 août 2015 portant diverses dispositions d’adaptation de la législation au droit de l’Union européenne en matière financière qui transposait l’article 10 de la directive BRRD.

➢ Modifications apportées par le Sénat

Cet article n’a pas été modifié par le Sénat.

➢ Modifications apportées par la commission

La commission spéciale a adopté un amendement rédactionnel.

L’état du droit

L’ACPR comprend un collège de supervision, un collège de résolution et une commission des sanctions en application de l’article L. 612-4 du code monétaire et financier. Le second collège est notamment chargé d’établir des plans préventifs de résolution.

L’établissement de plans préventifs de résolution par ce collège fait partie des mesures de prévention et de gestion des crises bancaires, au même titre que :

– les plans préventifs de rétablissement ;

– l’analyse de résolvabilité ;

– l’exigence minimale de fonds propres et d’engagements éligibles ;

– les mesures d’intervention précoce ;

– les accords de soutien financier de groupe ;

– la valorisation ;

– les mesures de réduction et de conversion d’instruments de fonds propres ;

– la procédure de résolution.

L’article L. 613-38 dispose notamment que les plans préventifs de résolution comprennent un certain nombre d’éléments qui doivent être quantifiés « chaque fois que cela est nécessaire et possible ».

Ces dispositions ont été introduites dans le code monétaire et financier par l’article 3 de l’ordonnance n° 2015-1024 du 20 août 2015 portant diverses dispositions d’adaptation de la législation au droit de l’Union européenne en matière financière. Il s’agit d’une transposition de l’article 10 de la directive du 15 mai 2014 établissant un cadre pour le redressement et la résolution des établissements de crédit et des entreprises d’investissement ([116]), dite BRRD ([117]).

Le dispositif proposé

L’article 5 (§ 1) de la directive Digital Operational Resilience Act (DORA) du 14 décembre 2022 ([118]) modifie l’article 10 de la directive BRRD. Il amende deux éléments que les autorités nationales de résolution des États membres doivent faire figurer dans les plans de résolution qu’elles établissent :

– une démonstration de la façon dont les fonctions critiques et les activités fondamentales pourraient être juridiquement et économiquement séparées des autres fonctions dans la mesure nécessaire pour assurer, non seulement leur continuité, mais aussi leur « résilience opérationnelle numérique » en cas de défaillance de l’établissement ;

– une description des principaux systèmes et opérations permettant de maintenir en permanence le fonctionnement des processus opérationnels de l’établissement, « y compris des réseaux et des systèmes d’information visés dans le règlement [DORA] ([119]) ».

En conséquence, l’article 54 du projet de loi prévoit de procéder à ces mêmes modifications au sein du III de l’article L. 613-38 du code monétaire et financier, plus précisément au 3° et au 17°.

Concernant la mention des réseaux et des systèmes d’information mis en place et gérés conformément au règlement DORA, cette proposition d’ajout est analogue à celles proposées aux articles 50 et 51 du projet de loi pour les prestataires de services d’investissement ([120]) .

Les modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

La position de la commission

La commission spéciale a adopté l’amendement rédactionnel du rapporteur thématique Mickaël Bouloux.

*

Article 55

(art. L. 631-1 du code monétaire et financier)

Extension de la liste des autorités habilitées à échanger des informations

➢ Résumé du dispositif et effets principaux

Cet article modifie l’article L. 631-1 du code monétaire et financier de manière ce que la Banque de France et l’Autorité de contrôle prudentiel et de résolution (ACPR) soient également habilitées à échanger des informations avec l’Autorité des marchés financiers (AMF) et l’Agence nationale de sécurité des systèmes d’information (ANSSI) dans le domaine de la sécurité des systèmes d’information.

Cette extension est la conséquence de l’application des articles 48 et 49 du règlement DORA du 14 décembre 2022 sur la communication d’informations entre les autorités de surveillance du secteur financier.

➢ Dernières modifications législatives intervenues

Ces dispositions ont été introduites dans le code monétaire et financier par l’article 86 de la loi n° 2019-486 du 22 mai 2019 relative à la croissance et la transformation des entreprises (loi PACTE).

➢ Modifications apportées par le Sénat

Cet article n’a pas été modifié par le Sénat.

➢ Modifications apportées par la commission

La commission spéciale a adopté un amendement rédactionnel.

L’état du droit

L’article L. 631-1 du code monétaire et financier régit la coopération et les échanges d’information entre les autorités chargées de la surveillance du système financier.

Il institue une coopération entre la Banque de France, ainsi que l’Institut d’émission des départements d’outre-mer (IEDOM) et l’Institut d’émission d’outre-mer (IEOM) qui en émanent, l’ACPR et l’AMF. À ce titre, elles sont habilitées à se communiquer les renseignements utiles à l’accomplissement de leurs missions respectives.

Cette autorisation à échanger des informations concerne aussi d’autres organismes en ce qui concerne des secteurs d’activité spécifiques.

Dans le domaine de pratiques de commercialisation, elle s’applique à l’ACPR, à l’AMF ainsi qu’à l’autorité administrative chargée de la concurrence et de la consommation, en l’espèce la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) du ministère de l’économie, des finances et de la souveraineté industrielle et numérique.

Dans celui de la lutte contre la corruption, le blanchiment des capitaux et le financement du terrorisme, cette faculté concerne l’ACPR, l’administration des douanes ainsi que l’Agence française anticorruption (AFA).

Il existe un troisième domaine dans lequel plusieurs autorités sont autorisées se communiquer les renseignements utiles à l’accomplissement de leurs missions. Il s’agit de la sécurité des systèmes d’information qui concerne l’AMF et l’autorité nationale en charge de la sécurité des systèmes d’information, c’est-à-dire l’ANSSI.

Ce dernier champ d’échange d’informations a été introduit par l’article 86 de la loi n° 2019-486 du 22 mai 2019 relative à la croissance et la transformation des entreprises (loi PACTE). Cette disposition était issue d’un amendement en nouvelle lecture de M. Laurent Saint-Martin et de Mme Nadia Hai, députés, visant à ce que l’AMF ne soit pas soumise au secret professionnel lorsqu’elle communique avec l’ANSSI.

Le dispositif proposé

L’article 48 du règlement du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier ([121]), dit DORA, pose le principe d’une coopération étroite des autorités compétentes entre elles ainsi qu’avec, le cas échéant, le superviseur principal, c’est-à-dire l’autorité européenne de surveillance.

Son second paragraphe dispose, plus exactement, que « les autorités compétentes et le superviseur principal s’échangent mutuellement, en temps utile, toutes les informations pertinentes concernant les prestataires tiers critiques de services TIC [technologies de l’information et de la communication] qui leur sont nécessaires pour s’acquitter des missions qui leur incombent en vertu du [règlement DORA], en particulier en ce qui concerne les risques recensés, les approches et les mesures adoptées dans le cadre des tâches de supervision du superviseur principal ».

Quant à l’article 49 (§ 2), il prévoit que les autorités compétentes, les autorités européennes de surveillance et la Banque centrale européenne coopèrent étroitement entre elles et échangent des informations afin de s’acquitter de leurs missions, notamment celle d’imposer des sanctions administratives et des mesures correctives.

Prenant également en compte les nouvelles règles de gestion, de classification et de notification des incidents liés aux TIC pour les entités financières fixées par le chapitre III du règlement DORA ([122]), l’article 55 du projet de loi prévoit d’étendre les échanges d’informations en ce qui concerne la sécurité des systèmes d’information à la Banque de France et à l’ACPR afin d’assurer le respect, d’une part et sous réserve de son adoption par le Parlement, de la loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité et, d’autre part, du règlement DORA.

L’article 55 propose également que cette communication de renseignements utiles à l’exercice des missions respectives de l’AMF, de la Banque de France, de l’ACPR et de l’ANSSI se fasse « sans délai ».

Il s’inscrit dans la continuité de l’article 49 du projet de loi qui, dans sa rédaction initiale, limitait à l’ACPR et à la Banque de France l’obligation de déclaration d’incident de paiement prévue à l’article L. 521-10 du code monétaire et financier eu égard à l’application directe du règlement DORA, et notamment son chapitre III, aux prestataires privés de services de paiement. Le présent article entend en tirer les conséquences afin de prévoir des échanges d’information sans délai entre ces deux organismes ainsi que l’AMF et l’ANSSI dans les conditions prévues dans le règlement précité.

Les modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

La position de la commission

La commission spéciale a adopté l’amendement rédactionnel du rapporteur thématique Mickaël Bouloux.

*

Article 56

(art. L. 712-7, L. 752-10, L. 753-10, L. 754-8, L. 761-1, L. 762-3, L. 763-3, L. 764-3, L. 762-4, L. 763-4, L. 764-4, L. 771-1, L. 781-1, L. 773-5, L. 774-5, L. 775-5, L. 773-6, L. 774-6, L. 775-6, L. 773-21, L. 774-21, L. 775-15, L. 773-30, L. 774-30, L. 775-24, L. 783-2, L. 784-2, L. 785-2, L. 783-4, L. 784-4, L. 785-4, L. 783-13, L. 784-13 et L. 785-12 du code monétaire et financier)

Adaptations pour rendre applicables en outre-mer les modifications du code monétaire et financier prévues par le présent projet de loi

➢ Résumé du dispositif et effets principaux

Cet article prévoit de rendre applicables aux îles Wallis et Futuna, en Polynésie française et en Nouvelle-Calédonie les dispositions du présent chapitre du projet de loi.

Il étend également l’application du règlement du 14 décembre 2022 relatif à la résilience opérationnelle numérique du secteur financier (DORA) à ces trois territoires ainsi qu’à Saint-Pierre-et-Miquelon en raison de leur statut de pays et régions d’outre-mer associés à l’UE et non de région ultrapériphérique des États membres.

➢ Dernières modifications législatives intervenues

Cf. articles 43 à 55 du projet de loi.

➢ Modifications apportées par le Sénat

Le Sénat a corrigé plusieurs erreurs de référence, notamment en raison de l’entrée en vigueur de l’ordonnance n° 2024-936 du 15 octobre 2024 relative aux marchés de crypto-actifs, postérieure à la présentation du projet de loi en conseil des ministres.

➢ Modifications apportées par la commission

La commission spéciale a adopté un amendement de coordination.

L’état du droit

Les articles 43 à 55 du projet de loi prévoient de modifier le code monétaire et financier pour transposer la directive du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier ([123]), dite DORA ([124]), et l’adapter au règlement éponyme ([125]).

Conformément à l’article 73 de la Constitution, ces modifications sont applicables de plein droit dans les départements et les régions d’outre-mer, autrement dit en Guadeloupe, en Guyane, en Martinique, à La Réunion et à Mayotte.

L’application dans les collectivités d’outre-mer régies par l’article 74 de la Constitution et en Nouvelle-Calédonie dépend des dispositions de la loi organique fixant notamment les conditions dans lesquelles les lois et règlements y sont applicables.

En l’espèce, les articles du chapitre premier du titre III du projet de loi seront également en vigueur dans trois collectivités d’outre-mer sans qu’une mention expresse doive le préciser. Il s’agit de Saint-Barthélemy ([126]), Saint-Martin ([127]) et Saint-Pierre-et-Miquelon ([128]) en application de la loi organique n° 2007-223 du 21 février 2007 portant dispositions statutaires et institutionnelles relatives à l’outre-mer et, plus particulièrement, de l’article L. 711-2 du code monétaire et financier.

En revanche, l’application dans les autres collectivités d’outre-mer régies par l’article 74 et en Nouvelle-Calédonie n’est pas de plein droit et nécessite donc des dispositions spécifiques dans le projet de loi.

L’article L. 711-4 du code précité dispose en effet que « ne sont applicables en Nouvelle-Calédonie, en Polynésie française et dans les îles Wallis et Futuna que les dispositions du [code monétaire et financier] dont l’application est expressément prévue par le [livre VII : Dispositions relatives à l’outre-mer] », conformément aux statuts respectifs de ces territoires :

– article 4 de la loi n° 61-814 du 29 juillet 1961 conférant aux îles Wallis et Futuna le statut de territoire d’outre-mer ;

– article 6-2 de la loi n° 99-209 organique du 19 mars 1999 relative à la Nouvelle-Calédonie ;

– article 7 de la loi organique n° 2004-192 du 27 février 2004 portant statut d’autonomie de la Polynésie française.

Enfin, il convient également de rappeler que les règlements de l’Union européenne (UE) ne sont pas d’effet direct dans les pays et territoires d’outre-mer (PTOM) que sont les collectivités d’outre-mer françaises et la Nouvelle-Calédonie, à l’exception de Saint-Martin, contrairement aux régions ultrapériphériques (RUP) qui correspondent, en droit interne, aux départements et régions d’outre-mer mais aussi à Saint-Martin, où le droit de l’UE s’applique de plein droit.

L’article 288 du traité sur le fonctionnement de l’UE stipule que le règlement est directement applicable dans tout État membre. Or l’article 198 du même traité considère les PTOM comme des pays et territoires non européens entretenant « des relations particulières » avec plusieurs États membres, donc distincts d’eux, et les place sous un régime d’association avec l’Union et non d’appartenance.

En conséquence, les règlements européens n’ont d’effet direct que dans les départements et régions d’outre-mer et à Saint-Martin.

Toutefois, le règlement DORA est également applicable à Saint-Barthélemy en raison de l’accord monétaire entre l’UE et la France relatif au maintien de l’euro dans cette collectivité d’outre-mer. En effet, l’article L. 712-1 dispose que sont applicables de plein droit les actes juridiques et règles du droit de l’UE nécessaires au bon fonctionnement de l’Union économique et monétaire, notamment relatifs à la prévention de la fraude et de la contrefaçon des moyens de paiement, à la législation bancaire et financière et aux obligations de communication de données statistiques établies par l’Eurosystème.

statut des outre-mer vis-À-vis du droit de l’ue

Source : commission spéciale.

Le dispositif proposé

L’article 56 prévoit donc de rendre applicables les dispositions du projet de loi aux îles Wallis et Futuna, en Polynésie française et en Nouvelle-Calédonie en intégrant les articles modifiés dans leur rédaction qui résultera du projet de loi dans les différents tableaux dressant une liste des dispositions du code monétaire et financier applicables dans ces trois territoires.

Il prévoit également d’y rendre applicable le règlement DORA ainsi qu’à Saint-Pierre-et-Miquelon en modifiant les articles L. 712-7, L. 761-1, L. 771-1 et L. 781-1 du code monétaire et financier. Ce territoire est en effet un PTOM au sens du traité sur le fonctionnement de l’UE.

Les modifications apportées par le Sénat

La commission spéciale a adopté un amendement du rapporteur Michel Canévet corrigeant plusieurs erreurs de référence.

Il supprime la modification des articles L. 761-1, L. 771-1 et L. 781-1 du code monétaire et financier devenue obsolète dans la mesure où ces dispositions font désormais référence au règlement DORA depuis l’ordonnance n° 2024-936 du 15 octobre 2024 relative aux marchés de crypto-actifs (article 34), date à laquelle le projet de loi a été déposé au Sénat.

L’amendement a également corrigé le renvoi à l’article L. 613-38 (article 54 du projet de loi) pour qu’il s’opère au niveau du tableau figurant à l’article L. 785-3 et non à l’article L. 785-4.

En séance, le Sénat a adopté un autre amendement du rapporteur Michel Canévet corrigeant une autre erreur de ligne dans un tableau avec avis favorable du gouvernement.

La position de la commission

La commission spéciale a adopté l’amendement du rapporteur thématique Mickaël Bouloux prévoyant l’application de l’article 49 bis en Nouvelle-Calédonie, en Polynésie française et dans les îles Wallis et Futuna et retirant celle de l’article 53 du fait de sa suppression. Il corrige également une erreur de référence.

*

Chapitre II Dispositions modifiant le code des assurances

Article 57

(art. L. 354-1 du code des assurances)

Nouvelles obligations pour les entreprises d’assurance et de réassurance en matière de gouvernance des risques liés à l’utilisation des systèmes d’information

➢ Résumé du dispositif et effets principaux

Cet article modifie l’article L. 354-1 du code des assurances qui traite des systèmes de gouvernance des entreprises d’assurance et de réassurance mis en place dans le respect des règles prudentielles imposées par la directive du 25 novembre 2009 sur l’accès aux activités de l’assurance et de la réassurance et leur exercice (solvabilité II).

Il prévoit de faire référence aux règles de gestion et de mise en place des réseaux et systèmes d’information fixées par le règlement DORA du 14 décembre 2022. Il s’agit donc d’une transposition de l’article 2 de la directive du même nom.

➢ Dernières modifications législatives intervenues

Ces dispositions ont été introduites dans le code des assurances par l’article 4 de l’ordonnance n° 2015-378 du 2 avril 2015 transposant la directive « solvabilité II ».

➢ Modifications apportées par le Sénat

Cet article n’a pas été modifié par le Sénat.

➢ Modifications apportées par la commission

La commission spéciale a adopté un article rédactionnel.

L’état du droit

Les entreprises d’assurance et de réassurance qui relèvent du régime dit solvabilité II sont soumises à plusieurs règles d’ordre prudentiel.

Certaines de ces règles prudentielles ont trait au système de gouvernance que les entreprises d’assurance et de réassurance mettent en place. Ainsi, l’article L. 354-1 prévoit que ce système doit garantir une gestion saine et prudente de l’activité de l’entreprise et faire l’objet d’un réexamen interne régulier. En outre, il doit être proportionné à la nature, à l’ampleur et à la complexité des opérations de l’entreprise.

Le système de gouvernance est tenu de remplir les fonctions suivantes :

– gestion des risques ;

– vérification de la conformité ;

– audit interne ;

– calcul des provisions techniques (fonction actuarielle).

À ce titre, les entreprises soumises à la directive Solvabilité II ont l’obligation d’élaborer et de veiller à la mise en œuvre de politiques écrites relatives, au moins, à la gestion des risques, au contrôle interne, à l’audit interne et, le cas échéant, à l’externalisation.

Elles doivent aussi prendre des dispositions leur permettant d’assurer la continuité et la régularité dans l’exercice de leurs activités, incluant l’élaboration de plans d’urgence au travers notamment de dispositifs, de ressources et de procédures appropriés et proportionnés.

Ces dispositions ont été introduites dans le code des assurances par l’article 4 de l’ordonnance du 2 avril 2015 précitée.

Le dispositif proposé

L’article 2 de la directive DORA du 14 décembre 2022 ([131]) modifie l’article 41 (§ 4) de la directive Solvabilité II en ce qui concerne les mesures prises par les entreprises d’assurance et de réassurance pour assurer la continuité et la régularité de leurs activités.

La directive DORA exige que la mise en place et la gestion de réseaux et de systèmes d’information à ces fins soient conformes aux dispositions du règlement du même nom ([132]).

En conséquence, le 2° de l’article 57 du projet de loi propose de compléter le quatrième alinéa de l’article L. 354-1 du code des assurances afin de préciser que les entreprises d’assurance et de réassurance mettent en œuvre des dispositifs, des ressources et des procédures appropriés et proportionnés et, en particulier, « mettent en place et gèrent des réseaux et des systèmes d’information conformément au règlement [DORA] » afin d’assurer la continuité et la régularité de leurs activités.

Cette modification est analogue à celles proposées aux articles 47, 50, 51 et 54 du projet de loi en ce qui concerne respectivement les établissements de crédit et sociétés de financement, les prestataires de services d’investissement autre que les sociétés de gestion de portefeuille, les sociétés de gestion de portefeuille et les plans préventifs de résolution établis par le collège de résolution de l’Autorité de contrôle prudentiel et de résolution (ACPR) ([133]).

Par ailleurs, le 1° de l’article 57 propose une modification rédactionnelle du troisième alinéa de l’article L. 354-1 qui prévoit l’élaboration de politiques écrites relatives, entre autres, à l’externalisation. Le projet de loi prévoit qu’il soit précisément fait référence au 13° de l’article L. 310-3, et non plus à l’article dans sa globalité, qui définit l’externalisation comme « un accord, quelle que soit sa forme, conclu entre une entreprise et un prestataire de services, soumis ou non à un contrôle, en vertu duquel ce prestataire de services exécute, soit directement, soit en recourant lui-même à l’externalisation, une procédure, un service ou une activité, qui serait autrement exécuté par l’entreprise elle-même ».

Les modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

La position de la commission

La commission spéciale a adopté l’amendement rédactionnel du rapporteur thématique Mickaël Bouloux.

*

Article 58

(art. L. 356-18 du code des assurances)

Extension aux groupes d’assurance des nouvelles obligations de gouvernance des risques liés à l’utilisation des systèmes d’information

➢ Résumé du dispositif et effets principaux

Cet article modifie l’article L. 356-18 du code des assurances qui traite des systèmes de gouvernance des groupes mis en place dans le respect des règles prudentielles imposées par la directive du 25 novembre 2009 sur l’accès aux activités de l’assurance et de la réassurance et leur exercice (Solvabilité II).

Il prévoit de faire référence aux règles de gestion et de mise en place des réseaux et systèmes d’information fixées par le règlement DORA du 14 décembre 2022. Il s’agit donc d’une transposition de l’article 2 de la directive du même nom.

➢ Dernières modifications législatives intervenues

Ces dispositions ont été introduites dans le code des assurances par l’article 4 de l’ordonnance n° 2015-378 du 2 avril 2015 transposant la directive Solvabilité II.

➢ Modifications apportées par le Sénat

Cet article n’a pas été modifié par le Sénat.

➢ Modifications apportées par la commission

La commission spéciale a adopté un amendement rédactionnel.

L’état du droit

Les règles prudentielles introduites dans le code des assurances par la seconde directive sur l’accès aux activités de l’assurance et de la réassurance et leur exercice du 25 novembre 2009 ([134]), dite Solvabilité II, s’imposent également aux groupes d’entreprises.

Les groupes doivent répondre à des exigences spécifiques en matière de système de gouvernance. Elles s’adressent plus particulièrement :

– aux entreprises participantes dans au moins une entreprise d’assurance ou de réassurance, y compris d’un pays tiers ;

– aux entreprises mères prenant la forme d’une société de groupe d’assurance, d’une union mutualiste de groupe, d’une société de groupe assurantiel de protection sociale ou d’une compagnie financière holding mixte.

En application de l’article L. 356-18, ces entreprises participantes et mères sont tenues de mettre en place un système de gouvernance garantissant une gestion saine et prudente de l’activité au niveau du groupe et faisant l’objet d’un réexamen interne régulier. Il doit reposer sur une séparation claire des responsabilités au niveau du groupe et comporte un dispositif efficace de transmission des informations. Ce système de gouvernance est censé être proportionné à la nature, à l’ampleur et à la complexité des opérations du groupe.

Quatre fonctions clés doivent être accomplies par le système de gouvernance des entreprises participantes et mères :

– gestion des risques ;

– vérification de la conformité ;

– audit interne ;

– actuarielle.

Pour ce faire, les entreprises visées doivent élaborer des politiques écrites relatives, au moins, à la gestion des risques, au contrôle interne, à l’audit interne et, le cas échéant à l’externalisation et veiller à ce qu’elles soient mises en œuvre au niveau du groupe.

Les entreprises participantes et mères ont l’obligation de prendre des dispositions qui leur permettent d’assurer la continuité et la régularité de l’exercice de leurs activités, notamment en établissant des plans d’urgence au niveau du groupe. À cette fin, elles doivent mettre en œuvre des dispositifs, des ressources et des procédures appropriées.

L’ensemble de ces obligations en matière de gouvernance sont analogues à celles imposées aux entreprises d’assurance et de réassurance elles-mêmes à l’article L. 354-1 ([135]).

Elles ont également été introduites dans le code des assurances par l’article 4 de l’ordonnance du 2 avril 2015 ([136]) par transposition de l’article 246 de la directive Solvabilité II qui prévoit que les exigences prévues à l’article 41 en matière de système de gouvernance pour les entreprises du secteur de l’assurance s’appliquent mutatis mutandis au niveau du groupe.

Le dispositif proposé

L’article 2 (§ 1) de la directive DORA du 14 décembre 2022 ([137]) modifiant l’article 41 (§ 4) de la directive Solvabilité II, dont les dispositions sont étendues au niveau du groupe par l’article 246, l’article 58 du projet de loi prévoit donc une modification similaire de l’article L. 356-18 du code des assurances à celle proposée à l’article L. 354-1.

Ainsi, le 2° complète le dernier alinéa de l’article L. 356-18 afin de préciser que les entreprises participantes et mères mettent en œuvre des dispositifs, des ressources et des procédures appropriés et proportionnés et, en particulier, « mettent en place et gèrent des réseaux et des systèmes d’information conformément au règlement [DORA] ([138]) » afin d’assurer la continuité et la régularité de leurs activités au niveau du groupe.

Le 1° prévoit également une modification rédactionnelle du troisième alinéa de l’article L. 356-18 qui prévoit l’élaboration de politiques écrites relatives, entre autres, à l’externalisation. Le projet de loi prévoit qu’il soit précisément fait référence au 13° de l’article L. 310-3, et non plus à l’article dans sa globalité, qui définit l’externalisation comme « un accord, quelle que soit sa forme, conclu entre une entreprise et un prestataire de services, soumis ou non à un contrôle, en vertu duquel ce prestataire de services exécute, soit directement, soit en recourant lui-même à l’externalisation, une procédure, un service ou une activité, qui serait autrement exécuté par l’entreprise elle-même ».

Les modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

La position de la commission

La commission spéciale a adopté l’amendement rédactionnel du rapporteur thématique Mickaël Bouloux.

*

Article 58 bis

(art. L. 121-8 du code des assurances)

Inversion de la charge de la preuve pour les cyberattaques

➢ Résumé du dispositif et effets principaux

Cet article additionnel adopté par le Sénat prévoit d’inclure les attaques informatiques dans la liste des risques pour lesquels la charge de la preuve pèse sur l’assureur.

Toutefois, la rédaction proposée risque d’impliquer que l’assureur n’est pas tenu d’indemniser les pertes et dommages occasionnés par les cyberattaques dès lors qu’il arrive à en prouver l’origine.

➢ Dernières modifications législatives intervenues

L’article L. 121-8 du code des assurances résulte de la codification de l’article 34 de la loi du 13 juillet 1930 (loi Godard) relative au contrat d’assurance par décret en 1976. Il n’a pas été modifié depuis.

➢ Modifications apportées par la commission

La commission spéciale a corrigé la rédaction du Sénat de manière à ce que l’assureur ait à prouver qu’une attaque informatique résulte d’une guerre étrangère pour ne pas à avoir à indemniser l’assuré.

L’état du droit

L’article L. 121-8 du code des assurances dispose que « l’assureur ne répond pas, sauf convention contraire, des pertes et dommages occasionnés soit par la guerre étrangère, soit par la guerre civile, soit par des émeutes ou par des mouvements populaires ».

Ces dispositions sont directement issues de l’article 34 de la loi du 13 juillet 1930 relative au contrat d’assurance, dite loi Godard, et figurent dans le code des assurances depuis sa création par décret en 1976 ([139]). La loi Godard est d’ailleurs considérée comme la première grande loi à régir le droit des assurances terrestres.

Les risques de soulèvements conflictuels et armées, qu’ils prennent la forme d’une guerre ou d’émeutes font ainsi l’objet d’une exclusion assurantielle légale. Sauf mention contraire, la garantie promise par les assureurs dans le cadre de leur couverture n’inclut pas l’indemnisation des dommages subis à la suite de tels événements.

À ce titre, l’article L. 121-8 précise qu’il appartient à l’assureur « de prouver que le sinistre résulte de la guerre civile, d’émeutes ou de mouvements populaires ».

En cas de litige sur la qualification de l’origine du sinistre, l’assureur qui invoque l’exclusion voit donc la charge de la preuve peser sur lui. Autrement, dit, il lui revient de démontrer que les dommages en question résultent directement d’une émeute ou d’un mouvement populaire au sens des critères jurisprudentiels.

Le dispositif proposé par le Sénat

En séance, le Sénat a adopté un amendement de Mme Vanina Paoli-Gagin insérant un article additionnel après l’article 58 du projet de loi, contre l’avis du gouvernement mais avec l’avis favorable de la commission spéciale.

En cas de cyberattaque, il propose qu’il appartienne à l’assureur de prouver que le sinistre résulte effectivement « d’attaques informatiques », à l’instar de ce que l’article L. 121-8 du code des assurances prévoit déjà pour les situations de guerre civile, d’émeutes ou de mouvements populaires.

La sénatrice rappelle qu’il revient à l’assuré de prouver qu’il a été victime d’une cyberattaque. Elle considère qu’« il lui est quasiment impossible de prouver la cause de ce dommage, compte tenu de la difficulté voire, souvent, de l’impossibilité d’imputer officiellement une cyberattaque à un acteur en particulier ». Cette charge de la preuve pesant sur l’assuré nuirait au développement de l’assurance des risques cyber en France et favoriserait la concurrence d’entreprises étrangères.

Le gouvernement estime que l’absence d’attractivité des assurances françaises pour la couverture des pertes et dommages occasionnés par les cyberattaques reste à démontrer et craint, au contraire, qu’une telle modification de l’article L. 121-8 les incite à se désengager de ce marché. Une telle inclusion des attaques informatiques à cet article du code des assurances implique que l’assureur n’est pas tenu d’indemniser les sinistres qu’elles occasionnent dès lors qu’il prouve qu’elles en sont bien à l’origine, ce qui irait à l’encontre de l’intention des auteurs de l’amendement.

La position de la commission

La commission spéciale a adopté deux amendements identiques du rapporteur général et du rapporteur thématique Mickaël Bouloux visant à corriger la rédaction du Sénat de manière à rendre effective l’inversion de la preuve en cas de cyberattaque.

Ces amendements sont le résultat de travaux conjoints de la direction générale du Trésor, de l’Agence nationale pour la sécurité des systèmes d’information (ANSSI) et de la fédération France Assureurs.

Ils prévoient que « lorsque le sinistre résulte d’une atteinte à un système de traitement automatisé de données au sens des articles 323-1 à 323-8 du code pénal, il appartient à l’assureur de prouver qu’il résulte d’une guerre étrangère ». Autrement dit, à défaut de pouvoir imputer une cyberattaque à un conflit armé, l’assureur ne peut refuser de répondre des pertes et dommages qu’elle est susceptible d’occasionner.

Par ailleurs, les amendements étendent cette modification dans les îles Wallis et Futuna, collectivité d’outre-mer dans laquelle l’État demeure compétent pour les règles assurantielles.

*

Chapitre III Dispositions modifiant le code de la mutualité

Article 59

(art. L. 211-12 du code de la mutualité)

Nouvelles obligations pour les unions et mutuelles du code de la mutualité en matière de gouvernance des risques liés à l’utilisation des systèmes d’information

➢ Résumé du dispositif et effets principaux

Cet article propose de modifier l’article L. 211-12 du code de la mutualité qui traite des systèmes de gouvernance des mutuelles et unions mis en place dans le respect des règles prudentielles imposées par la directive du 25 novembre 2009 sur l’accès aux activités de l’assurance et de la réassurance et leur exercice (solvabilité II).

Il prévoit de faire référence aux règles de gestion et de mise en place des réseaux et systèmes d’information fixées par le règlement DORA du 14 décembre 2022. Il s’agit donc d’une transposition de l’article 2 de la directive du même nom.

➢ Dernières modifications législatives intervenues

Ces dispositions ont été introduites dans le code de la mutualité par l’article 14 de l’ordonnance n° 2015-378 du 2 avril 2015 transposant la directive Solvabilité II.

➢ Modifications apportées par le Sénat

Cet article n’a pas été modifié par le Sénat.

➢ Modifications apportées par la commission

La commission spéciale a adopté un amendement rédactionnel.

L’état du droit

Les règles prudentielles issues de la seconde directive sur l’accès aux activités de l’assurance et de la réassurance et leur exercice du 25 novembre 2009 ([140]), dite solvabilité II, ont également été introduites dans le code de la mutualité par l’ordonnance du 2 avril 2015 ([141]), plus précisément par son article 14.

À l’instar des entreprises d’assurance et de réassurance ([142]), ainsi que de leurs groupes ([143]), les mutuelles et unions doivent répondre à des exigences spécifiques en matière de système de gouvernance.

En application de l’article L. 211-12 du code de la mutualité, elles sont tenues de mettre en place un système de gouvernance garantissant une gestion saine et prudente de leur activité et faisant l’objet d’un réexamen interne régulier. Il doit reposer sur une séparation claire des responsabilités au niveau du groupe et comporte un dispositif efficace de transmission des informations. Ce système de gouvernance est censé être proportionné à la nature, à l’ampleur et à la complexité des opérations de la mutuelle ou de l’union.

Quatre fonctions clés doivent être accomplies par leur système de gouvernance :

– la fonction de gestion des risques ;

– la fonction de vérification de la conformité ;

– la fonction d’audit interne ;

– la fonction actuarielle.

Pour ce faire, les mutuelles et les unions doivent élaborer des politiques écrites relatives, au moins, à la gestion des risques, au contrôle interne, à l’audit interne et, le cas échéant, à l’externalisation et veiller à ce que ces politiques soient bien mises en œuvre.

Les mutuelles et les unions ont l’obligation de prendre des dispositions qui leur permettent d’assurer la continuité et la régularité de l’exercice de leurs activités, notamment en établissant des plans d’urgence. À cette fin, elles doivent mettre en œuvre des dispositifs, des ressources et des procédures appropriés.

L’ensemble de ces obligations en matière de gouvernance sont analogues à celles imposées aux entreprises d’assurance et de réassurance ([144]) ainsi qu’à leurs groupes ([145]).

Le dispositif proposé

L’article 2 (§ 1) de la directive DORA du 14 décembre 2022 ([146]) modifiant l’article 41 (§ 4) de la directive Solvabilité II, l’article 59 du projet de loi prévoit une modification similaire de l’article L. 211-12 du code de la mutualité dans la mesure où les mutuelles et unions ne sont pas distinctes des entreprises d’assurance et de réassurance dans le droit de l’Union européenne.

Ainsi, il est aussi proposé de compléter l’avant-dernier alinéa de l’article L. 211-12 afin de préciser que les mutuelles et les unions mettent en œuvre des dispositifs, des ressources et des procédures appropriés et proportionnés et, en particulier, « mettent en place et gèrent des réseaux et des systèmes d’information conformément au règlement [DORA] ([147]) » afin d’assurer la continuité et la régularité de leurs activités.

Contrairement aux articles 57 et 58 du projet de loi, il n’est pas nécessaire de corriger, à cette occasion, la référence à l’externalisation, car l’article L. 211-12, dans sa rédaction actuelle, renvoie bien au 13° de l’article L. 310-3 du code des assurances.

Les modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

La position de la commission

La commission spéciale a adopté l’amendement rédactionnel du rapporteur thématique Mickaël Bouloux.

*

Article 60

(art. L. 212-1 du code de la mutualité)

Suppression de dispositions redondantes dans le code de la mutualité

➢ Résumé du dispositif et effets principaux

Cet article tire les conséquences des articles 57 et 59 en prévoyant de ne plus appliquer directement les dispositions de l’article L. 354-1 du code des assurances aux mutuelles et unions relevant du régime de la directive Solvabilité II du 25 novembre 2009.

En effet, l’article 57 transpose l’article 2 de la directive DORA du 14 décembre 2022 pour insérer à l’article L. 354-1 du code des assurances la référence au règlement éponyme en ce qui concerne les réseaux et systèmes d’information dans le système de gouvernance des entreprises d’assurance et de réassurance. L’article 59 réplique ces mêmes modifications pour les mutuelles et les unions à l’article L. 211-12 du code de la mutualité. Dès lors, l’exclusion de l’application directe de l’article L. 354-1 du code des assurances aux mutuelles et unions par l’article L. 212-1 du code de la mutualité permettrait d’éviter une redondance.

➢ Dernières modifications législatives intervenues

Ces dispositions ont été introduites dans le code de la mutualité par l’article 15 de l’ordonnance du 2 avril 2015 transposant la directive Solvabilité II.

➢ Modifications apportées par le Sénat

Cet article n’a pas été modifié par le Sénat.

➢ Modifications apportées par la commission

La commission spéciale n’a pas modifié cet article.

L’état du droit

Les règles prudentielles transposées en droit interne à partir de la seconde directive sur l’accès aux activités de l’assurance et de la réassurance et leur exercice du 25 novembre 2009 ([148]), dite Solvabilité II, s’appliquent également aux mutuelles et aux unions ([149]), notamment à celles qui pratiquent des opérations d’assurance et de capitalisation ainsi que les mutuelles et unions de retraite professionnelle supplémentaire.

L’article L. 212-1 du code de la mutualité précise que les règles prudentielles applicables aux entreprises d’assurance et de réassurance relevant du régime Solvabilité II ([150]) s’appliquent également aux mutuelles et unions placées sous ce même régime. Il leur étend aussi les dispositions de l’article L. 310-12-4 du code des assurances qui traite de l’examen et de l’évaluation, par l’Autorité de contrôle prudentiel et de résolution (ACPR) des stratégies, des processus et des procédures de communication d’information établis par les entreprises d’assurance et de réassurance.

L’extension de ces dispositions du code des assurances aux mutuelles et aux unions a été introduite dans le code de la mutualité par l’article 15 de l’ordonnance du 2 avril 2015 ([151]) de transposition de la directive Solvabilité II.

Le dispositif proposé

Le titre V du livre III du code des assurances comprend l’article L. 354-1 sur la mise en place d’un système de gouvernance par les entreprises d’assurance et de réassurance dans le respect des règles prudentielles du régime Solvabilité II ([152]).

Dès lors, la transposition de l’article 2 (§ 1) de la directive DORA du 14 décembre 2022 ([153]), modifiant l’article 41 (§ 4) de la directive Solvabilité II, proposée par l’article 59 du projet de loi entraîne une redondance dans le code de la mutualité. En effet, l’article L. 211-12 ainsi modifié imposerait que les mutuelles et unions assurent la continuité et la régularité de leurs activités en mettant en place et en gérant des réseaux et systèmes d’information conformément aux exigences du règlement DORA ([154]) par similarité avec l’article L. 354-1 du code des assurances dont la modification est proposée par l’article 57 du projet de loi.

En conséquence, le présent article propose d’exclure l’application directe de ces dispositions du code des assurances aux mutuelles et unions relevant du régime Solvabilité II.

Les modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

La position de la commission

La commission spéciale a adopté cet article sans le modifier.

*

Chapitre IV Dispositions modifiant le code de la sécurité sociale

Article 61

(art. L. 931-7 du code de la sécurité sociale)

Nouvelles obligations pour les institutions de prévoyance et unions du code de la sécurité sociale en matière de gouvernance des risques liés à l’utilisation des systèmes d’information

➢ Résumé du dispositif et effets principaux

Cet article modifie l’article L. 931-7 du code de la sécurité sociale qui traite des systèmes de gouvernance des institutions de prévoyance et unions mis en place dans le respect des règles prudentielles imposées par la directive du 25 novembre 2009 sur l’accès aux activités de l’assurance et de la réassurance et leur exercice (Solvabilité II).

Il prévoit de faire référence aux règles de gestion et de mise en place des réseaux et systèmes d’information fixées par le règlement DORA du 14 décembre 2022. Il s’agit donc d’une transposition de l’article 2 de la directive du même nom.

➢ Dernières modifications législatives intervenues

Ces dispositions ont été introduites dans le code de la mutualité par l’article 17 de l’ordonnance n° 2015-378 du 2 avril 2015 transposant la directive Solvabilité II.

➢ Modifications apportées par le Sénat

Cet article n’a pas été modifié par le Sénat.

➢ Modifications apportées par la commission

La commission spéciale a adopté un amendement rédactionnel.

L’état du droit

Les règles prudentielles issues de la seconde directive sur l’accès aux activités de l’assurance et de la réassurance et leur exercice du 25 novembre 2009 ([155]), dite Solvabilité II, ont également été introduites dans le code de la sécurité sociale par l’ordonnance du 2 avril 2015 ([156]), plus précisément par son article 17. Elles concernent les institutions de prévoyance et les unions.

À l’instar des entreprises d’assurance et de réassurance ([157]), ainsi que de leurs groupes ([158]), et des mutuelles et unions ([159]), les institutions de prévoyance et leurs unions doivent répondre à des exigences spécifiques en matière de système de gouvernance.

En application de l’article L. 931-7 du code de la sécurité sociale, elles sont tenues de mettre en place un système de gouvernance garantissant une gestion saine et prudente de leur activité et faisant l’objet d’un réexamen interne régulier. Il doit reposer sur une séparation claire des responsabilités et comporter un dispositif efficace de transmission des informations. Ce système de gouvernance est censé être proportionné à la nature, à l’ampleur et à la complexité des opérations de l’institution de prévoyance ou de l’union.

Quatre fonctions clés doivent être accomplies par leur système de gouvernance :

– la fonction de gestion des risques ;

– la fonction de vérification de la conformité ;

– la fonction d’audit interne ;

– la fonction actuarielle.

Pour ce faire, les institutions de prévoyance et les unions doivent élaborer des politiques écrites relatives, au moins, à la gestion des risques, au contrôle interne, à l’audit interne et, le cas échéant, à l’externalisation et veiller à ce que ces politiques soient bien mises en œuvre.

Les institutions de prévoyance et les unions ont l’obligation de prendre des dispositions qui leur permettent d’assurer la continuité et la régularité de l’exercice de leurs activités, notamment en établissant des plans d’urgence. À cette fin, elles doivent mettre en œuvre des dispositifs, des ressources et des procédures appropriés.

L’ensemble de ces obligations en matière de gouvernance sont analogues à celles imposées aux entreprises d’assurance et de réassurance ([160]), à leurs groupes ([161]) et aux mutuelles et unions ([162]).

Le dispositif proposé

L’article 2 (§ 1) de la directive DORA du 14 décembre 2022 ([163]) modifiant l’article 41 (§ 4) de la directive Solvabilité II, l’article 61 du projet de loi prévoit une modification similaire de l’article L. 931-7 du code de la sécurité sociale dans la mesure où les institutions de prévoyance et unions ne sont pas distinctes des entreprises d’assurance et de réassurance dans le droit de l’Union européenne.

Ainsi, il est aussi proposé de compléter l’avant-dernier alinéa de l’article L. 931-7 afin de préciser que les institutions de prévoyance et les unions mettent en œuvre des dispositifs, des ressources et des procédures appropriés et proportionnés et, en particulier, « mettent en place et gèrent des réseaux et des systèmes d’information conformément au règlement [DORA] ([164]) » afin d’assurer la continuité et la régularité de leurs activités.

Contrairement aux articles 57 et 58 du projet de loi, il n’est pas nécessaire de corriger, à cette occasion, la référence à l’externalisation, l’article L. 931-7, dans sa rédaction actuelle, renvoie bien au 13° de l’article L. 310-3 du code des assurances.

Les modifications apportées par le Sénat

Le Sénat n’a pas modifié cet article.

La position de la commission

La commission spéciale a adopté l’amendement rédactionnel du rapporteur thématique Mickaël Bouloux.

*

Chapitre V Dispositions finales

Article 62 A

Absence de double assujettissement à DORA et NIS 2

➢ Résumé du dispositif et effets principaux

Cet article additionnel adopté par le Sénat prévoit d’exclure expressément du champ de la nouvelle directive NIS 2 les entités financières auxquelles s’appliquent le règlement et la directive DORA en ce qui concerne les mesures de gestion des risques en matière de cybersécurité ou de notification d’incidents importants.

➢ Dernières modifications législatives intervenues

La transposition dans le droit interne des directives NIS 2 et DORA, publiées le 14 décembre 2022, fait respectivement l’objet des titres II et III du projet de loi.

➢ Modifications apportées par la commission

La commission spéciale a adopté un amendement étendant l’application de cet article en outre-mer et corrigeant une erreur de référence.

L’état du droit

La transposition de la directive du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union européenne (UE) ([165]), dite NIS 2, est l’objet du titre II du projet de loi ([166]).

Pour rappel, la directive NIS 2 élargit de manière très importante le champ des acteurs et secteurs régulés au titre du renforcement de la cybersécurité des entités qualifiées comme essentielles ou importantes en raison des services qu’elles fournissent et de leur taille. Plus exactement, la nouvelle directive vise les secteurs et les types d’entités qui ont le plus grand impact potentiel sur l’économie et la société.

L’entrée en vigueur des dispositions du titre II du projet de loi devrait multiplier par trente le nombre d’entités soumises à régulation (environ 15 000 contre 500 à présent) et par trois celui des secteurs régulés (18 contre 6).

Dès lors se pose la question d’un double assujettissement des entités financières visées par le règlement du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier ([167]) (DORA) et la directive éponyme ([168]) dont le titre III du projet de loi entend assurer la transposition dans le droit interne en modifiant principalement le code monétaire et financier ([169]) mais aussi le code des assurances ([170]), le code de la mutualité ([171]) et le code de la sécurité sociale ([172]).

Quant à la directive NIS 2, elle s’adresse aux entités publiques ou privées qui relèvent de secteurs hautement critiques, dont ceux de la banque, des infrastructures des marchés financiers et de la gestion des services TIC interentreprises, en application de son article 2 et de l’annexe I.

Néanmoins, l’article 4 de la directive NIS 2 traite du risque de chevauchement de son champ avec celui des actes DORA. Il dispose ainsi que « lorsque des actes juridiques sectoriels de l’Union imposent à des entités essentielles ou importantes d’adopter des mesures de gestion des risques en matière de cybersécurité ou de notifier des incidents importants, et lorsque ces exigences ont un effet au moins équivalent à celui des obligations prévues par [la directive NIS 2], les dispositions pertinentes de [cette même directive] ne sont pas applicables auxdites entités ». Or, en application de son article 1er (§ 2), le règlement DORA est expressément considéré comme un acte juridique sectoriel « s’agissant des entités financières identifiées en tant qu’entités essentielles ou importantes conformément aux dispositions nationales transposant l’article 3 de la directive [NIS 2] ».

En conséquence, les entités financières qui auraient été susceptibles d’être soumises aux obligations de la directive NIS 2 n’auront pas, dans la plupart des cas, à s’y conformer dans la mesure où le règlement et la directive DORA prévoient des exigences équivalentes, notamment pour ce qui concerne la gestion du risque lié aux TIC. À l’inverse, l’obligation d’enregistrement des noms de domaine prévue au chapitre V de la directive NIS 2 s’appliquera bien aux entités financières, faute de trouver un équivalent dans les actes DORA.

Malgré la reconnaissance de ce principe de lex specialis, des interrogations demeurent.

Premièrement, l’article 4 de la directive NIS 2 dispose aussi que « lorsque des actes juridiques sectoriels de l’Union ne couvrent pas toutes les entités d’un secteur spécifique relevant du champ d’application de [la directive NIS 2], les dispositions pertinentes [de la directive NIS 2] continuent de s’appliquer aux entités non couvertes par ces actes juridiques sectoriels de l’Union ». Se pose ainsi la question de l’entrée des entreprises d’assurance dans le champ de la directive NIS 2 comme le soulève la Commission supérieure du numérique et des postes (CSNP) dans son avis du 3 octobre 2024 présenté par M. Damien Michallet, sénateur, et la rapporteure Mme Anne Le Hénanff ([173]).

Deuxièmement, la notion d’équivalence des effets des exigences prévues par les actes DORA par rapport aux obligations de la directive NIS 2 reste difficile à appréhender, notamment dans l’attente de la publication par la Commission européenne des actes d’exécution d’une part et de la publication par le gouvernement des actes réglementaires consécutifs à l’entrée en vigueur du présent projet de loi, ce qui suscite l’inquiétude des représentants des entités auditionnées par le rapporteur Mickaël Bouloux. Le débat autour de l’équivalence de l’obligation de déclaration des incidents majeurs liés aux TIC et de la notification volontaire des cybermenaces importantes par les entités financières, prévue à l’article 19 du règlement DORA, par rapport à l’obligation d’information, prévue à l’article 23 de la directive NIS 2, et à la notification volontaire d’informations pertinentes (article 30) en est une illustration ([174]).

Le dispositif proposé par le Sénat

La commission spéciale a adopté un amendement du rapporteur Michel Canévet insérant un article additionnel au projet de loi afin d’éviter explicitement tout risque de double assujettissement entre les deux actes législatifs européens et de lever toute ambiguïté concernant le niveau d’équivalence de leurs exigences respectives.

Il prévoit que les entités financières essentielles et importantes auxquelles s’applique le titre III du projet de loi et auxquelles s’impose l’adoption de mesures de gestion des risques en matière de cybersécurité ou la notification d’incidents importants, conformément au règlement DORA, ne sont pas tenues de se conformer aux exigences prévues par la directive NIS 2, « y compris celles relatives à la supervision, dès lors que l’adoption de ces mesures et la notification de ces incidents ont un effet au moins équivalent à ces exigences ».

En séance, l’article additionnel a été adopté sans faire l’objet d’aucun amendement, y compris de la part du gouvernement.

La position de la commission

La commission spéciale a adopté l’amendement du rapporteur général corrigeant une erreur de référence et prévoyant l’application des dispositions de l’article 62 A en Nouvelle-Calédonie, en Polynésie française et dans les îles Wallis et Futuna.

*

Article 62

Dates d’application des dispositions du titre III

➢ Résumé du dispositif et effets principaux

Dans sa rédaction initiale, l’article 62 prévoyait une entrée en vigueur des dispositions du titre III à compter du 17 janvier 2025 comme le fixait l’article 9 de la directive DORA du 14 décembre 2022.

Concernant l’application des articles 46, 47 et 54 (nouvelles exigences prudentielles imposées aux prestataires de services bancaires), le projet de loi accordait un délai supplémentaire d’un an pour les sociétés de financement de petite taille et non complexes, celles-ci n’étant pas formellement visées par la directive.

➢ Dernières modifications législatives intervenues

(sans objet)

➢ Modifications apportées par le Sénat

En commission, les sénateurs ont modifié l’article 62 de manière à prévoir une entrée en vigueur des dispositions du titre III, dans leur ensemble, le lendemain de la promulgation de la loi.

Pour la totalité des sociétés de financement, les articles 46, 47 et 54 ne seraient applicables qu’au 1er janvier 2030.

En séance, le Sénat a également prévu que les règles relatives à la gestion des risques et incidents liés aux TIC, à la réalisation des tests de résilience opérationnelle numérique ainsi qu’au respect des principes clés pour une bonne gestion des risques liés aux prestataires tiers de services TIC, prévues par le règlement DORA, ne soient applicables aux sociétés de financement de petite taille et non complexes que dans le respect d’un principe de proportionnalité.

Les modifications relatives aux sociétés de financement ont reçu un avis défavorable du gouvernement.

➢ Modifications apportées par la commission

La commission spéciale a réintroduit une entrée en application différenciée des articles 46, 47 et 54 selon la taille des sociétés de financement : dès le lendemain de la promulgation de la loi pour les plus importantes et le 17 janvier 2027 pour celles de petite taille et non complexes.

L’état du droit

L’article 9 de la directive du 14 décembre 2022 concernant la résilience opérationnelle numérique du secteur financier ([175]) (DORA) fixe au 17 janvier 2025 la date limite de transposition dans le droit interne des États membres, soit un délai de pratiquement deux ans depuis sa publication au Journal officiel de l’Union européenne (UE).

Le projet de loi, dont le titre III transpose la directive DORA, a été présenté en conseil des ministres et déposé au Sénat le 15 octobre 2024 par le premier ministre Michel Barnier.

Quant au Conseil d’État, il a été saisi dès le 7 mai 2024 et a rendu son avis le 6 juin 2024, ce qui laisse à penser que le projet de loi aurait probablement été présenté plus tôt au Parlement si la dissolution de l’Assemblée nationale par le président de la République le 9 juin 2024 n’était pas intervenue.

Le dispositif proposé

L’article 62 de la version initiale du projet de loi proposait que les dispositions du titre III soient applicables à compter du 17 janvier 2025, comme le prévoyait l’article 9 de la directive DORA.

Il entendait toutefois accorder un délai supplémentaire aux sociétés de financement les plus petites pour l’application des articles 46, 47 et 54 du projet de loi.

Les sociétés de financement appartiennent à la catégorie des prestataires de service bancaires avec les établissements de crédit. Elles constituent des personnes morales, autres que ces derniers, qui effectuent à titre de profession habituelle et pour leur propre compte des opérations de crédit dans les conditions et limites définies par leur agrément ([176]). La principale différence par rapport aux établissements de crédit est qu’elles ne peuvent pas recevoir des fonds remboursables du public, à l’instar des dépôts.

Les entreprises de crédit-bail mobilier et immobilier, les sociétés de caution mutuelle et l’Agence française de développement (AFD) sont des exemples de sociétés de financement.

Pour rappel, l’article 46 met en cohérence les exigences prudentielles auxquelles sont soumis les prestataires de services bancaires avec la prise en compte renforcée du risque lié aux technologies de l’information et de la communication (TIC) par le règlement DORA ([177]).

L’article 47 oblige ces mêmes prestataires à se doter d’un dispositif de gouvernance solide de manière à inclure les réseaux et systèmes d’information mis en place et gérés conformément au règlement DORA.

Quant à l’article 54, il prévoit que les plans de résolution établis par le collège de résolution de l’Autorité de contrôle prudentiel et de résolution (ACPR) fassent bien référence à la résilience opérationnelle numérique ainsi qu’aux réseaux et aux systèmes d’information mis en place et gérés conformément au règlement DORA.

Comme indiqué dans les commentaires des articles 46 et 47, la directive DORA, en modifiant la directive sectorielle CRD du 26 juin 2013 ([178]), ne vise que les établissements de crédit et non les sociétés de financement. Le gouvernement a néanmoins fait le choix d’étendre à ces dernières la transposition de la directive dans la mesure où « ces sociétés sont confrontées aux mêmes risques en matière de sécurité des systèmes d’information » comme le souligne le Conseil d’État dans son avis sur le projet de loi. Il faut d’ailleurs rappeler que les dispositions prudentielles du code monétaire et financier (article L. 511-41 et suivants) traitent les sociétés de financement de la même manière que les établissements de crédit.

Toutefois, le gouvernement a souhaité leur accorder un délai de mise en œuvre supplémentaire lorsqu’elles sont de petite taille et non complexes et que leurs moyens et ressources sont réputés moins importantes, autrement dit lorsqu’elles remplissent les conditions prévues à l’article 4 (§ 1) du règlement CRR (Capital Requirements Regulation) ([179]) auquel la directive CRD est associée.

À l’inverse, les sociétés de financement qui ne remplissent pas ces conditions devraient appliquer les dispositions de la directive DORA modifiant la directive CRD dont la transposition dans le code monétaire et financier est proposée aux articles 46, 47 et 54 du projet de loi.

Les modifications apportées par le Sénat

En commission

La commission spéciale a adopté un amendement du rapporteur Michel Canévet repoussant l’entrée en vigueur des dispositions du titre III du projet de loi :

– au lendemain de la promulgation de la loi (au lieu du 17 janvier 2025) de manière générale ;

– au 1er janvier 2030 pour l’application des articles 46, 47 et 54 (au lieu du 17 janvier 2026) à l’ensemble des sociétés de financement et non plus seulement à celles considérées comme des établissements de petite taille et non complexes.

Le report au lendemain de la promulgation tient compte du retard pris dans l’examen du projet de loi. L’adoption d’une motion de censure par l’Assemblée nationale le 4 décembre 2024, suite à l’engagement de la responsabilité du gouvernement sur le vote du projet de loi de financement de la sécurité sociale pour 2025 conformément à l’article 49, alinéa 3, de la Constitution a entraîné la démission du gouvernement.

L’entrée en fonction d’un nouveau gouvernement dirigé par le premier ministre François Bayrou le 13 décembre et l’adoption définitive des projets de loi de finances et de financement de la sécurité sociale pour 2025 au mois de février ont conduit à retarder l’examen du présent projet de loi.

La commission spéciale du Sénat n’a adopté le texte que le 4 mars 2025, soit plus d’un mois après la date prévue par la directive DORA et la version initiale de l’article 62.

Concernant les sociétés de financement, le rapporteur considère l’application des nouvelles exigences prudentielles apportées par la directive DORA comme une « surtransposition » dans la mesure où la directive CRD qu’elle amende ne vise que les établissements de crédit et les entreprises d’investissement. Selon lui, une telle extension est « susceptible de désavantager les entreprises françaises par rapport à des entreprises européennes de statut équivalent ».

En séance

Le gouvernement a présenté un amendement afin de rétablir une entrée en application des articles 46, 47 et 54 aux seules sociétés de financement de petite taille et non complexes à compter du 17 janvier 2026. Pour les autres dispositions, l’amendement rejoignait la position de la commission spéciale visant à prévoir une entrée en vigueur le lendemain de la promulgation du projet de loi.

Lors de la discussion en séance, la ministre a jugé que « le 1er janvier 2030 apparaît comme un horizon trop lointain, compte tenu du développement [des cyberattaques] » et que « l’ampleur de cette différenciation est inéquitable par rapport à d’autres acteurs du secteur financier distribuant des services comparables aux sociétés de financement ». Le gouvernement considère en effet que les sociétés de financement de grande taille exercent des activités critiques pour le secteur financier et doivent être soumises, comme les établissements de crédit, aux exigences prudentielles prévues par la directive CRD modifiée par la directive DORA. Quant aux sociétés de financement de petite taille et non complexes, le délai accordé pour qu’elles puissent se mettre en conformité doit demeurer proportionné à l’objectif poursuivi.

Les sénateurs ont rejeté l’amendement du gouvernement et adopté un nouvel amendement du rapporteur Michel Canévet, contre l’avis du gouvernement. Celui-ci complète la rédaction de la commission spéciale d’un second alinéa disposant que lorsque les sociétés de financement sont de petite taille et non complexes, elles « appliquent les règles énoncées aux chapitres II à IV et à la section 1 du chapitre V du règlement [DORA] conformément au principe de proportionnalité énoncé à l’article 4 du même règlement ».

Les chapitres et sections du règlement DORA mentionnées par l’amendement portent respectivement sur :

– la gestion du risque lié aux TIC ;

– la gestion, la classification et la notification des incidents liés aux TIC ;

– les tests de résilience opérationnelle numérique ;

– les principes clés pour une bonne gestion des risques liés aux prestataires tiers de services TIC.

L’auteur de l’amendement souhaite donc aller plus loin que la version du texte adopté en commission spéciale dans la mesure où non seulement l’ensemble des sociétés de financement ne seraient tenues d’appliquer les dispositions d’ordre prudentiel de la directive DORA (articles 46, 47 et 54 du projet de loi) qu’à compter du 1er janvier 2030, mais qu’en plus les sociétés de financement de petite taille et non complexes n’appliqueraient que de manière incomplète l’ensemble des autres dispositions du titre III au nom du principe de proportionnalité.

L’article 4 du règlement DORA prévoit que les entités financières mettent en œuvre les règles énoncées au chapitre et sections évoquées ci-avant « conformément au principe de proportionnalité, en tenant compte de leur taille et de leur profil de risque global ainsi que de la nature, de l’ampleur et de la complexité de leurs services, activités et opérations ».

Pour le rapporteur Michel Canévet, l’objectif est de « modérer les effets de la surtransposition née de la soumission des sociétés de financement au règlement DORA […] tout en préservant la pleine application dudit règlement pour les sociétés de financement systémiques ».

La position de la commission

La commission spéciale a adopté les amendements identiques du rapporteur général et du rapporteur thématique Mickaël Bouloux visant à revenir sur le délai d’application au 1er janvier 2030 pour toutes les sociétés de financement.

Le rapporteur thématique a rappelé que les sociétés de financement les plus importantes ne sont qu’une dizaine et que la plus sensible est le Crédit Logement tandis que les sociétés considérées comme de petite taille et non complexes au sens du règlement CRR constituent la très grande majorité (135 entreprises agréées). Dans ce contexte, il a estimé qu’un délai différé au 1er janvier 2030 était excessif au regard des enjeux en matière de résilience opérationnelle numérique et injustifié pour les grandes sociétés de financement.

Les amendements adoptés visent donc à rétablir un délai différencié pour l’entrée en application des articles 46, 47 et 54 du projet de loi :

– le 17 janvier 2027 pour les sociétés de financement de petite taille et non complexes ;

– le lendemain de la promulgation de la loi pour les autres.

La date du 17 janvier 2027 est postérieure d’un an à celle qui figurait dans la version initiale du projet de loi et tient ainsi compte de la particularité des sociétés de financement les plus petites.

La commission spéciale a, en revanche, maintenu le principe de proportionnalité introduit par le Sénat.

comparaison des versions de l’article 62

Source : commission spéciale.

La commission spéciale a également adopté l’amendement du rapporteur général étendant l’application de cet article en Nouvelle-Calédonie, en Polynésie française et dans les îles Wallis et Futuna.

*

Article 63 (nouveau)

Demande de rapport sur les moyens humains et financiers de l’Agence nationale de la sécurité des systèmes d’information

➢ Résumé du dispositif et effets principaux

Cet article additionnel vise à ce que le gouvernement remette un rapport au Parlement sur les moyens que nécessiterait l’Agence nationale de sécurité des systèmes d’information (ANSSI) pour mettre en œuvre les dispositions du titre II du projet de loi.

➢ Dernières modifications législatives intervenues

(sans objet).

L’état du droit

L’Agence nationale pour la sécurité des systèmes d’information (ANSSI) a été créée par décret en juillet 2009 ([182]). Elle est rattachée au secrétariat général de la défense et de la sécurité nationale (SGDSN) et fait ainsi partie des services du Premier ministre.

Les crédits destinés à l’ANSSI sont regroupés au sein du programme 129 Coordination du travail gouvernemental de la mission Direction de l’action du Gouvernement.

En 2024, l’ANSSI disposait d’un budget de 29,6 millions d’euros (hors dépenses de personnel) et employait 656 agents dont 85,3 % de contractuels.

Les documents annexés au projet de loi de finances pour 2025 ([183]) prévoyaient d’ailleurs une augmentation de 0,6 millions d’euros en autorisations d’engagement (AE) et de 1,3 million d’euros d’euros en crédits de paiement (CP) pour le pilotage national de la politique de sécurité des systèmes d’information par rapport à l’année précédente en raison notamment des missions nouvelles liées à la transposition en droit interne de la directive NIS 2 ([184]).

Le dispositif introduit par la commission spéciale

La commission spéciale a adopté l’amendement de M. Arnaud Saint-Martin demandant au gouvernement la remise d’un rapport au Parlement présentant « les moyens humains et financiers supplémentaires indispensables pour que [l’ANSSI] puisse contrôler l’application et l’effectivité de la présente loi ».

Pour son auteur, l’ANSSI risque de manquer de crédits et d’emplois pour mettre en œuvre les dispositions du titre II transposant la directive NIS 2. Il met en avant l’écart de moyen entre ce service et son homologue allemand à titre d’illustration.

*

Article 64 (nouveau)

Demande de rapport sur la mise en œuvre de la stratégie nationale en matière de cybersécurité

➢ Résumé du dispositif et effets principaux

Cet article additionnel vise à ce que le gouvernement remette un rapport au Parlement sur la mise en œuvre de la stratégie nationale en matière de cybersécurité (cf. article 5 bis) précisant les moyens mis à sa disposition pour l’exercice de ses missions de contrôle et d’audit. Le rapport doit également évaluer les besoins à venir au regard de l’élargissement du périmètre des entités concernées par le titre II du projet de loi.

➢ Dernières modifications législatives intervenues

(sans objet).

L’état du droit

L’article 7 de la directive NIS 2 ([185]) prévoit que « chaque État membre adopte une stratégie nationale en matière de cybersécurité qui détermine les objectifs stratégiques, les ressources nécessaires pour atteindre ces objectifs ainsi que les mesures politiques et réglementaires appropriées, en vue de parvenir à un niveau élevé de cybersécurité et de le maintenir ».

En conséquence, le Sénat a adopté un article additionnel au sein du titre II prévoyant que le Premier ministre élabore une telle stratégie ([186]). Cet article 5 bis prévoit par ailleurs qu’à compter de 2026 et tous les deux ans, le gouvernement remette au Parlement un rapport sur sa mise en œuvre qui précise également l’évolution des indices de performance définis par celle-ci.

Le dispositif introduit par la commission spéciale

La commission spéciale a adopté l’amendement de M. René Pilato qui insère un article additionnel demandant au gouvernement la remise d’un rapport au Parlement sur la stratégie nationale en matière de cybersécurité qui précise « les moyens humains, techniques et financiers mis à sa disposition pour l’exercice de ses missions de contrôle et d’audit », d’une part, et évalue « les besoins à venir au regard de l’élargissement du périmètre des entités concernées par la présente loi ».

liste des personnes auditionnées en commission plénière

(par ordre chronologique)

Agence nationale de sécurité des systèmes d’information (ANSSI) (1re audition)

M. Vincent Strubel, directeur général

M. Gaëtan Poncelin de Raucourt, sous-directeur « Stratégie »

Secrétariat général de la défense et de la sécurité nationale (SGDSN)

M. Nicolas Roche, secrétaire général

Table ronde « associations d’élus »

– Association des maires de France (AMF)

M. Michel Sauvade, vice-président du conseil départemental du Puy-de-Dôme, maire de Marsac-en-Livradois, co-président de la commission numérique nationale de l’AMF

– Régions de France

Mme Constance Nebbula, vice-présidente de la Région Pays de la Loire en charge du numérique et de l’intelligence artificielle

M. Alexandre Ventadour, conseiller territorial de Martinique, chargé du numérique et du développement économique

– Intercommunalités de France

Mme Marlène Le Dieu De Ville, vice-présidente en charge du numérique, vice-présidente déléguée à l’économie numérique et aux systèmes d’information et à la culture de la communauté des communes de Lacq-Orthez

Table ronde « autorités de régulation financière »

– Autorité des marchés financiers (AMF)

M. Sébastien Raspiller, secrétaire général

– Autorité de contrôle prudentiel et de résolution (ACPR)

M. Frédéric Hervo, secrétaire général adjoint

M. Alexandre Garcia, chef de service adjoint du service des affaires internationales

Table ronde « entreprises de cyberdéfense »

– Airbus *

M. Michaël Barthellemy, responsable de la gestion des risques cyber et des actifs et représentant de la commission Cyber du Groupement des industries françaises aéronautiques et spatiales (Gifas)

M. Thierry Racaud, président-directeur général d’Airbus Protect

M. Yves Berthe, coordinateur sécurité d’Airbus France

– Orange Cyberdéfense *

M. Olivier Bonnet de Paillerets, vice-président exécutif chargé de la technologie et du marketing

M. Vivien Mura, directeur des technologies

– Tehtris

Mme Katuiscia Benloukil, vice-présidente communication

– Sekoia.io

M. Arnaud Dechoux, directeur des affaires publiques

Table ronde « entreprises de télécommunications »

– Fédération française des télécoms (FFT) *

M. Patrick Guyonneau, président de la commission sécurité de la FFT et directeur de la sécurité du groupe Orange

– Altice France *

M. Matthieu Hennebo, directeur cybersécurité, responsable sécurité des systèmes d’information (RSSI) du groupe Altice France

M. Corentin Durand, responsable des affaires publiques de Bouygues Telecom

– Groupe Iliad *

M. Patrice Millecamps, directeur des obligations légales

Mme Ombeline Bartin, directrice des relations extérieures

Table ronde « experts de la cybersécurité »

– CyberTaskForce

M. Sébastien Garnault, fondateur

M. Philippe Luc, membre de Cyber Task Force et président d’Anozr Way

Mme Anne-Élise Jolicard, responsable des affaires publiques d’Anozr Way

– CyberCercle

Mme Bénédicte Pilliet, présidente

M. Christian Daviot, senior advisor

M. François Coupez, senior advisor

M. Stéphane Meynet, senior advisor

– Clusif

M. Benjamin Leroux, administrateur

M. Michel Dubois, administrateur

Mme Garance Mathias, administratrice

– Hexatrust

M. Jean-Noël de Galzain, président

Mme Dorothée Decrop, déléguée générale

– Alliance pour la confiance numérique (ACN) *

M. Daniel Le Coguic, président

M. Yoann Kassianides, directeur général

– Club des experts de la sécurité de l’information et du numérique (Cesin)

Mme Mylène Jarossay, vice-présidente

M. Arnaud Martin, vice-président

Table ronde « représentants des entreprises »

– Mouvement des entreprises de France (Medef) *

Mme Juliette Rouilloux-Sicre, vice-présidente du groupe Thalès, présidente du comité régulation du numérique

Mme Mathilde Briard, chargée de mission économie numérique

Mme Marie David, chargée de mission affaires publiques

– Confédération des petites et moyennes entreprises (CPME) *

M. Franck Bataille, membre du comité exécutif en charge du numérique et de l’innovation

M. Marc Bothorel, référent cybersécurité

Mme Léa Bouchet, juriste commerce et consommation

M. Adrien Dufour, responsable affaires publiques

Commission nationale de l’informatique et des libertés (CNIL)

M. Michel Combot, directeur des technologies, de l’innovation, et de l’intelligence artificielle

M. Victor Nicolle, directeur des contrôles et des sanctions

M. Florent Della Valle, chef du service de l’expertise technologique

Mme Chirine Berrichi, conseillère pour les questions parlementaires et institutionnelles

Table ronde « lutte contre la cybercriminalité »

– Groupement d’intérêt public Action contre la cybermalveillance (GIP Acyma)

M. Jérôme Notin, directeur général

– Ministère de l’intérieur dans le cyberespace (Comcyber-MI)

M. Christophe Husson, général de division et chef du Comcyber-MI

– Parquet de Paris

Mme Johanna Brousse, vice-procureure, cheffe de la section J3 (lutte contre la cybercriminalité)

Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (Arcep)

Mme Laure de La Raudière, présidente

M. Olivier Corolleur, directeur général

Table ronde « chiffrement n° 1 »

– Coordination nationale du renseignement et de la lutte contre le terrorisme (CNRLT)

M. Mahamadou Diarra, secrétaire général

– Groupement interministériel de contrôle (GIC)

M. Pascal Chauve, directeur

– Direction générale de la sécurité intérieure (DGSI)

Mme Céline Berthon, directrice générale

Table ronde « chiffrement n° 2 »

– Société Olvid

M. Thomas Baignères, docteur en cryptographie, co-fondateur de la société Olvid

M. Matthieu Finiasz, docteur en cryptographie, co-fondateur de la société Olvid

– Mozilla

M. Benjamin Beurdouche, chercheur en ingénierie de sécurité et de confidentialité

Agence nationale de sécurité des systèmes d’information (ANSSI) (2e audition)

M. Vincent Strubel, directeur général

* Ces représentants d’intérêts ont procédé à leur inscription sur le registre de la Haute Autorité pour la transparence de la vie publique.

liste des personnes auditionnées par mme cATHERINE HERVIEU, rapporteure sur le titre ier

(par ordre chronologique)

Direction générale de l’armement (DGA)

M. l’ingénieur général de l’armement Pascal Fintz, chef du service de la sécurité de défense et des systèmes d’information

M. Mathieu Jacquart, chef du bureau de la protection et de la réglementation

Direction de la protection des installations, moyens et activités de la défense (DPID)

M. le général de division aérienne Nicolas Leverrier, directeur de la protection des installations, moyens et activités de la défense

M. le colonel Cyrille Caron, responsable politique de protection de la DPID

FP2E*

M. Mathias Largillière, cybersécurité et protection des données, Saur

M. Thomas Billaut, responsable « Cyber Factory », Suez

M. Christophe Maissa, référent national sûreté, direction technique, Suez

M. Jean-Paul Courcier, coordinateur national gestion d’alerte et de crise, correspondant « Sûreté Eau France », Veolia

M. Matthieu Bertin, responsable de la sécurité des systèmes d’information, Veolia

Mme Aurélie Colas, déléguée générale, FP2E

Mme Sara Djabali, conseillère « affaires publiques », FP2E

FEDENE*

M. Pascal Guillaume, président

Mme Marion Lettry, déléguée générale

M. Bertrand Nachbaur, président de FEDENE Solutions Numériques

M. Louis Lesigne, conseil « affaires publiques »

France Hydrogène*

M. Philippe Boucly, président

M. Guillaume Buttin, chargé de mission « relations institutionnelles »

Audition conjointe

– Ministère de l’Économie, des finances et de la souveraineté industrielle et numérique – Secrétariat général des ministères économiques et financiers

Mme Anne Blondy-Touret, secrétaire générale des ministères économiques et financiers, haute fonctionnaire de défense et de sécurité (HFDS)

M. Samuel Heuzé, haut fonctionnaire de défense et de sécurité adjoint

– Ministère de la transition écologique, de la biodiversité, de la forêt, de la mer et de la pêche - Secrétariat général

M. Guillaume Leforestier, haut fonctionnaire de défense et de sécurité (HFDS)

Mme Nathalie Gayral, cheffe de service (HFDS)

Préfecture de la région Grand

M. Matthieu Ringot, préfet délégué pour la zone de défense et de sécurité auprès du préfet de la région Grand Est

Secrétariat général de la Défense et de la Sécurité nationale (SGDSN)

M. Gwenaël Jezequel, conseiller relations institutionnelles et communication auprès du secrétaire général

M. Alexandre Nègre, conseiller juridique auprès du secrétaire général

M. Arthur Danin, chef du bureau de la résilience interministérielle

SNCF*

M. Xavier Roche, directeur de la sûreté du groupe SNCF

M. Jean-Christophe Mathieu, directeur de la sécurité numérique du groupe SNCF

M. Jean-Luc Planchet, responsable défense et sécurité de SNCF Réseau

M. Yann Keribin, responsable défense et sécurité de SNCF Gares&Connexions

Mme Laurence Nion, conseillère parlementaire du groupe SNCF.

* Ces représentants d’intérêts ont procédé à leur inscription sur le registre de la Haute Autorité pour la transparence de la vie publique.

liste des personnes auditionnées par mme anne le hénanff, rapporteure sur le titre ii

(par ordre chronologique)

Thales

M. Alexis Caurette, vice-président « Stratégie Cybersécurité »

Mme Isabelle Caputo, vice-présidente « Relations institutionnelles

Mme Alexandra Iteanu, avocate

Association française pour le nommage internet en coopération (AFNIC)

M. Pierre Bonis, directeur général

M. Lucien Castex, conseiller du directeur général Internet Gouvernance et Société

Table ronde « entreprises extra européennes »

– Amazon Web Services (AWS)

M. Cédric Mora, Public Policy Manager France – Cybersécurité/IA

M. Stephan Hadinger, Head of Technology France

– Google

M. Thiébaut Meyer, directeur « cybersécurité »

M. Frédéric Géraud de Lescazes, directeur des relations institutionnelles

– Microsoft

M. Arnaud Jumelet, chef de programme Cybersécurité

M. Lionel Benatia, directeur des affaires publiques

– Apple

M. Bruno Bernard, Senior Manager, Government Affairs Europe

– Huawei

M. Minggang Zhang, directeur général adjoint

Mme Myriam Lagarde, directrice des affaires institutionnelles

Table ronde « clouders »

– Cloud Temple

M. Giuliano Ippoliti, directeur de la cybersécurité

– OVHcloud

M. Julien Levrard, responsable de la sécurité des systèmes d’information

Mme Elisa Sharps, responsable des affaires publiques

– OUTSCALE

M. Grégory Abate, secrétaire général de Dassault Systèmes

M. David Chassan, Chief Strategy Officer

Table ronde « cabinets de conseil »

– Wavestone

M. Gérôme Billois, Partner

– One Point

M. Alexis Bouin, Leader Cybersecurité

M. Fabrice Groseil, Partner Cybersecurité

– Ernst & Young

M. Marc Ayadi, Partner

M. Fabrice Naftalski, avocat associé

Table ronde « santé »

– Agence du Numérique en Santé (ANS)

M. Jean-Baptiste Lapeyrie, directeur Expertise, innovation et international

– Association Pour la Sécurité des Systèmes d’Information de Santé (Apssis)

M. Vincent Trély, président-fondateur

– Syndicat national de l’industrie des technologies médicales (Snitem)

Mme Cécile Vaugelade, directrice des affaires réglementaires

M. Arnaud Augris, responsable des affaires réglementaires

– Club RSSI Santé

M. Jean-Sylvain Chavanne, responsable de la sécurité des systèmes d’information du CHU de Brest et du GHT de Bretagne Occidentale

UGAP

M. François Lafond, directeur général adjoint en charge du numérique

Table ronde « chiffrement »

– Meta

M. Anton’Maria Battesti, directeur des affaires publiques France

Mme Aurore Denimal, responsable des affaires publiques France

– Olvid

M. Thomas Baignères, co-fondateur, président-directeur-général

M. Cédric Sylvestre, co-fondateur, vice-président business développement

Table ronde « CSIRT / CERT »

– CSIRT Bretagne - Breizh Cyber

M. Guillaume Chéreau, directeur de Breizh Cyber

– CSIRT Santé

M. Steven Garnier, directeur du domaine cybersécurité

– CSIRT Normandie Cyber

M. Stéphane Bresson, responsable du département « Normandie Cyber »

– CSIRT Maritime – France Cyber Maritime

M. Xavier Rebour, directeur

– CERT Aviation France

M. Marc Leymonerie, président

GIP ACYMA

M. Jérôme NOTIN, directeur général

Table ronde « associations d’élus »

– Association des maires de France (AMF)

M. Patrick Molinoz, vice-président, co-président de la commission « numérique », maire de Venarey-Lès-Laumes

Mme Véronique Picard, chargée de mission « numérique »

Mme Marie-Cécile Georges, responsable du département « intercommunalités et territoire »

– Intercommunalités de France

Mme Marlène Le Dieu de Ville, vice-présidente en charge du numérique

M. Jules Podsczaski, conseiller « numérique »

Mme Montaine Blonsard, responsable des relations avec le Parlement

Table ronde « éditeurs de logiciels »

– Berger-Levrault

M. Jérôme Bonnet, directeur de la technologie, membre du Comex

M. Stéphane Manou, directeur général collectivités France, membre du Comex et élu local

– Arpège

M. Nathanaël Veron, RSSI

– Arche MC2

M. Guillaume Bouillot, président

M. Tristan Prophète, responsable de la sécurité des systèmes d’information

Stoïk

M. Jules Veyrat, président-directeur général

M. Vincent Nguyen, directeur de la cybersécurité

* Ces représentants d’intérêts ont procédé à leur inscription sur le registre de la Haute Autorité pour la transparence de la vie publique.

liste des personnes auditionnées par m. mickaël bouloux, rapporteur sur le titre iiI

(par ordre chronologique)

Direction générale du Trésor

Mme Camille Sutter, cheffe du pôle des affaires internationales, de la coordination européenne et des enjeux technologiques du secteur financier (PAIET) au service du financement de l’économie (SFE) ;

M. Paul Abadie, adjoint à la cheffe du PAIET ;

M. Victor Millard, adjoint à la cheffe du bureau « entreprises et intermédiaires d’assurance » à la sous-direction des assurances et de l’économie sociale et solidaire du SFE ;

M. Jordan Granata, adjoint au chef du bureau « affaires bancaires » à la sous-direction des banques et des financements d’intérêt général du SFE

M. Thomas Durantet, adjoint au conseiller juridique ;

M. Sofien Abdallah, conseiller parlementaire et relations institutionnelles.

Table ronde regroupant des adhérents de l’Association française des établissements de crédit et des entreprises d’investissement (AFECEI)

– Association française des marchés financiers (AMAFI)

Mme Stéphanie Hubert, directrice générale

– Fédération bancaire française

M. François Lefebvre, directeur général adjoint

M. Jérôme Pardigon, directeur du département « Relations institutionnelles France Stratégie, communication, adhérents »

– BNP Paribas

M. Thierry Markwitz, responsable du programme DORA pour BNP Paribas

– Association française des établissements de paiement et de monnaie électronique

M. Alexandre Tribolet, Head Regulatory de Qonto

France Assureurs

Mme Mélodie Leloup-Velay, directrice « droit et conformité »

M. Isma Haffad, responsable d’études juridiques

M. Arnaud Giros, responsable des affaires parlementaires et gouvernementales

([1]) La composition de cette commission spéciale figure au verso de la présente page.

([2]) Directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil.

([3]) Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148.

([4]) Directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier.

([5]) Directive 2022/2557 du Parlement et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/C du Conseil.

([6]) Directive 2008/114/CE concernant le recensement et la désignation des infrastructures critiques européennes ainsi que l’évaluation de la nécessité d’améliorer leur protection.

([7]) Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) no 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2) (Texte présentant de l’intérêt pour l’EEE).

([8]) Arrêté du 2 juin 2006 fixant la liste la liste des secteurs d’activités d’importance vitale et désignant les ministres coordonnateurs desdits secteurs.

([9]) Installations classées protection de l’environnement, art. L. 511-1 du code de l’environnement.

([10]) Art. L. 593-2 du code de l’environnement

([11]) Il y a 16 chargés de mission sécurité économique (CMSE) : 1 dans chaque zone de défense et de sécurité métropolitaine, 1 en Martinique pour la zone Antilles, 1 à La Réunion pour la zone de l’océan Indien.

([12]) Adjoint sécurité défense en direction régionale de l’environnement, de l’aménagement et du logement de zone.

([13]) Directive 2008/114/CE concernant le recensement et la désignation des infrastructures critiques européennes ainsi que l’évaluation de la nécessité d’améliorer leur protection.

([14]) Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union.

([15]) Loi n° 2011-267 du 14 mars 2011 d’orientation et de programmation pour la performance de la sécurité intérieure.

([16]) Incident entraînant l’indisponibilité totale d’un service de communication concernant au moins 90 000 abonnés ou au moins 50 sites radio, et sur une durée de 2 heures.

([17]) À noter que l’industrie est exclue du champ de la directive REC.

([18])Directive 2014/24/UE du Parlement européen et du Conseil du 26 février 2014 sur la passation des marchés publics et abrogeant la directive 2004/18/CE.

([19])Directive 2014/25/UE du Parlement européen et du Conseil du 26 février 2014 relative à la passation de marchés par des entités opérant dans les secteurs de l’eau, de l’énergie, des transports et des services postaux et abrogeant la directive 2004/17/CE.

([20]) Cf. Recommandation du Conseil du 25 juin 2024 relative à un schéma directeur visant à coordonner au niveau de l’Union la réponse en cas de perturbations des infrastructures critiques ayant une dimension transfrontière notable ; Règlement (UE) 2024/1309 du Parlement européen et du Conseil du 29 avril 2024 relatif à des mesures visant à réduire le coût du déploiement de réseaux gigabit de communications électroniques, modifiant le règlement (UE) 2015/2120 et abrogeant la directive 2014/61/UE (règlement sur les infrastructures gigabit) ; Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle et modifiant les règlements (CE) n° 300/2008, (UE) n° 167/2013, (UE) n° 168/2013, (UE) 2018/858, (UE) 2018/1139 et (UE) 2019/2144 et les directives 2014/90/UE, (UE) 2016/797 et (UE) 2020/1828 (règlement sur l’intelligence artificielle) ; Conclusions du Conseil portant sur la révision de la stratégie de sureté maritime de l’UE (SSMUE) et son plan d’action ; Recommandation (UE) 2024/779 de la Commission du 26 février 2024 pour des infrastructures de câbles sous-marins sûres et résilientes.

([21]) Directive 2024/1760 du Parlement européen et du Conseil du 13 juin 2024 sur le devoir de vigilance des entreprises en matière de durabilité et modifiant la directive (UE) 2019/1937 et le règlement (UE) 2023/2859.

[22] https://digital-strategy.ec.europa.eu/fr/library/commission-guidelines-application-article-4-1-and-2-directive-eu-20222555-nis-2-directive.

([23]) Cf. commentaire de l’article premier.

([24]) Cf. commentaire de l’article 11.

([25]) Cf. commentaire de l’article 18.

[26] Comme le précise l’étude d’impact du projet de loi, au titre du règlement eIDAS de 2014, qui instaure un cadre européen en matière d’identification électronique et de services de confiance, afin de faciliter l’émergence du marché unique numérique et encadre en particulier la signature électronique, plusieurs rôles sont confiés à l’ANSSI : contrôler les prestataires de confiance, certifier les dispositifs de création de signature et de cachets électroniques qualifiés et établir, tenir à jour et publier la liste nationale des prestataires de services de confiance.

([27]) Acronyme en anglais de Digital Operational Resilience Act.

([28]) Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 600/2014, (UE) n° 909/2024 et (UE) 2016/1011.

([29]) Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148.

([30]) Cf. commentaire de l’article 56.

([31]) Directive (UE) 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur, modifiant les directives 2002/65/CE, 2009/110/CE et 2013/36/UE et le règlement (UE) n° 1093/2010, et abrogeant la directive 2007/64/CE.

([32]) Ordonnance n° 2017-1252 du 9 août 2017 portant transposition de la directive 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur.

([33]) Acronyme en anglais de Digital Operational Resilience Act.

([34]) Directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier.

([35]) Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011.

([36]) Acronyme en anglais de Markets in Financial Instruments Directive.

([37]) Directive 2014/65/UE du Parlement européen et du Conseil du 15 mai 2014 concernant les marchés d’instruments financiers et modifiant la directive 2002/92/CE et la directive 2011/61/UE.

([38]) Directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier.

([39]) Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011.

([40]) Cf. commentaire de l’article 44.

([41]) Acronyme originel de marché à terme international de France.

([42]) Marché des options négociables de Paris.

([43]) Directive 2014/65/UE du Parlement européen et du Conseil du 15 mai 2014 concernant les marchés d’instruments financiers et modifiant la directive 2002/92/CE et la directive 2011/61/UE.

([44]) Markets in Financial Instruments Directive (en anglais).

([45]) Directive 2004/39/CE du Parlement européen et du Conseil du 21 avril 2004 concernant les marchés d’instruments financiers, modifiant les directives 85/611/CEE et 93/6/CEE du Conseil et la directive 2000/12/CE du Parlement européen et du Conseil et abrogeant la directive 93/22/CEE du Conseil.

([46]) Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011.

([47]) Digital Operational Resilience Act (en anglais).

([48]) Directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier.

([49]) Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 600/2014, (UE) n° 909/2024 et (UE) 2016/1011.

([50]) Cf. commentaire de l’article 43 A.

([51]) Cf. commentaire de l’article 45.

([52]) Article L. 421-10.

([53]) Article L. 421-11.

([54]) Article L. 421-4.

([55]) Amendement n° 111.

([56]) Amendement n° 112.

([57]) Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148.

([58]) Cf. commentaire de l’article 43 A.

([59]) Cette catégorie comprend également les prestataires de services de paiement, les changeurs manuels, les émetteurs de monnaie électronique et de jetons de monnaie électronique, les prestataires de services d’investissements ainsi que divers prestataires de services comme les conseillers en investissements financiers, les sociétés de gestion de placements collectifs ou encore les prestataires et intermédiaires en financement participatif.

([60]) Conformément à l’article 4 du règlement (UE) n° 575/2013 du Parlement européen et du Conseil du 26 juin 2013 concernant les exigences prudentielles applicables aux établissements de crédit et modifiant le règlement (UE) n° 648/2012, auquel fait référence l’article L. 511-1 du code monétaire et financier.

([61]) Registre des agents financiers (REGAFI).

([62]) Article L. 511-1.

([63]) Capital Requirements Directive (en anglais).

([64]) Directive 2013/36/UE du Parlement européen et du Conseil du 26 juin 2013 concernant l’accès à l’activité des établissements de crédit et la surveillance prudentielle des établissements de crédit et des entreprises d’investissement, modifiant la directive 2002/87/CE et abrogeant les directives 2006/48/CE et 2006/49/CE.

([65]) Directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier.

([66]) Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011.

([67]) Article 4 du règlement (UE) n° 575/2013 du Parlement européen et du Conseil du 26 juin 2013 concernant les exigences prudentielles applicables aux établissements de crédit et aux entreprises d’investissement et modifiant le règlement (UE) no 648/2012.

([68]) Supervisory Review and Evaluation Process (en anglais).

([69]) Directive 2013/36/UE du Parlement européen et du Conseil du 26 juin 2013 concernant l’accès à l’activité des établissements de crédit et la surveillance prudentielle des établissements de crédit et des entreprises d’investissement, modifiant la directive 2002/87/CE et abrogeant les directives 2006/48/CE et 2006/49/CE.

([70]) Cf. commentaire de l’article 46.

([71]) Directive 2013/36/UE du Parlement européen et du Conseil du 26 juin 2013 concernant l’accès à l’activité des établissements de crédit et la surveillance prudentielle des établissements de crédit et des entreprises d’investissement, modifiant la directive 2002/87/CE et abrogeant les directives 2006/48/CE et 2006/49/CE.

([72]) Directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier.

([73]) Cf. commentaire de l’article 46.

([74]) Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) no 1060/2009, (UE) no 648/2012, (UE) no 600/2014, (UE) n° 909/2014 et (UE) 2016/1011.

([75]) Cf. commentaire de l’article 46.

([76]) De même que l’Institut d’émission des départements d’outre-mer (IEDOM) et l’Institut d’émission d’outre-mer (IEOM) qui lui sont rattachés.

([77]) Ordonnance n° 2017-1252 du 9 août 2017 portant transposition de la directive 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur.

([78]) Titre VI bis de l’arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque, des services de paiement et des services d’investissement soumis au contrôle de l’Autorité de contrôle prudentiel et de résolution.

([79]) Directive (UE) 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur, modifiant les directives 2002/65/CE, 2009/110/CE et 2013/36/UE et le règlement (UE) n° 1093/2010, et abrogeant la directive 2007/64/CE.

([80]) Directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier.

([81]) Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011.

([82]) Cf. commentaire de l’article 48.

([83]) Y compris l’Institut d’émission des départements d’outre-mer (IEDOM) et l’Institut d’émission d’outre-mer (IEOM).

([84]) Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011.

([85]) Directive (UE) 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur, modifiant les directives 2002/65/CE, 2009/110/CE et 2013/36/UE et le règlement (UE) n° 1093/2010, et abrogeant la directive 2007/64/CE.

([86]) Cf. commentaires des articles 43 A et 45 bis du projet de loi.

([87]) Directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier.

([88]) L’article 23 précise que le chapitre III Gestion, classification et notification des incidents liés aux TIC s’applique bien aux incidents opérationnels ou de sécurité liés au paiement.

([89]) L’article 19 fixe les règles de déclaration des incidents majeurs liés aux TIC et de notification volontaire des cybermenaces importantes.

([90]) L’article 22 prévoit que l’autorité compétence accuse réception de la notification initiale et de chaque rapport relatifs à un incident majeur lié au TIC ou à une cybermenace importante et qu’elle peut fournir en temps voulu à l’entité financière un retour d’information pertinent et adapté ou une orientation de haut niveau. Elle peut aussi examiner les mesures correctives appliquées et les moyens de réduire les effets préjudiciables dans le secteur financier.

([91]) L’article L. 631-1 régit la coopération et les échanges d’informations entre la Banque de France, l’IEDOM, l’IEOM, l’ACPR et l’Autorité des marchés financiers (AMF).

([92]) Directive 2014/65/UE du Parlement européen et du Conseil du 15 mai 2014 concernant les marchés d’instruments financiers et modifiant la directive 2002/92/CE et la directive 2011/61/UE.

([93]) Règlement (UE) 2019/2033 du Parlement européen et du Conseil du 27 novembre 2019 concernant les exigences prudentielles applicables aux entreprises d’investissement et modifiant les règlements (UE) n° 1093/2010, (UE) n° 575/2013, (UE) n° 600/2014 et (UE) n° 806/2014.

([94]) Directive (UE) 2019/2034 du Parlement européen et du Conseil du 27 novembre 2019 concernant la surveillance prudentielle des entreprises d’investissement et modifiant les directives 2002/87/CE, 2009/65/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE et 2014/65/UE.

([95]) Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011.

([96]) Cf. commentaire de l’article 49 bis.

([97]) Directive 2013/36/UE du Parlement européen et du Conseil du 26 juin 2013 concernant l’accès à l’activité des établissements de crédit et la surveillance prudentielle des établissements de crédit et des entreprises d’investissement, modifiant la directive 2002/87/CE et abrogeant les directives 2006/48/CE et 2006/49/CE.

([98]) Directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier.

([99]) Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011.

([100]) Cf. commentaire de l’article 47.

([101]) Cf. commentaires de l’article 49 bis et de l’article 50.

([102]) Directive 2009/65/CE du Parlement européen et du Conseil du 13 juillet 2009 portant coordination des dispositions législatives, réglementaires et administratives concernant certains organismes de placement collectif en valeurs mobilières.

([103]) Directive 2011/61/UE du Parlement européen et du Conseil du 8 juin 2011 sur les gestionnaires de fonds d’investissement alternatifs et modifiant les directives 2003/41/CE et 2009/65/CE ainsi que les règlements (CE) n° 1060/2009 et (UE) n° 1095/2010.

([104]) Directive 2014/65/UE du Parlement européen et du Conseil du 15 mai 2014 concernant les marchés d’instruments financiers et modifiant la directive 2002/92/CE et la directive 2011/61/UE.

([105]) Directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier.

([106]) Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011.

([107]) Cf. commentaires des articles 49 bis, 50 et 51.

([108]) Directive 2014/65/UE du Parlement européen et du Conseil du 15 mai 2014 concernant les marchés d’instruments financiers et modifiant la directive 2002/92/CE et la directive 2011/61/UE.

([109]) Markets in Financial Instruments Directive II.

([110]) Règlement (UE) n ° 596/2014 du Parlement européen et du Conseil du 16 avril 2014 sur les abus de marché et abrogeant la directive 2003/6/CE du Parlement européen et du Conseil et les directives 2003/124/CE, 2003/125/CE et 2004/72/CE de la Commission.

([111]) Directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier.

([112]) Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011.

([113]) Directive 2013/36/UE du Parlement européen et du Conseil du 26 juin 2013 concernant l’accès à l’activité des établissements de crédit et la surveillance prudentielle des établissements de crédit et des entreprises d’investissement, modifiant la directive 2002/87/CE et abrogeant les directives 2006/48/CE et 2006/49/CE.

([114]) Directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier.

([115]) Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011.

([116]) Directive 2014/59/UE du Parlement européen et du Conseil du 15 mai 2014 établissant un cadre pour le redressement et la résolution des établissements de crédit et des entreprises d’investissement et modifiant la directive 82/891/CEE du Conseil ainsi que les directives du Parlement européen et du Conseil 2001/24/CE, 2002/47/CE, 2004/25/CE, 2005/56/CE, 2007/36/CE, 2011/35/UE, 2012/30/UE et 2013/36/UE et les règlements du Parlement européen et du Conseil (UE) n° 1093/2010 et (UE) n° 648/2012.

([117]) Bank Recovery and Resolution Directive en anglais.

([118]) Directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier.

([119]) Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011.

([120]) Cf. commentaires des articles 50 et 51.

([121]) Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011.

([122]) Cf. commentaire de l’article 49.

([123]) Directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier.

([124]) Digital Operational Resilience Act en anglais.

([125]) Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011.

([126]) Article L. O. 6213-1 du code général des collectivités territoriales.

([127]) Article L. O. 6313-1 du même code.

([128]) Article L. O. 6413-1 du même code.

([129]) Directive 2009/138/CE du Parlement européen et du Conseil du 25 novembre 2009 sur l’accès aux activités de l’assurance et de la réassurance et leur exercice.

([130]) Relèvent également de ce régime des entreprises sollicitant un agrément, disposant d’un agrément pour des opérations de responsabilité civile, crédit ou caution ou sans agrément dès lors qu’elles remplissent certaines conditions ayant trait à l’encaissement annuel de primes ou cotisations brutes, au total des provisions techniques, à l’appartenance à un groupe ou encore à la nature de l’activité si elle comporte des opérations de réassurance.

([131]) Directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier.

([132]) Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011.

([133]) Cf. commentaires des articles 47, 50, 51 et 54.

([134]) Directive 2009/138/CE du Parlement européen et du Conseil du 25 novembre 2009 sur l’accès aux activités de l’assurance et de la réassurance et leur exercice.

([135]) Cf. commentaire de l’article 57.

([136]) Ordonnance n° 2015-378 du 2 avril 2015 transposant la directive 2009/138/CE du Parlement européen et du Conseil du 25 novembre 2009 sur l’accès aux activités de l’assurance et de la réassurance et leur exercice (Solvabilité II).

([137]) Directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier.

([138]) Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011.

([139]) Décret n° 76-666 du 16 juillet 1976 relatif à la codification des textes législatifs concernant les assurances.

([140]) Directive 2009/138/CE du Parlement européen et du Conseil du 25 novembre 2009 sur l’accès aux activités de l’assurance et de la réassurance et leur exercice.

([141]) Ordonnance n° 2015-378 du 2 avril 2015 transposant la directive 2009/138/CE du Parlement européen et du Conseil du 25 novembre 2009 sur l’accès aux activités de l’assurance et de la réassurance et leur exercice.

([142]) Cf. commentaire de l’article 57.

([143]) Cf. commentaire de l’article 58.

([144]) Article L. 354-1 du code des assurances.

([145]) Article L. 356-18 du même code.

([146]) Directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier.

([147]) Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011.

([148]) Directive 2009/138/CE du Parlement européen et du Conseil du 25 novembre 2009 sur l’accès aux activités de l’assurance et de la réassurance et leur exercice.

([149]) Cf. commentaire de l’article 59.

([150]) Titre V du livre III du code des assurances.

([151]) Ordonnance n° 2015-378 du 2 avril 2015 transposant la directive 2009/138/CE du Parlement européen et du Conseil du 25 novembre 2009 sur l’accès aux activités de l’assurance et de la réassurance et leur exercice.

([152]) Cf. commentaire de l’article 57.

([153]) Directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier.

([154]) Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011.

([155]) Directive 2009/138/CE du Parlement européen et du Conseil du 25 novembre 2009 sur l’accès aux activités de l’assurance et de la réassurance et leur exercice.

([156]) Ordonnance n° 2015-378 du 2 avril 2015 transposant la directive 2009/138/CE du Parlement européen et du Conseil du 25 novembre 2009 sur l’accès aux activités de l’assurance et de la réassurance et leur exercice.

([157]) Cf. commentaire de l’article 57.

([158]) Cf. commentaire de l’article 58.

([159]) Cf. commentaire de l’article 59.

([160]) Article L. 354-1 du code des assurances.

([161]) Article L. 356-18 du même code.

([162]) Article L. 211-12 du code de la mutualité.

([163]) Directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier.

([164]) Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011.

([165]) Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148.

([166]) Cf. commentaires des articles 5 à 42.

([167]) Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011.

([168]) Directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier.

([169]) Cf. commentaires des articles 43 A à 56.

([170]) Cf. commentaires des articles 57 à 58 bis.

([171]) Cf. commentaires des articles 59 à 60.

([172]) Cf. commentaire de l’article 61.

([173]) CSNP, avis n° 2024-07 du 3 octobre 2024, Les enjeux de la transposition de la directive NIS 2 en France.

([174]) Cf. commentaires des articles 43 A et 45 bis.

([175]) Directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022 modifiant les directives 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 et (UE) 2016/2341 en ce qui concerne la résilience opérationnelle numérique du secteur financier.

([176]) Article L. 511-1 du code monétaire et financier.

([177]) Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011

([178]) Directive 2013/36/UE du Parlement européen et du Conseil du 26 juin 2013 concernant l’accès à l’activité des établissements de crédit et la surveillance prudentielle des établissements de crédit et des entreprises d’investissement, modifiant la directive 2002/87/CE et abrogeant les directives 2006/48/CE et 2006/49/CE.

([179]) Règlement (UE) n° 575/2013 du Parlement européen et du Conseil du 26 juin 2013 concernant les exigences prudentielles applicables aux établissements de crédit et aux entreprises d’investissement et modifiant le règlement (UE) n° 648/2012.

([180]) Règlement (UE) 2019/876 du Parlement européen et du Conseil du 20 mai 2019 modifiant le règlement (UE) n° 575/2013 en ce qui concerne le ratio de levier, le ratio de financement stable net, les exigences en matière de fonds propres et d’engagements éligibles, le risque de crédit de contrepartie, le risque de marché, les expositions sur contreparties centrales, les expositions sur organismes de placement collectif, les grands risques et les exigences de déclaration et de publication, et le règlement (UE) n° 648/2012.

([181]) Règlement (UE) 2024/1623 du Parlement européen et du Conseil du 31 mai 2024 modifiant le règlement (UE) n° 575/2013 en ce qui concerne les exigences pour risque de crédit, risque d’ajustement de l’évaluation de crédit, risque opérationnel et risque de marché et le plancher de fonds propres.

([182]) Décret n° 2009-834 du 7 juillet 2009 portant création d’un service à compétence nationale dénommé « Agence nationale de la sécurité des systèmes d’information ».

([183]) Projet annuel de performances de la mission Direction de l’action du Gouvernement annexé au projet de loi de finances pour 2025.

([184]) Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148.

([185]) Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148.

([186]) Cf. commentaire de l’article 5 bis.