rapport sur le projet de loi, adopté par le Sénat après engagement de la procédure accélérée, relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (n°1112). — Comptes rendus

La commission spéciale est composée de :

M. Philippe Latombe, président ;

Mme Virginie Duby-Muller, M. Thomas Gassilloud, M. Laurent Mazaury, M. Hervé Saulignac, vice-présidents ;

Mme Amélia Lakrafi, M. Aurélien Lopez-Liguori, Mme Liliana Tanguy, M. Vincent Thiébaut, secrétaires ;

M. Éric Bothorel, rapporteur général ;

M. Mickaël Bouloux, Mme Catherine Hervieu, Mme Anne Le Hénanff, rapporteurs thématiques ;

M. Xavier Albertini, M. Pouria Amirshahi, M. Rodrigo Arenas, Mme Bénédicte Auzanot, Mme Lisa Belluco, M. Édouard Bénard, M. Ugo Bernalicis, M. Matthieu Bloch, Mme Émilie Bonnivard, Mme Manon Bouquin, M. Jérôme Buisson, M. Eddy Casterman, M. François Cormier-Bouligeon, M. Jean-François Coulomme, Mme Geneviève Darrieussecq, M. Hervé de Lépinau, Mme Élisabeth de Maistre, Mme Sandra Delannoy, Mme Sophie Errante, M. Yannick Favennec-Bécot, Mme Marina Ferrari, M. Julien Gabarron, Mme Olga Givernet, M. Philippe Gosselin, M. Patrick Hetzel, M. Sébastien Huyghe, Mme Marietta Karamanli, M. Bastien Lachaud, M. Tristan Lahais, M. Maxime Laisney, Mme Constance Le Grip, M. Denis Masséglia, M. Emmanuel Maurel, M. Paul Midy, M. Jacques Oberti, M. René Pilato, M. Stéphane Rambaud, M. Julien Rancoule, Mme Marie Récalde, M. Matthias Renault, Mme Véronique Riotton, Mme Marie-Ange Rousselot, M. Alexandre Sabatou, M. Arnaud Saint-Martin, M. Sébastien Saint-Pasteur, Mme Laetitia Saint-Paul, M. Aurélien Saintoul, M. Emeric Salmon, M. Philippe Schreck, Mme Sabrina Sebaihi, M. Aurélien Taché, Mme Sabine Thillaye, Mme Mélanie Thomin, M. Roger Vicot, M. Antoine Villedieu, Mme Estelle Youssouffa, membres.

SOMMAIRE

Pages

1. COMPTES RENDUS
2. I. Auditions de la commission spéciale
3. 1. Première audition de M. Vincent Strubel, directeur général de l’Agence nationale de sécurité des systèmes d’information (ANSSI), mercredi 7 mai 2025 à 16 heures 30
4. 2. Audition de M. Nicolas Roche, secrétaire général de la défense et de la sécurité nationale (SGDSN), mardi 13 mai 2025 à 16 heures 30
5. 3. Table ronde réunissant des associations d’élus, jeudi 15 mai 2025 à 9 heures 30
6. 4. Table ronde réunissant les autorités de régulation financière, mardi 3 juin 2025 à 16 heures 30
7. 5. Table ronde réunissant des entreprises de cyberdéfense, mercredi 4 juin 2025 à 15 heures 30
8. 6. Table ronde réunissant des entreprises de télécommunications, mercredi 4 juin 2025 à 17 heures
9. 7. Table ronde réunissant des experts de la cybersécurité, jeudi 5 juin 2025 à 9 heures 30
10. 8. Table ronde réunissant des organisations patronales, jeudi 5 juin 2025 à 11 heures 30
11. 9. Audition de représentants de la Commission nationale de l’informatique et des libertés (CNIL), mardi 10 juin 2025 à 16 heures 30
12. 10. Table ronde sur la lutte contre la cybercriminalité et la cybermalveillance, mercredi 25 juin 2025 à 16 heures 30
13. 11. Audition de Mme Laure de La Raudière, présidente de l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (ARCEP) et M. Olivier Corolleur, directeur général de l’Autorité, mardi 8 juillet 2025 à 18 heures
14. 12. Table ronde sur le chiffrement réunissant des représentants de la coordination nationale du renseignement et de la lutte contre le terrorisme (CNRLT), du groupement interministériel de contrôle (GIC) et de la direction générale de la sécurité intérieure (DGSI), mercredi 9 juillet 2025 à 14 heures
15. 13. Table ronde sur le chiffrement réunissant des entreprises et des experts de la cryptographie, mercredi 9 juillet 2025 à 15 heures
16. 14. Deuxième audition de M. Vincent Strubel, directeur général de l’ANSSI, mardi 15 juillet 2025 à 17 heures
17. II. discussion générale
18. Première réunion du mardi 9 septembre 2025 à 15 heures
19. III. Examen des articles du projet de loi
20. 1. Deuxième réunion du mardi 9 septembre 2025 à 16 heures 30
21. 2. Réunion du mardi 9 septembre 2025, à 21 heures 30
22. 3. Réunion du mercredi 10 septembre 2025, à 14 heures

COMPTES RENDUS

I. Auditions de la commission spéciale

1. Première audition de M. Vincent Strubel, directeur général de l’Agence nationale de sécurité des systèmes d’information (ANSSI), mercredi 7 mai 2025 à 16 heures 30

Lors de sa réunion du mercredi 7 mai 2025, la commission spéciale a auditionné M. Vincent Strubel, directeur général de l’Agence nationale de sécurité des systèmes d’information (ANSSI) et M. Gaëtan Poncelin de Raucourt, sous-directeur « Stratégie ».

M. le président Philippe Latombe. Nous ouvrons aujourd’hui la première réunion plénière de notre commission spéciale par une audition particulièrement structurante.

Nous avons l’honneur d’accueillir M. Vincent Strubel, directeur général de l’Agence nationale de la sécurité des systèmes d’information (Anssi).

Avant d’entrer dans le cœur de nos échanges, je souhaite vous informer d’une évolution importante concernant le calendrier d’examen du projet de loi dont notre commission est saisie. L’examen du texte, initialement prévu en séance publique à la mi-juin, a été reporté. À ce jour, aucune date officielle n’a été communiquée. Il est néanmoins possible que l’examen en séance se tienne lors d’une session extraordinaire en juillet ou en septembre. Par conséquent, l’examen du texte en commission spéciale pourrait avoir lieu dès la semaine du 17 ou du 24 juin, si la séance publique se tenait en juillet ou au début de la session extraordinaire de septembre. Dans l’hypothèse d’un examen en séance à partir de la semaine du 15 septembre, nos travaux pourraient se dérouler début septembre, avec un délai de dépôt des amendements à prévoir pour le dernier week-end d’août. Je m’engage à vous tenir informés le plus rapidement possible.

Monsieur le directeur général, l’Anssi, que vous dirigez depuis janvier 2023, après avoir exercé diverses fonctions pendant près de quinze ans et deux ans à la direction de l’opérateur des systèmes d’information interministériels classifiés (Osiic), est aujourd’hui un pilier incontournable de la sécurité des systèmes d’information en France. Service à compétence nationale rattaché au secrétariat général de la défense et de la sécurité nationale (SGDSN), l’Anssi veille à la sécurité des systèmes d’information de l’État, accompagne les opérateurs d’importance vitale et participe à la recherche et à la promotion des technologies de sécurité. Votre rôle va s’intensifier dans le cadre du projet de loi que nous examinons, notamment avec l’article 5, qui vous désigne comme le « chef d’orchestre » de la politique gouvernementale en matière de sécurité des systèmes d’information.

Dans son panorama de la cybermenace 2024, publié en mars dernier, l’Anssi dressait un constat préoccupant : 4 386 événements de sécurité traités en 2023, soit une hausse de 15 % par rapport à l’année précédente. Deux types de menaces dominent : la cybercriminalité systémique et les attaques émanant d’acteurs réputés liés à des États, notamment la Russie et la Chine.

Mes collègues et moi-même avons de nombreuses questions à vous poser afin de mieux cerner les enjeux de la transposition de la directive dite NIS 2, ses implications opérationnelles et ses perspectives stratégiques pour la France et l’Europe.

Premièrement, la transposition belge a fait le choix de s’appuyer sur des normes internationales, apportant visibilité et stabilité aux organisations. Ce n’est pas l’option retenue par le projet de loi français, alors que de nombreux acteurs publics et privés y sont favorables, notamment dans une optique d’harmonisation européenne. Pourriez-vous nous éclairer sur ce choix et nous indiquer comment nous pourrions construire une convergence européenne sur le sujet ?

Deuxièmement, le sénateur Olivier Cadic évoquait récemment le risque qu’une sous-transposition législative génère une surtransposition administrative. Pensez-vous que le texte issu du Sénat nécessite des modifications, car il serait trop contraignant ou restrictif ? Comment éviter une inflation de référentiels techniques administratifs, parfois contradictoires, source de confusion pour les acteurs concernés ? Je pense notamment aux retours formulés lors du Forum international de la cybersécurité à propos des sondes issues de la dernière loi de programmation militaire (LPM).

Troisièmement, le règlement général sur la protection des données (RGPD) a prévu la création d’un délégué à la protection des données (DPO), fonction assortie de protections spécifiques. De nombreux auteurs universitaires ont proposé la création d’une fonction de type responsable de la sécurité des systèmes d’information (RSSI), munie de protections adéquates par analogie au DPO. Cette idée est également reprise par des organisations matures en protection cyber, entreprises NIS ou collectivités de grande taille. Pensez-vous que le législateur doit s’emparer de cette proposition et, si oui, doit-il l’imposer ou seulement la suggérer pour une partie des entités soumises à NIS 2 ?

Quatrièmement, comment pouvons-nous, selon vous, profiter de ce texte de transposition pour permettre la création d’une base industrielle et technologique de cybersécurité française et européenne (BITC), par analogie à la base industrielle et technologique de défense (BITD), qui participerait à l’autonomie stratégique française et européenne ?

Cinquièmement, quelle interprétation faites-vous de l’avis du Conseil d’État sur la disparité de traitement entre les entités privées soumises à sanctions et les entités publiques dispensées ? Comment envisager de dispenser des entités publiques, par exemple France Travail, de sanctions en cas de manquement avéré en matière de cybersécurité ? Plus largement, quelle exemplarité doivent avoir l’État et les entités publiques en la matière ?

Enfin, sixièmement, que pensez-vous de la rédaction de l’article 16 bis sur le chiffrement ?

Monsieur le directeur général, je vous cède la parole.

M. Vincent Strubel, directeur général de l’Anssi. Concernant la genèse du texte, je me concentrerai sur le titre II, qui transpose la directive NIS 2, les titres Ier et III transposant la directive sur la résilience des entités critiques (REC) et le Digital Operational Resilience Act (Dora), qui relèvent moins de l’Anssi.

La directive NIS 2 nous a été imposée par l’évolution de la menace. Nous traitons depuis des années une menace étatique d’espionnage et potentiellement de sabotage, mais s’y ajoute, depuis le tournant des années 2020, ce que nous appelons la « menace systémique ». Cette dernière est principalement portée par des acteurs du crime organisé et de l’activisme. Elle se caractérise par son caractère non ciblé, contrairement à la menace étatique, et finit par toucher l’ensemble des acteurs. Les entités les plus vulnérables en termes de cybersécurité, auparavant épargnées, sont désormais concernées : petites et moyennes entreprises (PME), entreprises de taille intermédiaire (ETI), collectivités ou encore associations. Cette tendance, observée depuis 2020, ne fait que se confirmer année après année. Les chiffres de notre panorama de la menace corroborent ce constat.

Face à cette situation, partagée à l’échelle européenne, nous avons collectivement élaboré la directive NIS 2, avec une forte impulsion française. Cette directive complète un paysage normatif européen préexistant, notamment la directive NIS 1, mais s’inscrit dans une logique différente. NIS 2 représente un changement d’échelle dans le nombre d’entités régulées. En France, nous passerons de quelques centaines à environ 15 000 entités régulées, avec des proportions similaires dans les autres pays européens. Ce texte marque également un changement de paradigme dans le niveau d’exigence. Nous n’appliquerons pas le même niveau d’exigence à une entreprise de taille moyenne qu’à un opérateur d’importance vitale. De plus, la logique de désignation par seuil remplace la désignation individuelle et nous introduisons des sanctions administratives et financières.

Ce texte répond à une nécessité essentielle pour la résilience de notre économie et de notre société face à une menace qui n’épargne plus personne. Cette menace, actuellement opportuniste, pourrait un jour s’avérer coordonnée avec des menaces étatiques dans un contexte géopolitique plus large.

Au-delà de cette nécessité, je suis convaincu que ce texte représente une véritable opportunité. Il permet de sensibiliser à grande échelle l’ensemble des petites structures jusqu’ici éloignées des enjeux de cybersécurité, mais qui ne peuvent plus les ignorer. Il offre également la possibilité de définir simplement et clairement les bonnes pratiques de cybersécurité pour ces entités, tout en délimitant leurs responsabilités. Enfin, il constitue une occasion de mobiliser l’écosystème de cybersécurité national et européen, florissant et riche, qui sera naturellement positionné en proximité pour répondre aux besoins de ces petites structures.

Nous nous sommes efforcés de transposer la genèse de la directive dans le projet qui nous est soumis, en suivant plusieurs grands principes.

Nous appliquons tout d’abord le principe de coconstruction, sans précédent pour l’Anssi. Nous avons consulté près de 80 organisations professionnelles et toutes les associations d’élus. Ces consultations, initiées en septembre 2023, se poursuivent dans la préparation des textes d’application et continueront lors de la mise en œuvre.

Ensuite, un autre principe est l’harmonisation, qui se traduit par l’absence de surtransposition. Nous avons effectué une transposition sèche, sans surtransposition ni sous-transposition. Cette recherche d’harmonisation se poursuit dans nos échanges au sein du groupe de coopération NIS 2, avec la Commission et les autres États membres. Nous cherchons à clarifier certains points de mise en œuvre, notamment l’application aux filiales, sujet qui fait l’objet de nombreux débats partagés par l’ensemble des États membres. Nous avons sollicité un avis consensuel de la Commission pour guider notre interprétation et éviter de créer de la complexité inutile.

Par ailleurs, nous appliquons le principe de proportionnalité, prévu par la directive, qui distingue deux types d’entités : les entités essentielles, plus matures en termes de cybersécurité et plus critiques, et les entités importantes, de taille et de maturité moindres. Nous n’aurons pas le même niveau d’exigence sur ces deux types d’entités. Cette proportionnalité se décline dans le régime de sanctions, différencié selon le type d’entité, et dans le régime de contrôle, ex ante pour les entités essentielles et ex post pour les entités importantes. Ce principe s’applique également aux niveaux d’exigence technique que nous porterons.

Cette approche nous différencie de celle adoptée par nos homologues belges. Notre diagnostic actuel suggère que leur approche est potentiellement moins exigeante pour les entités essentielles, mais probablement plus contraignante pour les entités importantes. L’utilisation de la norme ISO 27001 par les Belges impose à ces entités un travail d’analyse et d’expertise significatif que nous ne comptons pas exiger des entités importantes, car elles ne disposent pas nécessairement de cette expertise.

En outre, nous appliquons un principe de simplification et de rationalisation, qui nous conduit à aligner les différents cadres normatifs préexistants, tels que celui des opérateurs d’importance vitale et celui applicable aux administrations via le référentiel général de sécurité, sur un socle commun de mesures. Nous le compléterons d’exigences supplémentaires pour des entités spécifiques, notamment les opérateurs d’importance vitale. Concernant les sondes de détection, après dix ans de mise en œuvre du dispositif applicable aux opérateurs d’importance vitale, nous réexaminerons les dispositions et leur efficacité à l’aune de l’état de l’art du moment.

Le texte a été examiné au Sénat en mars. Je salue le travail des sénateurs, qui a amélioré et clarifié le texte, contribuant à l’effort de pédagogie sur ces enjeux pour sensibiliser les entités qui seront concernées par ce texte. Je ne doute pas que l’Assemblée nationale apportera une contribution similaire, tant sur le texte que sur l’accompagnement et la pédagogie nécessaires.

Parmi les évolutions saillantes apportées par le Sénat, je soulignerai l’inclusion dans la loi de certains éléments en termes de définition, de champ d’application et de délais, qui apportent de la visibilité. Cependant, le bon équilibre a été maintenu en préservant la possibilité pour le pouvoir réglementaire d’apporter certaines précisions, notamment sur la définition des secteurs soumis à la directive NIS 2. Cette flexibilité nous permettra de continuer à adapter le déploiement de ce cadre, notamment en lien avec les travaux que nous poursuivons avec nos homologues européens pour clarifier certaines définitions ou interprétations.

Le Sénat a également introduit la possibilité de créer un label national permettant aux entités d’attester leur conformité à NIS 2. Ce label pourra être valorisé auprès d’autres acteurs, tels que les assureurs, les banques ou les clients pour témoigner d’un niveau de sécurité satisfaisant. Nous pouvons nous réjouir de cette évolution et du bon équilibre trouvé, ce label étant une possibilité, et non une contrainte pour les entités assujetties à NIS 2. Nous aurons peut-être à apporter quelques améliorations, à des fins de sécurité juridique, à cette disposition, mais l’équilibre atteint par le Sénat semble approprié.

J’accueille favorablement la possibilité apportée par le Sénat de créer une reconnaissance de labels délivrés par d’autres États membres. Cette initiative répond notamment à la question de l’articulation avec le dispositif belge, et potentiellement avec d’autres dispositifs équivalents qui pourraient être mis en place par d’autres États membres. L’équilibre trouvé me semble judicieux : il s’agit d’une possibilité, et non d’une automaticité, préservant ainsi une marge d’appréciation quant au niveau d’exigence porté par d’autres labels équivalents. Nous aurons également quelques éléments à proposer en termes de sécurisation juridique de ce dispositif.

Certains points soulèvent des interrogations.

Le Sénat a simplifié l’articulation entre Dora et la directive NIS 2, ce qui est louable dans l’intention. Toutefois, supprimer la notification des incidents cyber qui affecteraient les entités soumises à Dora auprès de l’Anssi, pour ne conserver qu’une notification aux entités de contrôle Dora — à savoir l’autorité de contrôle prudentiel et de résolution (ACPR) et l’autorité des marchés financiers (AMF) —, provoque des effets de bord néfastes. Contrairement à l’Anssi, l’ACPR et l’AMF ne disposent pas d’un service opérationnel 24 heures sur 24 et 7 jours sur 7. Ce passage obligé par les autorités de Dora entraînerait un retard dans la prise en compte des notifications d’incidents par l’Anssi, l’empêchant ainsi de remplir efficacement sa mission d’assistance aux victimes et d’alerte des autres cibles potentielles. Nous proposerons donc de rétablir une forme de double notification, basée sur un formulaire unique pour éviter la duplication du travail, afin de garantir l’efficacité dans le traitement des incidents.

De même, nous nous interrogeons sur les restrictions apportées à la commission des sanctions, indépendante de l’Anssi, mais chargée d’examiner et de prononcer d’éventuelles sanctions à la suite de manquements. Certaines contraintes apportées à sa composition et à ses modalités d’instruction soulèvent potentiellement des risques pratiques quant à sa capacité à disposer de l’expertise nécessaire et à la solidité juridique de ses décisions. Nous sommes à votre disposition pour travailler sur ces enjeux, ainsi que sur des clarifications concernant la responsabilité des organes de direction des entités assujetties.

Parallèlement au processus législatif, nous avons initié des travaux préparatoires pour répondre à deux besoins majeurs exprimés lors de nos consultations : une mise en œuvre progressive et un accompagnement adapté.

Concernant la mise en œuvre progressive, je réaffirme notre souhait de prendre le temps nécessaire à une mise en œuvre adéquate de ces dispositions en distinguant les obligations simples, telles que l’enregistrement auprès de l’Anssi et la notification d’incidents – qui bénéficieront d’un délai de six mois –, des obligations plus complexes pour lesquelles nous accorderons un délai de trois ans après la publication des textes d’application, avec une approche progressive incluant des contrôles à blanc sans sanction durant cette période.

Concernant l’accompagnement, nous travaillerons sur trois axes.

Premièrement, nous développons une offre de services adaptée et clarifiée de la part de l’Anssi, comprenant des dispositifs tels que « Mon Aide Cyber » pour un premier diagnostic, « Mes Services Cyber » pour une meilleure lisibilité du corpus documentaire et « Mon Espace NIS 2 » pour le préenregistrement et le test de la soumission au cadre NIS 2.

Deuxièmement, nous mettons en place un réseau de relais impliquant les services de l’État, les collectivités, les organisations professionnelles et l’écosystème des fournisseurs de produits et services français et européens. La logique de cet accompagnement vise à n’exclure personne et à partager un cadre commun ainsi qu’une offre lisible.

Troisièmement, nous mobilisons tous les dispositifs de soutien et d’accompagnement, publics et privés, y compris à travers la perspective d’un label facilitant la démonstration de conformité et l’appréciation des risques par les secteurs bancaire et assurantiel.

Enfin, un enjeu transverse est celui de la communication. Il est impératif de sensibiliser toutes les futures entités assujetties, qui sont souvent éloignées des préoccupations de cybersécurité et qui ont besoin de s’en préoccuper avant de subir des attaques. Je ne doute pas que vos travaux contribueront à cette sensibilisation. L’Anssi se tient à votre disposition pour vous y aider.

M. le président Philippe Latombe. Je cède la parole aux rapporteurs.

M. Éric Bothorel, rapporteur général. Je me permets de suggérer que nous puissions auditionner une nouvelle fois M. le directeur général à l’issue de nos travaux. En effet, il me semble aussi pertinent de l’auditionner aujourd’hui, en introduction de nos travaux, qu’après avoir entendu un certain nombre d’acteurs qui ne manqueront pas de nous faire part de leurs observations et recommandations.

Concernant le calendrier que vous avez évoqué, monsieur le président, je souhaiterais que nous puissions mener nos travaux de manière continue. C’est un avis personnel, mais s’il était partagé par d’autres, peut-être pourrait-il être pris en considération.

Dans mon mandat de rapporteur général, je serai attentif à rechercher les équilibres concernant un texte qui se veut harmonieux, de par sa nature européenne. Lorsqu’on est attaché à une forme de souveraineté, qui ne doit pas être confondue avec du souverainisme, il est en effet impératif de disposer d’un cadre européen harmonieux plutôt que fragmenté. En tant que rapporteur général, je veillerai à ce que ces équilibres soient respectés.

Monsieur le directeur général, nous entendons parfois qu’il est inutile de s’embarrasser avec ces actions, puisque la norme ISO 27001 est excellente et permet de se passer de nuances technologiques et de spécificités techniques rappelées dans ces trois textes.

Par ailleurs, au-delà de l’articulation de Dora et de NIS 2, comment parvenez-vous à trouver un équilibre avec les autres organisations, notamment la Commission nationale de l’informatique et des libertés (Cnil) ?

Comment pouvons-nous faire en sorte que NIS 2 devienne un sujet de levier et de démultiplication de notre écosystème cyber ?

Enfin, concernant le chiffrement, pourriez-vous apporter une réponse plus précise à la question du président ?

Mme Anne Le Hénanff, rapporteure. Les sénateurs ont directement inscrit dans la loi la liste des secteurs, en distinguant ceux considérés comme hautement critiques de ceux critiques. Un décret en Conseil d’État précisera les sous-secteurs et les types d’entités relevant de ces deux catégories. Quelle est votre opinion sur cette approche des sénateurs ?

Concernant le budget nécessaire pour se mettre en conformité, comment envisagez-vous l’accompagnement des territoires des entités concernées et la mise en œuvre de la directive par ces mêmes entités ? Avez-vous déjà évoqué la question des moyens financiers ou cela reste-t-il à définir dans le cadre d’un projet de loi de finances (PLF) ?

La sénatrice Vanina Paoli-Gagin a évoqué les critères de sélection des contrôleurs, en insistant sur la nécessité qu’ils soient français pour éviter les risques d’ingérence. Pouvez-vous nous en dire davantage à ce sujet ? Pourquoi avez-vous exprimé un avis défavorable au Sénat sur ce point ?

Enfin, pourriez-vous nous éclairer sur le niveau de protection des mesures mises en place dans la transposition de NIS 2, comparativement aux exigences actuelles en vigueur appliquées aux opérateurs d’importance vitale, notamment dans le cadre de la LPM 2013 ?

M. Mickaël Bouloux, rapporteur. En tant que rapporteur thématique sur le titre III du projet de loi, qui est relatif à la résilience opérationnelle numérique du secteur financier et qui ne concerne pas autant l’Anssi que la transposition de la directive NIS 2, je souhaite vous poser quelques questions sur le rôle de votre agence dans la résilience des entités financières.

Tout d’abord, pourriez-vous nous donner des exemples récents de cybermenaces auxquelles sont exposés les acteurs du système financier ? La recapitalisation de la filiale américaine de la banque chinoise ICBC est souvent citée comme exemple. J’ai lu, dans votre dernier panorama, que le logiciel financier Xtrader avait aussi été compromis.

Ensuite, compte tenu des menaces, pensez-vous que le règlement et la directive Dora seront décisifs pour assurer la résilience du secteur financier ?

Enfin, le Sénat a ajouté deux articles additionnels au titre III du projet de loi afin de désigner une seule autorité compétente pour recevoir, de la part des entités financières, les déclarations obligatoires d’incidents majeurs et les notifications volontaires de cybermenaces importantes pour respecter l’article 19 du règlement Dora. Si cet ajout est motivé par le souhait d’éviter le double assujettissement entre NIS 2 et Dora, vous militez pour que l’Anssi puisse également être prévenue. En tant que rapporteur thématique, je suis enclin à soutenir ce point.

Mme Catherine Hervieu, rapporteure. Je suis rapporteure pour le titre Ier, relatif à la résilience des activités d’importance vitale pour l’ensemble des thématiques que nous aborderons à travers ce sujet.

La cybersécurité de l’État doit être renforcée pour protéger nos données et nos secteurs critiques. L’objectif stratégique n° 4 de la revue nationale stratégique (RNS) 2022, visant une résilience cyber de premier rang, est plus que jamais d’actualité. Il est impératif de rehausser le niveau de cybersécurité de l’ensemble des entités importantes, face à des besoins qui s’accélèrent quotidiennement. La mise en place d’une stratégie nationale en matière de cybersécurité est donc primordiale, notamment pour une question de défense nationale.

La directive NIS 2 représente une avancée significative pour assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union européenne. Elle participe à une transformation de l’Anssi, modifiant vos méthodes de travail et vos échanges avec vos interlocuteurs. Votre rôle est central pour informer et accompagner des acteurs de notre territoire en matière de cybersécurité des entités importantes.

Quelles sont les conséquences du texte sur les collectivités territoriales, dont les moyens sont très hétéroclites, tant sur le plan humain que financier ? Comment envisagez-vous de déployer l’accompagnement en tenant compte des contextes territoriaux ?

La coopération stratégique et l’échange d’informations entre les États membres, ainsi que le réseau des Cyber Incident Response Teams (CIRT) qui favorise une coopération opérationnelle rapide et efficace entre les entités nationales, sont des moyens d’améliorer la cybersécurité à tous les échelons. Pourriez-vous développer vos besoins en matière de coopération avec les États membres de l’Union européenne ?

Enfin, face aux évolutions technologiques exponentielles, notamment l’intelligence artificielle, comment appréhendez-vous notre prise en compte de ces enjeux, en particulier pour les technologies de rupture ?

M. Vincent Strubel, directeur général de l’Anssi. Concernant les exigences ISO 27001, nous n’y sommes pas opposés. La plupart de nos référentiels de prestataires qualifiés déclinent la même architecture que cette norme. Cependant, elle ne constitue pas l’outil adéquat pour répondre aux exigences de NIS 2. Nos homologues belges partagent cette analyse : ils se sont certes inspirés de la norme ISO 27001, mais l’ont complétée par des exigences supplémentaires. Par exemple, ISO 27001 ne traite pas la question des sauvegardes, pourtant cruciale pour les petites entreprises face aux rançongiciels. Nous intégrerons ce type d’exigences, à l’instar des Belges. Nous ne nous contentons donc pas d’une simple déclinaison d’une norme sur étagère.

Une autre réserve concernant l’ISO 27001 tient à sa nature : il s’agit d’une méthode pour élaborer des objectifs de sécurité et se mettre en conformité. Cette norme n’indique pas précisément les actions à entreprendre pour répondre à un niveau de menace précis. Ce travail d’adaptation incombe à l’entité appliquant la norme. Nous estimons donc que cette démarche sera trop complexe pour de petites structures, notamment parmi les entités importantes qui ne disposeront pas toutes d’un RSSI.

Bien que le métier de RSSI soit indispensable, je ne suis pas convaincu de la nécessité de l’encadrer par la loi. De nombreux RSSI exercent aujourd’hui sans ancrage légal et ils ne semblent pas en avoir besoin. En revanche, nous n’envisageons pas d’exiger la présence d’un RSSI ou d’un expert en cybersécurité dans chaque entité importante, ce qui serait déraisonnable au vu de la taille de certaines d’entre elles. Nous procéderons plutôt à une analyse des risques au profit des secteurs d’activité et proposerons des mesures relativement simples à mettre en œuvre.

Concernant le positionnement entre NIS 2 et le cadre applicable aux opérateurs d’importance vitale, nos exigences seront nettement moins strictes pour NIS 2 que pour les opérateurs d’importance vitale. Néanmoins, cela constituera le socle commun. Pour les opérateurs d’importance vitale, dans le cadre de la refonte du dispositif d’activité d’importance vitale portée par le titre Ier, nous ajouterons des mesures complémentaires reprenant certaines exigences spécifiques actuellement en vigueur. Ces exigences sont pertinentes compte tenu de leur niveau d’exposition à la menace, y compris stratégique. Les opérateurs d’importance vitale sont concernés non seulement par la menace systémique, mais aussi par des menaces ciblées. Nous maintiendrons donc des exigences en matière de détection, qui figure dans le cadre existant, mais que nous actualiserons au gré de l’évolution de l’état de l’art, tandis que nous appliquerons un niveau d’exigence moindre pour les entités soumises à NIS 2, en raison de leur exposition différente à la menace et de leurs moyens plus limités.

Quant à l’intelligence artificielle, notre analyse, largement partagée lors du sommet pour l’action sur l’intelligence artificielle, ne la considère pas comme une rupture fondamentale en matière de cybersécurité. Elle améliorera certes les capacités des attaquants, mais aussi celles des défenseurs. Il s’agit, pour nous, de nous emparer de ces nouvelles technologies au même rythme que les « méchants » et d’accompagner le déploiement de l’intelligence artificielle par des mesures de cybersécurité appropriées. Toutefois, le rapport d’analyse des risques que nous avons publié, cosigné par deux de nos partenaires étrangers, souligne que le déploiement de l’intelligence artificielle nécessite avant tout le respect des bonnes pratiques de base applicables à tout logiciel, avant de se préoccuper d’autres risques spécifiques. Le socle de base de bonnes pratiques que nous porterons avec NIS 2 devrait largement résister à l’épreuve du temps et permettre une prise en compte adéquate de ces enjeux, tout en restant ouvert à d’éventuelles révisions.

La nécessité d’une bonne articulation entre les niveaux législatif et réglementaire découle du besoin d’ajuster les mesures en fonction de l’évolution technologique.

Concernant la liste des secteurs inclus dans la loi par le Sénat, elle reprend littéralement ceux prévus par la directive. Initialement, nous avions jugé cette reprise superflue, mais nous respectons la décision du Sénat, qui estime que cela contribue à la lisibilité du texte. Nous ne sommes pas opposés à cette décision tant que nous conservons la possibilité de préciser les sous-secteurs au niveau réglementaire, notamment pour permettre l’articulation avec les définitions retenues dans les périmètres ministériels, susceptibles d’évoluer. Le point d’équilibre trouvé par le Sénat nous semble satisfaisant à ce stade.

Concernant l’articulation avec les entités des cadres Dora et RGPD, parmi lesquels la Cnil, nous suivons le principe de lex specialis prévu par les directives. Les entités soumises à Dora et à NIS 2 appliquent les règles de Dora, et non les règles équivalentes de NIS 2. Elles appliquent en outre les règles de NIS 2 lorsqu’il n’en existe pas d’équivalentes dans Dora. Concrètement, elles appliqueront toutes les règles Dora, plus deux règles supplémentaires présentes dans NIS 2 : l’enregistrement auprès de l’Anssi et la notification des incidents de cybersécurité à cette même autorité.

Le Sénat a simplifié la deuxième exigence en prévoyant le principe de simple notification. Si l’intention est louable, l’effet me semble potentiellement problématique. Nous pensons qu’un formulaire commun envoyé aux deux entités de contrôle serait préférable. Nous avons évidemment entamé des discussions avec les autorités de contrôle Dora, à savoir l’ACPR et l’AMF, pour partager notre compréhension des exigences et coordonner nos contrôles. Un principe similaire s’appliquera a priori pour l’articulation avec le cadre RGPD, en concertation avec la Cnil.

Le projet de loi établit un principe de non bis in idem. Lorsqu’une sanction est envisagée au titre de NIS 2 et du RGPD, le régime de sanctions pécuniaires appliqué sera celui du RGPD, considéré comme plus disant en termes de pourcentage du chiffre d’affaires global.

Nous menons actuellement une concertation avec la Cnil concernant les modalités de contrôle, le partage des retours d’expérience, l’interprétation des exigences et le traitement des incidents. Le projet de loi prévoit un équilibre judicieux : nous avons la possibilité de notifier à la Cnil des manquements évidents à la protection des données personnelles, mais ce n’est pas le principe par défaut. Nous privilégions plutôt l’approche qui est déjà la nôtre dans le traitement des incidents. Quand nous assistons une victime de cyberattaques, nous l’invitons à se préoccuper des enjeux de données personnelles, lui expliquons le cadre applicable et la mettons en relation, le cas échéant, avec la Cnil et lui donnons accès à tous les formulaires applicables, mais nous ne réalisons pas, à sa place, le travail d’estimation des impacts sur les données personnelles. Cet équilibre se dessine et semble faire consensus avec la Cnil.

Concernant les critères de sélection des contrôleurs, le gouvernement a défendu au Sénat la proposition que, pour NIS 2, le contrôle sera effectué par l’Anssi, avec la possibilité de s’appuyer sur des tiers, y compris des agents de l’ACPR ou de la Cnil, et de faire appel à des acteurs du secteur privé. Il n’est pas nécessaire de rigidifier ce cadre dans la loi.

Par ailleurs, concernant l’articulation avec les collectivités territoriales, le gouvernement a choisi de ne pas imposer de sanctions financières, estimant que priver les collectivités de ressources ne favoriserait pas le développement de leur maturité en matière de cybersécurité. En revanche, d’autres mesures, telles que la publicité des manquements, sont considérées comme des moyens efficaces pour rappeler à l’ordre les collectivités qui ne joueraient pas le jeu. Ce choix du gouvernement est laissé à votre appréciation.

La déclinaison du dispositif pour les collectivités suit une approche comparable à celle d’autres États membres : les régions, départements et grandes agglomérations sont classés comme entités essentielles, les intercommunalités plus petites comme entités importantes, tandis que les communes individuelles ne sont pas directement concernées.

Je ne m’aventurerai pas sur le sujet des moyens budgétaires des collectivités, n’étant pas forcément légitime à porter la position du gouvernement sur ce point. Nous mobiliserons évidemment toutes les possibilités d’accompagnement, ce que nous faisons déjà. Nous avons soutenu, à travers le plan de relance, l’accompagnement méthodologique et l’incubation, ainsi que le développement des CIRT régionaux, complémentaires de l’action de l’Anssi. Il est prévu, dans le cadre de la transposition, que nous travaillerons avec ces CIRT, bien que je n’ai pas moi-même de réponse à la question de leur financement.

Sur le volet industriel, ma conviction est que cette directive représente une opportunité pour tout le tissu industriel, en particulier de proximité. Nous mobiliserons les experts cyber et les prestataires pour les accompagner dans cette transition. Je ne crois pas que cela se fasse en priorité au bénéfice d’acteurs non européens, qui ne sont pas nécessairement positionnés sur ce segment. Par conséquent, je ne juge pas nécessaire d’imposer le recours à des prestataires français.

Enfin, concernant le chiffrement, je comprends la teneur politique de l’article 16 bis. L’Anssi est évidemment très attachée, par nature, à la défense d’un chiffrement robuste, l’une de nos premières armes de protection contre les cybermenaces. De ce point de vue, l’article 16 bis affirme des principes que nous soutenons. Toutefois, sur le plan juridique, je ne sais pas s’il est nécessaire de le dire dans la loi. Je ne me prononcerai pas sur une éventuelle modification de cet article. Je dirai simplement que la protection du chiffrement et le pouvoir d’enquête des services judiciaires méritent un examen approfondi et ne peuvent être traités trop rapidement. Un travail au niveau technique est donc nécessaire sur ces sujets, avant de revenir au législateur, le cas échéant, afin qu’il arbitre. Ma conviction personnelle est que ce n’est pas dans le cadre du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité que nous résoudrons le problème fondamental porté devant le législateur dans le cadre de l’examen de la proposition de loi visant à sortir la France du piège du narcotrafic.

M. le président Philippe Latombe. Je cède maintenant la parole aux orateurs des groupes parlementaires.

M. Aurélien Lopez-Liguori (RN). Ce texte entraînera notre pays dans un monumental effort de cybersécurité, impliquant plus de 14 500 acteurs, dont des opérateurs d’importance vitale, des hôpitaux, des collectivités et des entreprises. Cet effort s’inscrit dans un contexte de tensions internationales majeures, où les attaques cyber se multiplient, les États deviennent plus offensifs et l’espionnage se généralise via des règles extraterritoriales qui pullulent. Le numérique est désormais un champ de confrontation directe.

Dans ce contexte, l’effort national demandé doit non seulement servir notre souveraineté, mais aussi stimuler le développement économique de notre filière cyber. La France dispose en effet d’une industrie cyber d’excellence, avec des entreprises innovantes enracinées sur notre territoire, comme Tehtris, Gatewatcher, Ziwit, Wallix et HarfangLab. Ces sociétés ont démontré leur solidité technologique, obtenu des qualifications exigeantes de l’Anssi et contribuent déjà à la protection de nos systèmes vitaux.

Ce texte doit permettre que, pour leur protection cyber, les acteurs cyber concernées se tournent en premier lieu vers des acteurs nationaux et européens. C’est notre rôle, en tant que députés de la nation française, de veiller à ce que les retombées économiques et les externalités positives profitent prioritairement à notre écosystème, plutôt qu’à des sociétés étrangères susceptibles de nous espionner et de menacer nos intérêts via des règles extraterritoriales.

Quelles mesures proposez-vous pour que le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité devienne un levier concret de soutien à notre filière cyber nationale ?

Comment comptez-vous faire en sorte que NIS 2 confère une certaine immunité face aux règles extraterritoriales, à l’espionnage et aux ingérences étrangères ?

Envisagez-vous, dans les textes d’application, la création de labels de certification ou de critères de souveraineté permettant de favoriser les prestataires européens et français plutôt que les acteurs étrangers ?

M. Thomas Gassilloud (EPR). Je tiens à souligner la pertinence de ce texte face aux menaces opportunistes, mais également aux menaces plus structurées pouvant survenir d’États tiers, potentiellement en complément d’autres formes de menaces, y compris de nature cinétique. Je considère ce texte comme une opportunité de consolider notre défense face aux menaces hybrides au sens large, en complément de la démarche nationale entreprise, notamment dans le cadre de la stratégie de résilience.

Quelle articulation est prévue dans ce texte avec le commandement de la cyberdéfense (COMCYBER) ? Comment fonctionnent les interfaces et comment seront traitées les infrastructures critiques duales ?

Concernant la déclinaison territoriale, ce texte offre l’occasion de faire collaborer à froid des acteurs qui ne se connaissent pas nécessairement, autour des services déconcentrés de l’État, des chambres consulaires ou encore des services de l’éducation nationale. Il est crucial de ne pas oublier la chaîne de l’organisation territoriale interarmées de défense (OTIAD) autour des officiers généraux de zone de défense et des délégués militaires départementaux. J’espère que cette démarche permettra aux acteurs de mieux se connaître pour développer des réflexes utiles en temps de crise.

Enfin, je note que le renseignement d’origine sources ouvertes (Osint) n’est pas spécifiquement mentionné dans le texte, bien qu’il s’agisse d’un outil incontournable en matière de cybersécurité, ne serait-ce que pour identifier une exposition dans une base de données piratée. L’État utilise lui-même l’Osint pour ses services de renseignement et ses questions de sécurité fiscale. Je note que le droit français semble imprécis sur ce point, ce qui incite parfois les acteurs à recourir à des opérateurs étrangers. Pensez-vous qu’il serait nécessaire de renforcer le texte sur cet aspect ?

M. René Pilato (LFI-NFP). Ce projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité place l’Anssi au cœur d’un objectif de résilience, d’où l’importance de cette première audition.

À l’heure où les intelligences artificielles suscitent de nombreuses interrogations et craintes, notamment en raison de leur potentiel de nuisance démultiplié, comment envisagez-vous l’évolution de vos missions face à la multiplication et au changement de nature des attaques liées aux intelligences artificielles, notamment concernant la falsification des données ?

Dans le cadre de votre mission première de protection de la nation, votre agence dispose d’une liste d’organismes d’importance vitale auxquels vous apportez prioritairement votre expertise et vos recommandations en cas de cyberattaque. Pouvez-vous nous indiquer à combien d’entités touchées par semaine ou par mois vous apportez votre expertise et votre soutien face aux attaques suivies ?

Ce projet de loi élabore des listes remaniées, plus larges, en fonction de secteurs hautement critiques pour le fonctionnement de l’économie et de la société, par l’intermédiaire des articles 7 à 10. Pensez-vous disposer des capacités humaines nécessaires pour assurer ces recommandations et protéger efficacement la souveraineté de la nation avec ces nouveaux périmètres ?

Enfin, l’agence que vous représentez est placée au service du premier ministre. Bien que la stratégie nationale en matière de cybersécurité soit une décision politique, je m’étonne de cette mise sous tutelle, alors que c’est votre indépendance qui devrait être notre garantie.

M. Sébastien Saint-Pasteur (SOC). L’Anssi doit être le phare éclairant le chemin de nos travaux, et plus encore celui des très nombreuses nouvelles entités assujetties à cette transposition. Dans le monde réel, la directive NIS 2 est déjà présente sur nos moteurs de recherche, avec des prestataires proposant services et audits moyennant de substantielles rémunérations. L’effet d’aubaine est réel, mais, malheureusement, ces prestations, dont les coûts annuels se chiffrent souvent à cinq chiffres, ne correspondent fréquemment ni aux besoins ni aux attentes dans de nombreuses situations. Il existe un risque de prestations inadaptées, avec des contrats signés dans l’urgence et dans une certaine méconnaissance, ce qui pourrait engendrer une défiance vis-à-vis de cette régulation pourtant nécessaire. La question d’une labellisation des structures, comme dans le domaine militaire, ou d’un référentiel d’exigences en termes de qualification se pose évidemment.

Il est nécessaire de consolider et renforcer les écosystèmes locaux, notamment les cyber campus, ces centres de réponse aux incidents cyber implantés dans de nombreux territoires. J’ai l’honneur d’avoir le siège du cyber campus Nouvelle-Aquitaine dans ma circonscription et vous connaissez probablement le travail remarquable réalisé en leur sein. Ne pensez-vous pas qu’il soit opportun de renforcer leurs moyens d’action et opérationnels ? Il faut certes des « pompiers » intervenant en cas d’urgence, mais aussi une médecine préventive. Les entreprises et collectivités concernées ont besoin, dans le cadre de cette nouvelle donne que constitue NIS 2, de savoir comment prioriser entre l’accompagnement des utilisateurs, la sensibilisation des directions et des élus dans une collectivité, la sécurité des terminaux ou encore la refonte des systèmes réseaux dans une entreprise.

Ces deux questions visent à éclairer le dernier kilomètre de nos politiques publiques, au plus près des besoins, là où la menace est malheureusement grandissante.

Mme Sabine Thillaye (Dem). Si vous disposez aujourd’hui des ressources humaines et techniques nécessaires à l’exercice de vos missions, il me semble que l’Anssi compte 600 collaborateurs. Des recrutements seraient nécessaires dans votre agence, ainsi que dans les entités dont nous parlons. Or, nous sommes confrontés à un problème de recrutement et de concurrence entre le secteur civil et militaire pour les cyberspécialistes. Comment envisagez-vous de surmonter ce manque de ressources humaines ?

Par ailleurs, l’article 11 de la directive REC prévoit l’obligation, pour les États membres, d’organiser une coopération transfrontalière, notamment via les consultations. Or, contrairement à la directive, le projet de loi ne contient aucune disposition explicite transposant cette obligation. Cette lacune ne risque-t-elle pas de limiter l’efficacité collective de la réponse européenne en matière de protection des infrastructures ?

Enfin, concernant la mise en place du label attestant de la conformité des entités aux exigences de la directive NIS 2, ne craignez-vous pas que le développement de labels nationaux, en l’absence d’une harmonisation européenne, entraîne une fragmentation du marché et des coûts supplémentaires pour les acteurs opérant dans plusieurs États membres ?

M. Vincent Strubel. La coopération transfrontalière est déjà une réalité efficace et extrêmement active. Au niveau technique, elle s’opère via le CSIRTs Network, où la France est représentée par l’Anssi. Sur le plan stratégique, le réseau CyCLONe, regroupant les directeurs d’agences nationales de cybersécurité, joue un rôle crucial. Notre collaboration s’est notamment illustrée lors de la préparation des Jeux olympiques et paralympiques. Il n’est pas nécessaire d’introduire de nouvelles dispositions législatives pour organiser cette coopération. Le projet de loi comporte déjà quelques éléments visant à faciliter et sécuriser juridiquement l’échange d’informations avec la Commission européenne et nos homologues européens, dans le traitement de crises transfrontalières. Nous croyons profondément à cette coopération, qui est déjà une réalité essentielle, car nous sommes conscients que les incidents cyber ne s’arrêtent pas aux frontières. C’est une réalité quotidienne qui ne nécessite pas d’ajout supplémentaire dans la loi.

Je rejoins les observations faites sur l’effort considérable nécessaire pour développer notre résilience. Cet objectif s’inscrit dans l’objectif stratégique de la RNS et, plus généralement, dans un enjeu de souveraineté. Il s’agit de ne pas être une victime facile face aux cyberattaques, qui constituent une pression quotidienne et peuvent être mobilisées de manière plus coordonnée par certains États, où des acteurs étatiques, cybercriminels et activistes coexistent sans être inquiétés par les autorités répressives. Le risque d’une mobilisation massive de ces acteurs pour saboter des pans entiers de notre société et de notre économie est bien réel. Face à cette menace, renforcer notre niveau de résilience devient un défi de souveraineté essentiel. Il s’agit de protéger nos intérêts fondamentaux, d’éviter que des secteurs entiers ne soient facilement compromis et de développer une résilience, même face à des attaques très ciblées.

Bien que la directive NIS 2 ne vise pas principalement à contrer des groupes comme APT28, récemment attribué formellement par la France au renseignement militaire russe, il est crucial de comprendre que même de petites entités peuvent être des victimes indirectes ou des cibles permettant d’accéder à de plus grands groupes. Élever globalement le niveau de résilience, tout en maintenant des exigences raisonnables par rapport à la maturité des acteurs, est un enjeu de sécurité nationale et de souveraineté. C’est essentiel pour nous préparer à un contexte géopolitique qui ne va pas en s’adoucissant.

Concernant le soutien à la filière française et européenne, je ne crois pas à de mesures contraignantes imposant le recours à des prestataires nationaux ou européens. Ce n’est d’ailleurs pas la base légale que donne la directive. Je crois plutôt à la mobilisation de l’écosystème, qui existe déjà, et au travail que nous menons avec les acteurs bénéficiant de visas de sécurité et de la qualification de l’Anssi. Nous avons travaillé sur nos référentiels de prestataires pour inclure des niveaux d’ambition moindres, afin de prévoir des prestations répondant plutôt aux besoins des ETI ou PME. Nous travaillons également avec des réseaux de prestataires proches de l’Anssi, comme les experts cyber labellisés par le groupement d’intérêt public (GIP) Cybermalveillance.gouv.fr. Notre philosophie est de n’exclure personne et de travailler en proximité avec les acteurs nationaux déjà mobilisés sur ce sujet. Nous veillons à prévenir les effets d’aubaine et la vente de prestations mensongères. Il est important de poser rapidement un cadre clair, applicable et déclinable par tous, même si nous travaillons déjà avec les acteurs de l’écosystème sur ces questions.

Par ailleurs, l’immunité face aux droits extraterritoriaux est évidemment une préoccupation qui se décline dans le référentiel SecNumCloud de l’Anssi, dans la stratégie cloud de l’État, et plus récemment dans la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique. Cependant, ce n’est pas le cœur du sujet pour les petites entités concernées par la directive NIS 2. Cette problématique concerne davantage les entreprises stratégiques ou certains secteurs d’activités spécifiques.

En termes d’articulation, nous proposons en revanche de valoriser les prestations disposant d’un visa de sécurité de l’Anssi. Sans l’imposer, nous souhaitons que le recours à un acteur bénéficiant d’un visa de sécurité, d’une recommandation de l’Anssi ou d’un label de confiance apporte une plus-value dans la satisfaction des exigences de la directive NIS 2.

Par ailleurs, en 2024, nous avons traité plus de 4 000 incidents de cybersécurité, concernant non seulement des opérateurs d’importance vitale, mais aussi d’autres entités qui nous sollicitent volontairement.

Il est évident que nous devrons renforcer nos moyens, ce qui fera l’objet de discussions budgétaires ultérieures.

Notre présence territoriale est assurée par un délégué de l’Anssi dans chaque région, coordonnant les acteurs locaux et appliquant notre cadre commun afin d’armer la fonction de contrôle. Nous avons besoin de mobiliser tous les acteurs de proximité, mais je pense qu’un certain nombre d’eux l’est déjà. En outre, la gendarmerie joue un rôle essentiel dans les territoires en utilisant le même outillage que nous, notamment « Mon Aide Cyber », pour établir de premiers diagnostics.

Les campus cyber sont principalement positionnés aux points de rencontre entre des offreurs et des bénéficiaires. Je recommande la prudence quant à l’attribution de missions supplémentaires et je ne juge pas nécessaire de figer leurs missions dans la loi. Chaque campus régional s’inscrit dans un écosystème particulier à l’échelle locale. N’allons pas imposer un modèle unique alors que ce qui existe fonctionne déjà très bien.

Par ailleurs, notre articulation avec le COMCYBER est une réalité quotidienne, notamment au sein du centre de coordination des crises cyber (C4), et nous permet de partager des éléments d’analyse, de compréhension de la menace et d’attribution d’une cyberattaque. Cette coopération nous a récemment permis d’attribuer formellement une cyberattaque marquante à un acteur russe particulièrement présent. Pour les menaces touchant la sphère de la défense, nous travaillons étroitement avec le COMCYBER – qui est autonome sur la sécurité du ministère des armées, mais n’est pas forcément chargé de la sécurité de la BITD – et la direction du renseignement et de la sécurité de la défense (DRSD), sans qu’il soit nécessaire de formaliser davantage cette collaboration dans la loi.

La déclinaison territoriale des bons réflexes de sécurité est un enjeu fondamental, qui ne sera pas seulement porté par la loi. Nous croyons beaucoup aux vertus des entraînements et des exercices, comme nous l’avons fait pour la préparation des Jeux olympiques et paralympiques ou la sécurisation des hôpitaux. À une échelle encore plus grande, dans la perspective du déploiement de NIS 2, nous organiserons l’exercice massif REMPAR25 en octobre 2025, qui mobilisera des collectivités et visera à entraîner les décideurs à la gestion de crises cyber.

Enfin, l’Osint fait partie de la panoplie de la réponse ou de l’anticipation des attaques. L’Anssi pratique Osint comme tout acteur de cybersécurité. Si je suis favorable à l’utilisation de l’Osint, je ne suis néanmoins pas certain qu’une base légale soit nécessaire, car son utilisation ne semble pas illégale dans son état actuel. Je suis ouvert à d’éventuelles propositions d’ajustement, mais, si rien n’empêche le recours à des prestations d’Osint, il ne semble pas nécessaire d’imposer un cadre légal.

M. le président Philippe Latombe. Je cède la parole aux députés pour leurs questions individuelles.

M. Emeric Salmon (RN). Depuis 2013, la loi impose aux opérateurs d’importance vitale d’utiliser des solutions qualifiées par l’Anssi et opérées depuis la France, garantissant ainsi fiabilité et souveraineté. L’article 16 du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité revient sur ce principe. Les opérateurs d’importance vitale utiliseront des produits certifiés, agréés ou qualifiés, la seule qualification, plus exigeante, n’étant plus obligatoire. Le label actuel serait supprimé et remplacé par les exigences issues de cette loi. Pire encore, l’article supprime toute obligation légale de localisation en France pour ces solutions. Cette mesure représente un recul significatif, affaiblissant la protection de nos données les plus sensibles et pénalisant les entreprises françaises ayant investi pour répondre à ces standards.

Pourquoi abandonner un dispositif éprouvé depuis dix ans ?

Les nouvelles règles offriront-elles au moins le même niveau de protection ?

Envisagez-vous d’intégrer un critère de souveraineté pour les prestataires chargés de protéger nos infrastructures vitales ?

M. Vincent Strubel. Je n’ai pas la même lecture de la loi. Le cadre cyber qui s’impose aux opérateurs d’importance vitale est porté par le code de la défense, rénové à travers la transposition de la directive REC. Notre objectif est d’inscrire dans la loi des exigences similaires. Les articles concernés du code de la défense sont relativement succincts et se déclinent ensuite au niveau réglementaire par le décret n° 2015-350 du 27 mars 2015 relatif à la qualification des produits de sécurité et des prestataires de services de confiance pour les besoins de la sécurité des systèmes d’information et le décret n° 2015-351 du 27 mars 2015 relatif à la sécurité des systèmes d’information des opérateurs d’importance vitale et pris pour l’application de la section 2 du chapitre II du titre III du livre III de la première partie de la partie législative du code de la défense, ainsi que par des arrêtés sectoriels définissant des exigences spécifiques. La LPM de 2013 et l’article que cette dernière introduit dans le code de la défense nous permettent d’imposer, dans certains cas, le recours à des solutions qualifiées pour les opérateurs d’importance vitale. La proposition actuelle suit la même logique, en établissant une base légale qui sera ensuite déclinée au niveau réglementaire.

Actuellement, trois obligations s’imposent spécifiquement aux opérateurs d’importance vitale : le recours à des prestataires d’audit de sécurité des systèmes d’information (PASSI), qualifiés par l’Anssi, ainsi que le recours à des prestataires de détection et à des sondes réseaux de détection, également qualifiés par l’Anssi.

L’esprit du travail d’actualisation, en lien avec le titre Ier, est de maintenir un niveau d’exigence fort, notamment concernant le recours à des prestations qualifiées.

Concernant les sondes de détection, nous réexaminons actuellement cette question, non pas pour l’affaiblir, ce qui serait contraire à notre mission d’autorité nationale de cybersécurité, mais pour l’actualiser au regard de l’état de l’art.

Le cadre établi en 2013 se concentrait uniquement sur la détection réseau, c’est-à-dire l’analyse des flux entre le système d’information d’importance vitale et internet. Bien que toujours pertinente, cette approche n’est plus suffisante. Aujourd’hui, une stratégie de détection efficace doit combiner plusieurs sources : détection réseau, détection système et analyse de journaux. La France dispose heureusement de solutions dans tous ces domaines. En outre, pour la détection réseau, nous avons des sondes qualifiées par l’Anssi. Pour la détection système, il existe des outils de détection locaux, appelés EDR, comme ceux de la société HarfangLab, également qualifiés par l’Anssi. Ces éléments doivent être remis au goût du jour, et non pas démontés.

Un ajustement en termes de spécifications des exigences pourrait être réalisé. Toutefois, les principes fondamentaux resteront inchangés : le système d’information d’un opérateur d’importance vitale doit être supervisé et capable de détecter des attaques stratégiques émanant de services étatiques. Cela nécessite une détection de grande qualité et de confiance. Nous adapterons ces principes à l’évolution de l’état de l’art, avec potentiellement une obligation de résultat plutôt que de moyens, mais les consultations se poursuivent sur ce sujet.

M. le président Philippe Latombe. Je vous remercie. Nous examinerons la possibilité de répondre à la demande du rapporteur général de vous réentendre ultérieurement. Cependant, vous ne serez pas le dernier intervenant, car nous avons prévu d’auditionner en dernier lieu Mme la ministre chargée de l’intelligence artificielle et du numérique, ce qui servira de base à notre discussion générale. Nous avions le souhait de débuter ce cycle par votre audition, qui sera suivie par celle du SGDSN la semaine prochaine.

2. Audition de M. Nicolas Roche, secrétaire général de la défense et de la sécurité nationale (SGDSN), mardi 13 mai 2025 à 16 heures 30

Lors de sa réunion du mardi 13 mai 2024, la commission spéciale a auditionné M. Nicolas Roche, secrétaire général de la défense et de la sécurité nationale (SGDSN).

M. le président Philippe Latombe. Mes chers collègues, nous poursuivons les travaux de notre commission spéciale, qui ont commencé la semaine dernière avec l’audition de M. Vincent Strubel, directeur général de l’Agence nationale de sécurité des systèmes d’information (Anssi). Nous recevons aujourd’hui M. Nicolas Roche, secrétaire général de la défense et de la sécurité nationale (SGDSN), que je remercie de s’être rendu disponible.

Monsieur le secrétaire général, vous avez pris vos fonctions en mars dernier, après une carrière diplomatique qui vous a conduit à exercer des responsabilités éminentes, notamment en tant qu’ambassadeur de France en Iran. Le SGDSN s’inscrit dans une histoire ancienne. Né sous la IIIe République, sous la forme du Conseil supérieur de la défense nationale, il a toujours eu pour vocation de répondre aux besoins de coordination interministérielle en matière de défense.

Depuis 2009, l’ajout du terme « sécurité » à son intitulé, à la suite du Livre blanc sur la défense et la sécurité nationale de 2008, a marqué un élargissement de ses missions à ce domaine essentiel. Aujourd’hui, le SGDSN couvre un champ stratégique étendu, qui concerne la défense, la sécurité, la programmation militaire, la dissuasion et la lutte contre le terrorisme. Dans son périmètre, on retrouve notamment Viginum, créé par le décret du 13 juillet 2021, chargé de la vigilance contre les ingérences numériques étrangères ; l’opérateur des systèmes d’information interministériels classifiés (OSIIC), initié par le décret du 21 avril 2020, et bien sûr l’Anssi, depuis le décret du 7 juillet 2009.

Le premier ministre est chargé de la mise en place du cadre général du dispositif de sécurité des activités d’importance vitale (SAIV), coordonné par le SGDSN. L’institution que vous dirigez depuis le début du printemps est donc particulièrement concernée par le projet de loi que la commission spéciale est chargée d’examiner. Le titre Ier du projet de loi vise en effet à transposer la directive 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, dite REC, et ainsi à actualiser et à modifier le dispositif de sécurité des activités d’importance vitale.

La directive REC, qui a été négociée sous la présidence française de l’Union européenne, s’inspire en grande partie du dispositif français existant. Ainsi, le nombre d’opérateurs d’importance vitale (OIV), qui est environ de 300, ainsi que le nombre de points d’importance vitale, de l’ordre de 1 500 ne devraient pas évoluer de manière significative. Pouvez-vous nous le confirmer ?

Toutefois, cette transposition marque un changement important de philosophie. Elle acte le passage d’une logique de protection des infrastructures d’importance vitale à une approche axée sur la résilience. Pourriez-vous nous éclairer par ailleurs sur les modalités de désignation des OIV et l’architecture de planification ? Ont-elles globalement vocation à être conservées par rapport au dispositif actuel ? Enfin, quelle est notre vision de l’article 16 bis qui traite du chiffrement ?

M. Nicolas Roche, secrétaire général de la défense et de la sécurité nationale. Je vous remercie pour votre invitation à m’exprimer devant votre commission aujourd’hui pour évoquer ce projet de loi relatif à la résilience des infrastructures et au renforcement de la cybersécurité. Comme vous l’avez rappelé, j’ai pris mes fonctions il y a un mois en arrivant directement depuis Téhéran et suis heureux d’évoquer avec aujourd’hui ce thème de la résilience, thème central pour les deux grandes missions qu’assure le SGDSN au profit du premier ministre, de l’ensemble du gouvernement et du président de la République : d’une part les travaux de coordination interministérielle dans le domaine de la défense et de la sécurité nationale, qui recouvre l’ensemble des questions de résilience nationale ; et d’autre part un certain nombre d’opérateurs d’agences qui dépendent directement du SGDSN.

Comme vous l’avez souligné, ce projet de loi porte sur la transposition de trois textes européens : la directive européenne sur la résilience des entités critiques, la directive Network and Information Security 2 (NIS 2) et la directive Digital Operational Resilience Act (Dora). Ces trois textes forment un tout et constituent un ensemble d’innovations, mais aussi pour nous une certaine forme de continuité.

Je me félicite de la décision que vous avez prise collectivement de mettre en place une commission spéciale aux fins d’examen de ce projet, comme le Sénat l’avait fait avant vous. D’un point de vue technique, ces textes ne constituent pas un ensemble monolithique, mais un ensemble qui conserve toute sa cohérence. La directive REC reprend et développe, comme vous l’avez dit, monsieur le président, des principes bien connus en France : la politique de sécurité des activités d’importance vitale de la planification de défense et de sécurité nationale et la continuité d’activité en cas de crise.

Je ne m’appesantirai pas sur les titres II et III concernant la transposition de la directive NIS 2 ni sur la lex specialis qu’est la transposition de la directive Dora, puisque vous avez entendu le directeur général de l’Anssi sur la partie NIS 2 et que vous recevrez certainement le directeur général du Trésor concernant Dora.

La diversité de l’ensemble de ces textes justifie pleinement leur examen au sein d’une commission spéciale qui regroupe les compétences des commissaires de plusieurs commissions permanentes. Néanmoins, pour le gouvernement, pour l’ensemble des administrations et le SGDSN qui a coordonné une partie de ses travaux, ces textes témoignent d’une cohérence d’ensemble. Celle-ci se définit par l’objectif de la construction d’une meilleure résilience de notre pays face à des menaces, y compris hybrides, des chocs et des crises de toute nature qui ne se tarissent pas.

Parmi l’ensemble de ces travaux, deux doivent être mentionnés en particulier : la revue nationale stratégique (RNS) en cours de finalisation, et la mise en œuvre de la stratégie nationale de résilience (SNR) qui, depuis avril 2022, évolue régulièrement et forme pour nous le cadre de la mise en place de ces directives et de la loi, lorsque vous aurez terminé vos travaux et que la loi sera formellement adoptée.

L’objectif consiste pour nous à faire face à des menaces de plus en plus agressives, des crises majeures qui touchent tous les secteurs d’activités de la vie de la nation, quelles qu’en soient les origines. La méthode se trouve en partie dans ce projet de loi qui fixe des cadres au sein desquels notre stratégie globale de résilience a vocation à se renforcer. Les actions seront mises en œuvre par l’ensemble des entités étatiques et publiques, mais aussi par un ensemble d’opérateurs régulés, en application des trois directives ainsi transposées. Au-delà de ces aspects techniques, ce projet de loi participe donc bien d’une entreprise générale collective de renforcement de la résilience de la nation en cas de crise.

Je termine ces quelques mots d’introduction en remarquant que, si en 2022, au sortir de l’épidémie de covid-19, le concept de résilience ne pouvait déjà plus être regardé comme une abstraction, force est de constater qu’il a pris aujourd’hui une nouvelle acuité et une nouvelle force, compte tenu de l’évolution de l’environnement stratégique. D’une certaine façon, nous avons été rattrapés par des réalités de plus en plus sombres et de plus en plus prégnantes pour l’ensemble des services de l’État. Je suis frappé, depuis je suis rentré de Téhéran et que j’ai pris mes fonctions, par l’affaissement des mécanismes internationaux de règlement des conflits, l’affaiblissement de l’idée de régulation, par les doutes qui peuvent naître sur les solidarités les mieux ancrées dans l’histoire, par l’inquiétude qui saisit les pays qui, comme le nôtre, demeurent attachés à l’idée que la paix vaut mieux que la guerre et que la coopération entre États est préférable au chantage. La prochaine actualisation de la RNS, en cours de pilotage interne par le SGDSN, permettra d’établir une synthèse de l’état du monde, de nos analyses de la menace et des risques, et surtout des voies et moyens que la France doit choisir pour y faire face.

Je souhaite tout d’abord évoquer le contexte dans lequel s’inscrit le projet de loi, c’est-à-dire l’actualisation de la RNS que le président de la République nous a commandée dans ses vœux aux armées, le 17 janvier dernier. Ceux qui parmi vous siègent habituellement au sein de la commission de la défense et des forces armées sont bien informés de ce travail en cours.

Je rappelle la manière dont le président de la République a décrit la situation à l’entame de son adresse à nos compatriotes, le 5 mars : « Vous êtes en effet légitimement inquiets devant les événements historiques en cours qui bouleversent l’ordre mondial. La guerre en Ukraine, qui a entraîné près d’un million de morts et de blessés, continue avec la même intensité. Les États-Unis d’Amérique, notre allié, ont changé leur position sur cette guerre, soutiennent moins l’Ukraine et laissent planer le doute sur la suite. Dans le même temps, les mêmes États-Unis d’Amérique entendent imposer des tarifs douaniers aux produits venant d’Europe. Enfin, le monde continue d’être sans cesse plus brutal, et la menace terroriste ne faiblit pas. Au total, notre prospérité et notre sécurité sont devenues plus incertaines. Il faut bien le dire, nous entrons dans une nouvelle ère. ».

Le 3 mars, devant vous, lors d’une déclaration du gouvernement sur la situation en Ukraine et la sécurité de l’Europe, le premier ministre a quant à lui évoqué « une situation historique qui est à nos yeux la plus grave, la plus déstabilisée et la plus dangereuse de toutes celles que notre pays et notre continent ont connues depuis la fin de la seconde guerre mondiale. ».

Nous faisons donc face à nous à un environnement international profondément dégradé, profondément menaçant. Cette dégradation est liée à une série de facteurs, à une série d’actions d’États. Nous pensons évidemment en premier lieu à la Russie, mais bien au-delà, à l’ensemble des évolutions de l’environnement stratégique. Plus précisément sur notre territoire, les modes d’action que nous disons hybrides sont employés aujourd’hui par un certain nombre de nos adversaires et sont devenus une forme d’agacement sinon quotidien, du moins courant. Je rappelle de quoi nous parlons : les étoiles de David sur les murs du 14e arrondissement ; les mains rouges sur le mémorial des Justes ; les cercueils en carton sous la tour Eiffel ; les réseaux de faux comptes qui bombardent les plates-formes numériques d’histoires inventées et d’informations déformées, des attaques cyber.

Nos partenaires européens comme les pays baltes, la Pologne, l’Allemagne, le Royaume-Uni, la Roumanie font aussi l’objet de manœuvres d’intimidation, d’agression, de cyberattaques, d’incendies criminels. Chaque échéance électorale est mise à profit pour mobiliser un écosystème de manipulation de l’information et d’ingérence numérique étrangères qui pèse sur le fonctionnement de nos démocraties.

En raison de l’agressivité russe, qui n’a rien de neuf et qui s’inscrit dans une longue durée, et de l’incertitude qui pèse sur un certain nombre de mécanismes de solidarité, nous sommes aujourd’hui collectivement amenés à réviser nos scénarios centraux, en particulier l’hypothèse d’un engagement majeur de nos forces armées. Depuis plusieurs décennies, nous envisagions des opérations de projection de puissance, de projection de forces, loin du territoire métropolitain. Nous sommes désormais obligés d’envisager la mobilisation de nos forces armées dans un conflit de haute intensité, en dehors du territoire national, mais dans la périphérie de l’Europe.

Cela change beaucoup de choses dans l’approche de certaines questions comme les réserves, les stocks stratégiques, les capacités industrielles, la mobilisation des forces morales de la nation. Face à cette hypothèse d’engagement, nous devons aussi durcir notre capacité à agir et notre capacité à faire face aux chocs que nous sommes amenés à subir. Le projet de loi qui vous est soumis concourt directement à cet objectif, qui est au cœur des travaux de la RNS. Les infrastructures critiques qui sont déjà soumises aux risques naturels comme le dérèglement climatique ou les épidémies sont aujourd’hui régulièrement la cible d’attaques physiques et cybernétiques. Je pense ici à des incendies volontaires de pylônes de télécommunications, des sabotages commis contre le réseau ferré, des cyberattaques contre les hôpitaux. Le retour des conflits de haute intensité sur le continent européen et aux frontières de l’Europe a mis en lumière la vulnérabilité des infrastructures critiques, qui constituent aujourd’hui des cibles prioritaires et stratégiques en cas de conflit. Leur destruction peut engendrer de graves conséquences en France et dans les États voisins, du fait de l’interdépendance structurelle de nos sociétés dans les secteurs critiques.

Cette multiplication des risques et menaces a ainsi conforté une ambition politique et normative sur la protection de ces infrastructures critiques, qui se matérialise dans le titre Ier du projet de loi. L’ambition qui vous est soumise consiste à améliorer la fourniture, en Europe, de services essentiels au maintien de fonctions sociétales ou d’activités économiques vitales, en renforçant la résilience des opérateurs d’importance vitale nommés « entités critiques » dans la directive.

Pour être complet, je veux vous indiquer que le travail d’actualisation en cours traitera d’une forme de réarmement de la défense civile de notre pays – j’ai évoqué les forces morales. Le concept central de ce réarmement est la résilience ; celle, individuelle et collective, de nos concitoyens, mais aussi celle des organisations. Nos orientations stratégiques vis-à-vis des institutions internationales, de nos alliances, de nos partenaires et de nos compétiteurs, sont aujourd’hui organisées autour de ce concept de résilience.

Le deuxième point sur lequel je souhaite revenir concerne précisément l’État actuel de notre stratégie nationale de résilience. En effet, je ne voudrais pas donner l’impression que la question de la résilience ne serait liée qu’à des phénomènes récents, intervenus ces derniers mois. La politique de sécurité des activités d’importance vitale qui vise à assurer la protection et la « continuité d’activité » de l’ensemble des opérateurs indispensables au fonctionnement de nos institutions, de notre économie, et à notre sécurité, date de 2006. On ne parlait pas de résilience à l’époque, mais il s’agit bien de cela.

Plus près de nous, le SGDSN a été mandaté par le premier ministre Jean Castex en mai 2021 pour préparer une stratégie nationale de résilience. Cette consigne visait à faire fructifier un certain nombre d’enseignements tirés de la pandémie de covid-19. La stratégie nationale de résilience a été validée par Matignon en avril 2022. Depuis lors, elle est à la fois en cours de déclinaison par les ministères, mais aussi d’ajustement permanent à l’évolution de notre environnement stratégique et des besoins qui se font jour.

De façon générale, cette SNR repose sur un ensemble de soixante-treize actions qui concourent à trois objectifs stratégiques : la préparation en profondeur de l’État aux crises, le développement des capacités humaines et matérielles pour y faire face et l’adaptation de la communication publique aux enjeux de la résilience. Sur la base de ces soixante-treize actions, un certain nombre d’objectifs et d’indicateurs sont déclinés depuis 2022. Ce triptyque constitue l’une des matérialisations de la stratégie nationale de résilience. Il s’agissait à l’époque à la fois de promouvoir une polyvalence des outils de gestion de crise, mais aussi d’installer le concept de résilience au cœur de nos travaux de planification. À ce titre, une des tâches du SGDSN consiste à préparer la planification nationale de défense et de sécurité nationale.

Nous avons donc complété le dispositif intérieur des grands plans qui visait à répondre à une menace ou un type de menace – vous connaissez d’ailleurs tous le plus célèbre d’entre eux, le plan Vigipirate – avec des fiches mesures universelles, non pas par type de catastrophes, mais par type de conséquences. Ces plans possèdent de grandes qualités, mais, à l’usage de vingt années de gestion de crises diverses, il est apparu, notamment en 2020, qu’ils comportaient également des inconvénients. Ainsi, ils sont bien construits et très complets, mais aussi lourds à mettre en œuvre et complexes à mettre à jour. Le choix effectué en 2021 dans le cadre de la SNR a donc consisté à envisager la planification et la gestion de crise de façon plus générique, en créant une forme de « tronc commun » à l’ensemble des crises et à y associer un ensemble de mesures de mise en œuvre dont le choix permet de s’adapter à la typologie de la crise, qu’elle soit sanitaire, industrielle, climatique, sécuritaire, de manipulation ou de guerre économique.

Autrement dit, nous avons été guidés par un souci de simplification de l’ensemble de travaux de planification nationale de défense et de sécurité nationale. Cette simplification en cours se poursuit puisque nous sommes aujourd’hui rentrés dans sa deuxième phase. De plus, cette SNR se recentre sur deux grands objectifs qui permettent d’offrir plus de clarté et de pilotage à l’ensemble de la stratégie.

Ce recentrage se concentre premièrement sur un objectif très simple : assurer la continuité de la vie économique de la nation. J’entends par là l’impératif d’assurer la résilience des réseaux essentiels (téléphonie d’urgence, eau, gaz, électricité, énergie, communications, communications classifiées) et de remédier aux vulnérabilités critiques d’approvisionnement qui, trop souvent, placent notre pays dans une situation de vulnérabilité, si ce n’est de dépendance.

La deuxième grande priorité consiste à mobiliser les citoyens au service de la résilience et de la défense globale. Cela signifie très concrètement les former, les sensibiliser, les éduquer dès le plus jeune âge et tout au long de la vie. Cela implique également d’harmoniser et de simplifier les dispositifs existants de réserve. Cela nous engage enfin à encourager et faciliter toutes les bonnes volontés, c’est-à-dire tous nos concitoyens et nos compatriotes qui souhaitent aider et favoriser l’engagement, quel qu’il soit, pour constituer un vivier de volontaires mobilisables en cas de crise.

Cette stratégie nationale de la résilience constitue donc la déclinaison opérationnelle de tous les ministères et, au-delà, de toutes les collectivités publiques, de ce que nous caractérisons, dans le cadre de la RNS, comme l’adaptation nécessaire de nos outils et de nos planifications à une évolution drastique de la menace, et notamment des menaces hybrides qui pèsent sur le territoire national.

J’en viens au troisième et dernier point, qui constitue le cœur de vos travaux et en particulier du titre Ier de la loi. Le constat de départ, qui a motivé l’adoption de la directive REC, porte précisément sur la multiplication des risques et des menaces pouvant affecter nos infrastructures critiques, c’est-à-dire celles qui sont nécessaires à l’exercice d’une activité d’importance vitale ou dont une perturbation pourrait mettre gravement en cause la santé de la population ou l’environnement.

La directive REC complète donc la démarche engagée par l’adoption de la directive de décembre 2008 concernant le recensement et la désignation des infrastructures critiques européennes ainsi que l’évaluation de la nécessité d’étendre leur protection, alors limitée aux secteurs des transports et de l’énergie, aux opérateurs de dimension européenne. L’ambition de REC consiste désormais à améliorer la fourniture, dans le marché intérieur européen, de services essentiels au maintien de fonctions sociétales ou d’activités économiques vitales en renforçant la résilience des opérateurs d’importance vitale, désignés comme « entités critiques » dans la directive.

La directive, qui devait être transposée en droit national le 17 octobre 2024 au plus tard, assure un socle minimal commun de résilience à tous les opérateurs de l’Union européenne (UE). Incidemment, elle permet d’atténuer une forme de dumping des obligations sécuritaires entre États membres, le cadre français étant déjà relativement complet au regard des dispositions de la directive.

En France, nous avons fait le choix de la simplicité et de la continuité : la transposition révise le dispositif national de sécurité des activités d’importance vitale défini dans le code de la défense (articles L. 1332-1 et suivants), qui a fait ses preuves. Cette politique publique, qui trouve ses origines dans une ordonnance de 1958, instaurée formellement à compter de 2006, a prouvé son efficacité et fait l’objet d’une déclinaison sur l’ensemble du territoire national. Il y a donc lieu de se féliciter de ce que les contours de la directive REC coïncident presqu’exactement avec ceux de la SAIV nationale.

Cette réforme normative et doctrinale représente aussi pour nous l’occasion de moderniser notre dispositif national : révision de la classification du dispositif (statut d’OIV) et renforcement de la mise en œuvre et de la coordination du dispositif, dans une logique de cohérence, d’efficacité et de simplification.

La transposition s’inscrit donc bien dans une politique de résilience globale et cohérente : les OIV seront également soumis aux obligations de cyber-résilience prévues par la directive NIS 2 (négociée en parallèle de la directive REC et de la directive Dora portant sur la résilience du secteur financier). La cohérence d’ensemble que j’évoquais en introduction n’est donc pas une vue de l’esprit.

L’identité de vue entre la directive et le dispositif national constitue évidemment un avantage à plusieurs égards. Le vocabulaire national est conservé, de même que la logique d’identification des sites les plus sensibles – les points d’importance vitale – ainsi que la planification associée.

Le suivi effectué par le SGDSN, les ministères coordonnateurs, les zones de défense et de sécurité et les préfets de département est maintenu et pourra être renforcé. J’y veillerai personnellement. D’ores et déjà, j’ai décidé de poursuivre l’œuvre de sensibilisation des préfets territoriaux à l’ensemble des aspects de la stratégie nationale de résilience. Je suis notamment intervenu lors de la dernière réunion des préfets au ministère de l’intérieur et me déplacerai dans les zones de défense pour poursuivre cette sensibilisation visant à contribuer à l’appropriation par l’ensemble des acteurs territoriaux de ce concept de résilience.

Autre avantage important pour les opérateurs d’importance vitale, nombre des exigences de la directive sont déjà mises en œuvre à travers le dispositif actuel. Ainsi, les entités concernées par la révision du dispositif SAIV sont les opérateurs qui étaient déjà assujettis au dispositif existant.

De nouveaux opérateurs d’importance vitale pourraient le cas échéant être désignés au titre de leurs activités, considérées comme d’importance vitale par l’État si celles-ci devaient évoluer ou émerger, en particulier dans les secteurs de l’assainissement, de l’hydrogène, ainsi que les réseaux de chaleur et de froid, nouvellement identifiés par la directive REC. Toutefois, le nombre d’opérateurs d’importance vitale, autour de 300 aujourd’hui, n’a pas vocation à augmenter significativement.

Concrètement, la mise en œuvre de la directive devrait se traduire par un certain nombre d’améliorations. Il s’agit d’abord d’une meilleure prise en compte des interdépendances entre les secteurs, et entre les États membres, avec l’identification par les opérateurs de leurs interdépendances et de leurs chaînes d’approvisionnement dans une logique de continuité d’activités. Il s’agit ensuite d’une obligation de notification des incidents majeurs, qui existe déjà dans le domaine de la cybersécurité, mais aussi d’une évolution et d’un renforcement du dispositif d’enquêtes administratives de sécurité. Enfin, l’amélioration porte sur une révision du dispositif de sanctions pour les opérateurs qui ne respecteraient pas leurs obligations, avec la création d’un régime de sanctions administratives, en lieu et place des sanctions pénales existantes. Ces quatre mesures nous permettront de mettre en œuvre notre stratégie nationale de résilience de façon beaucoup plus efficace que par le passé.

Pour sa part, la création d’un nouveau statut d’« entité critique d’importance européenne particulière » (ECIEP) pour les opérateurs fournissant un service essentiel à au moins six États membres de l’UE, porte des enjeux particuliers, soit une obligation de notification à la Commission et de partage d’information avec les États membres concernés. Néanmoins, il convient de souligner que cette directive a été négociée – le SGDSN a été particulièrement vigilant sur ce point – dans l’objectif de respecter les prérogatives nationales et les enjeux de souveraineté, de sécurité et de protection du secret afférents à la protection des infrastructures critiques, de sorte que seules les données agrégées seront transmises à la Commission européenne.

Dans une optique de modernisation et de cohérence de l’ensemble du dispositif, le choix a été opéré de donner la possibilité à l’autorité administrative d’autoriser les opérateurs à déroger, dans certains cas précis, au droit commun de la commande publique, lorsqu’il pourrait être porté atteinte aux intérêts essentiels de l’État.

Je souhaite enfin évoquer le coût des mesures imposées. Trois points me semblent devoir être précisés. En premier lieu, ces mesures pourront engendrer un coût pour un certain nombre d’opérateurs. Ensuite, nous ne sommes pas en mesure aujourd’hui d’évaluer exactement le coût afférent à l’évolution de ce dispositif, en raison à la fois de la variété des secteurs et des opérateurs couverts par notre stratégie de résilience. Troisièmement, le coût des mesures de continuité d’activité n’est évidemment en rien comparable au coût d’un arrêt d’activité. Nos opérateurs économiques le savent déjà parfaitement : ils n’ont pas attendu l’État, pour la plupart d’entre eux, pour investir dans la sécurisation de leurs activités. Nous allons donc apprendre en marchant, mais je crois que la question du coût doit être abordée avec sérénité.

J’en termine par les collectivités territoriales, qui dans la directive REC – contrairement à NIS 2 qui s’appliquera directement à un certain nombre de collectivités locales –, ne constituent pas un secteur spécifique. Certaines collectivités sont incluses dans le champ de la directive REC ; il s’agit de celles qui sont déjà désignées OIV, car elles assurent des activités d’importance vitale ou services essentiels au sens de la directive REC – dans les secteurs qui relèvent de leur compétence ; par exemple pour les secteurs de la gestion de l’eau, des transports et de l’énergie.

Dans le cas d’une délégation de service public (DSP) pour des activités d’importance vitale, le projet de loi « Résilience » prévoit l’information de la collectivité territoriale afin que celle-ci soit en mesure de prendre en compte les implications du dispositif sur son délégataire. Ainsi, le délégataire est tenu de mettre en place des mesures pour assurer la résilience de son activité, notamment la sécurisation des sites sans lesquels il ne peut exercer son activité d’importance vitale.

Pour être totalement complet, de nouvelles collectivités territoriales pourraient être désignées à l’avenir au titre de leurs compétences dans les secteurs de l’assainissement, de l’hydrogène, ainsi que des réseaux de chaleur et de froid, car il s’agit de secteurs nouveaux visés par la directive REC et par le projet de loi de transposition.

Tels sont les éléments que je voulais vous transmettre concernant nos travaux dans le cadre de notre analyse des menaces et des risques qui pèsent, de notre travail sur la RNS ; mais aussi de nos actions depuis 2022 en termes de mise en œuvre et de modernisation de la SNR. Les dispositions spécifiques du titre Ier du projet de loi viennent parfaitement s’intégrer selon nous dans ce besoin de durcissement et de modernisation d’activités qui sont essentielles à la continuité de la vie de la nation.

M. le président Philippe Latombe. Je cède la parole aux rapporteurs pour une première série de questions.

M. Éric Bothorel, rapporteur général. Monsieur le secrétaire général, puisque vous étiez, il y a encore quelques semaines, notre ambassadeur auprès de la république islamique d’Iran, je ne peux résister à l’envie de vous poser une question qui n’a rien à voir avec le projet de loi, mais qui est également très liée à la thématique de la résilience. J’ai bien conscience que nos auditions sont publiques, que vos réponses sont par nature mesurées, mais je souhaite à titre personnel vous interroger sur la situation des otages Cécile Kohler et Jacques Paris en Iran. Quelle est votre lecture de ce qui semble être une politique qui touche près d’une vingtaine d’Européens et que l’on peut qualifier de politique « d’otages d’État » ?

Je reviens maintenant sur le sujet qui nous réunit aujourd’hui, le projet de loi. D’abord, quelles sont selon vous les nouvelles menaces qui pèsent sur les infrastructures ? Quelles sont les infrastructures qui vous semblent aujourd’hui les plus sensibles ? Je pense notamment aux gazoducs, aux menaces sous-marines, bactériologiques et celles portant sur les réseaux d’eau.

Nous passons de la notion d’opérateurs de services d’importance vitale, qui étaient parfois uniques et très centralisés, à un élargissement du nombre d’acteurs concernés, avec des entités territoriales nombreuses, des acteurs publics comme privés. Selon vous, l’organisation du SGDSN, par nature très centralisée auprès du premier ministre, devra-t-elle s’adapter à cet élargissement territorial ? Les territoires ultramarins devraient-ils connaître, selon vous, une organisation et une réglementation différenciées ?

Je m’associe également à la question du chiffrement, évoquée par le président Latombe. Ce sujet, qui nous préoccupe tous, est aujourd’hui intégré dans le texte. Vous semble-t-il nécessaire que nous consolidions et que nous sécurisions le chiffrement de bout en bout dans une forme de sacralisation d’une rédaction qui pourrait être plus parfaite ?

Un débat parallèle voit aussi le jour concernant le renseignement d’origine sources ouvertes ou open source intelligence (Osint). Selon vous, est-il nécessaire de légiférer sur l’Osint et de profiter de l’opportunité de ce texte pour le faire ? Enfin, nous savons de longue date que les services télécoms ne sont pas au rang des services essentiels dans notre pays. En tant que Breton, je constate que lorsqu’une tempête survient, les priorités portent surtout – de manière légitime – sur le rétablissement de l’eau potable, les hôpitaux, les personnes sous assistance respiratoire, mais les télécoms sont souvent relégués au second plan. Ne faudrait-il pas, dans ce texte, rehausser les infrastructures télécoms au rang des services essentiels, afin que leur remise en route constitue également une priorité ?

Mme Catherine Hervieu, rapporteure. Depuis plusieurs années, les activités françaises représentent une cible pour des États et acteurs étrangers. Nous avons pu évoquer différents points de vigilance, notamment lors de la consultation des parlementaires pour la révision de la RNS 2022. Collectivement, nous demandons la rédaction d’un Livre blanc sur la sécurité et la défense pour une réelle stratégie nationale.

Pour autant, une partie des parlementaires reste encore à convaincre et une majorité des Français à informer. L’information est la clé de voûte pour éclairer, mais également influencer. Notre calendrier est restreint, et soyons réalistes, nous sommes en retard. J’ai d’ailleurs exprimé l’urgence de traiter ce projet de loi en priorité lors des questions au gouvernement, le 30 avril dernier. Dans le rapport de la direction générale de la sécurité intérieure (DGSI) et de la direction générale de la sécurité extérieure (DGSE) qui a fuité, il est indiqué que « La Russie mène des actions offensives qui peuvent avoir des conséquences directes sur la vie des Français : tentatives d’incendie de centres commerciaux, attaques sur des câbles sous-marins, de télécommunications, cyberattaques sur des terminaux satellitaires (…) visant à faire dysfonctionner des infrastructures critiques, fragiliser l’organisation de la société ou espionner des entités françaises ». Nos objectifs actuels consistent donc à réduire nos vulnérabilités et à être résilients.

Pourtant, nous sommes tous témoins d’ores et déjà d’ingérences sur nos territoires dans les administrations, les hôpitaux, les communications, les entreprises. Au-delà de la sensibilisation, l’information de l’ensemble des Français, des élus et des opérateurs est nécessaire. Les acteurs de nos territoires disposent néanmoins de moyens différents pour faire face aux menaces dont ils sont les cibles.

Vous avez évoqué les collectivités territoriales et la façon d’organiser les DSP, mais il faudra également tenir compte des différences qui existent entre les territoires. Comment répondre à ces impératifs de protection avec les moyens humains et financiers dont nous disposons actuellement ? Ce projet de loi demande un renforcement et une augmentation des moyens pour sa mise en œuvre.

Il nous faudra développer et cibler les besoins prioritaires à développer, et nous devrons hiérarchiser les différentes étapes du calendrier, compte tenu des situations que vous avez décrites. Concernant le titre Ier, dont je suis rapporteure, pourriez-vous développer l’application du dispositif aux opérateurs régaliens, exclus de la direction en droit européen et intégrés au dispositif français de sécurité des activités d’importance vitale ?

Madame Anne Le Hénanff, rapporteure. Monsieur le secrétaire général, que pensez-vous du critère du nombre d’habitants retenu pour qu’une collectivité soit considérée comme une entité essentielle, et en particulier du seuil arrêté par le Sénat, c’est-à-dire 30 000 habitants ? Que pensez-vous de la classification des collectivités comprenant moins de 30 000 habitants dans la catégorie des entités importantes ?

Par ailleurs, un certain nombre d’administrations sont exclues du périmètre d’application du projet de loi, notamment celles exerçant dans les domaines de la sécurité publique, de la défense et de la sécurité nationale, les missions diplomatiques et consulaires françaises, le Commissariat à l’énergie atomique et aux énergies alternatives (CEA), les ministères, le Sénat et l’Assemblée nationale. Dans quelles mesures ces exemptions se justifient-elles ? Quelles garanties pouvez-vous nous apporter quant à leur degré de cybersécurité et de cyber-résilience ?

Ensuite, vous avez parlé de l’implication des préfets. Je fais partie de ces députés qui, depuis des années, demandent que les préfets s’impliquent davantage dans l’accompagnement à la montée en cybersécurité des territoires. Je suis donc particulièrement intéressée par les propos que vous avez tenus à ce propos. Vous avez parlé particulièrement des zones de défense, mais qu’en est-il des autres territoires qui n’en sont pas ? De quels moyens vont-ils disposer ? Quelles seront les marges de manœuvre des collectivités locales, des hôpitaux ?

Enfin, le budget du SGDSN a diminué en 2025. L’Anssi, l’OSIIC et Viginum ont ainsi vu leurs moyens diminuer de 8 millions d’euros. Alors que nous allons entamer l’étude de la loi « Résilience » et la transposition de la directive NIS 2, comment pourrons-nous agir, compte tenu de cette réduction de budget ?

M. Mickaël Bouloux, rapporteur. Je suis, pour ma part, rapporteur thématique en ce qui concerne le titre III du projet de loi, qui porte sur la résilience opérationnelle numérique du secteur financier et qui transpose la directive Dora.

Je souhaite vous poser des questions plutôt générales sur le rôle du SGDSN dans la résilience des entités financières. Tout d’abord, quels sont vos relations et vos leviers d’action avec le secteur bancaire ? J’ai lu qu’il existait un réseau de référents désignés en coordination avec la Fédération bancaire française, afin de favoriser le financement privé de la base industrielle et technologique de défense (BITD), mais aussi de développer une culture de défense chez ces acteurs privés.

Ces référents pourraient-ils jouer un jour un rôle dans la résilience opérationnelle numérique du secteur financier ? Les acteurs bancaires constituent-ils des cibles de choix pour les tentatives d’ingérence étrangère, dans le but de déstabiliser notre économie ? Enfin, quels types de menaces cyber certains États sont-ils susceptibles de mettre en œuvre contre nos entités financières ?

M. Nicolas Roche. Monsieur le rapporteur général, nos autorités politiques, le président de la République, le premier ministre et le ministre de l’Europe et des affaires étrangères ont été parfaitement clairs depuis des mois – si ce n’est des années – sur le statut d’otages d’État de Cécile Kohler et Jacques Paris. Je suis personnellement allé assister les familles des otages, dont celles de ceux de nos otages qui ont pu rentrer en France ; lesquels sont heureusement nombreux. Nous avons célébré tristement la semaine dernière les trois années de détention arbitraire de ces deux otages aux mains de la république islamique d’Iran. Ils constituaient la priorité de mon action pendant trois ans à l’ambassade de France en Iran. Je reste mobilisé, comme tous les services de l’État et comme le président de la République l’a encore rappelé, pour faire en sorte qu’enfin, nos compatriotes puissent rentrer en France.

Ensuite, s’agissant de la question du chiffrement, nous avons besoin de temps et de sérénité pour mener un travail technique très approfondi, interne aux services de l’État, pour traiter au fond ce sujet, de façon professionnelle, méthodique, propre, détaillée. Nous reviendrons ensuite vers le gouvernement et le président de la République pour signaler si des solutions techniques sont possibles, leurs avantages et inconvénients, afin qu’une décision puisse être prise en toute connaissance de cause. Cette question est évidemment incontournable, puisqu’elle concerne plusieurs politiques publiques essentielles, fondamentales.

S’agissant des éléments plus directement liés au titre Ier, c’est-à-dire la nature et l’identification des menaces prioritaires, nous n’avons malheureusement pas le luxe du choix. Nous ne définissons pas ces menaces et les risques, qui nous sont souvent imposés par nos adversaires. L’évolution de l’environnement stratégique de ces dernières années montre que, factuellement, les menaces qui ont eu à un moment ou à un autre, en France ou dans des pays amis, un impact direct sur la continuité de la vie de la nation, ont touché tous les secteurs possibles.

Dans le domaine cyber, elles concernent à la fois l’espionnage et les manipulations de l’information, qui sont de plus en plus complexes, de plus en plus élaborées technologiquement, et qui visent de plus en plus le cœur du fonctionnement de nos sociétés. Elles visent aussi le sabotage physique d’un certain nombre d’activités, y compris d’importance vitale. Un certain nombre de secteurs d’activités ont ainsi été touchés en France et en Europe ces dernières années. Elles portent également sur la guerre économique et commerciale, le lawfare, c’est-à-dire l’instrumentalisation du droit à des fins de disruption des relations internationales.

Aujourd’hui, nous n’avons pas le luxe de choisir ou prioriser les menaces qui pèsent sur la continuité de la vie de la nation et nous devons toutes les prendre en compte. La RNS réalisera une description précise de l’ensemble de ces menaces sur cette partie du scénario, qui concerne le volet des menaces hybrides, qui pèsent sur le territoire national. Le ciblage très précis qui a été opéré jusqu’à présent sur les secteurs prioritaires pour la continuité de la vie de la nation – et qui ne devrait pas être bouleversé – indique ce que la nation doit protéger, minimum minimorum.

Ensuite, je crois que l’existence même du SGDSN, son double rôle d’animation interministérielle et d’opérateur dans un certain nombre de secteurs, de façon centralisée auprès du premier ministre, constitue une immense chance pour notre système administratif et politique. Nous ne sommes pas pour autant inattentifs à la décentralisation, aux collectivités territoriales, aux acteurs privés, aux associations, à nos compatriotes. Cependant, l’environnement stratégique auquel nous sommes soumis impose une forme de centralisation de l’analyse de la menace, de la planification de défense et de l’animation du collectif de la sécurité nationale et de la résilience.

Le SGDSN ne fait pas tout lui-même, très loin de là. Il joue un rôle essentiel dans ce domaine-là d’animation des travaux interministériels et d’animation de l’ensemble des acteurs publics, mais aussi privés. Par ailleurs, dans des domaines très spécifiques qui nous ont été confiés, il endosse un rôle d’opérateur opérationnel dans des secteurs essentiels pour la résilience de la nation, à travers l’Anssi, Viginum et l’OSIIC. En résumé, j’estime que cette organisation et ce pilotage central du SGDSN constituent une des valeurs ajoutées de notre dispositif. Certains pays européens souffrent a contrario d’un manque de coordination interministérielle dans la mise en œuvre d’une véritable stratégie de résilience.

Ensuite, il ne me semble pas nécessaire de développer un cadre juridique dédié à l’outre-mer. En revanche, il existe le besoin d’une prise en compte particulière des opérateurs et des situations spécifiques de nos territoires ultramarins, qui sont soumis à des natures et des types de menaces hybrides singulières, dans la mise en œuvre de l’ensemble de nos plans de résilience.

Je me permets de réserver ma réponse sur l’Osint. Je fais partie de ceux qui pensent depuis longtemps que cette question est centrale et que nous avons besoin de capacités d’open source. Je reviendrai vers vous plus spécifiquement sur cette question.

Il serait erroné de considérer que les réseaux de télécommunication sont par essence secondaires. En tant que secrétaire général de la défense et de la sécurité nationale, je préside un comité interministériel chargé en partie de la supervision des communications d’urgence. Il existe bien un impératif de rétablissement très rapide des communications d’urgence au minimum pour assurer la continuité de la vie de la nation. Par ailleurs, un certain nombre d’éléments centraux des grands opérateurs de réseaux téléphoniques font partie des systèmes intégrés à notre stratégie nationale de résilience ; nous leur imposons un certain nombre d’obligations.

S’agissant de l’information sur les menaces et de la sensibilisation, je partage entièrement votre évaluation, madame Hervieu. L’un des objectifs de la RNS consiste précisément à contribuer à cette prise de conscience collective et à cet effort pédagogique d’éducation et de sensibilisation de tous nos compatriotes concernant l’ensemble des menaces, notamment hybrides, des risques ou des hypothèses d’engagement majeur de nos forces armées dans une guerre potentielle.

À ce titre, après trois ans passés à l’étranger, je retrouve des compatriotes et des concitoyens dont la prise de conscience est plus mûre que lorsque j’ai quitté la France en 2022, s’agissant de la menace cyber, de la menace de manipulation de l’information, de la menace de guerre commerciale, de sabotage et d’espionnage. Cependant, je vous rejoins entièrement sur le fait que nous ne sommes pas encore aujourd’hui là où nous devrions être et que l’effort de sensibilisation et de renforcement doit être poursuivi. Il s’agit d’ailleurs d’un des objectifs de la RNS, raison pour laquelle j’ai demandé et obtenu de mes autorités politiques un délai supplémentaire pour permettre la poursuite des consultations, en particulier avec les commissions de la défense de l’Assemblée nationale et du Sénat, dans l’élaboration de cette RNS. La publication et la diffusion de la RNS seront marquées par un effort très vaste d’éducation et de sensibilisation à partir de la synthèse de l’évaluation de la menace et des risques qui pèsent sur le territoire, à l’horizon des années 2030-2040.

Ensuite, toutes les infrastructures sont sensibles en réalité ; je ne peux pas vous répondre différemment : à partir du moment où un opérateur d’importance vitale a été qualifié comme tel, nous ne pouvons pas établir de hiérarchie entre eux. La logique profonde de notre cadre politique, juridique et stratégique consiste précisément à adopter une cohérence d’ensemble de notre stratégie de résilience qui suppose que tous les OIV, toutes les activités d’importance vitale qui ont été identifiés soient protégés, non plus dans une logique de protection de points ponctuels, mais dans une logique de continuité d’activité et de résilience.

À partir du moment où des opérateurs, des activités ou des points entrent dans le champ de la directive REC, du dispositif de la loi « Résilience » et de nos plans de défense, il revient aux opérateurs de se mettre en conformité avec ces obligations qui, encore une fois, sont essentielles pour la continuité de la vie de la nation.

Madame la rapporteure, au-delà des collectivités territoriales et de l’ensemble des acteurs, de nos compatriotes, de nos concitoyens et du tissu associatif, il existe un impératif de mobilisation, qui rejoint d’ailleurs la question de la sensibilisation. Au niveau central, dans les administrations de l’État, en particulier celles qui relèvent directement de la défense et de la sécurité nationale, le niveau de prise de conscience et de connaissance est élevé. J’ai déjà eu l’occasion de vous indiquer qu’il l’est également chez nos compatriotes. Entre les deux, cette prise de conscience est inégale chez un certain nombre d’acteurs pourtant essentiels à la résilience de la nation.

La mobilisation que vous mentionnez est donc bien nécessaire. Elle interviendra en particulier à travers la publication et la mise en œuvre de la RNS. C’est la raison pour laquelle je suis intervenu devant l’ensemble des préfets, pour les sensibiliser sur le scénario central de la RNS, les impératifs de la stratégie nationale de résilience et de mise en œuvre, et la nécessaire mobilisation de l’ensemble des acteurs de l’État et, au premier chef, des préfets et de l’ensemble des acteurs déconcentrés de l’État. Ils jouent un rôle essentiel en tant qu’animateurs de l’ensemble des écosystèmes territoriaux qui contribuent à la défense et à la sécurité nationale, y compris les collectivités territoriales. Il est impératif de multiplier les instances et les enceintes dans lesquelles il nous faut mener cette discussion.

Traditionnellement, tous les Livres blancs et les RNS comportent une dimension nationale d’explication et une déclinaison internationale, afin d’expliquer à nos partenaires étrangers ce que nous réalisons et de construire des coopérations internationales. Le travail est spécifique cette année : nous devrons ajouter à ces deux dimensions une innovation très importante, qui concernera une partie territoriale de la déclinaison de la RNS, à travers la mobilisation des acteurs locaux. Sauf erreur de ma part, la question du seuil démographique pour les entités et des exemptions dans certains secteurs relève très directement de la partie consacrée au cyber et à NIS 2, et non du titre Ier sur la résilience.

Concernant les efforts budgétaires, je ne peux que concourir à votre évaluation : la mise en œuvre de la SNR et de la stratégie nationale de cybersécurité nécessitera un certain nombre de décisions. Il reviendra évidemment au gouvernement d’assurer le bouclage de l’ensemble de nos priorités. Interviendra alors, comme dans tout processus budgétaire classique, une mise en adéquation entre les mesures que nous avons identifiées et les contraintes financières, dans un cadre budgétaire qui me dépasse très largement. Ma responsabilité consiste à porter auprès de mes autorités politiques des choix clairs, et en particulier des priorités en matière de résilience et de sécurité nationale, impliquant des choix budgétaires en termes de ressources humaines. Les choix relèvent ensuite des autorités politiques et du Parlement, en toute connaissance de cause.

Monsieur Bouloux, je suis moins familier de la dimension bancaire. Sur ce sujet, Bertrand Dumont, le directeur général du Trésor constituera un interlocuteur précieux. Je peux néanmoins confirmer l’existence de relations spécifiques entre le SGDSN et les grands acteurs bancaires et assuranciels pour garantir, dans la durée, le financement et l’existence de la BITD. Je ne rentrerai pas davantage dans les détails à l’occasion de cette session publique ; il en sera de même concernant les ingérences étrangères.

Cependant, il est évident que les menaces, en particulier cyber, concernent la totalité des secteurs. Dès lors, il n’y a aucune raison, a priori, de considérer que le secteur bancaire n’est pas lui aussi une cible potentielle, compte tenu de son degré de sensibilité aux questions technologiques et digitales.

M. le président Philippe Latombe. Je cède la parole aux orateurs de groupe.

M. Aurélien Saintoul (LFI-NFP). Je souhaite évoquer en premier lieu le rôle des agents assermentés par l’État qui auront pour fonction de mener des contrôles. Disposez-vous d’une forme de cahier des charges à ce titre ? Quel sera le cadre financier ? Qui sera le donneur d’ordre ?

Ma deuxième question concerne la saisine d’une commission des sanctions en cas de manquement ou d’infraction aux obligations contenues dans la directive REC. Quel sera son statut ? Pourquoi devra-t-elle être rattachée directement au premier ministre ? Constitue-t-elle une juridiction de première instance ? Si ces sanctions sont d’ordre administratif, quelle sera la voie de recours ?

Enfin, la commission des sanctions ne peut sanctionner que les personnes privées. Pourtant, la directive n’établit pas de différence entre les OIV, qu’elles soient privées ou publiques. J’aimerais donc connaître la logique qui prévaut pour cette distinction.

M. Sébastien Saint-Pasteur (SOC). Sous la présidence Pompidou, un document pionnier, rédigé à la demande du secrétariat à la défense américain, identifiait déjà les vulnérabilités des systèmes d’information, notamment les risques d’accès non autorisé, de divulgation accidentelle ou d’infiltration délibérée.

Plus de cinquante ans plus tard, l’ombre portée par les menaces cyber a grandi de manière exponentielle. Fort de ce constat que nous partageons tous, je souhaite m’attarder sur plusieurs points. Je pense d’abord à la définition et au respect du périmètre des entités concernées, qui diffère des nomenclatures de l’Anssi auxquelles nous sommes habitués. Ensuite, comment les contrôles pourront-ils être réalisés quand on pense que dans la plus vaste région de France, la région Nouvelle Aquitaine, il existe seulement deux délégués régionaux de l’Anssi pour douze départements ?

Je m’interroge également sur les entités qui ne sont pas concernées. Une commune de moins de 3 000 habitants appartient probablement une intercommunalité à laquelle elle est reliée par des systèmes informatiques intégrés ou un établissement médico-social, qui traitera des données de santé sensibles. Le flou demeure donc pour les principaux intéressés. Qui plus est, le groupement d’intérêt public « Action contre la cybermalveillance » est aujourd’hui largement sous-doté pour faire face à ces défis. Un récent rapport sénatorial a pointé que les cyberattaques représentaient près de 90 milliards d’euros d’impact pour l’économie française.

Dès lors, comment garantir une transposition lisible pour l’ensemble des acteurs, même les plus petits ? Comment comptez-vous conseiller le gouvernement afin que les moyens d’accompagnement soient bien au rendez-vous, au plus près du terrain ?

Mme Laetitia Saint-Paul (HOR). Au sein du groupe Horizons, nous sommes sensibles à votre volonté d’associer les parlementaires à la RNS. Cependant, sur certains sujets, je suis restée sur ma faim. À titre d’exemple, dans la RNS 2022, l’intelligence artificielle (IA) n’est mentionnée que deux fois.

Je me permets de vous faire part de deux sujets que je souhaiterais voir figurer dans la prochaine RNS. Tout d’abord, la question du lawfare ou de la guerre juridique s’applique parfaitement à la confrontation dans les espaces communs, notamment cyber. Ensuite, la configuration du secrétariat général de l’armement nous permet-elle d’être agile sur les enjeux de haute technologie, de start-up, à l’instar du modèle américain de la Defense Advanced Research Projects Agency (Darpa) ? De manière générale, notre modèle de travail interministériel est-il suffisamment agile pour faire face à l’hybridité de la conflictualité dans les espaces communs ? Enfin, s’agissant de la loi qui nous concerne, quelles en sont principales lacunes ?

M. Nicolas Roche. Monsieur Saintoul, les agents assermentés seront les mêmes qu’aujourd’hui. Le dispositif d’assermentation ne changera donc pas de manière radicale.

Ensuite, la commission des sanctions ne relève pas d’une autorité juridictionnelle en tant que telle. En revanche, comme toute mesure de police administrative, ces décisions seront susceptibles de faire l’objet de recours en excès de pouvoir devant la juridiction administrative et jusqu’au Conseil d’État.

La distinction entre acteurs privés et publics concerne la non-application des sanctions administratives aux collectivités territoriales. Cet élément tient au fait qu’in fine, le délégataire porte l’obligation qui lui est faite de contribuer à la sécurité nationale et à la résilience de la nation.

Les travaux préparatoires au projet de loi n’ont pas convaincu ses auteurs qu’il serait pertinent d’infliger des sanctions à des collectivités territoriales pour des manquements de leurs délégataires de service public, dans les cas d’activités d’OIV et en particulier parce que des sanctions pécuniaires sont ensuite définies en fonction d’un chiffre d’affaires. Le choix a donc été établi à ce stade de ne pas intégrer les collectivités et les acteurs publics des collectivités territoriales dans le champ des mesures qui auparavant relevaient de mesures pénales. À ce titre, le passage d’un régime de sanctions pénales à celui de sanctions administratives m’apparaît constituer une bonne méthode.

Monsieur Saint-Pasteur, il n’existe pas de critère de population pour des opérateurs ou des activités d’importance vitale des collectivités territoriales et des activités d’importance publique dans le titre Ier.

Le directeur général de l’Anssi vous a exposé la semaine dernière le passage d’une logique de pilotage très précis par l’Anssi des OIV dans le domaine cyber à l’ensemble de la mise en œuvre de la directive NIS 2. Il vaut mieux prévenir que guérir ; en conséquence, l’accompagnement de l’ensemble des collectivités dans la mise en œuvre de la partie cyber de NIS 2 constitue un élément essentiel.

Madame Saint-Paul, j’ai pris bonne note des sujets que vous jugez prioritaires. Je peux vous rassurer en partie : nous conduirons ces travaux avec les parlementaires de la commission de la défense lors des semaines à venir. Les sujets que vous avez évoqués ont été pris en compte dans la RNS, même si j’ignore s’ils le seront à la mesure de ce que vous souhaitez. Ces travaux seront ensuite poursuivis par des consultations avec la représentation nationale, puis des validations par les autorités politiques, qui devraient intervenir d’ici la fin du mois.

M. le président Philippe Latombe. Comment pouvons-nous intégrer ce texte dans le cadre d’une construction d’une autonomie stratégique de cybersécurité, une forme de « BITC », sur le modèle de la BITD ?

M. Nicolas Roche. Ces sujets sont très bien identifiés dans la stratégie nationale cyber et par notre impératif de souveraineté numérique. Dans le cadre des travaux de la RNS, nous avons identifié un certain nombre d’enjeux et de défis pour la BITD. La structuration de la BITD française, son pilotage, son suivi, la relation entre les services de l’État et les acteurs privés me semblent d’une bonne qualité.

L’enjeu consiste aujourd’hui à reproduire ce dispositif pour la base industrielle et technologique de sécurité nationale (BITS), dont les questions cyber et numériques sont parties intégrantes. À ce titre, l’État doit mener un effort de structuration de sa réflexion sur cette BITS, notamment pour identifier des priorités, les sujets technologiques et les acteurs privés essentiels à notre souveraineté. Cette action a commencé dans le cadre de la RNS, mais devra faire l’objet de travaux complémentaires.

M. le président Philippe Latombe. Je vous remercie.

3. Table ronde réunissant des associations d’élus, jeudi 15 mai 2025 à 9 heures 30

Lors de sa réunion du jeudi 15 mai 2025, la commission spéciale a organisé une table ronde d’associations d’élus, avec la participation de M. Michel Sauvade, co-président de la commission numérique nationale (AMF) ; Mme Constance Nebbula, vice-présidente de la Région Pays de la Loire en charge du numérique et de l’intelligence artificielle et M. Alexandre Ventadour, conseiller territorial de Martinique, chargé du numérique et du développement économique (Régions de France) ; Mme Marlène Le Dieu De Ville, vice-présidente en charge du numérique à Intercommunalités de France.

M. le président Philippe Latombe. Mes chers collègues, nous reprenons nos auditions sur le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité avec une table ronde consacrée à un sujet central : la cybersécurité des collectivités territoriales.

Nous avons souhaité entendre les représentants des différents niveaux de collectivités pour plusieurs raisons. La première tient à la vulnérabilité numérique de nos services publics locaux. La troisième étude 2024 de Cybermalveillance.gouv.fr sur la maturité cyber des collectivités de moins de 25 000 habitants montre qu’une collectivité sur dix déclare avoir été victime d’une ou plusieurs attaques au cours de l’année dernière, l’hameçonnage étant la cause principale dans 30 % des cas. Les conséquences pour les collectivités sont lourdes : interruption de service, destruction, vol de données, pertes financières.

Mais ce sont les usagers qui en subissent les effets : suspension des inscriptions ou des paiements en ligne pour la cantine scolaire, retard dans le versement d’allocations par les centres d’action sociale. En dépit de ces éléments, l’étude montre que 44 % des communes touchées se considèrent faiblement exposées au risque et que 18 % ne savent pas comment évaluer leur niveau d’exposition. Dans ce contexte, votre retour d’expérience nous est particulièrement précieux pour déterminer quel niveau d’obligation inscrire dans la loi et où placer le curseur.

La seconde raison de cette table ronde est liée à l’objet même du texte que nous examinons. Ce projet de loi vise à renforcer la cybersécurité des collectivités dans le cadre de la transposition de la directive européenne NIS 2 (Network and Information Security 2), qui établit un niveau commun de cybersécurité dans toute l’Union européenne (UE).

L’article 8 du projet de loi qualifie d’entités essentielles les régions, les départements, les communes de plus 30 000 habitants, ainsi que leurs établissements publics administratifs (EPA) lorsqu’ils exercent des activités relevant de secteurs hautement critiques ou critiques, les communautés urbaines, les communautés d’agglomération comprenant au moins une commune de plus de 30 000 habitants et les métropoles, leurs EPA, lorsqu’ils exercent des activités relevant de secteurs hautement critiques ou critiques. L’article 9 qualifie d’entités importantes les communautés d’agglomération ne comprenant pas au moins une commune de plus de 30 000 habitants, les communautés de communes et leurs EPA dont les activités s’inscrivent dans un des secteurs d’activité hautement critiques ou critiques.

L’article 14 du projet de loi prévoit que les entités qui ont été qualifiées d’essentielles ou d’importantes doivent mettre en œuvre un certain nombre de mesures techniques, opérationnelles et organisationnelles, pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information qu’elles utilisent, ainsi que pour éliminer – ou à tout le moins réduire – les conséquences que les incidents engendrent sur les destinataires de leurs services.

Nous avons le plaisir d’accueillir aujourd’hui M. Michel Sauvade, vice-président du conseil départemental du Puy-de-Dôme, maire de Marsac-en-Livradois, qui représente l’association des maires de France et des présidents d’intercommunalités (AMF) ; Mme Constance Nebbula, vice-présidente de la région Pays de la Loire en charge du numérique et de l’intelligence artificielle et M. Alexandre Ventadour, conseiller territorial de Martinique, chargé du numérique et du développement économique, représentant l’association Régions de France ; ainsi que Mme Marlène Le Dieu De Ville, vice-présidente en charge du numérique à Intercommunalités de France, par ailleurs vice-présidente déléguée à l’économie numérique et aux systèmes d’information et à la culture de la communauté des communes de Lacq-Orthez. Elle s’exprimera également au nom de France urbaine.

Mesdames, messieurs, nous serons particulièrement attentifs aux points du texte qui vous paraissent poser difficulté, ainsi qu’à vos propositions concrètes pour en améliorer la mise en œuvre dans les collectivités.

M. Michel Sauvade, coprésident de la commission numérique nationale de l’Association des maires de France. Comme vous l’avez rappelé, les collectivités sont souvent en première ligne face à ces attaques, à telle enseigne que l’AMF y a consacré plusieurs ateliers dans le cadre de son congrès. Notre commission numérique se préoccupe régulièrement de ces sujets en partenariat avec l’Agence nationale de la sécurité des systèmes d'information (Anssi) et les services de l’État concernés.

Nous partageons l’ambition d’un renforcement de la cybersécurité pour les communes et les établissements publics de coopération intercommunale (EPCI), mais sommes très inquiets sur le contenu du projet de loi concernant les conditions dans lesquelles ces collectivités et EPCI devront mettre en œuvre les obligations. En effet, ces nouvelles obligations imposées par le projet de loi entraîneront des charges supplémentaires importantes pour les communes et les intercommunalités. J’ajoute qu’aucune étude d’impact n’a pu proposer jusqu’à aujourd’hui d’évaluation chiffrée de ces conséquences sur le plan financier et des ressources humaines.

Il existe simultanément une sorte d’injonction contradictoire de la part du gouvernement – du moins dans ses déclarations – et de la Cour des comptes, qui contestent l’augmentation des dépenses de fonctionnement du bloc communal. Quel que soit le caractère légitime de l’intention, cette injonction contradictoire pose problème.

Ensuite, compte tenu de la disparité des collectivités, nous regrettons que la loi ne puisse inscrire une progressivité qui permettrait justement de lisser ou d’atténuer les tensions attendues sur la filière des métiers cyber et les contraintes budgétaires que nous connaissons dans nos collectivités. Dans ce contexte, pour l’AMF, la transposition de la directive NIS 2 ne doit pas ignorer cette réalité et doit s’inscrire dans une logique de transition progressive et d’un accompagnement très marqué de l’État. Parallèlement, l’AMF demande que le périmètre des collectivités soumises à NIS 2 soit plus restreint, notamment pour les communautés d’agglomération et de communes.

Lors de la discussion au Sénat, des avancées ont été obtenues concernant justement le périmètre d’application pour les communautés d’agglomération, et l’AMF souhaite que, dans le cadre de la discussion à l’Assemblée nationale, le périmètre d’application pour les communautés de communes soit également revu. Pour mémoire, l’AMF avait adressé un courrier au premier ministre le 7 mars dernier pour l’alerter justement sur cette situation des communautés d’agglomération et des communautés de communes.

Les propositions de l’AMF dans le cadre de ce projet de loi concernent seulement la directive NIS 2 et sont relatives aux mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union. Le périmètre des entités essentielles retenu par le gouvernement pour les communes et les EPCI a évolué depuis la discussion au Sénat. Il résulte, nous semble-t-il, d’un choix du gouvernement qui peut être analysé comme une surtransposition de la directive.

Par ailleurs, l’AMF s’interroge sur le périmètre réel des communes concernées. Il n’est pas clair, notamment du fait des rapports étroits entre les communes et leurs EPCI, et de l’imbrication extrêmement variée des services informatiques et des mutualisations de personnel. Le référentiel de cybersécurité nous interroge également, puisqu’il dressera un tableau des prescriptions, réparties en une vingtaine d’objectifs applicables aux entités essentielles ou aux entités importantes, les obligations pour les entités essentielles étant plus contraignantes. Ces objectifs seront précisés ultérieurement dans un décret en Conseil d’État. En conséquence, le maire ou le président de l’EPCI sera in fine responsable de la sécurité numérique et du suivi de la conformité des systèmes d’information réglementés aux mesures édictées dans le référentiel de sécurité.

Quelles sont nos propositions ? L’AMF est soucieuse de la question de la cybersécurité et souhaite que l’application de cette directive soit un succès effectif. Toutefois, il faut que le législateur tienne compte de la réalité des moyens des communes et EPCI, afin que la mise en œuvre puisse être supportable financièrement, faisable techniquement et qu’elle soit progressive. Nous tenons donc vraiment à vous alerter sur la contradiction de ce texte avec les observations du gouvernement et de la Cour des comptes sur la maîtrise attendue de nos dépenses. De plus, il est difficile de concilier l’efficacité numérique et le maintien en l’état de nos systèmes d’information (SI).

Des consultations ont bien été conduites par l’Anssi, mais les préoccupations qui ont été exprimées par les associations d’élus n’ont pas reçu de réel écho à l’échelon politique, bien que l’AMF ait particulièrement insisté sur l’absence d’étude d’impact financier des nouvelles obligations, les nouvelles charges induites par les nouvelles obligations, l’absence de progressivité dans la mise en œuvre de la loi, le risque réel des tensions sur les métiers cyber et l’absence de visibilité sur un éventuel accompagnement de l’État.

L’adoption de la loi par le Sénat le 12 mars dernier a permis des avancées et l’AMF s’est félicitée de l’évolution concernant le périmètre de la loi pour les communautés d’agglomération. En revanche, toutes les communautés de communes sont restées assujetties au statut d’entités importantes, ce qui nous pose problème.

Les autres dispositions votées par le Sénat qu’il conviendrait de conserver concernent l’accompagnement de l’État. Le projet de loi prévoit que l’État élabore une stratégie nationale en matière de cybersécurité, comprenant notamment les modalités de soutien aux collectivités territoriales et leurs groupements. Concernant le règlement de sécurité, le décret en Conseil d’État qui déterminera les conditions d’élaboration de modifications éventuelles et de publication du référentiel s’appliquant aux entités essentielles et importantes devra être adapté à leur degré d’exposition aux risques, à leur taille, à la probabilité de survenance d’incidents et leur gravité, en prenant en compte également les conséquences économiques et sociales de telles attaques. Ce règlement de sécurité devra également définir les modalités de concertation des représentants des entités concernées et des associations d’élus.

Concernant plus particulièrement la discussion à venir à l’Assemblée nationale, l’AMF demeure mobilisée. Nous souhaitons toujours que le périmètre d’application de la loi aux communautés de communes soit restreint. Je pense ici au non-assujettissement des communautés de communes inférieures à 30 000 habitants à NIS 2. En effet, nous sommes persuadés que la mise en œuvre sera pour le moins particulièrement difficile. Dans cette hypothèse, sur les 990 communautés de communes, seules 211 seraient assujetties au statut d’entité importante.

Parallèlement, il s’agit également de laisser le temps nécessaire à ces collectivités pour mettre en place de nouvelles règles de cybersécurité, lesquelles doivent être adaptées à leur réalité. Cette mesure a également pour objectif de ne pas créer une pression supplémentaire dans la mise en œuvre des règles de cybersécurité, alors que le marché est déjà sous tension.

Les communautés de communes entreront dans ce marché en même temps que de très nombreuses entreprises. Pour autant, il est utile d’assurer l’information et la formation des élus et des agents, ainsi que de promouvoir la diffusion des bonnes pratiques dans ces collectivités, comme dans les communes. À ce titre, je rappelle l’action de l’AMF pour sensibiliser les communes les plus petites, en partenariat avec les services de gendarmerie. Nous souhaitons que ces enjeux soient finalement inclus dans le projet de loi, en intégrant ce soutien, les programmes d’action de l’État et de ses opérateurs. L’AMF souhaite enfin une mise en œuvre progressive de la loi pour les communes et les EPCI assujetties à NIS 2 en métropole et dans les outre-mer.

Mme Marlène Le Dieu De Ville, vice-présidente en charge du numérique à Intercommunalités de France. À l’heure de la numérisation globalisée des services, du développement de la data, de l’intelligence artificielle (IA), des villes intelligentes et de la vidéosurveillance, la surface des attaques augmente de manière exponentielle pour tout le monde, y compris les collectivités. Ainsi, nous avons dénombré 187 attaques entre 2022 et 2023, mais ce chiffre tend à augmenter.

Nos associations Intercommunalités de France et France urbaine ont accueilli avec bienveillance la proposition de l’Anssi d’intégrer dans le dispositif NIS 2 l’ensemble des entités que nous représentons, aussi petites ou aussi grandes soient-elles. Nous saluons d’ailleurs l’écoute de l’Agence lors des diverses consultations. Nous positionnons l’intercommunalité comme l’espace de mutualisation et bassin de vie par excellence pour faire rempart.

En effet, Intercommunalités de France joue déjà un rôle majeur de cybersécurité en mutualisant les moyens humains, financiers et techniques pour protéger l’ensemble de ses communes membres face à un risque numérique grandissant. Avec la directive NIS 2, l’association deviendra un acteur clé pour accompagner les communes, notamment les plus petites d’entre elles, dans la mise en conformité avec les nouvelles obligations.

Grâce à cette approche collective et solidaire territoriale, les intercommunalités renforcent la résilience numérique des territoires, garantissant une meilleure protection contre les cyberattaques et une gestion plus efficace des ressources en cybersécurité. Depuis la réalisation de notre baromètre de maturité numérique des collectivités en 2023, nous avons pu constater que sept intercommunalités sur dix ont au moins mis en œuvre des actions de sensibilisation et de formation auprès des agents et des élus. Aujourd’hui, une attaque peut concerner une petite commune de 200 habitants, mais entraîner des répercussions sur le système d’information de l’intercommunalité dont elle est membre. Il nous semble donc important d’intégrer tout le monde dans un dispositif, certes très lourd. Mais si nous le faisons de manière intelligente, cela fournira l’occasion de nous structurer dans ce domaine, puisque la cybersécurité et la cyberdéfense seront de toute façon notre quotidien.

Si nous accueillons avec bienveillance cette transposition à l’ensemble des collectivités que nous représentons, nous restons lucides. Nous sommes conscients des écueils qui pourraient empêcher l’effectivité de cette loi. Nous partageons effectivement les inquiétudes et les difficultés mentionnées par M. Sauvade. Dans un premier temps, nous exprimons un besoin de portage politique et de coordination ministérielle.

Nous avons pris connaissance des annonces récentes en termes de sensibilisation des 15 000 entités essentielles et importantes, dont les 1 500 collectivités qui devront s’enregistrer auprès de l’Anssi, mais nous avons peu de détails sur la manière dont cela se déroulera, ni sur l’accompagnement qui est attendu.

Par ailleurs, il est aussi parfois difficile pour les associations d’élus de traiter efficacement des sujets du numérique avec le gouvernement, car la coordination interministérielle est peu lisible. Par ailleurs, par l’intermédiaire des Interconnectés, nos deux associations d’élus ont lancé un groupe de travail dédié à l’élaboration de la phase réglementaire. Ce groupe miroir est composé de quinze collectivités allant de la communauté de communes à la métropole. Ce collectif a été réuni trois fois et a déjà pu analyser les impacts des objectifs de sécurité exprimés par la partie réglementaire.

Nous avons reçu les vingt objectifs de sécurité qui devront être traités et mis en œuvre. Ces objectifs de sécurité seront ensuite détaillés en sous-objectifs. Nous allons également échanger sur les leviers d’action et proposer des solutions à la future réglementation. Ce collectif a naturellement relevé des écueils importants, notamment en matière de compétences, de ressources humaines manquantes et d’obligations qui nous incombent d’après la réglementation, mais que nous serons dans l’incapacité de tenir. Les besoins concrets ont été regroupés dans un compte rendu qui sera remis à l’Anssi très prochainement. Après la validation de l’Anssi, nous serons en mesure de vous fournir ce document, si vous le souhaitez. Celui-ci explique l’ensemble de la démarche et ce que nous prévoyons de faire pour accompagner nos collectivités.

Je souhaite que nous puissions également parler de deux initiatives des Interconnectés qui sont étroitement associés à cette thématique : le groupe de travail « Petits territoires » et le projet « TIE Break » (Trajectoire d’indépendance européenne numérique). Ce dernier extraira l’ensemble des outils utilisés par nos collectivités (logiciels, outils de cyber, outils métiers), afin que l’Anssi les évalue et nous fournisse des préconisations.

En conclusion. rien ne sera possible sans un accompagnement technique et financier structuré. Un parcours cyber doté d’un audit précis a été proposé par France Relance, incluant un plan d’accompagnement pour améliorer la sécurité. Mais il n’a bénéficié qu’aux plus grosses entités, soit 78 communautés de communes sur 992. Il sera possible d’imaginer par la suite un « parcours NIS 2 », qui pourra être adapté en fonction des entités, au-delà d’un accompagnement purement financier. Enfin, un travail coordonné de toutes nos instances et structures sera nécessaire, quelle que soit leur nature.

M. le président Philippe Latombe. Nous sommes contraints par le temps lors de nos travaux. Pourriez-vous nous transmettre le document même s’il n’a pas été entièrement validé par l’Anssi ? Notre rapporteur pourrait ensuite échanger sur cette base avec l’Anssi. L’examen du texte devrait avoir lieu début juillet ou début septembre.

Mme Marlène Le Dieu De Ville. C’est entendu.

Mme Constance Nebbula, vice-présidente de la région Pays de la Loire en charge du numérique et de l’intelligence artificielle à Régions de France. Notre intervention s’effectuera à deux voix, puisque j’interviendrai en compagnie de M. Ventadour. Il s’agit pour nous de porter la parole des régions, qui sont extrêmement concernées par les directives aujourd’hui abordées, notamment parce que ces régions sont définies comme des entités essentielles. Notre objectif consiste à ce titre à vous indiquer les points bloquants, les risques techniques, financiers et organisationnels exprimés par les régions. Dans un premier temps, nous évoquerons le sujet cyber dans sa globalité, et notamment le périmètre qui pourrait être octroyé ou laissé aux régions. Dans un second temps, nous insisterons sur le lien avec l’Anssi, notamment sur le sujet des financements.

M. Alexandre Ventadour, conseiller territorial de Martinique, chargé du numérique et du développement économique à Régions de France. En préambule, je tiens à saluer la démarche de concertation engagée par votre commission. Je vous parle depuis la Martinique qui, il y a près de deux ans, a souffert d’une cyberattaque ayant mis à mal toute l’organisation de la collectivité territoriale.

Des préoccupations majeures se font jour de la part de l’ensemble des collectivités, dont les régions. La première concerne l’accompagnement de ces collectivités. Les régions sont ainsi désignées comme des entités essentielles. Le texte prévoit un délai de trois ans pour se mettre en conformité, mais en ne précisant pas assez les moyens qui seront associés, qu’il s’agisse des moyens humains ou financiers qui doivent être adaptés, notamment s’agissant des CSIRT (Computer Security Incident Response Team). Ce délai de trois ans risque donc de ne pas suffire, tant les obligations prévues sont lourdes (cartographie, audits, plans de sécurisation, suivi des incidences et gouvernance). Certaines régions font face à des réalités complexes.

D’autres territoires, comme la Martinique et la Réunion, ont également souffert de sévères attaques. Plus largement, les outre-mer ne disposent pas forcément des ressources en interne. Lorsque la Martinique a subi cette cyberattaque, je me souviens avec émotion avoir vu débarquer une équipe d’une douzaine de techniciens – notamment de l’Anssi – pour venir à notre secours, mais ils n’ont pas pu rester pendant toute la durée du sinistre. Nous avons donc été contraints de fonctionner ensuite à distance. Cet exemple montre bien que les territoires éloignés ne sont pas forcément armés pour résister à de telles attaques.

Le projet de loi introduit dans son article 5 bis la notion de stratégie nationale de cybersécurité, pilotée par le premier ministre. Nous nous en félicitons et demandons que cette stratégie prévoie explicitement les modalités de soutien opérationnel et budgétaire aux collectivités, par exemple en lien avec les objectifs et les financements de France 2030.

Deuxièmement, aucune étude d’impact n’a été véritablement menée sur les coûts engendrés pour les collectivités. La ministre en charge du numérique a reconnu en audition que les collectivités devraient consacrer jusqu’à 10 % de leur budget informatique à la cybersécurité. Pour certaines régions, notamment les plus importantes, cela représenterait plusieurs millions d’euros par an, sans compter les audits et formations préalables ou le remplacement des infrastructures obsolètes. En outre, NIS 2 ne concerne pas uniquement les opérateurs publics et les agents, mais également les partenaires et prestataires avec lesquels nous allons devoir travailler, qui devront être labellisés. Or, dans certaines régions, ces partenaires n’ont pas forcément les moyens de monter en puissance ; il sera nécessaire de les accompagner. Nous demandons donc que l’État commande une étude de coût exhaustive, afin de financer réellement la montée en puissance exigée par NIS 2.

Troisièmement, il convient d’évoquer le périmètre d’action. Lors de nos discussions au sein de Régions de France, a été relevé un point d’attention concernant les lycées. En effet, ces établissements relèvent des régions. Le projet de loi ne précise pas si les infrastructures informatiques des lycées rentrent dans le périmètre de responsabilité des régions au titre de la directive. Or il peut s’agir parfois de dizaines de milliers de postes informatiques, dont les niveaux de sécurisation sont très hétérogènes. En conséquence, nous demandons une clarification explicite dans les décrets d’application, afin d’éviter un vide juridique ou une responsabilité mal encadrée.

Les régions ne contestent pas le projet de loi, qu’elles appellent au contraire de leurs vœux. Pour autant, sa mise en œuvre doit être pragmatique, équitable et accompagnée. Nous attendons que l’État, aux côtés des régions, mais plus largement des collectivités, joue également un rôle d’accompagnateur et de financeur.

Mme Constance Nebbula. J’insisterai pour ma part sur la relation avec l’Anssi telle qu’elle est envisagée dans le projet. Je pense notamment à la création des organismes relais agréés par l’Anssi prévus à l’article 24 du projet de loi. Il est ainsi indiqué que l’Anssi peut agréer des organismes publics ou privés, en tant que relais dans la prévention et la gestion des risques cyber.

Il apparaît intéressant de considérer que les CSIRT et les dynamiques autour des campus cyber des régions sont naturellement pressentis pour assurer ce rôle d’organisme-relais agréé par l’Anssi dans les territoires. Ces éléments conduisent à soulever un certain nombre de questions. Quels seront les moyens financiers alloués par l’État aux régions pour leur permettre de faire vivre ces structures ? Serait-il possible de développer une forme de labellisation NIS 2 pour attester de la conformité des entités qui sont concernées par le champ d’application de la loi « Résilience et cybersécurité », notamment pour permettre à ces entités de justifier plus simplement de leur conformité à la directive en cas de contrôle ?

Il s’agirait donc de faciliter la conformité des entités régulées, mais pour permettre de développer une offre complémentaire pour les CSIRT. Cette valeur ajoutée offrirait la possibilité d’équilibrer un modèle financier qui n’est pas trouvé aujourd’hui. S’agissant de cette question de labellisation, il serait opportun que la ministre du numérique confie à l’Anssi la mission de définir un label de conformité, afin que les entités puissent s’en prévaloir. L’Anssi prendrait donc le contrôle de l’agrément et aurait accès à un label valorisant l’engagement des CSIRT, notamment en région, pour pérenniser leurs actions.

Nous demandons également la prolongation du financement. Régions de France a d’ailleurs adressé un courrier au premier ministre il y a quelques semaines à ce sujet. Bien entendu, les régions ne sont pas surprises de l’arrêt du financement. En revanche, une dynamique cyber nationale avait été amorcée avec le lancement des CSIRT, qui va malheureusement s’interrompre, laissant le relais aux régions. Cet aspect pose nécessairement question. Pour rappel, l’Anssi avait consacré 1 million d’euros à cette initiative sur une période de trois ans, qui arrive aujourd’hui à son terme. Nous opérons donc en mode « débrouille » pour continuer à faire vivre ces CSIRT, en l’absence du soutien de l’État.

Au-delà du financement, des nouveaux acteurs sont apparus dans la chaîne, notamment le 17Cyber, plateforme portée par Cybermalveillance.gouv.fr. De leur côté, les CSIRT sont organisés autour de centres d’appels traités par des opérateurs issus des partenaires et prestataires connus, labellisés, sécurisés, en région et en proximité. Il s’agit donc de trouver le bon partenariat entre ces différents outils, ce qui n’est pas forcément évident, compte tenu de la différence de points de vue entre Cybermalveillance.gouv.fr et les régions.

Régions de France demande que l’État participe au financement et à la pérennité des CSIRT par l’intermédiaire de l’Anssi et clarifie les rôles de Cybermalveillance.gouv.fr et de l’Anssi, au-delà de la simple signature de partenariats, lesquels sont très différents d’une région à l’autre. À ce titre, nous déplorons un certain manque d’uniformité et de vision nationale.

En conclusion, les régions sont vraiment vigilantes concernant la préparation des décrets d’application, notamment le décret relatif à l’élaboration du référentiel d’exigences techniques et opérationnelles. Par ailleurs, les régions n’ont pas attendu les discussions du moment pour anticiper et travailler sur le risque cyber. Néanmoins, nous souhaiterions être accompagnés, soutenus, dans le cadre d’une dynamique nationale.

M. Éric Bothorel, rapporteur général. Nous sommes tous convaincus que les moyens financiers qu’il sera nécessaire de réunir, fussent-ils soutenus par l’État, ne sont pas commandés par NIS 2, mais par l’état de la menace et de l’activité cybercriminelle. De fait, l’Anssi a dû traiter 218 incidents cyber concernant les collectivités, dont 144 ayant trait aux communes, soit une moyenne de dix-huit par mois. Nous portons donc une responsabilité collective, afin de mettre en œuvre des éléments nous permettant de faire face à cette activité cybercriminelle. Pour reprendre les mots de Vincent Strubel, nous avons tous découvert qu’il n'est pas nécessaire d’être une cible pour être une victime. Les collectivités continuent de l’apprendre à leurs dépens. Il conviendra évidemment, au travers de ce texte, qui s’inscrit dans une doctrine européenne, de trouver les organisations qui nous permettent d’être plus résistants, plus résilients et plus efficaces.

Ma collègue Anne Le Hénanff est rapporteure de la partie du projet de loi relative à NIS 2. Étant retenue en circonscription, elle m’a transmis ses questions, que je m’apprête à vous poser, tout en partageant ses préoccupations. Quel est votre avis sur les ajouts et modifications apportés par le Sénat concernant les collectivités territoriales ? Jugez-vous le seuil des 30 000 habitants pertinent et adapté ? À défaut, quel seuil privilégieriez-vous ? Pour ma part, je suis surpris que le Sénat n’ait pas traité de manière identique les communautés d’agglomérations et les communautés de communes.

Quel est votre avis sur les critères retenus par la Belgique pour déterminer si une collectivité était assujettie ou non aux dispositions de la directive NIS 2 ? Avez-vous évoqué avec l’Anssi le cas des communes dites touristiques dont la population permanente est inférieure à 30 000 habitants mais pouvant aisément dépasser ce seuil en période estivale ? Compte tenu des services publics dont elles disposent, pensez-vous qu’elles devraient être assujetties à NIS 2 ? Enfin, quel est le retour des collectivités concernant la solution des CSIRT régionaux ? Les sollicitent-elles ? De quelle manière ? Quelle est en pratique l’aide apportée ? Est-elle optimale ? D’après vous, les CSIRT doivent-ils jouer un rôle dans la mise en œuvre de NIS 2 ?

Madame Nebbula, je ne suis pas opposé à l’idée d’un modèle différent pour les CSIRT. Le président de ma région est ainsi très attaché à l’expérimentation et à la différenciation. Le fait que les campus cyber et les CSIRT reposent sur les modèles différents ne fait pas obstacle à une bonne coordination entre eux pour une meilleure efficacité dans un dispositif plus global.

Mme Constance Nebbula. Tout d’abord, je vous remercie de prendre le temps de conduire cette concertation. Nous avions d’ailleurs eu l’occasion de l’indiquer au Sénat au début du mois de février, tant ces occasions sont rares. Nous profitons de NIS 2 pour évoquer ces sujets, pour parler de stratégie, de politique cyber, mais aussi des financements, des moyens, de l’organisation. C’est peut-être un peu tardif ; néanmoins, mieux vaut tard que jamais.

Lors de la discussion au Sénat, Régions de France a rappelé son attachement à une vraie stratégie de l’État en matière de cybersécurité. La nouvelle rédaction du projet de loi comprend de fait « l’élaboration » par le premier ministre d’une stratégie nationale en matière de cybersécurité, inscrite dans le nouvel article 5 bis, qui détaille les modalités de soutien aux collectivités territoriales et à leurs groupements. Il y a là deux signaux très intéressants, qu’il faut pérenniser : une véritable ambition politique stratégique en matière de cybersécurité ; et la définition des modalités de soutien aux collectivités territoriales et à leurs groupements. Nous considérons que ces éléments vont dans le bon sens et qu’ils doivent être pérennisés.

La deuxième question concernant Régions de France porte plus sur les CSIRT. Lorsque nous indiquons que chacun dispose de modèles différents, il ne s’agit pas d’une critique. Simplement, les solutions à nous apporter ne sont peut-être pas identiques pour tout le monde. Par exemple, il n’existe pas de CSIRT en Martinique ; certaines régions possèdent des campus cyber, d’autres non ; ailleurs, les CSIRT sont parfois intégrés à des campus cyber. À l’occasion de la concertation conduite avec nos collègues, nous avons été unanimes pour témoigner de notre volonté de bénéficier d’un accompagnement, au-delà d’un soutien financier. Nous sommes tous élus locaux et savons bien que le contexte budgétaire est compliqué.

Néanmoins, j’insiste pour signifier que nous évoluons tous aujourd’hui dans un mode « débrouille ». L’Anssi nous a aidés à effectuer l’amorçage, mais encore faut-il désormais trouver le modèle, les ressources humaines et les partenaires. À titre d’exemple, dans les Pays de la Loire, nous n’avions pas jusqu’à présent de structure juridique.

Il est donc nécessaire d’élaborer une vision nationale sur la manière dont les collectivités travailleront avec l’Anssi, mais également la répartition des rôles entre l’Agence, Cybermalveillance.gouv.fr, la gendarmerie et les différents dispositifs. Les très petites entreprises (TPE) et les petites et moyennes entreprises (PME) font aujourd’hui face à un flot très important de possibilités.

Soit chaque région communique bien sur son outil régional, mais la communication nationale n’est pas optimale ; soit la situation est inverse. Des choix doivent donc être opérés. De notre côté, nous considérons que ce qui est porté localement a plus d’impact que ce qui est porté sur le plan national. Mais les deux démarches doivent se dérouler en bonne entente, préalablement à la signature d’un partenariat.

M. Alexandre Ventadour. Il est exact que la Martinique n’a pas de CSIRT. Au moment où il était question de les mettre en place, nous avons été frappés par la très grande cyberattaque dont je parlais précédemment, laquelle a laissé des traces, encore visibles aujourd’hui. La mise en place n’a pas eu lieu, faute de visibilité sur le financement après « l’expérimentation » de trois ans. Comme de nombreuses collectivités, les territoires ultramarins ont connu des actions initiées sur le plan national, qui étaient ensuite basculées sur le financement propre des régions.

Nous ne disposons pas de CSIRT, mais nous tâchons de répondre aux incidents. Quoi qu’il en soit, nous nous efforçons de revenir dans cette initiative importante, qui nous met en lien avec l’ensemble du territoire. Les CSIRT doivent à la fois coopérer entre elles, mais aussi avec l’entité étatique. Il ne s’agit pas uniquement de protéger nos collectivités, mais également de permettre aux PME et TPE avec lesquelles nous travaillons, notamment sur ces aspects informatiques, numériques et de cybersécurité, de pouvoir monter en compétence.

C’est la raison pour laquelle nous en appelons à une forme de labellisation qui pourra en outre contribuer à l’établissement d’un business model, en étant conscient que l’argent public se fait rare actuellement. Nous savons pertinemment qu’il n’est pas possible de tout régler avec un financement national. C’est la raison pour laquelle nous proposons des solutions alternatives – car dans les domaines régaliens comme la sécurité ou la santé, les activités ne peuvent pas dégager de profits – si nous ne voulons pas concurrencer les acteurs privés de nos territoires, qui ne profitent pas de leur côté de l’argent public.

En conclusion, une forme de modèle hybride de financement sur les CSIRT régionaux serait extrêmement intéressante et extrêmement efficace, notamment pour la proximité de l’action.

Mme Marlène Le Dieu De Ville. Le seuil de 30 000 habitants constitue un critère important dans la proposition initiale de l’Anssi. Comme cela a été relevé par la commission supérieure du numérique et des postes, ce critère n’est sans doute pas le plus pertinent. Initialement, lorsque cette proposition d’intégrer les intercommunalités dans NIS 2 a été formulée, il était également prévu que les communautés de communes de plus de 30 000 habitants, soient considérées comme entités essentielles, les autres étant des entités importantes.

L’Anssi n’avait pas conscience de l’existence de communautés de communes de 80 000 habitants ; elle pensait qu’au-delà de 30 000 habitants, le format de la communauté d’agglomération s’imposait. Nous avons donc expliqué que cela n’était pas le cas, ce qui a permis de rectifier le tir. Nous avons également souligné qu’entre une communauté de communes de 5 000 habitants et une autre de 80 000 habitants, les disparités de moyens sont telles que les services informatiques sont structurés différemment. Ces disparités ont éclaté au grand jour lors des plans France Relance et des parcours cyber, puisque seules les plus importantes collectivités ont été accompagnées, ce qui est à la fois quelque peu aberrant, mais également logique.

Quels peuvent être les autres critères ? La commission supérieure du numérique et des postes avait proposé que l’Anssi décide en fonction des compétences critiques, voire très critiques, que chacune collectivité peut exercer. Par exemple, une ville balnéaire qui voit sa population passer de 10 000 habitants à 100 000 habitants l’été pourrait être intégrée à juste titre dans le dispositif.

En conséquence, nous avons également relevé de notre côté quelques incohérences. Le Sénat n’a pas imposé aux communes de transférer les compétences pour le secteur dit critique de l’eau et de l’assainissement, faisant naître des situations complexes. Certaines communautés de communes intégreront ainsi l’eau et l’assainissement dans leur périmètre, mais cela ne sera pas le cas pour toutes. Nous nous posons des questions, puisque les communes de moins de 30 000 habitants ne sont pas soumises à NIS 2.

En résumé, le critère du nombre d’habitants n’était pas le plus pertinent, mais il faut désormais s’en accommoder. En outre, des amendements ont pu voir le jour. Je salue à ce titre celui qui permet aux communautés d’agglomération qui n’ont pas de villes de plus de 30 000 habitants de sortir du périmètre « entité essentielle ».

S’agissant de la coordination régionale, nos groupes de travail ont souligné la nécessité d’un accompagnement plus proche et plus local. Nous avons besoin de savoir à qui nous nous adressons et qui peut nous accompagner. En Nouvelle-Aquitaine, le CSIRT est imbriqué dans le campus cyber ; les relations sont bonnes. Mon intercommunalité fait partie du campus cyber et le travail est intéressant. Cependant, nous aimerions aller plus loin, à travers une généralisation au niveau national.

Par ailleurs, nous souhaitons que l’Anssi assure une présence plus active au niveau régional, pour nous accompagner dans toutes nos démarches.

M. Michel Sauvade. Nos échanges témoignent de la vision partagée des associations d’élus. À l’AMF, la commission numérique est présidée par deux élus, l’un étant vice-président d’un département et l’autre vice-président d’un conseil régional. Il existe donc naturellement une coordination sur cet ensemble. La table ronde de ce jour montre également l’absence de portage politique. En tant que parlementaires et élus locaux, nous avons une responsabilité dans l’absence de ce portage.

Lorsque nous échangeons avec les directeurs des systèmes d’information (DSI) ou les responsables sécurité des systèmes d'information (RSSI), ils nous reprochent de les placer en première ligne sans qu’ils ne disposent pour autant de visibilité, ni de soutien. À l’AMF, nous avons en effet organisé une rencontre avec des DSI, dont les conclusions ont été assez perturbantes. Nous parlons aujourd’hui de la transcription de la directive NIS 2, mais plus globalement, les communes sont aujourd’hui confrontées à un problème de ressources humaines, pour pouvoir trouver des spécialistes en mesure de gérer nos réseaux et d’administrer nos serveurs.

Les amendements sénatoriaux sont intéressants, mais le travail doit être poursuivi. Je partage également l’interrogation concernant ce seuil des 30 000 habitants. Dans un souci de lisibilité, ce seuil pourrait emporter une cohérence globale dans le dispositif.

Ensuite, dans les communes touristiques, des blocages peuvent intervenir, mais il ne s’agit pas de cyberattaques. Ce problème du blocage est ainsi lié à l’insuffisance des infrastructures. Nous sommes sollicités par les communes, notamment en termes de couverture numérique. Lorsque des phénomènes de saturation surviennent, le système se bloque, non pas par malveillance, mais en raison de l’inadaptation des moyens.

D’une manière plus générale, pour les législateurs que vous êtes, l’enjeu consistera dans les semaines à venir à faire vivre et évoluer un texte, afin qu’il s’adapte au plus près du terrain, dans l’échelle, la temporalité, mais aussi dans l’anticipation en matière de cybersécurité. Dans le cadre de NIS 2, il ne s’agit pas d’agir en curatif, mais bien d’être capable d’anticiper une attaque qui, de toute façon, se produira à un moment ou un autre.

M. Thomas Gassilloud (EPR). En tant qu’ancien « jeune élu », je confirme que nous partons effectivement de loin en matière cyber. Il n’en demeure pas moins que le numérique est capital dans nos collectivités et que nous devons collectivement renforcer notre cybersécurité.

Je souhaite également revenir sur la question du seuil. Je partage l’idée que le critère du nombre d’habitants n’est pas forcément le plus adéquat, compte tenu des modes de gestion et des compétences très différentes, mais il s’agit peut-être du moins mauvais. Je n’ai pas encore suffisamment étudié le texte pour me positionner sur la pertinence du seuil à 30 000 habitants, mais il m’apparaît nécessaire de faire confiance aux élus pour déterminer l’approche en matière de cyber dans leur collectivité, dans une logique de subsidiarité et de libre administration des collectivités territoriales.

Lorsque j’étais élu local, j’ai ainsi constaté que les directives imposées par le niveau national coûtaient cher et n’étaient pas toujours appropriées. Au-delà, nous devons tous être vigilants quant au maillage des collectivités : si l’on en impose toujours plus aux collectivités, nous risquons de fragiliser l’existence de collectivités de plus petite taille. Or nous sommes pourtant toujours contents de trouver nos maires de proximité lorsqu’il s’agit de traiter des situations de crise, telles une crise sanitaire ou une crise cyber. Par-delà la transposition de NIS 2, ce texte peut nous permettre collectivement de développer la culture du risque et la culture de défense dans nos collectivités, dans une logique d’efficacité.

Comment la déclinaison de NIS 2 peut-elle constituer l’occasion d’une approche plus globale pour prévenir les risques au sens large dans nos collectivités, en lien avec les dispositifs existants, les correspondants défense, la gendarmerie nationale, les plans communaux de sauvegarde, les réserves communales de sécurité civile ? Par ailleurs, je suppose que les collectivités sont également soumises à certaines dispositions de la directive REC puisqu’elles gèrent des services d’énergie, d’eau et de transport. Quels sont les impacts de cette directive pour les collectivités territoriales ?

M. Arnaud Saint-Martin (LFI-NFP). Je remercie les intervenants pour ces éléments de restitution, qui montrent à quel point il est nécessaire d’investir massivement pour assurer la sécurisation des infrastructures et systèmes de nos collectivités locales. Lorsque j’étais élu municipal et communautaire de Melun, j’ai suivi de très près une cyberattaque qui a déstabilisé brutalement et durablement les services informatiques du conseil départemental de la Seine-et-Marne. Celle-ci fut le ferment d’une prise de conscience essentielle.

Je souhaite évoquer la consolidation d’une culture partagée des risques cyber. Le projet France Relance, lancé en 2021, consistait à investir 250 millions d’euros pour rapprocher le numérique du quotidien des Français. Dans ce cadre, 4 000 conseillers numériques ont été recrutés sous la forme de contrats aidés sur tout le territoire, formés et financés par l’État. Or ce projet doit s’arrêter en 2027, alors même que l’ensemble des objectifs n’ont pas été atteints. Les premiers contrats des conseillers se sont arrêtés en 2023 ; la seconde vague de fin de contrats interviendra en 2025 et la troisième en 2027. Par ailleurs, 13 millions de Français sont éloignés du numérique. La situation ne s’est pas améliorée, voire s’est dégradée, avec l’explosion de l’intelligence artificielle et l’augmentation des menaces cyber.

Face à ce constat, il est évident que les conseillers numériques sont essentiels dans les collectivités. En complément de France Services, ils accompagnent les usagers les plus vulnérables et les plus éloignés du numérique dans leurs démarches en ligne. Un travail immense reste à accomplir à travers une politique massive d’éducation d’une grande partie de la population pour faire face aux diverses menaces cyber qui peuvent aussi toucher les particuliers.

Il est donc urgent de construire une politique nationale stable de la médiation numérique. Le plan France Relance, mis en place depuis 2021, a souffert d’un cruel manque de stabilité – contrats aidés, contrats courts, sous-traitance – et d’un manque de planification. Les conseillers numériques recrutés restent en moyenne moins d’un an et demi en poste, dont six mois qui servent à pleinement les former. Il est pourtant nécessaire que le rôle des conseillers numériques soit étendu en lien avec ce projet de loi, pour faire face aux menaces, accompagner les usagers les plus vulnérables. De tels chantiers justifieraient une prolongation du rôle de ces conseillers et le réarmement d’une politique publique de la médiation numérique interministérielle.

Pour assurer la résilience numérique et l’adaptation de l’ensemble de la population, quel dispositif vous semble le plus utile à soutenir sur un plan budgétaire ? Que préconisez-vous pour assurer une politique d’éducation populaire aux enjeux de cybersécurité ? Pensez-vous qu’il soit nécessaire de pérenniser les emplois de conseillers numériques dans le cadre de ce projet de loi ?

Mme Geneviève Darrieussecq (Dem). Je partage également l’idée que notre société a besoin de prendre en compte ces risques cyber. Nous travaillons longuement sur ces sujets dans le cadre de la commission de la défense et constatons que nous sommes très vulnérables, à tous les niveaux. Les grandes entreprises réussissent à organiser leur défense, mais les PME et TPE éprouvent plus de difficultés. Le même parallèle peut être établi entre grandes et petites collectivités, qui sont par ailleurs liées entre elles par des liens numériques, qui constituent autant de fragilités potentielles.

En conséquence, nous devons tous être protégés. Quelle est selon vous la bonne échelle pour la mise en place de moyens organisationnels sur le terrain ? Faut-il privilégier un grand campus régional, un échelon départemental ? Enfin, il ne faut pas distinguer les besoins des entreprises et ceux des collectivités. Nous sommes embarqués dans le même bateau et souvent interconnectés.

Mme Laetitia Saint-Paul (HOR). Lorsque la commission des affaires étrangères a auditionné le directeur de l’Anssi, il a indiqué que les hackers ou les rançongiciels mettent en œuvre des ciblages très intelligents. Plutôt que d’attaquer frontalement, ils passent par les portes dérobées ; par les sous-traitants pour les entreprises, par les entités secondaires, pour les collectivités. Dès lors, je rejoins également l’interrogation de mes collègues concernant le seuil des 30 000 habitants, puisque ces hackers emploient des méthodes de contournement.

Ensuite, nous sommes très attachés à nos départements et régions d’outre-mer. J’ai acquis la certitude que ces outre-mer représentent la cible principale des stratégies hybrides qui s’attaquent à notre pays. Nous avons pu le constater lors des manœuvres d’ingérence étrangère de l’Azerbaïdjan envers la Nouvelle-Calédonie. Les outre-mer constituent également une cible dans le cadre de la lutte pour les espaces communs à l’échelle mondiale – notamment l’espace maritime. Leur éloignement des structures de soutien métropolitaines les rend d’autant plus vulnérables. Dès lors, ce projet de loi peut leur permettre d’améliorer leur cyberdéfense, qu’elle soit civile ou militaire. Je souhaite donc vous interroger à ce sujet.

Enfin, j’ai été interpellé par la remarque de Mme Le Dieu De Ville s’agissant des problèmes de communication interministérielle. J’espérais pour ma part que sous l’égide du secrétariat de la défense et de la sécurité nationale (SGDSN), l’interministériel fonctionnerait. Pouvez-vous détailler à quel point les dysfonctionnements interministériels que vous avez mentionnés sont problématiques ?

Mme Marlène Le Dieu De Ville. Pour ma part, je fais partie d’un groupe de travail sur la résilience des territoires, en lien avec les entreprises de vidéoprotection et le SGDSN, mais ce dernier n’est pas notre interlocuteur principal à l’heure actuelle. Dès lors, il pourrait être intéressant de travailler avec cette structure de manière plus régulière. Nous regrettons à ce titre l’absence d’un interlocuteur unique, tant il est vrai que sur ces sujets, nous devons nous adresser à des ministères ou des secrétariats d’État différents en fonction des sujets. De plus, les actions des uns et des autres ne semblent pas forcément toujours coordonnées ; elles peuvent même sembler parfois concurrentes. Je pense notamment à la confusion engendrée par l’existence simultanée des conseillers numériques France Services et des conseillers France Services. Il m’a ainsi fallu du temps pour comprendre qu’il s’agissait d’acteurs différents. En résumé, nous sommes preneurs d’un interlocuteur unique. Si nous ne pouvons pas disposer d’un ministre dédié, il pourrait être intéressant de travailler avec le SGDSN.

Ensuite, les intercommunalités se proposent d’être un espace de mutualisation en fonction des besoins des communes qui les composent. Il nous avait été proposé de prendre une compétence cybersécurité, mais nous ne le souhaitons pas. Nous pouvons en revanche mutualiser des formations et des ressources humaines. Les plans communaux et intercommunaux de sauvegarde constituent ou constitueront des outils qui devraient être améliorés.

La culture partagée et les conseillers numériques France Services représentent une préoccupation portée par Intercommunalités de France et les Interconnectés depuis un certain temps. Nous avons appelé à la pérennisation des conseillers numériques France Services, qui constituent la cheville ouvrière de la transition numérique et de la cybersécurité. Dans mon territoire, la collectivité de communes Lacq-Orthez, nous avons la chance de disposer de six médiateurs numériques. Ils sont salariés par nos soins et ont pour objectif d’accompagner tous les publics, qu’il s’agisse de nos agents, mais également de la population, dans tous les domaines et sur tous les enjeux du numérique, dont la cybersécurité.

Forts de cette expérience, nous nous battons afin que ces conseillers soient a minima pérennisés. Hier, nous avons discuté avec les membres de la commission des finances de l’Assemblée nationale pour étudier précisément le financement de cette pérennisation, dans un contexte budgétaire difficile. En effet, ils sont indispensables à cette transition numérique et il importe de ne laisser personne de côté, d’autant plus que les agences de proximité ont été fermées. Selon une étude, l’État enregistrerait une perte de 1,6 milliard d’euros si les personnes n’étaient pas accompagnées d’une manière ou d’une autre.

Quel est le bon échelon ? Intercommunalités de France souhaite travailler sur cette directive NIS 2 et que ses membres y soient intégrés, quitte à établir quelques aménagements. Je partage les propos de Mme Saint-Paul concernant le mode opératoire à partir de portes dérobées. À titre d’exemple, une école de commerce a été attaquée, puis le problème s’est répandu aux autres écoles appartenant au même réseau, s’est diffusé à la chambre de commerce et d’industrie dont dépendait l’école et a finalement impacté fortement un aéroport. Il est possible d’imaginer qu’une petite commune serve de point d’entrée pour diffuser une attaque vers la communauté de communes, l’agglomération, la métropole et éventuellement un hôpital.

Les échelons locaux sont très importants, mais il est surtout essentiel de se concentrer sur la coordination. Par ailleurs, les intercommunalités et les régions partagent la compétence en matière de développement économique. Il est donc important de veiller à maintenir une relation étroite avec cet échelon régional. J’ajoute que l’échelon départemental n’est pas en reste, puisque nous travaillons avec des structures comme les opérateurs publics de services numériques (OPSN).

En résumé, l’enjeu ne porte pas tant sur l’échelon pertinent, mais sur la manière dont nous arrivons à travailler ensemble, de manière coordonnée, les uns avec les autres, en évitant les effets de concurrence.

Mme Constance Nebbula. Monsieur Gassilloud, vous avez évoqué le principe de subsidiarité et la nécessité de laisser la main libre aux collectivités. Je salue cette attention, mais souligne que la cybersécurité demeure malgré tout un sujet régalien. Il ne faudrait pas que l’État profite de la discussion en cours pour se désengager de sa mission. Je considère également qu’il ne revient pas aux collectivités locales de s’occuper de la cybersécurité des autres collectivités. De notre côté, nous avons opéré le choix d’accompagner notre cible préférentielle, c’est-à-dire le monde économique au sens très large. De fait, chaque strate de collectivité dispose de son public et doit intégrer la cybersécurité dans le cadre de ses compétences. En revanche, les domaines régaliens, la coordination, la stratégie, le portage politique et l’interlocuteur unique relèvent bien de l’État. Au-delà, je partage moi aussi l’idée d’un nécessaire développement d’une culture du risque du cyber et du numérique.

Aujourd’hui, les collectivités locales payent les conseillers numériques, faute d’avoir pu trouver des solutions pérennes au niveau national. Ici aussi, nous nous débrouillons, face à l’absence de pérennité du dispositif. Chaque conseiller numérique intègre ainsi la dimension cyber dans son accompagnement.

Vous avez ensuite évoqué les moyens organisationnels. Nos collectivités sont confrontées à un problème de compétence et de recrutement. Les métiers de RSSI sont nouveaux pour les collectivités et les experts cyber ne sont pas incités à travailler dans le public, puisqu’ils peuvent être bien mieux rémunérés dans le privé. En outre, les assurances rechignent à assurer les risques cyber. Pourquoi voudraient-elles assurer un risque qui se matérialisera de toute manière ? Par exemple, la métropole d’Angers n’est plus couverte dans certains domaines. Nous avons réouvert des marchés, mais aucun assureur n’a voulu y répondre. Comment agir dans de tels cas ? Faut-il obliger les assureurs ?

Encore une fois, je considère que l’échelon régional est le plus intéressant pour la cible économique que constituent les TPE, les PME et les petites et moyennes entreprises (PMI). J’aimerais qu’un interlocuteur unique existe, mais pour y parvenir, il faudrait des moyens, une ambition, une coordination nationale. Malheureusement, je pense qu’il est trop tard ; les actions ont été trop éparpillées.

Enfin, il me semble que le SGDSN s’occupe plutôt des infrastructures. Je constate également que nos liens avec ce dernier sont assez lâches. À l’heure actuelle, les relations interministérielles fonctionnent très mal en matière de cyber. Dans ce domaine, il n’existe pas d’interlocuteur unique et nous ne savons pas vers qui nous diriger. De la même manière, nous rêverions d’avoir un interlocuteur politique ou administratif unique, mais ceux-ci n’existent pas.

M. Alexandre Ventadour. Ce sujet est effectivement éminemment politique, particulièrement aujourd’hui alors que les problèmes de souveraineté et de géopolitique s’intensifient. Il ne s’agit pas seulement d’attaques crapuleuses, mais bien souvent de tentatives de déstabilisation. Je partage les propos de Mme Nebbula : en matière cyber, le millefeuille administratif a été reproduit, quand nous aurions dû agir en bloc. Lorsque le 17Cyber a été créé, j’avais espoir qu’il constituerait une réponse lisible et unique, mais nous n’en prenons pas véritablement le chemin.

Ensuite, je remercie Mme Saint-Paul pour ses propos concernant les outre-mer. Au-delà de la problématique de l’éloignement de la métropole, les outre-mer constituent des territoires relativement riches, dans des zones souvent relativement pauvres. Elles constituent donc des cibles de choix pour les pirates cybernétiques, comme en témoignent les attaques subies par la Martinique, la Guadeloupe, la Guyane ou La Réunion.

Nous sommes sous-dotés en ressources humaines spécialisées. Mme Nebbula a évoqué les difficultés en matière de recrutement en métropole ; celles-ci sont décuplées dans les territoires ultramarins. À titre d’exemple, il nous a fallu un an et demi pour recruter le RSSI de la collectivité de Martinique. En outre, nos infrastructures sont vieillissantes, éclatées et nous sommes soumis à une forte dépendance vis-à-vis des prestataires. Malgré nos efforts, il est difficile d’en trouver localement et nous devons faire appel à des prestataires situés à plus de 6 000 kilomètres, ce qui contribue à rallonger les délais d’intervention. Néanmoins, nous avons essayé de trouver des solutions et de nous organiser, notamment sur la partie atlantique des régions ultrapériphériques des départements et régions d’outre-mer ; mais les moyens demeurent insuffisants.

En conséquence, nous préconisons d’inscrire l’outre-mer en « particularité » dans les projections et les propositions pour résorber l’éloignement non seulement kilométrique, mais aussi en termes d’accès à la performance, à la compétence et au financement nécessaire. Nous prônons donc une compensation pour ces territoires, qui sont plus attaqués que les autres.

De son côté, la collectivité de Martinique s’efforcera de continuer à éduquer et sensibiliser les populations à l’utilisation éthique, sécurisée de l’intelligence artificielle. Mais plus les usages de la chose digitale se développent, plus il est nécessaire d’apporter des solutions de sécurité appropriées.

M. Michel Sauvade. Je remercie les députés pour leurs questions, qui témoignent de l’intérêt pour les collectivités locales.

Monsieur Gassilloud, vous avez à juste titre souligné le nécessaire développement de cette culture du risque. Monsieur Saint-Martin, vous avez quant à vous relevé l’importance du portage politique, mais je dois avouer que nos expériences en la matière n’ont pas été forcément toutes concluantes. Je me souviens par exemple d’un chef de cabinet intervenant par visioconférence pour expliquer aux associations d’élus que les conseillers numériques, qui devaient être initialement embarqués à hauteur de 4 000, le seraient finalement à hauteur de seulement 1 500, suscitant par là-même l’incompréhension dans nos rangs.

De fait, il est aujourd’hui difficile de mener des échanges clairs avec le gouvernement sur ces enjeux. À titre d’exemple, j’étais hier à l’Agence nationale de la cohésion des territoires pour une régie, dans le cadre du déploiement de la fibre. Nous avons adressé un courrier au premier ministre, que son directeur adjoint de cabinet a ensuite envoyé à une ministre, qui l’a transféré à un autre ministre, lequel l’a lui-même réadressé à un troisième. Quelque part, quelque chose ne fonctionne pas.

Vous avez posé la question des dispositifs, notamment de l’éducation de la population. Dans cette perspective, le travail de proximité n’a pas forcément vocation à être encadré, dans la mesure où il intervient déjà grâce à une culture partagée entre les grandes municipalités, les grandes communes, les départements, les associations d’élus, les entreprises.

Madame Darrieussecq, votre analogie entre entreprises et collectivités locales est très pertinente, tant l’effet de taille joue. De même, vous avez raison de mettre en lumière les liens numériques entre les différentes collectivités. Par ailleurs, je serais tenté de dire que dans le cadre de la cybersécurité, il n’y a pas une bonne échelle unique, mais des échelles différentes, selon la façon dont le sujet est abordé. Chacun des échelons suit une logique qui lui est propre et la construction législative est confrontée à cette difficulté de devoir raisonner de manière multiscalaire sur un sujet donné. De fait, il est extrêmement difficile de mettre en place une adaptabilité.

Dans ce domaine, il me semble pertinent de s’inspirer de l’expérience du New Deal Mobile, qui a embarqué les services de l’État, en coprésidence avec les présidents de département et de région, dans des équipes projets, qui nous ont permis de travailler ensemble. Je salue à ce titre le travail bidirectionnel des préfets et regrette qu’il ne soit pas valorisé à sa juste mesure. Il pourrait être approprié de reconstruire quelque chose qui embarque les uns et les autres, de manière réellement opérationnelle.

Ensuite, nous devons nécessairement aborder le principe de réalité en matière de ressources humaines. Dans le département du Puy-de-Dôme, cinq agents se consacrent exclusivement à l’assistance des 8 000 ordinateurs des collèges du département, mais quatre d’entre eux doivent être aujourd’hui renouvelés. En conséquence, le service se retrouve amputé et nous sommes contraints d’alerter les principaux de collèges. Le principe de réalité concerne également la dimension financière. La mutualisation peut être utile en fonction des situations, mais au-delà, l’essentiel concerne l’efficience des investissements. Vos auditions devraient vous permettre d’identifier les points qui permettront d’initier des dynamiques d’entraînement.

Madame Saint-Paul, vous nous avez interrogés sur le seuil des 30 000 habitants. La logique d’harmonisation s’applique aux communes. Il a également été fait mention dans vos questions de la nécessaire acculturation numérique des acteurs. Nous sommes tous frappés d’illectronisme à un moment ou un autre. Qui, dans cette salle, n’a jamais proféré une bordée d’injures parce qu’il n’arrivait pas à valider tel ou tel questionnaire en ligne ?

Cette acculturation doit être initiée par les élus. Une collectivité a par exemple mis en œuvre des messages pièges, à titre de test. La personne qui se fait hameçonner lors de l’exercice se voit ainsi proposer une petite formation. J’ai moi-même été piégé une fois par un hameçonnage malveillant.

En conclusion, au-delà des enjeux numériques dans leur globalité, la cybersécurité est révélatrice des interrogations et des vulnérabilités de notre société. À ce titre, je vous remercie une fois encore pour votre invitation et vos questions, qui confortent notre engagement dans ce domaine, mais également notre volonté d’échanger régulièrement avec les parlementaires. Comme j’ai déjà pu l’évoquer avec certains d’entre vous, il serait certainement utile d’organiser plus régulièrement de tels échanges. De notre côté, nous sommes demandeurs, en tout état de cause.

M. Éric Bothorel, rapporteur général. Pour rebondir sur les propos de Mme Nebbula, il me semble que le monopole de la violence légitime, qui caractérise les missions régaliennes en matière de sécurité, ne peut pas totalement s’appliquer aux enjeux cyber, puisqu’elle concerne la violence physique. De fait, dans le domaine cyber, les actions d’assistance et de soutien sont majoritairement assurées par des acteurs du privé. La caractérisation même de l’activité de la cybercriminalité et la réparation des dommages subis ne peuvent donc pas reposer uniquement sur l’État, ni sur les collectivités.

Monsieur Sauvade, je souhaite revenir sur les zones touristiques, qui ne peuvent pas être envisagées sans penser aux zones littorales. Pourquoi n’avez-vous voulu réaliser qu’une expérimentation sur la couverture numérique du territoire, alors qu’un dispositif bien plus efficace aurait pu être envisagé dans le cadre du projet de loi sur la certification ?

Vous avez tous souligné par ailleurs que les dispositions du projet de loi devraient être progressives, supportables financièrement et techniquement. Comment y parvenir ? Quelles sont vos propositions concrètes, afin que la mise en œuvre de NIS 2 soit graduelle et progressive ?

M. Thomas Gassilloud (EPR). Je souhaite vous faire part de trois messages. D’abord, la subsidiarité n’équivaut pas au désengagement de l’État. Nous avons besoin de tout le monde pour faire face globalement à la menace. La responsabilité de l’État consiste aussi à indiquer qu’il ne peut pas tout faire à lui seul ; je partage en cela les propos du rapporteur.

Deuxièmement, nous entrons progressivement dans un nouveau monde de conflictualité. À ce titre, notre objectif ne concerne pas uniquement la confiance dans l’économie numérique pour le développement des affaires, mais aussi l’efficacité de notre résilience globale. Je répète que le changement culturel me semble aussi important que la norme.

Enfin, il existe un besoin de clarification dans l’organisation territoriale, concernant les questions de défense. Il faut à ce titre s’appuyer sur un échelon de cohérence dans les territoires, qui pourrait se situer à l’échelle régionale. Par ailleurs, dans ma région, le préfet délégué à la sécurité et à la défense peut jouer ce rôle.

M. Denis Masséglia (EPR). Je partage nombre des questions qui ont été posées par mes collègues et il ne me semble pas opportun de les reformuler. Je tiens également à souligner le travail du Sénat sur l’article 5 bis, qui a été intégré dans un premier temps en commission, et qui permet de fournir des moyens financiers et humains aux collectivités territoriales. Je tiens également à remercier l’ensemble des élus aujourd’hui présents pour échanger avec nous sur cet enjeu essentiel.

Vous avez par ailleurs souligné l’intérêt d’un guichet unique à l’échelle gouvernementale. Certains d’entre nous le demandent depuis 2017 et je regrette que l’Assemblée nationale ne se saisisse pas suffisamment de ces sujets de transformation et de transition numérique. Notre société fait en effet face à deux transformations majeures : la transformation écologique et la transformation numérique. N’oublions pas l’une des deux en chemin.

M. le président Philippe Latombe. Nous n’avons pas parlé d’un « éléphant dans la pièce », qui est également issu de l’avis du Conseil d’État. Il concerne les sanctions, que nous n’avons pas abordées jusqu’à présent. En conséquence, je souhaiterais connaître votre point de vue à ce sujet.

Le Conseil d’État estime qu’il y aurait une forme d’iniquité entre le secteur privé le secteur public si le texte n’intégrait pas de sanctions pour le secteur public. Nous pouvons certes comprendre les contraintes budgétaires existantes, mais l’objet consiste bien ici à rehausser le niveau de cybersécurité. Dans le cadre du règlement général sur la protection des données (RGPD), les collectivités se sont assez rapidement conformées aux obligations et n’ont pas été celles qui ont dû subir le plus de sanctions.

Dans la mesure où certaines collectivités et EPA ne montent délibérément pas en puissance en matière de protection cyber, ne faut-il pas envisager des sanctions – y compris non financières – pour les obliger à se conformer aux règles, au-delà du name and shame prévu par l’Anssi ?

Mme Constance Nebbula. Monsieur le rapporteur, vous nous avez interrogés sur nos propositions financièrement et techniquement supportables, ainsi que sur leur délai de mise en œuvre. De notre côté, nous estimons que trois ans suffisent. Les régions demeurent des structures consistantes, dotées de budget et de SI structurés ; nous ne sommes pas les plus à plaindre. Le financement concerne pour nous l’outil des CSIRT ; à titre d’exemple, la région Pays de la Loire a mis en place ses propres dispositifs d’accompagnement cyber à partir de ses propres budgets.

En revanche, le financement doit intervenir à partir du moment où il existe une initiative nationale, qui est la même pour tous les acteurs et qui a vocation à être pérennisée sur tous les territoires. Nous souhaitons donc une clarification des outils, qu’il s’agisse de l’outil CSIRT ou de l’outil campus cyber.

S’agissant de la collaboration avec l’État, nous considérons que la préfecture régionale représente la bonne échelle pour échanger et travailler sur les sujets qui nous concernent, à condition que les interlocuteurs soient réceptifs. En revanche, en région, l’Anssi est très efficace ; tous les retours dont nous disposons sont concordants.

S’agissant des sanctions, je me souviens de la norme RGAA (référentiel général d’amélioration de l’accessibilité) sur l’accessibilité numérique, qui avait été votée il y a dix ans dans le cadre d’une loi sur le handicap. Elle oblige les collectivités territoriales à proposer des sites internet accessibles, afin de répondre à la réglementation sur l’accès à l’autonomie. Aujourd’hui, moins de 5 % des collectivités respectent cette norme sans pour autant subir de sanctions. Les collectivités qui commencent la démarche le font sur le seul fondement de leur volonté. À Angers, nous avons ainsi investi plusieurs centaines de milliers d’euros. Dans le même ordre d’idée, l’open data est censée être une obligation légale, mais seulement 16 % des collectivités la respectent, sans que les autres ne soient pour autant sanctionnées. Ces exemples attestent de fait de l’absence de suivi politique sur les sujets numériques.

Forte de ce constat, j’aurais tendance à penser que la sanction n’est pas une bonne idée. Inversement, il faut trouver des manières d’inciter les collectivités à agir, à travers une ambition politique nationale sur les sujets numériques. Je précise que ces propos concernent plus les petites collectivités que les régions ou les métropoles.

Mme Marlène Le Dieu De Ville. L’accessibilité numérique est un sujet qui évolue, enfin. La loi de 2005 concerne l’accessibilité de tous les outils, non seulement les sites internet, mais plus largement les outils numériques utilisés par des collectivités. À partir du mois de juin 2025, des contrôles de conformité seront menés sur l’ensemble des collectivités et des entreprises soumises au RGAA et des sanctions financières seront appliquées.

Au-delà, s’agissant du texte de loi, il est très difficile d’envisager des sanctions financières, même à trois ans. Il faut d’abord accompagner la montée en compétences des collectivités sur NIS 2 et poser des jalons adaptés à chaque degré. Les métropoles estiment par exemple que le délai de trois ans sera trop court en raison de la complexité du code des marchés publics, qui ne permet pas de changer de prestataire facilement. De fait, des aménagements seront forcément nécessaires, dans le cadre d’une progressivité souhaitable. D’éventuelles sanctions financières ne peuvent intervenir qu’en cas de mauvaise volonté manifeste de la collectivité.

Ensuite, l’enjeu des ressources humaines est effectivement incontournable, mais il est tout aussi difficile de trouver des solutions. Dans mon intercommunalité, notre RSSI, qui avait débuté en alternance va bientôt partir et il sera difficile de le remplacer. Nous ne pouvons pas payer un RSSI, un expert ou un ingénieur à la hauteur de ce qu’il peut prétendre dans le privé.

La soutenabilité financière ne peut être atteinte qu’à l’aide d’un véritable accompagnement financier, semblable à celui que nous avons connu avec le parcours cyber du plan France Relance. Il sera notamment nécessaire de travailler sur un véritable audit.

M. Alexandre Ventadour. Nous sommes très attachés à l’exemption de sanctions pour les régions et les collectivités territoriales, d’abord parce que nous ne maîtrisons pas toujours directement les SI – qui peuvent être sous-traités – et ensuite parce que nous ne disposons pas des mêmes ressources que les entreprises, quelle que soit leur taille, pour recruter les personnes les plus à même de sécuriser nos infrastructures. Nous conduisons déjà des démarches volontaires de sécurisation, avec nos moyens actuels.

Nous portons en notre sein la responsabilité vis-à-vis de nos populations. De facto, nous sommes concernés par tout ce qui pourrait porter préjudice aux citoyens ou aux entreprises. S’il s’agit d’enjoindre une région ou une collectivité à se mettre en conformité, il suffit que la chambre régionale des comptes intervienne. Nous ne pensons pas qu’une sanction financière sur un chiffre d’affaires, qui n’existe pas dans notre cas, constituerait le bon outil. En revanche, nous sommes en mesure d’accepter la mise en place d’audits et la nécessaire mise en conformité, à la suite des résultats de cet audit, dans un laps de temps donné, qui pourrait être par exemple de trois ans. Non seulement nous l’acceptons, mais nous sommes prêts à l’encourager.

Enfin, je considère que la cybersécurité demeure la prérogative de l’État. Les agressions ont évolué depuis un certain temps. Les maux causés de manière virtuelle par les cyberattaques peuvent également se retranscrire de manière assez physique. Dès lors, la protection de la sécurité demeure l’apanage du régalien. En résumé, nous militons pour une exemption de la sanction, mais nous ne préconisons pas une exemption de la responsabilité des collectivités. Cela doit se traduire par un audit, auquel nous nous conformerons, bien évidemment.

M. Michel Sauvade. Comment pouvons-nous agir, concrètement ? Il s’agit de poursuivre les travaux communs, de nous réunir autour d’une même table, sur le plan national et local. Jusqu’à présent, nous avons été écoutés, mais nous n’avons pas été entendus.

Financièrement, nous payons l’absence d’étude d’impact, non seulement l’étude d’impact à date, mais également sur la trajectoire financière, pour autant que nous puissions l’évaluer en fonction de l’augmentation des menaces et des autres vulnérabilités. Simultanément, nous ne disposons pas non plus d’indicateurs ; nous savons uniquement que les moyens ne seront pas à la hauteur de ce que nous attendons. À ce titre, ce sujet doit s’envisager plus largement dans le cadre de la décentralisation des moyens, au plus près du terrain. Cette piste peut sans doute être explorée, à la lumière des propos échangés aujourd’hui par les uns et les autres.

Sur le plan technique, les enjeux de la formation sont patents. Madame Le Dieu De Ville a également mentionné à juste titre les difficultés concernant les recrutements ou les salaires. Dans ce domaine, une véritable réflexion doit être conduite sur notre capacité à nous « muscler » en matière numérique. Cette réflexion doit être conduite, me semble-t-il, à la fois sur le plan national, mais aussi régional. À une certaine époque, dans le domaine du numérique, la France était particulièrement dynamique, en pointe. Cela n’est plus le cas, désormais.

S’agissant de la progressivité, notre réponse est très claire. De notre côté, nous imaginions une marge de progression dans un délai de trois à cinq ans. Cependant, l’Anssi nous a expliqué que la progressivité ne peut pas être prise en compte dans le cadre de la transcription de directives européennes. Nous sommes donc bloqués sur ce point, ce qui est regrettable, dans le cadre d’une réflexion sur l’évaluation et la sanction.

Le simple fait de se poser la question revient déjà s’interroger sur l’efficience de la mise en œuvre de la loi et révèle l’ambiguïté de sa mise en application. En effet, le questionnement sur la sanction traduit quelque part un échec collectif à embarquer tous les acteurs sur un sujet qui est pourtant essentiel. De son côté, sur d’autres sujets, la Commission nationale de l’informatique et des libertés (Cnil) a prononcé des sanctions lorsqu’il existait une mauvaise volonté manifeste. Or de tels cas demeurent heureusement assez rares. L’AMF ne peut pas se satisfaire d’un cadre de sanctions qui, de toute façon, ne résoudra pas les problèmes.

M. le président Philippe Latombe. Je vous remercie pour vos réponses, votre liberté de ton et d’expression lors de cette table ronde, laquelle ne constitue que le début de nos travaux. Nos interactions se poursuivront.

4. Table ronde réunissant les autorités de régulation financière, mardi 3 juin 2025 à 16 heures 30

Lors de sa réunion du mardi 3 juin 2025, la commission spéciale a organisé une table ronde réunissant les autorités de régulation financière : M. Sébastien Raspiller, secrétaire général de l’Autorité des marchés financiers (AMF), M. Frédéric Hervo, secrétaire général adjoint de l’Autorité de contrôle prudentiel et de résolution (ACPR) et M. Alexandre Garcia, chef de service adjoint du service des affaires internationales de l’ACPR.

M. le président Philippe Latombe. Notre cycle d’auditions sur le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité s’est jusqu’à présent concentré sur les deux premiers titres du texte. Nous abordons aujourd’hui le titre III, qui transpose dans le droit interne les dispositions de la directive européenne sur la résilience opérationnelle numérique du secteur financier ou Digital Operational Resilience Act, dite Dora. Ce volet relève plus particulièrement de la compétence de notre collègue Mickaël Bouloux, rapporteur thématique ici présent.

Le secteur financier constitue une cible privilégiée pour les cyberattaques. Dans son dernier rapport sur la stabilité financière de décembre 2024, la Banque de France soulignait que le risque de cyberattaques demeurait élevé dans un contexte géopolitique dégradé, se manifestant par diverses menaces hybrides. L’Autorité des marchés financiers (AMF) a d’ailleurs intégré la cybersécurité dans ses contrôles et mené trois campagnes thématiques en 2019, 2020 et 2023.

Nous avons le plaisir d’accueillir l’Autorité des marchés financiers (AMF), représentée par M. Sébastien Raspiller, secrétaire général, et l’Autorité de contrôle prudentiel et de résolution (ACPR), représentée par M. Frédéric Hervo, secrétaire général adjoint et M. Alexandre Garcia, chef de service adjoint du service des affaires internationales.

Le directeur général de l’Agence nationale de la sécurité des systèmes d’information (Anssi) a exprimé des réserves quant à la simplification opérée par le Sénat concernant l’articulation entre Dora et la directive Network and Information Security 2 (NIS 2). Il estime que la suppression de la notification des incidents à l’Anssi au profit d’une notification unique aux autorités de contrôle Dora pourrait entraîner des retards préjudiciables, l’Anssi disposant d’un service opérationnel fonctionnant 24 heures sur 24 et 7 jours sur 7, contrairement à l’Autorité de contrôle prudentiel et de résolution (ACPR) et à l’Autorité des marchés financiers (AMF). Partagez-vous cette analyse ? Une double notification via un formulaire unique pourrait-elle constituer une solution plus appropriée ?

M. Frédéric Hervo, secrétaire général adjoint de l’Autorité de contrôle prudentiel et de résolution (ACPR). La résilience cyber et informatique constitue une priorité absolue pour la stabilité financière en France et en Europe, mobilisant quotidiennement nos équipes.

Le secteur financier est en effet confronté à deux défis majeurs dans ce domaine. Tout d’abord, la digitalisation croissante des services financiers, illustrée par l’avènement des paiements instantanés, de la blockchain et de l’intelligence artificielle, a profondément transformé le paysage financier. Cette évolution s’accompagne d’une externalisation accrue des services supports auprès de prestataires spécialisés, notamment dans le domaine du cloud computing et des centres de données. La concentration de ces prestataires, souvent des géants technologiques non européens, soulève des enjeux critiques pour le secteur financier. Le cadre réglementaire Dora est donc essentiel, car il confère aux autorités européennes de supervision, en collaboration avec la Banque centrale européenne et les autorités nationales, des pouvoirs de surveillance sur ces acteurs critiques.

Ensuite, nous observons une recrudescence constante des cyberattaques visant le secteur financier, cible privilégiée des cybercriminels. Un établissement financier insuffisamment protégé peut voir sa solidité financière compromise par une attaque d’envergure. À titre d’exemple, la banque chinoise ICBC a dû recapitaliser sa filiale américaine à hauteur de plusieurs milliards de dollars à la suite d’une attaque par rançongiciel l’année dernière.

Dans ce contexte, le règlement Dora instaure un dispositif reposant sur le triptyque tester, alerter, protéger. Il impose un socle commun d’exigences en matière de gestion des risques informatiques et cyber à l’ensemble des acteurs financiers, des banques aux assureurs, en passant par les infrastructures de marché et les émetteurs de cryptoactifs. Chaque entité doit évaluer sa cyber-résilience, les établissements les plus systémiques étant soumis à des tests d’intrusion renforcés pilotés par leur autorité de contrôle.

Dora prévoit également un cadre harmonisé pour la déclaration et le traitement des incidents cyber. Bien que le règlement soit déjà en application depuis le 17 janvier dernier, sa transposition en droit français nécessite certains ajustements. L’ACPR soutient deux amendements qu’elle juge indispensables pour garantir la cohérence et l’efficacité du dispositif de cyber-résilience.

Le premier concerne l’assujettissement des sociétés de financement. Relevant d’un statut national, elles ne sont en effet pas couvertes par le règlement européen. Cependant, compte tenu de leur rôle crucial dans le secteur bancaire français, il est impératif de leur appliquer les exigences de Dora dans les meilleurs délais. La version adoptée par le Sénat ne prévoit cette application qu’en 2030, ce qui pourrait créer une vulnérabilité pour l’ensemble du secteur financier. À titre d’exemple, Crédit Logement, acteur majeur du crédit immobilier, cautionnait 420 milliards d’euros d’encours en 2024. Or un vol de données personnelles concernant les crédits immobiliers de millions de Français aurait un impact considérable. Face à ce risque, nous préconisons une mise en application rapide du règlement, au moins pour les sociétés de financement les plus critiques. Pour les entités de moindre envergure, nous suggérons une application en janvier 2027, ce qui nous paraît être un délai raisonnable, intervenant deux ans après l’entrée en vigueur du texte.

Concernant l’interaction entre les autorités de contrôle du secteur financier et l’autorité en charge de la cybersécurité dans la gestion des cyberattaques, nous sommes favorables à la mise en place d’une notification parallèle, comme l’autorise le règlement Dora. Cette option permettrait aux établissements d’adresser simultanément leur déclaration d’incident cyber à l’autorité compétente au titre de la directive NIS. Le coût supplémentaire pour les établissements serait nul, puisqu’ils transmettraient les mêmes informations à l’Anssi et à l’ACPR, selon un format identique. En revanche, le gain en termes de stabilité financière serait significatif, chaque heure étant cruciale dans la neutralisation d’une cyberattaque.

L’idée d’une notification unique serait contre-productive, car elle ralentirait le traitement de la menace cyber. Une double notification est au contraire essentielle, car les autorités du secteur financier et l’Anssi ont des missions distinctes. Les unes traitent les conséquences d’un incident cyber pour le secteur financier, notamment la protection de la clientèle, la sauvegarde des avoirs et la gestion du risque systémique, tandis que l’autre se concentre sur la réponse technique à la cyberattaque. Ce double circuit de notification est donc crucial pour une gestion efficace des incidents.

M. Sébastien Raspiller, secrétaire général de l’Autorité des marchés financiers (AMF). Comme l’a souligné Frédéric Hervo, les autorités du secteur financier sont responsables de la mise en œuvre du règlement Dora, dans le respect des compétences respectives de l’ACPR et de l’AMF.

Dora représente un élargissement significatif du périmètre de supervision de l’AMF. Nous sommes en effet désormais chargés de superviser la conformité au règlement des sociétés de gestion, des prestataires de services de financement participatif et des prestataires de services sur actifs numériques. Cette population d’acteurs, nombreuse et majoritairement composée d’entités de petite taille, diffère sensiblement du secteur bancaire et assurantiel. Notre défi majeur consiste à nous assurer de la capacité de ces acteurs à satisfaire les exigences ambitieuses du règlement Dora.

J’ai personnellement participé à la finalisation des négociations du paquet Dora sous la présidence française de l’Union européenne. Le processus législatif au niveau communautaire est pratiquement achevé, avec un seul texte de niveau deux restant à adopter. La mise en œuvre représente maintenant un défi considérable, particulièrement pour les entités de taille modeste.

Notre priorité est d’accompagner ces acteurs, en leur expliquant l’importance cruciale de ces mesures pour réduire la probabilité d’incidents majeurs et en limiter les conséquences. Cela nécessite une montée en compétences significative, non seulement pour l’AMF, mais aussi pour nos homologues européens et les autorités en charge des banques et des assurances. Il s’agit d’un effort collectif, car la résilience globale du système dépend de son maillon le plus faible.

Des exemples récents ont démontré qu’une cyberattaque sur un acteur peut avoir des répercussions en cascade sur de nombreux autres. Il est donc primordial que chaque acteur établisse une cartographie précise de ses vulnérabilités, en tenant compte notamment de l’externalisation croissante des systèmes d’information et d’autres prestations essentielles.

Le règlement Dora introduit également l’obligation de réaliser des tests d’intrusion pour les entités critiques à partir du second semestre. Cela exige de l’AMF l’acquisition de compétences très pointues en matière de cyber-expertise, combinées à une connaissance approfondie des acteurs et des métiers du secteur financier. C’est un véritable défi, car ces compétences sont rares et recherchées, et nous devons rivaliser avec le secteur privé pour attirer ces profils, malgré nos contraintes de service public.

Je tiens à souligner l’aspect très opérationnel de la mise en œuvre de ce règlement qui, s’il est correctement appliqué, devrait significativement renforcer la confiance dans le système financier. Les acteurs conscients des risques pour leur survie, la continuité de leurs activités et leur réputation accueillent favorablement ce cadre visant à améliorer le niveau minimum de résilience parmi les acteurs financiers.

Enfin, je rejoins Frédéric Hervo dans son soutien à la double notification. Bien que le terme « double » puisse suggérer une charge de travail supplémentaire, il s’agit en réalité pour un acteur victime d’une cyberattaque de demander de l’aide simultanément à son superviseur et à l’Anssi. Cette approche ne représente pas une charge significative et garantit une réaction rapide et efficace. Il est crucial que l’Anssi soit informée directement et rapidement, sans intermédiaire qui pourrait ralentir le processus. Nous apporterons notre expertise spécifique en complément, mais sans entraver la communication directe entre l’entité attaquée et l’Anssi.

M. Éric Bothorel, rapporteur général. Depuis le 17 janvier 2025, comme vous l’avez rappelé, les entités financières sont tenues de notifier les incidents majeurs. Cette obligation concerne les établissements de crédit, les établissements de paiement, les prestataires de services d’information sur les comptes, ainsi que les établissements de monnaie électronique. Ils doivent déclarer les incidents opérationnels ou de sécurité liés aux paiements.

J’aimerais connaître les premiers retours sur cette mise en œuvre. Avez-vous déjà identifié des éléments à modifier ou à améliorer dans le cadre de la loi ?

La Banque de France évalue conjointement avec l’ACPR les vulnérabilités du système financier. Elle œuvre également au renforcement de la résilience et de la sécurité du secteur en veillant à la sécurité et à la robustesse de la place financière. Par ailleurs, la Banque de France contribue à la transformation numérique du secteur en travaillant sur l’euro numérique, la monnaie numérique de banque centrale, et l’infrastructure du marché des capitaux.

Le dernier rapport d’analyse des risques encourus par le système financier souligne que le secteur financier demeure résilient face au risque cyber grâce à ses investissements continus en cybersécurité et sa préparation aux attaques. Néanmoins, de mauvaises pratiques de cybersécurité entraîneraient 2,6 fois plus d’incidents cyber répertoriés et des pertes financières conséquentes, sans compter le risque de réputation et les fuites d’information. Êtes-vous convaincus de l’adéquation du niveau de préparation et de protection actuel ?

Enfin, partagez-vous la position de l’Association de management des risques et des assurances de l’entreprise (Amrae) selon laquelle, pour bénéficier de la couverture d’assurance, il conviendrait de notifier l’incident non pas au moment de sa détection, mais lors de sa présentation à l’assurance ?

M. Mickaël Bouloux, rapporteur. J’ai l’honneur d’être le rapporteur thématique pour le titre III du projet de loi qui porte sur la résilience opérationnelle numérique du secteur financier et transpose la directive Dora du 14 décembre 2022. J’ai noté ce matin, lors de la réunion qui s’est tenue avec la direction générale du Trésor que nous retrouvons des thématiques communes, notamment concernant le formulaire de notification aux entités. J’aurai également l’occasion de rencontrer la Fédération bancaire française en fin de semaine. J’ai bien pris note de vos recommandations concernant les sociétés de financement de type Crédit Logement. Nous avons également discuté avec le Trésor de la question du signalement des incidents. Vous avez déjà abordé la question du double assujettissement entre Dora et NIS 2, du moins pour cette partie relative aux notifications. Si vous identifiez d’autres points de chevauchement, je suis intéressé de les connaître.

Quels obstacles avez-vous pu identifier dans la mise en application du règlement Dora ? Je fais référence à la fois à sa mise en œuvre par les entités financières que vous supervisez, mais aussi par votre propre institution, étant donné que le règlement comporte un certain nombre d’obligations et de changements qui vous concernent également. J’ai bien noté que vous avez évoqué notamment le sujet des ressources humaines et l’accès aux compétences en cybersécurité, un enjeu qui sera largement partagé.

Concernant l’articulation entre la directive et le règlement, pensez-vous que ces deux textes européens sont suffisants pour protéger notre système financier contre les risques liés aux technologies de l’information et de la communication ? Envisagez-vous des étapes supplémentaires ou des améliorations ?

Enfin, quel rôle avez-vous joué lors de l’élaboration de ces textes ? Avez-vous le sentiment d’avoir été écoutés lors des négociations en amont de cette législation européenne ?

Mme Anne Le Hénanff, rapporteure. Pourriez-vous dissiper les inquiétudes exprimées par certains acteurs auditionnés concernant le risque de double assujettissement à NIS 2 et Dora, en particulier au regard de l’article 43A introduit par le sénateur Canevet au Sénat ?

Par ailleurs, il me semble que certains groupes bancaires intègrent désormais la notion de cybersécurité pour leurs propres clients. Votre intervention s’étend-elle jusqu’à ce niveau ? Accompagnez-vous les organismes bancaires dans leur relation avec leurs clients en matière de cybersécurité ? Si c’est le cas, de quelle manière procédez-vous ?

Étant donné que certaines banques ont déjà établi des critères d’exigence en matière de cybersécurité pour leurs clients, ne pensez-vous pas que Dora pourrait agir comme un stimulateur, un moteur, voire une opportunité, ou avoir un effet d’entraînement vis-à-vis du client final ? Je serais très intéressé de connaître votre analyse de l’impact de Dora jusqu’au bout de la chaîne.

Mme Catherine Hervieu, rapporteure. Vous avez évoqué la question des cryptomonnaies et des monnaies numériques. Je souhaiterais apporter quelques précisions en lien avec les développements au sein de l’Eurosystème et le projet d’émission d’une monnaie virtuelle complémentaire aux espèces et aux autres moyens de paiement. Dans cette perspective, l’euro numérique pourrait être déployé à partir de 2027 ou 2028.

Concernant les cryptomonnaies, certains acteurs économiques souhaitent développer leur utilisation, ce qui soulève des questions malgré la mise en application du règlement sur les marchés de crypto-actifs (Mica) par l’Union européenne, visant à assurer la stabilité des entreprises crypto et la protection des consommateurs.

Vous avez souligné dans vos propos introductifs la rapidité exponentielle de la digitalisation, qui nous pose des défis constants. À cet égard, il est important de noter qu’en 2021, 70 % des cyberattaques et des rançongiciels officiellement recensés exigeaient un paiement en cryptomonnaies, dont le célèbre bitcoin pour 60 % d’entre eux.

Dans ce contexte, le travail sur la transposition de la directive européenne pour sécuriser à la fois les infrastructures sensibles et critiques, les aspects financiers et les aspects cyber revêt une importance capitale. En tant que rapporteure pour le titre Ier, je suis particulièrement sensible à ces enjeux, d’autant plus que la problématique de fond reste la fragilisation potentielle des États.

Selon vous, quels moyens peuvent être mis en œuvre pour tracer efficacement les attaques, sécuriser l’ensemble du système et mettre en place des mesures de lutte anticipant ces évolutions technologiques qui s’accélèrent de manière exponentielle ?

M. Frédéric Hervo. D’après nos premières expériences en matière d’incidents et de leur notification, il convient de souligner l’apport majeur de Dora. Ce règlement établit un cadre harmonisé pour le reporting et la notification des incidents, ainsi que pour leur traitement coordonné entre autorités, tant au niveau national qu’européen. Dora prévoit notamment un mécanisme de gestion des incidents majeurs susceptibles d’avoir un impact à l’échelle européenne.

Selon les dispositions de Dora, les incidents majeurs, définis selon des critères spécifiques énoncés dans le règlement, doivent être notifiés aux autorités compétentes dans un délai de quatre heures après leur qualification comme majeurs, et au plus tard vingt-quatre heures après leur survenance. Ce dispositif est entré en vigueur le 17 janvier dernier.

Au 2 juin 2025, l’ACPR a reçu 76 notifications d’incidents majeurs. Ce chiffre, bien que significatif, doit être nuancé pour deux raisons principales. Tout d’abord, un même incident a pu faire l’objet de notifications multiples par plusieurs entités affectées. L’incident Harvest, largement médiatisé et ayant impacté plusieurs entités financières, en est un exemple probant. Ensuite, nous sommes au début de la mise en œuvre de ce dispositif. Certains acteurs ont donc tendance à notifier par précaution, même lorsqu’ils ne sont pas entièrement certains du caractère majeur de l’incident.

Concernant la typologie des incidents signalés, près de la moitié sont liés à des défaillances informatiques opérationnelles, ce qui relève des problématiques classiques de continuité opérationnelle. Un quart concerne des incidents de paiement et un autre quart est d’origine cyber, incluant notamment l’incident Harvest, qui a mis en lumière l’importance cruciale de la chaîne d’externalisation dans la vulnérabilité potentielle des systèmes.

Les premiers retours d’expérience démontrent l’utilité indéniable de ce dispositif de notification, bien que nous soyons encore dans une phase d’apprentissage. Il permet aux autorités d’avoir rapidement une visibilité sur les entités du secteur financier affectées, facilitant ainsi la coordination de la réponse entre les différentes autorités, y compris l’Anssi, et la communication avec les entités impactées.

Ce dispositif ne remplace pas les mécanismes préexistants. Dora vient normaliser et harmoniser ces pratiques, en établissant des attentes claires en termes de délais et de procédures.

Jusqu’à présent, nous n’avons pas eu à traiter d’incident majeur à l’échelle européenne. La plupart de ceux qui ont été signalés ont une portée nationale et sont généralement résolus rapidement, en particulier quand ils sont liés à la continuité opérationnelle. Bien que nous soyons toujours en phase d’apprentissage, Dora démontre déjà toute son utilité dans la gestion et la coordination des incidents au sein du secteur financier.

M. Sébastien Raspiller. Pour compléter ces informations du point de vue de l’AMF, nous avons reçu une trentaine de notifications depuis la mise en œuvre de Dora mi-janvier. La répartition est la suivante : 40 % concernent des cyberattaques, environ la moitié sont liées à des problèmes de disponibilité des services informatiques et 10 % relèvent de pannes basiques.

Le nombre de notifications est relativement significatif, d’autant plus que nous avons observé un temps d’adaptation nécessaire pour les acteurs, particulièrement ceux de plus petite taille, afin qu’ils comprennent et appliquent correctement les nouvelles exigences de notification standardisée. Nous constatons une amélioration progressive : les notifications arrivent désormais dans les délais impartis et respectent le format requis. Bien que l’apprentissage soit toujours en cours, nous notons une amélioration sensible. Les acteurs semblent également avoir intégré qu’il est préférable de notifier de manière prudente plutôt que d’attendre d’être absolument certains de la nécessité de le faire.

M. Frédéric Hervo. Concernant l’état de préparation de la place financière, et selon la perception que nous pouvons avoir de l’ensemble de la chaîne, il est important de souligner la maturité relative du secteur financier en matière de cybersécurité. Elle s’explique notamment par le fait que ce secteur figure parmi les plus ciblés par les cyberattaques, ce qui a conduit à une sensibilisation accrue depuis longtemps.

Dora apporte une approche homogène pour l’ensemble du secteur financier, unifiant des réglementations qui étaient auparavant sectorielles. Cependant, nous ne partons pas de zéro. Le premier pilier de Dora, qui concerne l’analyse des risques propres à chaque institution, l’identification de ses vulnérabilités, la mise en place de différents niveaux de contrôle et l’implication de la gouvernance, s’appuie sur des concepts déjà bien établis.

L’aspect le plus novateur de Dora, qui nécessitera un travail important de la part des acteurs cette année, concerne l’introduction de clauses-types obligatoires dans les contrats d’externalisation avec les prestataires critiques. Cet élément est crucial, notamment dans le contexte de l’utilisation croissante des services de cloud computing, où le pouvoir de négociation des établissements financiers face aux géants technologiques était souvent limité. Ces clauses standardisées renforcent la position des acteurs du secteur financier vis-à-vis de ces prestataires, souvent extérieurs à l’Union européenne.

Notre rôle en tant qu’autorités a été essentiel dans la sensibilisation à ces nouvelles dispositions. Nous avons organisé de nombreuses réunions avec les associations professionnelles pour expliquer les implications de Dora, notamment en ce qui concerne les tests d’intrusion. Dora exige en effet que les entités mettent en place leur propre plan de tests d’intrusion à terme, ce qui représente un changement significatif dans leurs pratiques de cybersécurité.

Le principe de proportionnalité s’applique à l’ensemble des acteurs soumis à Dora. Pour un sous-ensemble plus restreint d’entités critiques ou systémiques, des tests sous le contrôle des autorités de supervision seront mis en place. Ces tests visent à détecter les points de vulnérabilité dans les systèmes critiques pour les services financiers, à l’instar d’un hacker externe.

Nous commencerons à déployer ce dispositif très exigeant en termes d’expertise et de ressources à partir du second semestre, sur un cycle triennal. Il est évident que les plus petits acteurs ou certains secteurs, notamment l’assurance et les mutuelles, plus dispersés, partent de plus loin en termes de sensibilisation. Notre approche sera progressive, pragmatique et proportionnée, privilégiant l’accompagnement avant le contrôle.

Concernant les clients, nous constatons des liens importants avec la fraude, particulièrement celle liée aux paiements. Il est crucial de rappeler les bonnes pratiques de prévention à la clientèle, d’autant plus que l’évolution technologique, notamment l’utilisation de l’intelligence artificielle, facilite certains dispositifs frauduleux.

Dora souligne à juste titre l’importance d’une prise en compte rigoureuse de toute la chaîne des prestataires externes dans le cadre de l’externalisation. L’incident Harvest illustre parfaitement cette nécessité : la cyberattaque qui a affecté ce fournisseur de logiciels pour de nombreux acteurs, dont des conseillers en gestion de patrimoine, provenait en réalité d’un de ses propres prestataires. Cet exemple démontre l’importance de considérer l’intégralité de la chaîne de sous-traitance et d’externalisation.

Dora représente indéniablement une avancée significative. Cependant, les menaces continuent d’évoluer, et il est impératif de réduire l’avance des organisations criminelles ou para-étatiques. Une évaluation de Dora sera nécessaire après quelques années d’application.

Concernant l’articulation entre NIS 2 et Dora, deux points méritent d’être soulignés. Tout d’abord, Dora étant un texte spécialisé, une entité du secteur financier répondant à ses exigences n’est pas soumise à NIS 2, ce qui constitue une simplification. Ensuite, la double notification des incidents est une nécessité opérationnelle. Bien que nous partagions les notifications reçues avec diverses autorités, y compris au niveau européen, il est crucial que l’Anssi, en tant qu’autorité responsable, reçoive directement ces notifications, même si cela implique un doublon. Cette approche nous permet de gagner un temps précieux dans la réponse aux incidents, sans remettre en cause le principe général selon lequel NIS 2 ne s’applique pas au secteur financier, Dora étant la loi spéciale en la matière.

M. Sébastien Raspiller. L’AMF est chargée de l’agrément des prestataires de services sur actifs numériques et assumera également la supervision de ces acteurs dans le cadre de Dora. Ces entités, déjà familiarisées avec certaines exigences grâce au régime national issu de la loi Pacte, sont souvent des acteurs conséquents et intrinsèquement digitaux, opérant à l’échelle européenne et internationale.

Nous avons récemment observé des incidents majeurs de vol de données et de cryptoactifs, comme celui survenu en février sur une plateforme internationale, impliquant 1,6 milliard de dollars. Il est à noter que cette plateforme n’était pas autorisée à opérer en France, n’étant pas enregistrée conformément à la loi Pacte. Notre vigilance a permis d’éviter que des clients français ne soient affectés par ce piratage.

Bien que le règlement Mica n’ait pas retenu l’obligation d’un audit cyber réalisé par un prestataire certifié, contrairement à ce que prévoyait la loi Pacte, nous encourageons vivement les acteurs à maintenir cette pratique. De nombreux opérateurs le font spontanément, conscients de l’importance de cette démarche pour la confiance de leurs clients.

Les prestataires de services sur actifs numériques sont pleinement intégrés dans le champ d’application de Dora, avec une exposition particulièrement élevée aux risques de cyberattaques. Nous observons généralement une bonne maturité chez ces acteurs en France, mais ce niveau peut varier à travers l’Union européenne et au-delà. Le passeport européen prévu par le règlement Mica rend d’autant plus crucial le renforcement des exigences en matière de cybersécurité au niveau européen.

Concernant l’articulation entre NIS 2 et Dora, nous saluons la mise en place d’un point d’entrée unique pour les autorités de supervision financière, ce qui simplifie les procédures et évite les doublons. Cette approche est particulièrement pertinente pour les acteurs sous supervision conjointe, comme certaines infrastructures de marché supervisées à la fois par la Banque de France et l’AMF.

Quant à l’efficacité de Dora, il est prématuré d’envisager une version ultérieure. L’objectif n’est pas d’atteindre un monde sans cyberattaques, ce qui est irréaliste, mais de réduire significativement leur occurrence et leurs impacts. Le succès de Dora se mesurera à sa capacité à améliorer les investissements en cybersécurité et à atténuer les effets des attaques lorsqu’elles surviennent.

La résilience est un enjeu crucial pour toute entité consciente des risques cybernétiques. Il s’agit non seulement de savoir y faire face lorsqu’ils surviennent, mais aussi de s’efforcer d’en réduire la fréquence. C’est à l’aune de ces critères que nous pourrons juger de l’efficacité de Dora, bien qu’il soit encore trop tôt pour tirer des conclusions définitives.

Concernant les obstacles, j’ai évoqué précédemment les défis liés aux ressources humaines. Au-delà du recrutement de cyber-experts, nous devons impérativement élever le niveau de compétence de l’ensemble des acteurs impliqués dans la supervision classique. Cette exigence s’applique tant à notre personnel qu’aux gestionnaires externes. Le risque cyber n’étant pas nécessairement leur préoccupation première, il est essentiel qu’ils intègrent pleinement les enjeux de Dora dans leurs pratiques. Cela implique un effort considérable en matière de formation.

À titre d’exemple, nous avons récemment organisé une journée dédiée aux enjeux de Dora pour les équipes de conformité et de contrôle interne, rassemblant 450 participants. Nous proposons également des webinaires d’accompagnement. Notre objectif est de rendre ces informations accessibles non seulement aux cyber-experts, mais aussi à un public plus large dont ce n’est pas le cœur de métier. C’est un véritable défi que nous devons relever.

Un autre enjeu majeur concerne la mise en place des couches nationales prévues par Dora. Bien que nous bénéficiions d’une excellente coordination avec l’autorité nationale, la dimension européenne ajoute un niveau de complexité. Les trois autorités européennes de supervision devront se coordonner efficacement, ce qui représente une nouveauté potentiellement source de difficultés. Il sera crucial de s’assurer du bon fonctionnement de cette collaboration.

Quant à savoir si l’Autorité a été écoutée lors de l’élaboration de Dora, je peux témoigner, pour avoir été de l’autre côté, que j’ai consacré un temps considérable à l’écoute des dix autorités concernées. J’ose espérer qu’elles ont été non seulement entendues, mais aussi écoutées. Cependant, il leur appartiendra d’en juger.

Le débat le plus ardu a porté sur les fournisseurs de cloud et la possibilité d’une extra-territorialité. Mais la question ne se limite pas à ce seul aspect. D’autres fournisseurs de données, par exemple, peuvent également avoir un impact systémique considérable. Prenons le cas de la gestion d’actifs basée sur des indices : une erreur dans le calcul de ces indices pourrait avoir des conséquences désastreuses pour les clients et les épargnants.

J’ai observé une évolution dans l’attitude des prestataires tiers critiques. Alors qu’ils exerçaient un lobbying intense lors des négociations politiques initiales, ils semblent aujourd’hui avoir accepté l’inévitabilité de leur inclusion dans le périmètre de Dora. Ils demandent désormais des clarifications pour se mettre en conformité, ce qui témoigne d’une compréhension accrue des bénéfices potentiels de cette réglementation, notamment en termes de justification des investissements nécessaires en interne.

En conclusion, au-delà des obstacles identifiés, ces évolutions constituent des facteurs de réussite potentiels pour la mise en œuvre efficace de Dora.

M. le président Philippe Latombe. Des questions se posent quant à l’articulation le règlement général de protection des données personnelles (RGPD), la Commission nationale informatique et libertés (CNIL) et Dora. Si l’architecture entre NIS 2 et la CNIL est clairement définie, qu’en est-il de la relation entre Dora et la CNIL ? En tant qu’autorité de référence pour le secteur financier, comment gérez-vous les incidents cybernétiques ayant un impact sur les données personnelles ? Existe-t-il une coordination particulière avec la CNIL dans ces situations ?

Mme Laetitia Saint-Paul (HOR). Vous avez indiqué que l’intelligence artificielle (IA) facilitait les dispositifs de fraude. Pourriez-vous nous éclairer sur la manière dont les cybercriminels exploitent concrètement l’IA ? Par ailleurs, comment l’utilisez-vous de votre côté à des fins défensives, sachant que les criminels ont souvent une longueur d’avance ?

Pouvez-vous préciser dans quelle mesure les cryptomonnaies facilitent ou non le blanchiment d’argent ? Face à l’adage « suivez l’argent » souvent cité en matière de criminalité, quels sont les nouveaux moyens développés pour contrer ce blanchiment, notamment dans le contexte des cryptomonnaies ?

Enfin, vous avez indiqué que 70 % des cyberattaques étaient des attaques par rançongiciel. Pourriez-vous détailler la répartition des 30 % restants ?

M. Sébastien Raspiller. Concernant l’articulation entre Dora et le RGPD, notre rôle de superviseur nous amène à vérifier que les entités assujetties respectent l’ensemble des réglementations applicables. Ainsi, lorsqu’une fuite de données personnelles est signalée dans le cadre de Dora, nous nous assurons que l’entité a bien effectué les déclarations nécessaires auprès de la CNIL, conformément au RGPD. Cette procédure est désormais bien intégrée dans les pratiques des entités supervisées. À ce jour, nous n’avons pas identifié de difficultés majeures dans cette articulation entre Dora et le RGPD. Si des problèmes devaient survenir, ils seraient traités dans le cadre de notre dialogue de supervision.

Concernant l’utilisation de l’IA dans les fraudes, nous observons effectivement une recrudescence inquiétante. Selon les études de l’AMF, 15 % des Français estiment avoir été victimes ou cibles d’une tentative d’arnaque financière, ce chiffre atteignant 35 % chez les moins de 35 ans. Bien que le nombre d’arnaques effectives soit inférieur, la tendance est préoccupante avec une multiplication par trois sur les trois dernières années.

Parmi ces fraudes, certaines exploitent déjà l’intelligence artificielle, notamment à travers l’utilisation de deepfakes. Ces techniques permettent de manipuler l’image et la voix de personnalités connues pour leur faire tenir des propos qu’elles n’ont jamais prononcés, créant ainsi des publicités trompeuses mettant en scène des journalistes, des hommes politiques ou des célébrités du sport.

Face à cette menace croissante, notre action se déploie sur plusieurs fronts. Nous multiplions les alertes pour sensibiliser le public et nous transmettons systématiquement les cas détectés aux autorités judiciaires compétentes. Néanmoins, nous sommes conscients que le développement de l’IA continuera d’amplifier ce phénomène, nécessitant une vigilance accrue et des moyens de lutte toujours plus sophistiqués.

Bien que l’imitation ne soit pas encore parfaite, les progrès rapides accomplis pour générer des avatars laissent présager une amélioration significative de la qualité dans un avenir proche. Nous travaillons activement sur l’utilisation de l’IA pour nous protéger contre ces technologies de manipulation. Il est vrai que le secteur privé a souvent une longueur d’avance, mais je ne peux pas totalement abonder dans votre sens en tant que superviseur.

Il est indéniable que la lutte contre ces technologies représente un défi majeur. Les autorités doivent impérativement investir dans des moyens de détection adéquats pour ne pas se laisser distancer. Parallèlement, des mesures plus basiques s’avèrent essentielles. Nous avons ainsi lancé une campagne d’éducation financière axée sur un principe fondamental : il n’est jamais urgent de perdre de l’argent. L’objectif est d’inciter à la prudence face aux offres alléchantes assorties de délais artificiellement courts. Ces réflexes élémentaires doivent être constamment rappelés.

La technologie jouera un rôle crucial dans la lutte contre des manipulations de plus en plus sophistiquées, mais elle doit s’accompagner d’approches préventives et éducatives. Concernant les cryptoactifs, l’AMF a hérité de compétences élargies, notamment en matière de lutte contre le blanchiment, conformément à la loi Pacte. Si la traçabilité inhérente à la blockchain est un atout, l’enjeu principal réside dans l’identification des utilisateurs. Le règlement européen révisé sur les transferts de fonds (TFR), entré en vigueur récemment, impose désormais l’identification réelle des parties lors des transferts de cryptoactifs, à l’instar des règles appliquées aux transferts de fonds traditionnels. Cette réglementation vise à garantir une transparence comparable entre les transactions en cryptoactifs et celles en monnaie fiduciaire.

Je souscris pleinement aux propos de Sébastien Raspiller concernant les cryptoactifs et leur vulnérabilité face aux risques de blanchiment. Le règlement Mica, en instaurant un cadre réglementaire pour certaines activités liées aux cryptoactifs, y compris sous l’angle de la lutte contre le blanchiment et le financement du terrorisme, permet de mettre en place un dispositif de contrôle efficace. Bien que ce règlement ne couvre pas l’intégralité du secteur, notamment la finance décentralisée, il constitue une avancée significative.

Concernant l’intelligence artificielle, je souhaite évoquer un autre exemple d’utilisation frauduleuse : la modernisation de la fraude au président. Cette escroquerie classique, où un imposteur se fait passer pour un dirigeant d’entreprise afin d’obtenir un virement urgent, se voit aujourd’hui amplifiée par l’IA. Les fraudeurs exploitent désormais les réseaux sociaux et les techniques d’imitation vocale pour rendre leurs tentatives plus crédibles.

L’IA, comme toute évolution technologique, offre de nouvelles opportunités aux fraudeurs, mais également de nouvelles perspectives pour la lutte anti-fraude. À titre d’exemple, de nombreux établissements financiers commencent à utiliser massivement l’IA pour analyser les flux d’opérations dans le cadre de la lutte contre le blanchiment et le financement du terrorisme (LCB-FT). Ces outils permettent un criblage plus efficace des opérations sensibles et facilitent la préparation des déclarations de soupçon. Certains grands groupes financiers ont déjà mis en œuvre ces technologies, tandis que d’autres en sont encore au stade de l’expérimentation. L’ACPR, qui joue un rôle prépondérant dans la prévention du blanchiment et du financement du terrorisme, évalue actuellement ces évolutions intéressantes sur le principe.

5. Table ronde réunissant des entreprises de cyberdéfense, mercredi 4 juin 2025 à 15 heures 30

Lors de sa première réunion du mercredi 4 juin 2025, la commission spéciale a organisé une table ronde réunissant des entreprises de cyberdéfense : M. Michaël Barthellemy, responsable de la gestion des risques cyber et des actifs d’Airbus et représentant de la commission Cyber du Groupement des industries françaises aéronautiques et spatiales (Gifas), M. Thierry Racaud, président-directeur général d’Airbus Protect, M. Yves Berthe, coordinateur sécurité d’Airbus France, M. Olivier Bonnet de Paillerets, vice-président exécutif chargé de la technologie et du marketing d’Orange Cyberdéfense, M. Vivien Mura, directeur des technologies d’Orange Cyberdéfense, Mme Katuiscia Benloukil, vice-présidente communication de Tehtris et M. Arnaud Dechoux, directeur des affaires publiques de Sekoia.io.

M. le président Philippe Latombe. Mes chers collègues, nos auditions sur le projet de loi relatif à la résilience des infrastructures critiques au renforcement de la cybersécurité se poursuivent aujourd’hui avec une table ronde réunissant des représentants d’entreprises présentes dans les domaines de la cyberdéfense et de la cybersécurité. Cette audition sera donc à la fois consacrée à l’impact de la directive NIS 2 sur les entreprises soumises à la réglementation et sur les services de cybersécurité qu’offrent vos groupes respectifs, notamment aux infrastructures critiques.

Airbus sera représenté par M. Barthellemy, responsable de la gestion des risques cyber et des actifs et représentant de la commission cyber du groupement des industries françaises aéronautiques et spatiales (Gifas), M. Thierry Racaud, président directeur général d’Airbus Protect et M. Yves Berthe, coordinateur sécurité d’Airbus France. M. Olivier Bonnet de Paillerets, vice-président exécutif chargé de la technologie et du marketing, et M. Vivien Murat, directeur des technologies, représentent Orange Cyberdéfense. L’entreprise Tehtris est représentée par Mme Katuiscia Benloukil, vice-présidente communication et Sekoia.io par M. Arnaud Dechoux, directeur des affaires publiques.

Avant de vous céder la parole, je souhaite vous poser une question liminaire. Vos activités sont souvent implantées dans plusieurs pays de l’Union européenne. Comment envisagez-vous de vous adapter aux différents modèles de transposition retenus par les États membres ?

M. Michaël Barthellemy, responsable de la gestion des risques cyber et des actifs d’Airbus et représentant de la commission cyber du Gifas. Je vous remercie de nous accueillir aujourd’hui pour cette audition. La résilience digitale présente plusieurs enjeux cruciaux pour nos organisations, notamment critiques – catégorisées entreprises essentielles ou entreprises importantes –, notre capacité à anticiper, prévenir, dissuader, détecter, retarder, défendre, répondre et résister aux attaques et à nous remettre des incidents de cybersécurité.

Il faut également citer la protection de l’intégrité informatique et fonctionnelle face aux risques croissants ; la limitation des pertes financières, d’image et de confiance en cas d’incident majeur ; la continuité des activités et le maintien de la productivité malgré les attaques et la préservation et la sécurisation des données, y compris dans le cadre du règlement général sur la protection des données (RGPD) et de la loi « informatique et libertés » en France.

Cette résilience, quand elle parvient à être démontrée, conditionne l’instauration d’un climat de confiance avec nos usagers, clients, fournisseurs et autorités de tutelle. Une fois rappelés ces enjeux importants que représentent la résilience digitale et la cybersécurité pour notre filière, je souhaiterais attirer votre attention sur quelques points qui ressortent de notre étude du projet de loi. Sans vouloir déposséder le Parlement français de ses prérogatives, il n’est plus envisageable aujourd’hui que ce type de texte soit du niveau d’une directive européenne. En réalité, il devrait être porté par un règlement européen. Imaginez la difficulté pour un groupe comme Airbus, présent dans la quasi-totalité des États membres de l’Union européenne (UE). Nous allons devoir appliquer vingt-sept réglementations différentes, ce qui engendrera des coûts supplémentaires et posera des complexités techniques.

Ensuite, il faut analyser plus globalement l’impact de la réglementation sur la continuité des dispositifs existants, qui représente pour notre filière une double surtransposition de la directive européenne, comme nous aurons peut-être l’occasion de le démontrer. La France va en effet au-delà des demandes de la directive et la proposition de transposition actuelle vient en doublon d’un certain nombre de contraintes qui sont déjà requises dans le corpus juridique existant : la loi de programmation militaire (LPM), l’instruction générale interministérielle (IGI) n° 1300, l’IGI n° 900 et l’IGI n° 901.

L’augmentation des sanctions fera également peser une pression financière sur nos entreprises, transformant le dispositif existant, qui est fondé sur la coopération et la confiance entre acteurs, en une relation qui sera plus contractuelle. Nos concurrents internationaux, y compris européens, non soumis à ces mêmes règles, seront avantagés, laissant nos entreprises dans une position désavantageuse. Il faut donc veiller à ne pas créer, par cette surtransposition, une opportunité de « dumping de cybersécurité » pour les autres États membres.

En revanche, le véritable risque concerne particulièrement les petites et moyennes entreprises (PME) et les entreprises de taille intermédiaire (ETI), qui sont déjà vulnérables et qui pourraient être fragilisées par des exigences qui seraient trop contraignantes et une mise en œuvre précipitée. En effet, une demande de mise en œuvre trop rapide risquerait de créer chez eux des déséquilibres importants. Leur soutien et leur préservation constituent donc une priorité à laquelle nous devons répondre de manière concrète.

Ensuite, la question de la souveraineté numérique et de l’indépendance géostratégique figure au cœur de nos préoccupations. Parfois, la résilience opérationnelle contredit en partie le principe de souveraineté, notamment sur les aspects liés aux Gafam, qui occupent une place prépondérante. En conséquence, les choix qui sont réalisés aujourd’hui détermineront notre capacité à maintenir l’équilibre entre notre indépendance et nos interdépendances, dans un contexte de concurrence globale.

Enfin, pour que nos entreprises puissent réussir cette transition vers la directive NIS 2 et la résilience, un soutien au bon niveau des services de l’État est indispensable, sous forme technique, financière et d’aide au développement de solutions de confiance adaptées aux PME et aux ETI. Cet investissement permettra d’assurer la pérennité et la compétitivité de notre filière. Nous pensons que l’Agence nationale de la sécurité des systèmes d’information (Anssi) doit jouer un rôle central dans ce dispositif.

Je cède la parole à mon collègue Thierry Racaud d’Airbus Protect, société qui est déjà conduite à supporter notre écosystème et la nation de façon plus générale, sur les sujets de cybersécurité et de cyberrésilience.

M. Thierry Racaud, président-directeur général d’Airbus Protect. Airbus Protect est une société française filiale du groupe Airbus, créée en juillet 2022. La société résulte du regroupement d’activités cyber au centre du groupe et bénéficie ainsi d’un héritage d’excellence et d’une compréhension approfondie des enjeux de la cybersécurité dans les secteurs les plus critiques. La mission d’Airbus Protect consiste à contribuer à la cyberprotection d’Airbus, c’est-à-dire ses produits, ses usines et ses filiales, sa chaîne logistique, sa chaîne de valeur et plus largement le secteur aérospatial, les infrastructures critiques et les institutions nationales et européennes.

Ainsi, à travers Airbus Protect, Airbus met ses meilleurs experts au service de ses sous-traitants, partenaires, clients, partout en Europe. Nos services couvrent l’ensemble du cycle de vie de la cybersécurité en offrant une approche holistique et sur mesure pour répondre aux besoins particuliers de nos clients et partenaires, du conseil à l’audit de cybersécurité, pour les aider à se mettre en conformité avec les règlements nationaux et européens : protection des systèmes critiques, service de détection et de réponse aux incidents de cybersécurité, cybersécurité des produits, formation et sensibilisation, tests d’intrusion et recherche de vulnérabilité cyber. Les services d’Airbus Protect sont, dans leur majorité, labellisés par l’Anssi. Ainsi, en combinant son héritage industriel avec une expertise pointue en cybersécurité, Airbus est le partenaire cyber du secteur aérospatial. Les salariés d’Airbus Protect, au nombre de 500 en cybersécurité, sont fiers de contribuer à la protection des intérêts stratégiques français.

M. Olivier Bonnet de Paillerets, vice-président exécutif chargé de la technologie et du marketing d’Orange Cyberdéfense. Orange Cyberdéfense, compagnie majoritairement acquise par Orange, est une société de services sur l’ensemble du cycle de la cybersécurité : analyse de la menace propre, détection, protection, remédiation, gestion de crise et conseil. Orange Cyberdéfense traite l’ensemble des segments du marché, les multinationales, les PME et TPE, y compris les clients Orange, c’est-à-dire le BtoC.

La société évolue dans un marché extrêmement concurrentiel : nous sommes leaders en France avec 12 % de parts de marché et en Belgique avec 5 %. Dans ce marché très concurrentiel, nos clients font face à trois complexités. La première a trait à une menace toujours évolutive en degré. L’Europe continue à souffrir d’un nombre croissant d’attaques (plus de 20 % l’année dernière), dans la mesure où l’activisme atteint depuis deux ans le monde des affaires et pas uniquement les institutions nationales. De surcroît, ce monde des affaires est concerné de plus en plus dans le bas du marché. Ainsi, 53 % de PME supplémentaires ont été touchées par rapport au référentiel de l’année dernière.

Au-delà de cette menace toujours grandissante en nature et en degré, la deuxième complexité est liée à la complexité de la surface de nos clients, avec le mouvement vers le cloud hybride, souverain. Ils sont confrontés à une complexité technique pour laquelle ils nous demandent des idées.

La troisième complexité est relative à la régulation. Le projet de loi touche Orange Cyberdéfense comme fournisseur essentiel en tant que société de services numériques. Pour nous, le coût d’adaptation n’est pas très important, puisque nous étions déjà très certifiés et en conformité avec la régulation nationale. En revanche, il offre une opportunité de continuer à accompagner, y compris les TPE PME qui seront concernées par NIS 2. Dans le cadre de sa transposition, la loi concerne moins les services numériques, puisque seulement trois articles nous concernent.

Globalement, dans le cadre de cette transposition, il conviendra de ne pas faire de surenchère pour demeurer compétitif, mais également de veiller à la simplification dans les décrets qui suivront. À titre d’exemple, se pose la question de la diversité de la mise en œuvre de NIS 2 dans l’ensemble de la géographie européenne, et même au-delà. Quand on dispose de systèmes extrêmement décentralisés dans l’Union européenne, ou dans nos systèmes offshores, quels seront les systèmes d’environnement en technologies de l'information (ITALIE) concernés ou non par la directive NIS 2 ? En fonction de la nature des réseaux, de notre chaîne d’approvisionnement, de notre modèle opérationnel, de notre relation client, la gestion sera probablement complexe. En conséquence, il faudra être très attentif à la manière dont certains décrets seront rédigés.

De plus, il importe ne pas réinventer de nouvelles certifications ou de nouveaux processus de remontée d’informations des incidents. Il en existe déjà, autant les utiliser et maximiser ce qui a été mis en place par l’Anssi en matière de certification.

Mme Katuiscia Benloukil, vice-présidente communication de Tehtris. Tehtris est une société française à l’échelle internationale spécialisée aujourd’hui dans les solutions de cybersécurité pour détecter et neutraliser automatiquement, de manière autonome et en temps réel, le cyber espionnage et le cybersabotage.

Je partage les propos de mes confrères sur les enjeux de souveraineté, mais aussi l’importance de donner une obligation de moyens à toutes les entreprises. L’objectif de la directive NIS 2, qui reprend les mécanismes du RGPD, vise à rendre le cyberspace plus sûr, afin que chaque entreprise, petite, moyenne ou grande, puisse bénéficier d’une couverture cyber et se protéger des menaces qui évoluent. Aujourd’hui, nous constatons en effet une augmentation du volume des attaques, mais aussi de leur sophistication.

Ces attaques sont polymorphes et leurs variants changent très rapidement grâce aux techniques cyber utilisées, du côté des attaquants. Les entreprises doivent donc être soumises à une obligation de moyens, en matière de défense et de couverture cyber. En conséquence, ce texte de projet de loi rentre parfaitement dans le cadre mis en place actuellement en matière de régulation. Toutefois, cette transposition ne doit pas constituer une difficulté supplémentaire pour les entreprises.

M. Arnaud Dechoux, directeur des affaires publiques de Sekoia.io. Sekoia est une scale-up, une grande start-up d’une centaine de personnes implantée notamment à Paris et à Rennes, mais également dans différents pays européens. Nous sommes un éditeur de technologies BtoB dédiées à deux domaines de spécialisation. Il s’agit d’une part du renseignement d’intérêt cyber, produit par une vingtaine de chercheurs qui suivent les groupes d’attaquants, qu’ils soient cybercriminels ou des espions affiliés des États. À ce titre, Sekoia est partenaire d’Europol et coopère régulièrement avec les forces de l’ordre et la justice dans la lutte contre la cybercriminalité.

D’autre part, Sekoia développe une plateforme en mode SaaS (Software as a Service) à l’attention des centres d’opérations de sécurité (SOC) permettant de détecter les cybermenaces grâce au renseignement cyber et à l’intelligence artificielle (IA) et d’y répondre automatiquement. Cette solution, également décrite par l’acronyme XDR, vient s’imbriquer avec d’autres rubriques de sécurité, comme les logiciels de détection et de réponse aux endpoints (EDR) produits par exemple par Airbus, des pare-feu et des sondes, pour assurer une supervision étendue du système d’information.

Cette solution est commercialisée auprès de grandes organisations qui sont matures en cybersécurité, mais aussi et surtout de manière indirecte, via un modèle BtoB, grâce à des partenariats avec des prestataires de services, comme Orange Cyberdéfense, qui utilisent notre technologie pour protéger leurs clients finaux qui sont constitués autant de grands groupes que de PME et de TPE. L’ambition consiste à démocratiser une cybersécurité de haute performance pour les petites entreprises ou administrations. À ce titre, Sekoia s’inscrit dans la chaîne d’approvisionnement de toutes ces entités qui seront soumises à NIS 2. Sur ces deux spécialités, nos concurrents sont quasi exclusivement des grands groupes américains ou israéliens.

En matière de conformité, Sekoia ne part pas de zéro. Nous avons misé pour l’instant sur des certifications reconnues internationalement, ISO 27001, PCI DSS dans le secteur des cartes de paiement, ou des labels comme Cybersecurity Made in Europe pour France Cybersecurity, labels déclaratifs, mais qui ont le mérite d’exister.

S’agissant du projet de loi actuellement en discussion devant votre commission spéciale, nous souhaitons également rappeler que la directive représente une avancée significative pour assurer un niveau élevé et commun de résilience dans l’ensemble de l’UE, qu’il s’agisse d’un enjeu de sécurité nationale, mais aussi de souveraineté.

Initialement, nous avons émis un doute sur le fait que Sekoia entre directement dans le périmètre des entreprises soumises à la NIS 2, peut-être en tant que fournisseur de services d’informatique en nuage, ce qui ferait de nous une entité importante. Ceci est probable, mais pas certain. Quoi qu’il en soit, en tant que membre de la chaîne d’approvisionnement de ces entités essentielles ou importantes, nous serons soumis indirectement aux mêmes obligations.

Pour Sekoia, les enjeux se joueront principalement au niveau réglementaire, avec les décrets et les arrêtés qui seront pris. Je pense notamment au référentiel des exigences techniques et organisationnelles, actuellement en préparation par l’Anssi.

À ce sujet, je souhaite mettre en avant trois points concernant ce projet de loi, certains étant portés par les associations dont Sekoia est membre, notamment l’Alliance pour la confiance numérique (ACN) et Hexatrust, que vous auditionnerez demain. Premièrement, le texte impose aux entités entrant dans son champ de renforcer leurs actions en matière de gestion des risques et de protection cyber. Ceci bénéficiera sans doute, premièrement, aux consultants, aux auditeurs et aux prestataires de services de proximité. Mais à ce stade, rien ne garantit qu’il en soit de même pour les équipements et les solutions, car le texte n’établit pas de préférence européenne. Au contraire, il nous apparaît que le risque est élevé aujourd’hui si les organisations privées comme publiques font appel en majorité à des solutions cyber non européennes, suivant la tendance actuelle.

Si tel était le cas, la directive et sa transposition ne feraient ainsi que renforcer leur dépendance à des acteurs extra-européens, à rebours de l’objectif d’accroître la souveraineté numérique française et européenne. À ce titre, le crédit d’impôt cyber bien ciblé constitue peut-être une piste de réflexion, peut-être un vœu pieux. Cependant, nous soutenons le vote au niveau européen d’un Buy European Tech Act ou d’un Small Business Act qui permettraient d’appuyer l’innovation en Europe grâce à la commande publique.

Deuxièmement, nous appelons à assurer autant que possible une proportionnalité et une application harmonisée de ces nouvelles obligations. Pour une start-up comme Sekoia, qui investit déjà dans des certifications comme ISO 27001, l’ajout de nouvelles obligations passant par des audits, des certifications ou des labels – pas nécessairement obligatoires, mais très fortement recommandés – auprès de consultants externes représenterait des coûts importants et ne ferait que renforcer la complexité à se déployer à l’international.

Troisièmement, une de nos propositions concernerait l’association continue des experts du secteur à la rédaction des textes réglementaires, par exemple en précisant que la mise à jour du référentiel de l’Anssi devra s’opérer en concertation avec les organisations professionnelles de la filière cyber française. L’idée porte ainsi sur un comité de suivi associant notamment les représentants de la filière, pour assurer la cohérence et l’efficacité du dispositif dans le temps. L’objectif consiste à mieux s’adapter à l’évolution rapide des cybermenaces, mais aussi des technologies de cybersécurité.

En synthèse, NIS 2 et sa transposition constituent une opportunité pour le tissu économique français et pour une start-up comme Sekoia. Nous espérons qu’elle sera également une opportunité en matière de souveraineté pour la filière cyber, qu’il s’agisse des services, mais aussi des solutions, et non un accroissement de la complexité qui ne bénéficiera certainement qu’aux grands éditeurs, notamment extra-européens.

M. Éric Bothorel, rapporteur général. Je fais partie de ceux qui souhaitent limiter toute surtransposition dans le contexte géopolitique actuel. Il ne s’agit pas d’empiler des textes réglementaires dans chaque pays, mais de faire émerger un écosystème et un cadre régulatoire au niveau européen aussi harmonieux et homogène que possible.

Ayant relu les auditions qui ont eu lieu au Sénat sur ce projet de loi, dont les vôtres, j’ai perçu à la fois la totale conviction de la nécessité de lutter contre les attaques, votre connaissance de l’accroissement du risque, mais aussi une forme de crainte face à un risque d’empilement entre les contraintes initiées par la loi d’orientation et de programmation du ministère de l’intérieur (Lopmi) et les questions actuelles autour de la résilience. L’exercice de la Lopmi a-t-il été si difficile pour vous, acteurs et opérateurs de la cyberdéfense ? Votre retour d’expérience pourrait peut-être nous éclairer.

Ensuite, la mise en œuvre de la LPM a contribué au développement d’une politique industrielle autour des schémas de qualification de services. Ces schémas ont permis d’accroître le niveau d’exigence, non seulement vis-à-vis des opérateurs d’importance vitale (OIV), mais surtout vis-à-vis des offreurs. Il me semble important de prendre cela en compte et de réfléchir à la mise en place d’une politique industrielle qui permette la construction d’une offre répondant aux besoins.

Or tel n’a pas été le cas de l’offre qui a été développée avec la Lopmi. Le cadre est probablement ici trop contraignant ; les enjeux liés à la sécurité tenant plus de la souveraineté que de la résilience. Cependant, il faut une politique qui garantisse une offre de qualité tout en permettant agilité et compétitivité. Avez-vous le sentiment que la simplification de ces dispositifs et leur remise à la vie civile constitueraient une piste ?

En ce qui concerne la politique industrielle de solutions cyber, il me semble que le comité stratégique de filière cyberdéfense est aujourd’hui quelque peu en sommeil. Me le confirmez-vous ? N’y a-t-il pas là une opportunité, par le passage au civil de tout ou partie de ce qui a été mis en œuvre pour la défense, de relancer ce comité stratégique ?

Nous sommes aussi à l’écoute de votre point de vue sur les exigences concernant les OIV et leurs filières nationales et européennes, ainsi que leurs sous-traitants. Certains estiment que le maillon le plus faible permet d’évaluer la force de résistance d’une chaîne. D’autres nous disent que les contraintes seraient trop fortes pour leurs filiales. Quel est votre point de vue ?

Mme Anne Le Hénanff, rapporteure. Je souhaiterais savoir si chacun d’entre vous est concerné par des dispositions du titre II du projet de loi ou du titre Ier qui transpose la directive sur les résiliences des entités critiques (REC). Si tel est le cas, dans quelle mesure ?

Les sénateurs ont procédé à une modification substantielle de certaines définitions qui vont dans le bon sens selon moi, notamment sur la partie concernant NIS 2. Va-t-elle assez loin ? Faut-il procéder à de plus amples clarifications ?

J’imagine également que certains d’entre vous seront concernés par le régime dérogatoire appliqué aux entités essentielles, aux entités importantes, aux administrations d’État, à leurs établissements publics administratifs qui exercent, entre autres, des activités dans le domaine de la sécurité publique, de la défense nationale ; et pour leurs réseaux et systèmes d’information prévus à l’article 14. Que pensez-vous de cette dérogation et de la rédaction de l’article ? Cette dérogation s’appliquerait-elle, le cas échéant, à l’ensemble de vos sous-traitants ?

M. Mickaël Bouloux, rapporteur. Je suis rapporteur du titre III du projet de loi, c’est-à-dire les articles qui concernent la transposition de la directive européenne sur la résilience opérationnelle numérique du secteur financier, dite Dora. Êtes-vous conduits à intervenir auprès des entités financières ? Comment appréciez-vous leur maturité pour la cybersécurité ? Comment intervenez-vous dans ce domaine, le cas échéant ? Le secteur financier présente-t-il des spécificités par rapport à d’autres secteurs économiques ou industriels s’agissant des attaques et des menaces ?

M. Michaël Barthellemy. NIS 2 ne constitue pas un grand changement pour Airbus, dans la mesure où nous sommes déjà fortement réglementés, par la LPM ou NIS 1 notamment, d’autant plus que la France était en avance dans ce domaine par rapport aux autres pays européens.

En revanche, NIS 2 suscite une grande quantité de travail dans la démonstration de la preuve. Comme nous l’avons indiqué aux sénateurs, nous serions favorables à un label, un « tampon » que fournirait l’Anssi pour attester que nous avons bien répondu aux différentes contraintes, qui éviterait de devoir procéder à de nouveaux audits, qui sont à la charge de l’entreprise.

M. Arnaud Dechoux. Sekoia n’est pas concerné par la Lopmi ou des discussions spécifiques sur la défense ou les OIV. En revanche, je partage l’idée selon laquelle le maillon le plus faible constitue la bonne mesure de la résilience de la filière. Une start-up comme Sekoia, qui est productrice de solutions, s’inscrit dans la chaîne d’approvisionnement des entités qui seront soumises autant à REC et à NIS 2, qu’à Dora. De notre côté, l’attente portera sur les impacts contractuels de ces directives sur les entreprises concernées. En effet, les obligations qu’elles devront respecter auront également une répercussion à notre niveau, par exemple en termes de notification d’incidents.

Nous sommes également soumis à l’acte d’exécution pour NIS 2 qui a été publié l’été dernier et qui fournit de nombreux détails, par exemple les éléments constitutifs d’un incident et les délais associés en matière d’intervention.

Ensuite, les entités financières sont généralement plus matures en termes cyber, même si certains acteurs de la fintech devront monter en compétences. Très concrètement, Dora constitue une opportunité commerciale pour une entreprise comme la nôtre. Pour le renseignement cyber, les entités financières devront par exemple faire appel à des consultants pour passer des tests de résilience basés sur des menaces de type Threat-Led Penetration Testing (TLTP). Encore une fois, nous espérons que les acteurs européens ne seront pas oubliés ou du moins qu’ils pourront être promus par ce genre de dispositifs. Enfin, en matière de menaces spécifiques, je précise que les Nord-Coréens sont experts dans la conduite d’opérations lucratives ciblant notamment la finance.

M. Olivier Bonnet de Paillerets. Orange Cyberdéfense sera concerné au titre de la supply chain des entreprises qui devront répondre aux exigences de la directive Dora. Certains de nos clients européens dans le secteur financier, notamment allemands, nous ont ainsi fait part de leurs exigences. Il faudra donc procéder à une forme d’éducation pour éviter que Dora ne soit transposée intégralement pour des organisations qui ne sont pas contraintes de se conformer totalement à cette réglementation.

Le secteur financier est de plus en plus mature. À titre d’illustration, il a connu une baisse de 20 % du nombre de victimes, l’année dernière en Europe. Le secteur est conscient des enjeux, notamment de souveraineté, et il est prêt à consentir des efforts financiers pour augmenter la certitude d’éviter un risque sur le réseau.

Je me garderais de formuler un avis définitif sur le comité stratégique, mais souhaite vous apporter un témoignage. Je reviens de San Francisco, où je suis allé rencontrer de grands fournisseurs américains. J’ai été marqué par l’accélération de l’innovation sur les capacités en GPU (Graphics Processing Unit), les agents IA et l’augmentation de l’intelligence des robots, grâce aux milliards de dollars qui ont été injectés dans le secteur. L’innovation figure bien au cœur de la proposition de valeur et je pense qu’il s’agit là de la réponse, y compris aux enjeux de souveraineté.

Compte tenu de la diffusion descendante de la menace, la chaîne d’approvisionnement revêtira une criticité encore plus marquée qu’auparavant pour les acteurs essentiels. Il convient donc d’accorder des investissements à la supply chain.

Enfin, en tant que prestataire numérique, nous sommes assez peu concernés par le projet de loi tel que vous le mentionnez. Je crois qu’il s’agit essentiellement de trois articles, dont l’article 14.

M. Vivien Mura, directeur des technologies d’Orange Cyberdéfense. Orange Cyberdéfense accompagne une grande partie de la chaîne de valeur du numérique sur les différentes mises en conformité concernant NIS, Dora et prochainement le Cyber Resilience Act. Nous observons une hétérogénéité dans la maturité des différents maillons de la chaîne d’approvisionnement, dans la compréhension de la menace qui est pourtant de plus en plus transverse. Les attaquants sont animés par des objectifs très lucratifs et cherchent à s’infiltrer là où les portes sont ouvertes. L’hétérogénéité se constate également dans la capacité à faire face à ces différentes menaces. Les PME sont très ciblées, mais toutes n'ont pas les moyens de se mettre en conformité, ni même d’apporter une réponse sécuritaire aux différents scénarios de menace.

Quoi qu’il en soit, il n’y a pas d’alternative : il faudra investir collectivement, de manière homogène au sein de l’écosystème européen si nous voulons relever le défi de la résilience. Cet investissement pourra d’ailleurs constituer un facteur de compétitivité s’il est mené à bon escient. Il doit s’accompagner effectivement d’une politique industrielle forte et de démarches pédagogiques pour expliquer le rapport entre les textes, mais aussi leur bien-fondé au regard des enjeux de sécurité. Certaines entreprises très matures le comprennent déjà, d’autres ont besoin de s’approprier ces textes pour pouvoir mener les actions correctement.

Il faut également améliorer la coopération entre le secteur public et le secteur privé, entre l’État et les tissus industriels, notamment être capable de déléguer davantage des missions d’intérêt public vers le secteur privé. En effet, de telles actions participent aussi à la compétitivité du secteur privé, des prestataires, des fournisseurs de solutions face à une concurrence qui est assez féroce. Enfin, la capacité à prendre des risques en matière d’investissement, notamment par des capitaux privés, dans des entreprises du numérique européennes sera clef. C’est aussi de cette manière que nous pourrons nous assurer d’une forme de résilience et de respect des valeurs européennes.

Mme Katuiscia Benloukil. Selon les chiffres d’Orange Cyberdéfense, environ 60 % à 70 % des attaques concernent les PME, tout simplement parce qu’elles sont les moins bien protégées. Le secteur de l’assurance oblige les entreprises, surtout les PME, à se protéger, à être couvertes en matière de cybertechnologie. Par exemple, une attaque par un rançongiciel ne sera peut-être pas prise en charge si la PME ne démontre pas qu’elle a tout mis en œuvre pour se protéger technologiquement.

Au même titre qu’Arnaud Dechoux, je suis intéressée par les obligations contractuelles qui pèseront sur les entreprises, c’est-à-dire l’obligation de moyens. Les PME sont inquiètes des attaques qu’elles reçoivent, mais s’interrogent aussi sur la manière de prioriser un budget et une superficie financière pour pouvoir se préparer d’un point de vue assurantiel et technologique à cette conformité.

M. le président Philippe Latombe. Certains d’entre vous ont évoqué la question des certifications, qui est revenue à plusieurs reprises lors des travaux sénatoriaux. Par exemple, les Belges ont adopté dans leur transposition la référence à un certain nombre de normes internationales. Lors de son audition, l’Anssi a indiqué qu’elle ne soutenait pas cette démarche. De votre côté, seriez-vous favorable à une transposition intégrant ce type de référence, de la même manière qu’en Belgique ?

M. Aurélien Lopez-Liguori (RN). Le gouvernement a publié il y a quelques jours une stratégie nationale pour la cybersécurité qui détaille en quatre piliers sa réponse, notamment celle du ministère de l’intérieur, face à la montée de la cybermenace. Mais elle ne mentionne à aucun moment la souveraineté, ni l’exclusion des entreprises étrangères des marchés sensibles, et encore moins une préférence nationale ou européenne dans les marchés publics. Elle n’évoque pas non plus une politique industrielle à long terme capable de faire émerger des géants français et européens face aux géants extra-européens.

Ces enjeux sont pourtant vitaux ; vous en êtes l’incarnation. En tant qu’entreprises françaises, vous êtes en effet des acteurs clés de notre cybersécurité nationale. Vous protégez des hôpitaux, des collectivités, des infrastructures vitales, et vous êtes en première ligne face à la cybermenace de notre pays. Il est donc de notre devoir de vous soutenir ; il y va de l’avenir de notre pays.

Comment pouvons-nous aujourd’hui vous aider à travers NIS 2, afin que les externalités positives, les retombées économiques générées puissent en premier lieu être récupérées par des acteurs français et européens ? Dans les certifications, faudrait-il insérer des critères d’immunité aux règles extraterritoriales, afin de vous favoriser ?

Mme Sabine Thillaye (Dem). Plusieurs d’entre vous nous ont invités à ne pas surtransposer. Il me semble que l’Allemagne a déjà transposé dans son droit national les directives européennes. Quelle est votre vision à ce propos ? Plus largement, regardez-vous la manière dont les autres États membres transposent ? Quels seront les points de vigilance pour nous permettre de garantir une concurrence loyale ?

M. Michaël Barthellemy. En réalité, dans leur transposition, les Belges ont effectué un copier-coller de l’ISO 27001. Cela ne me paraît pas nécessairement être une bonne approche, mais cette solution présente l’avantage de la rapidité. La Hongrie a également procédé à une transposition et a mis en place un système d’audit accordant une préférence nationale : l’audit doit être mené en Hongrie, par des sociétés hongroises, dûment autorisées par les autorités.

La « préférence nationale » est donc déjà mise en œuvre dans d’autres pays européens. C’est la raison pour laquelle nous souhaiterions que l’Anssi propose une forme de reconnaissance, un « tampon », sans qu’il soit forcément nécessaire de l’inscrire dans la loi. Cela permettrait, pendant une période donnée, d’être exempté de demandes d’audits complémentaires.

M. Vivien Mura. Je souhaite répondre à la proposition de M. Lopez-Liguori concernant l’intégration d’une immunité contre des lois à portée extraterritoriale dans des certifications. Comme tout autre risque cyber, les accès à ses propres données qui peuvent être jugés légitimes font partie de l’analyse de risque.

Ensuite, les différentes entités ont besoin d’être outillées pour pouvoir effectivement mettre en place ces protections si elles le jugent nécessaire. En ce sens, la certification de sécurité peut offrir ce moyen, en tout cas pour des niveaux élevés. Il revient donc aux autorités compétentes d’indiquer comment cela doit intervenir, plutôt à échelle européenne. En effet, comprendre comment il est possible de mettre en place des mesures de différentes natures contre ce type de risques et de menaces est compliqué. En outre, la démarche nécessite une forme d’expertise technique, juridique, organisationnelle. Enfin, la certification constitue probablement à ce titre l’un des meilleurs leviers.

M. Arnaud Dechoux. Je partage les propos de M. Barthellemy en matière de certification. Il faudrait sans doute établir un tableau d’équivalence clair entre ISO 27001 et les choix de la France.

Je n’ai pas lu les différents textes de transposition existant dans les autres pays de l’UE. Néanmoins, il conviendra sans doute de passer des accords de reconnaissance mutuelle, qui me semblent très importants. J’étais d’ailleurs assez surpris que ces modalités n’aient pas été prévues dès le départ dans la directive.

S’agissant de la souveraineté et de la préférence européenne, nous n’avons pas envie de tomber dans un certain fatalisme. Une telle préférence est probablement difficile à introduire dans la loi en France, mais cela devra sans doute passer par des dispositifs au niveau européen, afin de soutenir les PME de l’UE. Elle devra également se manifester par la commande publique pour favoriser ces PME et l’innovation. Les Américains l’ont fait depuis longtemps ; cette démarche prendra plus de temps en Europe, mais nous devons agir de la sorte.

Mme Katuiscia Benloukil. La réflexion doit s’effectuer sur l’ensemble de la chaîne de la donnée, qui concerne non seulement nos offres de solutions technologiques de protection cyber, mais aussi les clouds souverains, qu’il faut privilégier. Je rappelle à ce titre que 80 % des logiciels utilisés aujourd’hui par les entreprises du monde entier sont américains. Il est ici question d’autonomie stratégique, dont les entreprises doivent aussi bénéficier.

Je rejoins donc les propos d’Arnaud Dechoux concernant la réglementation, la rédaction des textes de loi. Dans les commandes publiques, il est nécessaire de privilégier les éditeurs et les fournisseurs de solutions souveraines, qu’elles soient cloud ou cyber.

M. Aurélien Lopez-Liguori (RN). La position française concernant le projet de certification européenne pour les services de cloud (EUCS) risque de ne pas prévaloir. La présente transposition nous offre une occasion qui est peut-être historique. Ne faudrait-il pas trouver des solutions pour que l’effort, les externalités positives induites par NIS 2, profitent aux entreprises françaises et européennes ? Avez-vous des idées à partager dans ce domaine ? Je parlais de certification, mais peut-être existe-t-il également d’autres pistes.

M. le président Philippe Latombe. Faudrait-il profiter du texte pour adopter une définition du renseignement d’origine sources ouvertes (Osint) ? En effet, un certain nombre d’acteurs déplorent son absence et incitent le législateur à établir un cadre dans ce domaine. De son côté, l’Anssi nous a indiqué qu’elle ne voyait pas de raison particulière de légiférer sur le sujet. Qu’en pensez-vous ?

M. Éric Bothorel, rapporteur général. Je prolonge la question de M. Lopez-Liguori. Comment nous organisons-nous pour nous assurer que cette transposition se transforme en bienfaits pour l’écosystème cyber et non uniquement pour les cabinets d’avocats ou les sociétés de conseil qui ne manqueront pas de vendre des prestations de conformité ? Comment renforcer « l’équipe de France » du numérique, au-delà des effets d’aubaine dont profiteront certains ?

M. Michaël Barthellemy. À mon avis, il n’est pas nécessaire de formuler une définition de l’Osint. En revanche, lorsque nos chercheurs effectuent des recherches de failles lors de tests d’intrusion (pentests) il leur arrive de déceler des vulnérabilités zero-day. Lorsque nous entrons en relation avec le prestataire de la solution pour l’en informer, une fois sur deux, il nous rétorque qu’il n’effectuera pas de modifications et peut même nous menacer d’une action en justice si nous les publions. Dans ce cas, nous bénéficions du support de l’Anssi, qui vérifie que le travail a été mené dans les règles, même si cela ne nous offre pas de couverture juridique. Pendant les six à neuf mois où nous discutons avec l’éditeur de la solution afin qu’il effectue une correction, la vulnérabilité est exploitable dans le monde entier.

De son côté, la Belgique a inscrit dans sa loi la protection de sa recherche sur les vulnérabilités. Cela n’est pas le cas en France, où nous pouvons subir une action en justice sur deux éléments : la propriété intellectuelle et les droits d’auteur. En effet, lorsque nous décompilons du code, nous revenons au code original, qui relève des droits d’auteur. En conséquence, nous souhaiterions que nos recherches puissent être protégées. Encore une fois, lorsque nous décelons une vulnérabilité, cela profite généralement à la communauté entière.

M. Thierry Racaud. Vous nous avez interrogés sur l’opportunité que peut présenter NIS 2. Les solutions et les produits de cybersécurité sont en très grande majorité américains, même s’il existe des solutions souveraines. Une filiale d’Airbus, Storm Shield, produit ainsi des solutions et des produits de cybersécurité qui sont estampillés par l’Anssi.

Ensuite, nous ne sommes pas en contact avec des cabinets d’avocats dans nos activités de conseil et d’audit auprès de la supply chain aéronautique. L’Anssi a mis en place cette labellisation de prestataire d’audit et de conseil à la cybersécurité (PACS). Des entreprises comme la nôtre, qui disposent de ce label, sont en mesure d’intervenir auprès des sociétés pour les auditer. Ce label fait foi et montre l’expertise de nos sociétés face à des concurrents qui pourraient venir de l’extérieur.

M. Vivien Mura. Je ne suis pas certain que la certification soit le bon levier pour activer la préférence européenne, si tant est que cela soit possible. En effet, il existe un problème de rapport et de nature entre l’objectif d’une certification – qui traite plutôt des aspects de sécurité – et les objectifs de politique industrielle, où il est possible d’agir dans le cadre du code des marchés publics, ou établir des préférences d’origine dans certains cas de figure, pour couvrir des usages sensibles.

De fait, la commande publique fait partie des leviers de politique industrielle les plus forts, comme nous pouvons le constater dans d’autres pays. En conséquence, il ne faut absolument pas négliger les autres leviers, bien plus évidents que ceux relevant purement de la sécurité.

M. le président Philippe Latombe. Monsieur Barthellemy, vous nous avez posé une question sur les pentests, que nous prenons en note, même si cet aspect est sans doute trop incident pour pouvoir être intégré dans le projet de loi.

M. Arnaud Dechoux. Le « label volontaire » a été ajouté à la loi. Il s’agit d’une avancée, mais le caractère volontaire doit être conservé en tant que tel : il ne doit pas devenir obligatoire et entraîner de facto un recours à des consultants, qui constituerait un risque économique assez important pour les start-up.

M. Olivier Bonnet de Paillerets. Je partage ce point de vue. Certaines sociétés de conseil se précipitent sur ce créneau, car elles y voient des éléments de croissance très importants. Il faut donc être très attentif à ce sujet. Enfin, s’agissant de la commande publique, si nous sommes leaders en France et dans certains pays européens, nous sommes très peu présents dans l’administration française.

M. le président Philippe Latombe. Je vous remercie pour vos interventions. Nous ne savons pas encore quand ce texte sera étudié dans l’hémicycle, probablement en septembre. Dans l’intervalle, n’hésitez pas à faire parvenir des contributions écrites à nos rapporteurs, afin que nous puissions les intégrer dans notre réflexion et produire un texte le plus clair possible.

6. Table ronde réunissant des entreprises de télécommunications, mercredi 4 juin 2025 à 17 heures

Lors de sa deuxième réunion du mercredi 4 juin 2025, la commission spéciale a organisé une table ronde réunissant des entreprises de télécommunications.

M. le président Philippe Latombe. Mes chers collègues, nous poursuivons nos auditions sur le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité avec une table ronde consacrée aux entreprises de télécommunications.

Le panorama de la cybermenace 2024 de l’Agence nationale de la sécurité des systèmes d’information illustre la diversité et la gravité des menaces qui pèsent, entre autres, sur ce secteur. Sont distinguées les menaces à visée lucrative, celles à finalité d’espionnage, et enfin celles visant à déstabiliser nos sociétés, dans lesquelles s’inscrivent les actes de sabotage. Ainsi, l’ANSSI a traité en 2024 la compromission et le chiffrement par le biais d’un rançongiciel d’une entité du secteur des télécommunications. Fait marquant de 2024, certaines rares attaques DDoS d’ampleur visant des infrastructures de télécommunications ont eu des conséquences importantes sur la disponibilité de services critiques.

L’ANSSI remarque également que le « ciblage d’opérateurs de télécommunications à des fins d’espionnage est intense ». Ces deux dernières années, l’ANSSI a ainsi traité plusieurs incidents affectant des entités du secteur des télécommunications en France à des fins d’espionnage.

Nous avons le plaisir d’accueillir pour la fédération française des télécoms (FFT) : M. Patrick Guyonneau, président de la commission sécurité de la FFT et directeur de la sécurité du groupe Orange, M. Matthieu Hennebo, directeur cybersécurité d’Altice France – responsable sécurité des systèmes d’information (RSSI) du groupe Altice France et M. Corentin Durand, responsable des affaires publiques de Bouygues Telecom. Le groupe Iliad est représenté par M. Patrice Millecamps, directeur des obligations légales et Mme Ombeline Bartin, directrice des relations extérieures.

Madame, Messieurs, nous serons attentifs à vos retours sur les aspects du projet de loi qui vont concernent particulièrement, en particulier sur les points susceptibles de susciter des interrogations. Nous serons également à l’écoute de vos propositions concrètes pour renforcer la sécurité et la résilience du secteur des télécommunications.

M. Patrick Guyonneau, président de la commission sécurité de la FFT, directeur de la sécurité d’Orange France. Je vous remercie de nous donner l’occasion de nous exprimer sur un texte que nous avons déjà évoqué avec certains d’entre vous. Les opérateurs de télécom ont été diligents vis-à-vis des cybermenaces depuis longtemps, dans la mesure où les cyberattaques quotidiennes ont permis très tôt aux opérateurs d’apprendre à les détecter et à s’organiser pour les contrer. Nous n’avons pas attendu le projet de loi pour adopter des pratiques, des mesures très strictes et pertinentes en matière de cybersécurité en fonction des analyses de risque, notamment pour nos systèmes d’information les plus sensibles, dont les dysfonctionnements engendrent un impact transverse très important sur la continuité d’activité des opérateurs.

Ces mesures ont été renforcées par les contraintes ajoutées par le code de la défense après la loi de programmation militaire (LPM) de 2013. La plupart des opérateurs sont ainsi devenus des acteurs très régulés, différentes réglementations européennes et nationales s’imposant à nous. Ces liens étroits avec nos autorités de tutelle, en particulier l’Anssi, en témoignent et permettent aux opérateurs de délivrer à votre commission un certain nombre de messages tirés de nos expériences. Nous avons fortement conscience des menaces systémiques qui pèsent sur nous, comme sur de nombreux autres industriels ou opérateurs de services, mais aussi des menaces très ciblées.

L’actualité démontre malheureusement que les opérateurs sont fortement ciblés. Par ailleurs, nous savons que le risque zéro n’existe pas. En conséquence, nous souhaitons participer à cet effort commun de rehaussement du niveau de cybersécurité. J’ajoute deux arguments importants sur le soutien à cette démarche d’ensemble. D’abord, nous faisons appel à un grand nombre de sous-traitants ou de prestataires dont le niveau de cybersécurité est très hétérogène. Nous avons donc intérêt à ce qu’il s’améliore. Ensuite, en raison de leur longue expérience, tous les opérateurs de télécommunication ont en général développé une forme d’activité BtoB dans ces domaines.

En revanche, lors de notre audition devant la commission supérieure du numérique et des postes (CSNP), représentée ici par Mme la députée Le Hénanff, mais aussi au Sénat, nous nous étions inquiétés d’une surtransposition législative, au sens d’une transposition maximaliste par le haut. Dans la première version du texte, les difficultés d’interprétation pouvaient être sources d’insécurité juridique. Cette surtransposition aurait conduit à porter atteinte à la compétitivité des entreprises françaises et, in fine, à l’objectif d’harmonisation européenne. Nous remercions la CSNP et le Sénat d’avoir accepté un certain nombre d’amendements qui vont dans le bon sens selon nous.

Aujourd’hui, nous voudrions vous alerter sur l’une des principales questions posées aujourd’hui par ce projet de loi. Elle n’est d’ailleurs pas directement dans la loi, mais d’ordre réglementaire. Il s’agit du référentiel de mesures de cybersécurité, qui sera publié par l’Anssi. Ce référentiel, et notamment les règles prévues par l’article 14, n’est pas forcément utile pour tous les systèmes d’information de nos entreprises. Si notre cœur d’activité mérite sans doute de disposer d’un référentiel de haut niveau, toute la complexité ne peut pas être portée par l’ensemble des systèmes d’information.

Le texte de l’Anssi n’exige une conformité que pour les objectifs à respecter, mais en cas de contentieux avec nos clients, la difficulté réside pour nous dans cet objectif de résultat, potentiellement source d’une grande incertitude quant à sa portée et sa valeur. De plus, le principe de proportionnalité mis en avant par le directeur général de l’Anssi lors de son audition devant votre commission n’est pas encore suffisamment inscrit dans la loi à notre sens, malgré l’amendement sénatorial sur l’article 14.

Le changement d’échelle, avec l’assujettissement de NIS 2 à tous les systèmes d’information (SI), quelle que soit leur criticité, est problématique et nous semble contraire au principe de proportionnalité : toutes les activités des opérateurs ne peuvent être placées au même niveau de résilience.

Normalement, des analyses doivent être conduites par l’État et être transcrites dans une directive nationale de sécurité pour chaque secteur d’activité, pour nous permettre d’orienter nos efforts et nous focaliser là où ils sont le plus nécessaires. Le principe de mise en œuvre pour tous les niveaux d’exigence technique ne doit pas seulement s’appliquer sur les types d’entités. Ce n’est pas tant la taille de l’entité qui importe, mais la sensibilité des SI et l’impact en cas de dysfonctionnement.

Ensuite, la plupart d’entre nous sommes présents dans plusieurs pays européens. Nous avons ainsi pu constater comment d’autres pays ont transposé la directive NIS 2, laissant le soin aux acteurs d’apprécier leurs besoins par des analyses de risque et d’adopter des mesures strictement nécessaires en co-construction avec les autorités de tutelle. Il est hors de notre portée de réaliser pour l’ensemble de nos systèmes d’information des audits obligatoires, de déployer les mesures les plus complexes, comme des réseaux spécifiques d’administration, des postes spécifiques pour les administrateurs. Ce sont ces questions de mise en conformité qui nous posent problème, surtout dans des délais extrêmement réduits, puisqu’ils sont de l’ordre de trois ans. L’application des mesures les plus strictes occasionnerait environ 20 % de surcoûts pour un SI, à la fois dans la conception, mais aussi dans le maintien en condition quotidienne. Or nous avons déjà consenti des investissements massifs pour d’autres raisons et notre secteur connaît actuellement une situation économique difficile.

Ensuite, nous nous interrogeons sur le niveau de sévérité des incidents à déclarer, dans la mesure où tout incident cyber est susceptible d’engendrer de grandes conséquences. Il est donc difficile pour nous de cerner exactement ce que nous devrons signaler à l’Anssi, dans des délais très contraints, qui ne nous permettront pas de conduire des analyses d’impact suffisantes.

Nos principales recommandations reposent sur une priorisation et une hiérarchisation dans un souci de proportionnalité des exigences, afin d’éviter la congestion et des surcoûts. Nous souhaitons également échelonner dans le temps la mise en œuvre de ces mesures techniques ou organisationnelles. Ensuite, des mises en œuvre d’accords de reconnaissance mutuelle permettraient aux organisations de satisfaire aux exigences de l’Anssi dans plusieurs États membres qui se contentent d’une conformité à ISO 27000.

S’agissant des incidents importants, nous souhaiterions que des critères plus précis soient établis avant d’enclencher une notification, sous peine d’engorger le système de l’Anssi. Nous estimons également qu’un organe de supervision parlementaire sur la mise en œuvre de ces règles NIS 2 pourrait représenter une bonne solution, afin d’éviter une surtransposition uniquement administrative.

Malgré la qualification par l’Anssi de notre secteur comme « supercritique », les pouvoirs publics n’ont pas pour l’instant classé les télécoms au rang de services essentiels dans notre pays, notamment dans l’arrêté du 5 juillet 1990, fixant les consignes générales de délestage des réseaux électriques. Le rapporteur Éric Bothorel rappelait à juste titre lors de l’audition du secrétariat général pour la défense et la sécurité nationale (SGDSN) l’importance des systèmes de télécommunication pour la résilience de l’ensemble des entités.

M. Matthieu Hennebo, directeur cybersécurité d’Altice France. La notion de proportionnalité concerne les mesures de sécurité que nous pourrions être conduits à identifier et à devoir mettre en œuvre sur ces systèmes en fonction de la criticité des services qu’ils délivrent. La proportionnalité porte également sur leur délimitation dans le cadre de la mise en œuvre des mesures de cybersécurité.

M. Corentin Durand, responsable des affaires publiques de Bouygues Telecom. Je partage les propos du président de la commission sécurité de la FFT et me permets d’insister une nouvelle fois sur les notions de priorisation et de proportionnalité.

Aujourd’hui, un opérateur comme Bouygues Télécom opère sur des milliers de systèmes d’information, des services qui sont essentiels, aussi bien pour les citoyens que pour les entreprises avec lesquelles nous travaillons. Ces systèmes d’information doivent être robustes et évidemment protégés. Cependant, les systèmes d’information sur lesquels nous opérons aujourd’hui ne peuvent pas tous être considérés comme critiques.

Dans notre entreprise, nous avons défini une forme de nomenclature de sensibilité des applications et systèmes d’information avec lesquelles nous travaillons quotidiennement pour les activités que nous gérons, c’est-à-dire des activités réseaux généralement critiques, ou des activités indépendantes des activités réseaux, sur lesquelles la compromission n’aura pas du tout le même impact.

Il existe quatre typologies de sensibilité. Un certain nombre de systèmes d’information sont non-sensibles, puisque leur compromission ne provoquerait pas de problèmes graves ou alors modérés et qui ne remettraient pas nécessairement en question notre activité ou des activités qui existent grâce à nous.

En revanche, sur deux niveaux de sensibilité élevés, voire très sensibles, les règles les plus strictes doivent s’appliquer, y compris les analyses de risque qui nous paraissent absolument essentielles sur ces types de systèmes d’information, mais qui ne provoqueraient pas de problèmes graves, disproportionnés, en cas de compromission. C’est la raison pour laquelle nous parlons effectivement de proportionnalité jusqu’à présent, en sachant que la proportion de systèmes d’information que nous pourrions considérer comme sensibles et très sensibles est plutôt limitée et que de nombreuses applications aux SI ne rentrent pas dans ces deux catégories.

Patrick Guyonneau a évoqué le sujet de la qualification des opérateurs télécoms comme des services prioritaires. Lors de l’hiver 2022-2023, voire de l’hiver 2023-2024 dans une moindre mesure, nous avons ainsi été quelque peu surpris d’apprendre que nos infrastructures pourraient potentiellement faire l’objet de délestages électriques, non seulement parce que nous sommes aussi dans l’obligation d’assurer en permanence l’acheminement de nos communications d’urgence – une activité absolument essentielle – mais aussi parce que les infrastructures télécoms sont absolument incontournables.

Le deuxième élément de cette priorisation concerne la réaction qui devrait être la nôtre à l’occasion d’incidents climatiques. Nous en avons connu un certain nombre récemment et nous serons probablement conduits à en connaître de plus en plus. Dans ces circonstances, certaines de nos antennes finissent par ne plus fonctionner, parce qu’elles subissent une rupture d’alimentation électrique. Il s’agit non seulement de sécuriser nos antennes et le réseau électrique, mais surtout de nous assurer que ces infrastructures soient de nouveau alimentées dès le déploiement de la réponse de crise. Nous estimons qu’il faut effectivement relever le niveau de sécurisation des infrastructures supercritiques.

Mme Ombeline Bartin, directrice des relations extérieures d’Iliad-Free. Je partage l’ensemble des préoccupations qui ont pu être soulignées par la FFT et les différents opérateurs. En synthèse, ce texte comporte trois enjeux principaux pour nous.

En premier lieu, il faut nous laisser le temps de la mise en œuvre du texte. Le directeur général de l’Anssi avait évoqué trois ans, ce qui constitue une durée minimale. En effet, si les opérateurs entreprennent depuis plusieurs années des mesures d’audit, de prévention et de sécurisation de leurs SI, le texte de transposition nous fait changer d’échelle. En conséquence, il serait plus sécurisant pour nous que la loi inscrive un délai de mise en œuvre, comme cela peut être le cas pour d’autres dispositions du texte.

Deuxièmement, toute surtransposition engendrerait pour nous des complexités et des coûts supplémentaires. Or, la mise en conformité avec ce nouveau texte de l’ensemble de nos SI sera déjà assez coûteuse.

Troisièmement, le projet de loi prévoit de nombreux renvois à des décrets sur des points substantiels, notamment le référentiel ou des procédures de notification. Ces recours constituent pour nous une source d’insécurité ; nous préférerions savoir dès le départ les règles que nous devrons appliquer, les procédures que nous devrons respecter. Nous préconisons donc de simplifier le plus possible le recours à ces décrets.

Un autre point d’attention est lié au référentiel évoqué à l’article 14. La définition de ce référentiel représentera un enjeu considérable pour nous, d’autant plus qu’aujourd’hui, la norme ISO 27001 prévoit des procédures que nous respectons d’ores et déjà. Enfin, le dernier élément concerne l’article 17. Il serait sécurisant de déterminer un point unique de notification des incidents et des vulnérabilités. À l’heure actuelle, il existe en effet une multiplicité de procédures entre Bercy, le ministère de l’intérieur et l’Anssi.

En conclusion, je souligne que la rédaction par le Sénat porte également des avancées, notamment la reprise des définitions des incidents et des vulnérabilités et la précision des délais de la procédure graduée prévue par la directive. Nous demandons à l’Assemblée nationale de conserver ces points qui offrent une meilleure visibilité et une meilleure définition de l’objet des procédures impliquées.

M. Éric Bothorel, rapporteur général. Madame Bartin, vous venez d’évoquer votre attachement à un délai de mise en œuvre. Je me permets de souligner que vous avez déjà gagné un an, puisque nous examinons un texte qui aurait dû être adopté l’année dernière. Même si la version définitive du texte n’est pas stabilisée, ses grandes lignes sont connues de longue date, me semble-t-il.

Parmi les priorités 2022-2027 des opérateurs télécoms présentées par la FTT, la proposition n° 2 vise à « intensifier la prévention et la lutte contre les actes de malveillance et de dégradation des infrastructures numériques en renforçant les réquisitions en diversifiant les sanctions pénales à l’encontre de leurs auteurs ». La proposition n° 6 consiste à « évaluer la conformité, d’une part des actes législatifs existants, et d’autre part de toute réforme, au principe de concurrence équitable (level playing field) avec les autres acteurs du numérique afin de ne plus créer de nouveaux écarts entre les acteurs, généraliser les études d’impact ex ante et ex post sur ces sujets ». La proposition n° 7 a pour objet de « poursuivre les travaux de réforme de la directive NIS afin que les éditeurs de logiciels d’importance stratégique et les équipementiers soient responsabilisés au même titre que les opérateurs télécoms ».

La multiplication du nombre d’acteurs concernés par les directives NIS 2 et REC est patente, y compris le secteur public. Vous avez développé selon vos propres termes une sécurité robuste en faveur de la résilience de l’intégralité de la chaîne de valeur. Or nous entendons qu’il faudrait être plus souple avec les filiales, tout en étant plus exigeant avec les sous-traitants. Quel est votre point de vue à ce sujet ?

Ensuite, vous êtes des entreprises de télécoms, mais une partie des réseaux sont sous statut public. Le Sénat semble attentif à ce que le projet de loi n’ait pas un impact trop fort les collectivités. Qu’en pensez-vous ? Enfin, les asymétries réglementaires entre opérateurs télécoms et géants d’internet perdurent. Vous nous avez régulièrement interpellés afin qu’elles soient impérativement corrigées pour assurer un traitement équitable de tous les acteurs de l’écosystème numérique. Pensez-vous que les dispositions de ce projet de loi puissent y contribuer ?

Mme Anne Le Hénanff, rapporteure. Les modifications apportées par le Sénat à ce stade vous conviennent-elles ? Faut-il préciser encore plus quelques notions ?

Ensuite, les procédures en matière de gestion de crise sont-elles spécifiques à chacune de vos entreprises ou existe-t-il un référentiel commun, par exemple sous l’égide de la FFT ? Comment vous inscrivez-vous dans des procédures telles que les plans communaux, départementaux ou préfectoraux de sauvegarde ? Le texte doit-il approfondir la gestion de crise et des moyens à mettre en œuvre pour vous guider ? Ce texte vous conduira-t-il à faire évoluer vos procédures collectives ou individuelles ?

Enfin, M. Guyonneau, vous avez souligné l’importance à vos yeux de l’idée de proportionnalité, en fonction de la taille des opérateurs. Pourriez-vous nous fournir des exemples précis ? Quels risques distinguent un petit opérateur télécom d’un opérateur de plus grande taille ?

M. Patrick Guyonneau. Chaque opérateur dispose de ses propres procédures de gestion de crise, pour différentes raisons. Cependant, nous avons fortement travaillé sur nos procédures avec l’État, en particulier le commissariat aux communications électroniques de défense (CCED) et le centre opérationnel de gestion interministérielle des crises (Cogic). Nous avons ainsi produit des efforts, qui ont été salués, sur la rapidité de prévention et l’impact estimé de tel ou tel incident. En conséquence, il ne semble pas nécessaire que la loi apporte des compléments à ce sujet.

Par ailleurs, nous échangeons en temps réel entre opérateurs, dès que l’un d’entre nous souffre d’un incident. Les Jeux olympiques, qui se sont déroulés avec succès, ont d’ailleurs prouvé la validité de nos procédures face aux incidents qui se sont produits. En revanche, comme le soulignait Mme Ombeline Bartin, nous sommes demandeurs d’un interlocuteur unique dans le cadre du signalement des incidents.

Je ne pense pas que la taille des opérateurs soit l’élément le plus discriminant. Cela dépend de leur place dans le service que l’État juge essentiel ou critique pour la résilience de la société. Un petit opérateur peut être fondamental dans le transport de la donnée, par exemple sur une zone très particulière. À ce sujet, et pour répondre à une question du rapporteur Bothorel, tout n’est pas réglé vis-à-vis des sous-traitants ou des concurrents. Pour l’instant, un certain nombre de partenaires industriels, ne sont pas forcément visés dans cette chaîne, lorsque l’on réfléchit à la résilience de bout en bout.

Enfin, je précise que nous conduisons des exercices réguliers avec les différents organismes de l’État.

M. le président Philippe Latombe. S’agissant de la directive sur la résilience opérationnelle numérique du secteur financier (Dora), avez-vous d’autres points à apporter à notre connaissance concernant le titre III ?

M. Matthieu Hennebo. Les opérateurs télécom délivrent des prestations et des services à de nombreuses entreprises du secteur bancaire et assurantiel. À ce titre, une source d’inquiétude concerne la capacité qui sera laissée à ces clients de pouvoir opérer des audits assez larges, dans le cadre de Dora.

Nous souhaiterions obtenir plus de lisibilité sur l’encadrement applicable à ces échanges qui, rappelons-le, restent d’ordre commercial. Il s’agirait d’obtenir des précisions sur les systèmes à auditer, leur périmètre ; mais également le niveau d’accès aux informations accordé. En effet, si le service est effectivement « sensible », faudra-t-il donner l’accès à des informations très sensibles ? Il s’agit là d’un point de vigilance sur l’application et la transposition de Dora, mais aussi les contractualisations qui en découleront.

M. Corentin Durand. Dora placera au centre du jeu de nouvelles autorités de régulation du secteur financier, en toute logique. Je partage à ce titre les propos du directeur de l’Anssi, quand il indique que son agence ne doit pas être exclue de l’application de ce règlement. En effet, nous serons concernés par les audits potentiels et avons besoin que l’autorité de tutelle avec laquelle nous avons l’habitude de travailler soit concernée, au titre de la réponse aux incidents ou tout simplement pour le suivi de l’interfaçage entre les réglementations NIS 2 et Dora.

M. le rapporteur général Bothorel, nous n’avons pas à ce jour d’avis sur les obligations des collectivités. Cependant, étant confrontés à la même problématique, nous constatons que la marche demeure assez haute. J’en profite également pour souligner les actions des opérateurs en matière de développement d’offres de diagnostic et de programmes de mise en conformité qui s’adressent non seulement aux nouvelles entités qui seront assujetties à NIS 2, mais aussi aux collectivités. Si ces dernières ressentent le besoin d’être accompagnées, nous nous tiendrons à leur disposition.

M. le président Philippe Latombe. Si je comprends bien, deux questions se posent pour vous dans le cadre de Dora. La première concerne les audits et votre assujettissement à l’Autorité des marchés financiers (AMF) et à l’Autorité de contrôle prudentiel et de résolution (ACPR), ce qui n’était pas le cas auparavant, puisque l’Anssi était votre seul interlocuteur.

La deuxième est liée à la faculté des sociétés soumises à Dora d’auditer les entreprises avec lesquelles elles travaillent, dans un cadre contractuel. Vous redoutez que ces sociétés vous imposent des audits réguliers, potentiellement sur des systèmes d’information qui ne les concernent pas, mais qu’il pourrait être important pour vous de conserver à titre confidentiel ou, à tout le moins, de ne pas trop les exposer. Ai-je bien résumé la situation ?

M. Matthieu Hennebo. Exactement. Il s’agit de bien recentrer cette notion d’audit et la sensibilité de certains systèmes et services qui pouvaient être délivrés. Aujourd’hui, la criticité ne porte pas sur le service à proprement parler, mais sur l’opérateur. Il faudrait donc opérer un cadrage, notamment au niveau du service qui est concrètement mis à disposition du client bancaire. Simultanément, l’Anssi devrait être en mesure d’arbitrer la notion d’audit ou la capacité à pouvoir donner accès à certaines informations de systèmes sensibles.

Notre interrogation porte donc sur les critères selon lesquels un opérateur sera jugé critique par une banque. S’agira-t-il de son service ? La catégorisation sera-t-elle établie par une autorité européenne ou nationale de surveillance, en l’occurrence l’AMF ou l’ACPR ?

M. le président Philippe Latombe. Identifiez-vous dans le texte des éléments sur lesquels il faudrait apporter des précisions et, si tel est le cas, lesquelles seraient-elles ? En effet, selon que la loi se concentre sur la notion de service ou d’opérateur, les champs sont totalement différents. Nous devons absolument éviter les effets de bord, d’autant plus qu’il s’agit d’une transposition et non uniquement d’une loi d’initiative française.

M. Corentin Durand. À ce stade, il s’agit surtout pour nous d’une alerte, que nous n’avions pas initialement identifiée sur ce texte. Je ne suis pas certain que la réponse à la question de la criticité des services de connectivité doive être d’ordre législatif, compte tenu de la technicité des sujets. En revanche, ce sujet ne doit pas être oublié et nous espérons pouvoir le retravailler. Au-delà, il nous semble essentiel que notre autorité de tutelle habituelle, l’Anssi, puisse être réellement impliquée dans la mise en œuvre de Dora. Cela nous faciliterait la tâche.

M. Éric Bothorel, rapporteur général. Madame Bartin, qu’entendez-vous par « simplifier le recours aux décrets » ? Faut-il inscrire dans le droit le référentiel ou la procédure de notification ? J’aimerais obtenir des éclaircissements sur cet aspect.

M. le président Philippe Latombe. Je prolonge la question du rapporteur général. Les précisions que vous avez évoquées concernant Dora devraient-elles être inscrites dans la loi ? A priori, cela relèverait plutôt du domaine du réglementaire, mais dans vos propos liminaires, vous indiquiez votre souhait de voir la partie réglementaire limitée.

Ces aspects n’avaient pas été mentionnés lors des auditions du Sénat. Or nous intervenons dans le cadre d’une procédure accélérée et nous allons devoir nous accorder avec les sénateurs. Cela implique de parvenir à une écriture la plus précise possible, afin de faciliter le travail de la commission mixte paritaire (CMP). Mes demandes de précision ont pour objet de permettre aux sénateurs d’y réfléchir de leur côté, avant la CMP.

Mme Ombeline Bartin. Certaines mesures ne peuvent effectivement être définies que par voie réglementaire. Simplement, nous souhaitons pouvoir les anticiper au maximum, ce qui n’est pas le cas aujourd’hui. S’agissant du référentiel, nous souhaitons nous assurer qu’il correspondra bien à la norme ISO 27 001.

Les procédures de notification sont assez bien définies dans le texte de loi et dans la directive. En conséquence, nous nous demandons quelles précisions pourraient être apportées par voie réglementaire, dans la mesure où les procédures en vigueur aujourd’hui fonctionnent et ont fait leur preuve.

M. le président Philippe Latombe. Si je comprends bien, vous seriez favorable à une démarche similaire à celle employée par les Belges, c’est-à-dire transposer en faisant immédiatement référence à ISO 27001, plutôt que d’établir un autre référentiel.

Mme Ombeline Bartin. Oui.

M. Patrick Guyonneau. D’une certaine manière, oui. À tout le moins, nous souhaiterions qu’il existe des équivalences, telles que celles mentionnées par l’Anssi. Ainsi, le respect de l’ISO 27001 offrirait une présomption de conformité. Cette question rejoint celle de la proportionnalité dans les services rendus. En effet, les systèmes d’information se comptent par milliers et n’ont pas tous le même degré d’importance ni de sensibilité. C’est la raison pour laquelle, avant de parvenir au référentiel de l’Anssi, il est nécessaire de disposer d’un décret qui précise cette proportionnalité par rapport à la criticité du service rendu.

Il s’agit d’éviter des situations rocambolesques pour tous les opérateurs paneuropéens. Par exemple, notre filiale belge BtoB pourrait travailler en France grâce à une présomption forte de compatibilité NIS parce qu’elle est ISO 27001 en Belgique, quand cela ne serait pas le cas d’Orange Business France, qui n’aurait pas encore intégralement coché toutes les cases du référentiel Anssi. Le problème porte bien sur la gestion de la cohérence.

Ensuite, les articles 14 et 17 posent question, en particulier sur les pertes financières. Nous ne sommes pas en mesure d’évaluer la matérialité des impacts financiers pour un certain nombre de clients. Plus précisément, il s’agit de l’alinéa 3 de l’article 17. Selon nous, il mériterait sans doute d’être rédigé différemment et plutôt parler de l’impact sur le service. La résilience n’équivaut pas à un risque zéro, mais concerne la continuité de service. À titre d’illustration, en cas de crise, l’accès à internet n’a pas la même importance selon qu’il s’agit d’un particulier ou d’un hôpital.

Une question du même ordre se pose à l’article 14, concernant les conséquences économiques et sociales. En gestion de crise, lorsqu’un incident survient, et compte tenu des délais imposés pour effectuer les déclarations, nous sommes incapables de nous occuper des conséquences économiques et sociales. Dans de telles circonstances, notre principale préoccupation consiste à rétablir le service, avec une priorité accordée aux numéros d’urgence.

En résumé, il conviendrait de clarifier ce qui est considéré comme « essentiel » dans les articles 14 et 17 ou, à tout le moins, renvoyer à un premier décret. En effet, je ne partage pas l’idée selon laquelle nous aurions le temps pour la mise en application. De fait, les délais courent depuis le 17 octobre de l’année de la publication de la directive. Pour certains sujets, le chronomètre est déjà enclenché, mais nous ne savons pas ce que nous devons faire.

M. Éric Bothorel, rapporteur général. Quel est votre point de vue concernant la sanction pénale des dirigeants ?

M. Patrick Guyonneau. Ici aussi, il existe un enjeu d’harmonisation et de cohérence, puisque le texte ne prévoit pas de sanction pénale pour un haut fonctionnaire qui n’aurait pas agi comme il le devait en matière de systèmes d’information. En effet, certaines données des ministères sont plus sensibles que celles que nous détenons. Soyez rassurés, chez tous les opérateurs, les sujets de sécurité sont extrêmement importants. Nos comités exécutifs les abordent et les font figurer au rang des priorités lors des analyses de risques.

M. Corentin Durand. Le secteur des télécoms est extrêmement régulé et il existe déjà de nombreux textes qui prévoient d’engager la responsabilité des dirigeants en cas de non-respect des obligations qui leur incombent. Je partage le point de vue de M. Guyonneau : les enjeux cyber figurent parmi les priorités, au quotidien.

M. le président Philippe Latombe. Nous avons évoqué la problématique de Dora et la question de l’assujettissement indirect. Existe-t-il des zones de frottement, des incompatibilités, entre NIS 2 et la directive REC vous concernant ? Entre le texte de loi et d’autres réglementations comme le règlement général sur la protection des données (RGPD), par exemple ?

M. Patrick Guyonneau. Non, pas à ma connaissance, hormis le sujet du non bis in idem ; nous ne voulons pas être punis deux fois. Ensuite, un incident peut engendrer de multiples conséquences. En fonction du type de conséquence, plusieurs personnes doivent être alertées et nous sommes préoccupés à l’idée d’en oublier une.

S’agissant de Dora, la plupart des clients bancaires ne réalisent pas eux-mêmes les audits, mais font appel à des cabinets ou des prestataires extérieurs. À ce titre, nous ne souhaitons pas devoir multiplier les audits, a fortiori avec des acteurs qui ne seraient pas forcément nationaux ou européens.

M. le président Philippe Latombe. Considérez-vous que le sujet du non bis in idem est aujourd’hui traité dans le texte issu du Sénat ?

M. Patrick Guyonneau. Il me semble que cet aspect a été clairement traité par M. Strubel, qui a indiqué qu’il n’y aurait pas de double sanction. Nous estimons que vous envisagerez cet aspect avec sagesse, dans le texte.

M. Éric Bothorel, rapporteur général. Avez-vous identifié des points de frottement entre le projet de loi tel qu’il a été rédigé par le Sénat et d’éventuelles dispositions du règlement européen sur la cyberrésilience (Cyber Resilience Act, CRA) ?

M. Patrick Guyonneau. Il est encore un peu trop tôt pour nous prononcer à ce sujet, nous sommes en train d’étudier le CRA, qui porte des sujets importants vis-à-vis d’un certain nombre de nos équipements.

M. le président Philippe Latombe. Si vous identifiez rapidement des éléments, nous vous serions reconnaissants de nous en faire part, afin que nous puissions anticiper au maximum d’éventuels frottements, à plus forte raison si le texte est examiné en septembre dans l’hémicycle.

M. Matthieu Hennebo. S’agissant de Dora, je souscris aux propos de M. Guyonneau concernant l’accès d’auditeurs étrangers à des informations sensibles. Un opérateur pourra être soumis à Dora dans la mesure où il délivre des services à une banque ou une assurance. Sans entrer dans des considérations très techniques et complexes qu’il n’est pas envisageable d’intégrer dans la loi, nous souhaiterions bénéficier de suffisamment de visibilité, de cohérence. Par exemple, il serait utile que l’Anssi puisse à un moment donné se prononcer pour confirmer qu’un service délivré par l’opérateur pour la banque dans tel ou tel contexte est critique ou non.

M. le président Philippe Latombe. Je vous remercie. Nous ne savons pas encore quand ce texte sera étudié dans l’hémicycle. Dans l’intervalle, n’hésitez pas à faire parvenir des contributions écrites à nos rapporteurs, afin que nous puissions les intégrer dans notre réflexion et produire un texte le plus clair possible. L’objectif consiste en effet à éviter des zones d’ombre, des effets de bord.

7. Table ronde réunissant des experts de la cybersécurité, jeudi 5 juin 2025 à 9 heures 30

Lors de sa première réunion du jeudi 5 juin 2025, la commission spéciale a organisé une table ronde réunissant des experts de la cybersécurité : CyberTaskForce : M. Sébastien Garnault, fondateur, M. Philippe Luc, co-fondateur de Anozr Way et Mme Anne-Elise Jolicard, responsable des affaires publiques ; Clusif : Mme Florence Puybareau, directrice, M. Benjamin Leroux, administrateur, Mme Garance Mathias, administratrice, et Mme Eva Aspe, en charge des affaires publiques ; Hexatrust : M. Jean Noël de Galzain, président, Mme Dorothée Decrop, déléguée générale et Mme Sara Durand, consultante ; CyberCercle : Mme Bénédicte Pilliet, présidente, MM. Christian Daviot et François Coupez, senior advisors ; CESIN : Mme Mylène Jarossay, vice-présidente, et M. Arnaud Martin, vice-président ; Alliance pour la confiance numérique (ACN).

M. le président Philippe Latombe. Mes chers collègues, nous poursuivons nos auditions sur le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité avec une table ronde rassemblant des spécialistes de la cybersécurité. CyberTaskForce est représenté par son fondateur Sébastien Garnault, Philippe Luc, membre de Cyber Task Force et président d’Anozr Way, ainsi que par Anne-Élise Jolicard, responsable des affaires publiques d’Anozr Way. Nous recevons également les représentants de CyberCercle : Bénédicte Pilliet, sa présidente, ainsi que Christian Daviot, François Coupez, Stéphane Meynet, tous trois senior advisors. Le Clusif est représenté par trois administrateurs, Benjamin Leroux, Michel Dubois et Garance Mathias ; Hexatrust par son président Jean-Noël de Galzain et sa déléguée générale Dorothée Decrop. Enfin, nous accueillons Daniel Le Coguic, président de l’Alliance pour la confiance numérique (ACN) accompagné du directeur général Yoann Kassianides ; ainsi que les vice-présidents du club des experts de la sécurité de l’information et du numérique (Cesin), Mme Mylène Jarossay et M. Arnaud Martin.

La France bénéficie d’un écosystème dynamique et structuré dans le domaine de la cybersécurité, à la fois grâce à ses entreprises qui conçoivent et développent des solutions innovantes et à ses associations qui œuvrent activement à la sensibilisation des acteurs économiques face aux risques cyber.

À ce titre, l’Agence nationale de la sécurité des systèmes d’information (Anssi) a par exemple organisé le 17 février dernier au Campus Cyber un exercice grandeur nature de gestion de crise. Cette initiative a permis de renforcer la coordination des différents acteurs et d’enrichir notre culture de réponse face aux menaces émergentes. Le projet de loi que la commission spéciale est chargée d’examiner vise à renforcer notre cadre juridique en matière de cybersécurité, notamment dans le cadre de la transposition de la directive européenne NIS 2, qui fait l’objet du titre II du projet de loi. Il ne faut pas non plus oublier le titre Ier, consacré à la résilience des activités d’importance vitale et qui procède à la transposition de la directive sur la résilience des entités critiques (REC) ; et le titre III, consacré à la résilience opérationnelle numérique du secteur financier qui procède à la transposition de la directive sur la résilience opérationnelle numérique du secteur financier (Dora).

Dans ce contexte, nous souhaitons vous entendre sur la manière dont vous percevez le projet de loi et les éventuels angles morts auxquels il faudrait remédier dans le cadre de l’examen du projet de loi par l’Assemblée nationale.

M. Philippe Luc, membre de Cyber Task Force et président d’Anozr Way. Je vous remercie pour cette invitation et pour l’attention que vous voudrez bien porter aux préoccupations que nous vous remontons. Je suis Philippe Luc, président d’Anozr Way, une société spécialisée en cybersécurité, membre du bureau national de l’Alliance pour la confiance numérique. Nous nous exprimons aujourd’hui en tant que témoins d’une évolution préoccupante de la menace cyber, des tactiques des attaquants et de l’adaptation parfois insuffisante des stratégies de défense. Malgré un niveau de maturité croissant des entreprises et de nos institutions, jamais elles n’ont été autant exposées.

Comment expliquer ce paradoxe ? Nous pensons que ceci est d’abord lié à une inadéquation entre nos stratégies de défense et celles des attaquants. Les défenses restent largement pensées selon des logiques techniques, alors que les attaques reposent sur une approche dynamique, opportuniste et surtout humaine. Le directeur général de l’Anssi a évoqué à juste titre la notion de menace systémique capable de fragiliser tout un système par simple effet domino.

Si nous avons progressé sur le terrain des vulnérabilités techniques, la principale faille aujourd’hui est humaine. Prenons un exemple concret : un salarié clique sur un lien d’hameçonnage, un logiciel malveillant s’introduit, se propage via des interconnexions à d’autres entreprises, et finalement, l’ensemble d’un réseau économique est menacé. Le point d’entrée est souvent humain, et cet hameçonnage n’est qu’un point de départ. Aujourd’hui, les vulnérabilités humaines sont devenues multiples et complexes. Un attaquant peut exploiter des informations personnelles, comme une dette de jeu en ligne, pour faire pression sur un salarié dont il pourrait même louer les identifiants, ou les avoir volés déjà au préalable.

Cela devient le modèle économique du cybercrime et le point commun de bon nombre d’attaques qualifiées de techniques. Le facteur humain est désormais le principal vecteur de propagation des menaces systémiques. Les attaques par ingénierie sociale, l’hameçonnage, les deep fake utilisent des données personnelles disponibles en source ouverte – on parle de renseignements d’origine source ouverte (Osint). Les attaquants maîtrisent parfaitement ces techniques pour manipuler les individus. Nos stratégies de défense sont inefficaces, car nos dispositifs classiques de sécurité ne prennent pas en compte la réalité du risque humain, et tous les audits de sécurité classique que l’on peut mener ne détectent pas les comportements à risque, les mots de passe réutilisés ou les informations sensibles, nécessaires à la réalisation de ces scénarios d’attaques par ingénierie sociale.

J’en profite également pour préciser qu’on ne résoudra pas le problème du facteur humain uniquement par des sessions de e-learning ou des tests d’hameçonnage. Nous devons passer d’une posture statique de sensibilisation à une posture active de gestion du risque humain par un monitoring continu du risque d’exposition de ces utilisateurs aux attaques par ingénierie sociale. Cela devra impérativement être intégré dans le référentiel d’application qui accompagnera ce projet de loi.

La France possède déjà un savoir-faire solide en la matière. Dans ce contexte, la directive NIS 2 représente une opportunité cruciale. Elle consacre l’intégration du facteur humain comme un élément central de la résilience cyber. Pourtant, dans sa première version, le projet de loi français ne faisait aucune mention des vulnérabilités humaines. Il a fallu un amendement du Sénat pour les réintroduire, soit une avancée majeure que nous saluons. Cependant, nous devons aller plus loin. Au-delà de l’établissement d’un cadre technique, la directive NIS 2 constitue un véritable changement de paradigme. Elle nous invite à penser la cybersécurité non plus uniquement en termes de protection, mais en termes de gestion active du risque, en intégrant pleinement les erreurs humaines.

Cela suppose impérativement de travailler sur les définitions. La définition de vulnérabilité a été intégrée, mais la notion de cyber menace ou d’approche « tous risques » reste toujours absente du corpus juridique. De leur côté, nos voisins allemands et italiens les ont intégrées, et l’Allemagne vise explicitement les considérants 78 et 79 de la directive, qui détaillent cette approche globale. Les Italiens en ont même tiré une définition à part entière. De fait, on ne peut pas atteindre un haut niveau de résilience convenable si l’on ne définit pas précisément les termes de risque, de menace et de vulnérabilité. Le sujet n’est pas uniquement français, mais se situe au niveau européen. Il est nécessaire que nous nous accordions sur une même définition en Europe.

En conclusion, si nous voulons sortir de cette spirale d’attaque, nous devons changer de regard. Le cyber criminel moderne n’a pas besoin de forcer la porte ; il sait que quelqu’un lui ouvrira ou qu’une clé traînera sous le paillasson. La directive NIS 2 nous offre l’opportunité d’abandonner une posture purement défensive pour construire une cybersécurité fondée sur l’anticipation, la pédagogie et la gestion proactive du risque humain.

Mme Garance Mathias, administratrice du Clusif. Les propos du Clusif se concentreront particulièrement sur le titre II relatif à la transposition de la directive NIS 2, un enjeu extrêmement important, y compris pour la collectivité du Clusif, peut-être la seule association à être reconnue d’utilité publique depuis la fin de l’année 2024. Dans le cadre de cette transposition de textes très ambitieux, il importe de ne pas se concentrer uniquement sur la France métropolitaine, mais d’appréhender la richesse de l’ensemble de nos territoires. Au sein de l’association que nous représentons aujourd’hui, nous avons également la chance de disposer de clubs de la sécurité de l’information en réseau (Clusir) outre-mer.

Ensuite, il nous semble très important de revenir plus spécifiquement sur le choix des référentiels. Je cède la parole à M. Dubois, qui abordera la question des sanctions, mais aussi la notification des incidents, un aspect opérationnel très important qui concerne l’ensemble des acteurs, collectivités, administrations ou entreprises. Votre projet de loi doit être envisagé comme une opportunité et non uniquement comme une contrainte.

M. Michel Dubois, administrateur du Clusif. Le Clusif appelle à établir un référentiel qui s’appuie sur la famille des normes ISO 27000, à l’instar de la Belgique. En effet, la norme ISO 27002 présente notamment l’avantage d’être opérationnelle dans toute l’Europe et de constituer un élément clé dans la mise en conformité des organisations. La norme ISO 27001 étant certifiante, une approche similaire à la Belgique proposant soit une certification 27001, soit une conformité à un référentiel local, semble constituer une approche intéressante.

M. Benjamin Leroux, administrateur du Clusif. Il est important que ce référentiel soit reconnu dans les autres pays de l’Union européenne. À ce titre, une norme comme ISO peut être intéressante. Si elle n’est pas finalement retenue, il faudra que le référentiel national puisse documenter sa compatibilité avec les autres référentiels locaux.

M. Michel Dubois. Un autre aspect concerne notamment la partie relative aux référents. Nous sommes favorables à une obligation pour les structures éligibles à NIS 2 de disposer d’un référent, que l’on pourrait appeler référent cyber sécurité, référent sécurité numérique ou tout simplement responsable sécurité des systèmes d’information (RSSI). Ce référent aura un lien direct avec la direction de l’organisme, comme son comité exécutif et disposera de la légitimité et du soutien nécessaires aux travaux de mise en conformité et d’entretien dans le temps de cette conformité. Ce référent sera également le point de contact référent de l’Anssi.

M. Benjamin Leroux. Pour le Clusif, les entités publiques doivent également pouvoir être sanctionnées en cas de manquement, comme les entreprises privées. Il s’agit de la condition sine qua non d’une bonne prise de conscience de la part de la sphère publique. Il faut malheureusement parfois en passer par là pour engager une prise de conscience et les travaux de mise en conformité. La responsabilité du dirigeant ne doit pas nécessairement se traduire par des sanctions pénales. La logique consiste à faire prendre conscience de la nécessité de lancer et d’entretenir des travaux de mise en conformité, pour la maîtrise du risque cyber.

Mme Garance Mathias. En matière de sanctions, l’opinion du Clusif se rapproche de l’avis donné il y a déjà quelques mois par le Conseil d’État, notamment sur le point 9 : « il n’en va pas de même pour les collectivités territoriales et de leurs regroupements et d’établissements, en l’absence des dispositifs d’effet équivalent et qu’en conséquence, cette exemption ne peut être admise ».

M. Michel Dubois. Un autre point concerne la notification des incidents. Nous appelons à la mise en place d’une plateforme unique et d’un formalisme commun à toutes les entités pouvant être en attente de ces notifications, par exemple la Commission nationale de l’informatique et des libertés (Cnil), l’Anssi ou encore l’Autorité de contrôle prudentiel et de résolution (ACPR) en ce qui concerne le règlement Dora. Ce point est particulièrement structurant pour les entités assujetties à Dora et à NIS 2. Une telle plateforme nous semble être un facteur de simplification et d’accélération des procédures pour les référents.

M. Benjamin Leroux. Enfin, nous savons d’expérience que les organisations présentent des niveaux de maturité très variables par rapport à la problématique cyber. Nous suggérons de nous inspirer de ce qui a été réalisé en Belgique avec Safeonweb, qui propose une très belle plateforme documentée pour la compréhension des mesures et le suivi de leur mise en application.

M. Jean-Noël de Galzain, président d’Hexatrust. Je me concentrerai pour ma part sur un aspect qui me paraît important, dévoilé récemment par le rapport d’Asterès : aujourd’hui, 83 % des achats de produits et services numériques réalisés en Europe sont effectués auprès de fournisseurs extra-européens, particulièrement auprès des Gafam. Nous ne résoudrons pas notre problème de dépendance numérique en continuant avec le modèle actuel. La cybersécurité constitue un moyen clé de reprendre une part de contrôle sur notre vie numérique.

Un aspect clé de cette directive NIS 2 concerne l’accompagnement des utilisateurs. À ce titre, je rejoins les propos tenus précédemment concernant le monitoring continu des risques. Il s’agira de s’appuyer sur un certain nombre de dispositifs pour la plupart existants. Ils sont portés par une industrie émergente et bénéficient parfois d’une certification de la part de l’Anssi. Nous pensons qu’il faut insister dans tous les textes relatifs au numérique et à la cybersécurité sur la protection des données et l’usage de solutions certifiées, à chaque fois que cela est possible, pour aligner les recommandations de l’Anssi ou des organismes européens avec les travaux de la filière.

Nous estimons aussi que l’accompagnement doit se concentrer sur l’ensemble du tissu de PME sous-traitantes des grandes organisations, qui constituent aujourd’hui le « maillon faible », car elles manquent de moyens, de compétences et de ressources. Ces dernières sont directement affectées par cette réglementation et devront être accompagnées sur tous nos territoires. De nombreux travaux sont menés par la filière pour y parvenir.

La directive NIS 2 constitue une chance de mettre l’industrie de la cybersécurité et l’industrie du numérique au service des besoins des utilisateurs. Il s’agit d’une opportunité pour alimenter une politique industrielle résolument tournée vers les utilisateurs, autour d’un nouveau standard de la gestion du risque, de la gouvernance de la cybersécurité. Il faut capitaliser sur la directive NIS 2 pour aligner les utilisateurs et leurs besoins, l’État qui veille à la sécurité et à l’accès de tous à la sécurité, et l’industrie qui fabrique des solutions et propose des services pour répondre à ces besoins.

Deux comités stratégiques de filière, le comité stratégique de la filière industrie de sécurité et le comité stratégique de la filière logiciels et solutions numériques de confiance ont instauré des organes de travail permanents entre l’État, l’industrie et les utilisateurs. Ils doivent être utilisés au maximum pour traiter les problèmes concernant les interactions entre les utilisateurs et l’industrie et les aligner avec la volonté de standardisation et de normalisation de la directive NIS 2.

Je souhaite à ce titre mentionner une initiative qui s’est déroulée il y a trois ans, dans le cadre du dispositif France Relance, au service des hôpitaux et des collectivités locales, en portant l’effort sur la demande de ces utilisateurs, en les aidant et en les incitant à s’équiper. Cette initiative a démontré que nous étions en mesure de répondre aux besoins des utilisateurs en matière de cyber lorsque les différentes composantes travaillent de manière coordonnée. Grâce à l’investissement, notamment à travers le crédit d’impôt recherche (CIR) ou d’autres dispositifs d’aide à l’innovation, nous disposons aujourd’hui d’une industrie émergente extrêmement performante, qui pourra se mettre au service des utilisateurs à l’occasion de la mise en place et de la mise en œuvre de cette directive NIS 2.

De nombreux efforts ont été régulièrement produits pour aider à la sensibilisation. Aujourd’hui, l’intelligence artificielle (IA) doit être au maximum utilisée pour rendre l’audit plus accessible au plus grand nombre, de manière systématique. Nous avons nous-mêmes œuvré en réunissant les adhérents pour créer un « HexaDiag », qui permettra aux entreprises de toute taille et de tout niveau d’expertise cyber d’accéder à un premier niveau de diagnostic. Nous sommes allés plus loin dans le cadre de l’« HexaSearch », pour permettre à des organisations de trouver des solutions numériques européennes et souveraines alternatives à celles qui existent par ailleurs et sur lesquelles le contrôle est difficile à opérer.

Mme Bénédicte Pilliet, présidente de CyberCercle. Mon intervention a pour objet d’insister sur les points d’attention qui nous semblent majeurs. Pour CyberCercle, la transposition de ces trois textes européens dans notre droit représente une occasion unique de renforcer la cohérence, la lisibilité, la clarté et l’efficacité de la réglementation en matière de cybersécurité et des politiques publiques qui y sont associées.

À ce titre, j’aborderai six points qui nous semblent particulièrement importants pour renforcer au sein du projet de loi la cohérence entre les différents dispositifs prévus par les trois textes, mais aussi la cohérence avec les textes et dispositifs existants. Le premier point concerne la nécessité d’une stratégie nationale. L’article 5 bis introduit par le Sénat, qui pourrait d’ailleurs être remis en cause par le gouvernement au prétexte que des stratégies plus globales sont en cours de rédaction, nous semble indispensable.

L’élaboration d’une stratégie inscrite dans la loi permettra à l’ensemble des acteurs concernés d’avoir régulièrement un cap et un cadre de référence, mais aussi de mieux comprendre l’organisation et la coordination au sein de l’État et les responsabilités de chacun. Il s’agit ainsi de coordonner dans un même cadre et vers les mêmes objectifs les actions de tous et d’assurer la cohérence des dispositifs. La nécessité d’une stratégie nationale claire de cybersécurité a d’ailleurs été évoquée à plusieurs reprises lors de vos auditions précédentes, notamment celle des collectivités. Cette stratégie permettra également au Parlement de contrôler et d’évaluer l’efficacité des mesures prises et de la dépense publique consacrée à la cybersécurité. Afin d’optimiser sa rédaction, il serait pertinent qu’une commission réunissant les parties prenantes élabore ses stratégies, comme c’est le cas pour le Livre blanc de la défense et de la sécurité nationale.

Le deuxième point concerne la cohérence dans les acteurs impliqués. Ainsi, l’absence des ministères est inexplicable dans la mise en œuvre de NIS 2. Au-delà de notre conviction que pour être efficace envers des secteurs d’activité par nature très différents les uns des autres, une approche par métier est capitale. Il s’agit là de mettre en cohérence les trois textes transposés quant au rôle des ministères coordonnateurs des secteurs d’activité concernés par les directives REC, NIS 2 et Dora. Les quelques centaines d’opérateurs d’importance vitale mentionnés au titre Ier du projet de loi sont identifiés et suivis par les ministères coordonnateurs du secteur d’activité auquel ils appartiennent.

Le même principe s’applique pour le titre III du projet de loi : les autorités financières, dont les ministères économiques et financiers, suivent et contrôlent les quelques milliers d’acteurs visés par le règlement Dora. Mais alors que dans le titre II, il s’agit de suivre des dizaines de milliers d’entités visées par la directive NIS 2, seule l’Anssi est en charge de l’ensemble dans le texte, les ministères étant finalement exclus de tout le processus Pourtant, ce sont bien les ministères qui, de fait, connaissent le mieux les métiers, les dépendances et les conséquences d’une défaillance d’un opérateur et les conditions de résilience dans les secteurs d’activité dont ils ont la charge. Ajoutons que dans un objectif d’optimisation de l’action des acteurs et des moyens de l’État, le rôle des ministères relève du bon sens.

Il nous semble donc essentiel d’introduire les ministères coordonnateurs dans le titre II du projet de loi, au moins dans les quatre étapes du processus : la validation et le complément éventuel des listes des entités essentielles et importantes (article 12) ; la définition des objectifs de sécurité et des référentiels d’exigence (articles 14 et 15) ; les contrôles (article 29) et la commission des sanctions (article 36).

Le troisième point est relatif à la cohérence dans les objectifs de sécurité et les référentiels de mesures techniques et organisationnelles. Dans l’article 14, un décret fixe les objectifs de sécurité auxquels doivent se conformer les entités essentielles et les entités importantes. Cependant, il n’est pas précisé qui définit les objectifs, ni comment. Pourtant, un peu plus loin dans le même article, ces éléments sont indiqués pour les référentiels d’exigence technique et organisationnelle.

Dans l’article 15, les entités qui mettent en œuvre tout autre référentiel reconnu équivalent par l’Anssi peuvent s’en prévaloir lors d’un contrôle. Il y a là une incohérence. Ces référentiels équivalents devraient également, comme dans l’article 14, être définis par les métiers, d’autant plus si ces référentiels sont sectoriels, exigés par les marchés ou issus d’autres réglementations s’imposant à eux.

Enfin, dans son article 25 portant sur la normalisation, la directive NIS 2 précise « qu’afin de favoriser la mise en œuvre convergente des mesures de gestion des risques en matière de cybersécurité, les États membres encouragent le recours à des normes et des spécifications techniques européennes et internationales pour la sécurité des réseaux et des systèmes d’information ». Cet article important de la directive NIS 2 n’a pas été transposé. Pour nous, il y a là une occasion manquée d’une harmonisation au niveau européen ou international, qui aurait soutenu la compétitivité de nos acteurs économiques. Au contraire, le renvoi de l’article 14 du projet de loi examiné par votre commission annonce un énième référentiel franco-français dont le coût de la conformité technique et organisationnelle s’ajoute à celui du coût de la conformité aux normes que les entreprises doivent respecter pour gagner des marchés. En outre, nous pointons les oppositions existantes entre les prescriptions du projet de référentiel Anssi et les obligations des actes d’exécution pris en application de Dora au niveau européen.

Le quatrième point concerne la cohérence et la clarté, voire l’égalité devant la loi en ce qui concerne les contrôles. L’article 29 précise que les contrôles de l’Anssi peuvent prendre plusieurs formes, dont celle d’audits réguliers et ciblés réalisés par un organisme indépendant désigné par l’Anssi. Le coût de cette forme de contrôle est à la charge des personnes contrôlées alors que, pour les autres formes, il relève de l’Anssi. Il nous semblerait pertinent d’encadrer le terme « réguliers » et de préciser à quoi correspond un organisme indépendant désigné par l’Anssi. Pourquoi existe-t-il une telle différence de traitement des entités ? Qui choisira parmi les différentes formes de contrôles celles qu’une entité devra subir et donc si ce contrôle sera ou non à sa charge ?

Le cinquième point est lié à la cohérence dans les sanctions. Deux points sujets à questionnement figurent dans l’article 37 relatif aux sanctions. La commission des sanctions peut prononcer une amende administrative pour les entités essentielles et importantes, à l’exception des administrations et des collectivités territoriales. L’amende ne concerne donc que les entreprises privées. Pourquoi l’interdiction d’exercer des responsabilités pour les dirigeants des entités essentielles ne s’appliquerait-elle pas à l’administration ? De plus, comment appliquer cette interdiction à l’élu d’une collectivité ? Pour plus de transparence et pour éviter d’avoir le sentiment qu’aucune sanction ne sera prononcée contre l’administration, cet article pourrait ainsi préciser les moyens utilisables par l’État, en lien avec l’avis du Conseil d’État du 6 juin 2024.

Enfin, le dernier point sur lequel nous nous permettons d’insister porte sur l’exploitation de l’information relative à la menace, non seulement par les entités visées par NIS 2, mais également par leurs prestataires. Nous n’entrons pas dans le cœur des débats sur le sujet, qui agitent l’écosystème, mais constatons simplement que l’article 45 du règlement Dora donne un cadre à l’échange d’informations entre les acteurs visés par Dora. Ne pas transposer l’article 29 prévu dans la directive NIS 2, portant sur le même sujet, introduit de fait une inégalité et une incohérence pour les entités soumises à Dora et à NIS 2.

Pour conclure, je voudrais citer le rapport d’activité 2024 de l’Anssi relatif au parcours de cybersécurité dans le cadre du programme de France Relance. Même si ce rapport partiel ne permet pas d’évaluer réellement l’efficacité des 100 millions d’euros dépensés pour les 945 entités publiques sélectionnées parmi plus de 1 600 candidatures, il met en évidence deux faits. Initialement, la note cyber moyenne des bénéficiaires de ce programme était de D+ soit une mauvaise note. Ainsi, treize ans d’empilement de réglementations s’imposant à la plupart de ces entités n’ont pas permis d’élever leur niveau de cybersécurité. Sans réglementation supplémentaire, le niveau de cybersécurité de ces entités est passé de D+ à B, c’est-à-dire de « mauvais » à « bon », grâce à ce programme, pour un montant équivalent voire inférieur à celui annoncé pour NIS 2.

Lors d’une audition de votre commission, les collectivités ont insisté sur la nécessité d’être accompagnées pour ne pas subir de nouvelles réglementations qui, seules, n’apportent pas de maturité. Il en est de même d’ailleurs pour les entreprises. Aussi, si nous comprenons le choix de la France d’inscrire les collectivités dans le cadre de cette loi, devant la croissance de la menace, nous nous interrogeons sur le choix de soumettre autant de collectivités à NIS 2, d’autant plus qu’aucune analyse de l’impact financier n’a été menée.

En conclusion, cette transposition constitue une opportunité de renforcer la cybersécurité de notre pays et sa résilience en élevant le niveau de maturité des acteurs et en les embarquant dans une dynamique vertueuse. Les questions concernent le niveau du curseur et l’accompagnement des acteurs par des politiques publiques adaptées dans un contexte budgétaire restreint. Le Sénat a permis d’améliorer substantiellement le texte initial du gouvernement en introduisant encore plus de cohérence entre les différentes parties du texte. Votre commission spéciale pourrait faire émerger un texte encore plus pragmatique.

M. Daniel Le Coguic, président de l’Alliance pour la confiance numérique. L’Alliance pour la confiance du numérique représente l’industrie française dans le domaine de l’identité numérique, de la cybersécurité, de l’intelligence artificielle et des infrastructures de confiance. Elle a naturellement contribué depuis un an aux différents groupes de travail. Je souhaite d’ailleurs remercier l’Anssi et son directeur général Vincent Strubel d’avoir organisé cette discussion structurée pour préparer la constitution de ce texte.

Nous avons, à de nombreuses reprises, présenté un certain nombre de propositions, notamment d’ajustement. Certaines ont été prises en compte lors de notre audition au Sénat. Nous vivons une période très particulière sur les plans géopolitique, économique, social et de la sécurité, où il est souhaitable de mettre en avant les intérêts de l’industrie française. Les parties prenantes que nous avons consultées nous ont toutes fait part de la nécessité de simplification et de lisibilité : la directive ne doit être ni surtransposée, ni sous-transposée. Les cibles de NIS 2 sont aujourd’hui des entités peu matures dans le domaine de la cybersécurité. Elles doivent pouvoir comprendre le texte auquel elles sont soumises.

Ensuite, la divulgation de vulnérabilités nous semble être un point clé pour accroître la capacité de l’ensemble de ces entités à se défendre. Nous avons également proposé une incitation en direction des PME, un crédit d’impôt à définir, pour financer les investissements.

L’ACN soutient l’objectif général des trois textes, qui concerne l’augmentation de la résilience de la nation. Nous sommes attendus par nos citoyens. Mais il faudra être attentif à la mise en œuvre du texte. Nous soutenons les nombreux dispositifs d’ajustement qui ont été proposés, dans un objectif de simplicité et d’efficacité. Sur un horizon de trois ans, nous devrions atteindre l’objectif des 12 000 à 16 000 cibles à traiter.

Ce programme stratégique offre une opportunité pour l’industrie française de reprendre une place particulière, alors que nous vivons aujourd’hui un puissant déséquilibre entre l’industrie extra-européenne et l’industrie européenne dans le domaine de la cybersécurité. Si nous n’y prenons pas garde, la mise en œuvre du programme profitera à l’industrie extra-européenne qui possède déjà une part de marché de 80 %.

Il convient donc d’être très attentif aux conditions de mise en œuvre de ce programme. Nous proposons un objectif de transformation des investissements qui seront réalisés autour de NIS 2 et de Dora. Il s’agit ainsi de mettre en place un dispositif de mesures de l’empreinte de l’industrie française en particulier, qui sera la conséquence des investissements des établissements financiers, des institutions de santé, des collectivités locales et des entreprises.

En résumé, nous souhaiterions que le texte mentionne un objectif de 80 % de transformation et la mise en place d’un dispositif de mesure de l’augmentation de cette empreinte dans l’équipement de toutes les cibles. Cela compléterait les dispositifs de France 2030 sur l’innovation. Il s’agit bien de mettre en cohérence les programmes NIS 2 et Dora avec les objectifs économiques de l’industrie française.

En conclusion, il faut faire simple, il faut aller vite, il faut collaborer tous ensemble, qu’il s’agisse des associations d’utilisateurs, mais aussi des associations d’entreprises. Nous formons le vœu que se poursuive cette discussion structurée entre l’industrie et les pouvoirs publics, pour une mise en œuvre efficace au service des citoyens, des entreprises, des organisations publiques, de la cybersécurité et de la sûreté de notre nation.

M. Arnaud Martin, vice-président du Cesin, directeur des risques opérationnels de la Caisse des dépôts. Nous représentons le Cesin, le club des experts de la sécurité de l’information et du numérique, une association loi 1901 créée en 2012 dans un objectif de professionnalisation et de promotion de la cybersécurité. Ce lieu d’échange, de partage de connaissances et d’expériences permet ainsi la collaboration et la coopération entre pairs, mais également entre ses experts et les pouvoirs publics.

Il participe à des démarches nationales et il est force de proposition sur des textes réglementaires, guides et autres référentiels. Le Cesin compte parmi ses membres plusieurs organismes et institutions, ainsi que 1 200 membres qui sont issus de tous secteurs d’activité : industries, ministères et entreprises, dont la plupart des grands acteurs du CAC 40 et du SBF 120. Mylène Jarossay et moi-même en sommes vice-présidents. Mme Jarossay est directrice de la cybersécurité du groupe LVMH et je suis directeur des risques opérationnels du groupe Caisse des dépôts. À ce titre, nous sommes assujettis à NIS 2 d’un côté et à Dora de l’autre.

Nos retours d’expérience dans le cadre de cette audition sont bien évidemment ceux de notre propre expérience, mais également la consignation de l’ensemble des travaux qui ont été menés. Nous souhaitons tout d’abord souligner l’avancée notable que constitue l’ajout de deux articles au niveau du titre II, le 5 bis et le 16 bis. L’article 5 bis réaffirme que la déclinaison des textes de cybersécurité et de résilience se fait désormais dans un cadre faîtier, porté par la stratégie nationale en matière de cybersécurité de la France.

Si ce texte est la déclinaison de la stratégie qui a été travaillée au niveau du secrétariat général de la défense et de la sécurité nationale (SGDSN), nous insistons sur une des recommandations essentielles : la simplification globale du millefeuille réglementaire, à laquelle votre projet de loi participe bien évidemment. Le deuxième point concerne la réaffirmation du principe de non-affaiblissement des algorithmes de chiffrement dans votre texte dédié à la cybersécurité et à la résilience.

Mme Mylène Jarossay, vice-présidente du Cesin, directrice cybersécurité du groupe LVMH. Parmi les sujets propres au texte, je tiens à évoquer un certain nombre de points, en commençant par le lien entre Dora et NIS 2. Actuellement, les organismes assujettis à Dora sont évidemment focalisés sur leur mise en conformité par rapport à ce texte et s’interrogent. Il existe en effet une zone de flou dans leur éventuel assujettissement complémentaire à NIS 2, notamment les rôles et responsabilités que pourraient avoir la Banque centrale européenne (BCE) et l’ACPR vis-à-vis de l’Anssi.

Concernant NIS 2, une interrogation pèse sur les entreprises qui opèrent dans plusieurs pays européens et pour lesquelles le choix du référentiel par le groupe constitue un véritable casse-tête. Dans certains pays, les référentiels insistent plutôt sur l’analyse de risque, dans d’autres sur l’administration des systèmes d’information. Un groupe européen ou international ne s’y retrouve pas ; il est confronté à une complexification et non à une simplification.

La complexité concerne également l’éligibilité, c’est-à-dire le fait de savoir si l’on est assujetti ou non au texte. Il nous semble urgent que la France puisse très vite répondre aux entreprises concernant leur éventuelle éligibilité. Or un grand flou règne aujourd’hui. Les outils actuellement en place ne permettent pas aux entreprises de le déterminer. En conséquence, elles sont en retard, parce qu’elles n’engagent pas réellement leurs démarches.

Ensuite, nous rejoignons les propos qui ont été tenus précédemment sur le sujet de la notification des incidents. Il est important de se demander pourquoi le texte cherche impérativement à établir des délais courts de notification des incidents. Dans la réalité, quantité de signaux arrivent tous les jours dans les entreprises. Il est très difficile de savoir sous vingt-quatre heures si un signal est un « faux positif » ou s’il constituera le début d’une catastrophe. Il est donc très compliqué de produire une notification dans un tel délai, particulièrement s’il n’existe pas de guichet unique, d’autant plus pour une société paneuropéenne, qui devrait reproduire cette notification dans tous les pays dans lesquels elle est implantée. À ce stade, l’effort d’une entreprise ne doit pas être concentré sur la notification, mais sur la mise en place de renforts et la communication avec ses prestataires, d’autant plus qu’un incident sur deux provient de la chaîne d’approvisionnement.

Si finalement une attaque n’en est pas une ou qu’elle a été contenue très vite, donnons-nous la possibilité d’annuler une déclaration d’incident, et de ne pas faire courir le risque que cette déclaration porte éventuellement tort à l’entreprise. Cela nous paraît très important, afin que la notification des incidents demeure vertueuse et serve réellement à protéger.

Un autre point de vigilance concerne la déclinaison des exigences vis-à-vis des sous-traitants, des prestataires. Les entreprises éprouvent des difficultés pour mettre en place ces exigences. Aujourd’hui, il est question de mener des audits sur les fournisseurs, mais rappelons qu’en matière de cybersécurité, un audit ponctuel a peu de valeur : en réalité, la sécurité évolue tous les jours. Il faut peut-être revoir la façon dont on mesure finalement la capacité des tiers à se conformer au texte et le poids contractuel associé. De fait, une réflexion doit être conduite dans ce domaine, dans la mesure où le levier contractuel est très long et très difficile à mettre en place. De plus, la notion d’audit, très coûteuse n’est pas forcément adaptée au monde cyber.

Le dernier point est relatif au référent cyber, qui est naturellement essentiel, dans la mesure où le risque cyber figure parmi les trois principaux risques des entreprises. Quel que soit le nom qui sera choisi, je préférerais que le terme de RSSI soit abandonné, dans la mesure où le dirigeant de l’entreprise est, in fine, le responsable.

M. Éric Bothorel, rapporteur général. Cette transposition de la directive européenne était attendue et même espérée par votre écosystème. Elle conforte les actions que vous avez commencées de façon volontaire il y a plusieurs années, pour nombre d’entre vous. Elle confirme que les craintes que vous exprimiez sont bien réelles. Lors des auditions du Sénat, vous avez rappelé l’évolution majeure de ce texte, qui passe d’une logique des seules infrastructures à celle des organisations et donc des personnes.

Il peut être considéré qu’à ce stade, le projet de loi ne fait pas de place à l’humain. Je souhaite donc vous interroger sur les évolutions – législatives ou autres – afin que les différentes personnes, les salariés, les fonctionnaires et les élus soient mieux associés au projet collectif de résilience.

Lors des dernières auditions, plusieurs acteurs nous invitaient à inscrire dans la loi un certain nombre de définitions, et vous l’avez aussi rappelé ce matin. Ce n’est pas forcément l’usage français, alors que l’Europe procède beaucoup par définition et normalisation. Pourriez-vous nous indiquer quels sont les termes qui nécessiteraient d’être inclus dans la loi ?

Par ailleurs, nombre d’acteurs soulignent tout à la fois l’excellente qualité du travail préparatoire et du dialogue avec l’Anssi. Mais les mêmes acteurs commencent à nous faire part de leurs interrogations sur le trop grand nombre de renvois à des décrets. Ils semblent préférer que les députés soient plus précis dans leur rédaction, allant parfois jusqu’aux détails. Partagez-vous ce point de vue ? Comment envisageriez-vous cette intégration dans la loi, par exemple du référentiel, compte tenu du nombre de détails que vous voulez voir inscrits ? Enfin, j’aimerais que nous parlions de l’Osint, du volet assurantiel.

Mme Anne Le Hénanff, rapporteure. La plupart d’entre vous travaillent sur la sensibilisation et l’accompagnement depuis des années. Mais ces actions de sensibilisation n’engendrent pas forcément une amélioration du niveau de cybersécurité des entités, particulièrement les collectivités locales. Or la directive entraînera un impact élargi sur l’ensemble des territoires. Comment pouvons-nous sensibiliser plus rapidement les collectivités locales ?

Comment comptez-vous sensibiliser et accompagner ce changement, dans le cadre de NIS 2 et au-delà, auprès des prestataires, des sous-traitants et des clients, qui ne sont pas directement dans les 15 000 entités mentionnées, mais qui devront sans doute procéder à des mises à jour ? Comment allez-vous prendre votre part à la cyber-résilience ?

Estimez-vous que la labellisation des entités est pertinente ? Est-il utile pour une entreprise d’indiquer à des clients, des prestataires, des sous-traitants qu’elle est en conformité ou en cours de conformité avec NIS 2 ? À ce sujet, il est souvent question de proportionnalité, mais peut-on également parler de proportionnalité sur la mise en conformité ?

Madame Mathias, vous avez mentionné la nécessité de tenir compte spécifiquement des territoires d’outre-mer. Faut-il en conclure que vous estimez que la rédaction actuelle est insuffisante à ce titre ? Avez-vous en tête des mesures spécifiques ?

Enfin, je souhaiterais connaître l’avis de chacun sur la notification d’incident. Constitue-t-elle le mode d’emploi adapté en termes de mécanismes, de principes et de mesures ?

M. Daniel Le Coguic. Ma réponse se concentrera sur la sensibilisation et l’information pour préparer l’accompagnement. Nous avons identifié deux cibles dont la maturité est insuffisante : les PME et certaines collectivités locales, vers lesquelles des efforts de communication doivent être réalisés. De son côté, l’industrie doit aussi fournir un travail pour mettre en place des solutions très lisibles et compréhensibles pour les cibles.

Si la mise en œuvre de Dora est plus concentrée sur la région parisienne, NIS 2 concernera l’ensemble du territoire français, ce qui nécessitera d’impliquer tous les acteurs. À ce titre, les campus cyber devraient être intégrés dans le dispositif. Les régions seront également intéressées, en raison de leurs compétences en matière de politique économique. Le « retour sur investissement » de NIS 2 doit ainsi concerner les territoires. En résumé, en compagnie de l’Anssi, nous devons travailler à une collaboration globale de tous les acteurs nationaux et régionaux en faveur du programme de sensibilisation et de communication, et ensuite de mesure de la politique industrielle.

M. Yoann Kassianides, délégué général de l’Alliance pour la confiance numérique. L’Osint constitue un enjeu majeur. Les attaquants se servent d’outils essentiellement fondés sur les vulnérabilités humaines. Dans ce cadre, l’Osint représente une réponse efficace et sa pratique est aujourd’hui extrêmement répandue. Néanmoins, l’ensemble des acteurs de ce domaine s’interrogent sur le cadre juridique applicable.

L’ACN mène depuis maintenant deux ans des travaux, en partenariat avec la chaire Cyber de l’Institut des hautes études de défense nationale (IHEDN) rassemblant de nombreux acteurs de la sphère étatique (pouvoirs judiciaires, services du ministère de l’intérieur), la Cnil, des entreprises, des avocats. Le constat est extrêmement clair : le droit actuel ne permet pas aujourd’hui d’appréhender correctement cette pratique de l’Osint.

En conséquence, il est extrêmement difficile de construire des modèles économiques, faute de clarification des zones d’ombre entre ce qui est autorisé et ce qui ne l’est pas. Nous proposons donc de créer un droit commun de l’Osint. À l’heure actuelle, le droit applicable est très morcelé et limité à certains domaines restreints, par exemple le service de vigilance et de protection contre les ingérences numériques étrangères (Viginum) ou l’administration fiscale.

Ce cadre préciserait notamment que la pratique de l’Osint est libre tout en étant contrebalancée par l’ensemble des libertés individuelles et publiques et par la protection des secrets. Il permettrait de donner des possibilités d’exercer l’Osint pour des motifs légitimes. L’objectif consiste à définir clairement dans quelles circonstances cette pratique est permise et de distinguer les cas où elle ne l’est pas. Ce cadre juridique aurait également pour but de modifier certains articles du code pénal, afin de simplifier leur interprétation et d’éviter des situations aberrantes.

La situation actuelle, marquée par une divergence entre l’esprit de la loi et sa lettre, conduit à des résultats contre-productifs. Quelques mesures extrêmement simples sur la création d’un droit commun de l’Osint permettraient de remédier à ces problèmes de manière assez claire. Par conséquent, nous souhaitons porter ce sujet au débat.

M. le président Philippe Latombe. Les collectivités nous ont parlé de la fin programmée des financements des centres d’alerte et de réaction aux attaques informatiques (CSIRT). Cet outil vous est-il utile ? Faudrait-il les pérenniser sous une forme ou sous une autre en termes de financement ou de statut ?

Ensuite, comment pourrions-nous modifier le statut des divulgations des vulnérabilités zero-day afin de résoudre les problèmes juridiques qu’elles posent aux acteurs qui les identifient et souhaitent en parler à la communauté pour accélérer les correctifs ? Avez-vous des avis sur ce sujet ?

Mme Dorothée Decrop, déléguée générale d’Hexatrust. Je me concentrerai sur l’aspect humain et l’accompagnement des acteurs concernés par les entités importantes, ainsi que sur la chaîne de sous-traitance. Nous collaborons avec la direction générale du travail (DGT) pour intégrer le risque cyber dans le document unique d’évaluation des risques et de prévention (Duerp), afin de sensibiliser les entreprises, à droit et coût constants. Il est crucial d’intégrer ces risques dans la gestion courante, en utilisant des outils existants pour sensibiliser les entreprises de manière homogène au niveau territorial.

L’accompagnement des entreprises est essentiel. Nombre d’entre elles ignorent si elles deviennent des entités importantes selon l’article 12. Un travail sur les codes NAF (nomenclature d’activités française) et NACE (nomenclature d’activités européennes) permettrait de clarifier la situation, offrant une meilleure lisibilité et l’identification rapide des entreprises concernées. Cela garantirait, sous la forme NACE, une interprétation uniforme des entités importantes au niveau européen et permettrait d’homogénéiser les entreprises qui seront cibles ou se saisiront de cette opportunité. Chez Hexatrust, nous sensibilisons les fédérations professionnelles soumises à NIS 2 par un module de sensibilisation de premier niveau. Nous établissons des partenariats pour utiliser l’« HexaDiag », notre démarche de cybersolidarité permettant un autodiagnostic rapide et autonome et des résultats immédiats. Dans un deuxième temps, les entreprises contactent des professionnels pour réaliser des démarches bien plus complètes.

Nous sommes membres du Campus cyber national, nous programmons des interventions et actions communes avec les campus régionaux, et nous sommes partenaires de l’association CoTer. Nous irons également sensibiliser les collectivités territoriales à ces enjeux, au même titre que d’autres associations.

Concernant la labellisation NIS 2, nous manquons encore de documentation précise. La cybersécurité doit rester agile et adaptable, accessible juridiquement, avec des directives claires et dynamiques pour éviter de créer des barrières à l’entrée pour certains professionnels. En résumé, il est difficile de se prononcer à ce stade.

M. Jean-Noël de Galzain. Concernant l’assurance, je pense que la cybersécurité devrait être considérée comme un risque, au même titre que d’autres types de risques. Elle devrait donc faire partie intégrante de l’obligation d’assurance en responsabilité civile des entreprises. Une entreprise qui respecte des normes telles que celles de Dora ou NIS 2 pourrait ainsi obtenir un accès facilité à l’assurance et une couverture en cas d’incident. En effet, comme l’a mentionné le directeur de l’Anssi, les attaques coûtent cher, nécessitent une réaction rapide et des compétences spécialisées pour rétablir la situation rapidement. L’assurance peut donc aider à gérer concrètement les problèmes lorsqu’ils surviennent.

M. Michel Dubois. Le constat est unanime depuis plusieurs années : la sensibilisation ne fonctionne pas ; c’est un échec. Il manque un chef de file. Dans ces conditions, il serait pertinent de mettre en avant cybermalveillance.gouv.fr, qui traite ce sujet. Ensuite, il faut un référentiel des démarches et des supports. L’Anssi a mis en place un « cyber dico » régulièrement mis à jour. Il serait utile de mettre en lumière cet outil pour disposer d’un référentiel unique des définitions en cybersécurité. Des labels ont été établis par l’Anssi pour les formations avec SecNumedu.

Il serait donc intéressant de valoriser ces labellisations dans la loi. Enfin, cybermalveillance.gouv.fr a développé plusieurs fiches thématiques de sensibilisation accessibles à tous. Le module de formation en ligne (Mooc) de l’Anssi constitue également un support disponible.

En réalité, il manque une obligation légale de sensibilisation et de formation. Il pourrait exister une disposition similaire à celle de la sécurité incendie, où l’employeur doit former ses employés au moins une fois par an. La notion du référent en cybersécurité dans l’entreprise pourrait porter cette responsabilité.

Enfin, un maillage local fondé sur les Campus cyber peut être officialisé. Par exemple, le Clusif dispose de représentations régionales en France qui peuvent relayer ces messages, garantissant ainsi un continuum entre un référentiel, un chef de file et des obligations légales.

M. Sébastien Garnault, fondateur de CyberTaskForce. Comment transmettre le message aux collectivités ? Je propose d’utiliser le salon des maires, moment important pour les collectivités, pour communiquer avec les communes. Cependant, elles expriment souvent des besoins financiers. Il faudrait donc accompagner davantage les petites collectivités et réallouer les budgets en conséquence.

Ensuite, les questions soulevées par Bénédicte Pilliet sont pertinentes et méritent des réponses précises. Concernant l’assurance, l’article 5 de la Lopmi avait initié une démarche, mais le problème porte surtout sur le modèle économique. Toutefois, il semble qu’il faille explorer comment des acteurs comme Stoïk réussissent à offrir une assurance cyber à l’échelle française et européenne.

Mme Anne-Elise Jolicard, responsable des affaires publiques d’Anozr Way. La loi de transposition était attendue, notamment en ce qui concerne l’appréhension des vulnérabilités. Nous saluons l’amendement du Sénat incluant le facteur humain parmi les vulnérabilités. Cependant, il est nécessaire d’aller plus loin pour atteindre les objectifs de la directive, en veillant à ce que les termes soient clairs et définis, en suivant l’exemple de nos voisins italiens, belges et allemands, qui ont défini l’approche « tous risques » à partir des considérants 78 et 79.

De fait, le besoin de pédagogie est patent. Il est communément admis que la faille essentielle est la faille humaine. Pour autant, les textes français n’insistent pas assez sur la menace induite sur les entreprises et l’ensemble des citoyens. La définition de ces termes est cruciale pour guider et expliquer le cadre de la cybersécurité. Cette clarification est nécessaire pour mieux appréhender les menaces dans le contexte français.

Le risque de surtransposition a été écarté par le Conseil d’État qui invite au contraire à définir les termes clés de la directive. L’article 14 pourrait ainsi mentionner la notion d’approche « tous risques » et viser expressément les considérants 78 et 79. Enfin, la notion de cybermenace a aussi été définie par nos voisins. Elle figure dans la directive et pourrait être ajoutée au titre de l’article 6.

M. Philippe Luc. Concernant l’introduction d’une formation obligatoire, il est essentiel de noter que la cybersécurité intéresse principalement les professionnels. Les utilisateurs se concentrent sur l’utilisation des outils numériques sans se préoccuper de leur sécurité, de la même manière qu’ils utilisent leur voiture, sans se soucier du fonctionnement de leur airbag. Il est crucial de fournir des connaissances de base et des bonnes pratiques, surtout pour les jeunes. Pour les adultes, une approche plus légère pourrait éviter de les détourner du sujet. Les efforts actuels de cybermalveillance.gouv.fr sont louables et il faudrait proposer davantage d’outils de protection. Nos salariés sont souvent plus sensibles à se protéger personnellement dans leur vie privée qu’à protéger leur propre entité. En conséquence, ce sujet devrait être travaillé en compagnie de cybermalveillance.gouv.fr.

S’agissant des CSIRT, je ne dispose pas des qualifications pour discuter du sujet du financement. En revanche, il est important de disposer d’un maillage local pour établir des relations de confiance avec les PME. Les structures locales comme les CSIRT jouent un rôle clé en sensibilisant et en répondant aux questions des entreprises, compensant ainsi le manque d’intérêt des acteurs locaux pour les grandes institutions de cybersécurité.

Mme Garance Mathias. La sensibilisation est un aspect extrêmement important, évoqué notamment dans les propositions formulées en octobre 2024 par la commission supérieure du numérique et des postes, notamment les recommandations n° 1 et n° 2. Il s’agit ici d’inclure le grand public, c’est-à-dire tous les acteurs. Par exemple, en matière de sécurité incendie, ces pratiques sont devenues des réflexes bien ancrés alors qu’auparavant, elles n’étaient pas aussi bien prises en compte. Il est donc impératif que cela devienne, dès le début, un automatisme et que toute la population soit sensibilisée via des campagnes d’information. Je tiens également à saluer le travail effectué par cybermalveillance.gouv.fr, le 17Cyber, ainsi que les formations de l’Anssi, qui bénéficient au plus grand nombre. Au sein du Clusif, nos adhérents et salariés formés peuvent offrir des exemples pratiques qui permettent d’ancrer ces solutions grâce à des communications bénéfiques et des retours d’expérience constructifs relatifs au niveau de maturité.

Concernant les territoires d’outre-mer, il est crucial de prendre en compte leur niveau de maturité et leurs besoins spécifiques en rapport avec leur position géographique. Une approche adaptée selon les statuts de chaque territoire et assemblée territoriale, par exemple de Polynésie française, de Wallis-et-Futuna et de Saint-Pierre-et-Miquelon, est essentielle pour utiliser pleinement leur potentiel concernant la résilience opérationnelle.

Fort heureusement, nous avons parmi nos plus de 1 300 adhérents des utilisateurs et des offreurs résidant dans ces territoires. Leur contribution permet de renforcer ce dialogue. La loi, générale et absolue, peut constituer une aide pour impulser ce mouvement déjà initié par cybermalveillance.gouv.fr, l’Anssi et d’autres autorités. Enfin, des définitions claires permettraient une compréhension précise, nécessaire pour se positionner judicieusement.

M. Arnaud Martin. Pour compléter certains propos, je souhaite revenir sur le délai pressenti de trois ans. Dans le cadre de Dora, toutes les banques et assurances sont conformes depuis le 17 janvier 2025. Deux aspects nécessitent du temps : d’une part, les audits et tests, y compris ceux avec des tiers, et, d’autre part, la gestion des clauses contractuelles, dont l’absorption totale par les partenaires pourrait prendre environ trois ans. À titre d’exemple, le régulateur nous a bien indiqué que les premiers tests de pénétration fondés sur la menace (TLTP) ne seront pas diligentés en 2025, mais plutôt début 2026-2027.

Concernant la déclaration des incidents, il est essentiel que les entreprises se fondent sur des critères factuels pour déterminer leur obligation de déclaration. Ces aspects sont plus structurés sur la partie financière, en termes de nombre de critères impactants. Le principe de proportionnalité est également essentiel. La première déclaration sous quatre heures, qui se substitue d’ailleurs à la directive sur les services de paiement (DSP2), n’oblige qu’à transmettre les informations disponibles à ce moment-là, avant de les enrichir au fur et à mesure.

En matière assurantielle, les rapports annuels de l’Association pour le management des risques et des assurances de l’entreprise (Amrae) montrent une stabilisation par comparaison avec les années 2020-2021. Les assureurs sont désormais prêts à assurer et les conditions de souscription d’assurance se sont améliorées. Cela incite à ne pas réguler un marché en cours de stabilisation sur le haut du marché, augmentant l’appétence des assureurs pour se positionner sur des segments moins matures.

À l’heure actuelle, aucun actuaire ne dispose d’un modèle prédéfini pour évaluer précisément la pérennité de ce marché. Cela ressort d’ailleurs du dernier rapport de l’Amrae, dont la publication est imminente. Cependant, nous observons que ce marché suscite un certain intérêt. En résumé, une régulation excessive dans un domaine en cours d’autorégulation ne constitue sans doute pas la meilleure approche, actuellement.

Enfin, concernant l’acculturation au risque lié à l’impact d’une interruption d’activité, il est crucial que tous les collaborateurs soient sensibilisés, mais une attention particulière doit être portée à la formation des conseils d’administration et des comités exécutifs, conformément aux directives de Dora.

Mme Mylène Jarossay. Monsieur Martin vient de mentionner l’importance pour les dirigeants d’être informés annuellement de l’évolution des menaces cybernétiques. Cette mise à jour n’apparaît pas comme une exigence excessive.

Le facteur humain reste un défi majeur, car malgré les efforts de sensibilisation, l’erreur humaine demeure une vulnérabilité. Le défenseur doit maintenir mille portes fermées, quand il suffit à l’attaquant d’en trouver une seule ouverte. En outre, les scénarios d’ingénierie sociale sont assez redoutables ; ils sont en outre augmentés par de l’IA. Il est essentiel de mettre en place des processus et des solutions techniques pour minimiser les risques engendrés par les erreurs humaines, notamment en distinguant les responsabilités des utilisateurs et des administrateurs des systèmes d’information. L’Anssi souligne le volet administration dans son référentiel de mesures, ce qui est judicieux. Il faut concentrer l’attention sur les informaticiens et trouver des subterfuges techniques de process, pour empêcher qu’un seul humain ne mette à terre une entreprise.

M. Daniel Le Coguic. Concernant la réglementation, il est important de distinguer ce qui relève du décret ou de la loi. Par exemple, le dernier décret pour l’application la loi de programmation militaire (LPM) de 2013 a été publié en 2024, soit onze ans plus tard.

Ensuite, dans une première version du projet de gouvernement, les missions de l’Anssi étaient précisées. Aujourd’hui, elles sont renvoyées à un décret en Conseil d’État. Il est crucial de définir clairement les missions de l’Anssi dans les textes législatifs, plutôt que de laisser certains aspects à des décrets en Conseil d’État. Il serait bénéfique également de privilégier dans le texte l’accompagnement plutôt que le contrôle strict. Enfin, la question des audits réguliers par des organismes indépendants pourrait être précisée dans la loi.

En conclusion, s’il revient au législateur de définir ce qui relève de la loi et ce qui peut être renvoyé à un règlement, il faudra éviter un certain nombre de pièges.

Mme Bénédicte Pilliet. En matière de sensibilisation, de nombreuses ressources sont produites par l’État, par cybermalveillance.gouv.fr. En revanche, elles demeurent méconnues de nombreuses collectivités. Il existe donc un enjeu d’amélioration de la lisibilité et de l’accessibilité des ressources produites par les différentes administrations auprès des acteurs, afin qu’ils puissent se les approprier.

Mais plus que sensibiliser, il nous faut convaincre les élus et les chefs d’entreprise que la cybersécurité n’est pas qu’un sujet technique, à part. Aujourd’hui, le numérique est présent dans l’ensemble de nos métiers, il est le facteur de développement majeur de nos organisations, il est utilisé pour créer de nouveaux usages au service des citoyens par les collectivités. Dès lors, la cybersécurité doit être envisagée comme un facteur de confiance, de pérennité des projets développés, d’attractivité, de développement ; mais aussi un facteur politique pour les élus. Pour s’en convaincre il n’y a qu’à observer les conséquences d’une cyberattaque réussie sur une collectivité, qui peut l’empêcher de conduire ses missions.

La sécurité du numérique constitue bien un sujet de gouvernance, d’organisation, de formation, de sensibilisation, de droit et de conformité. Mais avant tout, il s’agit d’un sujet de développement pour les entreprises et pour les collectivités. Afin de faire réfléchir les acteurs aux conséquences d’une attaque cyber sur leur organisation, nous avons organisé à Lyon un exercice de gestion de crise d’origine cyber, mais sans spécialistes cyber. À travers cet exercice, les élus ont pris conscience que ce sujet qu’ils voyaient réservé aux spécialistes était en réalité au cœur de la continuité de leurs missions.

À ce propos, le salon des maires offre effectivement une opportunité pour l’acculturation, mais le travail au quotidien est essentiel. Nous le menons sur les territoires, avec les associations des maires. L’enjeu consiste bien à enclencher une dynamique, à trouver un « sponsor », quelqu’un qui soit convaincu. C’est un travail de longue haleine, de proximité, continu, parfois un peu décourageant, mais toujours nécessaire.

M. Éric Bothorel, rapporteur général. Pourriez-vous revenir sur la simplification qui pourrait être apportée à une notification d’incident ? Vous avez formulé un certain nombre de propositions, mais pourrait-on envisager une plateforme commune dans laquelle vous retrouveriez, un plus petit dénominateur commun ?

Ensuite, j’ai le sentiment que l’ensemble des acteurs sont désormais conscients que ce genre d’attaques n’arrivent pas qu’aux autres, que chacun d’entre eux peut en subir.

Mme Mylène Jarossay. En synthèse, nous attendons une clarification sur la situation des entreprises françaises, leur éligibilité et une simplification des notifications d’incidents. Par ailleurs, une entreprise qui est victime d’une cyberattaque est déjà fortement impactée ; elle ne devrait pas subir la double peine de la sanction. Il importe de bien réfléchir à cette question, la sanction doit servir à réparer et encourager une amélioration continue.

M. Arnaud Martin. Concernant la plateforme commune, nous soutenons l’idée de regrouper les propositions existantes. Nous avons déjà travaillé sur ce sujet avec certains de nos collègues, notamment le Clusif. Des graines ont déjà été semées ; nous sommes favorables à cette initiative.

M. Daniel Le Coguic. Deux aspects sont essentiels aux yeux de l’ACN : la collaboration entre acteurs nationaux, régionaux et publics ; et l’organisation de cette collaboration pour renforcer notre autonomie. La collaboration est ainsi essentielle, pour permettre à chacun de trouver sa place. C’est en établissant cette « équipe de France » du cyber que nous atteindrons les objectifs que la loi se donne en matière de résilience de la nation.

Ensuite, si nous ne maîtrisons pas les technologies de cybersécurité dans le numérique de demain, nous serons dépendants et notre résilience sera à géométrie variable. Si les solutions proviennent de France et de l’Union européenne, nous aurons accompli un pas de géant. Naturellement, nous n’atteindrons pas 70 % de parts de marché dans ce domaine, mais si nous parvenons à croître, tout le monde en sortira vainqueur ; les entreprises, le gouvernement, les régions.

Mme Bénédicte Pilliet. Au CyberCercle, nous estimons qu’en matière de cybersécurité, de sécurité numérique, rien ne peut être réalisé seuls. Ensemble, nous allons plus loin et plus vite ; nous avons besoin de collaborer. Les ressources existent en France, mais il est nécessaire de disposer d’objectifs communs et d’une organisation claire, pour offrir aux acteurs concernés par NIS 2 la lisibilité et la cohérence indispensables pour passer à l’action. Cela inclut la prise en compte des besoins et de la montée en compétence des acteurs régionaux et de leurs prestataires informatiques, qui les accompagnent au quotidien, dans le déploiement de NIS 2.

À ce titre, les référentiels et les labels nécessiteraient sans doute de mettre en place une réunion de concertation, qui permette d’inclure tous les acteurs dans une stratégie commune.

M. Jean-Noël de Galzain. De nombreuses initiatives existent déjà, mais il est crucial de poser un cadre général et de s’aligner sur une même direction, la transposition tenant lieu d’une forme de boussole, dans une approche systémique. Une fois le texte transposé, il est prévu de réécrire une stratégie nationale de cybersécurité, qui pourrait utilement intervenir dans le cadre du comité de filière, où nous convions tous les acteurs à participer. Nous aurons à cœur d’aligner la stratégie nationale de cybersécurité, afin de réussir ce passage vers la résilience générale. Il nous semble effectivement essentiel de réunir une « équipe de France » et d’y associer tous les acteurs de l’écosystème, dont le président du Campus cyber, le directeur général de l’Anssi, les représentants de cybermalveillance.gouv.fr.

Je confirme par ailleurs que le sujet de la cybersécurité intéresse désormais tout le monde. J’observe en outre que les jeunes générations sont particulièrement sensibles au sujet de la protection des données. Je compte vraiment sur la représentation nationale pour garder en tête que la souveraineté doit être associée à toutes nos démarches dans le numérique ; il en va de notre autonomie stratégique.

Enfin, une collaboration entre public et privé est incontournable si nous voulons établir un modèle économique durable ; l’État ne peut pas tout faire seul. L’industrie prendra sa part, de manière coordonnée avec les autres parties prenantes. Nous produirons des efforts, comme nous le faisons tous les jours pour rendre la cybersécurité plus accessible et le numérique plus agréable à utiliser et plus sécurisé, à long terme.

M. Michel Dubois. Tout d’abord, je distingue deux niveaux de notification. Je ne pense pas qu’il soit nécessaire de légiférer sur le sujet des indicateurs de compromission (IOC), car des structures comme InterCERT en France permettent déjà aux CSIRT de partager ces informations. Le deuxième point concerne la notification vis-à-vis du régulateur. Je tiens à souligner l’importance d’avoir suffisamment de temps pour effectuer cette notification. Dans notre groupe, nous consacrons beaucoup de temps à vérifier les revendications de vol de données, car les pirates informatiques cherchent souvent à se vanter en réutilisant des données anciennes ou non pertinentes. Ce processus d’investigation est long et ne peut être accompli en seulement vingt-quatre heures. Enfin, j’insiste sur la nécessité d’harmoniser la procédure de notification, idéalement à travers une plateforme unique, par exemple portée par l’Anssi, qui diffuserait ensuite les informations aux différentes autorités compétentes, comme l’ACPR ou la Cnil.

En ce qui concerne les sanctions, il est crucial que tous les acteurs soient soumis au même régime. Plutôt qu’une simple sanction financière, pourquoi ne pas imposer l’achat de produits et de services de cybersécurité afin de se mettre aux normes ? Cela permettrait de rendre les sanctions à la fois plus constructives et cohérentes au niveau européen. En conclusion, je préconise un cadre législatif pragmatique et cohérent.

Mme Garance Mathias. Les labels peuvent offrir valorisation, attractivité et confiance. Le label, en tant qu’instrument juridique, doit avant tout inspirer confiance. Lors de l’élaboration du RGPD, cette notion n’avait pas été abordée, mais elle mérite d’être explorée aujourd’hui. Il est essentiel de considérer l’attractivité économique que peut générer la confiance. Au sein du Clusif, nous encourageons les échanges d’idées et le retour d’expérience des différents acteurs pour s’assurer que la loi s’aligne avec la réalité du terrain.

M. Sébastien Garnault. Je tiens d’abord à répondre à la demande de simplification administrative émise par M. le rapporteur général. Nos idées sont déjà sur la table, nous n’aurons donc pas besoin de soumettre un nouveau document. Concernant la stratégie nationale, il est crucial de définir clairement nos objectifs. La responsabilité politique et la continuité de l’engagement sont essentielles. Il est également important que les décrets d’application soient bien définis et que la vision ministérielle soit cohérente et continue.

M. le président Philippe Latombe. Je vous remercie pour vos interventions. Nous ne savons pas encore quand ce texte sera étudié dans l’hémicycle, probablement en septembre. Dans l’intervalle, n’hésitez pas à faire parvenir des contributions écrites à nos rapporteurs, afin que nous puissions les intégrer dans notre réflexion, éliminer des zones d’ombre, éviter les effets de bord et produire un texte le plus clair possible.

8. Table ronde réunissant des organisations patronales, jeudi 5 juin 2025 à 11 heures 30

Lors de sa deuxième réunion du jeudi 5 juin 2025, la commission spéciale a organisé une table ronde réunissant le Mouvement des entreprises de France (Medef) et Confédération des petites et moyennes entreprises (CPME).

M. le président Philippe Latombe. Nous poursuivons nos auditions sur le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité avec une table ronde réunissant le Mouvement des entreprises de France (Medef) et la Confédération des petites et moyennes entreprises (CPME). Le Medef est représenté par Mme Rouilloux-Sicre, vice-présidente du groupe Thalès, présidente du comité régulation du numérique, Mme Briard, chargée de mission économie numérique, et Mme David, chargée de mission affaires publiques. Au titre de la CPME, nous accueillons M. Bataille, membre du comité exécutif de la CPME en charge du numérique et de l’innovation, M. Bothorel, référent cybersécurité, Mme Bouchet, juriste commerce et consommation et M. Dufour, responsable affaires publiques.

Une enquête menée en juin 2024 par l’Agence nationale de la sécurité des systèmes d’information (Anssi) auprès des membres du Clusif et mentionnée par nos collègues sénateurs dans leur rapport sur le projet de loi révèle qu’une cyberattaque coûte en moyenne 466 000 euros pour les très petites, petites et moyennes entreprises (TPE-PME), 13 millions d’euros pour les entreprises de taille intermédiaire (ETI) et 135 millions d’euros pour les grandes entreprises.

Une autre étude menée l’année dernière auprès de 500 TPE-PME pour le compte de cybermalveillance.gouv.fr sur leur niveau de maturité en matière de risque cyber montre que la situation est alarmante. Il en ressort que 61 % des entreprises françaises de moins de 250 salariés s’estiment faiblement protégées en matière de cybersécurité ou ne savent pas évaluer leur niveau de protection. Parmi les obstacles mentionnés pour atteindre le bon niveau de cybersécurité, la moitié des entreprises invoquent le manque de temps, le manque de connaissances et d’expertise, le manque de budget ou affirment encore ne pas savoir vers qui se tourner.

L’adoption de la directive NIS 2 et sa transposition par le titre II du projet de loi que la commission spéciale est chargée d’examiner constituent des réponses à l’augmentation de la cybercriminalité. Le projet de loi distingue deux catégories d’entités régulées, les entités essentielles et les entités importantes. Cette catégorisation s’établit selon leur degré de criticité, leur taille et leur chiffre d’affaires. Selon l’Anssi, près de 2 000 entreprises privées devraient être considérées comme des entités essentielles.

Dans ce contexte, nous souhaitons vous entendre sur la manière dont vous percevez le projet de loi et sur les éventuels angles morts auxquels il faudrait remédier dans le cadre de l’examen du projet de loi par l’Assemblée nationale.

Mme Juliette Rouilloux-Sicre, vice-présidente du groupe Thales, présidente du comité régulation du numérique du Medef. Le Medef souhaite réaffirmer que ce texte, qui permet globalement d’élever le niveau de cybersécurité des entreprises françaises, est pertinent ; nous le soutenons. Les efforts de pédagogie conduits depuis maintenant un certain temps n’ont malheureusement pas suffi, face à la multiplication des attaques, notamment celles visant les PME-ETI.

Pour autant, le Medef est très attentif à éviter une surtransposition, pour plusieurs raisons. D’abord, la directive prévoit déjà un certain nombre d’obligations qui nous semblent suffire pour élever ce niveau de cybersécurité. Ensuite, il est important d’établir une harmonisation au niveau européen. Malheureusement, NIS 2 est une directive et non un règlement. Certains pays sont un peu plus en avance que la France dans leur transposition. Pour les entreprises implantées dans plusieurs pays européens ou celles qui visent des marchés européens, il est important de pouvoir disposer d’une certaine harmonisation des pratiques.

Il est également essentiel pour les entreprises de pouvoir disposer du texte définitif de transposition dans un délai raisonnable, qui permette également un travail parlementaire de qualité. Nous souhaitons également mentionner quelques points d’attention plus particuliers, notamment l’harmonisation des définitions. En effet, le texte en droit français n’adopte pas forcément la définition de la directive, ce qui est un peu regrettable.

Ensuite, les entreprises représentées par le Medef s’interrogent sur le champ d’application couvert par la notion « d’entités », qui suscite un certain nombre d’inquiétudes. En outre, les sanctions, très significatives, soulèvent également des craintes chez nos membres. Le Medef reconnaît la pertinence des sanctions, mais souligne leur nécessaire proportionnalité. Le texte doit également préciser que ces sanctions n’interviendront qu’en dernier recours. De plus, la sanction pénale du dirigeant ne nous semble pas forcément nécessaire, puisque les dirigeants d’entreprises agissent de la meilleure manière possible et qu’ils ne disposent pas forcément d’une grande expertise dans ce domaine.

M. Franck Bataille, membre du comité exécutif de la CPME, en charge du numérique et de l’innovation. La CPME représente plus de 243 000 entreprises et 5,5 millions de salariés. Le sujet qui nous réunit aujourd’hui engage l’avenir, la compétitivité et la sécurité de notre tissu économique. Membre du comité exécutif de la CPME en charge du numérique et de l’innovation, je dirige une petite entreprise de services numériques de dix personnes dans le Loir-et-Cher. À ce titre, je connais bien la difficulté de la conformité en matière de cybersécurité pour des petites entreprises.

Je souhaite évoquer tout particulièrement le soutien aux objectifs de la loi et la responsabilité partagée. Nous souscrivons pleinement à l’ambition de rehausser le niveau de cybersécurité, tant pour protéger les entreprises que pour renforcer la résilience de notre pays. Nos adhérents sont conscients de la gravité croissante des menaces et souhaitent s’inscrire dans cette démarche.

Ensuite, je tiens à insister sur l’importance de la proportionnalité et de la non-surtransposition. Les travaux ont été menés dans un esprit d’équilibre et nous sommes satisfaits de ce point de vue, mais nous pointons l’attention sur la nécessaire progressivité, dans la mesure où toutes les structures n’ont pas forcément les mêmes moyens de mener à bien l’ensemble des actions, du jour au lendemain.

Les TPE et PME sont des entreprises pragmatiques, au contact de la réalité de l’économie de terrain. Un certain nombre d’exigences pèsent déjà sur elles et nous ne voudrions pas qu’elles fassent l’objet d’obligations et de contrôles ressentis comme disproportionnés et difficilement applicables d’une seule traite. Nous insistons donc sur la nécessité de leur accorder du temps et de les traiter de manière proportionnée.

Dans ces conditions, nous souhaitons travailler sur les éléments d’accompagnement, de pédagogie et de soutien opérationnel. Nous voulons avancer main dans la main avec vous, dans un esprit de confiance, de dialogue et de coconstruction. Nous soutiendrons les démarches qui favoriseront l’information, l’accompagnement, la proportionnalité, la tolérance, afin que la cybersécurité devienne un réflexe partagé, accessible à tous, mais également une source de compétitivité pour nos PME.

Mme Anne Le Hénanff, rapporteure. S’agissant des sanctions pénales du dirigeant, je tiens à rappeler que dans le cadre du règlement général sur la protection des données (RGPD) et de la fuite manifeste de données, la sanction pénale intervient s’il existe une preuve manifeste de non-volonté de se mettre en conformité. Il me semble que la directive NIS 2 partage le même esprit, mais nous pourrons en reparler si vous estimez que des précisions doivent être apportées dans le texte.

Que pensez-vous de l’idée, promue par certains acteurs, de rendre visible la démarche, voire l’atteinte, de la conformité à NIS 2 ? Que pensez-vous de l’idée d’une labellisation ?

Ensuite, j’aimerais connaître votre analyse sur les contrôles et les audits. Cet aspect suscite fréquemment des réactions, notamment de la part de ceux qui questionnent l’indépendance des organisations qui pourraient effectuer ces contrôles, voire qui souhaiteraient que celles-ci soient exclusivement françaises ou européennes. L’audit doit-il être généré par l’autorité de contrôle, l’Anssi, ou par l’entité elle-même concernée ? Comment appréhendez-vous cette thématique ?

Enfin, comment intégrez-vous la mise en conformité des 15 000 entités soumises à la directive NIS 2 vis-à-vis de leurs fournisseurs ou partenaires ? Estimez-vous que le contrat sera rempli lorsque les 15 000 entités se seront mises en conformité ou allez-vous plus loin, notamment vis-à-vis de la chaîne d’approvisionnement, en amont ou en aval ?

M. le président Philippe Latombe. Je partage les questions de Mme la rapporteure sur la labellisation et ses propos sur la sanction de l’intentionnalité. Certaines personnes qui ont été auditionnées promeuvent l’idée de la création d’un référent cyber au sein des entreprises, en mesure de s’adresser directement à l’organe dirigeant en cas de difficultés. Quel est votre point de vue à ce sujet, à la fois dans les grandes entreprises, mais aussi dans les PME et TPE ?

Ensuite, beaucoup souhaitent que le texte de loi fasse référence à des normes internationales existantes du type ISO 27000. Qu’en pensez-vous ? L’Anssi y est plutôt défavorable, mais d’autres pays ont opéré ce choix dans la transposition, notamment la Belgique.

Enfin, certaines personnes auditionnées pointent qu’un délai de notification d’une journée est trop court, car il est nécessaire de mener des investigations. Ils souhaiteraient pouvoir modifier ou moduler ce délai, avoir la capacité de pouvoir revenir sur des déclarations d’incidents ; lorsqu’ils sont moins graves qu’initialement redoutés, ou inversement. Comment envisagez-vous ce délai de notification ?

M. Marc Bothorel, référent cybersécurité, CPME. Tant que le règlement européen sur la cyber-résilience (Cyber Resilience Act, CRA) n’aura pas été mis en application par les différents fournisseurs et que les entreprises n’auront pas la possibilité de choisir un logiciel conforme au CRA, il apparaît difficile de sanctionner un chef d’entreprise qui se ferait attaquer au travers d’une chaîne logicielle.

Certaines PME sont directement assujetties à NIS 2, mais il leur faudra s’assurer que leurs sous-traitants proposent le même niveau de sécurité, même s’ils ne sont pas eux-mêmes assujettis. Dans le texte initial fourni par l’Anssi sur les vingt règles à mettre en œuvre et les entités capables de vérifier la mise en œuvre de ces mesures, figurent essentiellement des labellisés Anssi. Ils sont pourtant trop peu nombreux pour pouvoir traiter la masse des nouvelles sociétés qui seront soumises à cette réglementation.

Nous suggérons donc de s’appuyer sur les labellisés ExpertCyber, actuellement au nombre de 200 sur le territoire. Ces experts sont spécifiquement labellisés par l’Association française de normalisation (Afnor) pour traiter les TPE-PME. Ce label pourrait évoluer avec un volet spécifique dédié à la directive NIS 2, afin de vérifier la conformité à cette dernière des entités, des assujettis et donc de nos adhérents.

Pour l’aspect relatif aux sanctions, il faut considérer que certaines chaînes logicielles ne sont pas encore conformes au règlement européen sur la cyber-résilience, tant qu’il n’aura pas été mis en application. Ensuite, le sujet du référent NIS 2 est effectivement une bonne question. Cependant, sa mise en place semble compliquée. Dans les petites entreprises, le dirigeant pourrait assumer ce rôle, éventuellement aidé par un cabinet juridique.

M. Franck Bataille. Il y a trente ans, dans les TPE-PME, le point de contact sur les technologies de l’information était le comptable. Désormais, il s’agit du dirigeant. Obliger ces petites structures à disposer d’une personne spécifiquement formée à ces enjeux pourrait entraîner des coûts supplémentaires de recours à un prestataire externe, similaires à ceux engendrés par les délégués à la protection des données (DPO). Pour le niveau attendu du point de contact, tout dépendra des besoins de chaque entreprise, en fonction de sa taille. Une TPE de cinq personnes ne peut pas être tenue aux mêmes exigences qu’une PME de 200 personnes.

M. Marc Bothorel. Nous travaillons depuis deux ans, maintenant, avec l’Afnor sur une « Spec Afnor, dont l’objectif consiste à protéger les TPE-PME de 80 % des attaques les plus communes. Cette Spec est quasiment terminée et nous avons établi un groupe de travail, qui réunit notamment la direction générale des entreprises (DGE), l’Anssi, cybermalveillance.gouv.fr, les syndicats patronaux, les syndicats IT, BoostAeroSpace et La Poste. Cette Spec est rédigée et il ne nous reste plus qu’à traiter la labellisation des entreprises capables de vérifier sa conformité. J’ai d’ailleurs transmis le dossier à Clara Chappaz, la ministre déléguée chargée de l’intelligence artificielle et du numérique, et à l’Anssi. Nous estimons que la Spec Afnor peut être utile pour les sous-traitants, dans la mesure où elle comporte plusieurs niveaux (Silver, Gold et Platinum) et fournit un cadre de référence qui n’existe pas aujourd’hui.

Ensuite, une question a été posée concernant les délais de notification d’incidents. Un délai d’un jour paraît extrêmement court. Proposer un délai de soixante-douze heures, aligné sur les fuites de données pour la Commission nationale de l’informatique et des libertés (Cnil), pourrait être cohérent, car les incidents cyber et les fuites de données sont souvent concomitants.

Mme Anne Le Hénanff, rapporteure. Je me permets de vous rappeler que deux autres questions portent sur les organismes de contrôle nationaux et européens et sur l’affichage public de la mise en conformité.

M. Marc Bothorel. Une des missions d’un syndicat patronal consiste à diffuser l’information auprès des adhérents et les inciter à se mettre en conformité. À ce sujet, l’Anssi compte sur nous. Il ne faut pas rééditer la même erreur que pour le RGPD et ne parler de la directive NIS 2 que sous l’aspect des sanctions, mais bien valoriser la conformité comme un atout commercial, celui d’être considéré comme un « partenaire de confiance ».

Mme Juliette Rouilloux-Sicre. La rédaction actuelle sur les sanctions mérite sans doute d’être affinée, pour correspondre à l’état d’esprit qu’évoquait Mme la rapporteure.

Le label de conformité doit être bien encadré pour éviter des autodéclarations subjectives. Un vrai cahier des charges est donc nécessaire, en laissant du temps aux entreprises pour se mettre en conformité. En effet, le degré de maturité cyber n’est pas le même selon la taille de l’entreprise. Dans ce cadre, l’Anssi semble désignée pour octroyer ce label en tant qu’entité de confiance, mais sera sans doute confrontée à une problématique de moyens. Quoi qu’il en soit, le label permettrait à tous, y compris aux citoyens, de connaître le niveau de conformité.

La conformité doit aussi être envisagée comme une opportunité de développement des affaires : le Medef considère qu’une entreprise responsable s’orientera plus naturellement vers un prestataire conforme.

Nous comprenons la logique des contrôles et des audits. Les contrôles, internes ou externes, sont essentiels, mais il convient de veiller à ce que les prestataires qui offriront des services soient bien compétents. Le Medef ne voit aucun obstacle à des contrôles effectués par l’Anssi, mais fait preuve de vigilance sur d’éventuels conflits d’intérêts si des tiers interviennent. Dans quelles conditions agiront-ils ? Quels seront les critères de sélection ? En effet, un auditeur pénètre au cœur des systèmes et peut accéder potentiellement à un certain nombre de failles. La même vigilance concerne les éléments de souveraineté.

Ensuite, dans le cadre de la directive NIS 1, il est parfois difficile pour les entreprises de transférer leurs exigences aux fournisseurs et prestataires. En revanche, nous estimons que NIS 2 peut offrir une opportunité, dans la mesure où elle concernera un bien plus grand nombre d’entreprises. De fait, la prise de conscience des entreprises sur la cybersécurité sera rehaussée avec cette réglementation. Pour autant, la démarche sera complexe, raison pour laquelle nous sommes vigilants en termes de surtransposition : il ne faudrait pas imposer à des fournisseurs sous-traitants de taille plus modeste des exigences qu’ils ne pourraient pas tenir.

À ce titre, il faut veiller à établir une harmonisation au niveau européen, dans la mesure où les fournisseurs et sous-traitants français ne travaillent pas toujours uniquement avec des entreprises françaises. Je pense notamment aux ETI ou aux PME, qui ont moins de moyens, moins de capacités à se mettre en conformité.

Ensuite, le rôle de référent cyber nous semble effectivement constituer une bonne idée, mais il ne devrait pas nécessairement être tenu par le responsable de la sécurité des systèmes d'information (RSSI), qui pourrait être considéré comme juge et partie. Dans la mesure où il s’agit d’un sujet de conformité, cette tâche pourrait être assurée par le directeur juridique. Le Medef recommande depuis longtemps une montée en compétences sur ces sujets cyber, pour l’ensemble du tissu industriel français. À cet égard, des efforts de formation devraient être accomplis, mais à moindre échelle, puisque la cybersécurité est désormais mieux connue.

Utiliser des normes internationales comme ISO ou celles en cours de développement par l’Afnor est bénéfique, mais il est crucial que ces normes s’appliquent uniformément à tous. En effet, la directive NIS 2 implique une responsabilité qu’il ne faut pas restreindre uniquement aux grandes entreprises, au risque de créer des « trous dans la raquette ». Je rappelle ainsi que l’objectif initial de la directive consistait bien à s’assurer d’un bon niveau de cybersécurité en Europe. Ceci est d’autant plus important que les attaques sont aujourd’hui très variées ; elles touchent tous les secteurs d’activité et toutes les tailles d’entreprise.

Vous avez également mentionné les délais de notification. À ce titre, il convient de distinguer les fuites de données personnelles, qui font l’objet de déclarations à la Cnil, et les fuites de données industrielles. Dès lors, il n’est pas forcément pertinent d’intégrer dans le texte une déclaration d’office à la Cnil en cas d’incident cyber au titre de NIS 2, puisqu’un incident cyber ne donne pas forcément lieu, heureusement, à une fuite de données personnelles.

Le délai de vingt-quatre heures ne pose pas de problème au Medef, dès lors qu’il concerne une première notification. En revanche, il importe sans doute d’apporter une clarification concernant le type d’incident de cybersécurité qu’il convient de déclarer, dans la mesure où plusieurs dizaines de milliers d’incidents cyber interviennent chaque jour. Nous relevons avec satisfaction que la nouvelle version du texte apporte d’ailleurs une amélioration en ce sens. À l’inverse, un délai de soixante-douze heures peut sembler long : de nombreuses données peuvent avoir fui, des systèmes être bloqués. En conséquence, il peut être très utile pour une ETI d’obtenir le soutien de l’Anssi dans un délai plus rapide.

Nous sommes en revanche favorables à l’établissement d’un formulaire unique et, idéalement, d’un guichet unique, qui pourrait être assuré par l’Anssi, laquelle pourrait coordonner les déclarations et assurer la conformité. Or la rédaction actuelle du texte ne prévoit pas cette possibilité.

Enfin, je souligne que diverses autorités sectorielles mettent également en place des dispositifs en matière de cybersécurité.

M. Marc Bothorel. NIS 2 formule des exigences en matière de formation des utilisateurs. Aujourd’hui, nos adhérents cotisent aux fonds professionnels, les opérateurs de compétences (Opco) tous les mois de février, mais ne dépensent pas nécessairement leur budget. S’il ne s’agit pas d’une formation certifiante, elle constitue malgré tout la première ligne de défense d’une entreprise et désormais une exigence des assurances cyber. Ne serait-il pas envisageable de prendre en charge ces sensibilisations annuelles dans le cadre des Opco ? Compte tenu du contexte économique et géopolitique, cela mettrait le pied à l’étrier à des chefs d’entreprise pour la formation de leurs employés, de manière annuelle.

S’agissant des autorités de contrôle, vous avez évoqué ISO 27001. Cependant, pour une PME de cinquante personnes, le coût d’une conformité ISO 27001 est hors de portée. À ce propos, je me permets de rappeler une décision du tribunal d’appel de Rennes, qui a condamné un sous-traitant pour manquement à son devoir de conseil auprès d’une entreprise qui a subi une cyberattaque. Cette décision fera vraisemblablement jurisprudence. De fait, les prestataires IT ont tout intérêt à effectuer leur métier de la manière la plus rigoureuse, dans le cadre de NIS 2.

M. le président Philippe Latombe. La directive NIS 2 prévoit que l’Anssi élabore un référentiel qui ne figure pas dans le texte de loi, mais prendra la forme d’un décret en Conseil d’État. Cela vous pose-t-il un problème d’instabilité juridique, de visibilité et de prévisibilité ?

De leur côté, un certain nombre de pays européens ayant déjà transposé ont pleinement utilisé les considérants de la directive, en estimant qu’il fallait le plus possible faire référence à des normes internationales, de type ISO 27001. Les législateurs belges ont ainsi inscrit dans le texte de loi une référence directe à de telles normes internationales. Faut-il en faire autant où maintenir une forme de souplesse, ainsi que l’Anssi le suggère ?

Mme Juliette Rouilloux-Sicre. Certains pays ont inclus des termes comme « notamment » ou « de type », créant ainsi de l’insécurité juridique. Le Medef n’est pas opposé à une définition du référentiel après la promulgation de la loi, tant que cela ne prend pas trop de temps. La transposition de la directive en droit français a pris plus de temps que prévu, même si cela permet de conduire des consultations, comme celle à laquelle vous nous permettez de participer. Cependant, le texte prévoit de nombreux renvois à des décrets en Conseil d’État, s’agissant notamment du référentiel. Or nous redoutons que ces décrets tardent à être publiés, d’autant plus que l’Anssi dispose de ressources limitées. Par ailleurs, il n’y a pas de délai de mise en conformité : en théorie, les entreprises devront être conformes immédiatement, d’un strict point de vue juridique.

Nous recommandons que le référentiel soit rapidement établi et qu’il ne s’éloigne pas trop des standards internationaux. Nous sommes préoccupés par la façon dont les entreprises choisiront leurs prestataires sans critères clairs. Il est important que la mise en place du référentiel prenne en compte les spécificités françaises tout en restant alignée avec les normes internationales.

M. Franck Bataille. Nous ne sommes pas non plus pas opposés à une définition du référentiel après la promulgation de la loi, sous réserve qu’elle intervienne rapidement. Il ne faudrait pas non plus qu’il soit inapplicable pour les TPE et PME. En effet, un référentiel trop pointu ne pourrait pas être mis en œuvre par ces dernières. Il faut tenir compte des réalités de terrain. À titre d’exemple, dans mon petit département du Loir-et-Cher, 80 % de mes adhérents ont encore une adresse wanadoo.fr. Il sera très compliqué de leur faire sauter plusieurs marches du jour au lendemain. Nous plaidons donc en faveur d’une démarche progressive dans le cadre d’un référentiel, qui doit être appliqué différemment en fonction de la dimension des entreprises.

M. Marc Bothorel. Je complète ces propos concernant la déclaration de l’incident. En tant que réserviste à l’Unité nationale cyber, je souhaite mettre en lumière une problématique sur laquelle nous avons travaillé. Certaines petites entreprises ont tenté de faire des demandes auprès de l’Anssi, bien que ce ne soit pas son rôle pour des sociétés d’environ cinquante personnes : elle traite principalement d’acteurs de plus grande taille, appelés opérateurs de services essentiels (OSE) et opérateurs d’importance vitale (OIV), dans l’ancienne nomenclature.

Il est donc pertinent de souligner l’importance du numéro 17Cyber, qui a été créé pour fournir une permanence gendarmerie-police, vingt-quatre heures sur vingt-quatre et sept jours sur sept, capable d’aider les petites entreprises dans leurs déclarations d’incident. Des retours du terrain, notamment de brigades de gendarmerie, montrent que certains chefs d’entreprise n’ont pu déposer plainte faute de spécialistes présents.

Le mécanisme mis en place depuis le 17 décembre dernier constitue une solution appropriée pour les PME. Il permet à ces entreprises de bénéficier d’un support adapté pour toutes leurs déclarations d’incident, contrairement à l’Anssi qui ne traite pas les cas des PME de cette taille.

Mme Juliette Rouilloux-Sicre. L’Anssi a déjà fait circuler quelques versions de son référentiel et une nouvelle version sera bientôt disponible. Inspirés par des secteurs comme l’aéronautique, où Boost Aerospace utilise des niveaux de conformité (Silver, Gold et Platinum), nous pourrions envisager un référentiel similaire. Celui-ci tiendrait compte de la criticité des activités confiées aux sous-traitants et prestataires.

J’insiste à mon tour sur le caractère crucial des délais. Il est impératif que ce référentiel soit publié rapidement. Les entreprises ont besoin de clarté pour mettre en œuvre les directives, estimer les coûts et ajuster leurs offres en conséquence. Pour le moment, elles attendent.

Mme Anne Le Hénanff, rapporteure. Je tiens à réagir en ce qui concerne les décrets, pour partager l’opinion qui vient d’être exprimée. À titre d’exemple la loi visant à sécuriser et à réguler l’espace numérique (loi Sren) date de l’année dernière. Pourtant, sur la partie cloud que je portais, 80 % des décrets n’ont toujours pas été publiés. Il sera donc utile de transmettre ce message à Mme la ministre, que nous auditionnerons prochainement.

Ensuite, je souhaite vous poser deux questions concernant l’accompagnement, étant donné que vous représentez des fédérations professionnelles. Premièrement, envisagez-vous de mettre en place des campagnes ou des actions visant à sensibiliser vos membres, notamment pour éviter les effets d’aubaine des offres commerciales proposées par des cabinets profitant de textes non encore publiés ? Depuis déjà un an, certains vendent des services de mise en conformité avec NIS 2 alors même que le texte n’est pas encore sorti. Comment comptez-vous sensibiliser vos membres à ce sujet ?

Deuxièmement, envisagez-vous d’identifier activement vos ressortissants concernés par NIS 2, ou les laisserez-vous se déclarer eux-mêmes à l’Anssi ? J’aimerais comprendre comment vous intégrez ces éléments dans vos stratégies de communication.

M. Marc Bothorel. Nous avons également organisé des réunions avec l’Anssi sur ce sujet et sommes quelque peu déçus de la manière dont l’Anssi nous délègue cette responsabilité. Le dernier message reçu indiquait en substance : « Nous n’avons pas de support de présentation à vous fournir, débrouillez-vous et faites de la publicité auprès de vos adhérents ».

Au-delà, le seul outil disponible, « MonEspaceNIS2 », est toujours en phase bêta pour la partie relative à la qualification. Un autre point préoccupant concerne l’absence d’étude d’impact, ce qui nous empêche d’informer nos adhérents sur le temps et le coût nécessaires à la mise en conformité. Cela est extrêmement regrettable. Nous avons d’ailleurs déjà évoqué ce sujet auprès de Vincent Strubel, le directeur général de l’Anssi.

M. Franck Bataille. Pour répondre à votre question sur l’effet d’aubaine, nous avons déjà travaillé sur ce sujet, que ce soit pour NIS 2 ou pour le RGPD. Nous avons relayé des messages indiquant que les plateformes en ligne qui promettent monts et merveilles ne reflètent pas la réalité. Nous sommes également vigilants sur l’arrêt du cuivre, qui crée des opportunités pour certains, mais peut induire en erreur nos TPE et PME avec des offres non pertinentes ou viables. Nous continuons d’expliquer ces aspects à nos membres, tout comme le font les associations locales dans leurs collectivités. Nous veillons régulièrement à ce que nos unions territoriales portent également ce message.

M. Marc Bothorel. Nos adhérents ne sont pas des spécialistes. Nous attendions de l’Anssi que l’ensemble des règles techniques qui ont été édictées soient établies de manière plus compréhensible. En effet, elles s’adressent essentiellement à des directeurs des services informatiques (DSI) et des RSSI. J’ai récemment eu l’occasion d’en discuter avec le Clusif et nous partageons le même point de vue à cet égard : une approche progressive serait clairement bénéfique.

Cette progressivité doit aussi s’inscrire dans une démarche de bienveillance pendant le temps de la mise en place, en prenant en considération la situation économique et géopolitique, ainsi que les problématiques de trésorerie auxquelles les entreprises sont aujourd’hui confrontées. Le coût de mise en œuvre initiale de NIS 2, sans parler des coûts annuels récurrents, impactera fortement la trésorerie des petites entreprises. Il est donc nécessaire d’établir une période de bienveillance et d’accompagnement de la part de l’Anssi et de l’écosystème, ainsi qu’une écriture des règles à mettre en œuvre de manière progressive, à partir d’un socle sur lequel sera progressivement construit l’ensemble des règles et des obligations de NIS 2. Actuellement, les vingt règles sont posées d’un coup, et il incombe aux utilisateurs de décrypter leur contenu, ce qui n’est pas toujours simple pour un non-spécialiste.

M. le président Philippe Latombe. Nous avons souhaité, comme l’a exprimé le rapporteur général, organiser une première audition avec le directeur général de l’Anssi. Nous le réauditionnerons une dernière fois après toutes les auditions, pour revoir les points soulevés et envisager éventuellement des évolutions. Ensuite, nous auditionnerons en dernier la ministre qui portera le texte, ce qui servira de base à notre discussion générale pour la commission. À ce titre, les messages que vous nous adressez aujourd’hui sont nécessaires pour les deux auditions à venir. Les auditions publiques permettent précisément d’élargir le spectre du débat.

Mme Juliette Rouilloux-Sicre. Le Medef a pour habitude d’accompagner ses adhérents et le débat sur la cybersécurité n’y déroge pas. Une fois que le texte aura été publié, nous agirons en ce sens de manière encore plus poussée, en essayant de faire œuvre de pédagogie. À ce sujet, nous souhaiterions pouvoir disposer de documents standards, que chaque organisation pourrait diffuser de la même manière au sein de ses fédérations. Mais nous n’avons pas attendu pour agir. Une équipe numérique du Medef y travaille, y compris sous la forme de webinaires.

Le Medef croit beaucoup à la cybersécurité et estime qu’il s’agit d’un point fort en termes de souveraineté. Encore une fois, avoir des documents standardisés aiderait à assurer la bonne compréhension et à éviter les mauvaises interprétations.

Sur le sujet de l’identification des entreprises, le Medef ne prendra pas la responsabilité, car elle incombe à l’entreprise elle-même. NIS 2 prévoit d’ailleurs une charge de la preuve un peu différente par rapport à NIS 1. Les entreprises doivent s’identifier, faire leur propre auto-évaluation et déterminer si elles sont une entité essentielle, importante ou non concernée. Nos adhérents demandent un accompagnement plus prononcé de l’Anssi sur le sujet, qui tarde pour le moment, pour des raisons que nous comprenons par ailleurs, tant elle doit couvrir un grand nombre de secteurs et d’entreprises.

Il n’en demeure pas moins que nombre d’entreprises aimeraient un accompagnement plus marqué de l’Anssi sur la qualification, pour pouvoir s’assurer qu’elles ont choisi la bonne. De fait, dans leur très grande majorité, les entreprises font preuve d’une très bonne volonté, ont envie de se mettre en conformité. Mais parfois, leur niveau de maturité cyber n’est pas encore excellent.

Je me permets également de revenir sur un point abordé lors de mon exposé liminaire. Il est important d’utiliser un vocabulaire cohérent dans le texte de transposition, afin d’éviter les différences de définition entre le droit français et la directive. Pour les groupes ayant des entités dans plusieurs pays européens, il faudrait envisager un guichet unique. En effet, contrairement au RGPD, NIS 2 manque d’un tel outil, ce qui complique la gestion des incidents pour les grandes entreprises multinationales.

La directive NIS 2 complique la tâche de deux types d’entreprises. Il s’agit d’une part des petites et moyennes entreprises, parce qu’elles ne connaissent pas très bien le cyber. Il s’agit d’autre part des grands groupes, présents dans un certain nombre de pays européens et dont les qualifications sont parfois différentes selon les pays, selon la transposition qui a été opérée en droit national. En conséquence, ils doivent notifier et se déclarer auprès de plusieurs autorités de contrôle.

En résumé, il serait opportun que le législateur français prête une attention particulière aux terminologies utilisées et que l’Anssi puisse jouer un rôle de guichet unique et fournir un support.

M. le président Philippe Latombe. Il existe effectivement une forte demande de la part des entreprises, quel que soit leur secteur. Souhaitez-vous aborder d’autres points ?

M. Marc Bothorel. Je souhaite revenir sur la nécessité d’un accompagnement budgétaire pour aider nos adhérents à se mettre en conformité dans un domaine, qui n’est pas aujourd’hui perçu comme un outil de productivité. Actuellement, nous constatons le « saupoudrage » des différents budgets accessibles, sujet que nous avons déjà abordé devant la commission sénatoriale. À cette occasion, j’avais pris l’exemple d’une petite entreprise implantée dans la « diagonale du vide » qui serait soumise à NIS 2, sans prestataire à proximité, sans faculté d’accéder à des budgets.

Il est donc essentiel d’assurer une égalité de traitement et d’accessibilité aux budgets accompagnant les PME pour se mettre en conformité.

Malheureusement, cela n’est pas le cas aujourd’hui. Dorothée Decrop, déléguée générale d’Hexatrust, que vous avez reçue un peu plus tôt ce matin, réalise un travail formidable pour essayer d’identifier les différentes sources de budgets disponibles auprès des entreprises. Mais au-delà de l’identification, l’essentiel consiste surtout à pouvoir accéder à ces budgets. Or il existe de très fortes distorsions dans ce domaine. À titre d’exemple, en Île-de-France, le budget de 10 millions d’euros mobilisé par le conseil régional pour les PME n’était accessible qu’aux entités labellisées « prestataire d’audit de la sécurité des systèmes d’information » (Passi) par l’Anssi, dont les coûts par journée étaient trop élevés pour des budgets de PME.

Si nous voulons réussir la mise en œuvre de NIS 2, il faut introduire de la rationalité, à la fois sur la capacité de nos adhérents à accéder effectivement à des prestataires capables de les mettre en conformité, mais également à des accompagnements budgétaires pour la mise en conformité. Lorsqu’internet s’était diffusé, dans les années 2000, une loi de finances avait inscrit un crédit d’impôt de 50 % pour s’équiper en équipements réseau et ainsi accéder à internet. Ne pourrait-on pas imaginer un dispositif similaire ?

Toutes choses égales par ailleurs, un investissement de l’État pour aider les entreprises à se protéger lui coûterait moins cher que les conséquences d’attaques cyber sur celles-ci, qui se traduiraient par des dépôts de bilan, des mesures de redressement, des recettes fiscales en moins et des chômeurs supplémentaires, qu’il faudrait indemniser.

M. Franck Bataille. Dans certaines régions, comme le Loir-et-Cher, la complexité et la multiplicité des dispositifs peuvent retarder considérablement la mise en place de mesures de cybersécurité. Dans mon département, j’ai le souvenir d’un adhérent, employeur de soixante salariés qui voulait mettre en place différentes mesures de cybersécurité. Il lui a fallu plus d’un an pour aller au bout de la démarche. Il arrive qu’un plus grand nombre de ressources soient dépensées pour préparer les dossiers de demande d’aides que pour bénéficier réellement de ces aides. Simplifier et améliorer l’efficacité de ces dispositifs pourrait grandement aider les PME.

M. le président Philippe Latombe. Ce type de questions sera abordé avec Mme la ministre, même si elles relèvent plus de la loi de finances que d’un texte de cet ordre.

Ensuite, nous avons longuement évoqué aujourd’hui les sanctions de nature pénale. En revanche, je suis surpris qu’aucun de vous n’ait mentionné le fait que seules les entreprises étaient soumises à une possibilité de sanction alors que le secteur public n’est pas concerné. Quel est votre point de vue à ce sujet ?

Je souhaite enfin vous poser une question au nom notre collègue Mickaël Bouloux, rapporteur en charge de la partie relative à la directive Dora. Avez-vous identifié des zones de frottement, des incompatibilités, entre la directive NIS 2 et Dora qui justifieraient des modifications du texte de transposition, pour le rendre cohérent ? En effet, selon diverses personnes auditionnées, Dora prévoit que les entreprises assujetties à la directive puissent diligenter des audits auprès de leurs sous-traitants. Deux remarques ont été formulées à ce propos. D’une part, la durée et le coût de ces audits ne sont pas détaillés. D’autre part, cette question soulève des préoccupations concernant l’accès potentiel à des informations sensibles par des cabinets étrangers. Ce sujet vous préoccupe-t-il ? Avez-vous des recommandations à formuler à ce propos ?

Mme Juliette Rouilloux-Sicre. Pour le Medef, la disproportion un peu systématique sur ces sujets de conformité entre les entités publiques et les entreprises ne semble pas pertinente. Actuellement, le niveau de cybersécurité des collectivités est parfois bas, ce qui peut s’expliquer par différentes raisons. Elles sont soumises à d’autres types de demandes de la part des citoyens, qui ne portent pas vraiment sur le cyber, mais plutôt sur des préoccupations plus classiques comme la qualité des équipements, le bon fonctionnement des écoles.

Néanmoins, nous redoutons qu’en l’absence de sanctions, ces collectivités ne prennent pas ce sujet à bras-le-corps et ne le traitent pas avec autant diligence que les entreprises, alors même qu’elles ont accès à un certain nombre de données importantes pour le secteur privé. Les entreprises leur communiquent par exemple des données qui sont parfois sensibles. Il nous semble important que l’ensemble de l’écosystème français se mette en conformité, même s’il ne revient pas au Medef de prôner telle ou telle sanction pour les administrations ; notre organisation défend les entreprises.

En revanche, nous considérons que le montant des sanctions est extrêmement élevé et que leur assiette de calcul n’est pas complètement claire, notamment pour les groupes d’entreprises. Ces sanctions sont ainsi déterminées par rapport au chiffre d’affaires. Mais de quel chiffre d’affaires est-il question ? S’agit-il de celui de l’entité qui a commis une négligence ou de celui du groupe en entier ? Le Medef préfère évidemment la première possibilité, dans la mesure où un groupe n’est pas forcément informé de ce qui se passe dans l’une des entités. Par ailleurs, nous considérons que le montant des sanctions est effectivement très significatif ; elles peuvent mettre en péril l’activité des entreprises. Nous avons compris que la mise en œuvre serait effectuée avec une certaine bienveillance, mais le Medef est très vigilant à ce sujet.

Ensuite, vous avez mentionné les craintes liées à la conduite des audits par des cabinets étrangers. Compte tenu de la responsabilité qui pèse sur les donneurs d’ordre dans le cadre de NIS 2, il nous semble utile qu’ils puissent mener des audits auprès de leurs sous-traitants et fournisseurs. Cela permet effectivement de vérifier la conformité sur des activités critiques pour la nation et certains secteurs. En revanche, ces contrôles et audits doivent être conduits par des entreprises labellisées. Il existe déjà un certain nombre de labellisations cyber.

Le texte prévoit également la possibilité pour les autorités d’échanger avec des organismes internationaux qui œuvrent dans le domaine de la cybersécurité. En revanche, ni la directive NIS 2, ni le texte de transposition ne fournissent de détails. Le Medef souhaite s’assurer que des informations confidentielles, y compris celles liées au secret des affaires, ne soient pas transmises à des tiers dans le cadre de discussions internationales.

Enfin, en matière de normes, le Medef préfère des normes internationales établies plutôt que des normes très spécifiques et sectorielles : nous préférons une norme ISO à une norme Afnor, car elle nous semble plus correspondre à l’objectif d’harmonisation.