AMENDEMENT

Après l’article 37

Insérer un article additionnel ainsi rédigé :

Pour les entités essentielles mentionnées aux articles 8 et 10, les dispositions du présent chapitre entrent en vigueur trois ans après la promulgation de la loi n° du relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité.

Pour les entités importantes mentionnés aux articles 9 et 10, les dispositions du présent chapitre entrent en vigueur quatre ans après la promulgation de la loi n° du relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité. 

Cet amendement vise à accorder les délais nécessaires aux entreprises, aux administrations et aux collectivités territoriales pour se mettre en conformité avec les obligations prévues par la directive NIS 2 et le présent projet de loi en assurant la transposition.

Il s’agira en particulier pour les 15 000 entités désormais régulées de se mettre en conformité avec le référentiel prévu à l’article 14 qu’édictera l’Anssi, ce qui nécessitera des investissements importants, le recours à des prestataires spécialisées, l’embauche de personnel qualifié, etc.

Il faudra donc laisser le temps aux entités de s’organiser, d’où l’importance de prévoir des délais nécessaires avant la mise en œuvre de contrôles et a fortiori de sanctions.

Dans un souci de proportionnalité, ce délai est fixé à trois ans pour les entités essentielles et à quatre ans pour les entités importantes, de plus petites tailles et souvent moins bien outillées pour mettre en place leurs nouvelles obligations en matière de cybersécurité.