Mardi 11 mars 2025

- Présidence de M. Olivier Cadic, président -

La réunion est ouverte à 13 h 35.

Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité - Examen des amendements au texte de la commission

M. Olivier Cadic, président. - Mes chers collègues, l'ordre du jour appelle l'examen des amendements au texte élaboré par la commission sur le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité.

Je souhaite rappeler que la base de notre discussion en séance portera sur le texte que notre commission spéciale a adopté la semaine dernière. Avec les rapporteurs, nous avons rappelé à la ministre que la balle était dans son camp pour faire des contre-propositions si notre rédaction ne lui convenait pas. Nous pensons qu'il aurait été courtois que les amendements du Gouvernement ne nous soient pas soumis au dernier moment, mais nous allons faire avec.

EXAMEN DES AMENDEMENTS DES RAPPORTEURS

Article 1er

L'amendement rédactionnel n°  113 est adopté.

Article 8

M. Patrick Chaize, rapporteur. - L'amendement n°  114 vise à faire basculer de la catégorie d'entité essentielle vers la catégorie d'entité importante les communautés d'agglomération ne comprenant pas au moins une commune dont la population est supérieure à 30 000 habitants. C'est une demande de l'Association des maires de France et des présidents d'intercommunalité (AMF) qui me paraît raisonnable. En revanche, je ne vous proposerai pas de retirer les communautés de communes du périmètre des entités régulées par le projet de loi.

L'amendement n° 114 est adopté.

Article 9

M. Patrick Chaize, rapporteur. - L'amendement n°  115 a le même objet que le précédent.

L'amendement n° 115 est adopté.

Article 27

L'amendement rédactionnel n°  116 est adopté.

Article 31

M. Patrick Chaize, rapporteur. - L'amendement n°  117 vise à permettre l'ouverture d'une procédure à l'encontre de l'entité contrôlée lorsque le contrôle mené, sans aboutir à la constatation d'un manquement évident de la part de cette entité, révèle des éléments ou des faits éveillant une suspicion de manquement.

L'amendement n° 117 est adopté.

Après l'article 37

M. Patrick Chaize, rapporteur. - L'amendement n°  118 vise à accorder les délais nécessaires aux entreprises, aux administrations et aux collectivités territoriales pour se mettre en conformité avec les obligations prévues par la directive NIS2 (Network and Information Security 2 ou directive sur la sécurité des réseaux et des systèmes d'information) et le présent projet de loi qui en assure la transposition.

Dans un souci de proportionnalité, ce délai est fixé à trois ans pour les entités essentielles et à quatre ans pour les entités importantes. Je précise qu'il s'agit d'un amendement d'appel, car la directive NIS2 ne prévoit pas de tels délais et que, en conséquence, nous ne respecterions pas ses dispositions en les inscrivant dans la loi.

L'amendement n° 118 est adopté.

Après l'article 45

M. Michel Canévet, rapporteur. - L'amendement n°  119 tend à désigner l'Autorité des marchés financiers comme seule autorité compétente pour exercer les fonctions et missions prévues par le règlement DORA en matière de déclaration des incidents majeurs. Cela rejoint l'idée d'un guichet unique dont nous avons déjà parlé.

L'amendement n° 119 est adopté.

Article 49

M. Michel Canévet, rapporteur. - L'amendement n°  120 concerne la situation particulière de la Caisse des dépôts et consignations.

L'amendement n° 120 est adopté.

Article 56

M. Michel Canévet, rapporteur. - L'amendement n°  121 tend à corriger une erreur de référence.

L'amendement n° 121 est adopté.

Article 62

M. Michel Canévet, rapporteur. - L'amendement n°  122 vise à soumettre les sociétés de financement de petite taille et non complexes au règlement DORA selon un principe de proportionnalité. Nous devons en effet penser aux petits opérateurs - ils sont environ cent trente-cinq.

L'amendement n° 122 est adopté.

EXAMEN DES AMENDEMENTS AU TEXTE DE LA COMMISSION

M. Hugues Saury, rapporteur. - Je veux d'abord dire que je prends à l'instant connaissance de plusieurs amendements que le Gouvernement vient juste de déposer. Autant dire que je n'ai pas pu les examiner dans le détail. Je désapprouve cette méthode. La commission spéciale a élaboré son texte la semaine dernière, ce projet de loi a été déposé il y a plusieurs mois et le Gouvernement dépose des amendements au moment même où la commission spéciale se réunit... Ce n'est pas acceptable.

J'en viens à nos avis sur les amendements qui ont été déposés.

Avant l'article 1er

M. Hugues Saury, rapporteur. - L'amendement n°  76 vise à demander un rapport relatif aux investissements étrangers.

Un tel rapport serait sûrement intéressant, mais je considère que cet amendement est irrecevable au titre de l'article 45 de la Constitution, n'ayant pas de lien avec la transposition de la directive sur la résilience des entités critiques, dite REC.

L'amendement n° 76 est déclaré irrecevable en application de l'article 45 de la Constitution.

Article 1er

M. Hugues Saury, rapporteur. - L'amendement n°  25 propose un simple échange d'informations entre l'opérateur et l'Agence nationale de la sécurité des systèmes d'information (Anssi) - il était initialement question d'une consultation.

Il nous semble que cela pose un problème juridique. En particulier, que se passe-t-il si l'Anssi ne reçoit pas d'éléments juridiques ? Cette hypothèse n'est pas prévue. En conséquence, demande de retrait.

La commission demande le retrait de l'amendement n° 25 et, à défaut, y sera défavorable.

M. Hugues Saury, rapporteur. - L'amendement n°  92 du Gouvernement a pour objet de supprimer la précision sur le champ des activités d'importance vitale introduite en commission spéciale. J'y suis favorable.

La commission émet un avis favorable à l'amendement n° 92.

M. Hugues Saury, rapporteur. - Je suis favorable à l'amendement n°  95 du Gouvernement qui apporte une précision à la définition de « résilience ».

La commission émet un avis favorable à l'amendement n° 95.

M. Hugues Saury, rapporteur. - L'amendement n°  93 du Gouvernement tend à supprimer la précision ajoutée en commission spéciale concernant la nature des risques devant être analysés par les eaux usées. J'y suis favorable.

La commission émet un avis favorable à l'amendement n° 93.

M. Hugues Saury, rapporteur. - L'amendement n°  108 du Gouvernement tend à supprimer la notion de sous-traitance de l'analyse des dépendances que seront tenus de réaliser les opérateurs d'importance vitale.

C'est un sujet dont nous avons commencé à débattre la semaine dernière. La commission spéciale, sur mon initiative, a inclus les sous-traitants, car ils peuvent constituer une vulnérabilité. Il est important que nous entendions les arguments du Gouvernement à ce sujet. Nous pourrons alors prendre une position. Dans cette attente, je propose de nous en remettre à la sagesse du Sénat.

La commission s'en remet à la sagesse du Sénat sur l'amendement n° 108.

M. Hugues Saury, rapporteur. - L'amendement n°  62 rectifié de Cédric Vial assimile « dispositions » et « procédures ». Or « dispositions » est beaucoup plus large. Je pense qu'il vaut mieux conserver ce terme, plutôt que de parler de « procédures » et les définir. Retrait ; à défaut, avis défavorable.

La commission demande le retrait de l'amendement n° 62 rectifié et, à défaut, y sera défavorable.

M. Hugues Saury, rapporteur. - Pour ce qui concerne les amendements identiques nos  26 et 49, nous avons débattu, lors de la précédente réunion, de l'avis de la Commission nationale de l'informatique et des libertés (Cnil) : nous nous sommes demandé si la Cnil avait préalablement été sollicitée sur le projet de loi. Je dois dire que j'ai été assez sensible aux arguments avancés. Nous n'avons pas obtenu de réponse du Gouvernement, raison pour laquelle je propose de solliciter son avis en séance sur le sujet.

Mme Audrey Linkenheld. - Nous avons eu un échange avec la Cnil, qui nous a indiqué que cela lui semblait opportun, et non superflu. À voir si le Gouvernement partage ce point de vue !

M. Hugues Saury, rapporteur. - La précision est intéressante.

La commission demande l'avis du Gouvernement sur les amendements nos 26 et 49.

Après l'article 3

Les amendements nos  57 et 91 sont déclarés irrecevables en application de l'article 45 de la Constitution.

M. Olivier Cadic, président. - Nous en arrivons au titre II, qui concerne NIS2. Je donne la parole à Patrick Chaize.

M. Patrick Chaize, rapporteur. - Mes chers collègues, en ce qui concerne l'examen du titre II de ce projet de loi, je souhaite d'abord me réjouir avec vous que le Gouvernement ne semble plus désireux de revenir sur plusieurs dispositions que nous avons adoptées en commission spéciale et dont il ne voulait pas auparavant.

Ainsi, il accepte l'article 5 bis, qui prévoit les grandes lignes de la stratégie nationale en matière de cybersécurité que devra élaborer le Premier ministre dans le nouveau contexte créé par NIS2, même s'il a déposé un amendement qui cherche à la modifier substantiellement.

À l'article 14, il ne revient pas sur la disposition qui prévoit que les décisions stratégiques en matière de cybersécurité doivent être prises par les organes de direction des entreprises ou des administrations publiques et que leurs dirigeants comme leurs personnels exposés aux risques cyber doivent être formés aux grands enjeux en matière de cybersécurité.

À l'article 17, il accepte de conserver la définition d'« incident important » déclenchant une notification à l'Anssi et de renoncer à la notion d' « incident critique », qui était source de complexité inutile. À cet article, je vous proposerai un amendement de précision qui viendra définitivement, je l'espère, clore les débats juridiques sur cette notion.

Article 5 bis

M. Patrick Chaize, rapporteur. - L'amendement n°  96 du Gouvernement vise à modifier l'article 5 bis que nous avons introduit dans le texte et qui consacre la stratégie nationale en matière de cybersécurité. Il tend à revenir sur l'approche de la commission spéciale ; j'y suis donc défavorable.

Mme Audrey Linkenheld. - Cet article du texte est très important. Or j'attire votre attention sur le fait que l'adoption de cet amendement limiterait le débat, puisque cela ferait tomber d'autres amendements qui ont été déposés sur ce même article.

La commission émet un avis défavorable à l'amendement n° 96.

Article 6

M. Patrick Chaize, rapporteur. - L'amendement n°  97 vise à préciser la définition de la vulnérabilité. Avis favorable.

La commission émet un avis favorable à l'amendement n° 97.

Après l'article 16

M. Patrick Chaize, rapporteur. - Je suis défavorable à l'amendement n°  1 rectifié, qui revient sur un amendement que nous avons voté dans le cadre de la loi Narcotrafic sur l'initiative de notre collègue Cédric Perrin. Il me paraît assez compliqué de donner un avis favorable, alors que nous avons voté différemment il y a trois semaines !

M. Akli Mellouli. - L'Assemblée nationale veut faire sauter ce que nous avons voté ! C'est pourquoi nous avons déposé cet amendement ici.

M. Patrick Chaize, rapporteur. - Cet amendement, qui prévoit qu'on ne peut pas imposer aux fournisseurs de services de chiffrement « l'intégration de dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d'information et des communications électroniques », va dans un sens contraire à ce que nous avons voté. J'ajoute que, si l'Assemblée nationale ne retient pas ce que nous avons voté, il n'y a plus de sujet...

M. Olivier Cadic, président. - C'est au contraire un gros sujet ! D'ailleurs, dès que j'ai déposé l'amendement, il a tout de suite été repris par les médias, les experts, tout l'écosystème.

Nous avons évoqué la question du chiffrement dans le cadre de la loi Narcotrafic, mais le sujet a pu, à l'international, être soulevé à d'autres occasions - au Royaume-Uni, il l'a été à propos de la pédopornographie. Quelle qu'en soit la justification, ouvrir des possibilités qui affaiblissent notre protection est un véritable recul ! C'est un fait avéré.

Ainsi, cela pose même des problèmes de sécurité à nos armées, comme cela a été dit lors de la réunion du CyberCercle qui s'est tenue jeudi. On ne peut pas, dans le cadre du présent projet de loi, créer tout un arsenal de règles pesant sur les acteurs et, en même temps, créer des insécurités à leur détriment. Cela reviendrait à demander aux gens de laisser leurs portes ouvertes pour que les pompiers puissent entrer plus facilement chez eux s'ils ne sont pas là !

M. Cédric Perrin. - L'écosystème des plateformes de messageries cryptées a surtout fait beaucoup de lobbying pour essayer de préserver son pré carré !

On ne parle pas de la même chose : contrairement à ce qui a été dit dans la presse et avancé par certaines entreprises du numérique, il n'a jamais été question, dans le cadre de la loi Narcotrafic, de créer des « portes dérobées » - des backdoors - ou un nouveau dispositif d'intrusion.

Il existe des solutions techniques qui permettent aux plateformes de fournir des contenus de communications chiffrées. Des travaux réalisés par la direction générale de la sécurité extérieure (DGSE), la direction générale de la sécurité intérieure (DGSI) ou les services de renseignement britannique, le GCHQ (Government Communications Headquarters) ont clairement démontré qu'elles avaient la possibilité de proposer, pour un certain nombre d'applications, des fonctionnalités nouvelles permettant de détecter un certain nombre de données bien en amont.

Sur les questions de narcotrafic, il s'agissait de permettre aux services de renseignement d'ajouter un interlocuteur invisible dans une conversation lors d'une réquisition. Ainsi, depuis 2021, Apple a mis en place des filtres de détection sur ses messageries cryptées de manière à pouvoir être au courant d'échanges d'images ou de messages à caractère pédopornographique et à en informer les autorités susceptibles de prendre des mesures. Je ne suis donc pas d'accord avec Olivier Cadic. Il n'y a pas de backdoor, de volonté de faire exploser le système.

De nombreux avocats s'émeuvent de cette situation comme beaucoup de journalistes. Ce sont surtout des entreprises du numérique qui font énormément de lobbying pour qu'il n'y ait pas d'évolution. J'ai même entendu des représentants d'une entreprise du numérique expliquer que les couples allaient être mis en difficulté, parce que Mme Dupont allait pouvoir écouter M. Dupont. Il n'en est évidemment pas question ! On veut faire peur aux gens.

Aujourd'hui, les dispositifs sont extrêmement encadrés sur les plans réglementaire et législatif. Les services de renseignement peuvent obtenir les SMS et les e-mails de terroristes potentiels, mais cela fait l'objet d'un important contrôle. La Commission nationale de contrôle des techniques de renseignement (CNCTR), qui est une autorité administrative indépendante, vérifie que les écoutes sont faites conformément aux demandes qui ont été établies. Je pense également au Groupement interministériel de contrôle (GIC) et à l'autorisation du cabinet du Premier ministre - de nombreuses autorisations doivent être données. D'ailleurs, les écoutes judiciaires sont bien moins encadrées que ne le sont les écoutes des services de renseignement.

L'idée, pour nous, dans la loi Narcotrafic, était simple : il s'agissait de donner aux services la possibilité d'agir, de la même manière qu'ils le font sur les SMS et les mails, sur ces messageries, qui, de plus en plus, sont cryptées, donc « inviolables ». Les délinquants l'ont bien compris, qui, aujourd'hui, utilisent WhatsApp, Signal ou Telegram. On a tout de même vu se mettre en place, sur WhatsApp, des réseaux de vente de drogues - de véritables supermarchés ! - ou de recrutement de tueurs à gages. Ces individus savent très bien que ces messageries sont indéchiffrables.

D'ailleurs, lors de l'examen de la proposition de loi Narcotrafic en séance publique, l'amendement que nous avons porté a été soutenu par le ministre de l'intérieur et le garde des sceaux et largement voté par le Sénat. J'ai été assez inquiet de voir que tout avait volé en éclats à l'Assemblée nationale, alors que l'objectif était de se protéger d'un certain nombre d'actes de délinquance.

Cependant, je veux y insister : le sujet n'est pas du tout le déchiffrement ou les backdoors. Certes, on voit beaucoup de lobbying, mais on entend aussi beaucoup de bêtises !

M. Olivier Cadic, président. - C'est bien de déchiffrement qu'il est question dans mon amendement !

Un cabinet d'avocats ayant recouru à l'intelligence artificielle (IA) pour une aide à la rédaction s'est vu empêché d'accéder à ses dossiers liés à la pédopornographie sur Microsoft, repérés par l'IA grâce aux mots clés qu'a évoqués le ministre de l'intérieur en séance. Il faut faire attention quand on s'engage dans cette voie. Le diable est dans les détails !

Le week-end dernier, une tribune cosignée notamment par l'ancien directeur de l'Anssi rappelait que Pablo Escobar n'utilisait pas WhatsApp... Nous savons très bien que, si l'on s'attaque aux messageries, d'autres canaux seront utilisés - les jeux vidéo, Le Bon coin, etc. En revanche, ce sont nos services, et même nos armées, qui seront pénalisés en premier lieu.

Mme Catherine Morin-Desailly. - Je veux dire à Cédric Perrin que ce n'est pas qu'une question de lobbying. Je crois qu'il y a un vrai sujet de fond. D'ailleurs, la Cnil a émis beaucoup de réserves sur l'amendement qui a été voté au Sénat.

Avec André Reichardt, nous avons effectué un travail, au sein de la commission des affaires européennes, sur la proposition de règlement visant à établir des règles en vue de prévenir et de combattre les abus sexuels sur enfants, dont l'un des objectifs est de lutter contre la pédopornographie sur les plateformes. Cette proposition est au point mort au niveau européen, justement parce que les États membres sont extrêmement divisés sur le sujet des messageries.

Jusqu'où peut-on aller ? Jusqu'où la vie privée doit-elle être respectée ? Le sujet reste en débat.

M. Cédric Perrin. - Il y a un équilibre à trouver entre la préservation essentielle des libertés publiques et la capacité de l'État à se défendre. On ne peut pas non plus tout laisser faire !

Doit-on continuer à se battre avec des lance-pierres face à des kalachnikovs ou répondre à l'évolution des technologies ? C'est la question qui se pose. Il faut savoir ce que l'on veut.

Certes, ce n'est pas qu'une question de lobbying, mais il y en a tout de même beaucoup !

M. Olivier Cadic, président. - On a pu voir, aux États-Unis, des cybercriminels chinois exploitant les vulnérabilités imposées par le législateur américain. Il y a une fuite en avant.

Cher Cédric Perrin, vous avez raison, mais doit-on abandonner un certain nombre de principes ? Je pense que certains n'avaient pas pris conscience des enjeux lors des débats sur le texte Narcotrafic ; ils ne les ont vus qu'après.

Puisque l'on parle de cybersécurité, il m'a semblé important que l'on se donne les moyens d'améliorer notre sécurité, et non que l'on crée des brèches potentielles. C'est pourquoi je vous propose de demander l'avis du Gouvernement sur mon amendement.

M. Cédric Perrin. - Vous voulez continuer à vous battre avec des fusils à billes contre ceux qui ont des kalachnikovs ! Je n'ai pas d'intérêt dans cette affaire : je ne connais aucune entreprise du numérique. Je ne fais que poser les choses sur la table.

Malheureusement, le temps montre que j'ai raison. Ne venez pas pleurer demain, quand le RN sera partout ! Les gens en ont le ras-le-bol que l'on ne soit pas capables de se battre, alors même que le Parlement pourrait donner des moyens.

Mme Audrey Linkenheld. - Je suis un peu surprise que l'on passe autant de temps sur cette question connexe, alors que le rapporteur n'a fait que nous lister ses avis sur les amendements déposés par les groupes, sans qu'il y ait aucun débat - je pense notamment à l'accompagnement des collectivités. Nous avions pourtant prévu de rediscuter d'un certain nombre de sujets.

On peut adopter de beaux textes en matière de cyberrésilience et de cybersécurité, mais, comme vient de le dire Cédric Perrin, il ne faudra pas s'étonner de ce qui pourra arriver si nous ne nous donnons pas les moyens ! C'est un peu la même chose pour nos collectivités et nos petites entreprises.

J'espère donc que nous consacrerons, en séance, autant de temps à ces sujets qu'à celui qui vient d'être abordé, car ils me paraissent tout aussi fondamentaux.

M. Olivier Cadic, président. - Absolument !

M. Patrick Chaize, rapporteur. - L'examen en séance publique laissera évidemment à chacun le temps de s'exprimer et de faire valoir ses arguments.

Si vous me permettez, monsieur le président, je ferai une autre suggestion : vous pouvez aussi retirer cet amendement afin de ne pas « polluer » le débat d'aujourd'hui et considérer que le débat se poursuivra dans le cadre du texte Narcotrafic.

M. Cédric Perrin. - Si je puis me permettre, je trouve très bien que nous ayons le débat ici. Il faudra, de toute façon, dans les mois qui viennent et au-delà de la loi sur le narcotrafic, une loi sur le renseignement. J'ai été président de la délégation parlementaire au renseignement (DPR) pendant un an. Ceux qui en sont membres entendent certaines choses dont ils ne peuvent malheureusement pas parler, mais je peux vous dire qu'il y a, dans une certaine mesure, urgence à agir.

Cela étant, la disposition que nous avons votée a été supprimée à l'Assemblée nationale - une multitude d'amendements allant dans ce sens avait été déposée... - et je ne vois pas en quoi nous aurions besoin d'y revenir dans ce texte. Cela viendrait un peu brouiller le message que l'on souhaite collectivement faire passer aujourd'hui.

La commission demande l'avis du Gouvernement sur l'amendement n° 1 rectifié.

Article 26

M. Patrick Chaize, rapporteur. - L'amendement n°  102 du Gouvernement vise à préciser la rédaction de l'article 26 sur deux points. Je suis en désaccord avec l'un deux, si bien que je vous propose de donner un avis défavorable à cet amendement, mais nous verrons en séance publique si nous conservons l'autre point.

La commission émet un avis défavorable à l'amendement n° 102.

Après l'article 50

L'amendement n°73 est déclaré irrecevable en application de l'article 45 de la Constitution.

Après l'article 52

M. Michel Canévet, rapporteur. - L'amendement n°  107 du Gouvernement va à l'encontre du principe que nous défendons d'un guichet unique. L'avis est donc défavorable.

La commission émet un avis défavorable à l'amendement n° 107.

Après l'article 54

M. Michel Canévet, rapporteur. - Mme Gréaume et les membres du groupe CRCE-K ont déposé plusieurs amendements visant à instaurer une forme de préférence nationale pour le recours à un certain nombre de prestataires. Or, comme le prévoit le droit européen de manière générale et le règlement DORA en particulier, une telle préférence ne peut être qu'européenne. Je suis donc défavorable à ces amendements.

La commission émet un avis défavorable à l'amendement n°  73.

Après l'article 58

M. Michel Canévet, rapporteur. - L'amendement n°  14 rectifié concerne l'assurance cyber et vise à inverser la charge de la preuve afin d'améliorer l'attractivité de la France en la matière.

Nous avons déjà débattu de cette question la semaine dernière. Nous avions rejeté une première version de cet amendement, car trop large ; la rédaction proposée ici est plus circonscrite : avis favorable.

La commission émet un avis favorable à l'amendement n° 14.

Après l'article 61

M. Michel Canévet, rapporteur. - L'amendement n°  81 rectifié entend imposer la territorialisation des données personnelles sur certaines infrastructures sécurisées. Nous pouvons naturellement être d'accord avec le principe, mais nous devons laisser aux acteurs de la liberté pour s'organiser et nous ne devons pas être trop restrictifs. C'est pourquoi je demande le retrait de cet amendement.

La commission demande le retrait de l'amendement n° 81 rectifié et, à défaut, y sera défavorable.

La commission a donné les avis suivants sur les amendements dont elle est saisie, qui sont retracés dans le tableau ci-après :

Article 1er

Auteur

Objet

Avis de la commission

Le Gouvernement

92

Suppression de la précision sur le champ des activités d'importance vitale introduite en commission

Favorable

Le Gouvernement

95

Précision apportée à la définition de résilience

Favorable

Mme CONWAY-MOURET

25

Observations des opérateurs d'importance vitale avant leur désignation

Demande de retrait

Le Gouvernement

93

Suppression de la précision concernant la nature des risques devant être analysés par les OIV introduite en commission

Favorable

Le Gouvernement

108

Suppression de la chaîne de sous-traitance de l'analyse des dépendances

Sagesse

M. Cédric VIAL

62 rect.

Contenu des mesures figurant dans le plan particulier de résilience

Demande de retrait

Mme CONWAY-MOURET

26

Avis de la CNIL sur le décret relatif aux enquêtes administratives de sécurité

Avis du Gouvernement

M. DOSSUS

49

Avis de la CNIL sur le décret relatif aux enquêtes administratives de sécurité

Avis du Gouvernement

Article additionnel avant Article 5

Auteur

Objet

Avis de la commission

M. DOSSUS

54

Plan national d'accompagnement au renforcement de la cybersécurité

Demande de retrait

Article 5 bis

Auteur

Objet

Avis de la commission

Mme GRÉAUME

65

Élaboration de plan de financements en matière de cybersécurité

Demande de retrait

Le Gouvernement

96

Modifications substantielles du contenu de la stratégie nationale de cybersécurité

Défavorable

M. Mickaël VALLET

39

Rajout des communes dans la liste des entités sensibilisées à la cybersécurité

Défavorable

Mme LINKENHELD

43

Cadre d'intervention et rôle des CSIRT territoriaux

Demande de retrait

Mme BLATRIX CONTAT

36

Approche intégrée des enjeux de cybersécurité et de souveraineté numérique

Favorable

Mme LINKENHELD

42

Modalités de soutien aux collectivités territoriales et à leurs groupements

Demande de retrait

Mme LINKENHELD

34

Volet de la stratégie cybersécurité consacré au renforcement des compétences en matière de cybersécurité

Demande de retrait

Mme LINKENHELD

38

Identification d'un sous-préfet en qualité de référent en matière de cybersécurité par département

Avis du Gouvernement

Article additionnel après Article 5 bis

Auteur

Objet

Avis de la commission

M. CARDON

35

Création d'un crédit d'impôt en faveur des PME pour leurs dépenses de cybersécurité

Défavorable

Article 6

Auteur

Objet

Avis de la commission

Le Gouvernement

97

Précision apportée à la définition de vulnérabilité

Favorable

Article 8

Auteur

Objet

Avis de la commission

Le Gouvernement

98

Mise en cohérence avec la rédaction de l'article 7 issue des travaux de la commission spéciale

Favorable

Mme MORIN-DESAILLY

17 rect. septies

Caractère cumulatif des critères de taille et de chiffre d'affaires/bilan

Défavorable

Mme LINKENHELD

30

Caractère cumulatif des critères de taille et de chiffre d'affaires/bilan

Défavorable

M. BLEUNVEN

83 rect. quinquies

Caractère cumulatif des critères de taille et de chiffre d'affaires/bilan

Défavorable

Mme GRÉAUME

82 rect.

Exclusion des communautés d'agglomération ne comprenant pas au moins une commune de 30 000 habitants et plus du périmètre des entités essentielles

Favorable si rectifié

M. MELLOULI

50 rect.

Exclusion des communautés d'agglomération ne comprenant pas au moins une commune de 30 000 habitants et plus du périmètre des entités essentielles

Favorable si rectifié

Article 9

Auteur

Objet

Avis de la commission

Le Gouvernement

99

Mise en cohérence avec la rédaction de l'article 7 issue des travaux de la commission spéciale

Favorable

Mme MORIN-DESAILLY

18 rect. septies

Caractère cumulatif des critères de taille et de chiffre d'affaires/bilan

Défavorable

Mme LINKENHELD

31

Caractère cumulatif des critères de taille et de chiffre d'affaires/bilan

Défavorable

M. BLEUNVEN

84 rect. quinquies

Caractère cumulatif des critères de taille et de chiffre d'affaires/bilan

Défavorable

M. MELLOULI

51 rect.

Inclusion des communautés d'agglomération ne comprenant aucune commune de 30 000 habitants et plus et exclusion des communautés de communes des entités régulées 

Défavorable

Mme GRÉAUME

68

Inclusion des communautés d'agglomération ne comprenant aucune commune de 30 000 habitants et plus et exclusion des communautés de communes des entités régulées 

Défavorable

Article additionnel après Article 10

Auteur

Objet

Avis de la commission

M. VERZELEN

56 rect.

Accès aux informations stockées dans un équipement terminal à des fins d'anonymisation à bref délai

Avis du Gouvernement

Article 12

Auteur

Objet

Avis de la commission

Mme MORIN-DESAILLY

22 rect. septies

Information des entités régulées sur leur obligation de déclaration et chiffrement des données transmises

Demande de retrait

M. CADIC

59 rect.

Participation des ministères coordonnateurs dans l'établissement de la liste des entités essentielles et importantes

Demande de retrait

Article 13

Auteur

Objet

Avis de la commission

Mme MORIN-DESAILLY

16 rect. septies

Information régulière des entités par l'Anssi sur la réglementation qu'elles doivent respecter en matière de cybersécurité

Demande de retrait

Article 14

Auteur

Objet

Avis de la commission

Mme LINKENHELD

47

Exigence de proportionnalité des mesures de cybersécurité imposées aux entités régulées

Défavorable

M. BLEUNVEN

85 rect. quater

Précision sur la gestion de la menace cyber en cas de recours à la sous-traitance

Demande de retrait

Mme Maryse CARRÈRE

24 rect.

Délai de mise en conformité de cinq ans pour les communes et les EPCI à fiscalité propre

Défavorable

Mme GRÉAUME

69

Délai de mise en conformité de cinq ans pour les communes et les EPCI à fiscalité propre

Défavorable

Mme LINKENHELD

37

Consultation des entités concernées et des associations d'élus avant l'adoption du référentiel applicable aux entités régulées

Demande de retrait

Le Gouvernement

94

Amendement de précision

Favorable

Article additionnel après Article 14

Auteur

Objet

Avis de la commission

Mme GRÉAUME

67

Principe de préférence pour les entreprises de cybersécurité françaises

Défavorable

Article 15

Auteur

Objet

Avis de la commission

Le Gouvernement

100

Création d'un label de confiance

Favorable

Article 16

Auteur

Objet

Avis de la commission

Mme GRÉAUME

66

Obligation de recours au logiciel libre au sein des administrations publiques

Défavorable

Article additionnel après Article 16

Auteur

Objet

Avis de la commission

M. CADIC

1 rect. ter

Interdiction de contraindre les messageries instantanées à installer des dispositifs de portes dérobées

Avis du Gouvernement

Article 17

Auteur

Objet

Avis de la commission

Mme LINKENHELD

33

Notion d'incident important

Défavorable

Le Gouvernement

101

Précision sur les types d'incidents importants que les entités devront notifier aux destinataires de leur services

Favorable

Article 20

Auteur

Objet

Avis de la commission

Mme Sylvie ROBERT

40

Durée de conservation des données relatives à l'enregistrement des noms de domaine

Avis du Gouvernement

Article 21

Auteur

Objet

Avis de la commission

Mme Sylvie ROBERT

41

Publicité des données d'enregistrement relatives aux noms de domaine

Avis du Gouvernement

Article additionnel après Article 24

Auteur

Objet

Avis de la commission

M. CADIC

60 rect.

Échanges d'informations en matière de cybersécurité entre entités régulées

Demande de retrait

Article 25

Auteur

Objet

Avis de la commission

Mme LINKENHELD

48

Caractère adapté et proportionné des mesures pouvant être prescrites par l'Anssi en cas de menace pour la sécurité des systèmes d'information d'une entité

Défavorable

Article 26

Auteur

Objet

Avis de la commission

Le Gouvernement

102

Habilitation des agents de l'Anssi à rechercher les manquements aux exigences de cybersécurité résultant de certificats délivrés par les organismes d'évaluation de la conformité et participation d'experts à la recherche de manquements

Défavorable

Article 27

Auteur

Objet

Avis de la commission

Mme PAOLI-GAGIN

9 rect.

Restriction à l'accès des agents et personnels chargés du contrôle aux systèmes d'information, logiciels, programmes informatiques et données stockées par l'entité contrôlée

Défavorable

M. BLEUNVEN

86 rect. quater

Suppression de la possibilité de demander à l'entité contrôlée la transcription de ses systèmes d'information, logiciels, programmes informatiques et données stockées dans des documents exploitables pour les besoins de la supervision

Demande de retrait

Article 28

Auteur

Objet

Avis de la commission

Mme LINKENHELD

32

Possibilité de communication échelonnée des informations demandées et exonération de l'obligation de coopérer avec l'Anssi et de l'amende prévue en cas d'obstacle aux contrôles au profit des collectivités territoriales

Défavorable

Mme PAOLI-GAGIN

10 rect.

Limitation du champ d'application de l'amende administrative pour obstacle au contrôle aux cas d'obstacle délibéré et possibilité de communication échelonnée des informations demandées

Défavorable

M. FIALAIRE

2 rect.

Exonération de l'obligation de coopérer avec l'Anssi et de l'amende prévue en cas d'obstacle aux contrôles au profit des collectivités territoriales

Défavorable

Mme DURANTON

5

Exonération de l'obligation de coopérer avec l'Anssi et de l'amende prévue en cas d'obstacle aux contrôles au profit des collectivités territoriales

Défavorable

M. MELLOULI

52 rect.

Exonération de l'obligation de coopérer avec l'Anssi et de l'amende prévue en cas d'obstacle aux contrôles au profit des collectivités territoriales

Défavorable

Mme GRÉAUME

63

Exonération de l'obligation de coopérer avec l'Anssi et de l'amende prévue en cas d'obstacle aux contrôles au profit des collectivités territoriales

Défavorable

Mme MORIN-DESAILLY

20 rect. septies

Limitation du champ d'application de l'amende administrative pour obstacle au contrôle aux cas d'obstacle délibéré

Demande de retrait

Article 29

Auteur

Objet

Avis de la commission

Le Gouvernement

103

Limitation de la prise en charge du coût du contrôle par l'entité contrôlée aux audits de sécurité réguliers et ciblés réalisés par un organisme indépendant

Favorable

Mme PAOLI-GAGIN

13 rect.

Limitation du champ des organismes indépendants pouvant être choisis pour réaliser des audits de sécurité réguliers et ciblés aux organismes dont le siège social est établi dans l'Union européenne

Défavorable

Mme LINKENHELD

28

Possibilité pour l'Anssi d'exonérer les entités contrôlées de la prise en charge du coût du contrôle, y compris en cas de manquement à leurs obligations

Défavorable

Mme PAOLI-GAGIN

12 rect.

Publication annuelle par l'Anssi du montant total des coûts induits par les contrôles mis à la charge des entités contrôlées

Demande de retrait

Article 30

Auteur

Objet

Avis de la commission

Mme LINKENHELD

29

Mise en oeuvre progressive et différenciée des dispositions relatives aux prérogatives de l'Anssi en matière de recherche et de constatation des manquements

Défavorable

Article 31

Auteur

Objet

Avis de la commission

Le Gouvernement

104

Assouplissement des conditions d'ouverture d'une procédure à l'encontre de l'entité contrôlée

Défavorable

M. BLEUNVEN

89 rect. quinquies

Adaptation de certaines mesures d'exécution à la gravité du manquement, à la taille et à la capacité opérationnelle de l'entité contrôlée

Demande de retrait

Mme Maryse CARRÈRE

23 rect.

Abaissement du plafond de l'astreinte pouvant être décidée en parallèle d'une mesure d'exécution lorsque l'entité contrôlée est une collectivité territoriale

Défavorable

Mme PAOLI-GAGIN

61 rect.

Interdiction à l'Anssi de rendre publique la mesure d'exécution adoptée

Défavorable

Article 36

Auteur

Objet

Avis de la commission

M. CADIC

58 rect.

Présence d'un représentant du ministère coordonnateur du secteur d'activité auquel appartient l'entité régulée au sein de la commission des sanctions

Demande de retrait

Le Gouvernement

105

Prévention des conflits d'intérêt au sein de la commission des sanctions

Favorable

Article 37

Auteur

Objet

Avis de la commission

Mme MORIN-DESAILLY

21 rect. septies

Interdiction pour les personnes physiques d'exercer des fonctions de dirigeant uniquement en dernier recours

Demande de retrait

Le Gouvernement

106

Conditionnement moins contraignant pour l'imposition de la sanction d'interdiction d'exercice

Défavorable

Mme CONWAY-MOURET

46 rect.

Proportionnalité des sanctions pour les dirigeants susceptibles d'être sanctionnés par une impossibilité d'exercer

Demande de retrait

M. BLEUNVEN

88 rect. quinquies

Proportionnalité des sanctions pour les dirigeants susceptibles d'être sanctionnés par une impossibilité d'exercer

Demande de retrait

Article additionnel après Article 39

Auteur

Objet

Avis de la commission

Mme MORIN-DESAILLY

15 rect. septies

Mention de la sécurisation des outils numériques dans un article du code du travail relatif aux conditions et à l'aménagement du poste de travail des travailleurs

Demande de retrait

M. CARDON

44

Mention de la sécurisation des outils numériques dans un article du code du travail relatif aux conditions et à l'aménagement du poste de travail des travailleurs

Demande de retrait

Article 41

Auteur

Objet

Avis de la commission

Le Gouvernement

110

Amendement de précision

Favorable

Article 42

Auteur

Objet

Avis de la commission

Mme GRÉAUME

72

Obligation d'établissement en France pour l'emploi d'un système satellitaire à des fins de fourniture de services de communications électroniques

Défavorable

Article additionnel après Article 43 A

Auteur

Objet

Avis de la commission

Le Gouvernement

107 rect.

Institution de l'ACPR comme guichet unique en cas de multiplicité d'autorités compétentes et préservation d'une double notification ACPR-ANSSI pour certains incidents

Défavorable

Article additionnel après Article 54

Auteur

Objet

Avis de la commission

Mme GRÉAUME

73

Recours préférentiel aux prestataires tiers de services TIC labellisés et assujettis à l'IS en France 

Défavorable

Article additionnel après Article 57

Auteur

Objet

Avis de la commission

Mme GRÉAUME

74 rect.

Recours préférentiel aux prestataires tiers de services TIC labellisés et assujettis à l'IS en France 

Défavorable

Article additionnel après Article 58

Auteur

Objet

Avis de la commission

Mme PAOLI-GAGIN

14 rect.

Administration de la preuve du sinistre par l'assureur en cas d'attaques informatiques

Favorable

Article additionnel après Article 60

Auteur

Objet

Avis de la commission

Mme GRÉAUME

75 rect.

Recours préférentiel aux prestataires tiers de services TIC labellisés et assujettis à l'IS en France 

Défavorable

Article additionnel après Article 61

Auteur

Objet

Avis de la commission

Mme GRÉAUME

77 rect. bis

Recours préférentiel aux prestataires tiers de services TIC labellisés et assujettis à l'IS en France 

Défavorable

Mme GRÉAUME

81 rect.

Obligation de stockage des données à caractère personnel sur un service de cloud ou un système d'information interne sécurisés français 

Demande de retrait

Mme GRÉAUME

79

 Remise par le Gouvernement d'un rapport sur la dépendance aux entreprises extra-communautaires en matière de prestataires de services TIC

Défavorable

Article 62

Auteur

Objet

Avis de la commission

Le Gouvernement

109

Rétablissement de la date du 17 janvier 2026 pour l'entrée en vigueur de la loi pour les sociétés de financement petites et non complexes

Défavorable

La réunion est close à 14 h 30.