Séance publique du lundi 9 novembre 2026, soir

Bonsoir à tous, la

science est ouverte. L'ordre du jour appelle la suite de la discussion du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Cet après-midi, l'Assemblée a commencé l'examen des articles s'arrêtant à l'amendement numéro 25 à l'article 7. Je vous rappelle qu'un scrutin public a déjà été annoncé sur l'amendement numéro 25. Donc nous étions à l'article 7, amendement 25. Monsieur Saint-Martin, allez-y.

Merci Madame la Présidente. C'est un amendement que j'aimerais placer sur orbite qui concerne les satellites et leurs opérateurs. Par cet amendement, nous souhaitons étendre le champ des activités concernées par l'article 7 en ajoutant le secteur des satellites et leurs opérateurs parmi les secteurs d'activité considérés comme hautement critiques pour la cybersécurité. L'espace, on le sait, comme les océans, on a évoqué les câbles tout à l'heure, c'est une nouvelle frontière de l'humanité où vont se déployer des tensions et des tentations belliqueuses des grandes puissances, on l'observe constamment. Nous avons de fait une dépendance au secteur des satellites, pour noter les communications, mais on pourrait parler aussi de l'imagerie terrestre et de tant d'autres applications, ce qui donc en fait un secteur hautement critique. Je pourrais évoquer ad nauseum, comment ça fonctionne, etc., les plateformes, etc. Une chose est sûre, c'est qu'elles sont exposées à des brouillages, des interférences, des tentatives de hacking. Ça peut être au sol, sur les segments, mais aussi directement en orbite. C'est la raison pour laquelle je propose, nous proposons d'intégrer ces infrastructures qui sont hautement critiques à la survie de nos activités économiques et au-delà militaires, etc. Donc, votez cet amendement magnifique.

vous remercie. Votre avis, s'il vous plaît, sur le 25.

merci. En fait, votre amendement est déjà satisfait, puisqu'en fait, les opérateurs satellites sont déjà concernés au 1 de l'annexe, puis à l'annexe 1, puisqu'ils font partie de l'infrastructure numérique. Et de même, les satellites sont déjà pris en compte par ailleurs. Donc, c'est une demande de retrait satisfait. Sinon, défavorable.

Merci, Madame la ministre. Le 25.

Satisfait, donc demande de retrait, sinon défavorable.

Merci. Monsieur Saint-Martin, allez-y.

Merci, Madame la Présidente. Je pense que c'est une précision qui est utile, parce que quand on parle du spatial, c'est très générique. Je ne sais pas si on parle spécifiquement du segment sol ou des infrastructures en orbite, et sachant qu'aujourd'hui, la population orbitale est toujours plus importante en croissance, avec des méga-constellations qui comptent... des milliers de satellites. On peut évoquer évidemment Starlink, mais s'agissant du souverain OneWeb et bientôt, j'espère, Iris Carré. Et là, on a quand même quelque chose comme une infrastructure. Et je pense qu'il faut le spécifier dans le texte parce que vraiment, c'est une qualité technique qui, pour l'instant, est à la fois très explicite, mais en même temps, pas du tout. Donc, c'est juste presque un abandon de précision que je propose.

vous remercie, Madame la ministre Hazy.

Madame la Présidente. En fait, les acteurs concernés par cet amendement sont déjà couverts à travers le secteur espace, qui figure d'ailleurs dans la liste des secteurs d'activité hautement critiques, ou également pour certains acteurs dans les opérateurs de télécommunications. La Commission européenne travaille actuellement sur un projet de texte européen. C'est peut-être ça l'argument le plus important qui devrait peut-être vous toucher davantage. C'est l'IU Space Act qui prévoit d'imposer des obligations en matière de cybersécurité pour les entités du domaine spatial. Non seulement c'est couvert par le secteur espace, mais en plus la Commission européenne travaille sur la protection qui est un facteur important pour vous, donc pour ces deux raisons principalement que le gouvernement donne un avis défavorable.

vous remercie. Je vais procéder à la mise aux voix. Je rappelle le double avis défavorable de la Commission gouvernement et c'est un scrutin public pour le 25. Le scrutin est ouvert. Le scrutin est clos. Voici l'état du scrutin. Votant 47, 46, majorité 24 pour 15 contre 31. L'Assemblée nationale n'a pas adopté. Mon nom numéro 70. Madame Bellouco, allez-y.

Merci Madame la Présidente. Si vous voulez bien, je peux présenter le 70 et le 69. Oui, très bien. En même temps, ce sont deux amendements qui visent encore une fois à ajouter des propositions à la liste des secteurs hautement critiques. Le 70 propose d'ajouter la protection sociale et le 69, l'éducation. L'économie ne tient pas que par l'énergie, les transports ou la finance, elle tient aussi par la capacité du pays à former ses enfants et à verser ses prestations. Ces deux secteurs, pour nous, concentrent des données sensibles sur des millions de personnes, élèves, étudiants, allocataires, demandeurs d'emploi. Leurs systèmes ont été la cible d'attaque et de fuite à répétition. Une indisponibilité prolongée du versement des prestations frappe d'abord les plus fragiles et la paralysie des environnements numériques d'éducation compromet la continuité pédagogique. On a eu un exemple en cette rentrée avec des établissements scolaires qui n'étaient même pas en capacité d'établir les emplois du temps puisque leur application dédiée n'était plus opérationnelle. On voit à quel point ça peut être pénalisant. comme secteur hautement critique, c'est leur appliquer des exigences de sécurité à la hauteur de leur importance pour la nation.

vous remercie. Votre avis, s'il vous plaît, sur le 70 ? Demande de retrait,

car satisfait, sinon défavorable.

Le 69, vous avez le même avis ? Je vous remercie. Madame la ministre ?

Madame la Présidente. Je considère que c'est une surtransposition de la directive NIS 2, donc avis défavorable.

Je vous remercie. Ah voilà, l'affichage s'est remis comme il faut. Allez-y, monsieur. Vous souhaitez intervenir, monsieur Saint-Pasteur ? Non, pas du tout, d'accord. Donc je vais procéder à la mise aux voix de l'amendement 70, c'est-à-dire qu'un double avis défavorable, c'est à main levée. Qui est pour ? Qui est contre ? C'est rejeté. Sur le vote de l'amendement 21 juicite pour la France, 5 ministres demandent de scrutin public. Le scrutin est annoncé dans l'ensemble de l'Assemblée nationale. On poursuit avec une discussion commune. Le 69 a déjà été présenté. J'ai le 80. Monsieur Saint-Pasteur

Merci Madame la Présidente. Cet amendement vise à inscrire l'éducation comme un sujet critique pour cinq raisons. Pour une question de continuité du service public, pour une question de protection des mineurs, pour une question de rapport au réel. Les vols de données ont été constatés dans de multiples académies, Créteil, Nantes, Toulouse. Pour la question de risque systémique, de contamination, puisque l'environnement numérique dans l'éducation nationale, il est interconnecté avec tout un tas d'autres systèmes. Et puis pour une question au final de cohérence logistique, et je terminerai par là parce que c'est peut-être le plus édifiant, la production alimentaire, les services postaux, la gestion des déchets sont dans le périmètre et pas l'éducation. C'est assez surprenant.

Merci. Monsieur Saint-Martin, le 21.

Merci Madame la Présidente. Toujours la même idée d'inscrire l'éducation comme secteur critique. Ça a été dit, des cyberattaques ont conduit au report de la rentrée scolaire, par exemple dans certaines académies. Je citerai celle de Toulouse et de Nantes qui ont été visées. On estime que les données d'environ 1,2 million d'élèves ont été dérobées. Preuve est faite qu'une cyberattaque dans le domaine de l'éducation peut conduire à une fuite massive de données. dangereusement fragiliser l'administration ordinaire des rectorats et jusqu'au lycée. Cet amendement répond à la nécessité d'adapter des mesures de sécurité dans les établissements en plaçant l'éducation comme secteur critique en matière de cybersécurité afin d'adapter ce système aux menaces qui seront toujours plus dures à l'avenir. Merci.

vous remercie. Votre avis sur cette discussion commune.

Satisfait, demande de retrait, sinon défavorable.

Sur les trois Merci, Madame la Ministre.

Madame la Présidente. Si, évidemment, je comprends l'enjeu de vos trois amendements, cependant, c'est une surtransposition. Ce qui est prévu par Nice 2, ce sont les établissements d'enseignement menant des activités de recherche et des établissements publics administratifs. Cet amendement, en fait, si on vous suit, ne respecte pas, à l'encontre de Nice 2, la proportionnalité entre entités importantes et entités essentielles voulues par la directive. Donc, demande de retrait ou avis défavorable.

vous remercie. Je procède à la mise au voie d'amendement 69. Double avis défavorable, c'est à main levée. Qui est pour ? Qui est contre ? C'est rejeté. À moment de numéro 80, toujours à main levée, double avis défavorable. Qui est pour ? Qui est contre ? C'est rejeté. Et le 21, toujours avis défavorable, c'est un scrutin public. Le scrutin est ouvert. Le scrutin est clos. Voici le stade du scrutin. Votant 56, exprimé 55, majorité 28 pour 19 contre 36, l'Assemblée nationale n'a pas adopté. On poursuit avec nos discussions en commune. Le 133, monsieur Latombe, vous présentez peut-être le 132 aussi

Exactement, madame la présidente. Je vais présenter le 133 et le 132 avec, à titre personnel, une préférence pour le 133 que je trouve mieux rédigé. Mais du coup, le 132 est une version un peu différente. L'idée, c'est d'intégrer les services de facturation électronique par les plateformes agréées dans les entités d'une sensibilité extrême, notamment parce que le processus d'évaluation de la cybersécurité de ces plateformes par la DGFIP laisse un peu à désirer dans son processus puisqu'il faut d'abord simplement... que les plateformes s'autocertifient. Il n'y a pas de contrôle direct de la DGFIP. Le contrôle se fait au bout d'un an. Et très honnêtement, depuis cet été, on peut douter de la capacité de la DGFIP à apporter une réponse cyber convenable à ces plateformes. Il y a un risque de cyber. Il y a un risque, et ça a déjà été évoqué dans la discussion générale, il y a eu déjà deux plateformes qui se sont fait attaquer. Et puis, je ne parle même pas de la question de la guerre économique sur laquelle il pourrait y avoir des informations importantes. en termes économiques pour nos entreprises, qu'ils soient divulgués ou en tout cas captés par des États tiers. Et donc, il faut absolument qu'on protège au maximum ces plateformes et donc les faire entrer dans le champ de liste de haut niveau essentiel.

vous remercie. Votre avis, s'il vous plaît, sur ces discussions communes.

ce sera un avis défavorable. Pour la première raison, c'est que nous sommes dans une surtransposition. Et la deuxième raison, c'est que les opérateurs qui vont atteindre les seuils définis dans la loi seront donc soumis. Donc, pour moi, c'est déjà en partie satisfait. Donc, demande de retraite, c'est défavorable.

Madame la Présidente. Donc, effectivement, c'est déjà en partie inclus dans le périmètre de Nice 2. Les fournisseurs de plateformes de facturation électronique sont déjà concernés par NIS2 lorsqu'ils sont fournisseurs de services gérés ou prestataires de confiance. Par ailleurs, les éditeurs de logiciels dans le cas de la facturation électronique sont couverts par le CRA, le Cyber Resilience Act, dès lors qu'ils mettent à disposition des logiciels et applications pour leurs clients, ce qui est le cas. Le CRA impose des mesures de sécurité pour les logiciels et applications. Donc en fait, c'est déjà pleinement satisfait. Toute plateforme de facturation électronique qui ne serait ni couverte par Nice 2, ni par le Cyber Resilience Act, pourrait être désignée unitairement grâce à la notion d'entité essentielle ou entité importante, à l'article 10. Donc, avis défavorable.

vous remercie. Oui, allez-y, monsieur Latour.

merci, madame la présidente. Madame la ministre, vous venez de dire qu'il y avait quand même des plateformes qui ne seraient pas concernées ni par le CERA qu'en renégociation, ni par NIS2 parce qu'ils sont des filiales de groupes qui seraient déjà soumis à NIS2. Ça veut donc dire que ça serait à la volonté de l'exécutif que de les intégrer. La vraie question que nous, parlementaires, devons nous poser, c'est est-ce que nous devons intégrer toutes les plateformes de façon obligatoire, ce qui réglerait une bonne fois pour toutes le problème, sachant que nous avons déjà eu... des fuites de cybersécurité sur au moins deux plateformes depuis sa mise en application depuis le 1er septembre. Donc il y a un moment, il faut quand même qu'on se pose la question, nous parlementaires, de savoir ce que nous voulons. Et sur ce coup-là, je vais vous rappeler ce que le Premier ministre avait dit il n'y a pas très longtemps, c'est nous proposons, nous débattons, vous déciderez. Et le vous, c'était les parlementaires. Sur ce coup-là, c'est peut-être aux parlementaires de décider ce que font les plateformes. Et je renvoie aussi à ce qui a été voté dans cet hémicycle il n'y a pas très longtemps, même si le budget a été rejeté. c'est que le déploiement des plateformes avait été interrompu par un vote dans cet hémicycle.

vous remercie. Je passe à la mise aux voix du 133 qui recueille un double avis des favorables commissions gouvernement. C'est un main levée qui est pour, qui est contre. C'est adopté. Ça fait donc tomber le 132. On poursuit avec le 390. Madame Hervieux.

Oui, avec cet amendement, Madame la Présidente, chers collègues, on complète la liste proposée par les collègues précédents visant à reconnaître le secteur, cette fois de la culture et du patrimoine, comme étant critique pour le fonctionnement de l'économie, mais aussi de la société. Le secteur culturel avec le patrimoine en effet présente plusieurs caractéristiques justifiant son intégration parmi les secteurs critiques et cela pour plusieurs raisons. Forte dépendance aux infrastructures numériques, conservation de données et d'actifs difficilement remplaçables, importance de la continuité des services au public et aussi possibilité d'effet en cascade en cas de compromission d'un opérateur ou d'un prestateur. communs. Donc, l'ajout du secteur de l'agriculture permettrait d'intégrer cette réalité aux dispositifs de résilience et de cybersécurité prévus par le présent projet de loi. Si

votre avis, s'il vous plaît, sur 390.

Madame la Présidente. Un, le ministère de la Culture et ses établissements publics sont déjà considérés comme des entités essentielles. Elles sont publiques, ce sont des administrations. De deux, c'est clairement une surtransposition. De trois, vous allez mettre tout le secteur, des entreprises et notamment des associations, sur lesquelles vous allez faire porter des sanctions. assez lourdes, alors qu'elles n'ont pas forcément en capacité de pouvoir y répondre. Donc là, je pense que j'en comprends le sens. Mais critique, ça demande aussi tout un ensemble d'obligations que vous allez porter à des acteurs qui ne sont peut-être pas en capacité de pouvoir le tenir. Et ceux qui sont en capacité de pouvoir le faire, c'est tout simplement qu'ils ont rattaché au ministère de la Culture. Et donc, ce sont des établissements publics qui sont déjà soumis. Donc, demandes de retrait sont défavorables.

Merci Madame la Ministre. Je vous remercie. Monsieur Pilato.

Merci Madame la Présidente. Nous viendrons en soutien de cet amendement parce que la culture c'est quand même ce qui fonde, je dirais, la France, notre culture, notre exception culturelle. Et quand on voit qu'effectivement toute notre culture est en partie pillée... par tous les gens qui entraînent les IA et qui peuvent éventuellement déformer, je dirais, avec des fake news, avec des productions qui viendraient fausser les représentations. Quelque part, je pense qu'il est important de considérer ce secteur comme critique parce que c'est ce qui fonde la nation, collègues, la culture. Donc, ayons-en tête, nous, on va soutenir cet amendement.

vous remercie, monsieur le rapporteur.

J'entends, cher collègue, mais là, vous mélangez tout. Là, on est en train de parler d'obligation, de sécurisation, notamment des infrastructures. Vous, dans vos expressions, vous parlez de droit d'auteur. Ce n'est pas la même chose. ce n'est pas le sujet, ce n'est pas une protection artistique. Ça, c'est d'autres lois, c'est d'autres dispositifs. Là, je vous rappelle que si vous les mettez en critique, donc toutes les associations et les entreprises liées à la culture, vous les soumettez, si elles n'arrivent pas à se mettre à jour parce qu'elles n'ont pas forcément les moyens, parce qu'il y a beaucoup de sujets associatifs aussi dans la culture, vous leur faites porter la responsabilité de 2% et de même une responsabilité pénale du responsable. qui peut aller jusqu'à deux ans d'interdiction de gestion. Alors, chers collègues, soyons mesurés, revenons dans l'essentiel. Oui, je tiens beaucoup à la culture, croyez-le, mais je pense que là, dire que c'est critique, ça ne veut pas dire qu'on ne s'en soucie pas, c'est qu'à un moment donné, il faudrait être mesuré et attention aux obligations que vous allez leur faire porter. Voilà.

vous remercie. Je passe à la mise au vote de cet amendement qui recueille un double avis défavorable. Commission gouvernement et c'est un main levée. Qui est pour ? Qui est contre ? C'est rejeté. Je passe à la mise au vote de l'article 7. Qui est pour ? Qui est contre ? C'est adopté. On poursuit avec l'article 8. Amendement numéro 27. Monsieur Pilato, allez-y.

Merci Madame la Présidente. Si vous le permettez, je vais présenter le 27 et le 28 qui

sont

de même nature. Alors, ça concerne les seuils. Vous considérez dans ce texte que les activités hautement critiques qui emploient au moins 250 personnes avec un chiffre d'affaires annuel qui excède 50 millions. Et dans la lignée A4, vous dites qu'il faut au moins 50 personnes ou un chiffre annuel qui excède 10 millions d'euros. Je reprends, et désolé, je n'ai pas pu être là au début de l'article 7, sur ce qui s'est passé. au niveau des frigos qui ont été piratés. Et je ne crois pas que ces sociétés avaient 250 personnes ou 10 millions de chiffres d'affaires. Quelque part, il faut comprendre que si on veut vraiment sécuriser notre pays, il faut s'attacher vraiment à dire voilà la liste des choses dans lesquelles on va intervenir, mais pas mettre cette condition. de nombre, parce qu'avec l'évolution, la loi deviendrait obsolète. On aura peut-être des petites structures qui sont très critiques. Et quelque part, il me semble qu'il serait sage pour que cette loi puisse tranquillement être pérenne dans le temps, de faire en sorte de faire sauter les seuils qui n'apportent rien. et qui empêche, effectivement, de sécuriser comme il faut le pays. Voilà ce que je voulais vous dire.

vous remercie. Votre avis, s'il vous plaît, sur le 27 et le 28

pour l'article 27, j'aurais un avis défavorable, d'autant plus que l'article 10 répond déjà à votre attente, puisqu'il permet de requalifier, en fonction de différents critères, la classification. Donc, avis défavorable.

vous remercie. Madame la ministre.

avis défavorable sur le 27 et défavorable sur le 28 sur transposition et la suppression étant de manière disproportionnée les champs d'application du projet de loi.

vous remercie. Je passe la vise au mois d'amendement numéro 27 qui est un double avis défavorable. Qui est pour ? Qui est contre ? C'est rejeté. Le 28, même avis, même vote. Oui, je vous remercie. Le 134, monsieur Latombe ? Il est

retiré parce qu'il est en contradiction avec l'amendement qui a été voté dans l'article 7. Il est retiré

le 134. On part avec une autre discussion commune. 312, monsieur Sabatou.

Merci, madame la présidente. Monsieur le rapporteur, vous allez aimer cet amendement. Il vise à supprimer une surtransposition. Il n'était pas demandé par Nice 2 et pourtant dans ce texte, on le demande, est sans seuil de taille. Ça veut dire que les start-up et les grands groupes seraient logés à la même enseigne avec des sanctions pouvant aller jusqu'à 2 milliards d'euros et jusqu'à 2% du CA. Malheureusement, ce dispositif pénalise davantage nos entreprises, les logiciels étant déjà concernés par le règlement européen sur la cyber-résilience. Cette partie du texte ne sert à rien à part surtransposer et pénaliser nos entreprises que personne ne souhaite. Donc nous proposons de supprimer cette surtransposition.

135, monsieur Latombe.

Oui, merci, madame la présidente. Il s'agit de supprimer les mots aux éditeurs de logiciels parce que la mention des éditeurs de logiciels parmi les entités essentielles ne figure pas en tant que telle parmi les types d'entités énumérées aux annexes 1 et 2 de la directive du 14 décembre 2022 de Nice 2. Et donc, c'est pour appliquer complètement la transposition que d'enlever les éditeurs de logiciels qui sont effectivement dans le champ de CRA.

Merci. Le 188, monsieur Thiebaud.

'est la même défense, donc défendue.

merci Madame la Présidente. Je le disais tout à l'heure lors de la discussion générale. En fait, c'est le cas typique d'une jeune entreprise de 5 salariés qui développe une application et qui serait soumise au régime le plus exigeant avec un contrôle a priori et des amendes pouvant aller jusqu'à 10 millions d'euros. Aucun autre Etat membre ne fait ce choix. C'est la définition même de la surtransposition. C'est pourquoi nous sollicitons la suppression.

vous remercie. Le 213, M. Bautorel.

peut-être rappeler que, effectivement, cet élément avait été adopté en commission spéciale à l'initiative de notre collègue Véronique Riotton, dont je pense qu'elle visait essentiellement les éditeurs judiciaires du monde de la santé. Et l'écriture était tellement large qu'elle a emporté, évidemment, un secteur bien plus important et que beaucoup ici souhaitent corriger. Donc, je m'inscris dans cette correction.

vous remercie. Le 311. Je vous remercie. Votre avis, s'il vous plaît, sur cette discussion commune

je serai défavorable au 312 et un avis favorable au 135, 188, 197, 213, 311, qui sont identiques.

à tous les autres, sauf le 312. Voilà. Madame la ministre

avis.

Même avis. Défavorable au premier. Je passe à la mise aux voix du 312, qui recueille un double avis défavorable. C'est un main levée. Qui est pour ? Qui est contre ? C'est rejeté. Avendement identique. C'est W favorable, Commission gouvernement. Qui est pour ? Qui est contre ? C'est adopté. On poursuit avec le 29. Monsieur Pilato

Merci Madame la Présidente. C'est encore une histoire de seuil. Vous estimez qu'il faut que les communes, les intercommunalités soient supérieures à 30 000 habitants pour avoir effectivement un contrôle sur des activités critiques. Je vous invite à regarder un petit peu ce qui se passe sur des plus petites EPCI qui ont par exemple des barrages, des centrales hydroélectriques, des dépôts de munitions, des infrastructures industrielles classées. Comment peut-on faire en sorte que... ce seuil puisse être quelque chose qui empêche des structures critiques de notre pays de répondre à de la sécurité sur justement ce monde cyber et ce monde connecté. Voilà le sens de cet amendement. Il nous semble que là encore, l'effet de seuil 30 000, il n'est pas adapté par rapport à notre territoire sur l'intégralité de notre pays. Merci.

vous remercie. Votre avis Merci, Madame la Ministre. Défavorable. Je vous remercie. Je passe la mise aux voix de cet amendement. Quelqu'un double avis défavorable, c'est la main levée. Qui est pour ? Qui est contre ? C'est rejeté. On poursuit avec une autre discussion commune, avec des amendements identiques. Le 191, M. Thiebaud.

Alors, excusez-moi, Madame la Présidente. Alors, sur le 191... Ah, j'ai un petit bug de... Excusez-moi, il est défendu, parce que je n'arrive pas à... Défendu.

198, Massa Moussio-Wizbac, allez-y.

Merci, Madame la Présidente. La Commission a qualifié d'entité essentielle l'ensemble des établissements et services sociaux et médico-sociaux, quelle que soit leur taille. L'objectif était de lever une ambiguïté. Certains établissements contestant relever de la catégorie des entreprises, entre guillemets. Mais la rédaction retenue fait entrer dans le régime le plus lourd des milliers de petites structures, de très petites structures, même services d'aide à domicile, résidence autonomie, foyers souvent gérés par des CCS et des SIAS et de nombreuses petites communes pourtant exclues en tant que telles sous le seuil des 30 000 habitants. Monsieur

Bautorel

vais dire mieux et donc je dis défendu.

Défendu. Le 313, M. Sabatou.

Merci, Madame la Présidente. C'est dans le même esprit. Ici, un petit EHPAD est traité de la même manière qu'un CHU. Ils sont dans le même régime. Et donc, nous pensons que les obligations doivent être proportionnées à la taille de l'établissement.

Merci. Votre avis sur cette discussion commune ? Amendement identique et l'autre.

je serais bien entendu favorable à l'ensemble des amendements identiques. me semble par contre que le 313 n'est pas identique, donc je donnerais un avis défavorable. Je

vous remercie, madame la ministre.

Madame la Présidente. Donc, effectivement, le gouvernement est favorable à 16 amendements, 191, 198, 214, puisque le 313, c'est un petit peu différent. Et notamment, il permet de clarifier l'assujettissement des établissements publics de santé et privés d'intérêts collectifs et des établissements et services sociaux et médicaux sociaux, publics et privés à but non lucratif. Ça, c'est donc pour ces trois amendements. Concernant votre amendement, Monsieur Sabatou, La clarification recherchée est apportée par l'amendement du gouvernement 191 du rapporteur Vincent Thiebaud, ici même. La proposition d'amendement n'adresse pas le cas des établissements de santé privés d'intérêts collectifs, donc je vous proposerai de le retirer au profit du 191, 198, 214. Sinon, avis défavorable.

vous remercie. Je passe la mise aux voix de la série d'amendements identiques. Je rappelle le double avis favorable au commission gouvernement. Qui est pour ? Qui est contre ? C'est adopté. Et ça fait donc tomber le 313. Je passe à la mise au vote de l'article 8. Qui est pour ? Qui est contre ? C'est adopté. On poursuit avec l'article 9. Article 9 avec discussion commune. Le 93 de M. Hende. Il n'est pas défendu. Le 314, monsieur Sabatou.

merci, madame la présidente. Je vais défendre le 314, 315. Là, c'est plutôt une question au président de la commission et à madame la ministre. Voilà, on en a parlé depuis le début du texte. Ça permet de responsabiliser tout le monde de ne pas avoir de seuil. Mais voilà, on le sait que les communes de moins de 30 000, moins de 20 000 habitants n'ont pas nécessairement les moyens. Est-ce que l'État va les accompagner, va mettre en place des aides pour faire, car ils n'ont vraiment pas la taille critique pour suivre ces recommandations

vous remercie. Votre avis, s'il vous plaît, 314-315.

Mes avis sur ces deux amendements sont défavorables, parce qu'en fait, ils sont déjà couverts, notamment certaines compétences qui sont couvertes par les communautés de communes sont de qualité critique.

vous remercie, Madame la Ministre. 314-315.

Madame la Présidente, quelques précisions par rapport à votre amendement. Les petites communautés communes sont exposées à la menace cybercriminale et de masse. Elles portent toutes des compétences critiques, telles que l'eau, l'assainissement, les eaux usées ou encore des actions de développement économique, et elles doivent être sécurisées. Elles s'appuient souvent à travers la mutualisation de services numériques. puisque souvent les intercommunalités oeuvrent pour l'ensemble des communes et donc à ce titre, ils doivent être protégés. Donc je suis défavorable aux amendements identiques de M. End, qui n'a pas présenté son amendement, et du vôtre, M. Sabatou, ainsi qu'à l'amendement de repli de M. Sabatou avec un seuil qui va venir de 20 000 habitants.

Lequel ? Les deux ? Les deux sont retirés. On poursuit clairement numéro 30. M. Saint-Martin

Madame la Présidente. C'est un amendement qui vise à intégrer les établissements scolaires du second degré comme entités essentielles. Et parce qu'ils sont exposés aux cyberattaques, c'est toujours plus endémique. Ça concerne notamment les espaces numériques de travail, les ENT. sur lesquels transitent nombre de données scolaires personnelles et qui sont exposées aux cyberattaques. Il y a eu des précédents en la matière. C'est la raison pour laquelle on souhaite expliciter le statut de ces entités comme essentiel. Merci.

vous remercie votre avis sur mon numéro 30.

Oui, alors la directive vise déjà les établissements secondaires, notamment lorsqu'ils exercent des activités de recherche, notamment jugées critiques. De plus, la manière dont vous écrivez votre amendement, vous allez viser, et quelle que soit la taille, les 7800 lycées et collèges. avec derrière un fort impact qui aura notamment sur les collectivités qui en sont responsables, c'est-à-dire les départements et les régions. Et donc là, vous leur faites porter une charge financière qui n'est pas négligeable. Et je pense qu'il y a déjà des besoins autres actuellement, comme l'actualité peut le montrer. Donc ce sera un avis défavorable, sinon une demande de retrait, sinon un avis défavorable.

vous remercie,

Madame

la Ministre.

Merci, Madame la Présidente. Je rajouterai aux arguments du rapporteur Vincent Thiebaud également le fait que vous créez une inégalité entre les établissements publics et les établissements privés. Et donc, il n'y a pas de raison, puisque la cybersécurité, c'est partout pour tous. Et puis, par ailleurs, effectivement, sur transposition, puisque déjà, les établissements scolaires publics, notamment ceux qui exercent des activités de recherche, sont dans le champ d'application de Nice 2, donc à vie défavorable.

vous remercie. Il est maintenu. Je passe à mise au vote cet amendement qui a un double avis défavorable. Qui est pour ? Qui est contre ? C'est rejeté. On poursuit avec une discussion commune. Il y a un amendement identique. Le 192, M. Thiebaud.

Oui, dans la rédaction de la commission, le 6 bis et le 6 tiers de l'article 9 n'ont aucun effet. L'article 8 classe déjà tous les établissements publics secondaires parmi les entités essentielles, quelle que soit leur taille. Cet amendement est le pendant du numéro 191. à l'article 8. Ensemble, il répartit cet établissement entre les deux régimes selon leur taille. Les plus grands, au-delà des seuils de la grande entreprise, sont entités essentielles. Les autres sont entités importantes dès qu'ils atteignent la taille de la moyenne entreprise. En deçà, ils sortent du champ.

vous remercie. Le 199, madame Moussé-Winsbach

Oui, madame la présidente, c'est un amendement de conséquence de l'amendement que nous avons présenté tout à l'heure à l'article 8 et donc qui concerne les établissements et services sociaux et médico-sociaux qui n'atteignent pas les seuils des entités essentielles.

218, monsieur Pottorel, défendu. Je vous remercie. Le 316, défendu également. Votre avis sur cette discussion commune

Je donnerai une demande de retrait du 316 au profit du 3 identiques, 192, 199, 218. Sinon, ce sera un avis défavorable pour le 316, favorable pour les trois autres.

Je vous remercie, madame la ministre. Même avis, madame la présidente. Je vous remercie. Je passe à mise aux voix des amendements identiques, double avis favorables. Qui est pour ? Qui est contre ? C'est adopté. Ça fait donc tomber le 316. Et je passe donc à la mise au voie de l'article 9. C'est un main levée qui est pour, qui est contre. C'est adopté. Sur le vote de l'amendement 34, 33 et 32, je suis saisie par la France insoumise du demand de scrutin public. Les scrutins sont annoncés dans l'enceinte de l'Assemblée nationale. On poursuit avec l'article 10. Et amendement numéro 34, monsieur Saint-Martin.

Madame la Présidente, je vais les défendre tous les trois, c'est à peu près le même état d'esprit. Donc c'est un premier amendement, en tout cas le 34, qui pose la question du temps laissé aux entités désignées comme hautement critiques de former un recours. En effet l'arrêté pouvant être d'application immédiate, cela signifie que même si un recours gracieux puis contentieux si nécessaire est formé, le temps d'une décision soit rendu, l'arrêté aura déjà produit des effets concrets. Donc là pour le 34 c'est trois mois. Le 33, c'est 4 mois et le 32, c'est 6 mois.

Je vous remercie. Votre avis, monsieur rapporteur

défavorable ?

les trois. bien, madame la ministre.

madame la présidente. En fait, ces amendements sont déjà satisfaits sur la demande d'inscription de délais. Un décret définissant les modalités et délais pour l'ensemble des décisions que le Premier ministre serait amené à prendre en application des articles 8, 9 et 10 est prévu. Il prévoira le caractère graduel de la mise en conformité en fonction des obligations concernées. Mais les délais que vous proposez, messieurs les députés Saint-Martin et Pilato, sont insuffisants. En effet, trois, quatre ou six mois sont délais insuffisants pour les mises en conformité des entités, notamment la mise en œuvre des exigences de sécurité. Donc, demande de retrait ou en tout cas avis défavorable. Je

vous remercie. Je passe à la mise aux voix de ces amendements qui recueillent tous les trois un avis défavorable. Ce sont des scrutins publics. Pour le 34, le scrutin est ouvert. Le scrutin est clos. Voici le résultat du scrutin. Votant 64, restant 47, majorité 24 pour 21 contre 26, l'Assemblée nationale n'a pas adopté. On poursuit avec le 33 qui est également un scrutin public. Le scrutin est ouvert. Le scrutin est clos. Voici le résultat du scrutin. Votant 67, exprimé 47, majorité 24 pour 22, contre 25, l'Assemblée nationale n'a pas adopté. Et enfin, le 32, c'est un scrutin public. Le scrutin est ouvert. Le scrutin est clos. Voici le résultat du scrutin. Votant 71 exprès 51 majorité 26 pour 23 contre 28, l'association n'a pas adopté et à main levée l'article 10 qui est contre, c'est adopté. On poursuit avec l'article 11. M. Pilato, allez-y.

Merci, Mme la Présidente. Le présent amendement vise à supprimer la possibilité offerte aux fournisseurs de services numériques critiques établis hors de l'Union européenne de se soustraire à l'obligation d'établissement réel sur le territoire national en se limitant à la désignation d'un simple représentant local. En effet, la linéa concernée autorise que des acteurs clés du numérique, tels que les fournisseurs de services de systèmes de nom de domaine, d'hébergement, de diffusion de contenu ou encore de plateformes de réseaux sociaux, puissent se conformer aux obligations réglementaires sans disposer d'une implantation effective et contrôlable en France. Donc nous souhaitons que ces personnes soient contrôlables physiquement sur notre territoire. Je vous remercie.

vous remercie. Votre avis, s'il vous plaît ? Défavorable. Défavorable, madame la ministre ? C'est une surtransposition, monsieur le député. Défavorable. vous remercie. Je passe à la viso de cet amendement. Quelqu'un d'où l'avis est favorable à l'enlever. Qui est pour ? Qui est contre ? Bon, on va faire un scrutin public. Pour le 35, vous gagnez vos places. Le scrutin est ouvert. Le scrutin est clos. Voici le résultat du scrutin. Votant 70, exprimé 50, majorité 26 pour 22 contre 28, l'Assemblée nationale n'a pas adopté. Le 363, M. Bottorel.

Madame la Présidente. En fait, je crois connaître le sort qui sera réservé à cet amendement. Enfin, je ne veux pas anticiper les votes qui peuvent avoir lieu dans ce thémicycle. Mais j'aurais souhaité que la ministre puisse clarifier la doctrine en ce qui concerne les entreprises qui ont une activité exercée à titre accessoire et qui pourraient être soumises au régime de cybersécurité le plus exigeant. Donc la portée de cet amendement, il est inspiré entre autres d'échanges avec des entreprises de la chimie. Et je crois qu'une réponse est attendue sur le sujet de clarification.

vous remercie. Votre avis

moi, il est déjà satisfait, donc c'est une demande de retrait, sinon un défaut défavorable.

Je vous remercie, Madame la ministre.

Merci, Madame la Présidente. Je vais répondre au rapporteur général qui demande des précisions sur des groupes bien spécifiques, notamment dans la chimie, effectivement. La directive ne traite pas la problématique des groupes ayant plusieurs activités ou plusieurs pays d'implantation. Cette notion n'a d'ailleurs pas d'existence juridique propre en droit français. Nous sommes conscients que cela crée de la complexité pour ces groupes. Il revient à chaque organisation concernée de réaliser son analyse pour identifier la ou les activités du groupe qui relève de Nice 2. et de prendre en compte qui délivre et opère les systèmes d'information. Est-ce au niveau de la filiale uniquement, ou est-ce centralisé au niveau du groupe ? Ces analyses seront bien entendu prises en compte en cas de contrôle, donc il y aura quand même une bienveillance, une analyse approfondie de la part de l'ANSI. Et au niveau européen, cette difficulté est partagée par les autres Etats membres. Des travaux sont en cours avec la Commission européenne pour apporter une réponse claire. Donc ce que je vous propose, monsieur le rapporteur général, c'est un retrait, sinon avis défavorable.

vous remercie. Je passe à la ministre de Boit, c'est un moment qui recueille un double avis défavorable. C'est à main levée. Qui est pour ? Qui est contre ? C'est rejeté. Je passe la mise aux voix de l'article 11. C'est un main levée. Qui est pour ? Qui est contre ? C'est adopté. On poursuit avec l'article 12, amendement numéro 318. Monsieur Sabatou.

Madame la Présidente. Amendement assez simple. Les entreprises numériques évoluent extrêmement rapidement et donc il pourrait arriver que des infrastructures deviennent stratégiques en seulement quelques mois. C'est pourquoi nous demandons une actualisation annuelle et non pas tous les deux ans.

vous remercie. Votre avis s'il vous plaît sur 318

Défavorable.

Merci Madame la Ministre. Défavorable. Je vous remercie. Je passe la mise au vote septembre. Qui est pour ? Qui est contre ? C'est rejeté. On a une série d'amendements antiques. Le 193, M. Thiebaud.

alors cet amendement revient sur l'amendement qui a été adopté en commission. L'objectif de ces auteurs associés ministres sectoriels demeure satisfait par l'article 10 et par la mise à disposition de la liste. Puisqu'il s'écrit un ajout de la commission, celle-ci est nécessairement défavorable. Toutefois, j'y suis favorable, moi, à titre personnel.

vous remercie, monsieur Bottorel, le 219. Défendu ? Oui. Très bien. Donc défavorable de la commission, mais favorable du rapporteur. Et vous, madame ? C'est l'avis, là. Et vous, madame la ministre ? Alors je suis favorable aux amendements de messieurs Bottorel et Thiebaud. D'accord, amendement identique. Monsieur Laton, allez-y.

Merci Madame la Présidente. C'était effectivement un ajout de la commission spéciale à mon initiative. Nous avons eu la discussion tout à l'heure sur le comité de sanctions. Vous avez dit que comme les ministères ne pouvaient pas participer au comité de sanctions parce qu'ils étaient à la fois dans la désignation et éventuellement dans la commission de sanctions, il avait été décidé dans la commission spéciale de pouvoir intégrer l'avis des ministères parce que c'est eux qui connaissent effectivement. le secteur d'activité sur lequel ils exercent le mieux. Et donc, on avait ajouté ça en commission spéciale et ça avait fait à l'époque l'unanimité.

vous remercie. Je passe la mise aux voix de cette série d'amende identique. Alors, j'avais un avis défavorable de la commission et favorable du rapporteur, favorable du gouvernement. Qui est pour ? Qui est contre ? C'est adopté. On est au 317, M. Sabatou.

Madame la Présidente. Comme d'habitude, un amendement de bon sens. Avec ce texte, nous imposons des obligations cyber aux entreprises et établissements publics. Mais savent-elles seulement si elles sont concernées ? Ils risquent d'avoir ce problème. On leur demande de se mettre à jour, on leur demande des obligations, mais elles pourraient passer complètement à travers puisqu'elles ne seraient même pas au courant. C'est pourquoi avec cet amendement, nous proposons que l'ANSI soit l'organisme qui avertisse ces établissements qu'ils sont essentiels ou vitales. Merci.

Oui, le mécanisme que vous préconisez risquerait de brouiller un petit peu, notamment le mécanisme déjà existant et qui est prévu par la loi. Enfin, une notification risquerait de brouiller déjà le mécanisme en place. Donc, ce sera un avis défavorable.

Merci Madame la Présidente. Quelques explications. Compte tenu du nombre d'entités assujetties, 15 000 entités, le principe d'enregistrement est prévu pour les entités assujetties. Je dois dire qu'il y a quand même un gros travail qui est fait depuis plusieurs mois, pour ne pas dire années, soit par l'ANSI, soit par les CECIRT, soit par les campus cyber, soit par les acteurs dans les territoires, pour sensibiliser le probable assujettissement de ces 15 000 entités à Nice 2. Donc, on ne peut pas dire qu'elles vont. ou dans de rares cas, en tout cas, découvrir la chose. Par ailleurs, ce principe est proposé par la directive à son article 3. Ce point d'ailleurs a été rappelé par le sénateur Patrick Chesse dans son rapport au Sénat. Chaque organisation, par ailleurs, peut tester son éligibilité à Nice 2 et s'enregistrer depuis plus d'un an sur mes services cyber. Donc, en tout cas, s'il y a un doute, ce que je peux inciter une entreprise à faire, c'est d'aller tester si elle est éligible ou pas sur mes services cyber. En tout cas, il y a une plateforme qui existe et ils peuvent le vérifier. Et c'est ce qu'ils doivent faire, d'ailleurs. Donc, avis défavorable.

merci Madame la Présidente. Je vais en profiter pour défendre le 136 qui est exactement dans le même esprit, mais qui est une rédaction différente. Effectivement, le principe de Nice 2, c'est l'autodéclaration des entités. On ne revient pas sur le principe, et je n'ai pas comme ça que j'ai lu l'amendement de M. Sabatou ni le mien. L'idée, c'est quand même d'avoir une voiture balai. C'est-à-dire que l'autodéclaration reste le principe de base, mais pour les entreprises qui auraient raté l'autodéclaration... ou qui ne seraient pas forcément sensibles à ce sujet, qu'elles puissent avoir un rappel qui soit fait par l'État. Dans l'amendement de M. Sabatou, c'est par l'ANSI. Dans le mien, c'est l'État, et je le confie, je n'aime pas ça, mais par décret, en disant que par les codes NAF et par les codes NAS, on a la possibilité éventuellement de rattraper les choses. Ça vient de l'expérience belge, où les entités qui ont été autodéclarées en Belgique ont été plus nombreuses que l'autorité belge ne l'avait pensée au départ, mais avec un taux d'autodéclaration qui était des faux positifs. C'est-à-dire que pas mal d'entreprises... s'autodéclarait pensant qu'elle devait être Nice 2 alors qu'elle ne l'était pas. En revanche, ils ont eu du mal à rattraper les entreprises qui ne s'étaient pas autodéclarées et qui auraient dû ressortir de Nice 2. Et donc il faut qu'on puisse être clair avec tout le monde. La sensibilisation, c'est bien. Quand c'est fait de façon organisée et posée, c'est encore mieux. C'est en ce sens que je propose que ce soit l'État qui le confiera ou pas à l'ANSI. qui identifie sensibiliser les entités concernées dans des conditions qui seront précisées par décret. Et je suggère qu'on fasse un balayage par code NAF et par code NAS, ce qui permettrait de pouvoir être le plus exhaustif possible.

Non, il est rejeté. Par contre, je vous demande s'il vous plaît, pour, contre, ça se lève, en fait, s'il vous plaît, au niveau des mains, ça sera plus simple quand même. Merci. Donc le 136, M. Latombe, il l'avait déjà défendu. Votre avis, s'il vous plaît

Défavorable.

Défavorable, Mme la ministre. Défavorable également. Je passe la mise aux voix et c'est à main levée de vous l'avis défavorable. Qui est pour ? Qui est contre ? C'est adopté. Je passe à la mise au voie de l'article 12 qui est pour, contre, c'est adopté. On poursuit avec l'article 13, amendement numéro 348. Monsieur Bautorel, défendu, je vous remercie. Votre avis, monsieur le rapporteur

Défavorable.

Défavorable, madame la ministre. Retrait sinon défavorable. Très bien, il est retiré.

137, monsieur Latombe. Oui, merci Madame la Présidente. C'est un amendement d'appel. De nombreuses réglementations numériques sectorielles et non sectorielles viennent s'imposer aux entreprises. L'article 13 du présent projet de loi dispose actuellement que l'entreprise devra se conformer au texte le plus contraignant. Cette formulation laisse la place à une appréciation individuelle des dites entreprises. Et de fait, pour s'assurer de l'usage systématique de la réglementation la plus exigeante, l'État devrait proposer un référentiel piloté par l'ANSI permettant de s'assurer du respect de la hiérarchie des exigences. L'idée, ce n'est pas d'alourdir la charge de l'ANSI en communiquant individuellement la hiérarchisation des normes. pour chaque entreprise, mais bien de poser des lignes directrices auxquelles chacun pourra se référer pour faciliter la mise en conformité. Là encore, vous le demandiez, Madame la Ministre, l'idée, c'est de simplifier pour les entreprises l'application de Nice 2. C'est ce que je propose dans cet amendement pour éviter qu'une entreprise ne s'applique des règles qui ne sont pas celles qu'elle devrait appliquer. Et d'un autre côté, que l'ANSI puisse donner des lignes directrices, ça serait de bon sens.

remercie votre avis sur le 137.

Défavorable.

Défavorable. Madame la Ministre.

Madame la Présidente. Monsieur le Président, en fait, votre amendement est déjà satisfait. C'est l'Union européenne qui reconnaît un acte juridique sectoriel, comme cela a déjà été fait avec Dora. Et l'ANSI publie un comparatif des référentiels nationaux, européens, internationaux pour aider les entités à connaître les référentiels et à se les appliquer. Enfin, chaque entité reste responsable de l'analyse du cadre réglementaire qui leur est applicable. Pour ces raisons, je donnerais un avis défavorable à votre amendement. C'est déjà suffisamment... Lourd pour qu'on rajoute des contraintes à

l'annecy. vous remercie. Je passe à la mise au voie du 137. Quelqu'un a un double avis défavorable ? C'est à main levée. Qui est pour ? Qui est contre ? Non, ça passe pas. C'est rejeté. On poursuit avec une série d'amendements identiques. Le 194, M. Thiebaud.

Merci, madame la présidente. 1994 a pour objet de faire prévaloir sur le référentiel national les exigences fixées par les actes d'exécution de la directive Nice 2 pour toutes les entités qui sont soumises et présentes et futures.

vous remercie. Le 220, monsieur Bottorel, défendu. Votre avis sur cette série d'arrondements identiques ? Favorable, je suppose. la ministre, favorable également. Je passe à la mise au voie de cette série d'un nom identique qui a un double avis favorable. Qui est pour ? Qui est contre ? C'est adopté. Je passe à la mise au voie de l'article 13. C'est à main levée. Qui est pour ? Contre ? C'est adopté. On poursuit avec l'article 14. Amendement numéro... 321, M. Sabatou, défendu. Votre avis, s'il vous plaît. 321.

Défavorable.

Défavorable. Madame la ministre, 321. Même avis. Défavorable. Je passe à la mise au voie de cet amendement. Quelqu'un d'autre, vous plaît. Défavorable. Qui est pour ? Qui est contre ? C'est rejeté. On a une discussion commune. Le 138, M. Latombe.

merci Madame la Présidente. Le présent amendement précise à l'article 14 que les mesures exigées sont de nature physique et logique. Ils complètent le deuxièmement par des politiques de sécurité des ressources humaines, de contrôle des accès physiques et logiques et de la gestion des actifs, ainsi que par une politique de sécurité de la chaîne d'approvisionnement fondée sur l'identification des fournisseurs et prestataires de services directs et de leur niveau de criticité réexaminée au moins une fois par an. En ça, ça transpose directement la directive NIS2.

Merci, c'est évidemment identique. 195, M. Thiebaud

Tout simplement, c'est le mot destinataire au mot usager.

Très bien. 221, M. Boutorel ? 221, je crois. Oui, 221, M. Boutorel.

Merci, Mme la Présidente. Écoutez, c'est identique et défendu. Je suis désolé qu'on ait shooté un amendement rédactionnel qui a été proposé par M. Sabatou il y a une minute à peine.

Votre avis, s'il vous plaît, sur la discussion commune ?

je suis défavorable aux 138 de M. Latombe et favorable aux 195 de 121.

le ministre.

Merci, Madame la Présidente. Alors, sur l'amendement du président Latombe, cet amendement, il est satisfait. Les objectifs de sécurité sont déclinés dans Récif et il prévoit bien des mesures physiques et logiques, par exemple, la maîtrise des accès physiques aux locaux. et la sécurité dans la gestion des ressources humaines. Ce type de précision ne relève pas du niveau législatif mais réglementaire. Donc avis défavorable pour l'amendement de Philippe Latombe. Et concernant les amendements des deux rapporteurs, Bottorelle et Thiebaud, avis favorable.

merci Madame la Présidente. En fait, la vraie question, c'est celle qu'on s'est posée tout à l'heure au début de nos débats, c'est qu'est-ce qui ressort de la loi, qu'est-ce que ressort du domaine administratif ? Aujourd'hui, vous dites que Récif le prévoit, mais il suffit que Récif soit modifié, que ça ne le prévoit plus. Et c'est notre rôle de parlementaire que de dire que Récif ou son successeur doivent l'intégrer. Et c'est du niveau législatif, ce n'est pas du niveau simplement administratif. C'est à nous parlementaires de décider ce qu'il y a dans le référentiel et s'il y a notamment la question de la sécurité des ressources humaines, le contrôle des accès physiques et logiques et la gestion des actifs. Donc en fait, c'est une vraie question de savoir ce que nous laissons à l'exécutif en termes réglementaires ou de ce que nous gardons en responsabilité au niveau législatif et donc au niveau des parlementaires. Et en ça, je rejoins le président de la commission spéciale au Sénat. qui avait expliqué qu'une sous-transposition législative entraînerait une sur-transposition administrative. On est typiquement dans ce cas-là.

Madame la ministre, allez-y.

Merci, Madame la Présidente, de me permettre de reprendre la parole. Monsieur Latombe, on n'est pas obligé de tout mettre dans la loi. On n'est pas obligé. Et donc, en fait, il y a un document qui s'appelle un référentiel. Je ne pense pas que vous remettez en cause les référentiels de l'Annecy. Récif. comprend absolument tous ces éléments que vous souhaitez voir respectés. Mesures physiques et logiques, maîtrise des accès physiques aux locaux, sécurité dans la gestion des ressources humaines, ça existe. Actuellement, dans Récif, il n'y a aucune raison que ça disparaisse de Récif. Si c'était le cas, on en reparlera à l'occasion échéant lors d'un prochain texte sur la cybersécurité.

vous remercie. Je passe à la mise aux voix du 138, qui est un double avis défavorable. C'est à main levée, qui est pour... Qui est contre ? C'est adopté. Ça fait donc tomber les autres amendements. On poursuit avec le 63. M. Bautorel, 63, défendu. Votre avis ?

Défavorable.

Défavorable. Madame la ministre ? Défavorable. Je passe la mise au voie de cet amendement qui est avec un double avis défavorable. Qui est pour ? M. Bautorel, qui est pour ? Qui est contre ? C'est adopté. On a une autre série d'amendements identiques, le 139. Monsieur Latombe.

Merci Madame la Présidente. Il s'agit de dire que l'article 14 prévoit déjà que le choix des mesures de sécurité vise à minimiser les dépendances envers des prestataires tiers, ne présentant pas des garanties suffisantes, mais il ne précise pas comment ces garanties s'apprécient. Cet amendement complète les critères d'appréciation des risques liés aux fournisseurs s'appuyant sur l'article 21, paragraphe 3 de la directive, qui impose de tenir compte des vulnérabilités propres aux fournisseurs prestataires de services directs, ainsi que sur l'article 22 et les considérants 90 et 91. qui reconnaissent explicitement la pertinence des facteurs de risque non techniques, notamment l'influence d'un pays tiers, les vulnérabilités cachées, les fameuses backdoors, les ruptures d'approvisionnement systémiques et les situations de verrouillage technologique ou de dépendance à un fournisseur, les fameux kill switch. Et donc, on a absolument besoin de l'intégrer dans cet article 14 pour pouvoir préciser comment les garanties s'apprécient.

vous remercie. Le 256, Madame Chatelain, défendue. Le 366, Mme Dariussec, défendu. Votre avis, s'il vous plaît, sur cette série d'amendements identiques

Oui, ce sera une demande de retrait ou un avis défavorable. En effet, votre amendement précise une phrase de la lignée 1 que je vais proposer de supprimer, car elle fait peser une charge disproportionnée sur les entités et repose sur les notions mal définies. Les facteurs de risque non techniques relèvent des évaluations coordonnées conduites au niveau de l'Union européenne et les entités en prennent compte les résultats. sans avoir à les apprécier elles-mêmes. Votre préoccupation de souveraineté est légitime, mais ce texte porte sur la cybersécurité et nous devons en garder l'équilibre.

vous remercie. Votre avis, Madame la Ministre ? Je m'en remets à la sagesse de l'Assemblée. Sagesse, Monsieur Latombe, allez-y.

Monsieur le rapporteur, je suis désolé, mais moi, quand je propose cet amendement, et je vous l'avais dit tout à l'heure, c'est que je m'appuie sur l'article 21, paragraphe 3 de la directive, sur l'article 22 et sur deux considérants qui sont dans... Alors, je sais bien que les considérants droit français, ils ne sont pas le texte de la directive et que donc on ne peut y faire référence que dans le cadre des exposés sommaires, mais enfin, ils sont assez clairs, ce sont les considérants 90 et 91 qui reconnaissent explicitement la pertinence des facteurs de risque non techniques. Il donne des exemples, notamment l'influence d'un pays tiers. Dans l'actualité d'aujourd'hui, je pense que ça mérite qu'on puisse le regarder si on se souvient de ce qui s'est passé pour les frigos avec les Iraniens. Les vulnérabilités cachées, les ruptures d'approvisionnement systémiques et les situations de verrouillage technologique ou de dépendance à un fournisseur. Le fameux « kill switch » dont Donald Trump nous a menacé à plusieurs reprises. On est typiquement dans le texte de la directive.

Je passe la mise aux voix de cette série d'un nom identique qui a un avis défavorable de la Commission et ce geste du gouvernement. Qui est pour ? Qui est contre ? C'est adopté. On a une autre série d'un nom identique, le 279, Madame la Ministre. Merci

Madame la Présidente. Donc là c'est un amendement du gouvernement qui vous propose de supprimer une phrase imposant des critères d'auditabilité, de transparence et d'interopérabilité dans le choix des mesures de sécurité pour les entités concernées. Quelques petites explications. Donc cet amendement identique au 207 de Vincent Thiebaud et 223 d'Éric Bottorel. Il vise à supprimer une disposition qui a été ajoutée en commission spéciale. et qui instaure des critères dont la prise en compte complexifie beaucoup le choix ainsi que la mise en œuvre des mesures de sécurité par les entités. L'ajout en commission posait principalement trois difficultés. La première, c'est une charge supplémentaire et disproportionnée pour les entités, particulièrement les plus petites. C'est également un risque de sécurité juridique. Et enfin, un risque de surtransposition de la directive qui ne prévoit pas de telles modalités dans la définition des mesures de sécurité. Donc je vous propose de voter en faveur de ces trois amendements.

vous remercie. Le 207, M. Thibault. Défendu. Le 223, M. Boutorel. Défendu. Je suppose qu'il est favorable de la part de la commission de gouvernement. Voilà. Donc je vais passer à la mise au voie de ces amendements qui recueillent un double avis favorable. C'est un main levée qui est pour. Qui est contre ? C'est rejeté. Le 84, Mme Bellucco.

Merci, Mme la Présidente. Cet amendement vise à intégrer de manière explicite les risques liés à l'intelligence artificielle dans les intrusions dans les systèmes d'information. Le déploiement à grande échelle de l'intelligence artificielle facilite considérablement les capacités d'organiser des opérations cybercriminelles, cybermalveillantes et notamment des intrusions. Tout le monde, presque. Et donc, il nous paraît nécessaire que les mesures de gestion des risques prévues par le présent article anticipent explicitement cette nouvelle capacité d'intrusion et d'exploitation automatisée des vulnérabilités et donc mentionnent explicitement les risques liés à l'intelligence artificielle et à sa démocratisation. Merci. Votre avis

défavorable.

Madame la ministre,

84. Merci Madame la Présidente. Alors en fait, les objectifs de sécurité sont déjà adaptés à l'état de la menace, pesant sur les entités essentielles et importantes. Ils prennent en compte l'accroissement des capacités d'intrusion citées dans l'amendement. Les objectifs et le référentiel sont agnostiques des technologies. Les objectifs et mesures de sécurité doivent s'appliquer à toute technologie. Une mise à jour régulière des objectifs et du référentiel d'exigence technique. Le récif, dont on a parlé plusieurs fois déjà aujourd'hui, est prévu pour les adapter aux évolutions de la menace et aux exigences technologiques nouvelles. Donc, avis défavorable.

vous remercie. Je passe à la mise au vote. C'est à un moment, car quelqu'un d'où l'avis défavorable. C'est à main levée. Qui est pour ? Qui est contre ? C'est rejeté. Dans une série d'amendements identiques, le 208, M. Thiebaud.

merci, Madame la Présidente. Cet amendement vise à supprimer la prise en compte du degré d'exposition au risque des personnes dans la formation des membres des organes de direction. Cette disposition est contraire à la directive qui prévoit la formation de tous les membres des organes de direction des entités indépendamment de leur exposition au risque.

vous remercie. Le 224, Monsieur Bautorel. Je vous remercie. Votre avis, donc, favorable à M. Thiebaud et Mme la ministre, favorable également. Je passe à la mise au voie de cette série d'amendements identiques, double avis favorable, qui est pour, qui est contre. C'est adopté. Le 140, M. Latombe, défendu. Votre avis, 140, défavorable. Mme la ministre, défavorable. Je passe à la mise au voie de cet amendement qui a un double avis défavorable, qui est pour. Qui est contre ? On va faire un scrutin public, s'il vous plaît. Le scrutin est ouvert. Le scrutin est clos. Voici le résultat du scrutin. Votant 72, exprès 72, majorité 37 pour 45, contre 27, l'Assemblée nationale a adopté. On passe à l'an numéro 108. M. Saint-Pasteur, allez-y.

la Présidente, cet amendement vise à signifier de façon explicite qu'il faut retenir une approche tout risque sur la cybersécurité. Qu'est-ce que cela veut dire concrètement ? Bien évidemment, il est question de logiciels, de pare-feu, mais aussi de réseaux. Pas seulement ce qui passe dans les tuyaux, mais les tuyaux eux-mêmes. Les vulnérabilités sont immenses sur notre réseau fibre par rapport à des risques climatiques, mais aussi par rapport à des attaques qui pourraient faire tomber... Tout ou partie, on connaît l'exemple des câbles sous-marins qui est peut-être le plus explicite, mais les vulnérabilités sont plurielles et peuvent se retrouver à différentes échelles dans notre territoire. Donc cet amendement 108, elle vise à expliciter cela parce que très concrètement aujourd'hui, on a des problèmes pour financer la protection de certains points critiques. Donc c'est important, je pense, de le soutenir.

remercie votre avis sur le 108.

ce sera une demande de retrait car satisfait, sinon défavorable, puisqu'en fait, depuis les travaux en commission, l'ANIA vise d'ailleurs tous les risques qui menacent les réseaux et systèmes d'information, y compris leur environnement physique. Donc, la sériété physique sera précisée par le référentiel. Donc, une demande de retrait, sinon défavorable.

vous remercie. Madame la ministre, 108. Même position que monsieur le rapporteur. Je vous remercie. Vous souhaitez reprendre la parole, allez-y.

Oui, alors j'entends, mais très concrètement, pour avoir eu à connaître dans des mandats précédents les difficultés récurrentes alors que les vulnérabilités sont identifiées, je pense qu'il faut le poser explicitement, quitte à le faire par deux fois dans le texte, parce que demain, on peut avoir vraiment des incidences très graves liées à des vulnérabilités très fortes et c'est vraiment quelque chose qui est très préoccupant. Donc je souhaite le maintenir.

passe la mise aux voix, c'est un double avis est favorable, qui est pour, qui est contre, c'est rejeté. On a une série d'annements identiques, le 141, M. Latombe.

la Présidente, cet amendement vise à instaurer une saine gestion des risques technologiques pour les systèmes d'information les plus critiques de la nation en application du principe appliqué ou expliqué. Le projet de loi renforce à juste titre les obligations de cybersécurité. Cependant, une part majeure du risque vient de briques logicielles elles-mêmes, notamment lorsqu'elles sont des boîtes noires dont le fonctionnement interne est inaccessible à l'entité qui les utilise et aux autorités de contrôle. Cet amendement ne vise pas à interdire le recours aux logiciels propriétaires, mais à s'assurer que leur choix pour un usage critique soit une décision éclairée et documentée. En exigeant une analyse de risque spécifique pour les solutions à code source fermé, cet amendement contraint les entités essentielles et importantes à évaluer objectivement d'abord la dépendance technologique, ce qu'on appelle le vendeur le kin, le risque de se trouver prisonnier d'un fournisseur unique, souvent soumis à des législations étrangères. est une vulnérabilité stratégique majeure. L'analyse devra donc porter sur les stratégies de réversibilité et de sortie. Dans un deuxième temps, sur les limitations en matière d'audit de sécurité. L'impossibilité de réaliser ou de faire réaliser un audit complet du code source constitue un risque de sécurité intrinsèque. L'entité devra formaliser la manière dont elle entend pallier cette opacité. Et la troisième raison, c'est que la souveraineté des données et des systèmes, cet amendement s'inscrit dans la continuité de l'article 16 de la loi pour une république numérique qui demande aux administrations de préserver, je cite, la maîtrise, la pérennité et l'indépendance de leur système d'information. Il précise donc cette exigence de maîtrise dans les cas des infrastructures critiques du pays. Je vous remercie.

De retrait sinon défavorable, nous avons déjà étendu, et d'ailleurs, il me semble, à votre initiative notamment, pour le titre premier des entités essentielles, justement de pouvoir documenter cette dépendance aux solutions, aux propriétaires, dans l'analyse des risques. Or, là, par votre amendement, vous l'étendez aussi à l'ensemble des plus de 15 000 entités qui seraient dans la partie 2 de l'annexe. Ça me semble un peu, comment dire, déséquilibrés et ça serait leur mettre des obligations et potentiellement aussi des problématiques pour eux qui ne me semblent pas nécessaires. Je vous donnerai une demande de retrait si vous avez l'avis de favori.

Merci Madame la Ministre.

Madame la Présidente. Votre amendement est partiellement satisfait puisque la sécurisation de la chaîne d'approvisionnement est un objectif de sécurité. Et par ailleurs, le besoin est en partie couvert par le Cyber Resilience Act. C'est un coût supplémentaire, c'est une complexité à mettre en œuvre pour les entités les moins matures. C'est une surtransposition de Nice 2 et il y a également un autre frein que je vois qui est l'insécurité juridique. Certaines notions n'ont pas de valeur juridique reconnue comme le caractère critique d'un système d'information. Donc avis défavorable.

vous remercie. Je passe à la mise au vote. C'est évidemment identique. Allez-y, monsieur Latombe.

Rapidement, madame la présidente, merci. Je vais prendre un exemple qui est aujourd'hui au cœur de l'actualité. Peut-être qu'il ne dit pas grand-chose à un certain nombre de députés ici, mais c'est PCsoft. PCsoft, aujourd'hui, est une société française qui a été rachetée par un fonds d'investissement étranger qui a un code source fermé. qui sert à la base à des logiciels pour des TPE, PME, qui ont des logiciels très spécifiques à proposer à leurs clients, et qui aujourd'hui se retrouvent avec des augmentations de tarifs de plus de 7000%. On fait comment aujourd'hui pour avoir une documentation sur le code source, et comment est-ce qu'on fait pour avoir des stratégies de réversibilité de sortie ? Oui, il y a un moment où ces codes sources fermés, il faut qu'on puisse les estimer et que les entreprises puissent savoir si elles doivent ou pas mettre en place des stratégies de sortie de réversibilité et dans quelle mesure cela peut impacter leur activité. Un certain nombre de boîtes dans les régions, de la plupart de nos circonscriptions, vont se retrouver à devoir fermer la porte de l'entreprise parce que... Le fournisseur PCsoft a d'abord détruit les licences perpétuelles pour les transformer en licences annuelles et a augmenté ses tarifs parfois de plus de 7000%. Il y a quelque chose aujourd'hui qu'il faut qu'on puisse corriger. C'est typiquement l'intérêt de ce texte.

passe à la mise au vote. Cette série d'amendements qui ont un double avis défavorable. C'est à me lever. Qui est pour ? Qui est contre ? C'est adopté. Amendement 142. Monsieur Latombe.

Défendu.

Merci. Votre avis, 142, M. le rapporteur.

Sagesse.

Sagesse, Mme la ministre. Favorable. Je passe à la mise en voie de cet amendement qui est un avis de sagesse de la commission favorable du gouvernement, qui est pour, qui est contre, c'est adopté. On a un amendement qui est objet d'un sous-amendement, le 178, M. Bottorel. Défendu. Le sous-amendement, Mme la ministre, le 400.

Le sous-amendement, Madame la Présidente, consiste à vous proposer de supprimer les mots directs et autant que de possible dans la seconde phrase de la ligne A2 de l'article 14. Le gouvernement partage l'objectif de l'amendement numéro 178 de M. Éric Bottorel, mais visant à limiter l'impact de la mesure prévue à la ligne A3 de l'article 14 sur les entités essentielles et importantes dans la mesure où le sous-amendement est voté.

Vous donnerez un avis favorable au sous-amendement et favorable à l'amendement si le sous-amendement est voté. C'est ça. Monsieur le rapporteur.

Donc je donnerai un avis favorable au sous-amendement du gouvernement et de ce fait, s'il a adopté, un avis favorable au 178, sinon il sera défavorable si le sous-amendement n'est pas adopté.

Je passe à la mise aux voix du sous-amendement 400, qui est un double affili favorable commission gouvernement, qui est pour. Contre. C'est adopté. Et l'amendement 178, double avis favorable qui est pour. Contre. C'est adopté. Amendement 143, M. Latombe.

Merci Madame la Présidente. L'objectif de cet amendement est d'intégrer des notions d'auditabilité, de transparence, d'interopérabilité des technologies qui seraient choisies par les entités essentielles et les entités importantes afin notamment de réduire le risque de dépendance numérique, de maximiser la résilience des réseaux et des systèmes et de permettre la continuité des activités.

Votre avis s'il vous plaît sur le 143

Défavorable.

bien Madame la Ministre ? Défavorable aussi. Je passe la mise au voie de cet amendement qui a un double avis défavorable. Qui est pour ? Qui est contre ? Qui est pour ? Qui est contre ? C'est adopté. Renance 144, monsieur Latombe.

merci Madame la Présidente. L'article 21, paragraphe 2.e de la directive Nice 2 inclut le traitement et la divulgation des vulnérabilités parmi les mesures de gestion des risques que prennent les entités essentielles et importantes. Le présent amendement inscrit donc cette exigence à l'article 14 et donc on est dans la transposition la plus totale de la directive telle que c'était demandé dans le cahier des charges de cette transposition depuis le début. Je vous remercie.

vous remercie. Votre avis sur le 144, M. le rapporteur

moi, il est satisfait, donc défavorable. Merci, Madame

la ministre.

Merci Madame la Présidente. Je vais revenir sur des arguments que j'ai déjà avancés, mais comme disait votre cher collègue M. Sapasteur, la répétition a des vertus. Il est satisfait, selon moi, votre amendement. C'est une disposition technique qui ne relève pas de la loi. Le référentiel RECIF demande la mise en place d'outils permettant la remontée de signalements de différentes sources, dont les clients et usagers des activités et services de l'entité. Donc c'est déjà précisé dans le référentiel. C'est par ailleurs déjà prévu dans le Cyber Resilience Act également, puisque dans le CRA, le CRA impose aux fournisseurs de produits et solutions logicielles de mettre en place une politique de divulgation des vulnérabilités avec un point de contact facilement accessible. Donc deux raisons tout à fait justifiées de repousser votre amendement. Un, c'est dans le référentiel RECIF porté par l'ANSI, et deux, c'est prévu au niveau européen au niveau du Cyber Resilience Act.

passe la mise aux voix de cet amendement. Quelqu'un double avis défavorable, qui est pour ? Qui est contre ? C'est adopté. On a une discussion commune. Le 392, M. Saint-Pasteur, allez-y.

Merci Madame la Présidente. J'ai l'honneur et le privilège de défendre cet excellent amendement de mon collègue Michael Boulou qui parle de l'OCINT. Qu'est-ce que c'est très concrètement ? C'est la possibilité d'avoir des recueils de données en open source. Un hôpital se fait attaquer, il veut savoir où sont passées ces données, il va faire appel à une société spécialisée qui va rechercher dans divers endroits et va potentiellement être exposée à un risque de recel. L'idée, c'est de sécuriser ces pratiques qui peuvent être vertueuses quand elles sont employées à bon escient. Et en ce sens, cet amendement, il fera œuvre utile pour lever une incertitude juridique qui peut être préjudiciable à la cybersécurité des entités attaquées. Je vous remercie.

vous remercie. Le 145, M. Latombe.

merci, Mme la Présidente. C'est un amendement qui va dans le même esprit et que j'avais évoqué lors de la discussion générale. L'article 14 transpose l'article 21 de la directive NIS2 et impose aux entités essentielles et importantes de mettre en place, je cite, des outils et des procédures pour assurer la défense des réseaux et des systèmes d'information et de gérer les incidents. Dans le texte que nous avions adopté en commission spéciale en septembre 2025, cette obligation pèse aussi sur les administrations de l'État chargées de la sécurité publique, de la défense et de la répression pénale, ainsi que sur les juridictions administratives et judiciaires. C'est l'article 14, première alinéa. Elle se prolonge dans l'obligation de notifier les incidents ayant causé l'extraction de données sensibles. Parmi ces outils figure la veille en sauce ouverte, notamment sur les fuites de données, que l'ENISA décrit comme une composante des mesures attendues. Le présent amendement précise que cette veille entre dans les mesures exigées par la loi, y compris lorsqu'elle porte sur des données publiées à la suite d'une cyberattaque. Il en tire la conséquence pénale. L'entité qui exécute son obligation directement ou par un prestataire accomplit un acte autorisé par la loi et ne peut pas être poursuivi pour recel. Ce dispositif, qui vise seulement les entités soumises au titre 2, ainsi que les prestataires éventuels qui permettent de remplir leurs obligations, est clarifié. juridiquement les choses, puisque aujourd'hui, ça n'est pas possible, parce que ça serait considéré comme du recel. C'est donc une contradiction de la loi que nous devons absolument régler.

vous remercie. Le 241 défendu, je vous remercie. Votre avis, s'il vous plaît, sur ces trois.

Alors, sur les trois amendements, j'aurais un avis défavorable.

Merci. Madame la ministre. Monsieur Bautorel, pardon, allez-y.

'est un sujet important, l'OSINT, l'Open Source Intelligence, l'Open Source Ouverte. Je ne crois pas que ça se traite ce soir à l'occasion d'un texte qui est la transposition de trois directives européennes. C'est un sujet qui ne concerne pas que les entités. D'ailleurs, quand vous discutez avec des magistrats, ils sont aussi en demande d'une clarification de la doctrine en matière d'usage des données qui sont des données de source ouverte. Je crois que ce sont des débats passionnants, passionnés, intéressants. qui mériteront d'être traités dans un texte de loi, mais un véhicule qui lui soit dédié. Il n'y a pas plus de raison d'avoir un CESBIS qui viendrait se greffer sur un test qui consacre NIS2, REC, DORA, qu'on aurait là une disposition aussi sympathique soit-elle, qui viendrait écrire, mais de manière d'ailleurs totalement incomplète, des dispositifs de nature à pouvoir finalement sécuriser l'usage des données qui finissent par être exploitées en source ouverte. Je donnerais un avis massivement défavorable. à ces amendements à ce moment-là du texte. Et je les soutiendrai dans un autre contexte, dans un autre véhicule, mais certainement pas dans le texte de ce soir. Je pense qu'on a déjà adopté un certain nombre de dispositions dans une forme d'élan ici qui seront probablement à corriger plus tard. Mais de grâce, ce sont ce qui est en train de s'opérer. Je vous en prie.

vous remercie, Madame la Ministre.

Merci Madame la Présidente. Je ne peux évidemment que rejoindre ce que vient de dire le rapporteur général. Un texte aussi important que la transposition de trois directives européennes ne justifie pas qu'on profite de l'occasion pour faire passer des amendements qui sont et qui portent sur des sujets extrêmement importants. Et le sujet, il est complexe. Ça nécessite une étude d'impact. Ça nécessite des débats beaucoup plus larges. Ils doivent faire l'objet de travaux dédiés avec une étude, comme je le disais, d'impact. Ils peuvent notamment s'appuyer sur les premiers enseignements tirés des travaux de la CNIL. Vous savez de quels travaux je parle puisque vous êtes membre de la CNIL. En complément, l'amendement n'est pas suffisamment précis. On ne peut pas, à la volée, faire adopter... par des parlementaires qui peut-être n'ont pas eu l'occasion ni le temps d'approfondir le sujet de l'osine, de le voter dans un amendement entre deux que vous avez réussi à obtenir, M. le Président. Lorsque l'entité importante ou essentielle recourt à un prestataire pour la réalisation des activités visées par l'amendement, et bien notamment... justement votre amendement n'est pas suffisamment précis sur ce point et par ailleurs n'est pas suffisamment précis non plus dans sa mise en oeuvre sur l'articulation. Quelle articulation entre l'autorisation au sens du L.122-4 du code pénal qui prévoit et le recel de données qui peut s'appliquer au contexte de recueil de l'analyse d'informations issues de la violation de données. Donc en fait moi je m'engage à travailler, comme d'ailleurs monsieur le rapporteur général vient le dire, sur le sujet de l'osine qui est un sujet aussi important que le 16 bis, mais pas là. entre deux articles, à la volée, ça mérite un vrai sujet approfondi, et en plus ça impacte largement au-delà de ce que vous souhaitez atteindre, toute une communauté, et donc ça nécessite ici que vous en parliez de manière sérieuse et longue dans cet hémicycle, mais certainement pas à la volée ainsi, donc c'est absolument également un avis défavorable.

vous remercie, M. Saint-Pasteur.

Madame la Ministre, Monsieur le rapporteur pour vos avis que je ne partage pas puisque en fait c'est quelque chose qui est demandé, c'est une logique plutôt de sécurisation dans un flou juridique qui place certaines entreprises spécialisées dans un entre-deux qui potentiellement peuvent l'être préjudiciables. Donc l'amendement tel qu'il a été porté par notre collègue Michael Boulou me semble... raisonnable, encadré et ne pas être l'épouvantail que vous avez décrit. C'est un progrès pour une clarification de pratiques qui peuvent être vertueuses une nouvelle fois dans le domaine de la cybersécurité.

vous remercie. Attendez, je n'ai pas terminé. Madame Lemoyne.

Oui, écoutez, moi j'ai été sensible aux arguments développés par le rapporteur et par la ministre. Je retire mon amendement.

Le 241 est retiré. Allez-y, monsieur le rapporteur.

Oui, juste pour répondre à monsieur St-Pasteur. Quand même, là, nous abordons des sujets, comme ça a été dit. Alors, je suis désolé, j'ai dit un avis défavorable rapidement, mais on aborde quand même des sujets d'ordre pénal. Je ne pense pas que ce soit le moment où on peut aborder ces sujets-là dans le cadre juste d'un amendement dans une loi qui, en plus, concerne une transposition directive, qui n'est pas dans la directive, d'ailleurs, ce que vous proposez. On est sur une sorte de transposition. Le débat... comme ça a été dit, mérite d'avoir lieu, mais il doit avoir lieu de manière éclairée, apaisée, en écoutant l'ensemble des acteurs, que ce soit leur chancellerie, que ce soit la CNIL. Donc, c'est pour ça qu'il ne me semble pas opportun, en tout cas, de pouvoir en débattre ce soir. Et à mon avis, on est hors cadre de la loi. Nous allons beaucoup plus loin que ce qui est prévu dans le texte et son équilibre. Donc, toujours, je maintiens mon avis défavorable.

Je vous remercie, monsieur Latombe.

Merci beaucoup. Je comprends que cela pose une question aujourd'hui de traiter l'osine. D'abord, la première des choses, c'est que nous en avions déjà parlé. Je suis désolé, Madame la ministre, avec votre prédécesseur, qui avait dit qu'on ouvrirait un travail. On n'a pas transposé la directive. Le travail n'a pas été ouvert. On ne va pas systématiquement payer les délais qu'on a pris sur cette transposition pour pouvoir toucher à ces sujets. C'est parfaitement dans le cadre de la directive, Monsieur le rapporteur. Dora y fait référence deux fois. dans ces considérants et impose aux entités de pouvoir partager des informations, par exemple des adresses IP qui pourraient venir interroger les systèmes de façon répétitive et certainement abusive. Il y a un partage de choses. Sur un certain nombre de sujets, vous dites qu'on ne peut pas en discuter comme ça. Ça veut dire qu'aujourd'hui, vous demandez à Palo Alto d'arrêter son activité en France ? Palo Alto aujourd'hui achète des vulnérabilités, achète des bases de données qui ont fuité pour pouvoir le mettre à disposition des entreprises qu'elles protègent de façon payante. On est sur du recel. Clarifions les choses. Disons simplement qu'aujourd'hui, quand on a des vulnérabilités et quand on a à partager ces informations, on doit pouvoir les partager sans que ce soit forcément du recel. Dans des conditions qui sont très claires, en disant que lorsque ça protège la vie privée, la protection des données à caractère personnel, les secrets protégés par la loi et les droits de propriété intellectuelle, ces axes sont autorisés par la loi. On est vraiment sur quelque chose qui est très mesuré et très cadré. Et aujourd'hui, les entreprises ont besoin de sortir de ce flou où elles ne servent pas. Et d'autres pays européens ont fait ce choix. la Belgique et l'Espagne notamment, et cet amendement est directement inspiré de ce qu'il y a dans les codes belges et dans les codes espagnols, remis dans notre code à nous, mais c'est exactement ce que d'autres pays européens ont fait, et notamment à l'occasion de la transposition de Nice 2 pour la Belgique.

Monsieur le Président, d'abord, je sais votre application sur ce sujet. Je ne doute pas que vous y avez travaillé avec beaucoup de sérieux. Je dis simplement qu'à l'occasion de l'examen de ce texte, y compris avec les éléments de sécurisation dont vous pensez qu'ils sont suffisants, Moi, je vous le dis, il n'y a pas d'étude d'impact. Donc, quand vous nous dites ici, c'est sérieux parce qu'on dit que c'est encadré par tel ou tel dispositif, pardon de vous le dire, je n'ai pas l'assurance que l'écriture que vous avez proposée n'est pas trop large à certains égards. Et pour le coup, ça emporterait des externalités négatives, telles que parfois on utilise le vocabulaire. Et puis, s'agissant des données, bien évidemment qu'il y a des données qui vont être partagées. Ça, ce n'est pas un fait nouveau et ce n'est pas simplement sous l'impulsion de l'INISA. Donc, le sujet de l'OSIN, ce n'est pas unique. Et ce n'est pas exclusivement le partage de la donnée. On ne peut pas imaginer que parce qu'on n'adopterait pas cet amendement-là, on ne serait pas en mesure demain de lutter contre la cybercriminalité parce que les uns et les autres seraient empêchés de se partager des informations. Pardon, je pense que là vous ouvrirez. Vous ouvrez quelque chose dont vous ne mesurez pas, y compris par les éléments de sécurité dont vous mentionnez qu'ils sont suffisants. Je vous le dis, il n'y a pas d'étude d'impact et je ne suis pas persuadé que finalement, il n'y aura pas d'impact négatif à l'adoption d'un amendement tel que celui-là. Avec tout le respect que j'ai du travail que vous avez fait par ailleurs.

Je vous remercie. Madame la ministre, je passe la mise au voie.

vais être rapide, Madame la Présidente. Moi, ce que je vous propose, Monsieur Latombe, parce que je sais que vous travaillez sur le sujet, ça mérite vraiment qu'on en approfondisse le contenu. les études d'impact, ce qu'on entend de les acteurs, qu'on y travaille de manière collective. Ma prédécesseur, je ne savais pas qu'elle avait envisagé avec vous de travailler sur ce sujet, mais moi je vais vous renouveler cette proposition-là à ce moment-là. Moi je vous propose de retirer ces amendements et je m'engage à l'issue, la sortie de l'UPJL Résilience, de travailler dans le cadre de mon ministère avec vous et les acteurs sur ce sujet qui méritent vraiment qu'on en travaille, qu'on travaille sérieusement et pas à la volée. C'est un sujet trop important et trop... Grave, merci.

vous remercie. Je passe à la mise au voie de ces amendements qui recueillent un double avis des favorables commissions au gouvernement. Et c'est à main levée, je pense, par le 392. Qui est pour ? Qui est contre ? C'est rejeté. Et l'amendement numéro 145, qui est pour ? Qui est contre ? C'est adopté. On poursuit avec l'amendement numéro 100. Monsieur Saint-Pasteur, allez-y.

Merci Madame la Présidente. Cet amendement part d'une réalité trop souvent négligée en matière de cybersécurité. Nous sommes aussi vulnérables que le plus fragile des maillons dont nous dépendons. Si nous prenons un logiciel, il peut investir massivement dans la protection des systèmes informatiques, mais si son fournisseur d'électricité connaît une défaillance, si des télécommunications sont interrompues, c'est potentiellement la continuité des soins qui est menacée, dans l'exemple d'un hôpital. Notre amendement vise donc à ce que les mesures de sécurité intègrent explicitement ces interdépendances, mais aussi les conditions nécessaires au rétablissement des services. On voit bien que des coupures d'électricité ou des défaillances dans le domaine... peuvent avoir des conséquences extrêmement fortes par rapport à des systèmes dont la résilience en termes d'autosuffisance alimentaire notamment sont extrêmement discutables.

remercie votre avis.

Oui, monsieur le député, je partage totalement votre préoccupation, mais je vais émettre un évident favorable pour plusieurs raisons. La première, c'est que la continuité des activités et la sécurité de la chaîne d'approvisionnement figurent parmi les 10 mesures de l'article 21. C'est que l'ANIA 4 impose. déjà de garantir la résilience des activités, des réseaux et des systèmes d'information. Et la troisième raison, c'est que les dépendances physiques des opérateurs critiques sont traitées, comme on en parlait tout à l'heure, dans le cadre notamment des câbles sous-marins, déjà au titre 1 de la présente loi que nous avons votée tout à l'heure.

remercie votre avis.

Demande de retrait ou avis défavorable.

Merci, Madame la Ministre. Avis défavorable. Il est retiré ? Il est retiré. Je poursuis avec une série d'amendements identiques. Le 146, monsieur Latombe. Défendu. Défendu. Le 375, madame Dariussec. Défendu. Votre avis sur ces amendements identiques ? Défavorable, madame la ministre ? Défavorable. Défavorable. Je passe l'avis aux voix de cet amendement. D'aujourd'hui, défavorable qui est pour ? Qui est contre ? C'est adopté. Autre série d'amendements identiques, le 278, madame la ministre. Merci

madame la présidence. Donc c'est un amendement qui propose de prescrire le recours à des produits, services ou processus certifiés au titre du règlement UE 201, 19, 881 pour les acteurs concernés par l'article 14.

vous remercie. Le 196, monsieur Thiebaud.

a été déjà très bien défendu.

Défendu. 222, M. Bautorel. Défendu. Votre avis, je pense qu'il est favorable tous les deux.

vous confirme qu'il est favorable.

Favorable également. Je passe à la mise au voie de ces amendements qui est un double avis favorable. Qui est pour ? Qui est contre ? C'est adopté. Sur l'ordre de l'amendant 40, je suis ici par le groupe La France Insoumise, il est demandé ce que c'est un public, ce que c'est annoncé dans l'ensemble de l'Assemblée nationale. Le 364, M. Bautorel. Défendu. Votre avis.

de retrait, défavorable.

Merci, madame la ministre. Je suis l'avis du rapporteur, défavorable. Il est retiré, le 364 retiré. 182, monsieur Bautorel, défendu, votre avis ?

Demande de retrait, défavorable.

Très bien. Donc demande de retrait, sinon défavorable. est retiré, le 182 retiré. Remandeur numéro 40, monsieur Saint-Martin.

Merci Madame la Présidente. C'est un amendement qui vise à astreindre les entités essentielles en matière de cybersécurité, à avoir recours à des solutions locales en matière d'hébergement des données et qui nous permettra d'améliorer la sécurité, plus particulièrement si nous assurons que ces solutions de stockage ne sont pas gérées par des entreprises soumises à des lois extraites. extraterritoriales comme celle des GAFAM, auxquelles elles se soumettent par exemple. C'est le cœur du sujet, ne peut pas prétendre garantir l'intégrité numérique du pays au simple prétexte d'y déployer des infrastructures de stockage de données si dans le même temps, les entités qui stockent nos données sont soumises à ce type de législation étrangère ayant des effets extraterritoriaux. J'ai indiqué un certain nombre d'illustrations et d'exemples dans l'exposé sommaire des motifs. qui incline précisément à garantir cette sécurisation.

Et avant que vous repreniez, s'il vous plaît, sur le vote de l'amendement 39 pour la France, il se demande de scrutin public, de scrutin dans le sein de l'Assemblée nationale. Allez-y, monsieur le rapporteur, pour votre avis sur le nom de l'Euro 40.

Merci, madame la présidente. Je vais mettre un avis défavorable pour la simple raison que vous restreignez la libre prestation de service et que, du coup, ce n'est pas conforme à l'article 56 du traité sur le fonctionnement de l'Union européenne. Or, l'article 5 de la directive n'autorise des mesures nationales plus strictes que si... et sont compatibles avec le droit de l'Union. Donc dans ce cas, je vous donnerai un avis défavorable.

vous remercie, Madame la Ministre. Je vous remercie. Je passe à l'avis de l'amendement 40 qui recueille un double avis défavorable. C'est un scrutin public. Pardonnez-moi, le scrutin est ouvert. Le scrutin est clos. Voici le résultat du scrutin. Votants 67 et 65, majorité 33 pour 36 contre 29. L'Assemblée nationale a l'adopté. Monsieur Pilato.

Merci Madame la Présidente. Alors nous avons été très prudents puisqu'il s'agit là du matériel physique. Nous voulons ajouter après l'alinéa 7. Les entités mentionnées au premier alinéa du présent article doivent dans la mesure du possible. avoir recours à des solutions locales d'hébergement des données afin d'assurer le plus haut niveau de protection de sécurité de ces dernières. En effet, par cet amendement, le groupe LFI souligne à nouveau l'importance de la préservation de la sécurité de l'hébergement de nos données numériques en ayant recours à des solutions locales d'hébergement de ces dernières. Pourquoi ? Parce que quand on s'en remet... à des grands centres de données, les clouds, qui ont des capacités énormes, qui consomment énormément et qui sont vulnérables, on va le dire, s'ils sont attaqués. Alors que la résilience dans n'importe quel système qui doit survivre et qui doit être assez fort, assez robuste, ce sont plutôt des petites entités et qui pourraient être vraiment gérées. par les entités locales et leurs serveurs locaux et les données protégées sur des serveurs franco-français. Voilà, donc nous vous proposons, ce n'est pas contraignant, dans la mesure du possible, de pouvoir privilégier cette solution. Je vous remercie.

vous remercie. Votre avis, s'il vous plaît, sur le 39.

merci, Madame la Présidente. On pourrait partager le fonds et c'est très louable comme volonté, mais je vais quand même être un avis défavorable. Déjà, la sécurité et l'hébergement dépend des mesures mises en œuvre, pas de sa localisation. De plus, la notion de solution locale n'est pas très définie et, dans la mesure du possible, n'a pas de portée normative. De plus, moi, je crois à la diversité des solutions, qu'elles soient... de toute taille, de façon adéquate. Et je ne suis pas sûr qu'une myriade, remplacer des grosses entités par des myriades de petites entités, soient les meilleurs moyens de les contrôler, de s'assurer aussi de leur consommation et des impacts qu'elles peuvent avoir sur l'environnement. C'est un peu le débat que nous avons en logistique entre les grands entrepôts de logistique et des myriades et des centaines de petits entrepôts. Au final, il faudra bien se poser la question de ce qui est le mieux, le plus facile à contrôler et à gérer. Donc avis défavorable.

vous remercie, Madame la Ministre, le 39. Défavorable. Je vous remercie, Monsieur Pilato, allez-y.

Je suis désolé, mais si vous vous intéressez un petit peu à tout ce qui est fonctionnement, sécurité militaire et tout, vous verrez que ce qu'il y a de plus résilient, et l'Internet le montre. L'Internet, c'est quelque chose qui a été fait pour emmener une information d'un point A à un point B, quels que soient les obstacles. Si ça avait été deux grosses entités qui communiquent, l'Internet n'aurait jamais vu le jour. Donc si vous voulez avoir vraiment en cybersécurité... quelque chose de robuste, il ne faut pas des grosses structures, il faut des petites structures ciblées, adaptées aux besoins locaux. Donc j'insiste vraiment.

-y, monsieur le rapporteur.

Écoutez, je vais vous répondre, puisque si vous m'envoyez sur les sujets militaires, une des forces de l'armée, effectivement, ça ne peut pas être la multiplication de certains sujets, mais un des points essentiels, notamment de la qualification du niveau de sécurité, notamment des data centers ou des centres de stockage, c'est le niveau d'accès. parce qu'on parle toujours de la technologie, mais d'accès physique. Et si on veut répondre à des niveaux de contraintes d'accès physique restreints, c'est-à-dire qui garantissent un niveau de sécurité type tier 4, tier 4+, je vous garantis que ce n'est pas que des myriades de petits serveurs que vous aurez à autre. Vous aurez beaucoup de mal à gérer l'accès physique et à le contrôler. Et on peut le voir que par rapport à des grosses entités. Je pense qu'il faut un mix de tout. Et c'est pour ça que je dis votre amendement ne va pas dans ce sens-là. Et en plus, les termes de solution locale, comme je l'ai dit, et même au niveau du droit, il n'y a pas vraiment de portée normative. Qu'est-ce qui est local, pas local ? Grosse interrogation quand même sur ce sujet-là. Donc pour ces raisons-là, je n'ai rien d'avis défavorable.

Je vous remercie. Monsieur Pribetich, allez-y.

la Présidente, Madame la Ministre, je voudrais venir en soutien de l'amendement de notre collègue Pilato. Lorsque l'on enseignait dans les années 80, on fait les transmissions, on avait plutôt la sensation et la volonté de transmettre une information de point à point. Et le cas sûr, et notamment l'arrivée d'Internet, a permis justement, en diversifiant les pistes, d'assurer une sécurité de la transmission. L'idée qui est proposée par M. Pilato et ses collègues, c'est justement de reproduire cette division qui permet d'assurer une forme de sécurité parce qu'en l'espèce, seule une partie des données seront ainsi impactées en cas d'attaque. Je pense que c'est un amendement plus que de bon sens qui va dans le sens de l'histoire, qui décentralise notamment la sécurité à la fois de la transmission d'informations et des informations.

vous remercie. On passe à la mise aux voix dès le moment 39, car qu'un double avis défavorable, c'est un scrutin public. Le scrutin est ouvert. Le scrutin est clos. Voici le résultat du scrutin. Votant 68, exprimé 65, majorité 33 pour 22, contre 43, la semaine nationale ne l'a pas adopté.

On

poursuit avec une série d'amendements identiques. Le 280, madame la ministre. Le 281. Il faut le présenter. Le 281 du couvert devant. Défendu, pardon madame. Défendu, très bien. Le 225, monsieur Bottorel, est défendu aussi. Très bien, il est défendu. Donc votre avis est favorable et madame la ministre, je suppose également, c'est le vôtre. Je vais passer à la mise au voie de cette série d'amens identiques qui recueille un double avis favorable, qui est pour, contre, c'est adopté. Sur le vote des amendements 81, 319 et 320, je suis saisie pour le premier par le groupe socialiste et pour les deux derniers par le groupe rassemblement national du monde de scrutin public. Les scrutins sont annoncés dans l'ensemble de l'Assemblée nationale. Chez le 150, M. Latombe, défendu. Votre avis, s'il vous plaît, M. le rapporteur Mme la ministre, 150.

Merci Madame la Présidente. Je donnerai un avis défavorable, mais je vais expliquer pourquoi. En fait, c'est parce que c'est redondant avec la liste des prestataires et services certifiés et qualifiés par l'ANSI pour lesquels le projet de loi permet aux entités qui ont recours de s'en prévaloir lors d'un contrôle pour démontrer leur conformité ou au moins montrer qu'ils sont dans les démarches de conformité à toute ou partie d'objectifs de sécurité. Par ailleurs, c'est redondant également avec le label de confiance qui permet aux entités de bénéficier d'une présomption de conformité. L'objectif de cette liste n'est pas précisé et créer une charge supplémentaire pour l'administration. Pour toutes ces raisons, je donnerai un avis défavorable.

Madame la Présidente. Amendement d'appel, mais aussi de... d'une certaine forme d'éthique et de cohérence intellectuelle qui vise à mettre un délai de mise en conformité pour les entités concernées à trois ans. C'est une préconisation de l'ANSI lorsqu'on avait eu l'audition de son directeur. Et je trouve que c'est un délai qui paraît raisonnable au regard du temps que nous avons pris pour procéder à la transposition. On a fait deux plus deux, quatre ans. Là, trois ans, ça paraît être un délai raisonnable. Donc j'aimerais bien avoir votre éclairage, Madame la Ministre, sur... justement ce calendrier pour savoir quand les entités seront potentiellement exposées à des sanctions.

vous remercie. Votre avis sur cette discussion commune

ce serait une demande de retrait ou un avis défavorable, car nous sommes déjà été impactés par la Cour de justice européenne. Là, on remerait très encore un autre délai. Le but, c'est que le texte puisse être promulgué le plus rapidement, avec les décrets le plus rapidement, parce que nous sommes déjà, vous l'avez bien signalé, bien en retard. Je pense qu'il faut, et peut-être la ministre va nous répondre sur un éventuel calendrier. Je laisserai plutôt la ministre répondre sur la partie détail, mais en tout cas, pour ma part, ce sera une demande de retrait ou un avis défavorable. Pour les deux amendements, le 183 et le 80.

Madame la Présidente. Je vais donner un avis défavorable à votre amendement. Pourquoi ? Parce que c'est inconventionnel. C'est-à-dire qu'il n'est pas possible d'inscrire les délais dans la loi. C'est confirmé par la Commission européenne et par le Conseil d'État. Néanmoins, le directeur général de l'ANSI, lors de son audition à la Commission spéciale il y a quelques semaines, a affirmé que les stratégies de contrôle seraient progressives en fonction de la nature des obligations, de la criticité des entités, avec un objectif de conformité pour toutes les entités pour fin 2028. La publication par l'ANSI de sa stratégie de contrôle dans le prolongement de la promulgation de la loi correspond également à ce besoin de transparence et notamment donne le temps aux entités de se préparer. Donc je vous propose de le retirer sinon défavorable.

Merci Madame la Ministre. Je n'ai pas de compétence suffisante pour caractériser la dimension inconventionnelle de cet amendement. Par contre, ce que je peux caractériser, c'est que je trouve dommage. que l'on mette la pression sur les entités concernées, alors que nous-mêmes, nous avons, et je le dis avec un peu de gravité, procrastiné par rapport à cette transposition. Je trouve qu'il y a une certaine forme d'injustice. On va demander beaucoup aux entités, on va demander beaucoup à un écosystème qui va être extrêmement stimulé par rapport aux exigences qui sont portées par ces transpositions et on va leur mettre deux ans de délai pour couvrir par rapport à ce qu'a dit le directeur. Moi, je vous demande, je vais retirer cet amendement, mais par contre, je vous demande très sincèrement de réfléchir à la mise en œuvre opérationnelle des obligations qui sont prévues dans ces transpositions parce que ça risque de laisser certaines entités sur le côté et je n'imagine même pas qu'elles puissent être sanctionnées alors que nous-mêmes, nous avons pris tant de temps pour procéder aux transpositions.

Donc, le 81 est retiré, le 183, on le conserve, M. Boutourel ? Oui. Quel était votre avis sur le 183 ? Parce que c'est en discussion commune. Même avis. Très bien. Je passe à la mise au voie de cet amendement. Le 183 qui a un double avis défavorable. C'est à main levée. Qui est pour ? Qui est contre ? C'est rejeté. A maintenant au numéro 378, M. Bénard.

Merci, Madame la Présidente. Nous partons d'un constat simple. Beaucoup de communes et d'intercommunalités n'ont ni les équipes, ni les compétences, ni les budgets, ce que je disais tout à l'heure, pour se mettre en conformité du jour au lendemain. Alors la Commission a prévu un soutien de l'État et une concertation avec les associations d'élus, c'est bien, mais il faut aussi du temps. Et nous proposons deux ans pour bâtir une trajectoire progressive, un diagnostic initial. une évaluation des moyens nécessaires, une feuille de route et des jalons adaptés à l'exposition au risque de chaque collectivité. Ce n'est pas un moratoire. Les obligations de sécurité s'appliquent, la notification des incidents aussi, et l'ANSI garde ses pouvoirs face aux menaces. Il s'agit seulement de rendre la loi applicable. Alors, si l'Etat ne met pas d'argent, qu'il donne au moins du temps à ces collectivités.

vous remercie. Votre avis, s'il vous plaît.

de retrait ou un invité favorable.

Merci, Madame la Ministre.

Merci, Madame la Présidente. Donc, en fait, la stratégie de contrôle qui a été annoncée par le directeur de l'ANSI prévoit bien que ces contrôles s'effectuent de manière progressive sur deux ans. C'est la période que vous sollicitez vous-même. Par ailleurs, le référentiel, donc Récif, il est disponible depuis le mois de mars. Et dans toutes ces interventions, le directeur de l'ANSI, moi-même, tous ceux qui sont mobilisés sur le sujet de la cybersécurité, nous disons aux entreprises, aux entités, n'attendez pas la transposition de la loi pour vous mettre en conformité. Donc c'est vrai qu'il y a eu, je pense, aussi des mises en conformité qui ont été faites sur la base de RECIF, donc du référentiel, qui fait que ça ne va pas être, je pense, pour. c'est-à-dire que les 15 000 entités ne vont pas tout d'un coup s'y mettre là, maintenant. Il y a eu beaucoup, beaucoup déjà de travail de mise en conformité qui a été fait. Et puis, comme je vous le dis, ça va être progressif sur deux ans, pas question de sauter sur les entités là, dès que le texte est transposé.

Merci. Je passe à Valérie Sevoix, c'est un amendement qui recue un double avis défavorable. C'est un main levée qui est pour. Qui est contre ? C'est rejeté. Pendant numéro 319, vous ne présentez que 320 peut-être

Ces amendements visent à renforcer encore une fois notre souveraineté numérique en protégeant nos données sensibles. Aujourd'hui, les données les plus sensibles sont protégées contre les lois extraterritoriales, mais pourquoi pas inclure les hôpitaux, les opérateurs électriques et les réseaux d'eau. Il faut les protéger contre le cloud acte, par exemple, et l'amendement 320, c'est le même amendement, mais sauf qu'on donne un délai de trois ans pour les acteurs, pour qu'ils se mettent en conformité.

Votre avis, s'il vous plaît, sur cette discussion commune

ce serait une demande de retrait. Sinon, un avis défavorable, comme je l'ai dit, ce n'est pas un texte sur la souveraineté.

Merci. Madame la ministre

Madame la présidente. Je vais vous répondre. C'est disproportionné, donc je vais vous donner un avis défavorable. La finalité de la directive ministre 2 vise à protéger les entités assujetties contre une cybercriminalité de masse. Pas de finalité de sécurité nationale. Et par ailleurs, c'est un coût d'un hébergement Seignum Cloud élevé, qui pourrait limiter la capacité de ces entités à mettre en œuvre des mesures pourtant prioritaires pour se protéger contre des attaques cybercriminelles, à l'instar des violations de données récentes. Donc c'est disproportionné, coût trop important, donc avis défavorable.

vous remercie. Je passe à la mise au voie de l'amendement 319. C'est un scrutin public. Je rappelle double avis défavorable. Le scrutin est ouvert. Le scrutin est clos. Voici le status du scrutin. Votant 65 et 63, majorité 32 pour 24 contre 39. L'Assemblée nationale n'a pas adopté. Et on poursuit avec l'amendement suivant. C'est toujours un scrutin public. Le 320. Le scrutin est ouvert. Le scrutin est clos. Voici le résultat du scrutin. Votant 66, 64, majorité 33 pour 23 contre 41, l'Assemblée nationale n'a pas adopté. Et on passe à la mise au voie de l'article 14. Et c'est à main levée. Qui est pour ? Qui est contre ? C'est adopté. On poursuit avec l'article actionnel après l'article 14, le 322, M. Sabatouf. M. Salmon, allez-y.

Oui, merci, Madame la Présidente, Madame la Ministre, Monsieur le Président, Messieurs les rapporteurs. Le projet de loi ne fixe aucun délai de mise en conformité. Lors des auditions devant les commissions spéciales des deux assemblées, aussi bien le gouvernement que l'ANSI ont indiqué que les entités disposeraient de trois ans pour se conformer à leurs obligations, mais il n'y a aucune traduction juridique dans le texte de loi que nous étudions. De plus, le 1er octobre, le directeur général de l'ANSI a indiqué lors de son audition que la conformité complète sera demandée d'ici la fin 2028. Donc cet amendement inscrit dans la loi le délai annoncé de trois ans lors des commissions à compter de la publication du décret. A noter que l'obligation de notifier les incidents prévus à l'article 17 s'applique sans délai.

Merci. Votre avis, s'il vous plaît, sur le 322.

Madame la Présidente, je vais mettre un avis défavorable. Effectivement, l'amendement est juridiquement fondé. L'inclusion des départements et des communes résulte d'un choix national, mais il crée un régime différencié au sein des entités assujetties. La progressivité doit être identique pour tous et relevée de la pratique de l'ANSI. Le soutien aux collectivités figure déjà dans la stratégie nationale. Ce sera une demande de retrait ou alors un avis défavorable.

Je vous remercie. Votre avis, madame la ministre ? Défavorable. Je passe la mise au voie de cet amendement car il y a un double avis défavorable. C'est à main levé. Qui est pour ? Qui est contre ? C'est rejeté. On a une discussion commune avec un amendement qui est un sous-amendement, le 379. Monsieur Bénard, allez-y.

4. La Commission a inscrit à l'article 14 l'objectif de minimiser nos dépendances technologiques. Cet amendement lui donne une traduction concrète puisque lorsque les entités essentielles et importantes externalisent leurs services numériques, nous proposons qu'elles recourent en priorité à des prestataires qui remplissent deux critères objectifs. Ils doivent être qualifiés par l'ANSI pour la prestation concernée et assujettis en France à l'impôt sur les sociétés. Cette préférence est encadrée. Quand aucune offre ne répond à ces critères, l'entité peut recourir à un autre prestataire avec l'autorisation express de l'ANSI et après avoir démontré l'absence d'offre. Il n'y a donc aucun risque de rupture de service par un tel amendement. Sécuriser nos infrastructures critiques et, dans le même mouvement, soutenir une filière française de confiance, tel est le sens de notre démarche. Minimiser nos dépendances ne peut rester un vœu pieux. C'est pourquoi je vous invite à voter cet amendement.

vous remercie. Sous amendement 405, M. Latombe.

merci, Mme la Présidente. Il s'agit de rajouter aux deux critères demandés par notre collègue un critère de non-condamnation en vertu de l'article 32 du règlement de l'Union de 2016. Il serait normal que, si on confie à un prestataire externe, on s'assure qu'il n'ait pas été condamné pour un manquement à la sécurité, au-delà de la qualification qu'il pourrait avoir par ailleurs.

vous remercie. Le 385. Monsieur Bénard. Défendu ? Défendu. Votre avis, s'il vous plaît. Alors,

sur les deux amendements, 319 et 385, je donnerai un avis défavorable, ainsi que sur le sous-amendement de M. Latombe. Pour la raison principale, notamment pour le 379, c'est que votre amendement est contraire aux articles 49 et 56 du traité sur le fonctionnement de l'Union européenne. Et de plus, une autorisation de l'ANSI pour tout autre prestataire posera une charge disproportionnée à environ 15 000 entités, et notamment à l'ANSI directement. Donc voilà, une demande de retrait ou alors un avis défavorable.

Merci, madame la ministre. L'avis défavorable sur tout.

Défavorable, oui, sur tout.

Je vous remercie. Je passe à la mise au voie du sous-amendant 405, qui est un double avis défavorable. Qui est pour ? Qui est contre ? On va faire un scrutin public, s'il vous plaît. Sous-amendant 405, je rappelle, le double avis défavorable. Le scrutin est ouvert. Le scrutin est clos. Voici le résultat du scrutin. Votant 62, exprimé 61, majorité 31 pour 36 contre 25, l'Assemblée nationale a adopté. Je passe à la mise au voie de l'amendement 379, qui recueille également un double avis défavorable commission gouvernement, qui est pour, qui est contre. C'est adopté, ça fait donc tomber le 385. On poursuit avec l'article 15, avec une discussion commune. J'ai le 323, M. Sabatou.

Présidente, amendement rédactionnel, donc défendu.

'accord. Le 209, M. Thiebaud.

Rédactionnel.

Rédactionnel, 226, M. Bautorel. Pareil. Donc votre avis sur ces 3 amendements, s'il vous plaît. Favorables pour les 3 ? Je vous remercie, Madame la Ministre. Favorables pour les 3, 323. Je passe à l'avis au roi du 323, qui a un double avis favorable, qui est pour, qui est contre. Il est adopté et fait donc tomber les autres. Le 152, M. Latombe.

Je vais défendre, si vous voulez bien, les trois amendements qui sont dans le même état d'esprit. L'idée, c'est de pouvoir, dans l'amendement 152, dire que l'ENISA, qui a publié le 26 juin un guide technique d'implémentation de la directive NIS2, pour les entités qui sont visées par cette directive et qui ont des activités dans un autre pays de l'Union européenne, Et puis, plus largement, dans la perspective de l'évolution de la réglementation européenne et l'avènement probable d'un futur règlement européen, il est proposé que le référentiel technique produit par l'agence européenne, l'ENISA, puisse être utilisé comme référence par les personnes visées à l'ELINEA 1 de l'article 14. Il en va de même pour le 153. Et quant au 154, c'est la question qui nous a été posée lors des auditions de façon très fréquente sur la question des équivalences de référentiels, puisque nous sommes dans un espace européen avec des autorités certifiantes qui sont différentes, l'ENISA, le BSI, le CCB, le CCN, un certain nombre d'autorités européennes. Et donc la vraie question, c'est comment est-ce qu'on peut avoir une reconnaissance d'équivalence ? pour éviter que des entreprises françaises qui ont par exemple des filiales dans d'autres pays européens aient à se conformer à 5 ou 6 référentiels différents alors même qu'ils ont un seul et même système d'information. On est dans la volonté de simplification pour l'ensemble des entités soumises à ce texte.

Je vous remercie. Votre avis pour ces trois amendements

sera une demande de retrait sinon défavorable.

Je vous remercie Madame la Ministre.

Madame la Présidente. Je vais reprendre chacun de ces amendements et expliquer pourquoi je suis défavorable pour les trois. Concernant le 152, intégrer les publications de l'ENISA dans les références techniques de l'article 15, l'article 15 prévoit déjà que tout référentiel pourra être reconnu par l'ANSI comme équivalent aux exigences du référentiel. mentionné à l'article 14. Cela comprend notamment les référentiels publiés par l'ENISA. Je vous dirais que c'est satisfait. La rédaction actuelle de l'article 15 permet donc déjà de satisfaire votre amendement, monsieur le Président. Concernant l'amendement 153, donc rendre équivalent au référentiel national des orientations techniques de l'ENISA pour l'application du règlement UE, c'est satisfait également dans son intention puisque l'article 15 prévoit déjà dans un cadre complet d'équivalence de permettre à une entité de se prévaloir de l'application de référentiels normes spécifications techniques nationales. européenne mais aussi internationale. Et par ailleurs, ça crée une insécurité juridique puisque l'intégration des orientations techniques relatives au règlement d'exécution ne peut être inscrite au niveau législatif. Cela acterait un principe d'équivalence qu'il revient à l'ANSI de déterminer au regard des conditions précisées par décret en Conseil d'État pris en application de l'article 15. Donc non seulement satisfait mais également insécurité juridique. Et enfin, sur le 154, il s'agissait de modifier l'article 15, en ajoutant la reconnaissance d'équivalence par les organismes européens. L'article 15 prévoit déjà que tout référentiel pourrait être reconnu par l'ANSI comme l'équivalent aux exigences du référentiel mentionné à l'article 14 et précisé par décret. Ces équivalences concernent bien les référentiels publiés par les organismes européens recommandant des référentiels exigeants équivalents. Et il est par ailleurs essentiel que l'ANSI soit l'autorité reconnaissant cette équivalence. pour la sécurité juridique du dispositif, mais aussi pour conserver la connaissance et la maîtrise au niveau national des règles applicables. Donc, pour toutes ces raisons, que ce soit pour le 152, 153, 154, avis défavorable ou demande de retrait ou avis défavorable.

Les trois, vous retirez, M. Latombe ? Les trois sont retirés. J'avancement numéro 184 de M. Boutorel. Défendu votre avis sur le 184. Défavorable. Madame la ministre ? Favorable. Favorable. Madame la ministre ? Favorable aussi. Je passe à la mise au voie de cet amendement qui a un double avis favorable. Qui est pour ? Qui est contre ? C'est adopté. Je passe à la mise au voie de l'article 15 qui est pour ? Contre. Adopté. On poursuit avec l'article 16. Série d'un amendement identique, le 283. Madame la ministre.

Merci Madame la Présidente. Alors l'amendement que je vous propose et qui est donc identique à celui du rapporteur général et le député Éric Bottorel consiste à prévoir un décret qui précisera les conditions de reconnaissance d'équivalence des normes et spécifications techniques européennes ou internationales pour les opérateurs d'importance vitale.

Je vous remercie. Le 227, Monsieur Bottorel. Défendu votre avis sur cet amendement identique ?

Favorable.

Favorable, madame la ministre favorable. Je passe à mise au voix de ces amendements qui requinent un double avis favorable, qui est pour, ça m'a levé, qui est contre, c'est adopté. Amendement numéro 155, monsieur Latombe. Le 155 est retiré. Il est

retiré ce qui a déjà été voté dans un autre article. Le 156 qui vient après vise à prendre en compte le rôle stratégique des systèmes de détection des menaces en permettant, comme pour les OIV, la définition d'exigence spécifique pour ces services et solutions. En effet, contrairement à la loi française qui prévoit un traitement spécifique pour les solutions de détection eues guère à leur caractère stratégique, Nice 2 ne procède pas à une hiérarchie explicite en fonction des technologies utilisées. Pourtant, les obligations strictes qu'elle impose en matière de notification des incidents rendent pratique obligatoire l'utilisation des systèmes de détection des menaces performantes. Dans ce contexte, cet amendement prévoit la définition par l'État d'exigences spécifiques pour les systèmes de détection des menaces. Celle-ci pourrait être mise en place via la qualification déjà existante de l'ANSI pour les OIV, le visa de sécurité. ou un référencement par une fédération professionnelle représentative du secteur, comme l'ACN ou d'autres fédérations. Je vous remercie.

Je

vous remercie. Votre avis, 156

sera une demande de retrait ou sinon défavorable, car c'est une surtransposition.

Je vous remercie, Madame la Ministre, 156

Demande de retrait au profit du 64 d'Éric Bottorel un petit peu plus tard.

vous remercie. Il est retiré, le 156. On passe au 325, monsieur Sabatou.

Merci, madame la présidente. C'est un amendement rédactionnel. Il est écrit dans la loi. Ces exigences peuvent également prévoir la réalisation régulière d'audits de sécurité réguliers. Voilà, il faut faire sauter un des deux réguliers.

vous remercie. Votre avis, s'il vous plaît. Favorable. Madame la ministre, 325. Défavorable. Défavorable. Je passe à la mise au voie de cet amendement. Quelqu'un est favorable de la commission défavorable du gouvernement. Qui est pour ? Qui est contre ? C'est adopté. On a une discussion commune. Le 326, M. Sabatou.

Merci, Mme la Présidente. La situation précédente était assez lunaire. Je vous montre qu'il y a une faute dans la rédaction. Vous êtes incapable de donner un avis favorable. Bref. Ces amendements visent à protéger nos infrastructures critiques, comme d'habitude. Les audits de cybersécurité peuvent révéler des informations extrêmement sensibles sur nos organismes. C'est pourquoi nous pensons que ces audits doivent être exclusivement réalisés par des entreprises françaises ou à minima européennes dans l'amendement de repli.

vous remercie. Votre avis

demande de retrait ou un avis défavorable, toujours en désaccord avec les articles 49 et 56, notamment du traité qui est fondement de l'Union européenne.

Merci, madame la ministre.

madame la présidente. Monsieur Sabatou, je vais vous donner des explications à l'amendement précédent, si vous permettez, parce que j'en suis capable, en fait. Il y a bien une redondance, vous avez raison, il y a le mot régulier, désolé, deux fois. Mais il est légitime. Il est légitime parce qu'il existe des termes en usage de cybersécurité qui nécessitent dans certains cas d'utiliser deux fois le mot régulier. C'est le cas dans l'amendement précédent. L'expression communément utilisée en cybersécurité est réalisation d'audit de sécurité régulier, pas réalisation régulière. Je pense que ça peut peut-être répondre à votre interrogation, du moins je l'espère. S'agissant de cet amendement, c'est-à-dire le suivant, vous souhaitez modifier l'article 16 pour préciser que les organismes indépendants concernés doivent avoir leur siège statutaire, administration centrale et principal établissement sur le territoire national. La réponse que je vous fais est la suivante. avec un avis défavorable, c'est qu'imposer un critère de rattachement territorial au seul territoire national pour les organismes indépendants pouvant réaliser des audits de sécurité réguliers des OIV est contraire au principe de liberté de prestation de services consacré par le traité sur le fonctionnement de l'Union européenne. C'est le premier point. Le second, c'est que la protection des informations sensibles est toutefois assurée. Les informations issues des audits des OIV sont classifiées et donc soumises au régime de la protection du secret de la défense nationale qui impose notamment une procédure d'habilitation pour les auditeurs. Pour ces raisons, c'est un avis défavorable.

C'est rejeté. Mise au voie de l'amendement 327, Mme Amivem vote ? Oui. C'est rejeté aussi. On poursuit avec le 64, M. Bautorel.

Alors, s'inspirant de l'approche retenue par l'Allemagne dans le cadre de sa transposition de Nice 2 adoptée en 2025, le présent amendement vise à permettre pour les systèmes les plus sensibles la prise en compte... Du contrôle des fabricants d'équipements et composants numériques par un gouvernement, une autorité publique ou les forces armées d'un pays tiers. Compte tenu de la sensibilité des systèmes concernés, le présent amendement prévoit que les exigences spécifiques définies par le Premier ministre à l'article 16 peuvent inclure l'interdiction de certains composants ou produits à risque. Cette disposition vise à renforcer la protection des systèmes d'information régalien et à prévenir les risques de compromission ou d'ingérence susceptibles d'affecter les missions les plus sensibles de l'État. Je vous remercie.

vous remercie. Votre avis sur 64

vous remercie pour cet amendement. Vous pointez effectivement un sujet et un facteur de risque majeur. Donc je vous mettrai un avis favorable.

Ministre ? Sagesse. Je passe la mise au voie de cet amendement qui est un avis favorable de la Commission de sagesse du gouvernement, qui est pour, qui est contre, c'est adopté. Amendement numéro 42, M. Saint-Martin.

Madame la Présidente. Cet amendement, en cohérence avec un précédent amendement qui a été adopté, part d'un constat grave. Les données de l'ensemble de nos concitoyens sont menacées en puissance. Notre dépendance aux géants du numérique, notamment états-unien, fait peser la menace d'un transfert de nos données stratégiques vers des puissances étrangères. En clair, notre souveraineté numérique est menacée. En parallèle, le déploiement de centres de données sans aucune forme de planification sur le territoire... exacerbent les conflits avec les habitants de plus en plus, accélèrent l'artificialisation de terres agricoles, la crise de l'eau, d'explosion de la demande en énergie, sans garantir la souveraineté sur les données qu'ils abritent, puisque celles-ci sont bien souvent collectées par des entreprises soumises à des lois extraterritoriales. Cet amendement vise donc à répondre à cette situation de vulnérabilité généralisée en interdisant le recours à des logiciels effectuant le transfert de nos données vers des pays tiers dont le niveau de protection des droits fondamentaux ne serait pas équivalent à celui défini par le droit français et européen. Merci.

remercie votre avis.

Votre amendement pose deux problèmes. Le premier, c'est que la notion d'immunité ou de législation est extraterritoriale. n'a pas de définition juridique. De l'autre part, le quatrième alinéa de l'article 16, il permet déjà de prescrire des produits ou des prestataires de services qualifiés. Donc, ce sera une demande de retrait ou alors un avis défavorable.

vous remercie, Madame la Ministre.

la Présidente, je vais prendre le temps de parler de ce sujet qui est extrêmement important, effectivement, de protéger nos données face aux lois extraterritoriales. Donc, évidemment, le gouvernement partage cet objectif de se prémunir de ces menaces d'atteinte à nos données via des réglementations extra-européennes apportées extraterritoriales. Et c'est notamment le sens de la politique du cloud de confiance que nous avons abordé dans des articles précédents. Le cloud de confiance impose effectivement sur certaines données, notamment des données sensibles, des données publiques, d'être sauvegardées obligatoirement dans des clouds non soumis aux lois extraterritoriales, des clouds souverains, secnobcloud la plupart du temps, voire encore plus exigeants. L'article 16, il permet justement déjà... au Premier ministre de prescrire le recours à des dispositifs matériels ou logiciels ou à des prestataires de services certifiés, qualifiés ou agréés et rendre obligatoire dans tous les cas le recours à des solutions immunes de tout effet extraterritorial pour tout type de service serait manifestement disproportionné. En tout cas, le Premier ministre a la possibilité de le faire si besoin. Alors bien sûr, le rendre obligatoire est manifestement disproportionné. Le risque est plus ou moins important en fonction du type de service fourni, c'est-à-dire que tous les services ne se valent pas, c'est-à-dire qu'on n'est pas obligé de protéger tous les services des lois extraterritoriales. Il faut garantir également l'absence totale de risque, c'est très compliqué. Et puis enfin, le marché n'est pas prêt à répondre à cette demande à ce stade et le coût serait beaucoup trop important. Donc voilà, c'est pour ces raisons que je donnerai un avis défavorable.

On a une série d'années identiques. Le 157, M. Latombe.

Oui, merci, Mme la Présidente. Il s'agit pour cet amendement de garantir que la promotion de solutions de cybersécurité certifiées prévues à l'article 16 ne crée pas d'effet pervers défavorisant l'écosystème français ou européen de l'innovation et notamment les acteurs du logiciel libre et des PME. En effet, l'article 16 permet au Premier ministre de prescrire le recours à des solutions des services certifiés ou qualifiés par l'ANSI. pour les systèmes les plus sensibles de la nation, c'est un gage de sécurité, il n'y a pas de sujet là-dessus. Toutefois, il existe un risque avéré que les processus de certification, par leur complexité ou leur coût, favorisent de facto des grands éditeurs, souvent extra-européens, au détriment d'alternatives innovantes et souveraines. Le présent amendement vise à prévenir ce risque en prévoyant une obligation... pour l'ANSI de concevoir un processus de qualification équitable et ouvert. Il s'agit notamment de s'assurer que l'évaluation est fondée sur le mérite technique. Les critères doivent être objectifs et basés uniquement sur la robustesse et la sécurité de la solution, indépendamment du modèle économique libre propriétaire de la taille du fournisseur. Et puis, les barrières à l'entrée sont ainsi réduites. Les modalités ne doivent pas constituer un obstacle insurmontable pour les PME, les structures, qu'elles soient associations, fondations, qui portent de nombreux projets de logiciels libres. Et ça, c'est en cohérence avec l'esprit de l'article 16 de la loi pour une république numérique qui encourage leur utilisation.

vous remercie. Le 369. Madame Dariussec. Défendu votre avis sur cette série d'un moment identique.

je vais faire une demande de retrait, mon avis défavorable. Déjà, vous l'avez évoqué, on a entre les lignes un sujet de souveraineté. Ce n'est pas un texte sur la souveraineté. Et d'autre part, les principes d'objectivité, de transparence et d'égalité de traitement s'imposent déjà à l'ANSI, comme à toute autre autorité administrative. Et d'autre part, je voudrais quand même qu'on s'attarde juste deux secondes sur ces notions de logiciel libre pour y avoir travaillé pendant plusieurs années. Le logiciel libre ne veut pas dire forcément souveraineté. Il ne veut pas dire forcément non plus liberté. Je vous rappelle quand même qu'il y a différents types de licences en logiciel libre. Même si vous n'êtes pas dépendant d'un éditeur, vous pouvez être dépendant d'un prestataire et de manière assez forte, qu'il soit souverain ou pas souverain. C'est quand même aussi un sujet. Donc voilà, pour différentes raisons, je vous ferai une demande de retrait ou alors un avis défavorable.

vous remercie. Madame la ministre.

Merci, Madame la présidente. De la même manière, j'irai dans le sens du rapporteur thématique, retrait sinon rejet. Je vais tout simplement peut-être... Argumenté sur ce point, l'open source, les PME innovantes ont un rôle essentiel pour le numérique. Le sujet de l'open source a été clairement à l'ordre du jour du G7 numérique, dont nous avons la présidence jusqu'à fin décembre, le G7 de manière globale et donc moi-même le G7 numérique jusqu'à fin décembre. C'est un sujet qu'on a vraiment porté au plus haut niveau international. Le pacte IA et numérique, désormais mis en œuvre par la DINUM. Le gouvernement travaille avec la filière numérique autour de briques open source pour répondre à des besoins prioritaires, y compris cyber, de l'Etat. Plus spécifiquement, des actions concrètes ont été également mises en œuvre pour faciliter l'accès de ces acteurs aux dispositifs d'évaluation et de certification, notamment par le financement de projets de certification. Les dispositifs existants garantissent déjà l'égalité d'accès et le strict respect du droit national et européen. Une obligation législative générale pourrait limiter la capacité de l'ANSI à adapter ses exigences d'évaluation aux risques et aux impératifs de sécurité nationale. Enfin, l'agrément prend en compte des risques liés à la sécurité nationale qui ne peuvent pas par nature être transparents. C'est pour ces raisons que je vous mettrai un retrait, sinon avis défavorable.

vous remercie. Je passe la mise aux voix de ces amendements qui créent un double avis défavorable. C'est ta main levée qui est pour ? Qui est contre ? C'est adopté. Dans une discussion commune, le 158, M. Latombe.

merci Madame la Présidente. Cet amendement vise à garantir le maintien des exigences en matière de sécurité et de confiance des systèmes et des prestataires de détection des incidents de sécurité pour les OIV au niveau équivalent à celui en vigueur. En effet, depuis la loi de programmation militaire de 2013, les OIV doivent avoir recours à des systèmes et prestataires de services de détection des incidents de sécurité et les prestataires qualifiés par l'ANSI. Or, l'article 16 du projet de loi remplace ces dispositions par des exigences spécifiques qui ne concernent plus uniquement les systèmes de détection, mais plus généralement tout dispositif matériel ou logiciel ou prestataire de service dont le recours peut être prescrit aux OIV. Surtout, les critères retenus ne sont pas aussi exigeants que le dispositif en vigueur. Il peut s'agir de dispositifs ou de prestataires certifiés ou agréés, et non plus simplement qualifiés, et ces derniers ne doivent plus obligatoirement être exploités sur le sol national. Pour ces raisons et pour des raisons de sécurité nationale, cet amendement propose de maintenir les exigences pour les systèmes et prestataires de détection des incidents de sécurité des OIV en reprenant la rédaction actuellement en vigueur à l'article L13-32-6-1 qui est un article qui sera supprimé par les alignées A55 et suivant de l'article 1er du présent projet de loi. Et donc nous avons besoin de maintenir cette définition pour garantir la sécurité nationale.

vous remercie. Le 324, M. Sabatou.

Merci Madame la Présidente. Amendement similaire à mon collègue Latombe, qui vise à maintenir les niveaux de sécurité actuels des infrastructures vitales. Depuis 2013, les OIV se voient imposer des systèmes de détection de cyberattaques contrôlées par l'État et exploitées en France. Nous proposons son maintien en l'état actuel pour des raisons de sécurité évidentes. Monsieur Latombe, j'avais juste une question. Pourquoi vous avez fait une version plus large ? en intégrant l'ensemble des SI au lieu de vous contenter de reprendre ce qui est fait depuis 2013 pour me positionner.

vous remercie. Avis de la Commission, s'il vous plaît.

Ils ne sont pas identiques. J'aimerais un avis. avis, je me suis un peu perdu, excusez-moi. Je donnerai un avis favorable au 158 de M. Latombe et donc une demande de retrait au 324 de M. Sabatou au profit du 158.

Même avis. M. Latombe, allez-y.

le 158 est plus large parce que le texte de la directive est plus large et donc la définition conservée doit s'appliquer pas simplement aux sondes, en fait, mais à l'ensemble des prestataires et de tout ce qui est aujourd'hui matériel ou logiciel.

Sabatou.

Merci. Je vais retirer mon amendement au profit du 158. Et vous voyez, monsieur le rapporteur, ce n'est pas un texte sur la souveraineté nationale. Pourtant, on arrive quand même à y inclure plusieurs amendements sur ce sujet.

vous remercie. Sur le vote de l'article 16, je suis pour une demande de scrutin public qui s'est annoncé dans le sein de l'Assemblée nationale. Donc nous en sommes au vote de l'amendement 158 qui recueille un double avis favorable et c'est à main levée. Qui est pour ? Contre. C'est adopté. Et on passe à la mise aux voix de l'article 16. C'est un scrutin public. Le scrutin est ouvert. Le scrutin est clos. Voici le résultat du scrutin. Votant 62, exprimé 62, majorité 32 pour 62 contre 0, l'Assemblée nationale a adopté. On poursuit avec l'article additionnel après l'article 16, amendement numéro 41. Monsieur Pilato, allez-y.

Merci Madame la Présidente. Cet amendement souligne la nécessité de recourir dans la mesure du possible aux logiciels libres et aux services cloud réversibles afin de renforcer la sécurité des données collectées. En effet, l'usage de logiciels libres présente de nombreux atouts, représentant un coût minime, voire nul. Les logiciels libres sont très flexibles. Quant aux services cloud réversibles, ils permettent à ces utilisateurs de préserver leur autonomie technologique et d'assurer la sécurité. de leur stockage au niveau des données, à tout moment de les récupérer. Quelque part dans ce contexte, nous considérons que les administrations publiques devraient s'appuyer sur ces outils libres et transparents pour assurer au mieux la protection des données personnelles qu'ils collectent dans le cadre de leurs activités, garantissant ainsi les droits fondamentaux des citoyens et la souveraineté technologique européenne. Je vous remercie.

Merci. Votre avis, s'il vous plaît.

ferai une demande de retrait à un avis défavorable par faire mon discours sur les logiciels libres. Mais les logiciels libres, c'est une notion qui est très vaste. Et comme je l'ai déjà expliqué, il y a différents types de licences. Vous avez des licences qui peuvent être très contraignantes, notamment si la solution n'est pas européenne ou française. De plus, l'objet de votre amendement dépasse largement le champ de transposition de la directive. La réversibilité de l'informatique en nuages est déjà encadrée. puisque c'est le cas dans le règlement sur les données de 2023-2854 et de la loi SREIN. Donc, défavorable.

Merci, madame la ministre. Je vous remercie. Monsieur Prébuti-Chaisy.

la présidente. Madame la ministre, je voudrais aller dans le sens de cet amendement et rappeler tout de même, parce que c'est un débat qui date de très longtemps, plusieurs décennies, que nous avons un formidable exemple de l'écho de l'amendement de M. Pilato, la gendarmerie nationale française, qui est l'un des exemples les plus aboutis en Europe d'une utilisation massive des logiciels libres dans une administration publique. Je pense que l'on ferait bien de s'inspirer de ce modèle. parce qu'on peut difficilement suspecter la gendarmerie nationale de ne pas en fait se prémunir de l'insécurité numérique. Elle a engagé, je rappelle, cette stratégie depuis très longtemps, 2001, avec un objectif politique et technique, réduire sa dépendance aux grands éditeurs informatiques, notamment américains, maîtriser ses systèmes d'information et surtout réaliser des économies. Je suis très surpris qu'en période budgétaire, nous n'ayons pas ce réflexe. Et je suis très surpris que certaines administrations françaises, notamment celles de la connaissance, continuent à ne pas utiliser des logiciels libres. Et j'aimerais bien savoir pourquoi on fait ce choix-là dans les administrations publiques.

vous remercie. Monsieur Pilatos, c'était dans le même sens ? Je vais passer à la mise aux voix de cet amendement 41 qui recueille un double avis défavorable. C'est à main levée. Qui est pour ? Qui est contre ? C'est rejeté. Article 17 chez l'amendement 201.

Madame la Présidente. Les fites massives de données se multiplient. Ces données alimentent l'usurpation d'identité, les escroqueries par ameçonnage ciblés qui surviennent souvent des mois après l'incident. Les victimes reçoivent alors un message laconique qui ne leur dit ni quels sont les risques qu'elles encourt, ni quoi faire, ni vers qui se tourner. L'article 17 permet à l'ANSI, lorsque la divulgation d'un incident est dans l'intérêt public, d'exiger de l'entité qu'elle informe le public ou de le faire elle-même. Le présent amendement du groupe Horizon et Indépendant garantit que cette information soit utile sur les risques encourus, les bons réflexes et les orientations vers cybermalveillance.gouv.fr.

amendement 406.

la

Présidente, je donnerai un avis favorable à l'amendement de la députée Poussier-Vinsbach à condition qu'il y ait un vote favorable sur ce sous-amendement qui précise votre amendement. Donc supprimez la mention du groupement d'intérêt public Action contre la cyberméance dans l'alinéa 2 de l'article 17, auquel cas je donnerai un avis favorable à l'amendement de Mme Poussier-Vinsbach. Je vous remercie. Votre avis ?

Pareil, je donnerai un avis favorable au 201 de Mme Poussier-Winsbach sous condition de l'adoption de l'amendement 406 du gouvernement. Je donnerai un avis favorable aussi.

Je vous remercie.

406 qui recueille

un double avis favorable au commission gouvernement, qui est pour ? Qui est pour, s'il vous plaît ? Qui est contre ? C'est adopté. Et l'amendement 201, qui est pour ? S'il vous plaît, concentrez-vous là. Merci. Qui est contre ? C'est adopté. Amendement numéro 330, M. Sabatou.

Merci Madame la Présidente. Cet amendement vise à simplifier les démarches administratives en cas de cyberattaque. Aujourd'hui, si un hôpital est victime de cyberattaque, il doit déclarer un incident à plusieurs personnes, à savoir l'ANSI, l'ARS ou encore la CNIL. Je pense qu'un hôpital qui se remet d'une attaque cyber a autre chose à faire que de faire N déclarations d'incident, donc autant avoir un document unique pour le faire.

Votre avis, s'il vous plaît, 331

ce serait un avis défavorable. Un avis défavorable.

Merci Madame la Ministre. Satisfait, donc défavorable. Merci. Je passe à la mise au voie de l'amendement 331 qui recueille un double avis défavorable. Qui est pour ? Qui est contre ? C'est rejeté. Amendement 368, Madame Bellucco.

Merci Madame la Présidente. Cet amendement vient compléter les notifications prévues à l'article pour que l'ANSI et ses services d'enquête soient informés des phénomènes rançongiciels. On pense que c'est devenu une menace majeure pour les entreprises, les établissements de santé, les collectivités, etc. Mais l'État ne dispose pas de données fiables sur ce phénomène précis des rançongiciels, sur les éventuelles sommes réglées ou encore les établissements visés. Donc l'objectif de cet amendement, il est de permettre une connaissance plus fine. afin de mieux anticiper les attaques et de permettre un meilleur suivi des enquêtes. Et pour ne pas dissuader les victimes de se signaler, l'usage des données signalées est strictement encadré et ne peut fonder de sanctions.

vous remercie. Votre avis, s'il vous plaît

Défavorable.

Merci, madame la ministre. Sur

transposition, avis défavorable.

vous remercie. Je passe à la mise aux voix de cet amendement qui est un double avis défavorable. Qui est pour ? Qui est contre ? C'est rejeté. Amendement 159, M. Latombe.

Très rapidement, c'est un amendement quasi rédactionnel. C'est simplement que, dans le cadre de la directive, le terme de vulnérabilité critique n'existe pas dans la directive NIS2, qui utilise le terme important. Et donc, je propose de changer important à la place de critique.

Sur le vote de l'article 17, je suis dit par le groupe EPR, une demande de fréquence publique de soutenir l'Assemblée nationale. Le 159, quel est votre avis ?

je mettrai un avis défavorable, en tout cas une demande de retrait ou un avis défavorable, puisque la notion de vulnérabilité critique est un choix de transposition dont le décret fixe les critères.

Madame la ministre. Avis défavorable, parce qu'incident important, ça n'existe pas non plus. Merci Madame la ministre.

'avis défavorable qui est pour, qui est contre, c'est adopté. Amendments identiques, 160, monsieur Latombe.

'est un amendement qui vise à ce qu'il y ait une déclaration commune lors d'une violation de données à caractère personnel par une autorité soumise à NIS2. C'est-à-dire qu'on ait la déclaration commune ANSI-KNIL, et que ce soit l'ANSI qui soit chef de file. Et si c'est une entreprise soumise à DORA, qu'elle puisse faire une seule déclaration pour ACPR-AMF, ANSI et KNIL, quand la KNIL est concernée. C'est quelque chose qui est demandé, qui est ressorti de chacune des auditions que nous avons eues avec les professionnels au moment de la commission spéciale.

l'attends, le 300 centos de Mme Barriosec. Défendu, votre avis sur cette rédaction de l'antique

l'information de l'ACNI, le Parnancy est déjà prévue, donc demande de retrait ou avis défavorable.

Merci Madame la

Ministre. Merci Madame la Présidente. La simplification des notifications, effectivement on l'a entendu de nombreuses fois dans les auditions, c'est vraiment un enjeu majeur. Cependant, une démarche de notification unique entre Nice 2 et RGPD n'est actuellement pas possible. Les exigences de notification ne sont pas harmonisées dans les textes européens. Ça pourra évoluer, mais à ce stade ce n'est pas possible. De plus, le développement d'un guichet unique pose des questions. de responsabilité et de séparation entre administration et autorité administrative indépendante. Des travaux, par contre, sont en cours entre l'ANSI et la CNIL pour rapprocher au maximum les deux formulaires. En pratique, que la CNIL puisse repartir de ce qui aura été notifié à l'ANSI, ce qui paraît assez logique et souhaitable. Je suis bien d'accord avec vous. L'instant, ce n'est pas le cas. Donc, c'est un principe de réalité qui me pousse à vous inciter à voter contre cet amendement.

Merci. Monsieur Sabatou.

merci, Madame la Présidente, pour ne pas trop déborder. Madame la ministre, je ne comprends pas très bien votre explication. Il me semble que mon amendement et celui de Monsieur Latombe sont quasiment identiques. Pourtant, pour le mien, vous m'expliquez que c'est déjà satisfait. Et pour Monsieur Latombe, vous expliquez que ce n'est pas possible. Donc, il y a une réponse qui ne colle pas, a priori.

présidente en soutien de l'amendement déposé par notre collègue Latombe sur le principe de « dites-nous-le une fois ». C'est une simplification qui est de bon sens et on trouve toujours des raisons pour ne pas simplifier les démarches. Et c'est un peu dommage parce que là, très clairement, il pourrait y avoir une opportunité. Et donc moi, je soutiendrai et notre groupe soutiendra cet amendement.

vous remercie. Je passe à la mise au voie de ces amendements identiques qui ont double avis défavorable. C'est à main levée. Qui est pour ? Contre ? C'est adopté. Je passe à la mise au voie de l'article 17. C'est un scrutin public. Le scrutin est ouvert. Le scrutin est clos. Voici le résultat du scrutin. Votant 53 sur les 53, majorité 27 pour 53 contre 0. Tiens, je vais faire l'article 18 parce qu'il n'y a pas d'amendement aussi. C'est à main levée. Qui est pour ? Qui est contre ? C'est adopté. La prochaine séance, mardi 10 novembre à 15h, avec les questions au gouvernement et la suite du projet de loi relatif à la résilience de ces infrastructures critiques et au renforcement de la cybersécurité. Je vous remercie. La

sens est levée.