Séance publique du lundi 9 novembre 2026, après-midi

à tous, la sens est ouverte. L'ordre du jour appelle la discussion après engagement de la procédure accélérée du projet de loi adopté par le Sénat relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. La parole est à madame Anne Noénaf, ministre déléguée chargée d'intelligence artificielle et du numérique.

Madame la présidente, monsieur le président de la commission spéciale, Philippe Latombe, monsieur le rapporteur général, Eric Bottorel, mesdames et messieurs les rapporteurs, Catherine Hervieux, Vincent Thiebaud, Michael Boulou, mesdames et messieurs les députés, je suis très heureuse d'être devant vous cet après-midi pour l'examen du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit résilience. Il a une signification particulière pour moi puisque j'étais députée sur ces bancs il y a environ un an en tant que rapporteur sur le titre 2 du projet de loi en commission spéciale. Je me réjouis donc de voir ce texte poursuivre son parcours législatif et tiens à remercier Vincent Thiebaud d'avoir pris le relais en tant que rapporteur. L'examen de ce projet de loi particulièrement attendu revient dans un contexte particulier, celui d'une menace cyber plus intense que jamais. Les récentes attaques contre les installations frigorifiques ont directement visé notre économie et nos chaînes d'approvisionnement. Elles ont impacté concrètement le quotidien des Français. La menace cyber est désormais une réalité que plus personne ne peut ignorer. Face à elle, la cybersécurité n'est plus désormais une affaire de techniciens, elle est l'affaire de tous. La cybersécurité est devenue la clé de voûte de la résilience de notre économie, de la protection de nos citoyens. et de leur confiance dans la donnée qu'ils nous confient. Face à cette incentivisation de la menace, le gouvernement est à l'œuvre pour renforcer la sécurité numérique de l'État. J'ai présenté au nom du Premier ministre la stratégie nationale de cybersécurité 2026-2030 en janvier dernier. Son objectif était clair, doter la France d'une résilience cyber de premier plan. Elle définit des objectifs stratégiques clairs, des mesures concrètes pour adresser tous les niveaux de la nation, des entités les plus critiques au PME, en passant par la filière cyber, mais aussi le citoyen. La création d'un portail national de la cybersécurité du quotidien est une de ces mesures concrètes, tout comme le déploiement de Nice 2. Au niveau de l'Etat, le 30 avril dernier, le Premier ministre a annoncé des mesures fortes. Elles comprennent la feuille de route des efforts prioritaires de sécurité numérique de l'Etat qui se décline en 40 actions. Cette feuille de route a été pour la première fois rendue publique. Il a personnellement demandé une accélération de la sécurisation des administrations avec un suivi direct à son niveau. En outre, les ministères ont désormais un objectif clair de dépense dans la cybersécurité. 5% des budgets numériques devront être dédiés à la cybersécurité dès 2027, avec un objectif de 10% en 2030. Suite à la cyberattaque qui a touché la DGFIP, le Premier ministre a souhaité que nous allions encore plus vite, plus loin, avec des mesures priorisées et des échéances resserrées. A travers l'opération Réactive, l'ANSI a intensifié son assistance au ministère le temps de mise en œuvre des mesures de sécurisation. Par ailleurs, 200 millions d'euros ont été mobilisés dans le cadre de France 2030. L'État se mobilise et continuera à se mobiliser pour renforcer son niveau de cybersécurité. Mais la réalité, c'est que toutes les organisations, entreprises, Etats, collectivités territoriales doivent désormais intégrer et prendre des mesures concrètes pour se protéger contre les risques cyber. C'est dans ce cadre que le projet de loi Résilience constitue un levier essentiel pour le renforcement de notre résilience nationale et le passage à l'échelle de la cybersécurité. Ce texte est très attendu. Il est plus que nécessaire. Nous en sommes, je le sais, tous convaincus. Je tiens à remercier le travail continu des rapporteurs et de la commission spéciale en préparation de l'examen de ce texte. Bien que le gouvernement n'ait pas participé aux travaux en commission l'an dernier, l'intention du gouvernement est bel et bien de poursuivre les discussions sur la base du texte adopté en commission spéciale. Le projet de loi transpose ainsi trois directives européennes, les directives REC, NIS2, DORA, pour le renforcement de la résilience de la nation et de l'économie. La directive REC vise à actualiser le dispositif de sécurité des activités d'importance vitale. Elle concerne la sécurité des infrastructures critiques de notre nation. La directive NIS2 prévoit, quant à elle, les obligations et mesures de cybersécurité pour plus de 18 000 entités dans 18 secteurs critiques et hautement critiques, tels que l'énergie, la santé, les transports ou encore les technologies de l'information et de la communication. Depuis la loi de programmation militaire 2013, la France impose des obligations aux opérateurs d'importance vitale. pour leur système critique, étendu ensuite aux opérateurs de services essentiels, avec Nice 1. 2 constitue un véritable changement d'échelle de cette politique, en étendant les obligations à plus de 18 000 voire 20 000 organisations qui auront des obligations nouvelles en matière de gestion des risques, de sécurisation des sous-traitants, de notification des incidents et de responsabilité des dirigeants, le tout sous le contrôle de l'ANSI. Enfin, la directive DORA constitue, avec le règlement du même nom, la LEC spécialiste de Nice 2 pour la gestion du risque et des incidents dans le secteur financier. Elle permettra de renforcer la résilience opérationnelle numérique du secteur financier face à la dépendance croissante des acteurs financiers au système d'information et aux prestataires technologiques. Je n'aborderai pas ici le détail des amendements. Nous aurons l'occasion d'en débattre dans les prochaines heures. Permettez-moi cependant d'expliquer quelques grandes lignes de force permettant d'éclairer ce que sera la position du gouvernement lors des débats. Ce texte a pour finalité première de renforcer notre cadre d'obligation pour les entreprises en matière de cybersécurité via la transposition de trois directives européennes. Elle doit permettre la simplification du cadre réglementaire cyber français en réduisant le millefeuille réglementaire actuel. l'harmonisation européenne des exigences et obligations pour les entités et garantir une approche proportionnée à la taille des entités et à la menace à laquelle elles sont exposées. En conséquent, le gouvernement appelle à ne pas se tromper de débat et ne pas transformer l'examen de ce texte sur la cybersécurité en débat sur la souveraineté numérique de notre pays ou sur la commande publique. Ces débats sont légitimes, j'en suis la première défenseure. Pour autant, ma conviction est qu'il est avant tout indispensable, cette semaine, de placer notre pays en conformité avec nos engagements européens en matière de cybersécurité. A part quelques articles spécifiques, le texte vise la transposition des directives REC, NIS2 et DORA. La ligne est claire, pas de surtransposition. Le texte doit être fidèle aux directives qu'il transpose. Surtransposer, c'est faire cavalier seul. plutôt que jouer en européen. C'est complexifier au lieu de simplifier les normes, c'est introduire des distorsions de concurrence et bien souvent, cela revient à pénaliser nos entreprises du fait des impacts économiques. Nous n'en voulons pas. Pour conclure, je veux vous redire ma conviction. Ce projet de loi que vous allez examiner constitue un véritable changement de paradigme en matière de cybersécurité. Pour les entreprises en imposant leur sécurisation, pour la filière cybersécurité française qui va devoir accompagner cette mise en conformité, pour l'ANSI qui verra ses pouvoirs de contrôle renforcés et pour l'ensemble de la nation par le renforcement de sa résilience. Ce projet de loi envoie aussi et surtout un signal fort aux entreprises. La protection de vos systèmes d'information et la continuité de vos activités relèvent de votre responsabilité. Ce projet de loi vient renforcer et rendre effectives ces exigences. A leurs dirigeants, la cybersécurité n'est plus une question technique réservée aux experts. C'est une responsabilité stratégique qu'il nous faut collectivement prendre à bras le corps. Aux citoyens ! Votre sécurité, celle de vos données, de vos services publics, dépend de notre capacité collective à anticiper la menace et à y résister. Je vous remercie.

vous remercie. La parole est à monsieur Eric Bautorel, rapporteur général de la commission spéciale chargée d'examiner le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité.

la Présidente, Madame la Ministre, Madame et Messieurs les rapporteurs, Monsieur le Président, chers collègues, tout bon livre doit savoir provoquer l'attente, lire c'est attendre la suite. Le projet de loi Résilience n'est pas un bon livre, loin de là, mais il a indésiblement su provoquer l'attente. Nous attendions tout simplement patiemment la suite. Car il y a plus d'un an que la Commission spéciale a fini ses travaux préparatoires à l'examen de ce projet de loi qui transpose de nouveaux cadres européens de cybersécurité. C'est ainsi la directive REC qui protège la continuité des services essentiels face aux menaces civiques. Parlons physique comme cyber. La directive Nice 2, elle, qui élève le niveau de cybersécurité de 18 secteurs d'activité avec des obligations de gestion de risque, de formation des dirigeants et de notification des incidents. Le règlement d'Aura, quant à lui, directement applicable, fait de même pour le secteur financier avec une notification des incidents sous 24 heures. Un an d'attente, ce n'est pas tout à fait rien. Ça a juste permis d'acculturer nos concitoyens au risque cyber. Il conviendrait presque d'ailleurs de remercier ces et ceux, Russes, Français, les autres, qui ont occupé cette année. En octobre 2025, le groupe de cybercriminels Quilin a paralysé près de 200 lycées des Hauts-de-France. Au premier semestre 2026, ce sont nos administrations publiques qui sont frappées. C'est l'OFI, 2,1 millions de dossiers volés, l'Ursaf, 12 millions de personnes exposées, la NTS, 18 millions de comptes mis en vente et du Connect. 3,5 millions d'élèves, de FICOBA, 1,2 millions de comptes bancaires. Et avec une belle régularité, France Travail, qui a subi au moins 5 cyberattaques majeures depuis 2023. Cet automne, enfin, dans un teasing parfait, une sorte de feu d'artifice, puisque les frigos connectés de centaines de supermarchés ont été piratés, des chambres froides portées à plus de 50 degrés, puis l'établissement français du sang, victime de l'attaque similaire. Et enfin, last but not least, le groupe Arkea, il y a une semaine. Alors en France, la menace cyber reste élevée. En 2025, l'ANSI a recensé 1 366 incidents confirmés contre 1 361 en 2024. Et cette stabilité concerne les incidents connus de l'agence. Dans ce périmètre, l'éducation et la recherche représentent 34% des incidents, les ministères et collectivités 24% et la santé 10%. Collectivités, 10 d'entre elles viennent d'être sanctionnées par la CNIL et c'est normal. Le vol de données et le chantage à leur divulgation progressent. parfois sans chiffrement des systèmes. Les rançons JCL restent néanmoins une menace importante. 128 compromissions ont été portées à la connaissance de Nancy en 2025. Les accès reposent sur des vulnérabilités techniques, des identifiants volés ou des prestataires compromis. Parfeu et VPN exposés sur Internet restent particulièrement ciblés, certaines failles étant exploitées avant la disponibilité même d'un correctif. Les interconnexions permettent ensuite de progresser d'un prestataire vers des clients, c'est assez traditionnel. Le cas de la DGFIP, d'ailleurs documenté. en septembre 2026, montrent les limites de l'expression faille humaine, car il s'agit de vols d'identifiant, d'absence d'authentification forte, de cloisonnement insuffisant et de lacunes de décretion qui se combinent. Alors nous sommes les plus attaqués, pas parce que nous sommes les moins préparés face à ces attaques. Nous sommes les plus attaqués car la Russie et ses proxys considèrent que la France joue un rôle majeur dans la résistance à cette stratégie d'invasion. Nous sommes les plus attaqués car notre action publique, façon puzzle, offre parfois une surface d'attaque massive. Nous sommes les plus attaqués car nous avons basculé depuis le Covid dans une économie numérique et à distance. Pour autant, Madame la Ministre, vous l'avez rappelé, depuis 2017 et sous l'impulsion du président de la République et du gouvernement qui se sont succédés, nous sommes montés en compétences, en puissance et en moyens sur la cybersécurité. C'est le campus cyber national et les cyber campus régionaux. C'est l'ANSI qui est passé de 120 à 560 spécialistes, la DGFI, l'OFAC. Nous sommes moins d'être désarmés. C'est la création du parquet spécialisé J3. J'en profite pour adresser un salut presque paternel à tous ces jeunes qui cessaient au hacking non éthique. Ils finissent vite devant l'équipe de la cybercompatante Johanna Brousse. Et pour ces apprentis pirates, le seul serveur qui répond toujours, c'est celui du parquet de Paris. C'est aussi cybermaveillance.gouv.fr, mon aide au cyber, sans cyber, des dispositifs gratuits pour les victimes et les structures. Et je salue l'ami Jérôme Notin et toutes ses équipes. En matière de sécurité informatique, aucun système n'est imprenable. Les défenses érigées comme des lignes Maginot finissent immanquablement par être brisées. Pour autant, il nous faut jour après jour augmenter nos capacités de défense et en la matière, l'excès de prudence ne peut nuire. C'est ce que nous allons faire ces prochains jours. Aider la France à se défendre sans nous tromper de débat. Il ne s'agit pas de rendre nos entreprises plus souveraines par la loi. Chacun le sait, c'est un vœu pieux. Près d'un tiers des amendements vont au-delà des directives ou sont étrangers au texte où plus d'une quarantaine portent sur des sujets en cours de négociation à Bruxelles. Cette surtransposition fragmenterait le marché intérieur, imposerait une notification à la Commission européenne et retarderait l'adoption du texte. Nous devons adopter ce texte. qui renforcera la sécurité et la résilience de nos administrations, collectivités et entreprises. Un bon livre s'est provoqué l'attente, mais la cybersécurité n'est pas un feuilleton. Les attaquants, eux, ne nous attendent pas, ils n'ont ni navettes parlementaires, ni notifications à Bruxelles. Alors c'est sans débattre de ce qui n'est pas dans ce texte, ou comme du SESBI qui n'aurait jamais dû l'être, car c'est un cavalier, un cavalier qui menace nos capacités d'enquête, comme plusieurs d'entre nous ont pu le constater auprès des femmes et des hommes de l'antenne J la semaine dernière. Ce texte protège, adoptons-le. Maintenant, je vous remercie.

vous remercie. parole est à madame Catherine Hervieux, rapporteure de la commission spéciale chargée d'examiner le projet de loi relatif à résidence des infrastructures critiques ou renforcement de la cybersécurité.

la Présidente, Madame la Ministre, Monsieur le Rapporteur général, Messieurs les rapporteurs, chers collègues, en tant que rapporteur sur le titre premier du projet de loi relatif à la résilience des infrastructures critiques et renforcement de la cybersécurité, je tiens vraiment à remercier l'ensemble des députés qui se sont mobilisés pour cette commission spéciale qui a commencé ses travaux il y a un an et demi. Nous avions voté le texte en septembre 2025, sans gouvernement, et nous voilà en fin 2026. Je regrette vraiment les délais pris par le gouvernement pour inscrire le projet de loi à l'ordre du jour, et je sais que je ne suis pas la seule. Le titre premier tire les conséquences de la directive européenne REC sur la résilience des entités critiques qui devraient être transposées avant le 17 octobre 2024. En juillet dernier, la Commission européenne a annoncé qu'elle renvoyait la France devant la Cour de justice de l'Union européenne. Cela risque de coûter au total plus de 10 millions d'euros à l'État. Mais surtout... Nous prenons du retard quant à la préparation du pays afin d'être résilients pour notre défense nationale et notre protection globale. La France est un des derniers États membres de l'UE à ne pas avoir finalisé la transposition. Nous devrions pourtant être exemplaires compte tenu de la position qu'elle affiche dans le champ de la défense et de la protection de nos intérêts. Il y a donc urgence à agir et l'actualité nous l'a rappelé très récemment. Nous avons constaté les cyberattaques envers nos entreprises, nos collectivités, nos concitoyens. Dernièrement, ce sont les systèmes de régulation frigorifique de plusieurs enseignes de distribution. Le changement de température à distance a entraîné des pertes considérables dans les stocks de nourriture. Des sabotages ont lieu pour tester notre résilience et faire vaciller la confiance des citoyens envers l'État. Alors préparons-nous. Évidemment, cela dépendra également des moyens financiers et humains que nous allourons pour accompagner les acteurs concernés. de la résilience et de la cybersécurité doit se diffuser auprès des décideurs économiques, financiers, administratifs et politiques. Il en va de notre responsabilité d'être irréprochable lorsque nous en avons les moyens. votant ce texte, nous assumons notre responsabilité de renforcer la résilience de nos opérateurs d'importance vitale. Le titre premier. Renforce le dispositif de sécurité des activités d'importance vitale avec la garantie de la protection des sites sensibles essentiels aux potentiels économiques et militaires de la nation. Ce texte permettra d'introduire dans notre droit la notion de continuité de l'activité qui guidera l'ensemble des plans établis par les opérateurs. Les entités devront signaler tous les incidents à l'autorité administrative. Une astreinte pourra être imposée aux opérateurs publics et privés qui refusent de se mettre en conformité avec leurs obligations. Le contrôle de l'accès au site sera aussi renforcé, y compris aux accès à distance. Et enfin, un nouveau régime de sanctions administratives est établi pour plus de... efficacité. Des missions de conseil de la Commission européenne pourront aider les entités critiques à se mettre en conformité. La Commission spéciale a introduit plusieurs amendements qui ont enrichi aussi le dispositif. L'analyse des dépendances a été élargie aux sous-traitants, ce qui était indispensable pour assurer la résilience des opérateurs. Les sous-traitants sont des cibles vulnérables et identifiées par les services de renseignement étrangers afin d'agir contre nos intérêts, intelligence économique, sabotage, etc. Un avis de l'ACNI garantira la conformité de l'autorisation d'accès avec le RGPD. Et s'agissant de la commission des sanctions, la nomination par le Premier ministre devra assurer la compétence des personnalités qualifiées et le caractère non renouvelable du mandat garantira l'indépendance des membres de la commission. L'enjeu est de voter le titre premier sans dénaturer le dispositif. Et en tant que rapporteur, je serai défavorable à tout amendement qui ne concerne pas la sécurité des activités d'importance vitale. Il est important que chaque titre conserve sa cohérence et ne soit pas surchargé de dispositions annexes. A l'inverse, je serai opposé à toute remise en cause des obligations portant sur les opérateurs, notamment sous l'affluence de groupes de pression. Ma seule exigence est d'ajouter le critère environnemental à l'analyse des vulnérabilités conduites par les opérateurs. Nous avons, vous le savez, des grands défis à relever qui sont intrinsèquement liés, changement climatique, défense et numérique. Penser l'un sans l'autre nous mène dans l'erreur stratégique et chacun constate que les phénomènes environnementaux et climatiques posent des risques croissants pour la continuité des activités d'importance vitale. Alors, chers collègues, il nous revient à présent de refermer ce chapitre en votant ce texte tant attendu par les acteurs concernés. Et il s'agit autant de se mettre en confirmité avec le droit européen que de renforcer la résilience de la nation.

vous remercie. La parole est à monsieur Vincent Thiebaud, rapporteur de la commission spéciale à charge d'examiner le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité.

la Présidente, Madame la Ministre, Monsieur le Président de la Commission spéciale, Monsieur le rapporteur général, mes chers collègues rapporteurs, chers collègues. En transposant la directive ministre 2, le titre 2 de ce projet de loi répond à un fait qui est devenu impossible de nier. La cybermerveillance menace la continuité économique et sociale de la vie de notre pays. Les hôpitaux, contraints de déprogrammer leurs soins après avoir subi des attaques informatiques, tout comme les collectivités territoriales ayant perdu plusieurs années de l'accès à leurs fichiers, d'état civil ou de paye peuvent en témoigner. Les cyberattaques sont devenues une réalité. Elles frappent sans prévenir, elles frappent fort. L'actualité récente nous le rappelle. Il y a moins d'un mois, les frigos de plusieurs centaines de supermarchés ont été touchés par une cyberattaque d'ampleur, entraînant la destruction de stocks de produits frais et surgelés. Je ne reviens pas non plus sur les différentes cyberattaques qui ont lieu auprès de nos administrations. Or, notre droit actuel est insuffisant face à l'ampleur des risques que nous encourons. A ce jour, le droit encadre et surveille la cybersécurité. de 500 opérateurs seulement. Avec l'adoption du titre 2 de ce projet de loi, que j'appelle de mes voeux, le périmètre d'encadrement et de surveillance des entités s'élargira à plus de 15 000 opérateurs, ainsi que leurs sous-traitants. Je retiens quatre principales avancées au sein du titre 2. Premièrement, le texte confie à l'ANSI la mise en œuvre et le contrôle de la politique de sécurité des systèmes d'information. Le Premier ministre élabore une stratégie nationale de cybersécurité. Deuxièmement, il distingue deux catégories d'entités essentielles et importantes. Selon le secteur et de la taille, les grandes collectivités y rentrent notamment. Ainsi, les régions, départements, communes de plus de 30 000 habitants, communautés d'agglomérations et métropoles. doivent mettre en œuvre des mesures de gestion des risques. Leurs organes de direction devront les approuver et en répondre. Elles devront également notifier leurs incidents importants à l'ANSI. Quatrièmement, le texte organise l'efficacité et l'opérationnalité de ce changement d'échelle. Il prévoit des mesures de contrôle, d'exécution et des sanctions prononcées par une commission indépendante. Les amendes pourront atteindre 10 millions d'euros ou 2% du chiffre d'affaires mondial pour les entités essentielles. Pour les entités importantes, elles pourront atteindre 7 millions d'euros ou 1,4% de leur chiffre d'affaires. Les collectivités n'encourent pas d'amende. La puissance publique ne pourront se sanctionner pécuniairement elle-même. Permettez-moi enfin, mes chers collègues, de préciser trois éléments sur ce texte. Ils ont constitué ma boussole tout au long de mon travail de rapporteur et dans la continuité du travail de ma prédécesseure, Anne Le Néanf. D'abord, ce texte n'est pas un texte sur la souveraineté numérique. Je partage l'attachement d'entre vous à cet objectif. Mais l'article 7 de la Directive définit stratégie du Sibir. sécurité et c'est elle que nous transposons. La souveraineté numérique mérite un débat propre. Elle ne doit pas brouiller l'objet de ce texte. Ensuite, ce titre n'est pas strictement un texte de transposition. Il comporte des dispositions nouvelles. Par exemple, l'article 38 modernise le régime des déclarations des moyens de cryptologie. De même, l'article 42 réforme le régime des assignations de fréquences satellitaires déclarées par la France auprès de l'Union internationale des télécommunications. Ces articles répondent à des besoins réels et méritent leur place dans le titre 2. A l'inverse, l'article 16 bis introduit en commission n'a pas de lien avec le texte et entraverait les techniques d'enseignement et d'enquête autorisées sous contrôle de magistrats. Et je soutiendrai sa suppression. Enfin, nous avons combattu la surtransposition, et je continuerai à le faire en séance. Chaque obligation que nous ajouterons, non prévue par le droit européen, pèsera sur les seuls acteurs français sans gain de sécurité démontré. Je vous proposerai donc, par exemple, de retirer des éditeurs de logiciels de la liste d'identité essentielle, ou encore de soumettre les établissements de santé et les établissements médico-sociaux qui délivrent des soins au seuil de droit commun et d'exclure du champ ceux qui n'en délivrent pas. Pour la même raison, je mettrai une idée favorable aux amendements qui créent des secteurs ou des obligations sans fondement dans la directive. Mes chers collègues, ce titre doit élever le niveau de sécurité du pays sans pénaliser nos entreprises ni accabler nos collectivités. Il doit aussi rester applicable par une ANSI qui verra son périmètre multiplié par 30. Et permettez-moi de terminer quand même sur le sujet, puisqu'on va certainement l'avoir dans le débat sur le sujet de la souveraineté. Nous allons débattre pendant plusieurs jours dans cet hémicycle tout en regardant WhatsApp. et Telegram. Mes chers collègues, je vous souhaite un bon examen. Merci.

vous remercie. La parole est à monsieur Philippe Platon, président de la commission spéciale à charge d'examiner le projet de loi relatif à résidence d'infrastructures critiques au renforcement de la cybersécurité.

Merci madame la présidente, madame la ministre, messieurs et mesdames les rapporteurs, chers collègues. Je serai bref et je ne rappellerai pas le contexte parce qu'il a été longuement déjà abordé et sera retracé ensuite certainement par les orateurs de groupe. Ouf, enfin, c'est pas trop tôt. Tout ce qu'on a pu entendre depuis un an et demi que ce texte est arrivé à l'Assemblée nationale et n'a pas été présenté dans cet hémicycle. C'est un texte qui était extraordinairement attendu. Il devait être transposé avant le 17 octobre 2024. Les entités attendent la transposition pour le mettre en œuvre, ce qui est au passage une erreur juridique, puisqu'ils devraient l'appliquer déjà depuis le 17 octobre 2024. Merci d'abord Madame la Ministre pour avoir poussé à l'inscription de ce texte en hémicycle à plusieurs reprises. Je sais que ça a été compliqué dans l'agenda et on y arrive enfin, après un an et demi, et on va pouvoir enfin adopter ce texte. Ce texte n'est pas que l'article 16 bis. Je le dis tout de suite, on verra ça demain à 16h30 avec des expressions du gouvernement. On trouvera certainement un chemin si le gouvernement renonce à porter atteinte au chiffrement de bout en bout et nous pourrons en ces cas-là annoncer que le 16 bis ne sera plus dans le texte. C'est un texte qui est important parce qu'il protège nos organisations et nos concitoyens, nos concitoyens l'attendent. Trois points de désaccord que je voudrais manifester ici qui subsistent à la suite de l'examen en commission spéciale. Le premier, c'est la question du référentiel RECIF de l'ANSI et de la non-utilisation du référentiel ISO 27001. Une entité certifiée aujourd'hui ISO 27001 devrait pouvoir être conforme à l'ANIS 2 sous réserve de points particuliers, comme par exemple la gestion de l'Active Directory. Pour les entités importantes et de petite taille, ce serait une simplification bienvenue. D'autres pays l'ont fait. Nous devons nous poser la question et nous aurons certainement le débat sur le sujet. Le deuxième point de désaccord, c'est sur la déclaration commune d'incidents. Nous l'avons déjà évoqué en commission spéciale. Aujourd'hui dans le texte, il y a trois déclarations indépendantes avec des délais différents qui portent sur des éléments communs. Une déclaration à la CPR-AMF, une déclaration à l'ANSI et quand il y a des données personnelles, une déclaration à la CNIL. Il serait bon, pour simplifier les déclarations, de pouvoir permettre la concordance des délais et des formulaires de déclaration. Le troisième point qui est peut-être le plus important à mes yeux, c'est la question des sanctions. DGFIP, ANTS, FICOBA, tout ça a été rappelé à de nombreuses reprises. Il n'y a pas vraiment une sanction et personne ne comprend. Madame Michaud en Vendée, mais partout sur le territoire où je vais, les entreprises ne comprennent pas pourquoi il n'y a pas de responsables. Les entreprises y sont soumises, pas le public, pas les entités publiques. Le Conseil d'État nous a dit dans son avis qu'il fallait avoir un alignement entre les sanctions du secteur privé et du secteur public. Ça va également dans le sens de la décision de la Cour des comptes de cet été, qui a prononcé une sanction visant quatre hauts fonctionnaires du ministère de l'Intérieur pour manquement à leurs devoirs. On a l'impression, avec ce texte, que l'État ne veut pas chercher des responsables en son sein. Et ça, ça pose un problème à la plupart de nos concitoyens et aux entreprises. Enfin, deux points à discuter en hémicycle sur lesquels je pense qu'il faut qu'on ait le débat, mais qui ne sont pas forcément des points de divergence. Il y a une question sur la divulgation des vulnérabilités, autrement dit LOSINT. Nous devons avoir ce débat, je proposerai un amendement et nous pourrons débattre sur la question de la divulgation des vulnérabilités. Et ensuite sur la question de la notion de vulnérabilité humaine, ça a été abordé dans les discussions, je proposerai qu'on puisse l'intégrer, par exemple sur le... Les attaques qui concernaient le ministère de l'Intérieur sur l'otage, c'était des identifiants et des mots de passe qui avaient été envoyés par mail. C'est bien une vulnérabilité humaine. Il faut qu'on puisse l'intégrer dans le texte, à mon sens, mais nous en discuterons. C'est bien que ce texte soit à l'ordre du jour et je suis très heureux que nous puissions débattre dans les trois jours qui viennent sur le sujet. Je vous remercie.

Je vous remercie. Nous poursuivons avec la discussion générale. La parole est à madame Maria Agnès-Poussi-Winsbach pour le groupe Horizon et Indépendant.

Merci Madame la Présidente, Madame la Ministre, Monsieur le rapporteur général, Madame et Messieurs les rapporteurs, chers collègues. En février 2021, le centre hospitalier de Dax était victime d'un rançongiciel. J'ai découvert ce mot. Ces données ont été volées et chiffrées avec comme solution pour les récupérer une seule, le paiement d'une rançon. Bilan des services paralysés, plus de 2 millions d'euros de dégâts. Un procédé identique avait impacté en novembre 2020 la ville de Bondy. pour 1,5 million d'euros de préjudice. Cet été encore, le système d'information de la Direction générale des finances publiques a subi des attaques qui nous ont tous terriblement inquiétés. La menace cyber n'est pas à prendre à la légère. Elle frappe nos hôpitaux, nos collectivités, nos entreprises, elle nous frappe. Pour une PME, une cyberattaque coûte en moyenne 466 000 euros. Bien souvent, c'est la survie même de l'entreprise qui est en jeu. Au niveau européen, nous avons commencé à apporter une réponse concrète à ces attaques. En 2022, la directive REC sur la résilience des entités critiques, la directive NIS2 sur la cybersécurité et le règlement DORA pour le secteur financier ont été adoptés. Nous devions transposer NIS2 avant le 17 octobre 2024. Nous avons plus de deux ans de retard, mieux vaut tard que jamais. Alors oui, mes chers collègues, il est grand temps de nous rapprocher des standards européens en matière de cybersécurité. Ce texte change d'échelle. Nous passons de 6 à 18 secteurs couverts par la directive. Nous passons de quelques centaines d'opérateurs régulés à 15 000 entités essentielles ou importantes et près de 1 500 collectivités. Un rôle accru de l'ANSI, notre autorité nationale de cybersécurité. En commission spéciale, notre groupe a pu préciser les contours de la stratégie nationale qui prévoit désormais un soutien financier aux collectivités et la formation à la cyberhygiène. Le Premier ministre pourra exenter les acteurs de la défense nationale. La dématérialisation des actes est sécurisé. Mais transposer, attention, ce n'est pas sur-transposer. Sur deux points, la Commission est allée au-delà de la directive. Elle a classé tous les éditeurs de logiciels parmi les entités essentielles sans aucun seuil. Une jeune entreprise de cinq salariés, par exemple, qui développe une application serait soumise au régime le plus lourd, avec des amendes jusqu'à 10 millions d'euros. Elle a aussi fait entrer dans... tous les établissements sociaux et médico-sociaux, quelle que soit leur taille. Le service d'aide à domicile d'une petite commune serait traité comme un grand hôpital. Nous proposerons de revenir au seuil de la directive. Les structures plus petites mais critiques pourront toujours être désignées au cas par cas. Proportionnalité encore dans les contrôles. La directive prévoit une supervision en continu pour les entités essentielles et un contrôle ex poste pour les entités importantes. Inscrivons-le dans la loi. Mais proportionnalité ne veut pas dire complaisance. Le texte exonère d'amende l'État et les collectivités, nous le comprenons, faire payer le contribuable ne protège personne. Alors il faut trouver un autre levier. Ce levier, c'est la transparence. Que l'ANSI puisse rendre publiques ses mesures d'exécution, comme le prévoyait le texte initial du gouvernement. Que les injonctions visant les administrations de l'État soient transmises au Parlement, l'État doit être exemplaire. Pensons aussi aux victimes. Quand vos données ont fuité, vous recevez un message laconique. Nous voulons qu'ils vous disent quels risques vous courez, quels réflexes adoptez et vers qui vous tournez. Un mot enfin sur l'article 16 bis. Il interdit d'imposer aux fournisseurs de chiffrement tout mécanisme permettant un accès non consenti aux données protégées. Le débat sur le chiffrement est légitime. Il est sérieux. Mais il ne se tranche pas au détour d'une loi de transposition par un amendement adopté au Sénat en séance contre l'avis de la Commission et contre l'avis du gouvernement sans étude d'impact ni avis du Conseil d'État. Car une interception, par définition, n'est pas consentie. Dans l'enquête, elle est autorisée par un magistrat. Dans le renseignement, elle est autorisée par le Premier ministre après avis de la CNCTR. En l'état, l'article 16 bis fragiliserait ces outils qui sont au cœur de la lutte contre le terrorisme et la criminalité organisée. Nous en proposerons la suppression et nous saluons Madame la Ministre le soutien du gouvernement. Mes chers collègues, ce texte doit protéger collectivité, nos entreprises et nos concitoyens. Il doit sécuriser nos équipements vitaux. Il doit renforcer notre souveraineté numérique. Le groupe Horizon Indépendant le votera par sens des responsabilités et avec la conviction qu'il s'agit d'un investissement d'avenir pour la France et pour l'Europe. Je vous remercie.

La parole est à monsieur Edouard Bénard pour le groupe gauche démocrate et républicaine.

Madame la présidente, madame la ministre, monsieur le rapporteur général, madame et messieurs les rapporteurs, chers collègues. En septembre 2025, nous examinions ce texte en commission sans ministre, ce que j'avais alors jugé aberrant pour un projet de cette ampleur. Et vous êtes là aujourd'hui, madame la ministre. Je vais donc pouvoir vous poser les questions qui étaient alors restées sans réponse. La menace cyber ne nous a pas attendus. En 2022, 385 000 cyberattaques ont réussi en France pour près de 2 milliards d'euros de pertes à l'heure et 1 sur 10 visait un organisme public. Seuls 0,2% ont été déclarés à l'ANSI. La guerre économique se déroule désormais dans le cyberespace. Ransongiciel, espionnage industriel, ingérence étrangère, manipulation de l'information. Et depuis, les chiffres vont croissant. Les exemples ne manquent pas de la CAF à France Travail en passant par les réfrigérateurs de nos supermarchés. Face à cela, transposer Nice 2, Dora et la directive REC est nécessaire. Nous l'avons dit en commission et nous le redisons, les avancées de ce texte sont réelles. Mais j'y vois aussi une grande limite. Si ce projet de loi renforce notre capacité à résister aux attaques, force est de constater qu'il agit très peu sur ce qui nous rend vulnérables. Car notre vulnérabilité, c'est d'abord une dépendance. Trois groupes américains. Amazon, Microsoft et Google, pour ne pas les citer, se partagent environ 70% du marché européen du cloud. Ils sont soumis à des législations extraterritoriales, je l'ai déjà martelé, à cette tribune. Nos données sont devenues une matière première du capitalisme de notre époque et nous en avons confié la garde à d'autres. Ce texte s'occupe de l'aval, de la conformité, des logiciels, des réseaux, mais il ignore l'amont, les puces, les centres de données, les infrastructures dont tout le reste dépend. D'où la question qui traverse notre débat, une politique de cybersécurité peut-elle être pleinement efficace sans politique de souveraineté numérique ? Non. Nous voulions faire de la stratégie nationale une véritable stratégie de souveraineté numérique, un plan de financement de la formation et de la recherche, une doctrine d'autonomie technologique pour le renseignement et la cyberdéfense, une évaluation du coût de nos dépendances. Notre amendement a été jugé, déclaré irrecevable au titre de l'article 40 dont acte, alors Madame la Ministre, c'est donc à vous désormais d'y travailler. Nous proposons également une préférence encadrée pour des prestataires qualifiés par l'ANSI et imposés en France avec des dérogations quand aucune offre n'existe. Elle vaudrait notamment pour les banques, pour les assurances, pour les mutuelles et les institutions de prévoyance qui détiennent les données parmi les plus sensibles de nos concitoyens. Pour ces données, nous demandons un hébergement en France sur des infrastructures qualifiées Secnum Cloud. La Commission a inscrit l'objectif de minimiser nos dépendances technologiques, alors donnons-lui enfin une traduction concrète. Deuxième exigence, les moyens. Avec ce texte, l'ANSI devra suivre et contrôler plus de 15 000 entités. Or, vous l'avez dit vous-même, Madame la Ministre, son budget 2027 sera identique à celui de 2026, et le Premier ministre lui demande de recentrer ses activités. Un budget gelé, quand les missions explosent, c'est un budget en baisse. Et aucun accompagnement financier n'est prévu ni pour les entités concernées, ni pour les communes. L'État impose ses obligations, menace de sanctions et ne met pas un euro sur la table. Une loi sans moyens est une loi d'affichage. Et une agence sous-dotée finira par sous-traiter ses contrôles. Nous demandons que les experts privés restent consultatifs, car à force d'affamer l'État, on finit par externaliser sa souveraineté. Troisième exigence, ne laisser personne seul face à ses obligations. Beaucoup de collectivités n'ont ni les équipes, ni les compétences, ni les budgets pour se mettre en conformité du jour au lendemain, et vous le savez. Nous proposons une trajectoire progressive, fondée sur un diagnostic, une feuille de route et des jalons, et nous refusons des amendes qui retireraient de leur budget l'argent nécessaire à leur sécurisation. Nice 2 ne doit pas devenir un nouveau transfert de charges qui porterait mal son nom. Il en va de même pour les TPE et PME. Une multinationale dotée d'une équipe cyber et une entreprise de 15 salariés ne sont pas dans la même situation. Nous demandons des délais adaptés et des astreintes proportionnées. Nous refusons toute suspension qui condamnerait une petite entreprise et ses emplois, sauf menaces graves et imminentes. Il ne s'agit pas d'exempter, mais de rendre la loi applicable. Enfin, les garanties doivent progresser au même rythme que les pouvoirs de l'Etat. Notre amendement imposant l'avis de la CNIL sur le décret encadrant les enquêtes administratives de sécurité avait été adopté en commission et nous veillerons à ce qu'il le reste. Chers collègues, la résilience ne suffira pas si nous ne réduisons pas nos dépendances et si l'État ne donne pas les moyens d'appliquer ce qu'il exige. Notre groupe abordera ce débat de manière constructive et exigeante, vous l'aurez compris. Je vous en remercie.

La parole est à monsieur Alexandre Sabatou pour le groupe Rassemblement National. Ah, monsieur Verny, pardonnez-moi. La parole est à monsieur Géraud Verny pour le groupe Union des Droites pour la République. Comme il y a un décalage avec celui d'avant, excusez-moi.

Madame la Présidente, Madame la Ministre, Monsieur le Président de la Commission spéciale, Monsieur le Rapporteur général, Madame et Messieurs les rapporteurs, mes chers collègues. Une usine dont les machines s'arrêtent, une mairie qui ne peut plus rendre ses services, un hôpital qui doit continuer à soigner sans accès à ses outils informatiques, voilà ce qu'une cyberattaque peut provoquer. Et dans l'industrie, il suffit parfois qu'un sous-traitant soit paralysé pour que plusieurs usines se retrouvent à court de pièces. L'attaque touche une entreprise, l'arrêt de production peut se propager à toute une filière. L'État lui-même a été touché, notamment à Bercy. Il doit être à la hauteur des exigences qu'il s'apprête à fixer aux entreprises et aux communes. Ce texte, nous l'attendions. Nous l'attendions depuis le 17 octobre 2024, date à laquelle la France devait avoir transposé la directive NIS2. Deux ans de retard, la Commission européenne a saisi la Cour de justice. Pendant ce temps, les collectivités et les entreprises attendaient de savoir à quelles règles elles devaient se préparer. Ce retard, nous devons maintenant le rattraper sur le fond, protéger l'énergie, l'eau, les transports et les hôpitaux face aux menaces criminelles ou étatiques relèvent de la responsabilité de l'État. Clarifier la responsabilité des dirigeants et signaler rapidement les incidents, importants sont donc des avancées. Néanmoins, trois questions méritent à mes yeux une attention particulière. La première, c'est la souveraineté. A quoi bon sécuriser nos systèmes si les clés en sont détenues à l'étranger ? La question se pose pour les données de nos hôpitaux et de nos opérateurs vitaux lorsqu'elles sont confiées à des prestataires soumis à des lois étrangères, comme le clou d'acte américain. Nous avions déjà donné l'alerte sur la facturation électronique. Derrière une facture, il y a les prix, les clients, les fournisseurs d'une entreprise. C'est pour protéger ces données et pour offrir aux entreprises une solution simple. que j'avais proposé une plateforme publique, gratuite et sécurisée. Or, vous savez que depuis cette adoption, une plateforme de facturation électronique basée à l'étranger a été piratée et donc les données de toutes les entreprises concernées ont été divulguées. La deuxième, c'est la complexité administrative. Sur la facturation électronique, nous avions aussi alerté sur ce que la réforme demandait aux petites entreprises. En tant que chef d'entreprise, je connais la question que l'on se pose devant une nouvelle obligation. Qui va s'en charger ? Avec quel temps et quels moyens ? Si une PME fait déjà vérifier sa sécurité par un donneur d'ordre, pourquoi lui demander de refaire le même audit pour un autre client ? Le temps gagné doit servir à corriger les failles et en cas d'attaque, la question que les équipes me poseront est simple. Combien de temps avant de pouvoir remettre les machines en route et livrer nos clients ? La troisième, c'est le financement. Les communes aussi sont en première ligne. Elles ont besoin de temps et de moyens pour sécuriser leur système. Le texte prévoit un fonds pour les collectivités concernées. Reste une question simple. Avec quel crédit ? Et comment les entreprises, en particulier les PME, vont-elles financer les investissements qu'on attend d'elles ? Lors de l'examen du PLF, j'ai fait adopter avec le groupe UDR un amendement pour étendre le suramortissement industriel aux logiciels et équipements de cybersécurité. Derrière ce terme, l'idée est simple, réduire le coût de l'investissement pour les entreprises qui s'équipent, parce que comme vous le savez, aujourd'hui la cybersécurité est un investissement nécessaire, essentiel et parfois vital pour certaines entreprises. Un mot enfin sur l'ANSI, avec davantage d'organisations à accompagner et à contrôler, l'agence devra avoir les moyens de répondre quand une entreprise, un hôpital ou une mairie a besoin d'aide. Mes chers collègues, derrière ces règles, il y a des usines qui doivent continuer à produire, des communes qui doivent continuer à servir leurs habitants et des salariés qui doivent pouvoir travailler en sécurité. Tout ce qui ira dans le sens d'une industrie française mieux protégée aura donc la faveur du groupe UDR. Je vous remercie.

vous remercie. La parole est donc à M. Alexandre Sabatou pour le groupe Rassemblement national.

Madame la Présidente, Madame la Ministre, M. le Président de la Commission spéciale, Mesdames et Messieurs les rapporteurs, enfin... Enfin s'écrièrent les cinq députés spécialisés dans le numérique de l'hémicycle. Enfin nous examinons ce texte. Un texte déposé au Sénat le 15 octobre 2024, adopté par le Sénat en mars 2025, examiné par notre commission en septembre 2025 et depuis plus rien. 14 mois dans un tiroir. Madame la ministre, le gouvernement a lui-même engagé la procédure accélérée sur ce texte. C'est lui qui fixe l'ordre du jour et pourtant vous avez attendu plus d'un an après votre nomination pour l'inscrire. Plus d'un an que la France accumule un retard pour protéger ses infrastructures, pour soutenir ses filières numériques et embrasser enfin la révolution technologique qui vient avec l'intelligence artificielle. Alors si c'est une simple transposition de directive européenne, pourquoi ce silence ? On ne laisse pas un texte déclaré urgent 14 mois dans un tiroir par hasard. Soit c'est de la négligence, et c'est grave pour un texte de sécurité nationale, soit c'est un choix, et la représentation nationale a le droit de savoir qui a demandé ce délai et pourquoi. D'autant que sur le fond, ce texte fait largement consensus dans cet hémicycle. Aucun blocage politique ne justifierait ce retard. L'été 2026 a rappelé s'il le fallait en quoi ce texte était urgent. Rien que l'attaque informatique contre impôts.gouv a impacté plus de 600 000 personnes particuliers et professionnels. A cet incident s'ajoutent des milliers de violations de données notifiées chaque année, les 2,4 millions de comptes français compromis au seul troisième trimestre 2026. Et la semaine dernière encore, malheureusement, le crédit mutuel Arkea s'est fait dérober plus de 100 millions d'euros. Un exemple de plus de la vulnérabilité de notre pays. Il doit être le dernier investissement au moment même où la France accélérera sa numérisation. Cette numérisation dans notre production intérieure comme nos services publics est un espoir. pour permettre à notre pays d'être une grande nation numérique pour les siècles et ceux à venir. Elle rendra la vie des Français plus facile, répondra en un temps record aux besoins d'information et d'accompagnement des citoyens et fera entrer nos administrations dans le monde contemporain. La technologie va transformer notre quotidien et en mieux. Mais il y a un principe fondamental que vous semblez avoir oublié. Il ne peut y avoir de numérisation sans confiance. Comment voulez-vous que les Français fassent confiance à la numérisation de leurs services publics quand ils découvrent, mois après mois, de nouvelles fuites de leurs données personnelles ? Comment leur demander de confier toujours davantage d'informations à nos administrations lorsque ces dernières ne sont même plus capables d'en garantir la sécurité ? Comment leur demander encore d'être confiant si à chaque manquement, il n'y a pas de responsable ? Cette question de la confiance doit être prévue en amont et nous, nous devons y répondre. Nombreuses sont les expressions populaires à prévenir que la confiance prend des années à construire, mais quelques secondes à se briser. Chaque fuite de données, chaque cyberattaque réussie abîme un peu plus cette confiance. Si nous ne nous réparons pas cette confiance populaire, ce serait le champ libre aux éternels soutiens de la décroissance, du passéisme, du refus du progrès. Ces refus, si teintés de vert et de rouge, handicaperont notre pays en mettant à pied, à nos pieds, des boulets, là où nous pourrions prendre enfin notre envol. La France peut devenir une grande puissance numérique, mais pour cela, elle doit être capable de protéger ses données, qui constitueront au XXIe siècle ce que le pétrole était au XXe. On ne peut plus annoncer aux Français que leurs données ont été volées et que personne n'en est responsable. Je veux être clair. Désigner un responsable ne réglera pas tout, ce n'est pas une solution miracle. Mais c'est la condition sans laquelle rien ne fonctionne. Car quand personne n'est responsable, personne ne s'en soucie vraiment. Protéger les données de millions de Français est une responsabilité immense. Celui qui l'exerce doit en répondre. Cela ne veut pas dire le condamné à la première faille. Il faudra toujours prendre le temps de comprendre ce qui s'est passé. Mais si l'enquête montre un manquement grave, il doit y avoir sanction. Trouverait-on normal qu'un agent public qui, par une faute grave, fasse perdre des millions d'euros à son ministère ne soit pas inquiété ? Trouverait-on normal qu'un archiviste d'hôpital qui par négligence laisse des inconnus repartir avec des cartons de dossiers médicaux ne soit pas inquiété ? Alors pourquoi l'accepterions-nous quand ce sont des données numériques de Français qui sont perdues ? Car derrière chaque fuite de données, ce sont des milliers de Français livrés aux escrocs. Pour l'argent public, ce principe de responsabilité existe déjà. Depuis 2023, un gestionnaire public qui par faute grave cause un préjudice financier significatif en répond devant la Cour des comptes. Nous voulons donc introduire ce même principe dans le texte pour la sécurité des données. Ce rendez-vous exige une volonté politique au plus haut niveau. Marine Le Pen l'a dit clairement, parce que c'est un véritable enjeu national, avec nous la politique numérique dépendra directement du président de la République. C'est là toute la différence. Pour vous, le numérique est un dossier que l'on laisse attendre 14 mois, pour nous c'est une affaire d'Etat. En 2027, nous ferons de la France une grande puissance numérique capable de protéger les données de ses Français.

La parole est à madame Patricia Lemoyne pour le groupe Ensemble pour la République.

Merci madame la présidente, madame la ministre, monsieur le président de la commission spéciale, chers rapporteurs, chers collègues. En 2025, la France se hissait au deuxième rang des pays les plus ciblés par les cybersattaques en Europe. L'ANSI décrit une menace de venue systémique qui touche l'ensemble de notre tissu économique et social. Ainsi, le 15 avril dernier, l'ANTS détectait une intrusion concernant près de 12 millions de comptes, soit un Français sur six. La semaine dernière, nous apprenions qu'après les frigidaires des supermarchés, c'est l'établissement français du sang qui était victime d'une cyberattaque via un prestataire frigorifique. L'affaire est particulièrement préoccupante car les pirates ne se sont pas attaqués à des fichiers informatiques, mais aux installations physiques de conservation de produits sanguins. L'une des raisons majeures de cette exposition globale reste la fragilité de nos infrastructures. L'investissement massif dans le numérique ne s'est pas accompagné des investissements nécessaires dans la protection de ces outils. Un prestataire compromis, ce sont des dizaines de clients fragilisés. Un hôpital paralysé, ce sont des soins retardés. La cybersécurité n'est donc plus seulement un sujet d'informaticien, c'est une question de sécurité, de défense, de résilience de nos infrastructures essentielles et importantes, publiques comme privées, vous l'avez dit Madame la Ministre. L'inscription de ce texte à l'ordre du jour était donc devenue une priorité absolue dans un contexte géopolitique et technologique inédit, marqué par l'intensification des menaces hybrides, cyber et physiques, la dépendance croissante aux infrastructures numériques et la nécessité de garantir la résilience stratégique du pays. Mais il faut le reconnaître, nous n'avons pas été à la hauteur. La directive NIS2 devait être transposée en octobre 2024, soit il y a plus de deux ans. Pourtant, à l'issue de son audition au Sénat en juillet, la presse spécialisée relevait que l'ANSI ne pouvait aujourd'hui imposer des règles qu'à 300 opérateurs régulés par la loi de programmation militaire de 2013. Demain, avec ce texte, ce sont près de 15 000 entités et 1 500 collectivités qui devront relever leur niveau de protection et c'est là une avancée majeure. Le projet de loi vise donc à transposer trois directives européennes. REC, qui est en le champ de la protection des entités critiques à plus de secteurs. NIS2, qui renforce les obligations de cybersécurité pour un plus grand nombre d'acteurs. Et enfin, DORA, qui harmonise la gestion des risques numériques dans le secteur financier. Un numérique un réflexe afin de réduire nos vulnérabilités. Enfin, politiquement, il répond à une triple exigence. Protéger les intérêts fondamentaux de la nation, transposer les obligations européennes sans en alourdir la portée et accompagner les acteurs opérationnels, entreprises, collectivités, opérateurs d'importance vitale, dans la mise en œuvre de dispositifs agiles adaptés à l'évolution rapide des technologies. Le groupe EPR s'inscrit dans cette perspective, protégé sans asphyxier tout en maintenant un niveau d'exigence élevé à la hauteur de l'enjeu. A cet égard, nous saluons l'article 5 qui permet d'inscrire dans la loi l'élaboration et le pilotage d'une stratégie nationale de cybersécurité sous la responsabilité directe du Premier ministre. Un mot, enfin, de l'article 16 bis. Nous partageons l'intention de ces auteurs. Le chiffrement protège la vie privée et la sécurité de nos concitoyens. Et nous refusons les portes dérobées. Mais comme l'a souligné notre ancien collègue Florent Boudier lors de sa mission, sa rédaction soulève de sérieuses zones d'ombre. L'interdiction de tout mécanisme d'accès non consenti pourrait fragiliser des techniques de renseignement et d'enquête, pourtant légales. Il formule à cet égard 17 recommandations majeures afin de réorienter notre stratégie face au chiffrement et nous devons, je crois, nous saisir de ces pistes pour concilier protection de la vie privée et fourniture de levées d'actions aux renseignements dans leur mission de lutte contre les réseaux criminels. Je pense notamment à l'exploitation des failles de l'écosystème. Des millions d'utilisateurs chiffrent leurs messages sur WhatsApp tout en laissant leur sauvegarde automatique accessible sur le cloud. Nous aborderons donc ce débat avec responsabilité, protéger le chiffrement sans entraver la lutte contre la criminalité et le terrorisme. Nous soutiendrons donc la suppression de l'article 16 bis et voterons évidemment pour ce texte très attendu avec la volonté de l'améliorer encore. Je vous remercie. Je

vous remercie. La parole est à monsieur Arnaud Saint-Martin pour le groupe La France Insoumise.

Arnaud Saint-MartinLien55:31 → 1:00:37

la Présidente, Madame la Ministre, Mesdames et Messieurs les rapporteurs, Monsieur le Président, ce n'est pas trop tôt. Il aura fallu près d'un an pour que le gouvernement daigne mettre à l'ordre du jour ce projet de loi examiné en commission spéciale début septembre 2025. C'était présenté à l'époque comme une urgence, à juste titre, puisqu'il y a urgence. Notre souveraineté sur les données sensibles des Français est menacée et nous ne sommes pas prêts face aux cybermenaces. Nous avions donc entamé des débats et puis plus rien. Un an dans les limbes. Quel gâchis provoqué par votre impréparation, vos indécisions ? Celle-ci est extrêmement coûteuse, puisqu'en 2024, le coût annuel de la cybercriminalité est évalué à 119 milliards d'euros. J'ai fait mes calculs en nous prévenant des coûts liés aux conséquences des cyberattaques. Nous aurions pu, par exemple, ramener le déficit annuel du pays de 5% à 1% du PIB. Le vol des données personnelles est un scandale en soi, mais s'il ne vous suffisait pas pour agir, voici donc une bonne et impérieuse raison de planifier la cybersécurité. En attendant, le volume des données personnelles qui ont été dérobées dépasse l'entendement. Depuis un an, c'est la fuite en avant, la fuite en avrant même. Pas un jour sans qu'une faille n'apparaisse, qu'une vulnérabilité ne soit mise au jour, qu'une attaque ne soit enregistrée. On comptait 1 366 incidents confirmés en 2025 contre 831 en 2023, soit une hausse des cyberattaques de plus de 60% en deux ans. C'est la généralisation alarmante d'un risque numérique systémique qui expose les administrations publiques, les entreprises et tous les secteurs d'activité, et aussi en passant les citoyens et leurs données sensibles. Les conséquences sont désastreuses. Rentrées scolaires empêchées, données médicales dérobées, attaques contre la DGFIP conduisant à la fuite des données de centaines de milliers de Français, piratage d'installations frigorifiques de supermarchés, craquage de l'ANSI même. La menace est réelle, organisée de façon toujours plus ingénieuse d'ailleurs. C'est pourquoi votre politique de sécurisation du numérique est si totalement problématique. Les deux quinquennats Macron, pourtant si engagés dans la promotion du capitalisme numérique, du start-uping et de l'innovation de rupture, n'y auront rien fait. Ça craque de partout. Il est vrai que les nouvelles sources de bénéfices engendrées par les cybermenaces en arrangent certains. Car c'est tout un marché de la cybersécurité, prédaté par les géants états-uniens du capitalisme numérique, qui prospère désormais sur les ruines du secteur numérique et tire profit de nos dépendances matérielles. La puissance publique, elle, elle se trouve impuissante. Vous tentez d'organiser un business florissant qui rend toujours plus captifs les utilisateurs obligés de se protéger. Celles et ceux qui en paieront le prix sont les citoyens, les organisations publiques ou encore les collectivités territoriales. C'est pourquoi il est urgent d'élargir les missions de l'ANSI et d'augmenter substantiellement ses effectifs afin de les rendre capables de mettre en œuvre des mesures de protection et de supervision de milieux d'entités. Là où émerge un nouveau besoin essentiel, pour une société fonctionnellement encastrée dans le numérique, il faut débloquer de nouveaux moyens. Sans cela, nous les condamnons à avoir recours à des outils coûteux, sans assurance que leur système soit intègre, robuste et résilient. Notre adaptation aux cyberattaques est devenue d'autant plus cruciale à l'heure de la généralisation de l'intelligence artificielle, autre point qui est éminemment critique. Cela ouvre des menaces inédites qui vont évoluer rapidement, qui nous prennent de vitesse et contre lesquelles aucune protection n'existe actuellement. Face à cette incertitude, l'enjeu est non seulement de garantir la sécurité des infrastructures et des données, mais aussi la confidentialité des communications des citoyens. C'est pourquoi, Madame la Ministre, nous sommes profondément attachés au maintien de l'article 16 bis examiné en toute fin de nos travaux, car nous nous opposons à toute forme d'affaiblissement volontaire ou de contournement du chiffrement des échanges numériques, quand bien même certains acteurs concernés, notamment dans le renseignement, se font entendre pour renforcer le décloisonnement. Or, il faut le dire avec force, les libertés fondamentales ne s'arrêtent pas à la porte de la sphère numérique. Le chiffrement vise à garantir l'intégrité et la confidentialité des communications. L'affaiblir serait une régression liberticide sans horizon, hors de question en tout cas pour nous, de céder aux injections techno-sécuritaires. Madame la ministre, chers collègues, ce projet de loi a le mérite de mettre à l'agenda une question critique. d'en faire un sujet politique, dont on va pouvoir débattre assidûment pendant tout l'examen de ce projet de loi. Mais votre réponse, il faut bien le dire, n'est pas à la hauteur. Vous n'avez rien anticipé pour protéger un cyberespace transformé en passoire. Vous l'avez fait a posteriori, après coup. Vous n'avez rien planifié et vous intervenez a posteriori lorsque ça plante. Vous transposez des directives européennes avec un grand retard, exposant la France à des pénalités qui alourdissent encore la facture de votre inaction numérique. Si ce projet de loi porte des avancées... C'est la raison pour laquelle nous avons constructivement amendé. Il n'est pas suffisant. Sans hausse des moyens, sans planification, sans acculturation collective au dommage de la vie numérique, sans vision stratégique globale, les failles persisteront et nous mettront en danger. Ce projet de loi n'est qu'une étape que nous prolongerons en 2027, une fois aux commandes de l'exécutif, par un plan autrement plus conséquent et protecteur. Merci.

vous remercie. La parole est à monsieur Sébastien Saint-Pasteur pour le groupe socialiste.

la présidente, madame la ministre, madame la rapporteure, messieurs les rapporteurs, chers collègues, parler de petits pois, de pizza, de steak haché surgelé peut paraître incongru dans un débat qui a trait à la cybersécurité. Et pourtant, c'est des sujets très concrets, puisque dans ma circonscription, un supermarché du groupe Intermarché a perdu pour 21 000 euros de stock, près de 20 millions pour le groupe Intermarché. On a les problématiques sur les pièces d'identité, le cas de la NTS a été évoqué. Des dégradations dans le suivi des cancers dans des hôpitaux, Corbeil-Essonne, je crois que Dax a été aussi évoqué, des EHPAD qui doivent travailler en mode dégradé, tout ça à cause de cyberattaques. Ces cyberattaques, elles affectent notre quotidien et de façon quotidienne. En 2025, 40% des entreprises interrogées par le Césine déclarent avoir subi une cyberattaque significative. La plateforme Cybermalveillance a enregistré près d'un demi-million d'incidents à mettre en reflet avec les 200 000 cambriolages qui ont été dénombrés en France l'année dernière. Alors, face à l'ampleur de ce sujet, Madame la Ministre, on peut interroger l'attentisme du gouvernement qu'on pourrait presque juger de procrastination. Parce qu'on n'est pas parti d'une page blanche. On avait trois textes. On a travaillé à l'échelle européenne. L'Europe peut être source de grandes vertus. Nice 2, REC, DORA, dans des secteurs spécifiques, on a des exemples dans des pays étrangers, la Belgique, l'Italie, l'Allemagne ou le Danemark, qui ont déjà transposé la directive. Et pendant ce temps-là, nous avons attendu. Deux ans de retard pendant lesquels les cyberattaques ont été bien présentes. Et comme cela ne suffisait pas, pour rendre encore un petit peu plus complexe le débat, on a... L'intrusion d'un amendement cavalier, le 16 bis, par un sénateur de l'Union centriste, membre du socle commun, qui vient cristalliser les débats, créer de la difficulté alors que le sujet mériterait qu'il soit traité de façon autonome. Nous y reviendrons demain. Chagrine un peu, un risque financier, ça a été évoqué. La Commission européenne a saisi la Cour de justice pour une sanction forfaitaire de près de 15 millions d'euros, une astreinte de près de 337 000 euros par jour. On voit bien, à l'heure où on cherche à pouvoir recruter des infirmiers, des professeurs dans nos écoles, des policiers, que cet argent-là, il serait évidemment bien mieux investi ailleurs. Mais le plus grave n'est peut-être pas là, parce que le temps que nous avons perdu, nous l'avons fait perdre également aux autres. Les entreprises qui doivent investir sont évidemment dans l'attente tant que le cadre réglementaire n'est pas fixé. Certaines ont même, je pense, été arnaquées par des démarchages sur des possibilités de se mettre en conformité, notamment avec Nice 2, par des opérateurs très peu bienveillants. Il ne faudrait pas que le retard que nous avons pris, nous l'imposions aux entités assujetties en leur demandant une transposition en marche forcée. Voilà la contradiction, voilà l'injustice potentielle. Il fut un temps où on nous promettait la start-up nation. On constate qu'ici, on est plutôt sur la slow-motion nation. Et pour franciser le propos, La Fontaine écrivait que rien ne sert de courir, il faut partir à point, mais avec deux ans de retard, il ne faut plus courir, il faut galoper. Et nous verrons si les entités concernées ne seront ni lièvres ni tortues, mais en tout cas pas les dindons de la farce de cette histoire. Madame la ministre, chers collègues, derrière ce texte, il y a des milliers d'entreprises, des collectivités, des services publics, des femmes et des hommes qui devront investir, s'organiser, se former. Il faudra encore du temps, après le vote, pour que les Français ressentent les effets de cette loi. Nous devons être à la hauteur de l'importance du sujet. Le groupe socialiste a apporté des amendements, non pas de surtransposition, mais... d'effectivité parce que la mise en œuvre de ces transpositions se feront aussi avec les acteurs du territoire. Ce sera le sens de notre travail sur ce texte qui est attendu depuis maintenant trop longtemps. Je vous remercie.

vous remercie. La parole est à monsieur Nicolas Trisna pour le groupe droite républicaine.

la Présidente, Madame la Ministre, Monsieur le rapporteur général, Mesdames et Messieurs les rapporteurs, mes chers collègues. Plus de deux ans après son dépôt au Sénat, nous commençons enfin l'examen du projet de loi relatif à la résilience, les infrastructures critiques et au renforcement de la cybersécurité. Examiné en commission spéciale au lendemain de la chute du gouvernement Bayrou, inscrit puis repoussé à plusieurs reprises, ce texte illustre malheureusement l'instabilité que connaît notre Assemblée depuis 2024. Cela doit être une alerte. Face au défi que traverse notre pays, la paralysie de nos institutions constitue un facteur de désordre et de déstabilisation important. Car ce texte n'est pourtant pas que l'adaptation de notre cadre législatif face à la montée de la cybermenace. Mais ce « que » ne doit pas nous montrer. D'ailleurs, cette adaptation se cache un chantier considérable, celui de garantir la continuité de nos activités vitales en cas de crise. Il s'agit de la transposition de trois directives européennes, REC, NIS2 et DORA, qui imposent des standards de résilience opérationnelle. Notre collègue Michel Barnier vous a interrogé encore, madame la ministre, il n'y a pas très longtemps, pour s'étonner de cette échéance de transposition qui espirait, je vous le rappelle, le 17 octobre 2024. Nous sommes donc très en retard, alors que la situation se dégrade jour après jour. En commission spéciale, notre collègue Virginie Duby-Muller l'a rappelé. Notre pays a subi depuis 2022 de nombreuses cyberattaques qui ont relevé la vulnérabilité de nos infrastructures critiques, de nos services publics et de nos entreprises. Je pense naturellement aux attaques contre les hôpitaux, à Corbeil-Essonne, à Versailles, contre les organismes de tiers payants, via Médis, Almeris ou encore contre France Travail. En vérité, il ne se passe pas une semaine sans que la presse se fasse l'écho d'attaque, confirmant que le paysage de la cybersécurité en 2026 est marqué par une multiplication et une professionnalisation de celle-ci. Les chiffres le démontrent. L'Agence nationale de sécurité des systèmes d'information indique que le nombre d'attaques a simplement doublé entre 2020 et 2025. Les TPE, PME, ETI représentent 48% des victimes et les établissements en lien avec la santé, 8%. En plein cœur de l'été, les Français ont appris que la Direction générale des finances publiques, elle-même, avait été victime de cyberattaques, exposant les données de centaines de milliers de contribuables et d'entreprises. Même l'État, au cœur de Bercy, n'est donc pas épargné. Et comment ne pas mentionner les spectaculaires cyberattaques qui ont touché les équipements frigorifiques de supermarchés début octobre ? Ces exemples nous montrent une chose. Une cyberattaque n'est pas seulement une affaire informatique. Elle peut paralyser un hôpital, un service public, interrompre une activité économique. La résilience de notre pays repose donc sur sa capacité à prévenir les attaques, à les détecter rapidement et à limiter leurs conséquences et enfin à rétablir le fonctionnement normal de nos services essentiels. Il ne s'agit plus seulement de protéger les équipements, mais bien de garantir la continuité des activités économiques, administratives et stratégiques. Mais soutenir ce texte n'est pas lui donner un blanc-seing. Notre vigilance porte notamment sur les conséquences concrètes de ce texte pour les entreprises, les collectivités territoriales et les administrations concernées. Vigilance d'abord pour nos collectivités territoriales. Près de 1500 d'entre elles seront concernées par ces nouvelles obligations, incluant nos départements. Or, nos collectivités, notamment les plus petites, ne disposent pas toujours des moyens humains et financiers nécessaires pour répondre. Protéger nos collectivités, oui. De les laisser seuls face à une facture, non. Vigilance également pour nos entreprises. Nos TPE et PME ne disposent pas des mêmes moyens que les grands groupes. Protéger ne doit pas signifier accabler. Une obligation impossible à appliquer ne protège personne. Les décrets d'application devront donc respecter l'esprit du législateur et tenir compte des capacités réelles de nos entreprises. Vigilance enfin pour notre souveraineté. Car se protéger avec des outils que nous ne maîtrisons pas, c'est déplacer le risque plutôt que le supprimer. Notre cybersécurité doit aussi être un enjeu de souveraineté nationale et européenne. Chers collègues, la menace cyber est durable, elle évolue constamment et elle éclive de notre part une adaptation permanente. Ce projet de loi constitue une étape nécessaire pour renforcer la protection de notre pays et des entreprises et des concitoyens. Ainsi, tout en restant attentif à la proportionnalité des obligations, à leur financement et à la mise en place et la mise en œuvre concrète, le groupe Droite Républicaine soutient et votera donc ce texte. Nous sommes en effet convaincus que face à des menaces qui ne connaissent ni frontières ni répits, la France ne peut plus se permettre d'avoir un temps de retard. Je vous remercie.

vous remercie. La parole est à madame Sabrina Sébey pour le groupe écologiste et social.

Merci Madame la Présidente, Madame la Ministre, chers collègues. Dans la nuit du 11 au 12 octobre dernier, des centaines de supermarchés ont vu leurs armoires frigorifiques prises en otage par une cyberattaque. Il n'y avait ni bruit, ni fracas. Seulement des écrans figés et des chaînes du froid rompu. Aujourd'hui, la guerre ne commence pas toujours par des chars. Elle commence parfois par une ligne de code dans un hôpital, dans une mairie ou bien encore dans un réseau d'eau. Face à cette réalité, la France arrive en retard, et plus exactement avec deux ans de retard. La directive NIS2 devait être transposée le 17 octobre 2024. En juillet, la Commission européenne nous a même traînés devant la Cour de justice de l'Union. Et ce texte, adopté à l'unanimité par notre commission spéciale il y a 14 mois, a été repoussé, reporté, puis déprogrammé la veille de son examen. Pourquoi ? Les rapporteurs l'ont dit eux-mêmes, parce qu'un article dérangé. Une seule ligne a tenu en otage la cybersécurité de tout un pays. Sur le fond, nous soutenons ce texte. Il fait passer le nombre de secteurs régulés de 6 à 18. Il fait passer de quelques 300 opérateurs d'importance vitale à près de 15 000 entités essentielles et importantes. Il fait de l'ANSI le chef d'orchestre de notre défense numérique. C'est un changement d'échelle et il était nécessaire. Mais un changement d'échelle exige des moyens à la hauteur. Près de 1 500 collectivités vont entrer dans ce régime. Nous avons défendu avec département de France une idée simple. On ne protège pas un service public en l'amputant. Une amende infligée à une collectivité est payée par ses habitants. Pour les collectivités, il faut de l'accompagnement, de la formation et de la transparence. Pas des sanctions qui creusent leur budget. Elles ne doivent pas non plus payer elles-mêmes les audits qu'on leur impose. Nous demandons aussi une commission de sanctions irréprochable. Ceux qui jugent ne doivent pas sortir la veille des entreprises qu'ils contrôlent. Chers collègues, je viens à l'essentiel. Le gouvernement nous demande de supprimer l'article 16 bis. Cet article dit une chose très simple. On ne peut pas obliger les fournisseurs de chiffrement à affaiblir volontairement leur système et donc pas de clé maîtresse ni de porte dérobée. Dans un texte qui a pour titre « Renforcement de la cybersécurité », le gouvernement veut retirer la seule protection explicite du chiffrement. Autant installer une porte blindée en lui ajoutant une serrure de service. Une porte dérobée ne fait pas de tri entre ceux qui la franchissent. Une clé faite pour la police finit un jour. entre les mains des mafias, des rançonneurs et des puissances étrangères. Ce n'est pas notre point de vue politique, c'est ce que disent les mathématiques. Tous les experts de la sécurité numérique le répètent. Un chiffrement affaibli pour quelques-uns l'est en fait pour tout le monde. On nous dit supprimer l'article, ce n'est pas défendre les portes dérobées. Alors pourquoi tant d'acharnement à le supprimer ? On nous dit aussi que la France serait isolée. Être le premier pays d'Europe à protéger le secret de ses citoyens, ce n'est pas être isolé, c'est au contraire montrer la voie. On nous promet enfin de ne pas revenir à l'article 8R de la loi narcotrafic que cette Assemblée a eu la sagesse de rejeter avant la fin de la session. Une liberté garantie jusqu'au 30 juin n'est pas une liberté, c'est un sursis. Le chiffrement n'a rien d'un caprice de technicien, c'est le secret des correspondances au XXIe siècle. Il protège la journaliste et sa source, l'avocat et son client, la militante face à un régime autoritaire et la femme qui fut un conjoint violent. Il protège aussi nos hôpitaux, nos banques et nos centrales. C'est pourquoi nous, écologistes, voulons aller plus loin que l'article 16 bis. Nous défendons la constitutionnalisation du chiffrement pour que plus aucun gouvernement... quel qu'il soit, ne puisse l'affaiblir par un amendement de circonstance. Nous voulons une France résiliente et une France résiliente protège ses libertés au lieu de les percer. Nous voterons donc contre toute fragilisation de nos libertés fondamentales par des portes dérobées. Je vous remercie.

Madame la Présidente, Madame la Ministre, Monsieur le rapporteur général, Madame et Messieurs les rapporteurs, mes chers collègues. France Travail, Naval Group, Poitiers, le département de l'Aude, Orange, Bouygues et chez moi dans les Landes, l'hôpital de Dax, on en a parlé en 2021, la mairie de Tarnos cet été et le mois dernier, le super U de Morsinx, lui aussi contraint de jeter tout son rayon frais après le piratage de ses frigos. Bien sûr, ces noms ont un point commun. Tous ont été frappés par une cyberattaque. Donc, nous le savons, plus personne n'est à l'abri. Et les premières victimes, en définitive, ce sont nos concitoyens. Cet été, la Direction générale des finances publiques a reconnu que les données fiscales de 678 000 particuliers et professionnels avaient été consultées ou extraites. Identité, adresse, revenu, situation familiale. Ces derniers mois, ce sont aussi les données d'un million six d'inscrits à France Travail et un million deux de salariés déclarés sur page emploi. Quand un commerce est touché, c'est grave. Quand c'est le fisc ou la sécurité sociale, c'est la confiance des Français dans leur institution qui vacille. Car on ne choisit pas de confier ces données à l'administration, on y est tenu. L'État a donc un devoir absolu de les protéger. Et ces données ne disparaissent pas. Elles sont revendues, croisées et finissent par circuler partout. Elles nourrissent les faux SMS de l'assurance maladie sur le renouvellement de la carte vitale, les faux courriels des impôts promettant un remboursement, les faux conseillers bancaires et bien d'autres. L'hameçonnage est devenu la première menace pour les particuliers. Il a bondi de 70% en 2025 et plus de 500 000 victimes ont dû demander de l'aide à cybermalveillance.gouv.fr. Alors derrière ces chiffres, il y a des retraités escroqués, des familles inquiètes, des citoyens qui ne savent plus à quel message se fier. Bien sûr, la France n'est pas seule. Cette semaine encore, les supermarchés de neuf pays de l'Union européenne ont eux aussi été attaqués. Et la menace ne connaît pas de frontières. C'est bien classique dans le numérique. Donc notre réponse doit être européenne. Cette réponse existe. L'Union européenne a adopté... Vous l'avez tous dit, le 14 décembre 2022, REC, Nice 2, DORA, et nous devons transcrire ces propositions, ces lois européennes. Deux ans plus tard, nous y sommes à peine, autant dire que nous n'y sommes pas, que nous sommes en retard, mais je veux quand même remercier bien sûr la volonté du gouvernement de s'être enfin saisi de ce texte. Il était temps. Des milliers d'entreprises, d'administrations et de collectivités devront désormais se protéger, déclarer leur incident et rendre des comptes pour certains. Cette urgence explique aussi notre soutien à la suppression de l'article 16 bis. Nous partageons la conviction que le chiffrement protège les Français. Mais sa rédaction est imprécise et elle fragilise nos services de renseignement et un débat aussi important mérite un texte à part. mener avec nos partenaires européens plutôt qu'un article qui retarde encore la transposition. Transposer vite ne veut pas dire transposer un minima. Notre groupe a déposé 11 amendements, guidés par une même idée. Renforcer notre cybersécurité tout en gardant la maîtrise de nos dépendances technologiques. Nous proposons que l'exposition d'un fournisseur à une loi étrangère permettant d'accéder à nos données sans notre accord devienne un critère explicite de choix. Nous proposons le principe appliqué ou expliqué. pour le recours aux logiciels propriétaires dans les systèmes critiques et une certification de l'ANSI accessible aux logiciels libres et à nos PME. Nous voulons aussi un texte effectif, y compris pour l'État. Une entité attaquée doit pouvoir déclarer son incident une seule fois à l'ANSI qui transmettra à la CNIL et le secteur public, s'il échappe aux amendes, ne peut pas échapper aux sanctions si le gestionnaire... est en défaut pour photographe. Protéger les données des Français ne peut pas être une obligation sans conséquences. Enfin, nous voulons préparer nos territoires en intégrant le risque cyber au plan communaux de sauvegarde. Mes chers collègues, la cybersécurité n'est plus d'affaires d'experts. C'est la protection de nos données, de nos vies, la continuité de nos services publics et, au fond, la confiance des Français dans leurs institutions. Le groupe Les Démocrates votera ce texte et appelle chacun... à ne plus en retarder l'adoption. Je vous remercie. Je

vous remercie. La parole est à M. Michel Castellani pour le groupe Libertin dépendant entre mer et territoire.

la Présidente, Madame la Ministre, Mesdames et Messieurs les rapporteurs, mes chers collègues, nous avons peu à peu confié au numérique une place considérable dans nos vies, dans le fonctionnement de nos entreprises, de nos services publics, de nos infrastructures, même les plus importantes. Nous avons pris le pli de considérer que ces services sont là et qu'ils continueront toujours de fonctionner. Sauf que ce n'est pas systématiquement le cas. La réalité est que sans protection suffisante, cette dépendance au numérique a son revers. C'est ce que nous rappellent les cyberattaques qui ont touché la DGFIP, l'Education nationale, nos hôpitaux, encore récemment nos supermarchés. Cela a été dit à plusieurs reprises à cette tribune. C'est précisément ce qui rend ce projet de loi nécessaire pour faire face à cette menace en transposant trois directives européennes de 2022. Je dois dire, comme d'autres, que je ferais le reproche au gouvernement de n'avoir que trop tardé. Notre Parlement, lui, n'a pas attendu. Il y a plus d'un an, ce texte a été adopté en commission en pleine session extraordinaire. Je veux d'ailleurs à ce titre saluer le travail du président et des rapporteurs. Ce texte acte d'abord le passage à une logique de résilience en transposant la directive REC qui concerne la protection de nos activités d'importance vitale. Nous ne partons pas de rien. Depuis 2006, la France a bâti un dispositif national qui concerne 300 opérateurs dans des secteurs aussi essentiels que l'énergie, les transports, l'eau. Ces opérateurs devront désormais établir un plan de résilience, identifier leur dépendance et notifier chaque incident. Notre groupe soutient ces exigences, mais il faudra aussi leur laisser le temps de s'organiser. J'en viens à la directive NIS2 et à la lutte contre la cybercriminalité. Près de 15 000 entités publiques et privées dans 18 secteurs devront respecter un nouveau cadre commun de cybersécurité. Je veux insister sur la protection du tissu économique. Bien entendu, il faut un sursaut. Mais ce texte ne doit pas se résumer à une liste d'obligations assorties de sanctions. Face aux cyberattaques, l'État doit surtout sensibiliser, accompagner et aider nos entreprises. Du reste, il ne faut pas penser qu'aux grandes entreprises. Les petites sont des cibles faciles qui attirent les pirates. Je connais un peu la Corse. En Corse, où les TPE et les PME représentent près de 90% du tissu économique, et nous connaissons cette menace puisque le centre de réponse aux incidents cyber de la collectivité de Corse, qui s'appelle le CyberCourse, a déjà accompagné une soixantaine d'entreprises victimes d'attaques. Dès à ce chiffre, il y a des entreprises qui voient leur activité s'arrêter avec un risque de faillite. On sait que tout ça ne peut pas être bon, bien entendu. La même vigilance s'impose pour nos territoires, puisque ce texte concerne 1 500 collectivités. Un changement qui sera un véritable défi à mettre en œuvre sur le terrain. Notre groupe appelle à un accompagnement dédié pour les élus locaux. Il faut aussi que l'Agence nationale de sécurité joue son rôle de chef de file et assure un accompagnement clair et unifié. Reste enfin l'article 16 bis qui concentre l'essentiel des tensions. Il porte sur la sécurité de nos échanges, sur les messageries cryptées, WhatsApp, Signal ou Telegram. Concrètement, il interdit à l'État d'obliger ses plateformes à créer des portes dérobées, autrement dit un accès caché à nos conversations qui fragiliserait le chiffrement. Ce débat est délicat. D'un côté, personne ne souhaite que ces données puissent être accessibles à notre insu. Le chiffrement protège nos échanges personnels, mais aussi les informations sensibles de nos entreprises et des administrations. J'entends les enjeux pour notre sécurité collective. Le rapport du président Boudier propose un équilibre pour ne pas opposer ces deux exigences. Il appelle à renforcer la coopération des plateformes, mais demande aussi de ne pas fragiliser le chiffrement au détriment des utilisateurs. J'appelle le gouvernement d'ailleurs à se saisir de ses recommandations, étant personnellement toujours très réservé devant ceux qui, de près ou de loin, un peu ou prou, restreint le périmètre de nos libertés individuelles. Madame la ministre, je vous ai fait part de nos réserves. Nous ne doivent toutefois pas nous faire perdre de vue. L'essentiel, face aux cyberattaques, notre groupe votera pour ce projet de loi afin de protéger nos entreprises, nos services publics et nos concitoyens. Je vous remercie.

vous remercie. La discussion générale est close. On va poursuivre avec les amendements. J'appelle maintenant dans le texte de la Commission les articles du projet de loi. Nous sommes à l'article 1er. Je n'ai inscrit M. Alexandre Sabatou pour une durée de deux minutes.

Oui, merci Mme la Présidente. Dans cet article, on parle ici de nos centrales, de nos réseaux électriques, de nos ports, de nos aéroports qui, s'ils s'arrêtent, bloqueraient le pays. Sur l'objectif, Mme la Ministre, nous sommes d'accord. Renforcer leur protection. Mais en lisant le texte, on découvre des choses étonnantes. Par exemple, un opérateur d'importance vitale peut aujourd'hui confier un poste sensible sans jamais vérifier qui il recrute, car l'enquête est facultative. Et si l'État rend un avis défavorable, cet avis ne s'impose qu'aux opérateurs privés. Un opérateur public, lui, peut passer outre. Je ne vois pas pourquoi un saboteur serait moins dangereux dans une régie que dans une entreprise. Autre exemple, dans certains équipements de sûreté, je pense aux scanners à bagages de nos aéroports, des fournisseurs européens dominent le marché. Nos opérateurs, aujourd'hui, n'ont aucune base juridique claire pour les écarter. Nous l'avons fait pour la 5G en 2019. Le Conseil constitutionnel l'a validé. Nous pouvons le faire ici. Et puis, il y a l'alinéa 53. Il permet à la Commission européenne d'envoyer des missions chez nos opérateurs vitaux avec un accès garanti à leurs informations, leurs systèmes, leurs installations, puis de leur rendre un avis sur leur sécurité. On répondra que l'État doit donner son accord, mais la question n'est pas de savoir si l'État dira oui ou non, la question c'est qu'est-ce que la Commission vient faire ici. Les traités européens eux-mêmes le disent, la sécurité nationale reste de la seule responsabilité de chaque État membre. Nos centrales, nos réseaux, nos sites vitaux, c'est la sécurité nationale. Ce n'est donc pas à la Commission européenne de venir les évaluer. Que Bruxelles fisse des objectifs communs, soit... Mais pour la protection de nos sites vitaux, c'est à l'Etat français de décider et à personne d'autre. C'est pourquoi nous demandons la suppression de ce dispositif.

vous remercie. On poursuit avec l'amendement numéro 86. Madame Ozen.

Merci Madame la Présidente. Donc cet article définit ce qui est vital pour la nation, ce dont la perturbation mettrait gravement en cause la santé de la population ou l'environnement. Nous proposons ainsi d'ajouter l'accès à l'information. Quand un pays est attaqué, la première cible n'est plus seulement la centrale ou l'aéroport, ce sont les réseaux qui portent l'information, la diffusion audiovisuelle, la presse en ligne, les réseaux de diffusion de contenu. Si vous coupez l'eau, une ville a soif. Si vous coupez l'information, un pays devient aveugle. Et un pays aveugle... peut se laisser facilement manipuler. Pendant une crise, l'information est ce qui permet aux citoyens de savoir s'il faut évacuer, se confiner et ne pas croire la rumeur qui circule. Cet amendement n'est pas une fantaisie. Il est conforme à la directive REC qui définit un service essentiel comme crucial pour le maintien des fonctions sociétales. Il est aussi cohérent avec le texte lui-même qui soumit déjà au régime les réseaux sociaux de diffusion de contenu et les réseaux de communication. électronique. A l'heure des ingérences étrangères et des campagnes de désinformation, protéger les tuyaux de l'information, c'est protéger la démocratie elle-même. Écrivons-le. Merci.

vous remercie. Votre avis, s'il vous plaît, sur cet amendement.

Alors... J'avais déposé un amendement similaire lors des travaux en commission. Je rejoins sur le fond ce que vient de dire la collègue, mais en tant que rapporteur et par rapport à la volonté de transposer, de veiller à la transposition, à la bonne transposition de la directive REC dans ce PJL, je vais exprimer un avis défavorable. Pour autant, je pense que ce sujet devra... être poursuivi en cours de discussion pour affiner nos travaux et pour améliorer le projet de loi qui devra de toute façon évoluer dans la durée. Merci Madame la Ministre.

Madame la Présidente. Madame la députée, en fait l'appréciation du caractère indispensable à la société figure déjà parmi les critères de détermination de l'importance vitale d'une activité. L'ajout que vous proposez, en fait, n'a pas de lien direct avec la notion d'infrastructure critique. Et par ailleurs, c'est, à mon sens, une surtransposition. Donc défavorable.

Excusez-moi.

Oui, effectivement, défavorable.

pour cet amendement, je vais passer à la mise au voie. Je rappelle d'où l'avait défavorable. Commission gouvernement et c'est à main levée. Qui est pour ? Qui est contre ? C'est rejeté. On a une série d'amendements identiques. Le numéro 1 n'est pas défendu. Le 353, M. Bautorel.

Mme la Présidente. Le 353, initialement, j'avais prévu de vous amender celui de Mme Dumoulin, mais qui ne l'a pas présenté. Le 353 visait à préciser des éléments supplémentaires sur la division de résilience.

La Commission ? Allez-y. Défavorable. Défavorable. Madame la ministre.

Merci, madame la présidente. En fait, la définition proposée, elle est alignée sur la directive REC. Elle est cohérente avec le titre 1, 2, donc avis favorable. 'accord. est retiré.

'accord. Le 301, monsieur Sabatou.

Merci Madame la Présidente. Amendement assez simple. On parle de souveraineté numérique dans le texte sans jamais le définir. Je propose de rajouter un alinéa pour le faire. En rappelant la capacité de l'Etat à établir les règles qui permettront d'utiliser le numérique, de contrôler les impacts de ces usages et à disposer de l'autonomie sur les technologies qui vont conditionner ces usages numériques tout en se protégeant des ingérences et des attaques étrangères. Cela me semble de bon ton de le rajouter dans le texte.

Merci. Votre avis ?

Cet amendement ajoute la définition de la souveraineté numérique à l'article 1er. Mais les définitions présentes dans le PGL sont issues de l'article 2 de la directive EREC. Elles ont pour objet de poser le cadre du dispositif de sécurité des activités d'importance vitale. La souveraineté numérique n'est pas une notion utilisée dans ce dispositif. Donc il n'y a pas vraiment de place pour cette définition dans cet article premier. Et pour conclure, il s'agirait vraiment là d'une transposition et ça pourrait ouvrir la voie à des conséquences néfastes pour le dispositif. Donc avis défavorable.

Madame la Présidente. Je partage évidemment l'ambition de défendre et de mettre en œuvre toute mesure pour la souveraineté numérique. Cependant, je serai défavorable à votre amendement, Monsieur le député, parce que la définition de la souveraineté numérique n'a pas de lien direct avec le PJL Résilience, ni avec la directive REC. La souveraineté, c'est quelque chose qui se construit, ce que nous sommes en train de faire d'ailleurs, avec les mesures que nous prenons, et ne dépend pas de règles qui se... mais bien corresponde au développement concret d'une filière autonome. Et la définition seule, si vous voulez, ne présente pas d'intérêt, donc avis défavorable. Merci.

Je passe la mise au voie de cet amendement qui recueille un double avis défavorable, Commission gouvernement et système. Main levée, qui est pour ? Qui est contre ? Il est rejeté. Le 360, Madame Hervieux

'est un amendement que signé avec mon collègue Eric Bottorel. Il ajoute l'environnement à l'analyse des risques, comme je l'avais souligné dans mon intervention tout à l'heure. Il permet une meilleure prise en compte du risque environnemental par les OIV. On l'a bien vu avec les incendies de cet été, les phénomènes environnementaux peuvent représenter des risques pour la continuité des activités d'importance vitale, avec la fréquence et l'intensification de tous ces phénomènes. Cette évolution doit être prise en compte dans l'anticipation des risques susceptibles d'affecter les OIV. Je vous invite à voter cet amendement. Je vous remercie.

Merci Madame la Présidente. Cet amendement a été parfaitement présenté par Madame la rapporteure thématique sur ce sujet. Peut-être profiter de ce moment pour saluer le travail des opérateurs des télécommunications qui cet été ont fait face aux incendies que vous avez rappelés. Ils ont fait la démonstration de la capacité à la résilience. J'ai le plaisir de co-signer cet amendement. Il faudra être vigilant ensuite à l'articulation des travaux avec l'ARCEP sur le sujet de l'environnement et des télécommunications.

vous remercie. Donc l'avis de la commission était favorable ? Favorable également ? Je vous remercie. Je passe à la mise au voie du 360. Quelqu'un double avis favorable ? C'est Amin Levé qui est pour ? Qui est contre ? C'est adopté. M. Bautorel, allez-y.

Merci, madame la présidente. Cet amendement vise à préciser les critères d'appréciation d'un effet perturbateur important sur les activités d'entités d'importance vitale.

vous remercie. Votre avis ? Défavorable. Madame la ministre. Merci

Madame la Présidente, je vais prendre un petit peu de temps pour répondre puisque mon avis est également défavorable. Monsieur le rapporteur général, la définition ne relève pas de la loi mais du domaine réglementaire. C'est un choix volontaire de laisser les ministres, coordonnateurs, de préciser ce qui doit être entendu comme effet perturbateur. Selon nous, selon moi, ça risque de rigidifier inutilement la loi et pour ma part je considère également que c'est une surtransposition.

défavorable. Je vous remercie. Je procède à la mise aux voix de cet amendement qui est pour. Qui est contre ? C'est rejeté. L'amendement numéro 258 n'est pas défendu. Le 302, M. Sabatou.

Madame la Présidente. Le texte impose aux organismes d'importance vitale de réévaluer leurs risques tous les 4 ans. Je veux juste rappeler que l'IA générative a fait son boom en 2022. On est en 2026 aujourd'hui, on voit à quel point les menaces cyber ont évolué en seulement 4 ans. C'est une bonne pratique de l'industrie, après un incident majeur, de mettre à jour sa politique de sécurité, ses études de risque. Et donc c'est pourquoi je propose cet amendement, pour que dès qu'un incident majeur touche un OIV, le risque soit réévalué.

Merci. Votre avis, s'il vous plaît, défavorable. Merci, Madame la Ministre.

la présidente alors en fait l'objectif il est déjà satisfait monsieur le député la formule au moins tous les quatre ans permet précisément de permettre une réévaluation en cas de survenance d'un événement majeur le nouveau critère proposé par moi même chaque fois que nécessaire est flou et risque de générer des contentieux pour les opérateurs de plus c'est une lourdeur administrative puisque ça nécessite de réaliser des plans des analyses de risque Un investissement pour les opérateurs. Chaque nouvelle contrainte fait courir le risque d'un dispositif insoutenable à terme. Avis défavorable.

Il est marqué au moins. Là, on ne parle pas de paperasse inutile. Ça concerne des cas où un OIV a subi une crise majeure, une attaque extrêmement importante. Pour la sécurité, je ne vois pas dans quel cas une entreprise d'elle-même ne l'aurait pas fait. Et donc, c'est une manière de le sanctuariser dans la loi que pourrait servir mon amendement.

vous remercie. Je poursais la mise au voie de la UD favorable. Qui est pour ? Qui est contre ? C'est rejeté. Le 259 n'est pas défendu, le 260 n'est pas défendu, le 67, madame Ozen peut-être ? Oui, 67. Défendu ? Défendu, votre avis, s'il vous plaît, sur le 67 ? Défavorable, madame la ministre ? Défavorable, je passe la mise au voie du 67, ça m'a levé. Qui est pour ? Qui est contre ? C'est rejeté. Maintenant, il y aura 180, M. Bautorel.

commission spéciale, nous avons ajouté une extension de l'analyse des dépendances à l'égard des sous-traitants qui représenterait, me semble-t-il, une complexité supplémentaire pour les entités régulées. Et normalement, il vient à limiter l'impact de ce qui a été ajouté en commission spéciale en ajoutant le terme de premier rang et en se limitant simplement aux sous-traitants de premier rang.

Votre avis, s'il vous plaît. défavorable. Merci, Madame la Ministre. Merci Madame

la Présidente. Quelques explications, Monsieur le rapporteur général, puisque je vais vous demander de le retirer, sinon avis défavorable. Évidemment, on partage l'ambition, ne pas imposer aux OIV des analyses qui peuvent être disproportionnées. Cependant, il faut conserver une souplesse pour certains secteurs, notamment qui ont une importante chaîne de sous-traitance. Il peut être d'ailleurs plus utile d'aller plus loin dans l'analyse pour assurer la meilleure sécurité et la protection. La profondeur d'analyse a vocation à être déclinée dans les directives nationales de sécurité, DNS. Et dans les faits, l'intention est bien de ne pas contraindre les opérateurs à l'excès. Avis défavorable. Je

vous remercie. Monsieur Bautorel, allez-y.

Oui, d'abord je remercie madame la ministre pour ses explications et je pense qu'elle était attendue pour une partie des acteurs et donc sur la base des éléments de clarification que vous avez bien voulu apporter. Je retire mon moment.

Le 252, madame Hervieux. Rédactionnel, avis de la commission, favorable ? Rédactionnel, oui, favorable. Favorable, très bien. Je passe sa mise au voie de cet amendement qui recue un double avis favorable. C'est un main levée qui est pour, qui est contre, c'est adopté. Le 181, M. Bautorel, défendu, l'avis de la commission, 181. Vous pouvez juste tirer le micro sinon.

En fait, cet amendement ajoute des choses qui sont assez éloignées du dispositif transposé par la directive REC. La méthodologie d'analyse des risques est élaborée par l'autorité administrative pour assurer la continuité de l'activité des amendements. des opérateurs d'importance vitale et une méthodologie propre aux fournisseurs de logiciels, c'est de loin trop du dispositif de résilience des entités. Ça constitue là une surtransposition à notre sens. Donc avis défavorable.

Merci. Monsieur Latombe, allez-y. Oui, mais vous faites partie de la commission également.

Merci Madame la Présidente. Non, juste pour dire, et ça sera valable pour l'ensemble du texte, et c'est quelque chose qu'on avait rappelé en commission spéciale, qu'on entend bien qu'il ne faut pas faire de surtransposition législative, mais il ne faut pas non plus faire de sous-transposition, parce qu'on laisserait à ce moment-là l'autorité administrative pouvoir prendre des initiatives qui ne seraient pas conformes à ce que nous aurions voulu. Là, en l'occurrence, on a une vraie difficulté, c'est renvoyer un décret en Conseil d'État. Là encore, les parlementaires seraient éloignés de la prise de décision. J'aurais préféré que nous puissions être intégrés dans le dispositif et que nous puissions faire, nous, ces définitions. Et donc, chaque fois qu'on va avoir un renvoi à des décrets, j'attire l'attention de nos collègues sur le fait qu'il faut qu'on sache si vraiment on souhaite laisser l'administration prendre la main et décider, et nous dessaisir nous-mêmes parlementaires, ou alors l'inscrire dans la loi. Ça fait deux fois qu'on se pose la question d'inscrire des définitions ou des choses qui sont d'ordre administratif dans le texte. Peut-être qu'il faut qu'on se pose la question aussi de façon plus simple. générale sur le texte, sur la position de la loi dans ce texte. remercie Madame la

la Présidente. Je compléterai, là il ne s'agit pas du fait que ce soit des décrets, mais simplement je pense que ça viendrait créer une forte contrainte supplémentaire aux opérateurs et par ailleurs... Dans les autres cadres réglementaires, que ce soit nationaux, européens, normes internationales, les méthodologies ne sont jamais prescrites. Donc avis défavorable, Madame la Présidente.

Merci. Je procède à la mise au vote cet amendement qui a un double avis défavorable. Qui est pour ? Qui est contre ? C'est adopté. Sur le vote des amendements 303, 304, 306 et 307, je suis ici pour le Présentement national du Demande de soutien public et soutien sont annoncés dans l'ensemble de l'Assemblée nationale. Le 174, madame Mervieux. C

'est un amendement rédactionnel.

Rédactionnel et favorable de la Commission. Oui. Madame la Ministre. Favorable également. Je passe à la mise au vote de cet amendement rédactionnel qui est un double et favorable. C'est un amendement qui est pour. Qui est contre. C'est adopté. Le 303. Monsieur Sabatou.

Madame la Présidente. La France est un grand pays, très influent à l'international, qui possède l'arme nucléaire et on le sait, qui est plus visée que les autres par les cyberattaques. C'est pourquoi je m'étonne de voir que l'enquête de recrutement sur les personnes qui vont travailler sur des sites sensibles soit facultative. L'accès aux installations stratégiques est parfois indispensable. C'est pourquoi nous voulons rendre obligatoire, voie systématique, la demande d'enquête, car nous sommes plus visés que les autres. Et donc c'est nécessaire que cette enquête soit obligatoire, car la personne qui recrute risquerait de passer à côté d'une information que l'administration centrale aurait.

vous remercie. Votre avis, s'il vous plaît.

La faculté ouverte aux opérateurs de demander un avis à l'autorité administrative est bien appréhendée par les opérateurs. On les a auditionnés d'univers très différents et ils nous l'ont bien dit. Votre amendement pourrait créer un encombrement déraisonnable des dossiers à traiter par les services en charge des enquêtes. Il s'agit de ne pas rajouter inutilement des dispositions à ce texte. Avis défavorable. Je vous remercie, madame la

ministre. Merci, madame la présidente. En fait, monsieur le député, c'est une directive européenne, c'est une transposition, il n'y a pas de distinction de pays, c'est la règle qui s'applique à tout le monde sur transposition, avis défavorable. Je vous remercie. Monsieur Sabato, allez-y.

Merci Madame la Présidente. Je pense que je vais le répéter beaucoup ce soir, mais on ne peut pas nous sortir l'excuse de « ça serait trop de charges ». On parle de sécurité, de défense nationale. Si on n'a même plus envie de traiter ça, alors que c'est une responsabilité de l'État, autant donner les clés directement à l'Union européenne.

vous remercie. Je procède à la mise au voie de cet amendement qui a un double avis défavorable et c'est un scrutin public. Le scrutin est ouvert. Le scrutin est clos. Voici le stade du scrutin. Votant 43, exprimé 43, majorité 22 pour 17 contre 26, nationale n'a pas adopté. Le 304, monsieur Sabatou, allez-y.

Merci, madame la présidente. Donc aujourd'hui, dans ce texte, si une enquête conclut qu'une personne est à risque, il peut travailler dans un organisme d'importance vitale public, mais pas privé. Alors là, Madame la ministre, je ne comprends pas quelle est la différence. Pourquoi un organisme, un OIV, serait-il moins vital quand c'est géré par le public ? Pourquoi le public et le privé ne répondraient pas aux mêmes exigences ? Car pour moi, et pour tout le monde, je pense, le risque est le même que la personne soit dans le public ou dans le privé. Donc la logique voudrait que, dans les deux cas, si la personne est jugée à risque par une enquête, elle soit refusée.

vous remercie. Allez-y, Madame

la rapporteure. Votre amendement est vraiment contre-productif. La référence en question vise justement à permettre aux opérateurs privés de refuser un recrutement en cas d'avis défavorable. Et puis les personnes morales de droit public pourront directement refuser l'autorisation, ce qui constitue une mesure de police administrative. Donc votre amendement, en fait, il est déjà satisfait. Avis défavorable.

vous remercie. Madame la ministre. défavorable également. Je passe à la mise au voie de cet amendement. C'est un scrutin public qui recueille un double avis défavorable. Le scrutin est ouvert. Le scrutin est clos. Voici le stage du scrutin. Votant 44, majorité 23 pour 14, contre 30, l'Assemblée nationale n'a pas adopté. Je poursuis avec l'amendement 264. Madame la ministre, le 264. Et du gouvernement.

excusez-moi. Donc là, l'objet de cet amendement, donc c'est reprise de la loi de programmation militaire, il est constitué un stock minimal stratégique pour les opérateurs d'importance vitale désigné par l'autorité administrative qui doit être réexaminé annuellement sur proposition du ministre concerné après consultation de l'opérateur avec mutualisation possible entre opérateurs du même secteur sous condition sans indemnisation. des coûts. Donc c'est une mise à jour en relation avec la loi de programmation militaire.

Je vous remercie. Avis de la Commission. Favorable. Je vous remercie, madame. Je passe la mise au voie de cet amendement. Quelqu'un double avis favorable, c'est à main levée. Qui est pour ? Qui est contre ? C'est adopté. À moment 306, monsieur Sabatou, allez-y.

Merci, madame la présidente. On parle encore une fois d'une question de souveraineté nationale. On sait que la Commission européenne adore obtenir de nouvelles prérogatives. Ils l'ont fait avec la diplomatie, on sent qu'ils essaient de le faire en ce moment avec l'armée, la santé. Encore une fois, les organismes d'importance vitale relèvent de la défense nationale. Ce n'est pas à l'Union européenne de mettre son nez dedans. Il n'est pas normal que la Commission puisse avoir accès à des données, à nos systèmes en direct sur ces OIV. C'est pourquoi nous sommes foncièrement contre l'ingérence de la Commission européenne sur ces sujets, d'accord pour la coopération sur les services, mais non à la gestion des organismes d'importance vitale.

Cet amendement a été rejeté en commission puisqu'il supprime les dispositions relatives aux entités critiques d'importance européenne particulière. On n'est pas dans une entité totalement fermée. On a besoin d'avoir quelque chose de cohérent à l'intérieur de l'espace européen. Heureusement que la directive, qui a trop tardé, arrive enfin dans cet hémicycle. Il est bien entendu indispensable de transposer la notion d'entité critique d'importance européenne. particulièrement en droit national, et j'aimais donc un avis défavorable. Je vous remercie. Madame la ministre, 306.

Merci, Madame la Présidente. Là, pour le coup, Monsieur le député, c'est de la sous-transposition. Avis défavorable.

vous remercie. Je prends sa mise aux voix de cet amendement qui est un double avis défavorable. C'est un scrutin public. Le scrutin est ouvert. Le scrutin est clos. Voici le résultat du scrutin. Votant 45 exprime 44, majorité 23 pour 14 contre 30, l'Assemblée nationale n'a pas adopté. Le 307, M. Sabatou.

merci Madame la Présidente. C'est un amendement de repli visant à sanctuariser les secteurs les plus sensibles, à savoir la défense, le nucléaire, la sécurité, pour qu'ils soient exemptés systématiquement. Encore une fois, nous sommes d'accord pour une coopération sur les services essentiels, mais là on parle de protéger des activités stratégiques, donc restons responsables du national.

Merci.

Votre avis, s'il vous plaît. Une clause de sauvegarde est déjà prévue en matière de sécurité nationale et de défense pour limiter les remontées d'informations à la commission ou les missions de conseil afin de garantir le secret de la défense nationale. Donc avis défavorable. Merci, Madame la ministre.

Merci. C'est un scrutin public. Je rappelle double avis défavorable. Pour le 307, le scrutin est ouvert. Le scrutin est clos. Voici le résultat du scrutin. Votant 46, exprimé 46, majorité 24 pour 15 contre 31, l'Assemblée nationale n'a pas adopté. Mandant numéro 308. Défendu votre avis. Merci. Merci. Je passe à la mise au vote de cet amendement qui recue un double avis défavorable. C'est un main levée. Qui est pour ? Qui est contre ? C'est rejeté le 305.

Madame la Présidente. Et encore un amendement de repli juste pour que le Parlement, l'Assemblée nationale et le Sénat soient informés lorsque des missions sont réalisées par la Commission européenne. C'est pour une meilleure connaissance pour le Parlement.

Merci. Avis de la Commission. Défavorable, Madame la Ministre.

Ce sera un avis défavorable, mais qui mérite quelques explications cependant, même si je partage pleinement l'ambition de la préservation des informations sensibles dans un cadre strictement national. En revanche, l'approbation de l'autorité administrative est toujours nécessaire à la réalisation d'une mission de conseil. En août, les exclusions sont expressément rendues possibles. Et enfin, les missions de conseil n'ont pas vocation à consommer les opérateurs les plus sensibles. Évidemment, le gouvernement reste à disposition de la représentation nationale pour échanger sur le sujet, comme cela se fait de manière régulière, notamment dans le cadre des commissions en charge de la défense de l'Assemblée nationale et du Sénat. Avis défavorable.

Merci. Je passe la mise au vote de cet amendement. C'est la main levée. Un double avis défavorable qui est pour. Qui est contre, c'est rejeté. M. Saint-Martin, allez-y.

Arnaud Saint-MartinLien1:52:27 → 1:53:09

Merci Madame la Présidente. C'est un amendement de repli qui vise à réserver pour les opérateurs d'importance vitale publique l'autorisation d'autoriser des drones aux seuls agents publics. C'était une disposition qui avait été implicité dans la loi de programmation militaire. On ne délègue pas les fonctions régaliennes de l'État à des sous-traitants privés. La sécurité du territoire national et à fortiori de ses infrastructures stratégiques revient à la puissance publique en permettant la délégation d'un secteur relevant des intérêts vitaux de la nation à une sous-traitance privée. Vous nous exposez à un risque d'escalade puisque vous privez l'État du plein contrôle de notre défense. C'est pourquoi nous nous y opposons et nous demandons à minima de contraindre les structures publiques à avoir recours au service de l'État. Merci.

Merci.

Votre avis,

s'il vous plaît.

Oui, Madame la Présidente, c'est une question assez intéressante. On a eu le débat effectivement en commission, mais dans l'état actuel des choses, une telle restriction limiterait fortement la sécurisation de certains points d'importance vitale. Les établissements, si on part de ce qui existe déjà, les établissements publics font régulièrement appel à des prestataires privés pour assurer leur sécurisation et leur site. Donc il y a un retour d'expérience là-dessus. agents de sécurité de neutraliser les drones, les établissements seraient contraints d'en appeler à la gendarmerie avec des délais d'intervention sans doute très, enfin même pas sans doute, vraiment incompatibles pour garantir la sécurité des emprises. Donc en l'état de la situation, des avis défavorables. Merci Madame la Ministre.

Merci Madame la Présidente. Un avis défavorable également. Alors en fait, vous voyez, l'épisode de l'EPSI a bien montré le danger auquel les OIV se doivent faire face. Et la représentation nationale vient d'ailleurs d'adopter un dispositif sur la lutte anti-drone cet été. Ce serait contraire à la sécurité juridique de détricoter un dispositif à peine voté. Par ailleurs, sur le fond de votre amendement, les garanties constitutionnelles ont été apportées au dispositif et ont été reconnues par le Conseil constitutionnel qui a validé les nouvelles dispositions, donc avis défavorable.

Merci. Je passe à mise au voie de cet amendement qui a un double avis défavorable. C'est un main levée. Qui est pour ? Qui est contre ? C'est rejeté. M. Bautorel

Madame la Présidente. Je n'appellerai cet amendement à un amendement de cohérence. Je pense que nous sommes un certain nombre dans cet hémicycle à tenter de le faire entre les différents textes. Cet amendement vise à aligner le régime applicable aux OIV du secteur financier sur l'exemption sectorielle prévue à l'article 62a afin de consacrer l'équivalence entre Dora et Nice 2. Il y aura d'autres amendements de cette nature et voilà pourquoi je vous le propose.

Merci. Votre avis s'il vous plaît sur 347.

Oui, en fait, cet amendement, il est déjà satisfait par le titre 2 et le titre 3, sans nécessité d'un nouveau renvoi au titre 1er. En fait, je suis favorable de réserver autant que possible le titre 1er au dispositif REC pour garder un maximum de cohérence dans le texte global.

Merci. Merci. Votre avis, s'il vous plaît.

Madame la Présidente. Je m'associe aux arguments de la rapporteure. Avis défavorable.

Je passe à la mise au vote. C'est un moment qui a un double avis défavorable. Qui est pour ? Qui est contre ? On va faire un scrutin public, s'il vous plaît, pour celui-ci. Le scrutin est ouvert. Le scrutin est clos. Voici le salle du scrutin. Votant 45, escrit 45, majorité 23 pour 28, contre 17. L'Assemblée nationale a adopté. Sur le vote de l'amendement 79, je suis ici par le groupe socialiste, une demande de soutien public, soutien d'annoncer dans l'ensemble de l'Assemblée nationale. Chez l'amendement numéro 10, M. Saint-Martin.

Arnaud Saint-MartinLien1:56:33 → 1:57:22

Merci Madame la Présidente. C'est un amendement qui souhaite étendre la protection des lanceurs d'alerte aux agents mentionnés à l'article L1332-12. Il est vital de protéger les lanceurs d'alerte au sein des OIV. En effet, ceci représente de véritables vigies dont la prise de parole pourrait s'avérer vitale pour constater des manquements graves dans un secteur ou une défaillance majeure. peut menacer l'ensemble du pays. Il faut donc garantir à ces agents la possibilité d'alerter publiquement sans s'exposer à des poursuites. L'importance de tel lanceur d'alerte dans des secteurs stratégiques a déjà été prouvée, notamment dans le secteur nucléaire, où des inspecteurs de la sûreté nucléaire ont été placardisés par EDF du fait de leur signalement pour manquant de sécurité. Donc ce n'est pas une mesure esthétique, mais bien une nécessité pour garantir la bonne sécurité de nos OIV. Merci.

remercie votre avis, s'il vous plaît, sur le 10.

En fait, l'objectif des agents habilités est de constater les manquements des opérateurs et de les signaler pour une éventuelle saisie de la commission des sanctions. Les prérogatives étendues des agents impliquent en contrepartie une discrétion absolue sur les faits dont ils ont connaissance afin de protéger le secret de la défense nationale. Assujettir explicitement ces agents à la loi Sapin 2, enverrer un signal qui pourrait fragiliser... À notre sens, le dispositif de sécurité des activités d'importance vitale, le dispositif de protection des lanceurs d'alerte vise au contraire des cas exceptionnels prévus par la loi, donc un avis défavorable.

Merci. Défavorable également. Merci, Madame la Ministre. Je passe l'avis aux voix de cet amendement qui a un double avis défavorable. C'est un main levée. Qui est pour ? Qui est contre ? C'est rejeté. Mon nom numéro 118, monsieur Latombe.

merci Madame la Présidente. Il s'agit d'un amendement qui vise à insérer le fait qu'un représentant du ministère compétent du secteur d'activité auquel appartient l'entité, pour laquelle la Commission est saisie, parce qu'historiquement dans le dispositif français, ce sont les ministères compétents des secteurs d'activité qui désignent les OIV. Il serait donc justifié qu'un représentant du ministère compétent de l'OIV mis en cause participe aux délibérations de la Commission des sanctions. Il pourrait comme ça apporter des éléments non techniques, par exemple l'explication de politique publique, des éléments économiques, sociaux. à charge ou à décharge, donc c'est vraiment un rôle totalement neutre, susceptible d'influer sur la décision de la commission des sanctions. Je sais bien qu'il peut être invité un représentant des ministères par la commission des sanctions. Là, le but, c'est vraiment de l'imposer pour que chaque fois le ministère du secteur de l'OIV puisse participer à la commission des sanctions et donc donner son avis. Je vous remercie.

vous

remercie. Votre avis, s'il vous plaît. En fait, votre amendement conduit à ce que des représentants du ministère soient à la fois régulateurs et juges. Ça pose un problème quand même. Ça contrevient au principe de séparation des fonctions d'enquête et de sanction. Et ça remettrait en cause l'impartialité de la commission. Dans un texte sur lequel on voit bien les discussions que nous avons, on doit être très regardé. Cette impartialité de la commission des sanctions me paraît indispensable et structurante dans le texte et pour les objectifs que nous avons en commun. Défavorable. Défavorable. Oui, Madame la Ministre.

la Présidente. Donc en fait, je vais donner un avis défavorable également parce qu'en fait, la commission des sanctions pourra entendre qui elle veut et toute personne qu'elle juge utile. Et par ailleurs, effectivement, prévoir dans la commission un représentant du ministre coordonnateur avec voix délibérative peut être considéré comme contraire au droit au procès équitable. Le ministre coordonnateur intervenant nécessairement dans la procédure de saisine de la commission, il deviendrait alors juger parti.

Merci. Monsieur Latombe, allez-y.

Je le retire.

Il est retiré. Demandement numéro 79. Monsieur Saint-Pasteur, allez-y.

Merci Madame la Présidente. Il y a plusieurs façons de rejoindre cet hémicycle et l'une d'entre elles nous invite à passer devant la statue de Montesquieu. Et que nous dirait Montesquieu s'il était parmi nous ? Il nous dirait que pour qu'on ne puisse abuser du pouvoir, il faut que par la disposition des choses, le pouvoir arrête le pouvoir. Et cet amendement, il propose tout simplement de diluer, de partager le droit de nomination des membres de la Commission entre le gouvernement, l'Assemblée nationale et le Sénat pour faire en sorte justement que ce pouvoir soit mieux réparti et que cette Commission soit peut-être un peu plus indépendante. Je vous remercie.

vous remercie. Votre avis défavorable ? Merci, Madame la Ministre. Merci

Madame la Présidente. Alors ce sera un avis défavorable aussi, Monsieur le député, mais en fait la commission spéciale de l'Assemblée nationale est revenue sur la composition de la commission des sanctions. Elle avait été modifiée au Sénat. La commission des sanctions est amenée à se prononcer sur des dossiers à fort enjeu technique et opérationnel. Prévoir une désignation par de telles hautes personnalités est disproportionnée. L'indépendance et l'impartialité des membres de la commission, c'est déjà... sont déjà garantis sur le plan procédural. D'ailleurs, renforcer un commission spéciale qui a prévu que le mandat des membres est non renouvelable. Avis défavorable.

vous remercie. Monsieur Latombe, allez-y.

merci, Madame la Présidente. À titre personnel, je soutiendrai cet amendement parce qu'on le voit dans les autorités administratives indépendantes. Il y a des nominations qui sont faites par l'exécutif. mais aussi par l'Assemblée nationale et le Sénat. La technicité, je prends l'exemple de l'ARCEP, on en discutait avec le rapporteur général, la technicité au sein du collège de l'ARCEP, elle est là. Et pourtant, il y a des membres de l'ARCEP qui sont nommés par la présidente de l'Assemblée nationale et par le président du Sénat. Et donc, effectivement, on pourrait envisager d'avoir une représentation qui soit pas simplement à la main de l'exécutif, sans le contrôle des trois cinquièmes en plus, mais avec une nomination par président de l'Assemblée et président du Sénat.

Sur le vote de l'amendement 9, je suis ici par le groupe de la France Insoumise, je demande de scrutin public qui se sont annoncés dans l'ensemble de l'Assemblée nationale. Monsieur Saint-Pastor, allez-y.

Oui, merci Madame la Présidente. Au-delà de la question technique, il y a aussi une question symbolique. On a eu dans cet hémicycle à débattre et à discuter de certaines nominations qui avaient été réalisées par le gouvernement. Là, on tranquilliserait les choses sur un enjeu qui est quand même assez important. Donc moi, je maintiens cet amendement et j'invite les collègues à défendre le parlementarisme.

vous remercie. Je suis passée à la mise au voie de cet amendement 79. Je recueille un avis défavorable. Commission gouvernement est favorable du président de la commission spéciale. C'est un scrutin public. Le scrutin est ouvert. Le scrutin est clos. Voici le résultat du scrutin. Votant 48, exprimé 45, majorité 23 pour 22, contre 23, l'Assemblée nationale n'a pas adopté. On poursuit avec le numéro 9, M. Saint-Martin.

Arnaud Saint-MartinLien2:03:47 → 2:04:17

Merci Madame la Présidente. C'est un amendement qui vise à renforcer l'impartialité de la Commission des sanctions en éloignant la possibilité de conflits d'intérêts pour les membres qui la composent. Il serait impensable que les personnes en charge d'adopter des sanctions contre des entités qui ont présenté des manquements en matière d'application des normes de sécurité aient par ailleurs fréquenté ces mêmes entités dans les années qui précèdent. Pour garantir l'indépendance du contrôle effectué par la Commission des sanctions, il est nécessaire de la protéger. du pantouflage qui sévit hélas trop souvent.

vous remercie. Votre avis ? Défavorable ? Merci, Madame la Ministre. Défavorable également. Je passe la mise au voie de cet amendement qui a un double avis défavorable et c'est un scrutin public. Le scrutin est ouvert. Le scrutin est clos. Voici le statut scrutin. Votant 48 et exprimé 36, majorité 19 pour 14 contre 22, l'Assemblée nationale n'a pas adopté. Chez une série d'amendements identiques, le 262, madame la ministre. Merci

madame la présidente. Il s'agit d'un amendement qui a pour objectif d'informer la convocation du droit de se taire de l'audition devant la commission des sanctions.

Merci. Le 175, madame Hervieux. Non, c'était la présentation, on est dans les annons identiques. Défendu, je vous remercie. 186, M. Bottorel. Défendu également, très bien. Donc l'avis, Mme Hervieux me l'a donné, il est favorable. Et Mme la ministre, il va être favorable aussi. Forcément. M. Sabatou, allez-y.

merci Madame la Présidente. Madame la ministre, je ne comprends pas très bien cet amendement. J'ai l'impression qu'il vise à déresponsabiliser un peu les acteurs. Ils ont le droit à un avocat, donc ils peuvent se renseigner sur le droit possible. L'information leur sera donnée par ailleurs. Je ne vois pas du tout l'intérêt de le mettre dans cette loi et au contraire, je trouve que ça envoie un mauvais signal.

vous remercie. Monsieur Latombe, allez-y.

merci. En fait, c'est un amendement qui vise simplement à clarifier et à inscrire dans la loi la jurisprudence qui est applicable en l'État et que nous appliquons déjà à la CNIL, à l'ARCEP, à l'ARCOM dès qu'il y a des questions de sanctions. Il faut absolument informer à peine de nullité de la procédure ensuite. Donc, il faut absolument le mettre dans la loi pour que ça puisse être intégré.

Je vous remercie. Je passe à la mise au voie de cette série d'amendants identiques, double avis favorable, pardon, commission au gouvernement, qui est pour, qui est contre, c'est adopté. Une autre série d'amendants identiques, le 176, madame Hervieux.

cet amendement, Madame la Présidente et chers collègues, vise à corriger une erreur. En fait, dans l'état actuel du texte voté en commission, la durée du mandat des personnalités qualifiées à la commission des sanctions n'est plus limitée. Avec cet amendement, on propose d'instaurer un mandat de 5 ans non renouvelable pour l'ensemble des membres de la commission dans le respect de l'impartialité de cette commission.

Merci. Monsieur Boutourel, défendu. Votre avis, avis de la Commission, c'était favorable ? Oui, madame la ministre ? Favorable également. Je passe à la mise au vote de cette série d'amendements identiques qui recueille un double avis favorable, Commission-Gouvernement, et c'est à main levée. Qui est pour ? Qui est contre ? Qui s'abstient ? C'est adopté. Sur le vote des amendements 15, 17, 18 et sur le vote de l'article 1er, je suis saisie pour les amendements par le groupe La France Insoumise et pour le vote de l'article 1er par le groupe Ensemble pour la République d'une demande de scrutin public, les scrutins sont annoncés dans l'ensemble de l'Assemblée nationale. Le 309, M. Sabatou, allez-y.

Merci Madame la Présidente. Les organismes d'importance vitale dépendent parfois de fournisseurs étrangers. Comme je l'avais cité lors de la discussion générale, ça peut concerner par exemple les scanners de bagages d'aéroports qui sont essentiellement... des entreprises hors Union européenne. Il y a évidemment un risque d'expionnage, un risque d'exfiltration des données. Et Madame la Ministre, ce que j'aimerais savoir, c'est que comme pour la 5G en 2019, on a permis d'interdire des fournisseurs lorsque ça pouvait aller contre la défense nationale. Et donc, moi ce que j'aimerais avec cet amendement, c'est permettre à ces organismes d'importance vitale d'écarter les fournisseurs étrangers si l'analyse de risque remonte une menace et de justifier cette déclaration pour éviter que ça soit écarté de manière abusive. Ça me semble une mesure de bon sens pour la défense nationale.

vous remercie. Votre avis

fait, le dispositif prévoit justement de se prémunir du risque d'ingérence étrangère en évitant qu'un acteur hostile se porte candidat à des marchés publics ou des contrats de concession et le cas échéant remporte le contrat. Donc avis défavorable. Merci, Madame la ministre. Allez-y.

Madame la Présidente. Quelques compléments d'information. Évidemment, je partage votre ambition dans le respect du cadre européen de tendre vers une commande publique européenne. Et on le fait, on le construit chaque jour. Du point de vue opérationnel, l'objectif est déjà traité ou en cours de traitement. Les procédures dérogatoires existent déjà lorsque sont en jeu les intérêts essentiels de l'État. Le code de la commande publique qui permet notamment de passer des marchés sans publicité ni mis en concurrence lorsque le marché exige le secret. Et dans le cadre de la révision en cours des textes européens relatifs à la commande publique, la France défend l'introduction d'un mécanisme de préférence européenne à la main des acheteurs et des autorités concédantes. Donc demande de retrait à défaut, avis défavorable.

Je passe à la mise au vote cet amendement qui recueille un double avis défavorable commission gouvernement et c'est à main levée. Qui est pour ? Qui est contre ? C'est rejeté. Amendement numéro 15. Merci

Arnaud Saint-MartinLien2:10:07 → 2:10:49

Madame la Présidente. Par cet amendement, le groupe LFI souhaite renforcer le contrôle exercé par l'Etat sur les contrats de concession relatifs. À la gestion d'infrastructures critiques. La protection de la souveraineté française sur les infrastructures critiques implique de maintenir une capacité d'action de la puissance publique vis-à-vis des entités privées qui se sont vues déléguer une partie de la gestion de ces infrastructures. Donner une liberté d'action à des entités privées, c'est prendre le risque de nous exposer à des dépendances stratégiques et à des failles de sécurité dans nos OIV, car oui, le secteur privé répond d'abord à la logique du profit plutôt qu'à celle des intérêts supérieurs de la nation. C'est pourquoi il est nécessaire que l'État conserve un contrôle effectif sur les opérateurs et les sous-traitants dans nos domaines stratégiques. Merci.

Merci Madame la Présidente. Le gouvernement partage le constat, mais pas la méthode. En fait, j'estime une atteinte vraiment portée à la liberté du commerce et de l'industrie. C'est disproportionné par rapport à l'objectif poursuivi. Il s'agirait d'une ingérence de l'État dans des relations contractuelles entre une personne publique et son prestataire. Le dispositif ne paraît pas en ligne avec le droit européen non plus, et en particulier celui du marché intérieur, en privilégiant un établissement des activités en France. Donc avis défavorable.

remercie. Je passe à la mise au voie de cet amendement qui est un double avis défavorable. C'est un scrutin public. Le scrutin est ouvert. Le scrutin est clos. Voici le résultat du scrutin. Votant 53, exprimé 38, majorité 20 pour 8 contre 30, l'Assemblée nationale n'a pas adopté. On poursuit avec une discussion commune, le numéro 17.

Arnaud Saint-MartinLien2:11:53 → 2:12:59

Madame la Présidente. Cet amendement vise à introduire des critères de souveraineté parmi ceux pris en compte pour l'attribution des marchés publics par les opérateurs d'importance vitale. La protection de la souveraineté française sur les infrastructures critiques implique de mettre fin à notre dépendance, hélas stratégique vis-à-vis de puissances étrangères, notamment américaines. L'exemple du numérique illustre particulièrement bien la question. Dans ma circonscription, le data center de Fuju, Campus IA, est développé par un fonds d'investissement Emirati. 35 milliards d'euros. Certes, l'infrastructure est située en France, mais cela ne veut pas dire que nous disposons d'une souveraineté sur celle-ci, au contraire. Même histoire avec les GAFAM X étatsuniennes. Les États-Unis peuvent revendiquer le transfert de ces données si elles sont gérées par une de leurs entreprises. Contrairement aux hypocrites du RN qui parlent de souveraineté à longueur de journée, mais saluent en même temps le développement de tels data centers, je peux le vérifier localement. qui la menacent dans les faits. Nous voulons concrètement agir pour garantir cette maîtrise souveraine française dans les secteurs stratégiques en prenant compte la vulnérabilité des OIV dans l'accès à des marchés publics. Merci.

Le 18, vous le présentez aussi ? Allez-y.

Arnaud Saint-MartinLien2:13:07 → 2:13:33

La présidente, c'est un amendement de repli qui vise à introduire des critères de souveraineté, également parmi ce prix en compte pour l'attribution des marchés publics, par les OIV. La protection de la souveraineté française sur les infrastructures critiques implique donc de mettre fin à cette dépendance aux puissances étrangères. J'ai évoqué le cas de Fouju, et là c'est encore un amendement qui vise à préciser les termes de cette position.

Merci. Votre avis sur cette discussion commune, ces deux amendements

Monsieur le député, l'objectif des marchés publics de sécurité sont définis aux articles L1332-20 à 22. C'est justement pour permettre aux opérateurs de déroger aux règles de la commande publique pour se prémunir du risque d'ingérence étrangère. La structure capitalistique, l'exposition géographique ou des liens avec des compétiteurs stratégiques feront partie effectivement des critères. Et il n'y a pas besoin de le repréciser dans la loi. Donc ce serait un avis défavorable.

vous remercie. Madame la ministre, défavorable également. Monsieur Sabatou, allez-y.

merci Madame la Présidente. Pour répondre aux collègues de la France Insoumise qui nous traitent d'hypocrite, alors que sur tous les amendements que nous avons proposés pour défendre la souveraineté nationale, la défense nationale, la France Insoumise n'a jamais voté pour. La France Insoumise qui veut des data centers français, mais qui en même temps propose la décroissance, c'est-à-dire moins d'énergie. Donc expliquez-moi comment vous allez alimenter vos data centers si vous voulez moins d'énergie et réduire à peau de chagrin notre industrie. Nous ne sommes pas hypocrites, au contraire, et c'est pour ça que nous allons voter ces amendements, parce qu'ils vont dans le bon sens de la souveraineté du peuple français.

Allez, je passe à la mise au voie de ces amendements. Ce sont des scrutins publics, c'est une discussion commune. On commence par l'amendement numéro 17. Je rappelle, double habilet favorable, commission, gouvernement. Le scrutin est ouvert. Le scrutin est clos. Voici le résultat du scrutin. Votant 53, exprimé 46, majorité 24 pour 28 contre 18, l'Assemblée nationale a adopté et du coup fait tomber l'autre. Et on passe à la mise au voie de l'article 1er, c'est un scrutin public, le scrutin est ouvert. Le scrutin est clos. Voici le résultat du scrutin. Votant 53, exprimé 53, majorité 27 pour 53 contre 0, l'Assemblée nationale a adopté. poursuit avec l'article 2. J'en inscris. Monsieur Latombe, allez-y.

merci Madame la Présidente. Juste sur l'article 2, puisque j'avais déposé un amendement à cet article qui a été déclaré irrecevable, l'article 45, pendant la discussion générale, alors que je pensais pouvoir le défendre. C'est pour moi un moyen d'attirer l'attention du gouvernement sur le fait que nos réseaux de télécommunication électronique constituent une infrastructure critique. Ils ont fait l'objet de sabotage répété sur le territoire national. On peut parler de sectionnement de câbles de fibre optique en avril 2022 et à l'été 2024. On a évidemment les câbles sous-marins qui ont fait l'objet d'atteintes. Ces actes ont été facilités par la grande disponibilité de cartographie publique et précise de ces artères, des chambres et des sites techniques. J'attire l'attention du gouvernement sur le fait qu'il faudrait pouvoir revoir la capacité à rendre publique la totalité de façon précise de ces cartographies. Peut-être envisager dans un autre texte, puisque ce n'est pas celui-là qui sera pris, mais peut-être dans une révision éventuellement d'un certain nombre de textes liés aux télécommunications, avoir une cartographie moins précise. tout en conservant l'intégralité des garanties qu'on doit avoir sur le caractère public d'un certain nombre d'informations, c'est-à-dire restreindre éventuellement les informations aux opérateurs eux-mêmes, à des journalistes s'ils en font la demande, mais de façon un peu moins précise qu'une carte. Il faut qu'on arrive à éviter que les cartographies permettent à des gens malhonnêtes de venir porter atteinte au réseau de communication. On l'a déjà vu avec les réseaux de cuivre, on l'a vu avec les trains. Je ne voudrais pas qu'on le voit avec nos infrastructures de télécommunication. Elles sont critiques.

Merci. On poursuit avec les amendements. Le 267, madame la ministre.

Madame la Présidente. Alors en fait, c'est un amendement, il est suivant aussi d'ailleurs du gouvernement, de coordination du fait de la loi de programmation, l'actualisation, pardon, de la loi de programmation militaire.

Merci. Favorables pour les trois ? Très bien. Je passe à la... Donc je vais les dérouler au niveau de la mise au voie. Pour le 267, avec un double avis favorable, commission et gouvernement, qui est pour ? Qui est contre ? C'est adopté. Le 270, toujours coordination, double avis favorable. Qui est pour ? Qui est contre ? C'est adopté. Et le 269, toujours coordination, double avis favorable. Qui est pour ? Qui est contre ? C'est adopté. Le 356, madame Hervieux. Rédactionnelle. Rédactionnelle, avis favorable de la commission, favorable également de madame la ministre. Je passe à la mise au voie de l'infavorable qui est pour, qui est contre. C'est adopté le 265. Madame la ministre, 265. 205,

260. Alors, c'est également de la coordination, loi de programmation militaire. Je vous remercie.

'infavorable de la commission, oui. Je passe à la mise au voie du 265. Les 3 qui suivent sont donc des amendements de coordination. Doublay favorable, qui est pour ? Qui est contre ? C'est adopté. Le 268, qui est pour ? Qui est contre ? C'est adopté. Le 266, qui est pour ? Contre ? C'est adopté. Je passe à la mise au voie de l'article 2. C'est à main levée. Qui est pour ? Article 2. Contre ? C'est adopté. On poursuit. Madame la ministre, allez-y.

Merci Madame la Présidente. J'aimerais bien quand même répondre au député Philippe Latombe sur son amendement qui n'a pas été, je dirais, retenu, parce que c'est quand même un sujet extrêmement important. puisque la protection de nos infrastructures critiques implique que la diffusion au public d'informations relatives aux réseaux de télécommunications électroniques soient mieux contrôlées. Certaines informations évoquées dans votre amendement initial pourraient entrer dans le champ de certains secrets, dont celui de la Défense nationale. Des dispositifs par ailleurs existent déjà pour éviter la diffusion au public de telles données. Je pense par exemple aux zones interdites à la captation aérienne des données. Ce dispositif a en outre été renforcé et étendu aux données d'origine spatiale dans le cadre de l'actualisation de la loi de programmation militaire à adopter cet été. Le périmètre de votre amendement est imprécis. très large. En outre, il contredisait des obligations légales. L'ARCEP, par exemple, a l'obligation légale de publier les cartes précises, notamment ma connexion Internet. Et il pourrait aussi impacter le cas des enquêtes publiques et consultations environnementales au titre du Code de l'environnement. Voilà les explications que je souhaitais partager avec vous. Merci beaucoup Madame la Présidente.

vous en prie. On poursuit avec l'article 3 à moment numéro 117. Madame Hervieux.

'est un amendement de coordination avec la loi Riposte et la Commission a dit avis favorable. Merci

Madame la Ministre.

Favorable.

Favorable, je vous remercie. Je passe à la mise au vote cet amendement qui recueille un double avis favorable Commission gouvernement. Qui est pour ? Qui est contre ? C'est adopté. Je passe à la mise au vote de l'article 3. Qui est pour ? Contre. C'est adopté. Je passe à la mise au vote de l'article 4. Qui est pour ? Contre, c'est adopté. Et on poursuit avec l'article 5. J'ai un moment numéro 101. Monsieur Saint-Pasteur, allez-y.

Merci, Madame la Présidente. Il y a plusieurs façons de rejoindre cet hémicycle. Et l'une d'entre elles nous invite à passer devant la statue de Montesquieu. Et que nous dirait Montesquieu s'il était amené à traiter de cet article 5 ? Qu'une loi doit avoir son effet. Et le but, justement, de cet amendement, c'est de penser à ce dernier... des politiques publiques. On a beaucoup parlé des incidents pour illustrer nos propos dans nos déclarations générales. Et tout l'enjeu de cet amendement, c'est de préciser que l'articulation des travaux de l'ANSI peuvent se faire avec les entités qui sont fixées à l'article 24 de ce projet de loi, à savoir les centres de réponse à incidents, les cybercampus, etc. Parce que face à l'ampleur de la tâche qui nous attend, nous ne saurons pas de trop d'associer ces centres-là pour permettre de rehausser notre niveau de cybersécurité. Je vous remercie.

vous remercie. Votre avis, s'il vous plaît, sur le sang. Merci, Madame

la Présidente. Mes chers collègues, j'aime bien Montesquieu. J'en suis un grand fan et je pense que nous serons d'ailleurs inspirés de le lire, notamment sur la grandeur et des cadences de Rome qu'il devrait nous parler en ce jour. Mais malgré tout, je vous donnerai un avis défavorable.

remercie. Madame la ministre. Sur le sein.

Madame la Présidente. Écoutez, chers collègues, je vais vous donner un avis favorable. Parce que pourquoi le rôle des Cécirtes en région, au niveau national, sur tous les territoires, ont un rôle central. Ils ont un rôle central. C'est d'ailleurs visé à l'article 24 de ce même texte. Mais il est toujours bon, à mon avis, de rappeler l'importance nécessite dans cette stratégie de cyber-résilience de la nation, qui est d'ailleurs promue dans la stratégie nationale de cybersécurité 2026-2030. Avis favorable ? Avis favorable ? Oui,

je vous remercie. Je passe la mise aux voix de cet amendement qui recueille un double avis favorable, commission gouvernement, qui est pour ? Contre ? C'est adopté. Un moment numéro 120. Monsieur Latom, allez-y.

Madame la Présidente. Il s'agit dans cet amendement de créer un comité de suivi de la mise en œuvre du présent titre qui serait présidé par un député ou un sénateur qui réunirait des membres du Parlement, des représentants des administrations de l'État concerné, des entités essentielles et des entités importantes et des collectivités territoriales et des organisations professionnelles du secteur de la cybersécurité. Ils se réuniraient au moins deux fois par an. Ce comité aurait pour objectif d'évaluer l'application et l'effectivité des mesures prises pour l'application du présent titre. et leur adaptation à l'évolution des techniques et des menaces, on en a déjà parlé tout à l'heure. Et il pourra adresser des recommandations, évidemment que des recommandations, mais n'empêche des recommandations au gouvernement. Et je précise dans le dernier alinéa de cet amendement que la composition et les modalités de fonctionnement du comité sont fixées par décret, parce qu'on ne peut pas le faire autrement, et surtout que ces membres exercent leur fonction à titre gratuit. L'idée n'est pas d'alourdir les charges de l'État, mais d'avoir des expertises qui soient à son avantage. et qui permettent de pouvoir donner et tracer des dignes directrices que le gouvernement ensuite pourra suivre ou pas. Mais au moins, il y aura une publicité des débats.

remercie votre avis, s'il vous plaît.

Madame la Présidente. Je vais mettre un avis défavorable à votre amendement et les raisons, vous le connaissez. Un, déjà dans l'article 5 bis, on prévoit déjà un rapport biennal du gouvernement qui sera remis au Parlement. Et en plus, le contrôle parlementaire s'exerce déjà par les instruments propres à l'Assemblée nationale. Donc à nous de nous en saisir. Alors de là à créer encore un nouveau comité qui vient se rajouter à des dispositions qui existent déjà, je pense que ce n'est pas nécessaire. Donc ce sera une demande de retrait ou alors un avis défavorable.

vous remercie, madame la ministre. Défavorable également. Je passe à la mise au voie de cet amendement. Quelqu'un double avis défavorable ? C'est à main levée. Qui est pour ? Qui est contre ? Il est adopté. Je passe à la mise au voie de l'article 5. Qui est pour ? Qui est contre ? C'est adopté. On poursuit avec le 5 bis A et j'ai des amendements de suppression. Amendement numéro 96 de M. End. Il n'est pas défendu. Il n'y a donc plus d'amendements de suppression. J'ai une autre série d'amendements identiques. Le 121, M. Latombe, allez-y.

merci Madame la Présidente. Cet amendement vise à améliorer sensiblement le degré de préparation des collectivités territoriales face à la menace cyber en intégrant explicitement le risque de cyberattaque au sein du plan communal de sauvegarde. On a des collectivités qui jouent un rôle essentiel dans la continuité des services publics et la gestion des crises locales. Elles sont devenues ces dernières années des cibles privilégiées des cybercriminels et des attaques hostiles. Selon l'ANSI, plus de 350 collectivités ont été victimes d'une cyberattaque en 2023, dont une majorité de communes de taille moyenne, souvent démunies en matière de protection cyber. De cet amendement, c'est de considérer que comme le plan de ce communal de sauvegarde prévu par le code de la sécurité intérieure constitue l'outil de référence permettant d'organiser la réponse opérationnelle de la commune en cas d'événements graves, et on parle de catastrophes naturelles, de risques technologiques, et donc le risque cyber devrait pouvoir en faire partie, sanitaire, etc., il apparaît aujourd'hui indispensable que les risques cyber soient explicitement intégrés à ce dispositif, au même titre que les autres menaces susceptibles de désorganiser la vie locale. C'est un amendement qui vise améliorer le degré de préparation des collectivités en ajoutant le risque cyber au sein du plan communal de sauvegarde.

merci, Madame la Présidente. Je vais mettre un avis défavorable à ces amendements, puisqu'en fait, la Commission a déjà intégré le risque d'incident informatique dans les risques de plan de communal sauvegarde que le plan de communal sauvegarde prend en compte. D'autant plus, le 8 que vous proposez viserait toute commune assurant un service public, soit la quasi-totalité des communes, alors que le texte ne soumet aux obligations de Nice 2 que les communes de plus de 30 000 habitants. Ce serait une obligation nouvelle sans fondement de la directive. Et d'autant plus, je pense que le garder sur cette formule RAS inciterait notamment à la mutualisation sur le sujet des intercommunalités, qui pour moi sont le bon maillage, en tout cas, pour porter ces nouvelles obligations nouvelles que nous portons à travers le titre 2. Donc, à vue défavorable, demande de retrait ou à vue défavorable.

vous remercie, M. Boutorel.

Merci Madame la Présidente. Je trouve cet amendement intéressant. Je le trouve intéressant parce qu'on est en plein dans l'actualité, je l'ai rappelé tout à l'heure dans ma discussion générale, de l'attribution de sanctions. Alors pour le coup c'est la CNIL qui l'attribue sur le champ de la non-protection des données, puisque c'est ainsi que la CNIL a formulé ses sanctions à l'égard de 10 collectivités. Je trouve que finalement ce débat doit avoir lieu. Je ne sais pas si la rédaction est parfaite. Les éléments tournent autant que ça. Mais pour autant, je pense que ce sera un débat intéressant à avoir, y compris en CMP, si on anticipe un peu le sujet, avec nos collègues sénateurs. On ne peut pas se priver de ce débat alors que mon collègue président de cette commission spéciale s'est vu refuser un amendement au titre de l'article 45 sur les sanctions aux collectivités. Je trouve que celui-là, qui est plutôt mesuré, vient mettre en évidence qu'il y a une vraie urgence et une vraie priorité à avoir au niveau communal. Donc à titre personnel, je donnerai un... Un avis favorable à ce moment.

Je vous remercie, Madame la Ministre.

Merci Madame la Présidente. Alors, en fait, moi j'estime que c'est une surtransposition, effectivement, puisque, comme l'a dit le rapporteur thématique, l'introduction... Je dirais du risque d'incident informatique dans le plan communal de sauvegarde concerne dans l'ANIS2 les collectivités de plus de 30 000 habitants. Là, vous le généralisez à toutes les communes, y compris des communes qui finalement n'ont pas les moyens techniques, humains, financiers, d'assurer déjà leur propre sécurité. Donc on leur apporte une contrainte supplémentaire. Et puis par contre, le risque cyber peut déjà être inclus dans ce qu'on appelle les risques connus, sans nécessité d'ouvrir au niveau de la loi. c'est-à-dire de le mettre dans la loi, c'est-à-dire une contrainte supplémentaire aux communes, un inventaire des risques affectant les collectivités. C'est une charge clairement supplémentaire pour les collectivités, elles en ont déjà beaucoup, plus de 30 000 habitants, on aura ce débat, ce sera très intéressant d'y revenir. Et puis, comme l'a dit le rapporteur Vincent Thibault, cela ne couvre pas toutes les communes, puisque dans Nice 2, c'est les plus de 30 000 habitants, comme je l'ai déjà dit, à vie défavorable. Merci.

Monsieur Latombe, allez-y.

merci. Madame la ministre, il ne s'agit pas d'une surtransposition, les collectivités sont intégrées dans le texte Nice 2, parce que la France a fait le choix. de l'intégrer dans le texte. Donc ce n'est pas une surtransposition que de dire que les collectivités sont intégrées et que si on souhaite l'intégrer dans le plan communal de sauvegarde, c'est une surtransposition. Que cela pose un problème à un centre de collectivité, peut-être, mais on a quand même aujourd'hui, et je l'ai dit en discussion générale, une vraie difficulté, c'est qu'il n'y a pas de sanctions prévues dans le texte pour les collectivités. Il faut trouver quelque chose qui incite les collectivités à se saisir du risque cyber. Et donc si aujourd'hui on dit simplement les collectivités sont intégrées, mais il n'y a pas de sanctions, pas d'obligation d'intégrer dans le PCS, si vous avez envie vous le faites volontairement, mais vous n'êtes pas obligé, et derrière... On sait très bien que nos concitoyens demandent à ce que le risque cyber, dans leur collectivité, ça soit traité. Il suffit de voir ce qui s'est passé dans des communes qui ont été attaquées. Autour de chez moi, je pense à Saint-Nazaire ou à Angers, qui se sont retrouvés complètement paralysés. Aller voir ce que les populations et les habitants des communes demandent, c'est qu'à l'avenir, ça soit traité comme n'importe quelle autre catastrophe naturelle de l'inondation, des incendies. ou un risque sanitaire. Donc il faut qu'on arrive à intégrer ça dans le plan communal de sauvegarde pour que Nice 2 puisse avancer. On sait très bien, et vous l'avez dit, qu'il fallait qu'on hausse le niveau de tout le monde. Si les collectivités sont à la ramasse, à ce moment-là, on n'aura pas atteint notre objectif. Et c'est quand même notre objectif. Vous ne voulez pas de sanctions dans le texte, il faut au moins que ça soit intégré dans le PCS, qui a un bout d'obligation à un moment ou à un autre.

Merci. Madame Dariussec.

Je crois que le président de la commission a été très explicite. C'est ce que je voulais dire. On a quand même une responsabilité. Les collectivités ont une responsabilité majeure. Et intégrer ce risque dans le plan communal de sauvegarde en fait un risque dont les... Les élus devront se saisir parce que c'est un risque majeur, je crois, pour la population. Un risque majeur de blocage complet d'une collectivité. Ça peut être un blocage complet, voire une dégradation d'une régie des eaux. Ça peut être un blocage complet de services qui sont indispensables à la population. Donc mettons des aides en place pour les collectivités, pour les aider les plus petites à hausser le niveau de leur population. Mais je crois que c'est une bonne chose de l'inscrire dans le texte, si bien sûr ce n'est pas de la surtransposition qui affaiblirait ce texte. Merci

Madame

Lemoyne.

Merci Madame la Présidente. Écoutez, moi j'étais assez réservée sur cet amendement. J'ai été maire d'une petite commune et je sais combien c'est difficile quand on est une petite collectivité de pouvoir mettre des moyens en face de ce risque. Néanmoins, je suis sensible aux arguments qui ont été avancés. Pour avoir eu des communes dans ma circonscription et des petites communes, 1 500 habitants qui ont fait l'objet de cyberattaque, je crois que finalement, il faut voter cet amendement et après, on verra pour les moyens. Madame la ministre. C

'est la ministre. Merci. Merci, Madame la présidente. Eh bien écoutez, je vais essayer d'apporter d'autres arguments parce que je pense que ce n'est pas une bonne idée, selon moi, dans le sens où je trouve que c'est discriminatoire vis-à-vis des collectivités territoriales. C'est comme si on demandait finalement à toutes les PME, toutes les entreprises OTI de France de mettre en œuvre de manière obligatoire des mesures de cybersécurité. Ce n'est absolument pas le cas dans Nice 2. C'est des critères, elles sont 15 000 et au-delà des 15 000, il n'y a pas... On n'impose pas de règles de cybersécurité. à celles qui ne sont pas dans la sphère de Nice 2, c'est-à-dire plus de 15 000 entités. Par ailleurs, il existe des PCS intercommunaux. Moi, je fais plus confiance au niveau de l'efficacité à l'échelon intercommunal, puisque là, vous touchez 15, 20, 50, 200 autres collectivités locales, parce que clairement, vous le savez, vous qui avez été maire, quand on a une commune de 1 500 habitants, c'est sûr que quand elle est cyberattaquée, et j'en ai connu sur mon territoire, C'est une catastrophe, mais l'échelon intercommunal, c'est celui qui a le plus de moyens, le plus de compétences et une vision globale du territoire. Il peut surtout avoir ce conseil et cette audite qui va permettre de monter en compétence sur la cybersécurité. Et je ne peux pas vous laisser dire, monsieur le député Latom, que les collectivités territoriales n'ont pas de sanctions. Pour mémoire, et on en parlera, ça donnera lieu à beaucoup de discussions, je pense ici, il y a les mesures d'exécution qui sont possibles. Article 31. Les collectivités devront se mettre en conformité et les mesures d'exécution seront donc clarifiées par l'ANSI. Par ailleurs, il y a des sanctions en cas d'obstacle. Si une collectivité s'obstine à se mettre en conformité avec un bon niveau de cybersécurité... alors elle pourra être sanctionnée. Et puis enfin, elles seront accompagnées, puisque justement les CECIRD régionaux, les campus cyber dans les régions sont aussi là pour accompagner les collectivités. Donc je dis attention à ne pas charger la charge sur les collectivités territoriales. C'est une cible un peu facile. Effectivement, il faut qu'elle monte en compétence, mais allons-y de manière progressive. Il ne s'agit pas de créer des... je dirais, des angoisses au niveau des territoires, parce qu'une collectivité, même de 250 habitants, qui a un PCS parce qu'elle a une réserve d'eau, devra se mettre en conformité dans son PCS avec la cybersécurité et Nice 2.

remercie Monsieur le rapporteur.

très rapidement, parce que je rejoins ce qu'a dit la ministre. La réflexion qu'on doit avoir éventuellement, c'est se dire est-ce que le PCS ne doit pas se définir exclusivement qu'au niveau intercommunal ? C'est ça la bonne question. Après, c'est un jeu. Nous ne pouvons pas nous le définir ici sur les obligations de transfert des compétences. Mais on le voit sur certaines communes qui, notamment, j'ai des communes de 180 habitants. Ils ont déjà des difficultés à suivre le sujet. Le vrai sujet est l'intercommunal. Est-ce qu'aujourd'hui, ça a encore du sens ? Toute commune quasiment fait partie d'une interco. Est-ce que ça a encore du sens que ce PCS reste au niveau communal ? C'est peut-être ça qu'il faut se poser comme question, voir si on peut faire évoluer le sujet au moment de la CMP ou avec le Sénat. Mais je pense que là, effectivement, il faut rester dans le bon sens. Et je rejoins tout à fait ce qu'a dit la ministre. Certes, on ne met pas d'obligation aux... aux communes, moi non mais pas non plus, des PME, TPE, des petites entreprises qui pour autant, ce n'est pas parce qu'elles sont petites qu'elles n'ont pas forcément des données entre guillemets sensibles.

Monsieur Bautorel et je passe à la mise au voie. Vous souhaitez intervenir ? On m'avait levé la main. Non c'est bon. Donc je passe à la mise au voie sur cette tirée d'amendement identique. Je rappelle l'avis défavorable de la commission et du gouvernement et du rapporteur et favorable du rapporteur général. Qui est pour ? Qui est contre ? C'est adopté. Je passe à la mise aux voix de l'article 5 bis A et c'est à main levée. Qui est pour ? Qui est contre ? C'est adopté. On poursuit avec l'article 5 bis, le 122, M. la tombe, 122.

il s'agit d'intégrer le mot, après le mot cybersécurité, le mot souveraineté numérique. C'est pour intégrer la notion de souveraineté numérique et d'autonomie stratégique dans la stratégie nationale. Ça semble être le bon endroit pour l'intégrer, puisque depuis le temps qu'on se réfère à la stratégie nationale et qu'on parle d'autonomie stratégique numérique ou de souveraineté numérique, il faut qu'on puisse l'intégrer une bonne fois pour toutes.

Merci. Votre avis, s'il vous plaît.

j'ai précisé en préambule, ce n'est pas un texte sur la souveraineté numérique, ce n'est pas l'objet de ce texte. Donc avis défavorable.

Merci Madame la ministre. Sur le 122.

Merci Madame la Présidente. En fait, effectivement, l'objet de la directive n'est pas la souveraineté numérique. Ça ne veut pas dire qu'on ne fait rien. On y travaille chaque jour, dans mon ministère notamment. Cybersécurité ne veut pas dire souveraineté et souveraineté numérique ne veut pas dire cybersécurité. Je vous suis engagé sur le sujet. On a l'occasion et on aura l'occasion d'en parler, mais pas là. Ce n'est pas l'objet de ce texte. Et soyez assurés qu'avec le gouvernement, on met tout en œuvre pour assurer notre souveraineté numérique, en réduisant nos dépendances technologiques, en soutenant l'offre souveraine française, notamment dans le cadre de France 2030, et en œuvrant, grâce à la commande publique, comme levier de souveraineté numérique. Donc avis défavorable. Merci. Monsieur Sabatou.

la présidente, je viens en soutien de l'amendement de mon collègue président de la commission. Madame la ministre, vous n'êtes pas souvent au banc et je le déplore parce qu'en fait, on ne parle quasiment jamais de numérique dans l'hémicycle. Donc quand est-ce qu'on en parle ? C'est ça ma question. Pour une fois, on a un sujet où on peut en parler. On a trois jours d'ouvert pour ça. Parlons-en. Parlons-en.

vous remercie. Je passe la vise aux voix de cet amendement qui est un double avis défavorable de cet amendement levé, qui est pour, qui est contre, c'est adopté.

Merci Madame la Présidente. Si vous m'autorisez à présenter les deux un seul mot, oui. Je prends ça pour un oui. Il y a plusieurs chemins pour

rejoindre

cet hémicycle. L'un d'entre eux vous invite à passer devant la bibliothèque et vous y trouverez un exemplaire du CID. Et qu'écrivait Corneille qu'ils partirent 500. L'ANSI est 651 effectifs, mais par un prompt renfort, il se vime 3000 en arrivant au port. Et ce que proposent ces amendements 103 et 104, c'est réaffirmer la place des centres régionaux de réponse à incident. Le premier en explicitant au sein de la stratégie nationale numérique leur importance. Et le second... en fixant plus précisément leur mission. Je crois véritablement que ce dernier kilomètre de la mise en œuvre de nos politiques publiques est décisif pour convaincre les acteurs d'aller plus loin. La sanction, en fait, n'est pas forcément le plus important. Moi, je suis toujours convaincu qu'il vaut mieux convaincre que contraindre. Je vous remercie.

Votre avis, s'il vous plaît, sur ces deux amendements, 103 et 104.

merci, Madame la Présidente. Je voudrais m'excuser particulièrement auprès de M. Saint-Pasteur, parce que le premier amendement que je donnais tout à l'heure, j'ai eu un avis défavorable. Je me suis trompé, mais je suis ravi de voir que cet amendement a été adopté. Donc, comme quoi, Montesquieu peut être à vie. Sur ces deux amendements, je donnerai un avis favorable au 103 à titre personnel. Il y avait eu un avis défavorable de la commission, mais moi, je donnerai un avis favorable au 103 et un avis défavorable, enfin, une demande de retrait ou un avis défavorable au 104.

Merci, madame la ministre, sur 103, 104. Merci,

madame la présidente. Donc, de la même manière, favorable pour le 103 et puis défavorable pour le 104.

Je passe la mise aux voix de l'amendement 103, qui recueille un avis défavorable, commission favorable du rapporteur et favorable du gouvernement. Et c'est à main levée. Qui est pour ? Qui est contre ? C'est adopté. Le 104, qui recueille un double avis défavorable. Qui est pour ? Qui est contre ? C'est adopté. Sur le vote des amendements 75 et 74, je suis ici par le Présentement national de demandes de soutien public et de soutien dans le sein de l'Assemblée nationale. J'ai le 123. Monsieur Latombe, allez-y.

merci. Dans le même esprit que l'amendement précédent, c'est d'intégrer à la lignée A5 le mot « et de dépendance numérique ». C'est pour qu'on ait vraiment la notion d'autonomie stratégique numérique dans la stratégie nationale, en parlant de dépendance numérique qui, elle, peut s'objectiver de façon claire. Et donc, il faut qu'on puisse l'intégrer dans la stratégie nationale.

Merci. Votre avis, s'il vous plaît, sur le 123 ?

Un avis défavorable a été donné par commission, mais je donnerai un avis de sagesse à titre personnel.

Madame la

ministre. Merci Madame la Présidente. Je vais donner un avis défavorable, non pas parce que la dépendance numérique ne manifère, au contraire, j'y travaille également tous les jours. Mais en fait, ce sont deux sujets distincts encore, Monsieur le député Latombe. Cybersécurité n'a pas de lien directement avec dépendance numérique et réciproquement. On peut travailler avec un acteur étranger et être cybersécurisé. A l'inverse, on peut également travailler avec un acteur français et ne pas être... dépendant numériquement et sécurisé non plus. Donc en fait la politique publique relative à la souveraineté numérique est bien distincte de la politique publique de la sécurité. On y travaille chaque jour, soyez-en assurés, et particulièrement pour réduire nos dépendances technologiques et puis accompagner nos acteurs français pour réduire justement nos dépendances technologiques, notamment grâce à France 2030 et également, comme je le disais tout à l'heure, sur la communication. La commande publique et la commande privée.

Donc avis défavorable.

vous

remercie. Monsieur Latombe.

merci Madame la Présidente. Juste pour illustrer mon amendement et l'objectiver, souvenons-nous de ce qui s'est passé juste avant les Jeux Olympiques, avec la mise à jour de l'OS de Microsoft, dans lequel il y avait

un

petit patch de chez CrowdStrike qui n'a pas marché comme il fallait. On est bien dans de la dépendance numérique puisque le patch était obligatoire et la mise à jour de l'OS était obligatoire. Et donc il faut absolument qu'on l'intègre dans la stratégie nationale parce que c'est un vrai risque. On a des pays entiers qui ont vu leur activité, activité aéroportuaire, activité économique, s'arrêter parce qu'il y avait une dépendance technologique telle et une dépendance numérique telle que l'activité s'est arrêtée. Donc il faut qu'on l'intègre absolument dans notre stratégie nationale. Ça me semble légitime.

remercie. Je passe à la mise au voie de cet amendement qui a un double avis défavorable commission gouvernement et de sagesse du rapporteur. C'est à main levée. Qui est pour ? Qui est contre ? C'est adopté. On poursuit avec le 75. Monsieur Salmon, allez-y.

Merci Madame la Présidente. Si vous m'autorisez, je vais défendre le 75 et le 74. En même temps, même s'ils sont différents, mais je vais être rapide sur les deux. Le premier, le 75, est là pour se servir de la commande publique comme levier dans la stratégie nationale de cybersécurité. C'est important. J'ai entendu vos arguments. Je les sortirai, je pense, pour le 74. Mais pour le 75, je pense que c'est important de marquer dans la loi que la commande publique peut servir de levier pour mettre en œuvre cette stratégie de cybersécurité. Donc le 74, où là je connais déjà votre réponse par avance, 'est vraiment de faire du soutien de la cybersécurité, de notre politique de stratégie nationale. un soutien au développement de l'offre française et européenne. Là, je sais qu'il y a une différence, vous l'avez déjà dit sur les amendements précédents, mais je pense que c'est important de noter ces points dans notre loi que nous sommes en train d'inscrire. Je vous remercie.

vous remercie. Votre avis sur les deux amendements, s'il vous plaît.

merci, Madame la présidente. En fait, à travers ces deux amendements, vous abordez deux volets, le sujet cybersécurité et le sujet de la souveraineté numérique. Pour la partie cybersécurité, je donnerai un avis favorable à l'article 17 sur l'amendement 125. 125, ce n'est pas celui-là. Non, ce n'est pas l'article 17 encore. Mais si on peut aller plus vite, il n'y a pas de souci. Donc, je donnerai plutôt un avis favorable à cet amendement 125 qui arrivera à l'article 17 sur le sujet de la cybersécurité. Et comme je l'ai dit, la souveraineté numérique n'est pas l'objet de ce texte. Donc, pour ces raisons-là, je donnerai un avis défavorable à vos amendements.

Merci. Monsieur Bautourel.

Merci, Madame la Présidente. Pardon de ne pas convoquer Montesquieu, mais de convoquer mon collègue de Courson, qui a toute sa carrière durant, et il va continuer, je le sais, lutter contre les rédactions qui commencent par Notamment. Et donc voilà pourquoi, dans les pas de mon collègue de Courson, je serai personnellement défavorable à l'amendement qui commence par Notamment. C'est une mauvaise idée.

D'accord. Madame la Ministre

Merci Madame la Présidente. Sur votre amendement 74, je ne vais pas répéter mon argumentaire, je vous confirme que c'est exactement le même que pour répondre à votre collègue Philippe Latombe. Par contre, je vais quand même prendre le temps de vous parler de la commande publique un petit peu. Je vais donner un avis défavorable. Moi, je pense également, comme vous, que la commande publique, c'est un enjeu crucial. Et c'est tellement crucial qu'on s'en est occupé depuis plus d'un an. Et une circulaire, notamment, a clarifié, avec David Amiel, qui est en charge de la fonction publique et la modernisation de l'État, la doctrine du bail or make, c'est-à-dire... en bon français, c'est-à-dire que toute administration centrale, ministère, qui a besoin d'un outil, d'une application, si elle existe sur le marché privé, est produite et sur le marché d'une entreprise française, on privilégie l'achat auprès de l'acteur privé disponible sur notre territoire, plutôt que de le faire nous-mêmes comme on l'a fait pendant des années. notamment à travers la DINUM. Donc on a changé de doctrine. On est passé maintenant à « on favorise l'achat, la commande publique vers des acteurs privés ». Par ailleurs, on a sorti un VADEMECOM sur la classification des données sensibles au sens de l'article 31 de la loi SREN que nous avons voté ici en 2024. Et un guide aussi a été élaboré également avec la direction des affaires juridiques à Bercy. pour favoriser ces commandes publiques. Nous avançons également avec Scaleway, ou l'assistant IA produit par Mistral en relation avec le ministère de Bercy. La commande publique, c'est un enjeu crucial, au même titre que la commande privée d'ailleurs, pour soutenir notre souveraineté numérique. Mais avis défavorable, puisque ce n'est pas dans la loi, c'est dans l'action que nous menons tous les jours sur le terrain.

bien, je passe à la mise aux voix de cet amendant 75, qui est un double avis défavorable, et c'est un scrutin public, le scrutin est ouvert. Le scrutin est clos. Voici le résultat du scrutin. Votant 67, exprimé 58, majorité 30 pour 25, contre 33, l'Assemblée nationale n'a pas adopté. On poursuit avec le 74, avec un double avis défavorable, c'est aussi un scrutin public. Le scrutin est ouvert. Le scrutin est clos. Voici le résultat du scrutin. Votant 69, exprimé 61, majorité 31, pour 26, contre 35, l'Assemblée nationale n'a pas adopté. On poursuit avec le 395. Madame Hervieux, allez-y.

Oui, avec cet amendement, il s'agit d'inclure... d'inclure très précisément les collectivités territoriales parmi les acteurs devant bénéficier des actions de sensibilisation à la cybersécurité prévues par le plan national. Vous le savez, les collectivités sont aujourd'hui fortement dépendantes des systèmes numériques pour assurer leur mission de service public. Et en plus, elles sont de plus en plus exposées à des attaques par rançongiciel, à des tentatives d'absonnage, à des vols de données, etc. Le renforcement de leur niveau de cyberprotection, de cyberhygiène et la diffusion des bonnes pratiques constituent vraiment un enjeu important de résilience, tant pour la protection des systèmes d'information, que pour la continuité des services publics locaux. Et on sait que c'est un enjeu éminemment sensible dans notre pays actuellement. Je

remercie votre avis.

Oui, merci. Je vous ferai une demande de retrait ou un avis défavorable, puisque votre amendement est déjà satisfait. En effet, le plan vise déjà les administrations publiques, catégorie dans lesquelles on retrouve notamment les collectivités, les communes, les régions, les départements, ainsi de suite. Et d'autant plus que la stratégie consacre un volet propre au soutien des collectivités, notamment à travers les articles 5 bis et 5 quinquies qui arrivent. Donc, votre amendement, pour moi, est satisfait. Donc, c'est une demande de retrait ou alors défavorable.

Merci. Madame la ministre. Merci Madame la Présidente. C'est également, je partage les arguments, c'est satisfait, donc demande de retrait ou avis défavorable.

vous remercie les maintenus. Je passe à la mise au voie de cet amendement qui a un double avis défavorable. C'est à main levée. Qui est pour ? Qui est contre ? C'est rejeté. On poursuit avec une discussion commune. Le 187, M. Thiebaud.

rédactionnel.

vous remercie. Le 7, M. Bautorel.

Alors, je ne suis pas sûr que le mien soit totalement rédactionnel. Je ne voulais pas vous parler de Montesquieu, ni de Courson, ni même de Guy Rexoudé, qui vient d'arriver quatrième en Guadeloupe. Félicitations à lui. Mais c'est pour vous parler du GIP Cybermoveillance. et peut-être resaluer le travail qui est fait par ce GIP, que l'on connaît sous le terme de 17Cyber, qui a depuis 2017 traité plus de 2,1 millions de demandes d'assistance cumulées sur la plateforme, qui a traité 85 % en moins d'une heure, et c'est pour le moins le minimum que l'on puisse... Nous ne puissions faire à l'occasion de l'examen de ce texte que de rendre hommage à ceux parmi d'autres qui contribuent à la résilience de notre pays et notamment auprès du secteur du TPE, PME et des particuliers qui ne sont pas épargnés des attaques cyber. Voilà pourquoi j'entendais substituer au mot « mise en place dès 2026 et piloter » par « conçu et mis en œuvre ». C'est bien évidemment l'ANSI qui le fera, mais le rôle de cyberméveillance est quand même déterminant aux côtés de l'ANSI.

vous remercie. Votre avis sur le 187 et 7 ? Favorable, c'est le vôtre.

Il est identique, donc je dirais favorable. Il n'est pas identique, c'est une discussion commune. Un défavorable pour le 7 et un favorable pour le mien, qui est bien un ajustement rédactionnel. Le rapporteur général essaie de m'embrouiller, c'est pas bien.

Votre avis, s'il vous plaît, Madame la Ministre.

Merci Madame la Présidente. En fait, ce ne sont pas effectivement tout à fait des identiques. Ce que je vous propose, Monsieur le député Bottorel, c'est de retirer le vôtre au profit du 187, c'est-à-dire celui de Vincent Thiebaud. Pourquoi ? Parce que votre amendement reviendrait à faire porter sur le seul jip à CIMA l'ensemble des politiques de prévention cyber. Je sais qu'ils font un travail formidable, ils sont formidables, mais c'est quand même leur demander beaucoup. Donc je vous demanderai de le retirer au profit de celui de Vincent Thibault.

On poursuit avec le 105. Monsieur Saint-Pasteur, allez-y.

Merci Madame la Présidente. Il existe plusieurs chemins pour faire passer un message. Et l'un d'entre eux, c'est la répétition. Et donc je risque d'être un petit peu redondant avec l'attention que je porte aux entités visées par l'article 24 en demandant qu'elles soient associées au plan de sensibilisation. Mais la redondance dans le champ du numérique, on sait qu'elle porte beaucoup de vertus. Donc voilà le sens de cet amendement auquel j'espère vous souscrirez collectivement.

vous remercie. Votre avis

la Présidente, chers collègues, cette fois-ci, je ne me tromperai pas, je ferai une demande de retrait ou alors un avis défavorable, puisqu'en fait, on l'aborde déjà à l'article 24. Donc pour moi, votre amendement est déjà satisfait. Donc demande de retrait ou avis défavorable.

Il est retiré ? Il est retiré. On poursuit avec une série d'amendements antiques. Le 124, monsieur Latombe.

merci madame la présidente. Il s'agit d'intégrer... En fait, l'article 7 de paragraphe 2 de la directive impose aux États membres une politique de renforcement de la cyber-résilience et de la cyber-hygiène des petites et moyennes entreprises, en particulier celles qui sont exclues de son champ. Et le texte de la commission spéciale ne le prévoit pas. Donc cet amendement vise à l'intégrer et à l'intégrer dans le DURP. parce qu'il est obligatoire pour tout employeur dès le premier salarié, dans le secteur privé comme dans le secteur public, et comme on intègre dans Nice 2, on prend la marge d'appréciation de la France en intégrant les collectivités, c'est donc un vecteur qui existe déjà pour atteindre des structures que Nice 2 ne couvre pas, sans créer de nouvelles obligations. Et l'amendement confie au plan de sensibilisation piloté par cybermalveillance.gouv.fr, dont on a parlé à l'instant, la production d'outils et de modèles, et ainsi les employeurs pourront évaluer. les conséquences d'un incident cyber sur leurs salariés, c'est-à-dire notamment les risques psychosociaux, le travail en mode dégradé, l'exposition de leurs données personnelles et la sécurité des installations. Cela permet de combler et de répondre à l'article 7 de la directive qui n'était pas dans le texte de la Commission.

merci, Madame la Présidente. Alors, sur l'amendement de M. Latombe, je donnerai un avis favorable, puisqu'en fait, il complète déjà des éléments qui sont déjà à l'article 7, il me semble, et n'ouvre pas de nouvelles obligations. Donc, la suite, enfin, avis favorable avec sagesse, on va dire.

vous remercie.

Mais c'est un moment identique,

M. le rapporteur. c'est favorable pour les deux. Madame la ministre.

Madame la Présidente. Alors en fait, moi je vais donner un avis défavorable sur les deux. Pourquoi ? Parce qu'il s'agit d'une surtransposition, enfin même une double surtransposition. La première surtransposition c'est qu'elle crée une obligation que la directive ne prévoit pas. En pointant ce risque dans la loi et en outillant son traitement, ce sujet deviendra une obligation de fait qui ne manquera pas d'être contrôlée lors des contrôles des DERP. Et par ailleurs, elle s'appliquerait... au-delà du périmètre des organisations visées par la directive NIS2, y compris pour des entités publiques privées de très petite taille. Donc soit je vous demande de le retirer ou avis défavorable pour les deux amendements. Je remercie M.

Laton-Badési.

merci. Je rappelle que l'article 7, paragraphe 2.i de la directive impose aux États membres une politique de renforcement de la cyber-résilience et de la cyber-hygiène des petites et moyennes entreprises. Et c'est marqué très clairement en particulier celles qui sont exclues de son champ. Donc, en fait, on essaie de répondre à la directive. Vous nous demandez de transposer la directive. Je transpose la directive. Je rajoute rien de plus à la directive. Je transpose la directive. La directive nous dit pour les entreprises qui ne sont pas soumises à Nice 2, notamment les petites et les moyennes, qui ne sont pas soumises à Nice 2, il faut qu'il y ait une politique de cyber-résilience et de cyber-hygiène. Et en l'occurrence, le passage par la DURP permet de ne pas créer d'obligations supplémentaires. La France, ensuite, a fait le choix d'intégrer les collectivités. Ça tombe bien. Les collectivités ont un DURP. On intègre aussi le même dispositif. Ça fait une équité entre le privé et le public. Ça correspond vraiment à ce que le Conseil d'État nous a demandé.

Merci. Je passe la mise aux voix de cette série de demandes identiques. Un avis favorable de sagesse de la commission, défavorable du gouvernement, c'est à main levée. Qui est pour ? Contre ? C'est adopté. Le 394. Madame Hervieux, allez-y.

Oui, toujours dans la visée d'améliorer et d'acculturer les élus locaux parmi les publics. J'efface tout. En fait, il s'agit de soutenir les élus. qui sont parmi les publics auxquels doivent s'adresser les actions de promotion et de développement de l'éducation, de la formation et de la sensibilisation en matière de cybersécurité. Il y a vraiment une culture de formation. d'appréhension de l'ensemble de ces sujets qui doivent irriguer jusqu'aux plus petites communes qui utilisent aussi des services numériques. Et les remontées que nous avons de la part des SESIRT montrent l'ampleur du travail que nous devons faire pour sensibiliser nos collègues sur toutes les questions de cybersécurité. Et le fait de l'inscrire explicitement dans cet article avec l'amendement que je propose paraît tout à fait aller dans le sens de se donner les moyens de se... protéger là où nous sommes le plus ancrés dans les territoires.

Votre avis ?

je vous ferai une demande de retrait ou un avis défavorable, puisqu'en fait, les élus sont déjà inclus, et cela ne rajouterait rien, et ça ferait une surtransposition qui ne rajouterait rien, puisqu'en fait, les élus font bien partie des citoyens, des parties prenantes et des entités, comme c'est défini à l'article 7, paragraphe 2 de la directive. Donc pour moi, c'est satisfait, donc c'est une demande de retrait ou alors défavorable.

vous remercie, Madame la Ministre. Merci, Madame Hervieux.

Oui, je pense que si on veut être à la hauteur des objectifs qu'il y a dans ce projet de loi, impliquer de façon très explicite les élus locaux à cette bataille dans laquelle nous sommes en train de courir derrière les évolutions technologiques me paraît essentiel. Rajouter explicitement les élus me paraît aller dans cette ambition. Oui, allez-y, M. Bottorel.

pense qu'on peut faire l'économie de rajouter ça, parce que sinon on va ouvrir. Ce texte est un texte de mobilisation générale. Et donc, si on veut aller dans le détail de tous ceux qui doivent agir, ça va être évidemment les citoyens, les élus, les salariés du privé, les salariés du secteur public, les salariés du monde de la santé, etc. Je pense que là, pour le coup, la réponse du rapporteur Thiebaud est tout à fait claire. Les élus sont d'abord, et nous sommes aussi tous ici des citoyens, et donc nous sommes concernés par la rédaction telle qu'elle est écrite à l'origine.

passe à la mise au voie de l'amendement 394 qui recueille un double avis défavorable, commission-gouvernement, qui est pour, qui est contre, c'est adopté. Sur le vote de l'amendement 8, je suis ici par le groupe Rassemblement National et sur le vote de l'amendement 20, je suis ici par le groupe pour la France, insouis une demande de scrutin public et scrutins sont annoncés dans l'ensemble de l'Assemblée Nationale. Amendement numéro 106. Monsieur, allez-y.

Bien, merci Madame la Présidente, Madame la Ministre, Messieurs les rapporteurs. Cet amendement du groupe socialiste vise à mieux reconnaître dans la stratégie nationale de cybersécurité le rôle des acteurs déjà mobilisés dans les territoires, notamment les campus régionaux de cybersécurité, les centres régionaux de réponse aux incidents. qui finalement balaye tous les domaines du local, du monde économique, des collectivités, voire même, pourquoi pas, demain, le monde associatif, notamment. Voilà cet amendement pour mieux coordonner l'ensemble de la stratégie nationale sur le terrain.

monsieur Berti. Votre avis, s'il vous plaît.

ce serait une demande de retrait ou un avis défavorable, puisqu'en fait, à trop vouloir figer dans la loi, nous allons un peu à l'encontre aussi de la souplesse. La souplesse peut être donnée à la stratégie de définir les organismes qui rentrent dans ces obligations. Donc moi, je vous ferai une demande de retrait ou un avis défavorable.

Merci, Madame la ministre.

Merci Madame la Présidente. Vous connaissez mon attachement, Monsieur le député, aux CECIRT régionaux. Mais en fait, il s'est satisfait déjà, puisque la linéa 12 de l'article 5B prévoit déjà le soutien à... et donc l'implication des centres régionaux de formation, d'expertise ou de réponse aux incidents. Et par ailleurs, dans la stratégie nationale de cybersécurité 2026-2030, il est pris en compte l'échelon territorial comme un échelon indispensable. Donc je vous demanderai, monsieur le député, de retirer votre amendement, sinon avis défavorable. Je vous remercie. Il

est retiré. Le numéro 8. Madame Bamama, allez-y.

Merci Madame la Présidente. Madame la Ministre, chers collègues, je souhaite attirer votre attention sur une réalité très concrète. Lorsqu'une nouvelle obligation nationale s'applique à nos territoires, encore faut-il que nous disposions des moyens et de l'accompagnement nécessaire pour la mettre en œuvre réellement. Comme tous les autres territoires ultramarins, Mayotte est pleinement concernée par les nouvelles exigences de cybersécurité prévues par ce texte. Mais appliquer les mêmes règles ne signifie pas ignorer les réalités propres à chaque territoire. C'est pourquoi cet amendement prévoit un accompagnement adapté pour les collectivités régies par l'article 73 de la Constitution, notamment en matière de mise en conformité, de sécurisation des systèmes d'information, de formation, d'accès à l'expertise et de réponse aux incidents. La cybersécurité ne doit pas devenir une nouvelle source d'inégalité territoriale. A travers cet amendement, je souhaite donc que notre stratégie nationale tienne pleinement compte des réalités ultramarines et permettre à nos collectivités de disposer des outils nécessaires pour faire face aux mêmes menaces et répondre aux mêmes exigences que le reste du territoire national. Je vous remercie.

Votre préoccupation est légitime et d'ailleurs elle est satisfaite. Puisqu'en fait, à l'article 5 quinquiesse au C, on prévoit bien le dispositif de soutien aux collectivités dont les collectivités d'outre-mer sont compris. Le volet territorial englobe d'ailleurs de la stratégie, englobe le bien des outre-mer. Et notamment les objectifs de réduction des inégalités territoriales d'accès aux ressources en cybersécurité sont définis aussi au D du 5 quinquiesse. Donc pour moi, votre amendement est pleinement... pleinement satisfait, donc ce sera une demande de retrait, sinon la ville est favorable.

Je vous remercie, Madame la Ministre.

Madame la Présidente. Madame la députée, évidemment, votre ambition, elle est partagée. Évidemment qu'aucun territoire en France ne doit passer à côté de la cybersécurité. Ce texte concerne l'ensemble du territoire, y compris les Outre-mer. Et je peux vous dire effectivement que ce que vous demandez de manière tout à fait légitime est déjà satisfait. par l'article 5 bis qui prévoit une stratégie d'aménagement du territoire et la prise en compte des inégalités territoriales en matière de cybersécurité. Et je peux d'ores et déjà vous dire également que l'ANSI travaille en relation étroite avec le CECIRT des territoires d'outre-mer pour justement accompagner les territoires ultramarins. Donc pour moi c'est satisfait. Je vous demanderai de retirer votre amendement, sinon avis défavorable, madame la députée.

vous remercie. Allez-y, madame Mamana. Ah oui, et je maintiens mon amendement. 'accord. Écoutez, je passe à la mise au voie de cet amendement qui recueille un double avis défavorable. C'est un scrutin public. Le scrutin est ouvert. Le scrutin est clos. Voici le stade du scrutin. Votant 78, exprimé 65, majorité 33 pour 30 contre 35, l'Assemblée nationale n'a pas adopté. J'ai un moment numéro 20, monsieur Saint-Martin.

Arnaud Saint-MartinLien3:08:36 → 3:09:52

Merci Madame la Présidente. C'est un amendement qui vise à compléter la stratégie nationale de l'ANSI en y intégrant une étude sur le développement d'un système de stockage de données souverains où les opérations de l'hébergement à la gestion seraient réalisées en France via une entreprise française sous juridiction française. C'est un amendement qui met en lumière une réalité très concrète concernant laquelle aucun défenseur de la souveraineté du peuple français ne peut fermer les yeux, à savoir le développement d'infrastructures numériques telles que les data centers sur le territoire français, qui ne peut pas automatiquement dire... que nous disposons d'une souveraineté, d'une maîtrise sur les données qui y sont stockées. Un grand nombre de ces centres de données voient le jour du fait d'investissements étrangers, ou bien ce sont des entreprises étrangères, telles que les GAFAMIX, états-uniennes, qui y stockent nos données et qu'elles ont collectées. Je connais cette réalité, notamment en Seine-et-Marne, où ça se déploie à Marche Forcé. J'ai cité Campus IA tout à l'heure. Il y a un autre projet aussi à Réau qui est en cours de concertation. C'est des infrastructures. très conséquente. Il se murmure qu'un projet de Google pourrait s'installer dans ma circonscription. Sur toutes ces questions-là, il faut absolument sortir de la position technobéate. Pour garantir notre souveraineté numérique et mettre à distance les prédations de ces acteurs, il nous faut garantir notre souveraineté sur l'ensemble de la chaîne de l'information. Merci.

vous remercie. Votre avis, s'il vous plaît, sur le numéro 20.

Oui, comme je l'ai rappelé, ce texte n'est pas un texte sur la souveraineté. Voilà, on peut en parler, mais ce n'est pas un texte sur la souveraineté. Demander une étude en plein milieu de la définition d'une stratégie, ça ne me paraît pas adéquat. D'autant plus que vous exigez une entreprise française. Ça s'entrait même au principe de non-discrimination de l'Union européenne. D'autant plus que, pour ma part, c'est déjà satisfait à ce niveau-là, puisque la qualification Secnum Cloud de l'ANSI répond justement à cet objectif. Donc ce sera une demande de retrait ou alors un avis défavorable.

Je vous remercie. Monsieur Bautorel. C'est la commission, allez-y.

Merci Madame la Présidente. Moi, je suis particulièrement inquiet d'un passage de votre amendement. Alors, certes, c'est dans l'exposé des motifs, donc ça ne rentre pas au niveau de la loi. Mais quand vous dites que les données stratégiques et sensibles changeraient de manière souveraine, jusque-là, personne dans cet hémicycle, je pense, ne sera en désaccord, sous contrôle de l'État. Il faut que les données stratégiques et sensibles de notre pays, y compris les données privées, soient sous contrôle de l'État. Je ne suis pas sûr que ce soit un objectif qu'il soit partagé par le plus grand nombre ici. Je ne reviens pas sur les histoires de fuite en particulier, me glisse le président, mais sous le contrôle de l'État, ça me paraît être une démarche originale.

vous remercie. Madame la ministre.

Merci Madame la Présidente. C'est un sujet passionnant celui des clouds. Franchement, mais on ne peut pas mettre tous les clouds sur le même niveau. Il y a des clouds qui doivent être effectivement souverains, c'est ce que nous avons comme stratégie. Il y a des clouds commerciaux, il y a des clouds, je dirais, hybrides. Ça dépend de la sensibilité des données, en tout cas pour l'État, notamment grâce à la loi Sren, on a quand même voté la loi, l'article 31 sur cloud au centre, qui permet notamment aux données sensibles de l'État d'être... obligatoirement sauvegardés sur des clouds souverains, donc c'est déjà satisfait. Et par ailleurs, vous faites référence à un projet qui a lieu sur votre territoire, qui est un projet commercial, et dont la sensibilité sera traitée au cas par cas, et notamment avec la qualification Segnum Cloud, s'il y a des données sensibles, je l'espère que ce sera qualifié Segnum Cloud, mais sinon après, tous les clouds ne peuvent pas être souverains. Il n'y a pas la même sensibilité sur toutes les données. Mais en tout cas, sur les données de l'État, je peux vous garantir que c'est le cas. Et nous avons notamment aussi des clouds et des data centers 100% sécurisés pour nos propres usages. Au ministère de l'Intérieur, il y en a un. Et à Bercy, il y en a un second. Amis défavorés. Je vous remercie.

Il est maintenu. Oui, allez-y.

Merci Madame la Présidente. Je pense que soit il y a une incompréhension entre nous, soit vous faites exprès de caricaturer notre position. Je ne sais pas laquelle des deux hypothèses est la bonne, mais la vérité c'est que oui, on sait très bien que quand c'est souverain, c'est-à-dire sous le contrôle de l'État, qu'il soit direct ou indirect, puisque là ça ne dit pas si c'est direct ou indirect, ça peut tout à fait être indirect en la circonstance, c'est pas une garantie absolue de cybersécurité et contre l'absence de fuite et d'attaque. Vous avez raison. des tas de choses qui sont très souveraines se font très bien attaquer et sont très peu sécurisées. Donc la souveraineté, ce n'est pas une garantie absolue. N'empêche qu'à situation égale, on préfère avoir des choses sur lesquelles on est... la main directement, y compris pour régler les problèmes, plutôt que de rajouter une couche de dépendance. Je sais très bien que vous êtes des libéraux et que pour vous, le privé fonctionne mieux que le public et l'État, etc. Mais enfin, votre dogmatisme vous perdra en la circonstance, puisque c'est bien ça notre point de vue, c'est qu'a priori, on pense que c'est plus efficace. dans la difficulté d'avoir des choses sur lesquelles on a directement la main et sur lesquelles on est souverain, y compris indirectement via le contrôle de l'ANSI ou via une entreprise, une structure française d'autorisation, d'accréditation ou que sais-je encore, plutôt que de laisser la main invisible du marché faire et opérer librement. Parce qu'en plus, avec les questions de sous-traitance en cascade, etc., vous pouvez vous retrouver avec quelqu'un qui vous vend de la souveraineté sur le fait que c'est héberger en France et qu'à la fin, au final, qu'il y ait une partie de vos briques ou de vos données qui soient gérées à l'étranger. ou depuis l'étranger. Donc, on veut se donner un maximum de garantie parce qu'avec les macronistes au pouvoir, on a vu que le bradage des données nationales, c'était quand même un sport comme un autre puisque vous en faites vous-même un levier économique d'attirer des capitaux étrangers. Donc, oui, à un moment donné, il faut choisir.

Merci, M. Bautorel et je passerai la mise aux voix.

Merci Madame la Présidente. L'avantage d'avoir pris le temps d'examiner ce texte, c'est que nous avons pu réauditionner l'ANSI. Il me semble, Monsieur Saint-Martin, je ne sais pas si c'est à ce moment-là du texte, mais que vous aviez questionné l'ANSI notamment sur son rôle qui devrait être incontournable et exclusif de résolution et de rémédiation des crises. Je trouve que la réponse qui avait été faite par Monsieur Strubel était la bonne. Il y a des partis politiques qui parfois perdent leurs données ou se font attaquer. Est-ce que le monde idéal de demain, c'est de considérer, que vous soyez au pouvoir ou pas au pouvoir, qu'en définitive, même un parti politique devrait, par obligation, se retourner vers les services de l'État plutôt que des entreprises privées ? Le débat est extrêmement intéressant.

Allez, je passe à la mise en voie de l'amendement 20, qui est un double avis des favorables commissions-gouvernement, et c'est un scrutin public. Le scrutin est ouvert. Le scrutin est clos. Voilà le résultat du scrutin. S'il vous plaît. On a passé une bonne après-midi, on continue comme ça. Votant 85, exprimé 83, majorité 42 pour, 51 contre 32. L'Assemblée nationale a adopté. On poursuit avec une série d'amendements identiques. Le 125, M. Laton, allez-y.

Merci Madame la Présidente. Je vais essayer de revenir à la transposition du texte tel que Madame la Ministre le souhaite, puisque l'article 7, paragraphe 2.b de la directive prévoit que la stratégie nationale en matière de cybersécurité comprend une politique relative à l'inclusion, à la spécification d'exigences liées à la cybersécurité pour les produits et services TIC dans les marchés publics, et notamment en matière de certification de cybersécurité, de chiffrement et d'utilisation de produits de cybersécurité en source ouverte. Le présent amendement vise donc à assurer la pleine prise en compte de cette exigence. dans la stratégie nationale. Cette approche est cohérente avec l'article 21, paragraphe 3 de la directive qui impose de tenir compte des vulnérabilités propres aux fournisseurs et prestataires de services directs ainsi que l'article 32 qui prévoit, quant à lui, que les évaluations coordonnées des risques pour la sécurité des chaînes d'approvisionnement critique tiennent compte, le cas échéant, de facteurs de risque non techniques. Et je me réfère aux considérants 90 et 91 de la directive, qui mentionnent, quant à eux, l'influence de pays tiers, les vulnérabilités cachées ou les portes dérobées, les ruptures systémiques d'approvisionnement, le verrouillage technologique et la dépendance à l'égard d'un fournisseur. C'est ainsi que dans ce cadre, la soumission d'un fournisseur ou d'une entité qui le contrôle à une législation d'un État non membre de l'Union européenne, susceptible de permettre un accès non consenti aux données et aux systèmes d'information, constitue un facteur de risque pertinent dans l'appréciation de la sécurité de la chaîne d'approvisionnement. Et de même, l'amendement vise également les mécanismes susceptibles de permettre la désactivation, l'interruption ou la restriction à distance du fonctionnement, le fameux « kill switch ». dès lors qu'ils peuvent affecter la maîtrise, la continuité ou la résilience des solutions numériques acquises par les acteurs publics. On est donc totalement dans la transposition de la directive, juste sur les articles 21 et 32. Merci. Le

254.

merci Madame la Présidente. C'est un amendement identique. On est d'accord sur ce sujet qu'il faudrait un peu préciser la transposition de l'article 7 de Nice 2 sur la stratégie nationale de cybersécurité. La directive demande une politique d'inclusion d'exigence de cybersécurité, le président Latom l'a dit, dans les marchés publics, notamment en matière de certification de chiffrement et de produits en source ouverte. Nous y ajoutons la prise en compte des facteurs de risque non techniques liés aux fournisseurs, la soumission à des législations... d'État tiers permettant un accès non consenti aux données et mécanismes de désactivation ou de restriction à distance d'un produit.

Merci Madame Bellucot. Sur le vote de l'amendement 73, je suis ici par l'opération nationale. Sur le vote de l'amendement 58, je suis ici par l'opération de la France insoumise. Et sur le vote de l'article 5 bis, je suis ici par l'opération de la République d'une demande de scrutin public. Les scrutins sont annoncés dans l'ensemble de l'Assemblée nationale. J'ai le 365, Madame Dariussec. défendu. Votre avis sur cette série d'endements identiques, s'il vous plaît.

alors l'article Sainte-Bis a été introduit au Sénat, notamment en proposant de transposer l'article 7 de la directive. Il est vrai que les éléments que vous proposez paraissent bien dans la directive, notamment dans cet article 7. Et que la directive reconnaît notamment à travers l'article 22 au seul niveau de la politique d'achat de l'État et sans obligation aux présentités pour la prise en compte des facteurs de risque non techniques. Donc on n'est pas dans la surtransposition et on est en application de la directive. Pour ma part, je donnerai un avis favorable.

Avis favorable. Votre avis, Madame la Ministre

Merci Madame la Présidente. Alors, même si je partage l'objectif de cet amendement, Monsieur le Président, j'estime qu'il est déjà satisfait. Dans la stratégie nationale de cybersécurité 2026-2030, on fixe déjà comme objectif stratégique de maîtriser la sécurité de nos fondements numériques via notamment la maîtrise des dépendances technologiques. Ce qui couvre bien l'objet de votre amendement. Donc c'est couvert par la stratégie nationale de cybersécurité 2630. Sur ces exigences, par ailleurs, de nombreux travaux ont été initiés avec les administrations, en lien par exemple avec la loi Sren et des closiers de type pour les acheteurs publics. Et ensuite, ce dont vous parlez... C'est un enjeu qui relève, à mon sens, de textes européens en cours de discussion. Je pense au Cyber Security Act 2, je pense au Cloud and AI Development Act actuellement en discussion. Donc je vous demanderai, Monsieur le Président, de retirer votre amendement, sinon je donnerai un avis défavorable.

je suis malheureusement en désaccord, Madame la ministre, puisque cet amendement prévoit l'exclusion d'exigences en matière de certification de cybersécurité, de chiffrement et d'utilisation de produits de cybersécurité en source ouverte. Or, ce n'est pas du tout prévu dans la stratégie nationale aujourd'hui. Donc mon amendement, si pour partie il est déjà dans la stratégie nationale, il le réécrit en intégrant ces éléments-là qui sont eux dans l'article 7 de la directive. Donc on est vraiment dans de la transposition pure. est beaucoup plus écrite et mieux écrite que ce qu'il y a dans la stratégie nationale pour l'instant. Et donc c'est pour ça que je veux qu'on puisse, et vous l'avez dit tout à l'heure, vous vouliez une transposition fidèle, nous faisons une transposition fidèle en utilisant cet amendement.

vous remercie, je passe à la mise au vote de cette série d'amendements identiques. Je vous rappelle l'avis favorable de la commission défavorable du gouvernement et c'est à main levée qui est pour, qui est contre, c'est adopté. On poursuit avec le 126. Monsieur Latombe.

c'est pour être cohérent depuis l'article 5 bis en intégrant à la lignée A18 les mots autonomie stratégique numérique. C'est pour être cohérent, intégrer la notion d'autonomie stratégique numérique dans la stratégie nationale. Là où nous devrions le faire, c'est-à-dire aussi à la lignée A18 et pas simplement aux alignées A précédents.

'il vous plaît, sur le 126.

je donnerai une demande de retrait ou un avis défavorable. Effectivement, l'article 7 par regard de la directive prévoit des indicateurs qui évaluent la stratégie de cybersécurité elle-même. Ce texte porte sur la cybersécurité, pas sur la société numérique. L'autonomie stratégique qui figure déjà au 1, figure déjà au 1. Donc, figurer les objets d'évaluation nuiraient à l'efficacité du suivi. Donc, je vous ferai une demande de retrait ou alors un avis défavorable.

Merci, Madame

la ministre. Merci Madame la Présidente. Je vais suivre l'avis du rapporteur thématique. En fait, vous élargissez le périmètre de la stratégie à la souveraineté numérique. Donc c'est au-delà de la stratégie nationale de cybersécurité. Et par ailleurs, sous le terme autonomie stratégique numérique, il y a, à mon sens... une incertitude juridique en termes de définition de ce qu'est l'autonomie stratégique numérique, qui ne peut pas être introduite selon moi dans ce texte. Donc je vous demanderai de le retirer au avis défavorable. Je vous remercie.

souhaitiez intervenir, M. Bernalicis ? Allez-y.

cet amendement me semblait intéressant de distinguer l'autonomie stratégique numérique. Parce que on est, et M. Latombe le sait parfaitement, puisqu'il dépose cet amendement, dépendant de beaucoup de puissances dites alliées sur un certain nombre de capacités numériques dans notre pays. Et que oui, tendre vers l'autonomie, c'est-à-dire... on ne peut pas dire l'indépendance, oui, est un enjeu de souveraineté qui apparaît évident. Je veux dire, on l'a vu sur des affaires plus judiciaires que le texte qui nous occupe ici, mais pour arrêter un certain nombre de criminels dans notre pays, il a fallu passer par les États-Unis, utilisant des techniques que nous n'utilisions pas. parce que, pour des raisons x, y, je passe le détail, mais d'impréparation de nos services judiciaires, on n'avait pas les capacités techniques alors qu'elles existaient dans notre pays. Et juste, c'est pas souhaitable. Demain, on se fâche avec les États-Unis d'Amérique pour x, y, y, ou ils n'ont pas envie de nous aider sur ce sujet-là, on n'a pas les moyens de le faire. Donc bien sûr que l'autonomie stratégique, c'est-à-dire de développer nos solutions sans être dans l'interdépendance... ça doit faire partie aussi des perspectives et de la prospective en tant que telle.

vous remercie Madame la Ministre.

Merci Madame la Présidente. Je voudrais rassurer le député, ne pas vouloir qu'il soit inscrit dans ce texte ne veut pas dire qu'on ne s'en occupe pas et qu'on n'en a pas conscience. Je voulais vraiment vous rassurer là-dessus. Que ce soit sur la souveraineté numérique ou la prise de conscience que nous sommes dépendants technologiquement, c'est mon travail tous les jours. C'est notre travail tous les jours. Mais il y a une différence entre l'inscrire dans un texte qui parle de cybersécurité et de s'en occuper au quotidien en tant que gouvernement pour faire en sorte de réduire ses dépendances. Donc je voulais vous rassurer, monsieur.

vous remercie. On va passer à la mise au voie de cet amendement qui recueille un double avis défavorable. Monsieur le gouvernement est à main levée. Qui est pour ? Qui est contre ? C'est adopté. Le 127. Monsieur Latombe, allez-y. Merci

Madame la Présidente. L'article 5 bis prévoit que la stratégie nationale en matière de cybersécurité comprend des indicateurs clés de performance destinés à évaluer sa mise en œuvre. Et ça, c'est conforme à l'article 7, paragraphe 4 de la directive Nice 2. Le texte, l'article 5 bis, n'en précise pas la nature. Je propose, comme je l'avais dit tout à l'heure, de ne pas laisser simplement à l'exécutif de choisir les indicateurs, mais de lui imposer les dimensions des indicateurs, et notamment des indicateurs en termes financiers pour la situation actuelle et projetée, une appréciation de l'efficacité des mesures de maîtrise des risques au regard du risque résiduel, et les éléments relatifs à l'évaluation des menaces et des incidents importants aux échelles nationales et sectorielles. En gros, l'idée, c'est quand même d'être sûr que l'exécutif ait bien des indicateurs de performance qui soient utiles et qu'il puisse éclairer ensuite le débat que nous pourrons avoir dans nos hémicycles ici ou au Sénat.

Merci. Votre avis sur le 127

il sera une demande de retrait, un avis défavorable. Pourquoi ? Parce qu'en fait, la directive laisse le choix. aux États membres de définir les indicateurs. Et pour moi, ça relève du réglementaire et non pas du législatif. D'autant plus que vous avez le rapport biennal qui sera remis au Parlement, qui permet de suivre et de voir l'évolution de ces indicateurs. Donc une demande de retrait ou alors un avis défavorable.

Merci. Madame la ministre, défavorable. Merci. Monsieur Bernard, ici, allez-y.

Merci Madame la Présidente. Je vois bien pourquoi le collègue Laton me propose cet amendement. Je suis partagé sur ce genre de trucs parce que les indicateurs de performance, rien que le terme mérissent le poil. J'en souffre trop, nous en souffrons trop dans les projets annuels de performance. Déjà pour dire que ce n'est pas du réglementaire. Justement on a fait rentrer dans le périmètre d'amendements dans les lois de finances. la possibilité d'amender les indicateurs de performance parce que le législateur a décidé de reprendre la main dessus. Pourquoi ? Et c'est là où je peux partager l'intuition, l'intention du collègue Latombe. C'est que franchement, les autosatisficites du gouvernement disant qu'on fait tout très bien et que tout est génial en matière de cybersécurité, on en a vu. Et après on a vu des fuites. On a dit comment ça se fait qu'il y a trois mois, ils ont fait un point presse pour expliquer que tout était les meilleurs, tout était nickel. Et puis trois mois plus tard, ils disent non, mais peut-être qu'on aurait pu faire mieux. Et puis je demande à toutes les administrations maintenant d'appliquer le plan cyber. Vous avez vécu les mêmes épisodes que moi précédemment, et je suis sûr que le collègue Latombe n'a pas envie qu'on retombe dans ce genre de travers, qu'on assume les points de faiblesse et les marges de progression et qu'on soit un peu efficace et objectif sur ce qu'on a à faire, sur ce qu'on a fait et sur ce qu'on doit encore faire. Voilà. Et parce que je sais que d'autres diront « Ah ben c'est réglementaire, il ne faut peut-être pas qu'on dise là où on est nul ». Franchement, les hackers n'ont pas attendu de savoir où on était nul et qu'on le dise pour exploiter les failles. Donc, il vaut mieux être lucide. et se donner des vraies perspectives en la matière. Je ne sais pas ce que le collègue Latombe va faire, s'il va retirer l'avantage ou pas, mais j'ai envie de dire que l'intention est bonne.

Monsieur Latombe. Merci Madame la Présidente. Je vais être d'accord avec Monsieur Bernalissis. C'est typiquement du domaine du législateur que de définir les indicateurs que nous voulons voir. Et renvoyer simplement au rapport, on en a vu, des rapports biennaux dans lesquels il n'y avait rien. Et on a vu aussi, je suis désolé de vous le dire, dans les attaques que nous avons eues cet été, des premières communications qui étaient, ce sont des attaques super sérieuses menées avec de l'IA par des Russes. Ils avaient 16 et 17 ans. Ils ont chopé un identifiant, un mot de passe, ils sont rentrés dans le système et ils ont exporté des données sans que personne ne les voit. Et on s'en est rendu compte qu'une fois c'était mis en vente sur le dark web. Donc à un moment, c'est quand même au législateur d'imposer les indicateurs clés de performance qu'il souhaite voir et qu'il souhaite voir communiquer au titre de la stratégie nationale. Je pense que c'est normal que ce soit le Parlement qui puisse avoir et définir ces indicateurs.

vous remercie. Je passe la mise au voie de cet amendement qui recueille un double avis défavorable. Qui est pour ? Qui est contre ? C'est adopté. Amendement numéro 396, Madame Hervieux.

toujours, Madame la Présidente, chers collègues, toujours dans un souci de cohérence avec la référence à la stratégie nationale et la mise à jour biennale. Il s'agit de prendre en compte la rapidité d'évolution des technologies du paysage des menaces, qui justifie de pouvoir actualiser plus régulièrement cette mise à jour et de la passer au moins de façon biennale, alors qu'il est prévu une actualisation tous les trois ans. On voit le développement de l'intelligence artificielle, l'apparition de nouvelles vulnérabilités, les collègues l'ont dit tout de suite, des évolutions exponentielles des modes d'opération. de cyberattaquants et l'interconnexion croissante des systèmes numériques et tout cela modifie rapidement les conditions dans lesquelles doit être assurée la cybersécurité de la nation. Donc il faut une périodicité de mise à jour de façon cohérente et encore plus régulière que ce que prévoit le texte. C'est aussi une façon, une volonté de marquer la garantie pour une mise à jour régulière et adaptée surtout aux évolutions technologiques que nous constatons de semaine en semaine. Votre avis, s'il vous plaît.

Ce serait une demande de retrait ou un avis défavorable, cher collègue. La directive prévoit cinq ans. Dans le texte, nous mettons trois ans. D'autant plus, vous avez le rapport biennal qui est remis au Parlement qui permet de suivre l'évolution des menaces. Mais je voudrais juste revenir un peu parce que c'est un peu en contradictoire de tout. les votes que nous voulons de faire. Je m'explique. Vous dites qu'il faut de la suplesse, ça réagit vite. Je vous rappelle juste qu'à force de figer dans la loi, que ce soit les indicateurs et ainsi de suite, je vous rappelle qu'à un moment donné, si on veut les faire évoluer, ces indicateurs, il n'y aura que la loi qui pourra faire évoluer la loi. Vous savez quel est le processus législatif que nous avons. Plus nous sommes stricts. Plus nous sommes détaillés dans la loi. Alors certes, on se fait plaisir en tant que législateur, mais on contraint les services de l'État et l'exécutif notamment dans sa capacité à être souple et réactif par rapport à l'évolution des menaces. Alors moi, je veux bien qu'on se fasse plaisir, mais juste quand même vous préciser que là, ce que nous sommes en train de faire, nous sommes en train de rigidifier un texte de loi ou alors. Pendant ce temps-là, nous avons besoin en réalité de flexibilité, de souplesse. Pour ça, chers collègues, je vous donnerai une demande d'avis, une demande de retrait, un avis défavorable. Et permettez-moi quand même de vous mettre face à vos contradictions. C'est quand même assez, assez ahurissant quand on voit les enjeux qu'on a notamment vis-à-vis de la cyber. Voilà, avis défavorable.

Merci, Madame la ministre.

Allez-y. Merci Madame la Présidente. Moi aussi je comprends en fait l'objectif de votre amendement qui est qu'on colle le plus à la réalité de l'évolution de la menace. Cependant, la stratégie nationale de cybersécurité, elle est écrite par les services de l'État. Elle est écrite notamment par l'ANSI. Et moi je préfère voir les gens de l'ANSI sur le terrain à accompagner ou à faire de la prévention et à limiter finalement et prévenir les menaces. On est passé de 5 à 3. Ça me paraît quand même raisonnable grâce au sénateur. Je pense que, franchement, là, mobiliser l'ANSI pour remettre à jour tous les deux ans une stratégie nationale cyber, je préfère que les agents de l'ANSI fassent vraiment autre chose. Je vous demanderai de retirer votre amendement au avis défavorable.

madame Hervieux. Plusieurs arguments pour répondre à la fois au rapporteur et à Madame la ministre. Déjà, ce n'est pas de la faute du Parlement. Si on étudie le texte, le PGL... plus de deux ans après son élaboration officielle suite à la directive. Déjà, le retard, il faut aussi peut-être l'assumer du côté du gouvernement. La deuxième chose, la cohérence par rapport au rythme biennal en regard de tout ce que nous constatons et que depuis le début de cet examen, nous mettons en avant plein d'exemples de ce qui arrive et des évolutions technologiques de façon exponentielle. On a besoin de remettre à plat, effectivement, tous les deux ans, le point de remettre à plat et de savoir où on en est. Et dernière chose, dire que l'ancien n'a pas les moyens, le dire dans l'hémicycle actuellement, alors que ça devient un sujet éminemment stratégique de géopolitique. C'est ne pas se donner effectivement les moyens de cette ambition que nous portons. Et je le déplore là. Donc je vous invite vraiment à voter cet amendement pour donner au moins un signe. Oui, il faut des moyens et il faudra qu'on prenne nos responsabilités. Et encore une fois, ça se jouera au Parlement. Monsieur Salmon.

Merci Madame la Présidente, Madame la Ministre, Monsieur le rapporteur, chers collègues. Nous, on va être contre cet amendement parce que, effectivement, je ne vais pas reprendre les arguments qu'a donnés Monsieur le rapporteur, mais il y a déjà le rapport sur la mise en œuvre de la stratégie qui est prévue à la lignée A20 qui prévoit un rapport tous les deux ans. Donc si on met la stratégie tous les deux ans, le rapport devient un peu inutile. C'est-à-dire qu'on fait un rapport alors qu'on doit refaire la stratégie. Mais je remercie Monsieur le rapporteur et Madame la Ministre parce que j'avais même oublié que dans la... directive, c'était cinq ans. Et donc là, on est déjà à trois ans. Donc il y a une surtransposition. Donc là, tout à l'heure, vous avez refusé des amendements avec cet argument de la surtransposition. Mais là, on voit bien que déjà, il y a une surtransposition. Donc deux ans, ça serait une catastrophe. Et je tenais juste à souligner ce point. Donc bien évidemment, on sera contre cet amendement.

vous remercie. Je passe la lise aux voix de cet amendement qui est un double avis défavorable. Commission gouvernement. Et c'est à main levée. Qui est pour ? Qui est contre ? C'est rejeté. On poursuit avec l'amendement 73. M. Salmon, allez-y.

Oui, merci, Mme la présidente. Justement, cet amendement 73, qui est quasiment rédactionnel sur la lignée A20, parce que je vais vous lire juste la lignée A20, à compter de 2026... Puis tous les deux ans, le gouvernement remet au Parlement avant le 30 septembre un rapport sur la mise en œuvre de la stratégie nationale en manière de cybersécurité, etc. Donc si la loi est votée, il faudra que le gouvernement rende un rapport avant le 30 septembre 2026. Donc moi, je propose juste de changer 2026 en 2027, parce que sinon, en plus, avec le texte de loi, le prochain, tous les deux ans, ce sera 2028. Donc on n'en aura pas en 2027. Donc c'est un amendement... en soi purement rédactionnel, mais qui a quand même un effet, parce que du coup, il y aura un rapport en septembre 2027 s'il est adopté, et je pense que c'est que du bon sens, en fait, d'adopter cet amendement, parce que le texte, comme il est écrit aujourd'hui, n'a plus aucun sens, en fait.

vous remercie. Votre avis ?

Alors, je vous remercie, collègues, d'être vigilant sur cette date. Je vais mettre un avis défavorable parce que je pense qu'il faut, même si je l'entends, mais c'est un petit défavorable, on va dire. Il y a les gros, il y a les petits, il y a les italiques, il y a les surlignés. Mais je pense que ça, par contre, c'est typiquement ce genre de sujet qu'il faudra qu'on aborde au moment de la CMP avec les sénateurs, puisque je pense qu'il y a un certain nombre de choses, voire quand elle arrivera, qu'il faudra qu'on aborde rédactionnelle. Bon, voilà, c'est comme vous avez compris.

vous remercie. Votre avis,

s

'il vous plaît.

Merci Madame la Présidente. En fait, on parle de la stratégie nationale cyber. Elle a été publiée en 2026 ? On fera le point en 2028. Donc défavorable. Satisfait ? Je vous remercie.

Monsieur Salmon, allez-y.

Je ne comprends pas déjà l'argument de monsieur le rapporteur, parce qu'il dit qu'on verra ça en CMP. Autant le voir tout de suite, comme ça, ce sera dans le texte. On le vote et puis après, on verra en CMP. Et puis, madame la ministre, vous dites qu'elle a été voteur en 2026. Mais justement, c'est tous les trois ans, la stratégie nationale. C'est ce qu'on vient de refuser l'amendement de Mme Hervieux. Et donc faire un point en 2027, déjà, c'est bien pour voir où on en est. Pourquoi attendre 2028 ? Non, non, mais je pense qu'il était prévu dans le texte de loi un rapport en 2026 parce qu'il était prévu que le texte de loi soit adopté plus tôt. Il sera adopté là maintenant, prévoyons un rapport en septembre 2027. Je pense que c'est juste du bon sens, en fait. Je ne comprendrai pas qu'il ne soit pas adopté, mais bon, c'est... toujours surpris

madame la ministre monsieur le député vous faites je pense une confusion entre la réactualisation et le rapport c'est pas la même chose la réactualisation tous les trois ans on l'a décidé vous l'avez décidé pardon juste l'amendement précédent le rapport c'est tous les deux ans or comme la stratégie nationale cyber a été publiée le 2026 je vous donne rendez vous en 2028 pour faire un rapport pour lire le rapport

passe la mise aux voix de cet amendement qui a un avis petit défavorable du rapporteur et défavorable du gouvernement. Et c'est un scrutin public. Le scrutin est ouvert. Le scrutin est clos. Voici le résultat du scrutin. Votant 80 exprimé 66, majorité 34 pour 33 contre 33. L'Assemblée nationale n'a pas adopté. Amendement numéro 128, monsieur Latong. Merci.

Merci, Madame la Présidente. C'est un amendement de cohérence vis-à-vis des amendements que nous avons déjà adoptés et qui parle de souveraineté numérique.

Je vous remercie. Votre avis, s'il vous plaît

'est cohérent à ce que j'ai dit. Ce n'est pas un test de souveraineté numérique. Ces amendements ont été adoptés, mais, effectivement, contre mon avis, je reste dans ma cohérence. Donc, c'est un avis défavorable.

Je vous remercie, Madame la Ministre. Défavorable également. Je passe à la mise aux voix d'un amendement 128 qui avait été adopté en commission. Défavorable du rapporteur, défavorable de madame la ministre. Et c'est un main levé qui est pour. Qui est contre. C'est adopté. On poursuit avec le 58. Monsieur Saint-Martin, allez-y.

Arnaud Saint-MartinLien3:41:05 → 3:42:10

Merci madame la présidente. C'est un amendement qui vise à rappeler que l'Etat, l'Etat... Ces agences doivent rester au cœur de la stratégie nationale de cybersécurité, non seulement dans sa déficition, mais également dans son exécution. Préserver notre souveraineté numérique, l'autonomie stratégique, ces termes qui sont clés, ça implique de préserver la capacité d'agir de l'État en la matière. C'est pourquoi cet amendement propose de garantir les acteurs publics au cœur non seulement du pilotage, mais aussi de l'exécution. de ces politiques. Si vous généralisez par exemple la sous-traitance pour la mise en œuvre de nos politiques de cybersécurité, alors même dans l'hypothèse où vous souhaiteriez organiser une intervention des pouvoirs publics pour pallier un manquement, il sera devenu impossible de le faire car nous en aurons perdu les compétences à terme. C'est le drame inévitable de la privatisation à tout va dans tous les secteurs. Donc c'est une philosophie aussi gouvernementale que nous prenons par cet amendement. En garantissant une présence des acteurs publics dans l'exécution de nos politiques de cybersécurité, nous garantissons que les... L'État dispose des moyens effectifs pour l'exercice de sa souveraineté et ça passe par des agences comme l'ANSI que nous avons abordées en long et en large en travers depuis tout à l'heure.

vous remercie. Votre avis.

chers collègues, l'article 5 satisfait complètement votre demande. puisqu'elle donne le pouvoir à l'ANSI de la mise en œuvre de la politique en termes de cybersécurité décidée par le gouvernement. Donc pour moi, c'est pleinement satisfait. C'est bien les acteurs publics, et jusqu'à preuve du contraire, l'ANSI est un acteur public, c'est pas privatisé, en main, c'est ce que nous avons mis dans l'article 5, qui prévoit bien que ce soit l'ANSI qui définit la stratégie. et qui s'assure de sa mise en œuvre, notamment sous la responsabilité du Premier ministre pour la stratégie nationale de cybersécurité. Donc, largement satisfait, demande de retrait. Sinon, défavorable.

Je vous

remercie. Madame la ministre. Merci, Madame la Présidente. Monsieur le député, je veux vraiment vous rassurer. L'État est vraiment dans son rôle. pour la stratégie nationale de cybersécurité. On ne le délègue pas au secteur privé, mais par contre, on a besoin des acteurs de la cybersécurité française pour nous aider dans ce qu'on appelle l'équipe de France de la cybersécurité, pour répondre à tous les enjeux qui nous attendent, public, privé. Mais c'est bien, en tout cas pour la cybersécurité de l'État, le Premier ministre qui est... aux manettes sur la cybersécurité des ministères, les collectivités territoriales. L'Annecy joue son rôle et n'est pas à la marche, comme je viens de l'entendre, mais vraiment au cœur du dispositif. Et puis les CSIRD régionaux également, les campus cyber. Bref, il y a la place pour tout le monde. On est tous, chacun, à un rôle pour assurer la cyber-résilience de la nation. Mais l'État est bien au rendez-vous de la cybersécurité en France.

Il est maintenu. Je procède à la mise au vote de cet amendement. C'est un scrutin public qui recueille un double avis défavorable. Le scrutin est ouvert. Le scrutin est clos. Voici le résultat du scrutin. Votant 83 et sur mes 80, majorité 41 pour 20 contre 60, l'Assemblée nationale n'a pas adopté. Et on poursuit sur le scrutin public de l'article 5 bis. Le scrutin est ouvert. Le scrutin est clos. Voici le résultat du scrutin. Votant 80, exprimé 78, majorité 40, pour 76, contre 2, l'Assemblée nationale a adopté. On poursuit avec l'article 6, le 129, M. Latombe.

merci Madame la Présidente. Il s'agit de prévoir, parce que l'article 21, paragraphe 2 de la directive de Nice 2, prévoit que les mesures de gestion des risques en matière de cybersécurité sont fondées sur une approche tout risque. Cette notion centrale dans la directive ne figure pas dans le texte de la Commission et donc je propose de faire une transposition à l'identique et donc d'intégrer la définition de l'approche tout risque telle qu'elle est dans mon amendement.

Merci, votre avis s'il vous plaît. Sagesse, merci Madame la Ministre. Sagesse également. Je passe la mise au voie de cet amendement qui recueille un double avis de sagesse à main levée. Qui est pour ? Qui est contre ? C'est adopté. On poursuit avec une discussion commune. Amendement numéro 130. Monsieur Laton, allez-y.

Oui, merci Madame la Présidente. En suivant la recommandation qui a été conduite dans l'avis du Conseil d'Etat, le Sénat a défini la résilience dans le titre premier du projet de loi. Toutefois, la rédaction retenue pour cette définition ne porte que sur l'acception de ce mot dans le chapitre du Code de la Défense relatif à la résilience des activités d'importance vitale. Le titre 2, lui, qui porte sur le renforcement de la lutte contre la cybercriminalité et qui crée pour les entités des obligations en matière de résilience, ne propose pas de définition de ce mot, ce qui pourrait créer une certaine incertitude dans l'application de la loi, d'où l'amendement qui permet d'avoir une définition cohérente.

est identique, le 3 qui n'est pas défendu, le 352, M. Boutorel, défendu, le 310, M. Sabatou, allez-y.

merci, Madame la Présidente. Tous ces amendements se ressemblent. Je ne sais pas lequel est le mieux légistiquement, donc j'aimerais avoir votre avis.

vous remercie. Votre avis, justement, sur cette discussion commune.

alors je serai défavorable sur 130 et sur le 310 et je donnerai un avis au profit du 352 de M. Bottorelle. Défavorable, 130, 310, favorable, 350. J'ai compris,

merci. Madame la ministre non, mais ça allait. Allez-y.

Merci Madame la Présidente. De la même manière, je vais demander le retrait de l'amendement 130 ainsi que le 310 au profit du 352 de M. Potorel.

est retiré celui de M. Latombe. Le 130 est retiré. Il est retiré le 310 ? D'accord. Je passe à la mise au voie du 352 qui recueille un double avis favorable, qui est pour ? Contre, c'est adopté. On poursuit avec le 131. Monsieur Laton-Balaisy.

Merci Madame la Présidente. Le présent amendement étant la définition de la vulnérabilité aux défaillances tenant aux utilisateurs des produits, des services, des technologies de l'information et de la communication afin de prendre en compte le facteur humain dans la gestion des risques en matière de cybersécurité. L'exemple le plus flagrant qu'on a pu avoir, c'est quand même la fuite du TAJ, la consultation du TAJ non autorisée, parce que des utilisateurs du ministère de l'Intérieur avaient gentiment échangé mot de passe et identifiant par mail, et que l'une des personnes, l 'un des agents du ministère, avait... appuyer et cliquer sur un lien de phishing qui avait permis à la personne de rentrer dans le système. Autant le phishing, ce n'est pas simplement du facteur humain, et on pourra en discuter longtemps, il y a une activité technique, mais par contre, le fait d'échanger des mots de passe et des identifications par mail, c'est totalement humain. Et donc, il faut absolument qu'on puisse savoir dans cet article 6 la notion de facteur humain dans la gestion des risques en matière de cybersécurité. C'est un amendement qui est attendu aussi par l'ensemble du secteur.

Merci. Votre avis sur le 131

chers collègues. Je rappelle que la notion de facteur humain relève de la formation de la sensibilisation qui est prévue à l'article 14. D'autant plus, la définition même de... de vulnérabilité critique d'origine humaine, on a quand même un manque de critères qui sont objectifs et qui ne permettent pas effectivement la qualification. Donc moi, je leur ferai une demande de retrait ou alors un avis défavorable.

Merci. Monsieur Latombe, allez-y.

merci Madame la Présidente. Les mots que je souhaite insérer, c'est « ou » de leurs utilisateurs. Parce que, si je reprends l'article, pardon, l'année A12, ils prévoient expressément que ce sont des menaces, des vulnérabilités qui sont utilisées par les cybercriminels ou les personnes cybermalveillantes. Et donc, forcément, quand il y a eu échange, par exemple, de mots de passe et d'identifiant en clair dans une boîte mail, c'est bien un facteur humain. Maintenant, pour le rédiger de façon claire... ou de leurs utilisateurs. C'est beaucoup plus juridiquement abordé, ça correspond bien à la notion de facteur humain. Il y a bien un problème parfois qui est uniquement humain, qui n'est pas simplement que technologique.

Merci Madame

la Ministre. Madame la Présidente. Je dois rappeler à vos collègues ici dans l'hémicycle que cette inclusion avait déjà été supprimée en commission spéciale pour les mêmes raisons que je vais vous évoquer ici. L'inclusion du facteur humain va plus loin que la définition prévue à l'article 6 de la directive NIS2. La notion de vulnérabilité est centrale dans le cadre réglementaire cyber, que ce soit CSA, CRA, DORA, REC, et a été harmonisée au niveau européen. L'introduction de la vulnérabilité, notamment due au facteur humain, risque d'avoir un effet de bord clair en cas de modification, que ce soit dans les règlements ou directement créer une spécificité nationale, en droit national. Sur le facteur humain, la directive prévoit explicitement que les mesures de gestion des risques en matière de cybersécurité doivent tenir compte du facteur humain. Donc c'est déjà pour moi satisfait. Et la prise en compte de la sécurité numérique dans la gestion des ressources humaines est un objectif de sécurité prévu au niveau réglementaire et notamment avec les référentiels de cybersécurité Récif. Donc, avis défavorable, madame Fosier. Je

vous remercie, monsieur

Salmon.

Oui, merci, Madame la Présidente. Cher collègue Latombe, sur votre amendement, il me pose une question parce que vraiment, honnêtement, je le trouve un peu trop large. En fait, les utilisateurs, ils créent de la vulnérabilité, mais on en doit tous. On doit avoir de la pédagogie pour former les utilisateurs à avoir les bons comportements. Oui, le facteur humain dans la conception et l'utilisation par les administrateurs d'un service, bien évidemment, mais l'utilisateur final, celui que vous mettez, ça me paraît un peu trop large comme définition parce que je trouve qu'on risque de mettre dans le paquet beaucoup trop de comportements pour lesquels le service en question n'a vraiment aucun impact concret. Je trouve ça trop large.

est retiré, le 131. Donc je passe à la mise au voie de l'article 6. C'est à main levée. Qui est pour ? Qui est contre ? C'est adopté. On poursuit avec l'article 7.

Arnaud Saint-MartinLien3:52:32 → 3:53:28

C'est un amendement qui souhaite intégrer explicitement le secteur de l'alimentation parmi les secteurs hautement critiques et non pas simplement critiques, reconnus par la législation, au même titre que l'eau potable, les eaux usées, l'énergie, les transports, les télécommunications ou encore la santé. Ça concerne toutes les chaînes de ce secteur de l'alimentation. On a évoqué d'ailleurs jusque dans la grande distribution quelques problématiques un peu compliquées autour des stockages de denrées dans les installations frigorifiques qui ont été piratées à distance, ce qui pose quand même des problèmes suraigus en termes de... de stockage. Donc là, l'idée, c'est d'assurer que ce secteur, il est reconnu comme hautement critique au sens du présent texte, qui permettrait d'opérer un changement de paradigme aussi en matière de prévention, de coordination et de gestion de crise dans ce domaine stratégique. Et ça constitue donc une mesure de bon sens et de vigilance face à un risque encore trop souvent sous-estimé. Merci.

Votre avis, s'il vous plaît, sur le 22.

je donnerais un avis défavorable. En fait, cette reclassification créerait une véritable distorsion par rapport à nos voisins européens pour les entreprises et les industries agroalimentaires. Donc, pour moi, c'est un avis défavorable. Et d'autant plus qu'en fait, le Premier ministre a déjà cette capacité, notamment à travers la stratégie nationale, de pouvoir reclassifier si nécessaire ou autre. Donc, voilà, mes chers collègues.

vous remercie. Monsieur Pottorel.

Madame la Présidente. Puisqu'on parle d'alimentaire et d'agroalimentaire et qu'on a parlé beaucoup des frigos, peut-être se redire ici dans l'hémicycle qui a été annoncé par notre ministre des Affaires étrangères. A savoir que, manifestement, ce sont les gardiens de la révolution iranienne qui n'aiment pas manger très frais et qui sont à l'origine des attaques sur les... frigo de la grande distribution. Je ne sais pas si les comportements humains sont à l'origine de beaucoup de choses, mais en tout cas, les Iraniens nous veulent du mal. Ça, c'est constant.

vous remercie.

Arnaud Saint-MartinLien3:54:48 → 3:55:04

Merci monsieur Bottorel pour cette précision. Donc on est d'accord qu'il y a des ingérences particulièrement violentes qui peuvent avoir des effets désastreux et là ça concerne précisément l'alimentation, le secteur de la distribution alimentaire. Donc là je pense qu'il serait de bonne méthode que de le reconnaître comme d'enjeux stratégiques et critiques.

Merci. L'avis était défavorable pour vous madame la ministre aussi ? Défavorable aussi c'était pour vous. Je vous remercie. Je vais procéder à la mise au vote de cet amendement car qu'un double avis est favorable et c'est un scrutin public. Le scrutin est ouvert. Le scrutin est clos. Voici le résultat du scrutin. Votant 62, exprimé 61, majorité 31 pour 21 contre 40, l'Assemblée nationale n'a pas adopté. Chez le numéro 23, M. Saint-Martin, allez-y.

Arnaud Saint-MartinLien3:55:39 → 3:56:35

Madame la Présidente, je continue ma liste. Par cet amendement, nous souhaitons étendre le champ des activités concernées par l'article en ajoutant l'enseignement supérieur parmi les secteurs d'activité considérés comme hautement critiques pour la cybersécurité. On pourrait prendre quantité d'exemples, je pourrais citer l'attaque de l'université Paris-Saclay qui a mis en PLS littéralement les services de l'université et qui suffit à démontrer que l'enseignement supérieur... et la recherche fait partie des domaines victimes de cybercriminalité. Il nous faut donc planifier l'adaptation de l'ensemble des établissements d'enseignement supérieur à de nouvelles normes et menaces de cybersécurité pour faire en sorte que de telles attaques ne puissent pas se reproduire. L'enseignement n'est pas un domaine à part. Sa perturbation pourrait hautement impacter les activités du pays et nous considérons qu'il doit être intégré au secteur d'activité considéré comme hautement critique du point de vue de la cybersécurité. Merci.

vous remercie. Votre avis.

Arnaud Saint-MartinLien3:56:39 → 3:56:40

Défavorable.

Merci, madame la ministre. Défavorable. Je vous remercie. Je passe la mise au vote de cet amendement qui recueille un double avis défavorable. C'est un scrutin public. Le scrutin est ouvert. Le scrutin est clos. Voici le résultat du scrutin. Votant 63, exprès 62, majorité 32 pour 23 contre 39, l'Assemblée nationale n'a pas adopté. On poursuit avec le 24, monsieur Saint-Martin.

Arnaud Saint-MartinLien3:57:08 → 3:57:56

Merci Madame la Présidente. Par cet amendement, nous souhaitons étendre le champ des activités concernées toujours par ce même article, en ajoutant les câbles sous-marins, ça a été cité d'ailleurs tout à l'heure, et leurs opérateurs parmi les secteurs d'activité considérés comme hautement critiques. Je rappellerai que 95% du trafic mondial de données et de communication transitent par ces réseaux. Il apparaît proprement aberrant. qu'un secteur aussi stratégique que celui des câbles sous-marins ne soit pas considéré comme secteur d'activité hautement critique. Et c'est la raison pour laquelle notre amendement propose de répondre à cette anomalie. Et 99% de cette télécommunication mondiale passe par ces câbles. Ne pas planifier la protection de ces infrastructures nous placerait dans une situation de vulnérabilité impensable. Les rapporteurs de la mission d'information sur les fonds marins Aurien-Saint-Houl et Lysiane-Métaillé le mettaient déjà en évidence en 2023. Donc là, il faut accélérer. Merci.

vous remercie. Votre avis sur le 24

Ce sera un avis défavorable, chers collègues. Pourquoi ? Parce que les opérateurs et les câbles sous-marins font déjà partie des infrastructures numériques. Donc, ils sont concernés par le titre premier, la directive REC, que nous avons votée tout à l'heure. Donc, c'est déjà pleinement satisfait. Ce n'est pas couvert par le même sujet, puisqu'on a un sujet d'infrastructures, notamment numériques, et non pas d'un secteur d'activité. Donc, avis défavorable.

Je vous remercie. Madame la ministre ? Même raison, avis défavorable. Je vous remercie. Je passe la mise au vote. Un double avis défavorable, c'est un scrutin public. Le scrutin est ouvert. Le scrutin est clos. Voici le résultat du scrutin. Votant 63 exprès 62, majorité 32 pour 21 contre 41, l'Assemblée nationale n'a pas adopté. Prochaine séance ce soir à 21h30 avec la suite du projet de loi relatif à résilience des infrastructures critiques et au renforcement de la cybersécurité et l'Assemblée nationale.