L'incertitude juridique PULVÉRISE la cybersécurité des hôpitaux !

l'Assemblée nationale, en séance publique, le 9 novembre. Le débat porte sur l'usage des données en source ouverte après une cyberattaque. Voici l'extrait. Écoutez bien. Écoute.

veut savoir où sont passées ces données. Il va faire appel à une société spécialisée qui va rechercher dans divers endroits et va potentiellement être exposée à un risque de recel. L'idée, c'est de sécuriser ces pratiques qui peuvent être vertueuses quand elles sont employées à bon escient. En ce sens, cet amendement fera œuvre utile pour lever une incertitude juridique qui peut être préjudiciable à la cybersécurité des entités attaquées. Je vous remercie.

vous remercie. Le 145, monsieur Latombe.

merci, madame la présidente. C'est un amendement qui va dans le même esprit et que j'avais évoqué lors de la discussion générale. L'article 14 transpose l'article 21 de la directive NIS2 et impose aux entités essentielles importantes de mettre en place, je cite, des outils et des procédures pour assurer la défense des réseaux et des systèmes d'information et de gérer les incidents. Dans le texte que nous avions adopté en commission spéciale en septembre 2025, cette obligation pèse aussi sur les administrations de l'État chargées de la sécurité publique, de la défense et de la répression pénale, ainsi que sur les juridictions administratives et judiciaires. C'est l'article 14, 1ère alinéa. Elle se prolonge dans l'obligation de notifier les incidents ayant causé l'extraction de données sensibles. Parmi ces outils figure la veille en source ouverte, notamment sur les fuites de données, que l'ENISA décrit comme une composante des mesures attendues. Le présent amendement précise que cette veille entre dans les mesures exigées par la loi, y compris lorsqu'elle porte sur des données publiées à la suite d'une cyberattaque. Il en tire la conséquence pénale. L'entité qui exécute son obligation directement ou par un prestataire accomplit un acte autorisé par la loi et ne peut pas être poursuivi pour recel. Ce dispositif, qui vise seulement les entités soumises au titre 2, ainsi que les prestataires éventuels qui permettent de remplir leurs obligations, est clarifié. juridiquement les choses, puisque aujourd'hui, ça n'est pas possible parce que ça serait considéré comme du recel. C'est donc une contradiction de la loi que nous devons absolument régler.

vous remercie. Le 241 défendu, je vous remercie. Votre avis, s'il vous plaît, sur ces trois

ces trois amendements, j'aurais un avis défavorable.

Merci. Madame la ministre, monsieur Bautorel, pardon, allez-y.

'est un sujet important, l'OSINT, l'open source intelligence, l'open source ouverte. Je ne crois pas que ça se traite ce soir à l'occasion d'un texte qui est la transposition de trois directives européennes. C'est un sujet qui ne concerne pas que les entités. D'ailleurs, quand vous discutez avec des magistrats, ils sont aussi en demande d'une clarification de la doctrine en matière d'usage des données qui sont des données de source ouverte. Je crois que ce sont des débats passionnants, passionnés, intéressants. qui mériteront d'être traités dans un texte de loi, mais un véhicule qui lui soit dédié. Il n'y a pas plus de raison d'avoir un CESBIS qui viendrait se greffer sur un test qui consacre Nice 2, Règles d'Aura, qu'on aurait là une disposition aussi sympathique que soit-elle, qui viendrait écrire, mais de manière d'ailleurs totalement incomplète, des dispositifs de nature à pouvoir finalement sécuriser l'usage des données qui finissent par être exploitées en chance ouverte. Je donnerais un avis massivement défavorable. à ces amendements à ce moment là du texte et je les soutiendrai dans un autre contexte, dans un autre véhicule, mais certainement pas dans le texte de ce soir. Je pense qu'on a déjà adopté un certain nombre de dispositions dans une forme d'élan ici qui seront probablement à corriger plus tard. Mais de grâce, ce sont ce qui est en train de s'opérer. Je vous en prie.

vous remercie, Madame la ministre.

Merci Madame la Présidente. Je ne peux évidemment que rejoindre ce que vient de dire le rapporteur général. Un texte aussi important que la transposition de trois directives européennes ne justifie pas qu'on profite de l'occasion pour faire passer des amendements qui sont et qui portent sur des sujets extrêmement importants. Et le sujet, il est complexe. Ça nécessite une étude d'impact. Ça nécessite des débats beaucoup plus larges. Ils doivent faire l'objet de travaux dédiés avec une étude, comme je le disais, d'impact. Ils peuvent notamment s'appuyer sur les premiers enseignements tirés des travaux de la CNIL. Vous savez de quels travaux je parle puisque vous êtes membre de la CNIL. En complément, l'amendement n'est pas suffisamment précis. On ne peut pas, à la volée, faire adopter... par des parlementaires qui peut-être n'ont pas eu l'occasion ni le temps d'approfondir le sujet de l'OSINT, de le voter dans un amendement entre deux que vous avez réussi à obtenir, Monsieur le Président. Lorsque l'entité importante ou essentielle recourt à un prestataire pour la réalisation des activités visées par l'amendement, Et bien, notamment, justement, votre amendement n'est pas suffisamment précis sur ce point et par ailleurs n'est pas suffisamment précis non plus dans sa mise en œuvre sur l'articulation. Quelle articulation entre l'autorisation au sens du L.122-4 du code pénal qui prévoit et le recel de données qui peut s'appliquer au contexte de recueil de l'analyse d'informations ? issus de la violation de données. Donc en fait, moi, je m'engage à travailler, comme d'ailleurs M. le rapporteur général vient de le dire, sur le sujet de l'osine, qui est un sujet aussi important que le 16 bis, mais pas là, entre deux articles, à la volée, ça mérite un vrai sujet approfondi, et en plus, ça impacte largement, au-delà de ce que vous souhaitez atteindre, toute une communauté, toute une communauté, et donc ça nécessite ici que vous en parliez de manière sérieuse et longue dans cet hémicycle, mais certainement pas à la volée ainsi, donc c'est absolument également un avis défavorable.

vous remercie. Monsieur Saint-Pasteur.

Madame la ministre, Monsieur le rapporteur, pour vos avis que je ne partage pas, puisque c'est quelque chose qui est demandé. C'est une logique plutôt de sécurisation dans un flou juridique qui place certaines entreprises spécialisées dans un entre-deux qui, potentiellement, peuvent l'être préjudiciable. Donc l'amendement tel qu'il a été porté par notre collègue Michael Boulou me semble raisonnable, encadré et ne pas être l'épouvantail que vous avez décrit. C'est un progrès pour une clarification de pratiques qui peuvent être vertueuses une nouvelle fois dans le domaine de la cybersécurité.

vous remercie. Attendez, je n'ai pas terminé. Madame

Lemoyne. Oui, écoutez, moi, j'ai été sensible aux arguments développés par le rapporteur et par la ministre. Je retire mon amendement.

alors, attendez. Le 241 est retiré. Allez-y, monsieur le rapporteur.

Oui, juste pour répondre à monsieur Saint-Pasteur. Quand même, là, nous abordons des sujets, comme ça a été dit. Alors, je suis désolé, j'ai dit un avis défavorable rapidement, mais on aborde quand même des sujets d'ordre pénal. Je ne pense pas que ce soit le moment où on peut aborder ces sujets-là dans le cadre juste d'un amendement dans une loi qui, en plus, concerne une transposition de directives, qui n'est pas dans la directive, d'ailleurs, ce que vous proposez. On est sur une sorte de transposition. Le débat, comme ça a été dit, mérite d'avoir lieu, mais il doit avoir lieu de manière éclairée, apaisée, en écoutant l'ensemble des acteurs, que ce soit leur chancélerie, que ce soit la CNIL. Donc, c'est pour ça qu'il ne me semble pas opportun, en tout cas, de pouvoir en débattre ce soir. Et à mon avis, on est hors cadre de la loi. Nous allons beaucoup plus loin que ce qui est prévu dans le texte et son équilibre. Donc, toujours, je maintiens mon avis défavorable.

Je vous remercie, monsieur Latombe.

Merci beaucoup. Je comprends que cela pose une question aujourd'hui de traiter l'osine. D'abord, la première des choses, c'est que nous en avions déjà parlé. Je suis désolé, Madame la ministre, avec votre prédécesseur, qui avait dit qu'on ouvrirait un travail. On n'a pas transposé la directive, le travail n'a pas été ouvert. On ne va pas systématiquement payer les délais qu'on a pris sur cette transposition pour pouvoir toucher à ces sujets. C'est parfaitement dans le cadre de la directive, Monsieur le rapporteur. Dora y fait référence deux fois. dans ces considérants et impose aux entités de pouvoir partager des informations, par exemple des adresses IP qui pourraient venir interroger les systèmes de façon répétitive et certainement abusive. Et donc il y a un partage de choses. Sur un certain nombre de sujets, vous dites « bah oui, mais on ne peut pas en discuter comme ça ». Ça veut dire qu'aujourd'hui, vous demandez à Palo Alto d'arrêter son activité en France ? Palo Alto aujourd'hui achète des vulnérabilités, achète des bases de données qui ont fuité pour pouvoir le mettre à disposition des entreprises qu'elles protègent de façon payante. On est sur du recel. Clarifions les choses. Disons simplement qu'aujourd'hui, quand on a des vulnérabilités et quand on a à partager ces informations, on doit pouvoir les partager sans que ce soit forcément du recel. Dans des conditions qui sont très claires, en disant que lorsque ça protège la vie privée, la protection des données à caractère personnel, les secrets protégés par la loi et les droits de propriété intellectuelle, ces axes sont autorisés par la loi. On est vraiment sur quelque chose qui est très mesuré et très cadré. Et aujourd'hui, les entreprises ont besoin de sortir de ce flou où elles ne savent pas. Et d'autres pays européens ont fait ce choix. la Belgique et l'Espagne notamment, et cet amendement est directement inspiré de ce qu'il y a dans les codes belges et dans les codes espagnols, remis dans notre code à nous, mais c'est exactement ce que d'autres pays européens ont fait, et notamment à l'occasion de la transposition de Nice 2 pour la Belgique. Je vous remercie, monsieur Bottorel.

Monsieur le Président, d'abord, je sais votre application sur ce sujet. Je ne doute pas que vous y avez travaillé avec beaucoup de sérieux. Je dis simplement qu'à l'occasion de l'examen de ce texte, y compris avec les éléments de sécurisation dont vous pensez qu'ils sont suffisants. Moi, je vous le dis, il n'y a pas d'étude d'impact. Donc, quand vous nous dites ici, c'est sérieux parce qu'on dit que c'est encadré par tel ou tel dispositif, pardon de vous le dire, je n'ai pas l'assurance. que l'écriture que vous avez proposée n'est pas trop large à certains égards. Et pour le coup, ça emporterait des externités négatives, telles que parfois on utilise ce vocabulaire. Et puis, s'agissant des données, bien évidemment qu'il y a des données qui vont être partagées. Ça, ce n'est pas un fait nouveau et ce n'est pas simplement sous l'impulsion de l'INISA. Donc le sujet de l'OSIN, ce n'est pas uniquement et ce n'est pas exclusivement le partage de la donnée. On ne peut pas imaginer que parce qu'on n'adopterait pas cet amendement-là, on ne serait pas en mesure demain de lutter contre la cybercriminalité parce que les uns et les autres seraient empêchés. de se partager des informations. Pardon, je pense que là, vous ouvrez quelque chose dont vous ne mesurez pas, y compris par les éléments de sécurité dont vous mentionnez qu'ils sont suffisants. Je vous le dis, il n'y a pas d'étude d'impact et je ne suis pas persuadé que finalement, il n'y aura pas d'impact négatif à l'adoption d'un amendement tel que celui-là. Avec tout le respect que j'ai du travail que vous avez fait par ailleurs.

débat porte sur la nécessité de clarifier le cadre juridique pour l'ausin et le partage des données sensibles. Certains intervenants soulignent l'absence d'études d'impact et les risques d'adoption hâtive. Ces images proviennent du site officiel de l'Assemblée nationale. Que pensez-vous de cette approche ? Abonnez-vous à Politique Décodée pour ne rien rater des débats.