La séance est ouverte ! - Cybersécurité : début de l'examen dans l'hémicycle - 09/11/2026 - Vidéo Dailymotion

LCP Assemblée nationale

Lundi 9 novembre, les députés ont entamé l'examen du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Le texte, présenté en Conseil des ministres en octobre 2024, a été adopté par les sénateurs en mars 2025 et attend, depuis, d'être examiné par les députés. Le texte prévoit notamment d'augmenter le nombre de secteurs hautement critiques pour le fonctionnement du pays et de son économie et d'entités régulées qui devront appliquer des obligations de sécurité. L'examen de ce texte intervient alors que plusieurs administrations françaises ont été victimes de fuites de données au cours de l'été. Retrouvez le coup d'envoi du texte dans l'hémicycle.

Transcript

00:00:01Générique

00:00:08Bonjour à tous et bienvenue dans la séance est ouverte.

00:00:11Lundi 9 novembre, coup d'envoi pour le projet de loi sur la résilience des infrastructures critiques

00:00:16et le renforcement de la cybersécurité.

00:00:19Les députés commencent l'examen du texte plus d'un an et demi après son adoption par les sénateurs.

00:00:24Regardez.

00:00:25L'ordre du jour appelle la discussion après engagement de la procédure accélérée du projet de loi adopté par le

00:00:30Sénat

00:00:30relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité.

00:00:35La parole est à madame Anne Lehenneuf, ministre déléguée chargée d'intelligence artificielle et du numérique.

00:00:48Bonjour mon président.

00:00:50Merci.

00:00:55Madame la présidente, monsieur le président de la commission spéciale, Philippe Latombe, monsieur le rapporteur général, Eric Bottorel,

00:01:03mesdames et messieurs les rapporteurs, Catherine Hervieux, Vincent Thiebault, Michael Boulou,

00:01:08mesdames et messieurs les députés, je suis très heureuse de être devant vous cet après-midi pour l'examen du

00:01:12projet de loi

00:01:13relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit résilience.

00:01:21Il a une signification particulière pour moi, puisque j'étais députée sur ces bancs il y a environ un an

00:01:27en tant que rapporteur

00:01:28sur le titre 2 du projet de loi en commission spéciale.

00:01:31Je me réjouis donc de voir ce texte poursuivre son parcours législatif et tiens à remercier Vincent Thiebault d'avoir

00:01:36pris le relais en tant que rapporteur.

00:01:39L'examen de ce projet de loi particulièrement attendu revient dans un contexte particulier, celui d'une menace cyber plus

00:01:47intense que jamais.

00:01:48Les récentes attaques contre les installations frigorifiques ont directement visé notre économie et nos chaînes d'approvisionnement.

00:01:56Elles ont impacté concrètement le quotidien des Français.

00:02:00La menace cyber est désormais une réalité que plus personne ne peut ignorer.

00:02:04Face à elle, la cybersécurité n'est plus désormais une affaire de technicien, elle est l'affaire de tous.

00:02:11La cybersécurité est devenue la clé de voûte de la résilience de notre économie, de la protection de nos citoyens

00:02:18et de leur confiance dans la donnée qu'ils nous confient.

00:02:22Face à cette incentivisation de la menace, le gouvernement est à l'œuvre pour renforcer la sécurité numérique de l

00:02:28'État.

00:02:28J'ai présenté au nom du Premier ministre la stratégie nationale de cybersécurité 2026-2030 en janvier dernier.

00:02:36Son objectif était clair, doter la France d'une résilience cyber de premier plan.

00:02:43Elle définit des objectifs stratégiques clairs, des mesures concrètes pour adresser tous les niveaux de la nation.

00:02:50Des entités les plus critiques, au PME, en passant par la filière cyber, mais aussi le citoyen.

00:02:59La création d'un portail national de la cybersécurité du quotidien est une de ces mesures concrètes, tout comme le

00:03:05déploiement de Nice 2.

00:03:07Au niveau de l'État, le 30 avril dernier, le Premier ministre a annoncé des mesures fortes.

00:03:12Elles comprennent la feuille de route des efforts prioritaires de sécurité numérique de l'État, qui se déclinent en 40

00:03:18actions.

00:03:19Cette feuille de route a été, pour la première fois, rendue publique.

00:03:23Il a personnellement demandé une accélération de la sécurisation des administrations, avec un suivi direct, à son niveau.

00:03:30En outre, les ministères ont désormais un objectif clair de dépense dans la cybersécurité.

00:03:365% des budgets numériques devront être dédiés à la cybersécurité dès 2027, avec un objectif de 10% en

00:03:442030.

00:03:45Suite à la cyberattaque qui a touché la DGFIP, le Premier ministre a souhaité que nous allions encore plus vite,

00:03:52plus loin, avec des mesures priorisées et des échéances resserrées.

00:03:57À travers l'opération Réactive, l'ANSI a intensifié son assistance au ministère le temps de mise en œuvre des

00:04:05mesures de sécurisation.

00:04:06Par ailleurs, 200 millions d'euros ont été mobilisés dans le cadre de France 2030.

00:04:12L'État se mobilise et continuera à se mobiliser pour renforcer son niveau de cybersécurité.

00:04:18Mais la réalité, c'est que toutes les organisations, entreprises, États, collectivités territoriales, doivent désormais intégrer et prendre des mesures

00:04:27concrètes pour se protéger contre les risques cyber.

00:04:29C'est dans ce cadre que le projet de loi Résilience constitue un levier essentiel pour le renforcement de notre

00:04:34résilience nationale et le passage à l'échelle de la cybersécurité.

00:04:40Ce texte est très attendu.

00:04:43Il est plus que nécessaire. Nous en sommes, je le sais, tous convaincus.

00:04:46Je tiens à remercier le travail continu des rapporteurs et de la commission spéciale en préparation de l'examen de

00:04:53ce texte.

00:04:54Bien que le gouvernement n'ait pas participé aux travaux en commission l'an dernier, l'intention du gouvernement est

00:05:01bel et bien de poursuivre les discussions sur la base du texte adopté en commission spéciale.

00:05:06Le projet de loi transpose ainsi trois directives européennes, les directives REC, NIS2, DORA, pour le renforcement de la résilience

00:05:16de la nation et de l'économie.

00:05:17La directive REC vise à actualiser le dispositif de sécurité des activités d'importance vitale.

00:05:25Elle concerne la sécurité des infrastructures critiques de notre nation.

00:05:28La directive NIS2 prévoit, quant à elle, les obligations et mesures de cybersécurité pour plus de 18 000 entités dans

00:05:3718 secteurs critiques et hautement critiques,

00:05:40tels que l'énergie, la santé, les transports ou encore les technologies de l'information et de la communication.

00:05:47Depuis la loi de programmation militaire 2013, la France impose des obligations aux opérateurs d'importance vitale.

00:05:53pour leur système critique, étendu ensuite aux opérateurs de services essentiels, avec NIS1.

00:06:02NIS2 constitue un véritable changement d'échelle de cette politique,

00:06:06en étendant les obligations à plus de 18 000 voire 20 000 organisations

00:06:11qui auront des obligations nouvelles en matière de gestion des risques,

00:06:14de sécurisation des sous-traitants, de notification des incidents

00:06:18et de responsabilité des dirigeants, le tout sous le contrôle de l'ANSI.

00:06:22Enfin, la directive DORA constitue, avec le règlement du même nom,

00:06:28la LEC spécialiste de NIS2 pour la gestion du risque des incidents dans le secteur financier.

00:06:34Elle permettra de renforcer la résilience opérationnelle numérique du secteur financier

00:06:38face à la dépendance croissante des acteurs financiers au système d'information et aux prestataires technologiques.

00:06:45Je n'aborderai pas ici le détail des amendements.

00:06:47Nous aurons l'occasion d'en débattre dans les prochaines heures.

00:06:50Permettez-moi cependant d'expliquer quelques grandes lignes de force

00:06:52permettant d'éclairer ce que saura la position du gouvernement lors des débats.

00:06:56Ce texte a pour finalité première de renforcer notre cadre d'obligation

00:07:01pour les entreprises en matière de cybersécurité,

00:07:03via la transposition de trois directives européennes.

00:07:07Elle doit permettre la simplification du cadre réglementaire cyber français,

00:07:10en réduisant le millefeuille réglementaire actuel,

00:07:14l'harmonisation européenne des exigences et obligations pour les entités,

00:07:18et garantir une approche proportionnée à la taille des entités

00:07:21et à la menace à laquelle elles sont exposées.

00:07:24En conséquent, le gouvernement appelle à ne pas se tromper de débat

00:07:28et ne pas transformer l'examen de ce texte sur la cybersécurité

00:07:32en débat sur la souveraineté numérique de notre pays ou sur la commande publique.

00:07:37Ces débats sont légitimes, j'en suis la première défenseure,

00:07:40Pour autant, ma conviction est qu'il est avant tout indispensable,

00:07:44cette semaine, de placer notre pays en conformité

00:07:47avec nos engagements européens en matière de cybersécurité.

00:07:50À part quelques articles spécifiques,

00:07:53le texte vise la transposition des directives REC, NIS2 et DORA.

00:07:58La ligne, elle est claire.

00:08:00Pas de surtransposition.

00:08:02Le texte doit être fidèle aux directives qu'il transpose.

00:08:07Surtransposer, c'est faire cavalier seul.

00:08:09Plutôt que jouer en européen.

00:08:12C'est complexifier au lieu de simplifier les normes.

00:08:15C'est introduire des distorsions de concurrence.

00:08:18Et bien souvent, cela revient à pénaliser nos entreprises

00:08:22du fait des impacts économiques.

00:08:24Nous n'en voulons pas.

00:08:25Pour conclure, je veux vous redire ma conviction.

00:08:29Ce projet de loi que vous allez examiner

00:08:32constitue un véritable changement de paradigme

00:08:35en matière de cybersécurité.

00:08:37Pour les entreprises, en imposant leur sécurisation.

00:08:40Pour la filière cybersécurité française,

00:08:43qui va devoir accompagner cette mise en conformité.

00:08:46Pour l'ANSI, qui verra ses pouvoirs de contrôle renforcés.

00:08:49Et pour l'ensemble de la nation, par le renforcement de sa résilience.

00:08:56Ce projet de loi envoie aussi et surtout un signal fort aux entreprises.

00:09:01La protection de vos systèmes d'information

00:09:03et la continuité de vos activités relèvent de votre responsabilité.

00:09:08Ce projet de loi vient renforcer et rendre effectives ces exigences.

00:09:13A leurs dirigeants, la cybersécurité n'est plus une question technique

00:09:18réservée aux experts.

00:09:20C'est une responsabilité stratégique

00:09:22qu'il nous faut collectivement prendre à bras le corps.

00:09:25Aux citoyens, votre sécurité, celle de vos données,

00:09:29de vos services publics, dépend de notre capacité collective

00:09:33à anticiper la menace et à y résister.

00:09:37Je vous remercie.

00:09:41La parole est à M. Éric Bautorel, rapporteur général

00:09:44de la commission spéciale chargée d'examiner le projet de loi

00:09:46relatif à la résilience des infrastructures critiques

00:09:48et au renforcement de la cybersécurité.

00:10:03Madame la Présidente, Madame la Ministre,

00:10:06Madame et Messieurs les rapporteurs,

00:10:08Monsieur le Président, chers collègues,

00:10:10tout bon livre doit savoir provoquer l'attente.

00:10:12Lire, c'est attendre la suite.

00:10:14Le projet de loi résilience n'est pas un bon livre, loin de là,

00:10:17mais il a indédiablement su provoquer l'attente.

00:10:19Nous attendions tout simplement patiemment la suite.

00:10:22Car il y a plus d'un an que la commission spéciale

00:10:24a fini ses travaux préparatoires à l'examen de ce projet de loi

00:10:27qui transpose de nouveaux cadres européens de cybersécurité.

00:10:30C'est ainsi la directive REC qui protège la continuité

00:10:34des services essentiels face aux menaces physiques comme cyber.

00:10:38La directive NIS2, elle, qui élève le niveau de cybersécurité

00:10:42de 18 secteurs d'activité avec des obligations de gestion de risque,

00:10:45de formation des dirigeants et de notification des incidents.

00:10:48Le règlement d'aura, quant à lui, directement applicable,

00:10:51fait de même pour le secteur financier

00:10:53avec une notification des incidents sous 24 heures.

00:10:56Un an d'attente, ce n'est pas tout à fait rien.

00:10:58Ça a juste permis d'acculturer nos concitoyens au risque cyber.

00:11:01Il conviendrait presque d'ailleurs de remercier

00:11:03celles et ceux, russes, français, les autres,

00:11:06qui ont occupé cette année.

00:11:07En octobre 2025, le groupe de cybercriminels Quilin

00:11:10a paralysé près de 200 lycées des Hauts-de-France.

00:11:12Au premier semestre 2026,

00:11:13ce sont nos administrations publiques qui sont frappées.

00:11:15C'est l'OFI, 2,1 millions de dossiers volés,

00:11:18l'URSSAF, 12 millions de personnes exposées,

00:11:20l'ANTS, 18 millions de comptes mis en vente,

00:11:22et du Connect, 3,5 millions d'élèves,

00:11:24le FICOBA, 1,2 millions de comptes bancaires.

00:11:26Et avec une belle régularité,

00:11:29France Travail, qui a subi au moins

00:11:305 cyberattaques majeures depuis 2023.

00:11:33Cet automne, enfin,

00:11:34dans un teasing parfait, une sorte de feu d'artifice,

00:11:37puisque les frigos connectés

00:11:38de centaines de supermarchés ont été piratés,

00:11:41des chambres froides portées à plus de 50 degrés,

00:11:43puis l'établissement français du sang,

00:11:45victime d'une attaque similaire.

00:11:46Et enfin, last but not least,

00:11:48le groupe Arkea, il y a une semaine.

00:11:50Alors en France, la menace cyber reste élevée.

00:11:53En 2025, l'ANSI

00:11:54a recensé 1 366 incidents confirmés

00:11:57contre 1 361 en 2024.

00:11:59Et cette stabilité concerne

00:12:01les incidents connus de l'agence.

00:12:02Dans ce périmètre,

00:12:03l'éducation et la recherche

00:12:04représentent 34% des incidents,

00:12:06les ministères et collectivités,

00:12:0824% et la santé, 10%.

00:12:10Collectivités, 10 d'entre elles,

00:12:11viennent d'être sanctionnées

00:12:12par l'ACNIL, et c'est normal.

00:12:14Le vol de données et le chantage

00:12:16à leur divulgation progressent,

00:12:18parfois sans chiffrement des systèmes.

00:12:19Les rançons J-Ciel

00:12:20restent néanmoins une menace importante.

00:12:22128 compromissions ont été portées

00:12:23à la connaissance de l'ANSI en 2025.

00:12:26Les accès reposent sur des vulnérabilités techniques,

00:12:28des identifiants volés

00:12:29ou des prestataires compromis.

00:12:31Parfeu et VPN exposés sur Internet

00:12:33restent particulièrement ciblés,

00:12:35certaines failles étant exploitées

00:12:36avant la disponibilité même d'un correctif.

00:12:38Les interconnexions permettent ensuite

00:12:40de progresser.

00:12:40L'un prestataire et les clients,

00:12:41c'est assez traditionnel.

00:12:43Le cas de la DGFIP,

00:12:44d'ailleurs documenté en septembre 2026,

00:12:46montre les limites de l'expression

00:12:47faille humaine,

00:12:48car il s'agit de vols d'identifiant,

00:12:50d'absence d'authentification forte,

00:12:52de cloisonnement insuffisant

00:12:54et de lacunes de détection qui se combinent.

00:12:56Alors nous sommes les plus attaqués,

00:12:58pas parce que nous sommes les moins préparés

00:12:59face à ces attaques.

00:13:01Nous sommes les plus attaqués

00:13:02car la Russie et ses proxys

00:13:03considèrent que la France joue un rôle majeur

00:13:05dans la résistance à sa stratégie d'invasion.

00:13:07Nous sommes les plus attaqués

00:13:08car notre action publique,

00:13:09façon puzzle,

00:13:10offre parfois une surface d'attaque massive.

00:13:12Nous sommes les plus attaqués

00:13:14car nous avons basculé depuis le Covid

00:13:16dans une économie numérique et à distance.

00:13:18Pour autant,

00:13:19Madame la Ministre,

00:13:20vous l'avez rappelé,

00:13:20depuis 2017

00:13:21et sous l'impulsion du Président de la République

00:13:23et du gouvernement

00:13:24qui se sont succédés,

00:13:25nous sommes montés en compétences,

00:13:27en puissance

00:13:27et en moyens sur la cybersécurité.

00:13:30C'est le campus cyber national

00:13:31et les cyber campus régionaux.

00:13:33C'est l'ANSI

00:13:33qui est passé de 120 à 560 spécialistes,

00:13:36la DGFI, l'OFAC.

00:13:37Nous sommes moins d'être désarmés.

00:13:38C'est la création du parquet spécialisé J3.

00:13:41J'en profite pour adresser

00:13:42un salut presque paternel

00:13:43à tous ces jeunes

00:13:44qui s'essaient au hacking non éthique.

00:13:46Ils finissent vite devant l'équipe

00:13:48de la cybercompatente Johanna Brousse.

00:13:49Et pour ces apprentis pirates,

00:13:51le seul serveur qui répond toujours,

00:13:53c'est celui du parquet de Paris.

00:13:54C'est aussi cybermaviance.gouv.fr,

00:13:57mon aide au cyber,

00:13:58sans cyber,

00:13:58des dispositifs gratuits

00:14:00pour les victimes et les structures.

00:14:01Et je salue l'ami Jérôme Notin

00:14:02et toutes ses équipes.

00:14:04En matière de sécurité informatique,

00:14:05aucun système n'est imprenable.

00:14:07Les défenses érigées

00:14:08comme des lignes Maginot

00:14:08finissent immanquablement

00:14:10par être brisées.

00:14:11Pour autant,

00:14:11il nous faut jour après jour

00:14:13augmenter nos capacités de défense

00:14:15et en la matière,

00:14:15l'excès de prédence ne peut nuire.

00:14:17C'est ce que nous allons faire

00:14:18ces prochains jours,

00:14:19aider la France à se défendre

00:14:20sans nous tromper le débat.

00:14:21Il ne s'agit pas de rendre

00:14:22nos entreprises plus souveraines

00:14:23par la loi.

00:14:24Chacun le sait,

00:14:24c'est un vœu pieux.

00:14:26Près d'un tiers des amendements

00:14:26vont au-delà des directives

00:14:27ou sont étrangers au texte

00:14:28où plus d'une quarantaine

00:14:29portent sur des sujets

00:14:30en cours de négociation à Bruxelles.

00:14:32Cette surtransposition

00:14:34fragmenterait le marché intérieur,

00:14:35imposerait une notification

00:14:36à la Commission européenne

00:14:37et retarderait l'adoption du texte.

00:14:39Nous devons adopter ce texte

00:14:40qui renforcera la sécurité

00:14:42et la résilience

00:14:43de nos administrations,

00:14:44collectivités et entreprises.

00:14:45Un bon livre,

00:14:46c'est provoquer l'attente,

00:14:47mais la cybersécurité

00:14:47n'est pas un feuilleton.

00:14:49Les attaquants,

00:14:49eux, ne nous attendent pas.

00:14:50Ils n'ont ni navettes parlementaires,

00:14:51ni notifications à Bruxelles.

00:14:53Alors, c'est sans débattre

00:14:53de ce qui n'est pas dans ce texte

00:14:54ou comme du SESBI

00:14:55qui n'aurait jamais dit l'être,

00:14:57car c'est un cavalier,

00:14:58un cavalier qui menace

00:14:59nos capacités d'enquête

00:15:00comme plusieurs d'entre nous

00:15:00ont pu le constater

00:15:07et je vous remercie.

00:15:09Je vous remercie.

00:15:12Merci.

00:15:14La parole est à Mme Catherine Hervieux,

00:15:17rapporteure de la commission spéciale

00:15:18chargée d'examiner

00:15:18le projet de loi relatif

00:15:19à résilience des infrastructures critiques

00:15:21ou renforcement de la cybersécurité.

00:15:25Merci.

00:15:33Madame la Présidente,

00:15:35Madame la Ministre,

00:15:35Monsieur le rapporteur général,

00:15:37Messieurs les rapporteurs,

00:15:38chers collègues,

00:15:39en tant que rapporteur

00:15:40sur le titre premier

00:15:41du projet de loi

00:15:43relatif à la résilience

00:15:44des infrastructures critiques

00:15:45et renforcement de la cybersécurité,

00:15:48je tiens vraiment à remercier

00:15:49l'ensemble des députés

00:15:50qui se sont mobilisés

00:15:52pour cette commission spéciale

00:15:53qui a commencé ses travaux

00:15:55il y a un an et demi.

00:15:56Nous avions voté le texte

00:15:58en septembre 2025,

00:15:59son gouvernement,

00:16:01et nous voilà en 2026,

00:16:03fin 2026.

00:16:04Je regrette vraiment

00:16:06les délais pris par le gouvernement

00:16:08pour inscrire le projet de loi

00:16:09à l'ordre du jour

00:16:11et je sais que je ne suis pas la seule.

00:16:14Le titre premier

00:16:15tire les conséquences

00:16:16de la directive européenne REC

00:16:18sur la résilience

00:16:18des entités critiques

00:16:20qui devraient être transposées

00:16:22avant le 17 octobre 2024.

00:16:25En juillet dernier,

00:16:27la Commission européenne

00:16:28a annoncé qu'elle renvoyait la France

00:16:29devant la Cour de justice

00:16:30de l'Union européenne.

00:16:31Cela risque de coûter au total

00:16:34plus de 10 millions d'euros

00:16:35à l'État.

00:16:36Mais surtout,

00:16:37nous prenons du retard

00:16:38quant à la préparation du pays

00:16:40afin d'être résilients

00:16:41pour notre défense nationale

00:16:42et notre protection globale.

00:16:44La France est un des derniers États

00:16:46membres de l'UE

00:16:47à ne pas avoir finalisé

00:16:49la transposition.

00:16:50Nous devrions pourtant

00:16:51être exemplaires

00:16:52compte tenu de la position

00:16:53qu'elle affiche

00:16:54dans le champ de la défense

00:16:56et de la protection

00:16:57de nos intérêts.

00:16:58Il y a donc urgence à agir

00:16:59et l'actualité nous l'a rappelé

00:17:01très récemment.

00:17:02Nous avons constaté

00:17:03les cyberattaques

00:17:04envers nos entreprises,

00:17:05nos collectivités,

00:17:06nos concitoyens.

00:17:07Dernièrement,

00:17:08ce sont les systèmes

00:17:09de régulation frigorifique

00:17:10de plusieurs enseignes

00:17:11de distribution.

00:17:12Le changement de température

00:17:14à distance

00:17:14a entraîné

00:17:15des pertes considérables

00:17:16dans les stocks

00:17:17de nourriture.

00:17:18Des sabotages ont lieu

00:17:20pour tester notre résilience

00:17:22et faire vaciller

00:17:23la confiance des citoyens

00:17:25envers l'État.

00:17:25Alors,

00:17:26préparons-nous.

00:17:27Évidemment,

00:17:28cela dépendra également

00:17:28des moyens financiers

00:17:30et humains

00:17:30que nous allourons

00:17:31pour accompagner

00:17:32les acteurs concernés.

00:17:33La culture

00:17:34de la résilience

00:17:36et de la cybersécurité

00:17:37doit se diffuser

00:17:38auprès des décideurs

00:17:39économiques,

00:17:41financiers,

00:17:41administratifs

00:17:42et politiques.

00:17:43Il en va

00:17:44de notre responsabilité

00:17:46d'être irréprochable

00:17:47lorsque nous en avons

00:17:48les moyens.

00:17:49En votant ce texte,

00:17:50nous assumons

00:17:51notre responsabilité

00:17:52de renforcer

00:17:52la résilience

00:17:53de nos opérateurs

00:17:54d'importance vitale.

00:17:55Le titre premier

00:17:56renforce le dispositif

00:17:58de sécurité

00:17:58des activités

00:17:59d'importance vitale

00:18:00avec la garantie

00:18:01de la protection

00:18:02des sites sensibles

00:18:03essentiels

00:18:03aux potentiels

00:18:04économiques

00:18:05et militaires

00:18:06de la nation.

00:18:07Ce texte permettra

00:18:08d'introduire

00:18:09dans notre droit

00:18:10la notion

00:18:10de continuité

00:18:11de l'activité

00:18:12qui guidera

00:18:12l'ensemble

00:18:13des plans

00:18:13établis

00:18:14par les opérateurs.

00:18:15Les entités

00:18:16devront signaler

00:18:17tous les incidents

00:18:18à l'autorité administrative.

00:18:20Une astreinte

00:18:20pourra être imposée

00:18:21aux opérateurs

00:18:22publics et privés

00:18:23qui refusent

00:18:24de se mettre

00:18:25en conformité

00:18:25avec leurs obligations.

00:18:27Le contrôle

00:18:28de l'accès

00:18:29aux sites

00:18:29sera aussi renforcé

00:18:30y compris

00:18:31aux accès

00:18:31à distance.

00:18:33Et enfin,

00:18:33un nouveau régime

00:18:34de sanctions

00:18:35administratives

00:18:35est établi

00:18:36pour plus

00:18:36d'efficacité.

00:18:38Des missions

00:18:39de conseil

00:18:40de la Commission

00:18:40européenne

00:18:41pourront aider

00:18:42les entités

00:18:42critiques

00:18:43à se mettre

00:18:43en conformité.

00:18:44La Commission

00:18:45spéciale

00:18:46a introduit

00:18:46plusieurs amendements

00:18:47qui ont rechir

00:18:48aussi le dispositif.

00:18:50L'analyse

00:18:51des dépendances

00:18:51a été élargie

00:18:52aux sous-traitants

00:18:53ce qui était

00:18:53indispensable

00:18:54pour assurer

00:18:55la résilience

00:18:56des opérateurs.

00:18:57Les sous-traitants

00:18:58sont des cibles

00:18:58vulnérables

00:18:59et identifiées

00:19:00par les services

00:19:00de renseignement

00:19:01étrangers

00:19:01afin d'agir

00:19:02contre nos intérêts,

00:19:04intelligence économique,

00:19:05sabotage,

00:19:06etc.

00:19:07Un avis

00:19:07de la CNIL

00:19:08garantira

00:19:08la conformité

00:19:09de l'autorisation

00:19:10d'accès

00:19:10avec le RGPD.

00:19:12Et s'agissant

00:19:13de la Commission

00:19:13des sanctions,

00:19:14la nomination

00:19:15par le Premier ministre

00:19:16devra assurer

00:19:17la compétence

00:19:17des personnalités

00:19:18qualifiées

00:19:19et le caractère

00:19:20non renouvelable

00:19:21du mandat garantira

00:19:22l'indépendance

00:19:24des membres

00:19:24de la Commission.

00:19:25À présent,

00:19:26l'enjeu est

00:19:28de voter

00:19:28le titre premier

00:19:29sans dénaturer

00:19:30le dispositif.

00:19:31Et en tant que rapporteur,

00:19:33je serai défavorable

00:19:34à tout amendement

00:19:35qui ne concerne pas

00:19:35la sécurité

00:19:36des activités

00:19:37d'importance vitale.

00:19:38Il est important

00:19:39que chaque titre

00:19:40conserve sa cohérence

00:19:41et ne soit pas surchargé

00:19:42de dispositions annexes.

00:19:44A l'inverse,

00:19:45je serai opposé

00:19:46à toute remise

00:19:47en cause

00:19:48des obligations

00:19:48portant sur les opérateurs,

00:19:50notamment sous l'affluence

00:19:51de groupes

00:19:52de pression.

00:19:53Ma seule exigence

00:19:55est d'ajouter

00:19:55le critère environnemental

00:19:57à l'analyse

00:19:58des vulnérabilités

00:19:59conduites par les opérateurs.

00:20:00Nous avons,

00:20:01vous le savez,

00:20:02des grands défis

00:20:03à relever

00:20:03qui sont intrinsèquement liés

00:20:05changement climatique,

00:20:06défense

00:20:07et numérique.

00:20:08Penser l'un

00:20:09sans l'autre

00:20:09nous mène

00:20:10dans l'erreur stratégique.

00:20:11Et chacun constate

00:20:12que les phénomènes

00:20:13environnementaux

00:20:14et climatiques

00:20:15posent des risques

00:20:16croissants

00:20:16pour la continuité

00:20:17des activités

00:20:18d'importance vitale.

00:20:20Alors,

00:20:20chers collègues,

00:20:21il nous revient à présent

00:20:22de refermer ce chapitre

00:20:23en votant ce texte

00:20:24tant attendu

00:20:25par les acteurs concernés

00:20:26et il s'agit

00:20:28autant de se mettre

00:20:29en confirméité

00:20:29avec le droit européen

00:20:31que de renforcer

00:20:32la résilience

00:20:32de la nation.

00:20:39Je vous remercie.

00:20:41La parole est à

00:20:42M. Vincent Thiebou,

00:20:43rapporteur de la commission

00:20:44spéciale à charge

00:20:44d'examiner le projet

00:20:45de loi relatif

00:20:46à la résilience

00:20:46des infrastructures

00:20:47critiques

00:20:47ou au renforcement

00:20:48de la cybersécurité.

00:20:52Bonjour.

00:21:03Madame la Présidente,

00:21:05Madame la Ministre,

00:21:06Monsieur le Président

00:21:07de la commission spéciale,

00:21:09Monsieur le rapporteur général,

00:21:10mes chers collègues rapporteurs,

00:21:12chers collègues.

00:21:13En transposant,

00:21:15la directive ministre 2,

00:21:16le titre 2 de ce projet de loi

00:21:17répond à un fait

00:21:18qui est devenu impossible

00:21:19de nier.

00:21:20La cybermerveillance

00:21:21menace la continuité économique

00:21:23et sociale

00:21:24et de la vie

00:21:25de notre pays.

00:21:26Les hôpitaux,

00:21:27contraints de déprogrammer

00:21:29leurs soins

00:21:29après avoir subi

00:21:30des attaques informatiques,

00:21:31tout comme les collectivités

00:21:32territoriales

00:21:33ayant perdu plusieurs années

00:21:34de l'accès à leurs fichiers,

00:21:36d'état civil ou de paye,

00:21:37peuvent en témoigner.

00:21:38Les cyberattaques

00:21:39sont devenues une réalité.

00:21:40Elles frappent sans prévenir,

00:21:41elles frappent fort.

00:21:42L'actualité récente

00:21:43nous le rappelle.

00:21:44Il y a moins d'un mois,

00:21:45les frigos

00:21:45de plusieurs centaines

00:21:46de supermarchés

00:21:47ont été touchés

00:21:48par une cyberattaque

00:21:49d'ampleur,

00:21:49entraînant la destruction

00:21:50de stocks,

00:21:51de produits frais

00:21:52et surgelés.

00:21:53Je ne reviens pas non plus

00:21:54sur les différentes

00:21:55cyberattaques

00:21:56qui ont lieu

00:21:56auprès de nos administrations.

00:21:58Or, notre droit actuel

00:21:59est insuffisant

00:22:00face à l'ampleur

00:22:01des risques

00:22:01que nous encourons.

00:22:02A ce jour,

00:22:03le droit encadre

00:22:03et surveille

00:22:04la cybersécurité

00:22:05de 500 opérateurs seulement.

00:22:07Avec l'adoption

00:22:08du titre 2

00:22:09de ce projet de loi

00:22:10que j'appelle de mes voeux,

00:22:11le périmètre

00:22:11d'encadrement

00:22:12et de surveillance

00:22:12des entités

00:22:15s'élargira

00:22:16à plus de 15 000 opérateurs

00:22:18ainsi que leurs sous-traitants.

00:22:20Je retiens

00:22:21quatre principales avancées

00:22:22au sein du titre 2.

00:22:24Premièrement,

00:22:25le texte confie

00:22:25à l'ANSI

00:22:26la mise en œuvre

00:22:27et le contrôle

00:22:28de la politique

00:22:28de sécurité

00:22:29des systèmes d'information.

00:22:31Le Premier ministre

00:22:32élabore une stratégie

00:22:33nationale

00:22:34de cybersécurité.

00:22:35Deuxièmement,

00:22:36il distingue

00:22:37deux catégories

00:22:38d'entités

00:22:38essentielles

00:22:39et importantes.

00:22:40Sur nos secteurs

00:22:41et de la taille,

00:22:42les grandes collectivités

00:22:43y rentrent notamment.

00:22:44Ainsi,

00:22:45des régions,

00:22:45départements,

00:22:46communes

00:22:46de plus de 30 000 habitants,

00:22:48communautés d'agglomération

00:22:49et métropole.

00:22:50Troisièmement,

00:22:50ces entités

00:22:52doivent mettre en œuvre

00:22:53des mesures

00:22:54de gestion des risques.

00:22:55Leurs organes de direction

00:22:56devront les approuver

00:22:57et en répondre.

00:22:58Elles devront également

00:22:59notifier leurs incidents

00:23:00importants à l'ANSI.

00:23:02Quatrièmement,

00:23:02le texte organise

00:23:04l'efficacité

00:23:05et l'opérationnalité

00:23:05de ce changement

00:23:06d'échelle.

00:23:07Il prévoit des mesures

00:23:08de contrôle,

00:23:08d'exécution

00:23:09et des sanctions

00:23:09prononcées

00:23:10par une commission

00:23:11indépendante.

00:23:12Les amendes

00:23:13pourront atteindre

00:23:1310 millions d'euros

00:23:14ou 2% du chiffre

00:23:15d'affaires mondial

00:23:16pour les entités

00:23:17essentielles.

00:23:18Pour les entités

00:23:19importantes,

00:23:19elles pourront atteindre

00:23:207 millions d'euros

00:23:21ou 1,4%

00:23:22de leur chiffre d'affaires.

00:23:23Les collectivités

00:23:24n'encourent pas d'amende.

00:23:25La puissance publique

00:23:26ne pourra se sanctionner

00:23:28pécuniairement elle-même.

00:23:29Permettez-moi enfin

00:23:30mes chers collègues

00:23:31de préciser

00:23:31trois éléments

00:23:32sur ce texte.

00:23:33Ils ont constitué

00:23:34ma boussole

00:23:35tout au long

00:23:35de mon travail

00:23:36de rapporteur

00:23:37et dans la continuité

00:23:38du travail

00:23:39de ma prédécesseure

00:23:41Anne Le Néanf.

00:23:42D'abord,

00:23:42ce texte n'est pas

00:23:43un texte

00:23:43sur la souveraineté numérique.

00:23:45Je partage

00:23:46l'attachement

00:23:47d'entre vous

00:23:48à cet objectif.

00:23:49Mais l'article 7

00:23:50de la directive

00:23:50définit

00:23:51une stratégie

00:23:51de sécurité

00:23:52et c'est elle

00:23:53que nous transposons.

00:23:54La souveraineté numérique

00:23:56mérite un débat

00:23:57propre.

00:23:57Elle ne doit pas

00:23:59brouiller

00:23:59l'objet de ce texte.

00:24:01Ensuite,

00:24:01ce titre n'est pas

00:24:02strictement un texte

00:24:03de transposition.

00:24:04Il comporte

00:24:05des dispositions nouvelles.

00:24:06Par exemple,

00:24:07l'article 38

00:24:07modernise le régime

00:24:08des déclarations

00:24:09des moyens

00:24:10de cryptologie.

00:24:11De même,

00:24:12l'article 42

00:24:13réforme le régime

00:24:14des assignations

00:24:15de fréquences satellitaires

00:24:16déclarées par la France

00:24:17auprès de l'Union

00:24:18internationale

00:24:19des télécommunications.

00:24:20Ces articles répondent

00:24:21à des besoins réels

00:24:22et méritent leur place

00:24:24dans le titre 2.

00:24:25A l'inverse,

00:24:25l'article 16 bis

00:24:27introduit en commission

00:24:28n'a pas de lien

00:24:29avec le texte

00:24:30et entraverait

00:24:31les techniques

00:24:31d'enseignement

00:24:32et d'enquête

00:24:32autorisées

00:24:33sous contrôle

00:24:33d'un magistrat

00:24:35et je soutiendrai

00:24:36sa suppression.

00:24:37Enfin,

00:24:37nous avons combattu

00:24:38la surtransposition

00:24:39et je continuerai

00:24:40à le faire en séance.

00:24:41Chaque obligation

00:24:42que nous ajouterons

00:24:43non prévue

00:24:44par le droit européen

00:24:45pèsera sur les seuls

00:24:46acteurs français

00:24:46sans gain

00:24:47de sécurité démontré.

00:24:49Je vous proposerai

00:24:50donc par exemple

00:24:50de retirer

00:24:51des éditeurs

00:24:51de logiciels

00:24:52de la résidentité

00:24:53essentielle

00:24:54ou encore

00:24:54de soumettre

00:24:55les établissements

00:24:55de santé

00:24:56et les établissements

00:24:56médicaux sociaux

00:24:57qui délivrent

00:24:59des soins

00:25:00au seuil

00:25:00de droit commun

00:25:01et d'exclure du champ

00:25:02ceux qui n'en délivrent pas.

00:25:04Pour la même raison,

00:25:05je mettrai

00:25:05une idée favorable

00:25:06aux amendements

00:25:06qui créent des secteurs

00:25:07ou des obligations

00:25:08sans fondement

00:25:09dans la directive.

00:25:10Mes chers collègues,

00:25:11ce titre doit élever

00:25:12le niveau de sécurité

00:25:13du pays

00:25:14sans pénaliser

00:25:15nos entreprises

00:25:15ni accabler

00:25:16nos collectivités.

00:25:17Il doit aussi rester

00:25:18applicable par une ANSI

00:25:20qui verra son périmètre

00:25:21multiplié par 30.

00:25:23Et permettez-moi

00:25:23de terminer

00:25:24quand même

00:25:25sur le sujet

00:25:25puisqu'on va certainement

00:25:27l'avoir dans le débat

00:25:28sur le sujet

00:25:28de la souveraineté.

00:25:29Nous allons débattre

00:25:30pendant plusieurs jours

00:25:31dans cet hémicycle

00:25:32tout en regardant

00:25:33WhatsApp et Telegram.

00:25:34Mes chers collègues,

00:25:35je vous souhaite

00:25:36un bon examen.

00:25:36Merci.

00:25:38Je vous remercie.

00:25:40La parole est à

00:25:41M. Philippe Platon

00:25:42présent de la commission

00:25:43spéciale à charge d'examiner

00:25:44le projet de loi

00:25:45relatif à résidence

00:25:45d'infrastructures critiques

00:25:47au renforcement

00:25:47de la cybersécurité.

00:25:50Merci, Mme la Présidente.

00:25:52Mme la Ministre,

00:25:53Messieurs et Mesdames

00:25:54les rapporteurs,

00:25:54chers collègues.

00:25:55Je serai bref

00:25:56et je ne rappellerai pas

00:25:57le contexte

00:25:57parce qu'il a été

00:25:58longuement déjà abordé

00:25:59et sera retracé ensuite

00:26:01certainement

00:26:01par les orateurs de groupe.

00:26:03Ouf !

00:26:04Enfin !

00:26:04Ce n'est pas trop tôt.

00:26:06Tout ce qu'on a pu entendre

00:26:07depuis un an et demi

00:26:08que ce texte

00:26:09est arrivé

00:26:09à l'Assemblée nationale

00:26:11et n'a pas été présenté

00:26:12dans cet hémicycle.

00:26:14C'est un texte

00:26:14qui est extraordinairement

00:26:15attendu.

00:26:16Il devait être transposé

00:26:16avant le 17 octobre 2024.

00:26:18Les entités attendent

00:26:19la transposition

00:26:20pour le mettre en œuvre,

00:26:21ce qui est au passage

00:26:22une erreur juridique

00:26:23puisqu'ils devraient l'appliquer

00:26:24déjà depuis le 17 octobre 2024.

00:26:26Merci d'abord,

00:26:27Mme la Ministre,

00:26:28pour avoir poussé

00:26:29à l'inscription de ce texte

00:26:30en hémicycle

00:26:31à plusieurs reprises.

00:26:31Je sais que ça a été compliqué

00:26:32dans l'agenda

00:26:33et on y arrive enfin

00:26:35après un an et demi

00:26:37et on va pouvoir enfin

00:26:39adopter ce texte.

00:26:40Ce texte n'est pas

00:26:41que l'article 16 bis.

00:26:43Je le dis tout de suite,

00:26:44on verra ça demain

00:26:45à 16h30

00:26:46avec des expressions

00:26:47du gouvernement.

00:26:48On trouvera certainement

00:26:49un chemin

00:26:49si le gouvernement renonce

00:26:50à porter atteinte

00:26:51au chiffrement

00:26:52de bout en bout

00:26:52et nous pourrons

00:26:53en ces cas-là

00:26:54annoncer que le 16 bis

00:26:56ne sera plus dans le texte.

00:26:57C'est un texte

00:26:58qui est important

00:26:58parce qu'il protège

00:27:00nos organisations

00:27:00et nos concitoyens

00:27:01et nos concitoyens

00:27:02l'attendent.

00:27:03Trois points de désaccord

00:27:05que je voudrais manifester

00:27:06ici

00:27:07qui subsistent

00:27:08à la suite

00:27:08de l'examen

00:27:10en commission spéciale.

00:27:11Le premier,

00:27:12c'est la question

00:27:12du référentiel RECIF

00:27:14de l'ANSI

00:27:14et de la non-utilisation

00:27:17du référentiel ISO 27001.

00:27:20Une entité certifiée

00:27:21aujourd'hui ISO 27001

00:27:23devrait pouvoir être

00:27:24conforme à ANIS 2

00:27:25sous réserve

00:27:26de points particuliers

00:27:26comme par exemple

00:27:27la gestion

00:27:28de l'active directory.

00:27:29Pour les entités

00:27:30importantes et de petite taille,

00:27:31ce serait une simplification

00:27:32bienvenue.

00:27:32D'autres pays l'ont fait.

00:27:33Nous devons nous poser

00:27:34la question

00:27:35et nous aurons certainement

00:27:36le débat sur le sujet.

00:27:37Le deuxième point

00:27:38de désaccord,

00:27:39c'est sur la déclaration

00:27:40commune d'incident.

00:27:42Nous l'avons déjà évoqué

00:27:43en commission spéciale.

00:27:44Aujourd'hui,

00:27:45dans le texte,

00:27:45il y a trois déclarations

00:27:46indépendantes

00:27:47avec des délais différents

00:27:48qui portent

00:27:49sur des éléments communs.

00:27:50Une déclaration

00:27:51à la CPRAMF,

00:27:52une déclaration à l'ANSI

00:27:53et quand il y a

00:27:54des données personnelles,

00:27:55une déclaration à l'ACNIL.

00:27:56Il serait bon

00:27:57pour simplifier

00:27:58les déclarations,

00:27:59de pouvoir permettre

00:27:59la concordance

00:28:00des délais

00:28:00et des formulaires

00:28:01de déclaration.

00:28:02Le troisième point

00:28:03qui est peut-être

00:28:03le plus important

00:28:04à mes yeux,

00:28:05c'est la question

00:28:05des sanctions.

00:28:07DGFIP,

00:28:08ANTS,

00:28:08FICOBA,

00:28:09tout ça a été rappelé

00:28:10à de nombreuses reprises.

00:28:11Il n'y a pas vraiment

00:28:12une sanction

00:28:12et personne ne comprend.

00:28:14Mme Michaud

00:28:15en Vendée,

00:28:16mais partout sur le territoire

00:28:17où je vais,

00:28:17les entreprises

00:28:18ne comprennent pas

00:28:19pourquoi il n'y a pas

00:28:19de responsables.

00:28:20Les entreprises,

00:28:21ils sont soumises,

00:28:22pas le public,

00:28:23pas les entités publiques.

00:28:24Le Conseil d'État

00:28:25nous a dit

00:28:26dans son avis

00:28:26qu'il fallait avoir

00:28:28un alignement

00:28:28entre les sanctions

00:28:29du secteur privé

00:28:30et du secteur public.

00:28:32Ça va également

00:28:32dans le sens

00:28:33de la décision

00:28:34de la Cour des comptes

00:28:34de cet été

00:28:35qui a prononcé

00:28:36une sanction

00:28:36visant quatre hauts fonctionnaires

00:28:38du ministère de l'Intérieur

00:28:38pour manquement

00:28:39à leurs devoirs.

00:28:40On a l'impression

00:28:41avec ce texte

00:28:43que l'État

00:28:43ne veut pas chercher

00:28:44des responsables

00:28:44en son sein.

00:28:45Et ça,

00:28:46ça pose un problème

00:28:46à la plupart

00:28:48de nos concitoyens

00:28:48et aux entreprises.

00:28:50Enfin,

00:28:50deux points à discuter

00:28:51en hémicycle

00:28:52sur lesquels

00:28:52je pense qu'il faut

00:28:54qu'on ait le débat

00:28:54mais qui ne sont pas

00:28:55forcément des points

00:28:56de divergence.

00:28:57Il y a une question

00:28:58sur la divulgation

00:28:59des vulnérabilités,

00:29:00autrement dit l'OSINT.

00:29:01Nous devons avoir ce débat.

00:29:03Je proposerai un amendement

00:29:04et nous pourrons débattre

00:29:04sur la question

00:29:05de la divulgation

00:29:06des vulnérabilités.

00:29:07Et ensuite,

00:29:08sur la question

00:29:08de la notion

00:29:09de vulnérabilité humaine,

00:29:10ça a été abordé

00:29:11dans les discussions,

00:29:13je proposerai

00:29:13qu'on puisse l'intégrer.

00:29:14Par exemple,

00:29:15sur les attaques

00:29:18qui concernaient

00:29:19le ministère de l'Intérieur

00:29:19sur le TAJ,

00:29:20c'était des identifiants

00:29:21des mots de passe

00:29:22qui avaient été envoyés

00:29:24c'est bien une vulnérabilité humaine.

00:29:25Il faut qu'on puisse

00:29:25l'intégrer dans le texte

00:29:26à mon sens,

00:29:27mais nous en discuterons.

00:29:28C'est bien que ce texte

00:29:29soit à l'ordre du jour

00:29:30et je suis très heureux

00:29:31que nous puissions débattre

00:29:32dans les trois jours

00:29:32qui viennent sur le sujet.

00:29:34Je vous remercie.

00:29:35Je vous remercie.

00:29:38Nous poursuivons

00:29:39avec la discussion générale.

00:29:40La parole est à Mme

00:29:41Marie-Agnès Poussi-Winzbach

00:29:42pour le groupe

00:29:43Horizon et Indépendant.

00:29:49Merci, Mme la Présidente,

00:29:50Mme la Ministre,

00:29:51M. le rapporteur général,

00:29:53Mme et Messieurs les rapporteurs,

00:29:55chers collègues.

00:29:56En février 2021,

00:29:58le centre hospitalier de Dax

00:29:59était victime

00:30:00d'un rançongiciel.

00:30:02J'ai découvert ce mot.

00:30:03Ces données ont été volées

00:30:04et chiffrées

00:30:05avec comme solution

00:30:07pour les récupérer

00:30:08une seule,

00:30:09le paiement d'une rançon.

00:30:10Bilan des services paralysés,

00:30:12plus de 2 millions d'euros

00:30:13de dégâts.

00:30:13Un procédé identique

00:30:15avait impacté

00:30:16en novembre 2020

00:30:17la ville de Bondy

00:30:18pour 1,5 million d'euros

00:30:19de préjudice.

00:30:20Cet été encore,

00:30:22le système d'information

00:30:22de la Direction Générale

00:30:23des Finances Publiques

00:30:24a subi des attaques

00:30:25qui nous ont tous

00:30:26terriblement inquiétés.

00:30:29La menace cyber

00:30:29n'est pas à prendre

00:30:30à la légère.

00:30:31Elle frappe nos hôpitaux,

00:30:32elle frappe nos collectivités,

00:30:33elle frappe nos entreprises,

00:30:35elle nous frappe.

00:30:36Pour une PME,

00:30:37une cyberattaque

00:30:38coûte en moyenne

00:30:39466 000 euros.

00:30:41Bien souvent,

00:30:41c'est la survie même

00:30:42de l'entreprise

00:30:43qui est en jeu.

00:30:44Au niveau européen,

00:30:45nous avons commencé

00:30:46à porter une réponse concrète

00:30:47à ces attaques.

00:30:48En 2022,

00:30:49la directive REC

00:30:50sur la résilience

00:30:51des entités critiques,

00:30:52la directive NIS2

00:30:54sur la cybersécurité

00:30:55et le règlement DORA

00:30:57pour le secteur financier

00:30:58ont été adoptés.

00:30:59Nous devions transposer

00:31:00NIS2

00:31:01avant le 17 octobre 2024.

00:31:03Nous avons plus

00:31:03de deux ans de retard.

00:31:05Mieux vaut tard que jamais.

00:31:07Alors oui,

00:31:07mes chers collègues,

00:31:08il est grand temps

00:31:08de nous rapprocher

00:31:09des standards européens

00:31:10en matière de cybersécurité.

00:31:12Ce texte change d'échelle.

00:31:14Nous passons

00:31:14de 6 à 18 secteurs

00:31:16couverts par la directive.

00:31:17Nous passons

00:31:17de quelques centaines

00:31:18d'opérateurs régulés

00:31:19à 15 000 entités essentielles

00:31:21ou importantes

00:31:22et près de 1 500 collectivités.

00:31:25Un rôle accru

00:31:26de l'ANSI,

00:31:27notre autorité nationale

00:31:28de cybersécurité.

00:31:30En commission spéciale,

00:31:31notre groupe

00:31:32a pu préciser

00:31:32les contours

00:31:33de la stratégie nationale

00:31:34qui prévoit désormais

00:31:35un soutien financier

00:31:36aux collectivités

00:31:37et la formation

00:31:38à la cyberhygiène.

00:31:40Le Premier ministre

00:31:41pourra exenter

00:31:42les acteurs

00:31:43de la défense nationale,

00:31:44la dématérialisation

00:31:46des actes

00:31:46est sécurisé.

00:31:48Mais transposé,

00:31:49attention,

00:31:49ce n'est pas

00:31:51surtransposé.

00:31:52Sur deux points,

00:31:52la commission est allée

00:31:53au-delà de la directive.

00:31:54Elle a classé

00:31:55tous les éditeurs

00:31:56de logiciels

00:31:57parmi les entités

00:31:58essentielles

00:31:58sans aucun seuil.

00:32:00Une jeune entreprise

00:32:01de 5 salariés,

00:32:02par exemple,

00:32:02qui développe une application

00:32:03serait soumise

00:32:04au régime le plus lourd

00:32:05avec des amendes

00:32:07jusqu'à 10 millions d'euros.

00:32:08Elle a aussi fait entrer

00:32:09dans tous les établissements

00:32:11sociaux et médico-sociaux

00:32:12quelle que soit leur taille.

00:32:14Le service d'aide

00:32:15à domicile

00:32:15d'une petite commune

00:32:16serait traité

00:32:17comme un grand hôpital.

00:32:18Nous proposerons

00:32:19de revenir

00:32:20au seuil de la directive.

00:32:21Les structures

00:32:22plus petites

00:32:23mais critiques

00:32:23pourront toujours

00:32:24être désignées

00:32:25au cas par cas.

00:32:27Proportionnalité

00:32:28encore dans les contrôles.

00:32:30La directive prévoit

00:32:31une supervision en continu

00:32:32pour les entités essentielles

00:32:34et un contrôle

00:32:35ex poste

00:32:35pour les entités importantes.

00:32:37Inscrivons-le

00:32:38dans la loi.

00:32:39Mais proportionnalité

00:32:41ne veut pas dire complaisance.

00:32:42Le texte exonère

00:32:44d'amende

00:32:44l'État

00:32:44et les collectivités.

00:32:46Nous le comprenons.

00:32:47Faire payer

00:32:47le contribuable

00:32:48ne protège personne.

00:32:49Alors il faut trouver

00:32:51un autre levier.

00:32:52Ce levier

00:32:53c'est la transparence.

00:32:54Que l'ANSI

00:32:55puisse rendre publiques

00:32:57ses mesures d'exécution

00:32:58comme le prévoyait

00:32:59le texte initial

00:33:00du gouvernement.

00:33:01Que les injonctions

00:33:02visant les administrations

00:33:03de l'État

00:33:03soient transmises

00:33:04au Parlement.

00:33:05L'État

00:33:05doit être exemplaire.

00:33:07Pensons aussi

00:33:08aux victimes

00:33:09quand vos données ont fuité.

00:33:10vous recevez

00:33:11un message

00:33:11laconique.

00:33:12Nous voulons

00:33:13qu'ils vous disent

00:33:14quels risques vous courez,

00:33:15quels réflexes adoptés

00:33:16et vers qui vous tournez.

00:33:18Un mot enfin

00:33:19sur l'article 16 bis.

00:33:21Il interdit

00:33:22d'imposer aux fournisseurs

00:33:23de chiffrement

00:33:23tout mécanisme

00:33:24permettant un accès

00:33:25non consenti

00:33:26aux données protégées.

00:33:27Le débat

00:33:28sur le chiffrement

00:33:28est légitime.

00:33:30Il est sérieux.

00:33:31Mais il ne se tranche pas

00:33:32au détour

00:33:33d'une loi de transposition

00:33:34par un amendement

00:33:35adopté au Sénat

00:33:36en séance

00:33:37contre l'avis

00:33:38de la Commission

00:33:38et contre l'avis

00:33:39du gouvernement

00:33:40sans étude d'impact

00:33:41ni avis du Conseil d'État.

00:33:43Car une interception,

00:33:45par définition,

00:33:46n'est pas consentie.

00:33:47Dans l'enquête,

00:33:48elle est autorisée

00:33:49par un magistrat.

00:33:50Dans le renseignement,

00:33:51elle est autorisée

00:33:52par le Premier ministre

00:33:53après avis

00:33:54de la CNCTR.

00:33:55En l'État,

00:33:56l'article 16 bis

00:33:57fragiliserait

00:33:58ces outils

00:33:59qui sont au cœur

00:34:00de la lutte

00:34:01contre le terrorisme

00:34:02et la criminalité

00:34:03organisée.

00:34:04Nous en proposerons

00:34:05la suppression

00:34:06et nous saluons

00:34:07Madame la Ministre

00:34:07le soutien

00:34:08du gouvernement.

00:34:09Mes chers collègues,

00:34:10ce texte

00:34:12doit protéger

00:34:13collectivité,

00:34:13nos entreprises

00:34:14et nos concitoyens.

00:34:16Il doit sécuriser

00:34:17nos équipements vitaux.

00:34:18Il doit renforcer

00:34:19notre souveraineté

00:34:21numérique.

00:34:22Le groupe

00:34:22Horizon Indépendant

00:34:23le votera

00:34:24par sens des responsabilités

00:34:25et avec la conviction

00:34:27qu'il s'agit

00:34:28d'un investissement

00:34:29d'avenir

00:34:29pour la France

00:34:30et pour l'Europe.

00:34:31Je vous remercie.

00:34:34Je vous remercie.

00:34:36La parole est à

00:34:37M. Edouard Bénard

00:34:38pour le groupe

00:34:38gauche démocrate

00:34:39et républicaine.

00:34:47Madame la Présidente,

00:34:48Madame la Ministre,

00:34:49M. le rapporteur général,

00:34:51Madame et Messieurs

00:34:52les rapporteurs,

00:34:54chers collègues.

00:34:55En septembre 2025,

00:34:57nous examinions

00:34:57ce texte en commission

00:34:58sans ministre,

00:34:59ce que j'avais alors

00:35:00jugé aberrant

00:35:00pour un projet

00:35:01de cette ampleur.

00:35:02Et vous êtes là

00:35:03aujourd'hui,

00:35:04Madame la Ministre.

00:35:05Je vais donc pouvoir

00:35:06vous poser des questions

00:35:07qui étaient alors

00:35:08restées sans réponse.

00:35:10La menace cyber

00:35:11ne nous a pas attendus.

00:35:12En 2022,

00:35:13385 000 cyberattaques

00:35:15ont réussi en France

00:35:16pour près de 2 milliards

00:35:17d'euros de pertes

00:35:18à l'heure

00:35:18et 1 sur 10

00:35:20visait un organisme

00:35:21public.

00:35:22Seuls 0,2%

00:35:23ont été déclarés

00:35:24à l'Anci.

00:35:24La guerre économique

00:35:26se déroule désormais

00:35:27dans le cyberespace.

00:35:30Ransongiciel,

00:35:30espionnage industriel,

00:35:32ingérence étrangère,

00:35:33manipulation de l'information

00:35:34et depuis,

00:35:36les chiffres vont croissant.

00:35:38Les exemples ne manquent pas

00:35:39de la CAF

00:35:40à France Travail

00:35:41en passant par

00:35:42les réfrigérateurs

00:35:43de nos supermarchés.

00:35:45Face à cela,

00:35:47transposer

00:35:47Nice 2,

00:35:47Dora

00:35:48et la directive REC

00:35:49est nécessaire.

00:35:50Nous l'avons dit

00:35:51en commission

00:35:51et nous le redisons,

00:35:53les avancées

00:35:54de ce texte

00:35:54sont réelles.

00:35:55Mais j'y vois

00:35:56aussi une grande limite.

00:35:58Si ce projet de loi

00:35:59renforce notre capacité

00:36:01à résister

00:36:01aux attaques,

00:36:03il est forcé de constater

00:36:04qu'il agit très peu

00:36:05sur ce qui nous rend

00:36:06vulnérables.

00:36:07Car notre vulnérabilité,

00:36:09c'est d'abord

00:36:10une dépendance.

00:36:11Trois groupes américains,

00:36:13Amazon,

00:36:14Microsoft

00:36:14et Google

00:36:15pour ne pas les citer,

00:36:16se partagent

00:36:16environ 70%

00:36:17du marché européen

00:36:18du cloud.

00:36:19Ils sont soumis

00:36:20à des législations

00:36:21extraterritoriales.

00:36:22Je l'ai déjà

00:36:23martelé

00:36:23à cette tribune.

00:36:25Nos données

00:36:26sont devenues

00:36:26une matière première

00:36:27du capitalisme

00:36:28de notre époque

00:36:28et nous en avons

00:36:29confié la garde

00:36:30à d'autres.

00:36:31Ce texte

00:36:32s'occupe de l'aval,

00:36:33de la conformité,

00:36:34des logiciels,

00:36:35des réseaux,

00:36:36mais il ignore

00:36:37l'amont,

00:36:37les puces,

00:36:38les centres de données,

00:36:39les infrastructures

00:36:40dont tout le reste dépend.

00:36:41D'où la question

00:36:42qui traverse notre débat.

00:36:44Une politique

00:36:44de cybersécurité

00:36:45peut-elle être

00:36:46pleinement efficace

00:36:47sans politique

00:36:48de souveraineté numérique ?

00:36:50Non.

00:36:51Nous voulions faire

00:36:52de la stratégie nationale

00:36:53une véritable stratégie

00:36:55de souveraineté numérique,

00:36:56un plan de financement

00:36:57de la formation

00:36:58et de la recherche,

00:36:59une doctrine

00:36:59d'autonomie technologique

00:37:00pour le renseignement

00:37:02et la cyberdéfense,

00:37:04une évaluation

00:37:05du coût

00:37:05de nos dépendances.

00:37:06Notre amendement

00:37:07a été jugé,

00:37:09déclaré irrecevable

00:37:11au titre de l'article 40

00:37:12dont TAC,

00:37:12alors Madame la Ministre,

00:37:13c'est donc à vous

00:37:15désormais

00:37:15d'y travailler.

00:37:16Nous proposons également

00:37:17une préférence encadrée

00:37:18pour des prestataires

00:37:19qualifiés par l'ANSI

00:37:20et imposés en France

00:37:22avec des dérogations

00:37:23quand aucune offre

00:37:24n'existe.

00:37:25Elle vaudrait notamment

00:37:26pour les banques,

00:37:27pour les assurances,

00:37:27pour les mutuelles

00:37:28et les institutions

00:37:29de prévoyance

00:37:30qui détiennent

00:37:31les données

00:37:31parmi les plus sensibles

00:37:32de nos concitoyens.

00:37:35Pour ces données,

00:37:35nous demandons

00:37:36un hébergement

00:37:36en France

00:37:37sur des infrastructures

00:37:39qualifiées

00:37:39Secnum Cloud.

00:37:40La Commission a inscrit

00:37:42l'objectif de minimiser

00:37:43nos dépendances

00:37:43technologiques,

00:37:44alors donnons-lui enfin

00:37:45une traduction concrète.

00:37:48Deuxième exigence,

00:37:49les moyens.

00:37:50Avec ce texte,

00:37:52l'ANSI devra suivre

00:37:53et contrôler

00:37:53plus de 15 000 entités.

00:37:55Vous l'avez dit vous-même,

00:37:56Madame la Ministre,

00:37:57son budget 2027

00:37:58sera identique

00:37:59à celui de 2026

00:38:00et le Premier Ministre

00:38:02lui demande

00:38:02de recentrer

00:38:04ses activités.

00:38:05Un budget gelé

00:38:06quand les missions explosent,

00:38:08c'est un budget en baisse.

00:38:09Et aucun accompagnement financier

00:38:12n'est prévu

00:38:13ni pour les entités concernées

00:38:14ni pour les communes.

00:38:15L'État impose

00:38:16ses obligations,

00:38:18menace de sanctions

00:38:18et ne met pas

00:38:20un euro sur la table.

00:38:21Une loi sans moyens

00:38:22est une loi d'affichage

00:38:24et une agence sous-dotée

00:38:26finira par sous-traiter

00:38:27ses contrôles.

00:38:28Nous demandons

00:38:29que les experts privés

00:38:30restent consultatifs

00:38:31car à force d'affamer l'État,

00:38:33on finit par externaliser

00:38:34sa souveraineté.

00:38:36Troisième exigence,

00:38:37ne laisser personne seule

00:38:38face à ses obligations.

00:38:40Beaucoup de collectivités

00:38:42n'ont ni les équipes,

00:38:43ni les compétences,

00:38:44ni les budgets

00:38:45pour se mettre en conformité

00:38:47du jour au lendemain

00:38:48et vous le savez.

00:38:49Nous proposons

00:38:50une trajectoire progressive

00:38:51fondée sur un diagnostic.

00:38:52Une feuille de route

00:38:53est déjà long

00:38:54et nous refusons

00:38:55des amendes

00:38:56qui retireraient

00:38:57de leur budget

00:38:58l'argent nécessaire

00:38:59à leur sécurisation.

00:39:00justement.

00:39:01Nice 2 ne doit pas

00:39:02devenir un nouveau

00:39:03transfert de charges

00:39:04qui porterait mal

00:39:05son nom.

00:39:06Il en va de même

00:39:07pour les TPE et PME.

00:39:09Une multinationale

00:39:10dotée d'une équipe cyber

00:39:11et une entreprise

00:39:12de 15 salariés

00:39:13ne sont pas

00:39:14dans la même situation.

00:39:15Nous demandons

00:39:16des délais adaptés

00:39:17et des astreintes

00:39:18proportionnées.

00:39:19Nous refusons

00:39:20toute suspension

00:39:21qui condamnerait

00:39:22une petite entreprise

00:39:23et ses emplois

00:39:24sauf menaces graves

00:39:25et imminentes.

00:39:27Il ne s'agit pas

00:39:28d'exempter

00:39:28mais de rendre

00:39:29la loi applicable.

00:39:32Enfin,

00:39:33les garanties

00:39:33doivent progresser

00:39:34au même rythme

00:39:35que les pouvoirs

00:39:35de l'Etat.

00:39:36Notre amendement

00:39:37imposant l'avis

00:39:38de la CNIL

00:39:39sur le décret

00:39:39encadrant les enquêtes

00:39:40administratives

00:39:41de sécurité

00:39:41avait été adopté

00:39:43en commission

00:39:43et nous veillerons

00:39:45à ce qu'il le reste.

00:39:46Chers collègues,

00:39:47la résilience

00:39:48ne suffira pas

00:39:48si nous ne redézions

00:39:49pas nos dépendances

00:39:50et si l'Etat

00:39:51ne donne pas

00:39:52les moyens

00:39:52d'appliquer

00:39:52ce qu'il exige.

00:39:53Notre groupe

00:39:54abordera ce débat

00:39:55de manière constructive

00:39:56et exigeante,

00:39:58vous l'aurez compris.

00:39:58Je vous en remercie.

00:40:01Je vous remercie.

00:40:03La parole est à

00:40:03M. Alexandre Sabatou

00:40:05pour le groupe

00:40:05Rassemblement National.

00:40:08Ah, M. Verny,

00:40:08pardonnez-moi.

00:40:09La parole est à M. Jéraud Verny

00:40:10pour le groupe

00:40:11Union des droits

00:40:11pour la République.

00:40:13Comme il y a un décalage

00:40:13avec celui d'avant.

00:40:14Excusez-moi.

00:40:16M. la Présidente,

00:40:22Mme la Ministre,

00:40:24M. le Président

00:40:25de la Commission Spéciale,

00:40:26M. le Rapporteur Général,

00:40:28Mme et Messieurs les rapporteurs,

00:40:30mes chers collègues.

00:40:32Une usine

00:40:33dont les machines s'arrêtent,

00:40:34une mairie

00:40:35qui ne peut plus

00:40:36rendre ses services,

00:40:37un hôpital

00:40:38qui doit continuer

00:40:39à soigner

00:40:39sans accès

00:40:40à ses outils informatiques,

00:40:42voilà ce qu'une cyberattaque

00:40:43peut provoquer.

00:40:45Et dans l'industrie,

00:40:46il suffit parfois

00:40:46qu'un sous-traitant

00:40:47soit paralysé

00:40:48pour que plusieurs usines

00:40:49se retrouvent

00:40:50à court de pièce.

00:40:51L'attaque touche

00:40:52une entreprise,

00:40:53l'arrêt de production

00:40:54peut se propager

00:40:55à toute une filière.

00:40:57L'État lui-même

00:40:58a été touché,

00:40:59notamment à Bercy.

00:41:00Il doit être

00:41:02à la hauteur

00:41:03des exigences

00:41:03qu'il s'apprête

00:41:04à fixer aux entreprises

00:41:05et aux communes.

00:41:06Ce texte,

00:41:07nous l'attendions.

00:41:08Nous l'attendions

00:41:09depuis le 17 octobre 2024,

00:41:11date à laquelle

00:41:12la France devait avoir

00:41:14transposé

00:41:14la directive

00:41:15Nice 2.

00:41:17Deux ans de retard,

00:41:18la Commission européenne

00:41:19a saisi la Cour de justice.

00:41:20Pendant ce temps,

00:41:21les collectivités

00:41:23et les entreprises

00:41:24attendaient de savoir

00:41:25à quelles règles

00:41:26elles devaient se préparer.

00:41:28Ce retard,

00:41:29nous devons maintenant

00:41:30le rattraper

00:41:31sur le fond,

00:41:32protéger l'énergie,

00:41:34l'eau,

00:41:34les transports

00:41:35et les hôpitaux

00:41:35face aux menaces criminelles

00:41:37ou étatiques

00:41:38relèvent

00:41:39de la responsabilité

00:41:40de l'État.

00:41:41Clarifier la responsabilité

00:41:43des dirigeants

00:41:43et signaler rapidement

00:41:45les incidents importants

00:41:47sont donc des avancées.

00:41:49Néanmoins,

00:41:50trois questions

00:41:50méritent à mes yeux

00:41:51une attention particulière.

00:41:53La première,

00:41:54c'est la souveraineté.

00:41:56A quoi bon sécuriser

00:41:57nos systèmes

00:41:58si les clés

00:41:59en sont détenues

00:42:00à l'étranger ?

00:42:02La question se pose

00:42:03pour les données

00:42:04de nos hôpitaux

00:42:04et de nos opérateurs vitaux

00:42:06lorsqu'elles sont confiées

00:42:07à des prestataires

00:42:08soumis à des lois étrangères

00:42:09comme le clou d'acte américain.

00:42:12Nous avions déjà donné

00:42:14l'alerte

00:42:14sur la facturation

00:42:15électronique.

00:42:17Derrière une facture,

00:42:18il y a les prix,

00:42:18les clients,

00:42:19les fournisseurs

00:42:20d'une entreprise.

00:42:21C'est pour protéger

00:42:22ces données

00:42:22et pour offrir

00:42:23aux entreprises

00:42:24une solution simple

00:42:26que j'avais proposé

00:42:28une plateforme publique

00:42:29gratuite

00:42:30et sécurisée.

00:42:31Or,

00:42:32vous savez que

00:42:32depuis

00:42:33cette adoption,

00:42:35une plateforme

00:42:36de facturation

00:42:38électronique

00:42:38basée à l'étranger

00:42:39a été piratée

00:42:40et donc les données

00:42:41de toutes les entreprises

00:42:42concernées

00:42:43ont été

00:42:44divulguées.

00:42:45La deuxième,

00:42:46c'est la complexité

00:42:47administrative.

00:42:48Sur la facturation

00:42:49électronique,

00:42:50nous avions aussi

00:42:51alerté sur ce que

00:42:52la réforme demandait

00:42:53aux petites entreprises.

00:42:54En tant que chef

00:42:55d'entreprise,

00:42:56je connais la question

00:42:57que l'on se pose

00:42:58devant une nouvelle

00:42:59obligation.

00:42:59Qui va s'en charger ?

00:43:01Avec quel temps

00:43:02et quels moyens ?

00:43:03Si une PME fait déjà

00:43:05vérifier sa sécurité

00:43:06par un donneur d'ordre,

00:43:08pourquoi lui demander

00:43:09de refaire le même audit

00:43:10pour un autre client ?

00:43:11Le temps gagné

00:43:12doit servir

00:43:13à corriger les failles

00:43:14et en cas d'attaque,

00:43:16la question que les équipes

00:43:17me poseront

00:43:17est simple.

00:43:18Combien de temps

00:43:19avant de pouvoir

00:43:20remettre les machines

00:43:21en route

00:43:21et livrer nos clients ?

00:43:22La troisième,

00:43:24c'est le financement.

00:43:24Les communes aussi

00:43:26sont en première ligne.

00:43:27Elles ont besoin

00:43:27de temps et de moyens

00:43:28pour sécuriser

00:43:29leur système.

00:43:30Le texte prévoit

00:43:31un fonds

00:43:32pour les collectivités

00:43:33concernées.

00:43:34Reste une question simple.

00:43:36Avec quel crédit ?

00:43:37Et comment les entreprises,

00:43:39en particulier les PME,

00:43:40vont-elles financer

00:43:41les investissements

00:43:42qu'on attend d'elles ?

00:43:43Lors de l'examen

00:43:45du PLF,

00:43:46j'ai fait adopter

00:43:46avec le groupe UDR

00:43:48un amendement

00:43:49pour étendre

00:43:50le suramortissement

00:43:51industriel

00:43:51aux logiciels

00:43:52et équipements

00:43:52de cybersécurité.

00:43:54Derrière ce terme,

00:43:56l'idée est simple,

00:43:57réduire le coût

00:43:57de l'investissement

00:43:58pour les entreprises

00:43:59qui s'équipent

00:44:00parce que,

00:44:01comme vous le savez,

00:44:02aujourd'hui,

00:44:03la cybersécurité

00:44:04est un investissement

00:44:05nécessaire,

00:44:06essentiel

00:44:07et parfois vital

00:44:07pour certaines entreprises.

00:44:10Un mot enfin

00:44:11sur l'AMSI.

00:44:12Avec davantage

00:44:13d'organisations

00:44:13à accompagner

00:44:14et à contrôler,

00:44:15l'agence devrait avoir

00:44:16les moyens de répondre

00:44:17quand une entreprise,

00:44:18un hôpital

00:44:18ou une mairie

00:44:19a besoin d'aide.

00:44:20Mes chers collègues,

00:44:21derrière ces règles,

00:44:22il y a des usines

00:44:23qui doivent continuer

00:44:23à produire,

00:44:24des communes

00:44:25qui doivent continuer

00:44:26à servir leurs habitants

00:44:27et des salariés

00:44:28qui doivent pouvoir

00:44:29travailler en sécurité.

00:44:31Tout ce qui ira

00:44:32dans le sens

00:44:33d'une industrie française

00:44:34mieux protégée

00:44:34aura donc la faveur

00:44:37du groupe UDR.

00:44:38Je vous remercie.

00:44:47Je vous remercie.

00:44:48La parole est donc

00:44:49à M. Alexandre Sabatou

00:44:50pour le groupe

00:44:51de presse en main nationale.

00:45:07Madame la Présidente,

00:45:08Madame la Ministre,

00:45:09M. le Président

00:45:10de la Commission spéciale,

00:45:11Mesdames et Messieurs

00:45:11les rapporteurs,

00:45:13enfin,

00:45:14enfin s'écrièrent

00:45:15les 5 députés

00:45:16spécialisés

00:45:17dans le numérique

00:45:17de l'hémicycle.

00:45:18Enfin,

00:45:19nous examinons ce texte.

00:45:20Un texte déposé

00:45:21au Sénat

00:45:22le 15 octobre 2024,

00:45:23adopté par le Sénat

00:45:24en mars 2025,

00:45:26examiné par notre commission

00:45:27en septembre 2025

00:45:28et depuis,

00:45:29plus rien.

00:45:3014 mois dans un tiroir.

00:45:32Madame la Ministre,

00:45:33le gouvernement

00:45:34a lui-même

00:45:35engagé la procédure

00:45:36accélérée

00:45:37sur ce texte.

00:45:37C'est lui qui fixe

00:45:39l'ordre du jour

00:45:39et pourtant,

00:45:40vous avez attendu

00:45:41plus d'un an

00:45:42après votre nomination

00:45:43pour l'inscrire.

00:45:44Plus d'un an

00:45:45que la France

00:45:46accumule un retard

00:45:46pour protéger

00:45:47ses infrastructures,

00:45:48pour soutenir

00:45:49ses filières numériques

00:45:50et embrasser enfin

00:45:51la révolution technologique

00:45:52qui vient

00:45:53avec l'intelligence artificielle.

00:45:55Alors,

00:45:56si c'est une simple

00:45:57transposition

00:45:57de directive européenne,

00:45:59pourquoi ce silence ?

00:46:00On ne laisse pas

00:46:01un texte déclaré urgent

00:46:0214 mois

00:46:03dans un tiroir

00:46:03par hasard.

00:46:04Soit c'est de la

00:46:05négligence

00:46:06et c'est grave

00:46:07pour un texte

00:46:07de sécurité nationale,

00:46:09soit c'est un choix

00:46:10et la représentation nationale

00:46:11a le droit de savoir

00:46:12qui a demandé ce délai

00:46:14et pourquoi.

00:46:16D'autant que sur le fond,

00:46:17ce texte fait largement

00:46:18consensus dans cet hémicycle.

00:46:19Aucun blocage politique

00:46:20ne justifierait ce retard.

00:46:22L'été 2026 a rappelé

00:46:23s'il le fallait

00:46:24en quoi ce texte

00:46:25était urgent.

00:46:26Rien que l'attaque

00:46:26informatique

00:46:27contre impôts.gouv

00:46:28a impacté

00:46:28plus de 600 000 personnes

00:46:30particulières

00:46:31et professionnelles.

00:46:32A cet incident

00:46:34s'ajoutent des milliers

00:46:35de violations de données

00:46:35notifiées chaque année,

00:46:36les 2,4 millions

00:46:38de comptes français

00:46:38compromis

00:46:39au seul troisième trimestre

00:46:402026.

00:46:41Et la semaine dernière

00:46:42encore, malheureusement,

00:46:43le crédit mutuel Arkea

00:46:44s'est fait dérober

00:46:46plus de 100 millions d'euros.

00:46:47Un exemple de plus

00:46:48de la vulnérabilité

00:46:49de notre pays.

00:46:50Il doit être

00:46:51le dernier investissement

00:46:52au moment même

00:46:53où la France accélérera

00:46:54sa numérisation.

00:46:55Cette numérisation

00:46:56dans notre production intérieure

00:46:59comme nos services publics

00:47:00est un espoir.

00:47:01pour permettre

00:47:02à notre pays

00:47:02d'être une grande nation numérique

00:47:03pour les siècles

00:47:04et ceux à venir.

00:47:06Elle rendra la vie

00:47:07des Français plus facile,

00:47:08répondra en un temps record

00:47:09aux besoins d'information

00:47:10et d'accompagnement

00:47:11des citoyens

00:47:12et fera entrer

00:47:13nos administrations

00:47:14dans le monde contemporain.

00:47:16La technologie

00:47:16va transformer

00:47:17notre quotidien

00:47:18et en mieux.

00:47:20Mais il y a un principe

00:47:21fondamental

00:47:21que vous semblez avoir oublié.

00:47:22Il ne peut y avoir

00:47:24de numérisation

00:47:24sans confiance.

00:47:26Comment voulez-vous

00:47:27que les Français

00:47:28fassent confiance

00:47:28à la numérisation

00:47:29de leurs services publics

00:47:30quand ils découvrent

00:47:31mois après mois

00:47:32de nouvelles fuites

00:47:33de leurs données personnelles ?

00:47:35Comment leur demander

00:47:36de confier toujours

00:47:37davantage d'informations

00:47:38à nos administrations

00:47:39lorsque ces dernières

00:47:40ne sont même plus capables

00:47:42d'en garantir la sécurité ?

00:47:43Comment leur demander encore

00:47:45d'être confiant

00:47:46si à chaque manquement

00:47:47il n'y a pas de responsable ?

00:47:50Cette question de la confiance

00:47:51aurait dû être prévue

00:47:52en amont

00:47:52et nous,

00:47:53nous devons d'y répondre.

00:47:55Nombreuses sont

00:47:56les expressions populaires

00:47:57à prévenir

00:47:57que la confiance

00:47:58prend des années

00:47:58à se construire

00:47:59mais quelques secondes

00:48:00à se briser.

00:48:02Chaque fil de données,

00:48:03chaque cyberattaque

00:48:04réussie

00:48:05abîme un peu plus

00:48:06cette confiance.

00:48:07Si nous ne nous réparons

00:48:09pas cette confiance populaire,

00:48:10ce serait le champ libre

00:48:11aux éternels soutiens

00:48:11de la décroissance,

00:48:12du passéisme,

00:48:13du refus du progrès.

00:48:15Ces refus,

00:48:16ici teintés de vert

00:48:16et de rouge

00:48:17endicaperont notre pays

00:48:19en mettant à pied,

00:48:20à nos pieds,

00:48:21des boulets

00:48:21là où nous pourrions

00:48:22prendre enfin notre envol.

00:48:24La France peut devenir

00:48:25une grande puissance numérique

00:48:26mais pour cela

00:48:27elle doit être capable

00:48:28de protéger ces données

00:48:28qui constitueront

00:48:30au XXIe siècle

00:48:31ce que le pétrole

00:48:32était au XXe.

00:48:33On ne peut plus annoncer

00:48:34aux Français

00:48:34que leurs données

00:48:35ont été volées

00:48:36et que personne

00:48:36n'en est responsable.

00:48:37Je veux être clair.

00:48:39Désigner un responsable

00:48:40ne réglera pas tout.

00:48:41Ce n'est pas une solution miracle.

00:48:42Mais c'est la condition

00:48:43sans laquelle

00:48:44rien ne fonctionne

00:48:45car quand personne

00:48:46n'est responsable

00:48:47personne ne s'en soucie vraiment.

00:48:49Protéger les données

00:48:50de millions de Français

00:48:51est une responsabilité immense.

00:48:53Celui qui l'exerce

00:48:54doit en répondre.

00:48:55Cela ne veut pas dire

00:48:56le condamné

00:48:57à la première faille.

00:48:58Il faudra toujours

00:48:59prendre le temps

00:48:59de comprendre

00:49:00ce qui s'est passé

00:49:01mais si l'enquête

00:49:02montre un manquement grave

00:49:03il doit y avoir sanction.

00:49:05Trouverait-on normal

00:49:06qu'un agent public

00:49:07qui par une faute grave

00:49:08fasse perdre

00:49:08des millions d'euros

00:49:09à son ministère

00:49:10ne soit pas inquiété ?

00:49:11Trouverait-on normal

00:49:13qu'un archiviste d'hôpital

00:49:14qui par négligence

00:49:15laisse des inconnus

00:49:16repartir avec des cartons

00:49:17de dossiers médicaux

00:49:18ne soit pas inquiété ?

00:49:20Alors pourquoi

00:49:21l'accepterions-nous

00:49:22quand ce sont

00:49:23des données numériques

00:49:24de Français

00:49:24qui sont perdues ?

00:49:25Car derrière chaque

00:49:26fuite de données

00:49:27ce sont des milliers

00:49:28de Français

00:49:28livrés aux escrocs.

00:49:29Pour l'argent public

00:49:30ce principe de responsabilité

00:49:32existe déjà.

00:49:33Depuis 2023

00:49:33un gestionnaire public

00:49:34qui par faute grave

00:49:35cause un préjudice

00:49:36financier significatif

00:49:37en répond devant

00:49:38la Cour des comptes.

00:49:39Nous voulons donc

00:49:40introduire ce même principe

00:49:41dans le texte

00:49:42pour la sécurité des données.

00:49:44Ce rendez-vous exige

00:49:45une volonté politique

00:49:46au plus haut niveau.

00:49:47Marine Le Pen

00:49:48l'a dit clairement

00:49:48parce que c'est un véritable

00:49:50enjeu national

00:49:51avec nous

00:49:51la politique numérique

00:49:53dépendra directement

00:49:54du président de la République.

00:49:56C'est là toute la différence.

00:49:57Pour vous

00:49:57le numérique

00:49:58est un dossier

00:49:58que l'on laisse attendre

00:49:5914 mois

00:50:00pour nous

00:50:00c'est une affaire d'Etat.

00:50:02En 2027

00:50:03nous ferons de la France

00:50:03une grande puissance numérique

00:50:04capable de protéger

00:50:05les données de ces Français.

00:50:12Je vous remercie.

00:50:15La parole est à madame

00:50:17Patricia Lemoyne

00:50:18pour le groupe

00:50:18Ensemble pour la République.

00:50:34Merci madame la présidente.

00:50:36madame la ministre

00:50:37monsieur le président

00:50:38de la commission spéciale

00:50:40chers rapporteurs

00:50:40chers collègues

00:50:41en 2025

00:50:43la France se hissait

00:50:44au deuxième rang

00:50:45des pays les plus ciblés

00:50:46par les cybers

00:50:47attaques en Europe.

00:50:48L'ANSI décrit

00:50:49une menace

00:50:49devenue systémique

00:50:51qui touche

00:50:51l'ensemble

00:50:52de notre tissu

00:50:53économique et social.

00:50:55Ainsi

00:50:55le 15 avril dernier

00:50:56l'ANTS

00:50:58détectait une intrusion

00:50:59concernant

00:50:59près de 12 millions

00:51:00de comptes

00:51:01soit un français

00:51:02sur six.

00:51:03La semaine dernière

00:51:04nous apprenions

00:51:05qu'après les frigidaires

00:51:06des supermarchés

00:51:06c'est l'établissement

00:51:08français du sang

00:51:08qui était victime

00:51:09d'une cyberattaque

00:51:10via un prestataire

00:51:11frigorifique.

00:51:13L'affaire est particulièrement

00:51:14préoccupante

00:51:15car les pirates

00:51:15ne se sont pas

00:51:16attaqués

00:51:17à des fichiers informatiques

00:51:18mais aux installations

00:51:19physiques

00:51:20de conservation

00:51:21de produits sanguins.

00:51:23L'une des raisons

00:51:24majeures

00:51:24de cette exposition globale

00:51:26reste la fragilité

00:51:27de nos infrastructures.

00:51:29L'investissement

00:51:30massif

00:51:30dans le numérique

00:51:31ne s'est pas

00:51:32accompagné

00:51:32des investissements

00:51:33nécessaires

00:51:34dans la protection

00:51:35de ces outils.

00:51:36Un prestataire compromis

00:51:38ce sont des dizaines

00:51:39de clients fragilisés.

00:51:41Un hôpital paralysé

00:51:42ce sont des soins retardés.

00:51:44La cybersécurité

00:51:46n'est donc plus

00:51:47seulement un sujet

00:51:48d'informaticien

00:51:49c'est une question

00:51:50de sécurité

00:51:51de défense

00:51:52de résilience

00:51:53de nos infrastructures

00:51:54essentielles et importantes

00:51:55publiques comme privées

00:51:57vous l'avez dit

00:51:58Madame la Ministre.

00:51:59L'inscription

00:52:00de ce texte

00:52:01à l'ordre du jour

00:52:02était donc devenue

00:52:02une priorité absolue

00:52:04dans un contexte

00:52:05géopolitique

00:52:06et technologique inédit

00:52:07marqué par

00:52:08l'intensification

00:52:09des menaces hybrides

00:52:10cyber et physiques

00:52:11la dépendance

00:52:13croissante

00:52:13aux infrastructures

00:52:14numériques

00:52:15et la nécessité

00:52:16de garantir

00:52:17la résilience stratégique

00:52:18du pays.

00:52:19Mais il faut le reconnaître

00:52:20nous n'avons pas été

00:52:21à la hauteur.

00:52:22La directive

00:52:23NIS2

00:52:24devait être transposée

00:52:25en octobre 2024

00:52:26soit il y a

00:52:27plus de deux ans.

00:52:29Pourtant

00:52:30à l'issue

00:52:30de son audition

00:52:31au Sénat

00:52:32en juillet

00:52:32la presse spécialisée

00:52:34relevait que l'ANSI

00:52:35ne pouvait

00:52:36aujourd'hui imposer

00:52:37des règles

00:52:37qu'à 300 opérateurs

00:52:40régulés par la loi

00:52:41de programmation

00:52:42militaire

00:52:42de 2013.

00:52:43Demain

00:52:44avec ce texte

00:52:45ce sont près de 15 000

00:52:47entités

00:52:47et 1500

00:52:48collectivités

00:52:49qui devront relever

00:52:50leur niveau de protection

00:52:51et c'est là

00:52:52une avancée majeure.

00:52:54Le projet de loi

00:52:54vise donc

00:52:55à transposer

00:52:56trois directives européennes

00:52:58REC

00:52:58qui est dans le champ

00:53:00de la protection

00:53:00des entités critiques

00:53:02à plus de secteurs

00:53:04NIS2

00:53:04qui renforce

00:53:05les obligations

00:53:06de cybersécurité

00:53:07pour un plus grand

00:53:08nombre d'acteurs

00:53:08et enfin

00:53:10DORA

00:53:10qui harmonise

00:53:11la gestion

00:53:12des risques numériques

00:53:13dans le secteur

00:53:14financier.

00:53:15Mais il est plus

00:53:16qu'une transposition

00:53:17c'est avant tout

00:53:19une ambition

00:53:19pour tous

00:53:20faire de l'hygiène

00:53:21numérique

00:53:22un réflexe

00:53:23afin de réduire

00:53:24nos vulnérabilités.

00:53:25Enfin, politiquement

00:53:26il répond

00:53:27à une triple exigence

00:53:28protéger

00:53:29les intérêts

00:53:30fondamentaux

00:53:30de la nation

00:53:31transposer

00:53:32les obligations

00:53:33européennes

00:53:34sans en alourdir

00:53:35la portée

00:53:36et accompagner

00:53:37les acteurs

00:53:38opérationnels

00:53:38entreprises

00:53:41collectivités

00:53:41opérateurs

00:53:42d'importance vitale

00:53:43dans la mise

00:53:44en oeuvre

00:53:45de dispositifs

00:53:46agiles

00:53:46adaptés

00:53:47à l'évolution

00:53:48rapide

00:53:48des technologies.

00:53:50Le groupe EPR

00:53:51s'inscrit

00:53:52dans cette perspective

00:53:53protégé

00:53:54sans asphyxier

00:53:55tout en maintenant

00:53:55un niveau

00:53:56d'exigence

00:53:57élevé

00:53:57à la hauteur

00:53:58de l'enjeu.

00:53:59A cet égard

00:54:00nous saluons

00:54:00l'article 5

00:54:01qui permet

00:54:02d'inscrire

00:54:03dans la loi

00:54:03l'élaboration

00:54:04et le pilotage

00:54:05d'une stratégie

00:54:06nationale

00:54:07de cybersécurité

00:54:08sous la responsabilité

00:54:10directe

00:54:10du Premier ministre.

00:54:12Un mot

00:54:12enfin

00:54:13de l'article 16 bis

00:54:14nous partageons

00:54:15l'intention

00:54:16de ces auteurs

00:54:16le chiffrement

00:54:17protège

00:54:18la vie privée

00:54:19et la sécurité

00:54:19de nos concitoyens

00:54:20et nous refusons

00:54:22les portes dérobées

00:54:23mais comme l'a souligné

00:54:24notre ancien collègue

00:54:25Florent Boudier

00:54:26lors de sa mission

00:54:27sa rédaction

00:54:28soulève

00:54:28de sérieuses zones

00:54:29d'ombre.

00:54:30L'interdiction

00:54:31de tout mécanisme

00:54:32d'accès

00:54:33non consenti

00:54:33pourrait fragiliser

00:54:35des techniques

00:54:35de renseignement

00:54:36et d'enquête

00:54:37pourtant légales.

00:54:39Il formule

00:54:40à cet égard

00:54:4017 recommandations

00:54:42majeures

00:54:42afin de réorienter

00:54:44notre stratégie

00:54:45face au chiffrement

00:54:46et nous devons

00:54:47je crois

00:54:47nous saisir

00:54:48de ces pistes

00:54:48pour concilier

00:54:50protection

00:54:50de la vie privée

00:54:51et fourniture

00:54:52de levées d'actions

00:54:53aux renseignements

00:54:54dans leur mission

00:54:55de lutte

00:54:56contre les réseaux

00:54:56criminels.

00:54:57Je pense notamment

00:54:58à l'exploitation

00:54:59des failles

00:55:00de l'écosystème

00:55:01des millions

00:55:01d'utilisateurs

00:55:02chiffrent leurs messages

00:55:03sur WhatsApp

00:55:04tout en laissant

00:55:05leur sauvegarde

00:55:06automatique

00:55:07accessible

00:55:07sur le cloud.

00:55:08Nous aborderons

00:55:10donc ce débat

00:55:10avec responsabilité

00:55:11protéger

00:55:12le chiffrement

00:55:13sans entraver

00:55:14la lutte

00:55:14contre la criminalité

00:55:16et le terrorisme

00:55:16nous soutiendrons

00:55:18donc la suppression

00:55:19de l'article 16bis

00:55:21et voterons

00:55:22évidemment

00:55:23pour ce texte

00:55:24très attendu

00:55:25avec la volonté

00:55:27de l'améliorer encore.

00:55:28Je vous remercie.

00:55:32Je vous remercie.

00:55:34La parole est à

00:55:35M. Arnaud Saint-Martin

00:55:36pour le groupe

00:55:36La France Insoumise.

00:55:51Madame la Présidente,

00:55:52Madame la Ministre,

00:55:53Mesdames et Messieurs

00:55:54les rapporteurs,

00:55:54M. le Président,

00:55:56ce n'est pas trop tôt.

00:55:56Il aura fallu

00:55:57près d'un an

00:55:58pour que le gouvernement

00:55:58daigne mettre

00:55:59à l'ordre du jour

00:56:00ce projet de loi

00:56:00examiné en commission spéciale

00:56:02début septembre 2025.

00:56:04C'était présenté

00:56:05à l'époque

00:56:05comme une urgence

00:56:06à juste titre

00:56:06puisqu'il y a urgence.

00:56:08Notre souveraineté

00:56:09sur les données sensibles

00:56:09des Français

00:56:10est menacée

00:56:11et nous ne sommes pas prêts

00:56:12face aux cybermenaces.

00:56:13Nous avions donc

00:56:14entamé des débats

00:56:15et puis plus rien.

00:56:17Un an dans les limbes.

00:56:18Quel gâchis provoqué

00:56:19par votre impréparation

00:56:20ou vos indécisions ?

00:56:21Celle-ci est extrêmement

00:56:23coûteuse

00:56:23puisqu'en 2024

00:56:24le coût annuel

00:56:25de la cybercriminalité

00:56:26est évalué

00:56:27à 119 milliards d'euros.

00:56:29Alors j'ai fait mes calculs

00:56:30en nous prévenant

00:56:31des coûts liés

00:56:32aux conséquences

00:56:32des cyberattaques.

00:56:33Nous aurions pu par exemple

00:56:34ramener le déficit annuel

00:56:35du pays de 5%

00:56:36à 1% du PIB.

00:56:37Le vol des données personnelles

00:56:39est un scandale en soi

00:56:40mais s'il ne vous suffisait

00:56:41pas pour agir

00:56:42voici donc une bonne

00:56:43et impérieuse raison

00:56:44de planifier

00:56:44la cybersécurité.

00:56:46En attendant,

00:56:47le volume des données personnelles

00:56:48qui ont été dérobées

00:56:49dépasse l'entendement.

00:56:50Depuis un an,

00:56:51c'est la fuite en avant,

00:56:53la fuite en avrant même.

00:56:54Pas un jour

00:56:55sans qu'une faille

00:56:56n'apparaisse,

00:56:57qu'une vulnérabilité

00:56:59ne soit mise au jour,

00:57:00qu'une attaque

00:57:00ne soit enregistrée.

00:57:02On comptait

00:57:021 366 incidents

00:57:04confirmés en 2025

00:57:05contre 831 en 2023

00:57:07soit une hausse

00:57:09des cyberattaques

00:57:10de plus de 60%

00:57:11en deux ans.

00:57:11C'est la généralisation

00:57:13alarmante

00:57:13d'un risque numérique

00:57:15systémique

00:57:16qui expose

00:57:16les administrations publiques,

00:57:18les entreprises

00:57:18et tous les secteurs

00:57:19d'activité

00:57:19et aussi en passant

00:57:21les citoyens

00:57:21et leurs données sensibles.

00:57:23Les conséquences

00:57:24donc,

00:57:24elles sont désastreuses.

00:57:25Rentrées scolaires

00:57:26empêchées,

00:57:27données médicales

00:57:27dérobées,

00:57:28attaques contre la DGFIP

00:57:29conduisant à la fuite

00:57:30des données

00:57:30de centaines de milliers

00:57:31de Français,

00:57:32piratage d'installations

00:57:33frigorifiques de supermarchés,

00:57:35craquage de l'ANSI même.

00:57:37La menace,

00:57:37elle est réelle,

00:57:38organisée de façon

00:57:39toujours plus ingénieuse

00:57:40d'ailleurs.

00:57:40C'est pourquoi

00:57:41votre politique

00:57:42de sécurisation

00:57:42du numérique

00:57:43est si totalement

00:57:44problématique.

00:57:45Les deux quinquennats

00:57:46Macron,

00:57:47pourtant s'y engagés

00:57:48dans la promotion

00:57:48du capitalisme numérique,

00:57:49du start-uping

00:57:50et de l'innovation

00:57:51de rupture,

00:57:52n'y auront rien fait.

00:57:53Ça craque de partout.

00:57:55Il est vrai

00:57:55que les nouvelles sources

00:57:56de bénéfices engendrées

00:57:57par les cybermenaces

00:57:57en arrangent certains.

00:57:59Car c'est tout un marché

00:58:00de la cybersécurité

00:58:01prédaté par les géants

00:58:02états-uniens

00:58:02du capitalisme numérique

00:58:03qui prospère désormais

00:58:05sur les ruines

00:58:06du secteur numérique

00:58:06et tire profit

00:58:07de nos dépendances

00:58:08matérielles.

00:58:09La puissance publique,

00:58:11elle,

00:58:11elle se trouve impuissante.

00:58:13Vous tentez

00:58:14d'organiser

00:58:14un business florissant

00:58:15qui rend toujours

00:58:16plus captifs

00:58:17les utilisateurs

00:58:17obligés de se protéger.

00:58:19Celles et ceux

00:58:19qui en paieront le prix

00:58:20sont les citoyens,

00:58:21les organisations publiques

00:58:22ou encore

00:58:23les collectivités territoriales.

00:58:25C'est pourquoi

00:58:25il est urgent

00:58:26d'élargir les missions

00:58:27de l'ANSI

00:58:28et d'augmenter

00:58:28substantiellement

00:58:29ses effectifs

00:58:30afin de les rendre capables

00:58:31de mettre en œuvre

00:58:32des mesures

00:58:33de protection

00:58:34et de supervision

00:58:35de milliers d'entités.

00:58:37Là où émerge

00:58:38un nouveau besoin essentiel

00:58:39pour une société

00:58:40fonctionnellement

00:58:41encastrée dans le numérique,

00:58:42il faut débloquer

00:58:43de nouveaux moyens.

00:58:45Sans cela,

00:58:45nous les condamnons

00:58:46à avoir recours

00:58:47à des outils coûteux

00:58:48sans assurance

00:58:49que leur système

00:58:49soit intègre,

00:58:51robuste et résilient.

00:58:52Notre adaptation

00:58:54aux cyberattaques

00:58:54est devenue

00:58:55d'autant plus cruciale

00:58:56à l'heure

00:58:57de la généralisation

00:58:57de l'intelligence artificielle.

00:58:59Autre point

00:58:59qui est éminemment critique,

00:59:01ça ouvre

00:59:02des menaces inédites

00:59:03qui vont évoluer

00:59:04rapidement,

00:59:05qui nous prennent

00:59:05de vitesse

00:59:06et contre lesquelles

00:59:07aucune protection

00:59:08n'existe actuellement.

00:59:09Face à cette incertitude,

00:59:10l'enjeu est non seulement

00:59:11de garantir

00:59:12la sécurité

00:59:12des infrastructures

00:59:13et des données,

00:59:13mais aussi

00:59:14la confidentialité

00:59:16des communications

00:59:17des citoyens.

00:59:18C'est pourquoi,

00:59:19Madame la Ministre,

00:59:19nous sommes profondément

00:59:20attachés au maintien

00:59:21de l'article 16b

00:59:22examiné en toute fin

00:59:23de nos travaux,

00:59:23car nous nous opposons

00:59:24à toute forme

00:59:25d'affaiblissement volontaire

00:59:26ou de contournement

00:59:27du chiffrement

00:59:27des échanges numériques,

00:59:28quand bien même

00:59:29certains acteurs concernés,

00:59:31notamment dans le renseignement,

00:59:32se font entendre

00:59:33pour renforcer

00:59:34le décloisonnement.

00:59:35Or, il faut le dire

00:59:36avec force,

00:59:37les libertés fondamentales

00:59:38ne s'arrêtent pas

00:59:39à la porte

00:59:39de la sphère numérique.

00:59:40Le chiffrement

00:59:41vise à garantir

00:59:42l'intégrité

00:59:43et la confidentialité

00:59:44des communications.

00:59:45L'affaiblir

00:59:46serait une régression

00:59:47liberticide

00:59:48sans horizon,

00:59:49hors de question,

00:59:50en tout cas pour nous,

00:59:51de céder aux injections

00:59:52techno-sécuritaires.

00:59:54Madame la Ministre,

00:59:55chers collègues,

00:59:56ce projet de loi

00:59:57a le mérite

00:59:57de mettre à l'agenda

00:59:58une question critique,

01:00:00d'en faire un sujet politique

01:00:02dont on va pouvoir débattre

01:00:04assidûment

01:00:05pendant tout l'examen

01:00:06de ce projet de loi.

01:00:07Mais votre réponse,

01:00:09il faut bien le dire,

01:00:09n'est pas à la hauteur.

01:00:11Vous n'avez rien anticipé

01:00:12pour protéger

01:00:12un cyberespace

01:00:13transformé en passoire.

01:00:14Vous l'avez fait

01:00:15a posteriori,

01:00:15après coup.

01:00:16Vous n'avez rien planifié.

01:00:18Vous intervenez

01:00:18a posteriori

01:00:19lorsque ça plante.

01:00:20Vous transposez

01:00:21des directives européennes

01:00:22avec un grand retard,

01:00:23exposant la France

01:00:25à des pénalités

01:00:26qui alourdissent encore

01:00:27la facture

01:00:27de votre inaction numérique.

01:00:30Si ce projet de loi

01:00:31porte des avancées,

01:00:32et c'est la raison

01:00:33pour laquelle d'ailleurs

01:00:33nous avons constructivement amendé,

01:00:36il n'est pas suffisant.

01:00:37Sans hausse des moyens,

01:00:39sans planification,

01:00:40sans acculturation collective

01:00:41au dommage

01:00:41de la vie numérique,

01:00:42sans vision stratégique globale,

01:00:44les failles persisteront

01:00:45et nous mettront en danger.

01:00:47Ce projet de loi,

01:00:48donc,

01:00:48il n'est qu'une étape

01:00:49que nous prolongerons

01:00:50en 2027

01:00:51une fois aux commandes

01:00:52de l'exécutif

01:00:53par un plan

01:00:54autrement plus conséquent

01:00:55et protecteur.

01:00:57Merci.

01:01:01Je vous remercie.

01:01:02La parole est à M. Sébastien Saint-Pasteur

01:01:04pour le groupe socialiste.

01:01:17Madame la Présidente,

01:01:19Madame la Ministre,

01:01:20Madame la Rapporteure,

01:01:21Messieurs les rapporteurs,

01:01:22chers collègues,

01:01:23parler de petits pois,

01:01:25de pizza,

01:01:25de steak haché surgelé

01:01:26peut paraître incongru

01:01:27dans un débat

01:01:28qui a trait à la cybersécurité.

01:01:30Et pourtant,

01:01:31c'est des sujets

01:01:32très concrets

01:01:33puisque dans ma circonscription,

01:01:34un supermarché

01:01:35du groupe Intermarché

01:01:36a perdu pour 21 000 euros

01:01:39de stock.

01:01:40Près de 20 millions

01:01:41pour le groupe Intermarché.

01:01:44On a les problématiques

01:01:45sur les pièces d'identité.

01:01:47Le cas de la NTS

01:01:48a été évoqué.

01:01:50Des dégradations

01:01:51dans le suivi des cancers

01:01:52dans des hôpitaux,

01:01:53Corbeil-Essone,

01:01:54je crois que Dax

01:01:55a été aussi évoqué.

01:01:57Des EHPAD

01:01:57qui doivent travailler

01:01:58en mode dégradé.

01:01:59Tout ça à cause

01:02:01de cyberattaques.

01:02:02Ces cyberattaques,

01:02:03elles affectent

01:02:04notre quotidien

01:02:05et de façon quotidienne.

01:02:08En 2025,

01:02:0940% des entreprises

01:02:11interrogées

01:02:11par le CISIN

01:02:13déclarent avoir subi

01:02:14une cyberattaque

01:02:15significative.

01:02:17La plateforme

01:02:18Cybermalveillance

01:02:19a enregistré

01:02:20près d'un demi-million

01:02:21d'incidents

01:02:22à mettre en reflet

01:02:24avec les 200 000

01:02:25cambriolages

01:02:26qui ont été dénombrés

01:02:28en France

01:02:29l'année dernière.

01:02:31Alors,

01:02:31face à l'ampleur

01:02:32de ce sujet,

01:02:34Madame la Ministre,

01:02:34on peut interroger

01:02:36l'attentisme

01:02:37du gouvernement

01:02:38qu'on pourrait presque

01:02:39juger

01:02:40de procrastination.

01:02:42Parce qu'on n'est pas

01:02:43parti d'une page blanche.

01:02:45On avait trois textes

01:02:47travaillés

01:02:48à l'échelle européenne.

01:02:49L'Europe peut être

01:02:50source de grandes vertus.

01:02:52Nice 2,

01:02:54REC,

01:02:54DORA,

01:02:54dans des secteurs spécifiques.

01:02:55On a des exemples

01:02:56dans des pays étrangers,

01:02:57la Belgique,

01:02:58l'Italie,

01:02:58l'Allemagne

01:02:59ou le Danemark

01:02:59qui ont déjà

01:03:00transposé la directive.

01:03:01Et pendant ce temps-là,

01:03:02nous avons attendu.

01:03:04Deux ans de retard

01:03:05pendant lesquels

01:03:06les cyberattaques

01:03:07ont été bien présentes.

01:03:09Et comme cela ne suffisait pas

01:03:11pour rendre encore

01:03:13un petit peu plus complexe

01:03:14le débat,

01:03:14on a l'intrusion

01:03:17d'un amendement cavalier,

01:03:18le 16 bis,

01:03:19par un sénateur

01:03:20de l'Union centriste,

01:03:22membre du socle commun

01:03:23qui vient cristalliser

01:03:24les débats,

01:03:26créer de la difficulté

01:03:28alors que le sujet

01:03:29mériterait qu'il soit

01:03:30traité de façon autonome.

01:03:32Nous y reviendrons demain.

01:03:34Il y a aussi un sujet

01:03:36qui me chagrine un peu,

01:03:38un risque financier.

01:03:39Cela a été évoqué.

01:03:40La Commission européenne

01:03:41a saisi la Cour de justice

01:03:43pour une sanction forfaitaire

01:03:45de près de 15 millions d'euros,

01:03:46une astreinte

01:03:47de près de 337 000 euros

01:03:50par jour.

01:03:51On voit bien,

01:03:52à l'heure où on cherche

01:03:53à pouvoir recruter

01:03:54des infirmiers,

01:03:56des professeurs

01:03:57dans nos écoles,

01:03:58des policiers,

01:03:59que cet argent-là,

01:04:00il serait évidemment

01:04:01bien mieux investi

01:04:03ailleurs.

01:04:04Mais le plus grave

01:04:05n'est peut-être pas là.

01:04:06Parce que le temps

01:04:07que nous avons perdu,

01:04:09nous l'avons fait perdre

01:04:10également aux autres.

01:04:11les entreprises

01:04:13qui doivent investir

01:04:14sont évidemment

01:04:16dans l'attente

01:04:17tant que le cadre

01:04:17réglementaire

01:04:18n'est pas fixé.

01:04:20Certaines ont même,

01:04:21je pense,

01:04:22été arnaquées

01:04:23par des démarchages

01:04:24sur des possibilités

01:04:26de se mettre

01:04:26en conformité,

01:04:27notamment avec Nice 2,

01:04:28par des opérateurs

01:04:31très peu bienveillants.

01:04:33Il ne faudrait pas

01:04:35que le retard

01:04:35que nous avons pris,

01:04:36nous l'imposions

01:04:37aux entités assujetties

01:04:40en leur demandant

01:04:41une transposition

01:04:41en marche forcée.

01:04:43Voilà la contradiction,

01:04:45voilà l'injustice potentielle.

01:04:47Il fut un temps

01:04:48où on nous promettait

01:04:49la start-up nation.

01:04:51On constate qu'ici,

01:04:52on est plutôt

01:04:52sur la slow-motion nation.

01:04:55Et pour franciser le propos,

01:04:58La Fontaine écrivait

01:04:59que rien ne sert de courir,

01:05:00il faut partir à point.

01:05:01Mais avec 2 ans de retard,

01:05:03il ne faut plus courir,

01:05:04il faut galoper.

01:05:05Et nous verrons

01:05:06si les entités concernées

01:05:08ne seront ni lièvres

01:05:10ni tortues,

01:05:10mais en tout cas,

01:05:11pas les dindons

01:05:12de la farce

01:05:12de cette histoire.

01:05:14Madame la Ministre,

01:05:15chers collègues,

01:05:15derrière ce texte,

01:05:16il y a des milliers

01:05:17d'entreprises,

01:05:18des collectivités,

01:05:19des services publics,

01:05:20des femmes et des hommes

01:05:21qui devront investir,

01:05:22s'organiser,

01:05:23se former.

01:05:24Et il faudra encore du temps

01:05:25après le vote

01:05:26pour que les Français

01:05:27ressentent les effets

01:05:28de cette loi.

01:05:29Nous devons être

01:05:29à la hauteur

01:05:30de l'importance du sujet.

01:05:32Le groupe socialiste

01:05:34a apporté des amendements,

01:05:35non pas de surtransposition,

01:05:36mais d'effectivité,

01:05:38parce que la mise

01:05:39en œuvre

01:05:40de ces transpositions

01:05:42se feront aussi

01:05:42avec les acteurs

01:05:43du territoire.

01:05:44Ce sera le sens

01:05:45de notre travail

01:05:47sur ce texte

01:05:48qui est attendu

01:05:49depuis maintenant

01:05:49trop longtemps.

01:05:50Je vous remercie.

01:05:53Je vous remercie.

01:05:55La parole est à M. Nicolas Trisna

01:05:57pour le contre-droite républicaine.

01:06:12Madame la Présidente,

01:06:14Madame la Ministre,

01:06:15Messieurs les rapporteurs général,

01:06:17Mesdames et Messieurs les rapporteurs,

01:06:19mes chers collègues.

01:06:20Plus de 2 ans

01:06:21après son dépôt au Sénat,

01:06:22nous commençons enfin

01:06:23l'examen du projet de loi

01:06:25relatif à la résilience,

01:06:26des infrastructures critiques

01:06:28et au renforcement

01:06:28de la cybersécurité.

01:06:30Examiné en commission spéciale

01:06:31au lendemain de la chute

01:06:32du gouvernement Bayrou,

01:06:33inscrit,

01:06:34puis repoussé à plusieurs reprises,

01:06:36ce texte illustre

01:06:37malheureusement

01:06:37l'instabilité

01:06:38que connaît

01:06:38notre Assemblée

01:06:39depuis 2024.

01:06:42Cela doit être une alerte.

01:06:43Face au défi

01:06:44que traverse notre pays,

01:06:45la polarisation

01:06:46de nos institutions

01:06:47constitue un facteur

01:06:47de désordre

01:06:48et de déstabilisation important.

01:06:50Car ce texte

01:06:52n'est pourtant

01:06:53pas que

01:06:54l'adaptation

01:06:54de notre cadre législatif

01:06:56face à la montée

01:06:57de la cybermenace.

01:06:58Mais ce que

01:06:59ne doit pas nous montrer

01:07:00trompés.

01:07:02Dès que l'adaptation

01:07:03se cache un chantier considérable,

01:07:04celui de garantir

01:07:05la continuité

01:07:06de nos activités vitales

01:07:07en cas de crise.

01:07:08Il s'agit

01:07:09de la transposition

01:07:10de 3 directives européennes,

01:07:12REC,

01:07:12NIS2

01:07:13et DORA,

01:07:14qui imposent

01:07:15des standards

01:07:15de résilience opérationnelle.

01:07:17Notre collègue

01:07:18Michel Barnier

01:07:18vous a interrogé

01:07:19encore

01:07:19madame la ministre

01:07:20il n'y a pas très longtemps

01:07:21pour s'étonner

01:07:22de cette échéance

01:07:23de transposition

01:07:24qui espirait,

01:07:25je vous le rappelle,

01:07:25le 17 octobre 2024.

01:07:28Nous sommes donc

01:07:28très en retard

01:07:29alors que la situation

01:07:30se dégrade jour après jour.

01:07:32En commission spéciale,

01:07:33notre collègue

01:07:33Gagénie Duby-Muller

01:07:34l'a rappelé.

01:07:35Notre pays a subi

01:07:36depuis 2022

01:07:37de nombreuses cyberattaques

01:07:38qui ont relevé

01:07:39la vulnérabilité

01:07:40de nos infrastructures critiques,

01:07:41de nos services publics

01:07:42et de nos entreprises.

01:07:44Je pense naturellement

01:07:45aux attaques

01:07:45contre les hôpitaux

01:07:46à Corbeil-Essone,

01:07:48à Versailles,

01:07:48contre les organismes

01:07:49lotères payants,

01:07:50via Médis,

01:07:51Almeris

01:07:52ou encore contre

01:07:53France Travail.

01:07:55En vérité,

01:07:56il ne se passe pas

01:07:56une semaine

01:07:57sans que la presse

01:07:57se fasse l'écho d'attaque

01:07:59confirmant

01:08:00que le paysage

01:08:01de la cybersécurité

01:08:02en 2026

01:08:02est marqué

01:08:03par une multiplication

01:08:04et une professionnalisation

01:08:05de celle-ci.

01:08:06Les chiffres démontrent.

01:08:07de l'Agence nationale

01:08:08de la sécurité

01:08:09et des systèmes

01:08:09d'information

01:08:10indiquent que

01:08:11le nombre d'attaques

01:08:12a simplement doublé

01:08:13entre 2020 et 2025.

01:08:15Les TPE, PME,

01:08:16ETI

01:08:17représentent 48%

01:08:18des victimes

01:08:19et les établissements

01:08:20en lien avec la santé,

01:08:208%.

01:08:22En plein cœur de l'été,

01:08:23les Français ont appris

01:08:24que la Direction générale

01:08:24des finances publiques

01:08:25elle-même

01:08:25avait été victime

01:08:27de cyberattaques

01:08:27exposant les données

01:08:28de centaines de milliers

01:08:30de contribuels

01:08:30des entreprises.

01:08:31Même l'État,

01:08:32au cœur de Bercy,

01:08:33n'est donc pas épargné.

01:08:34Et comment t'as mentionné

01:08:36les spectaculaires

01:08:37cyberattaques

01:08:38qui a touché

01:08:39les équipements

01:08:39frigorifiques

01:08:40de supermarché

01:08:40début octobre ?

01:08:42Ces exemples

01:08:43nous montrent une chose.

01:08:45Une cyberattaque

01:08:46n'est pas seulement

01:08:46une affaire informatique.

01:08:47Elle peut paralyser

01:08:48un hôpital,

01:08:49un service public,

01:08:50atterrompre

01:08:51une activité économique.

01:08:52La résilience

01:08:53de notre pays

01:08:54repose donc

01:08:54sur sa capacité

01:08:55à prévenir les attaques,

01:08:56à les détecter rapidement

01:08:57et à limiter

01:08:58leurs conséquences

01:08:59et enfin à rétablir

01:09:00le fonctionnement normal

01:09:01de nos services essentiels.

01:09:03Il ne s'agit plus

01:09:04seulement de protéger

01:09:05les équipements,

01:09:06mais bien de garantir

01:09:07la continuité

01:09:07des activités économiques,

01:09:09administratives

01:09:09et stratégiques.

01:09:11Mais soutenir ce texte

01:09:12n'est pas lui donner

01:09:13un blanc-seing.

01:09:14Notre vigilance

01:09:15porte notamment

01:09:15sur les conséquences

01:09:16concrètes de ce texte

01:09:17pour les entreprises,

01:09:18les collectivités territoriales

01:09:20et les administrations

01:09:21concernées.

01:09:23Vigilance d'abord

01:09:24pour nos collectivités territoriales.

01:09:26Près de 1500 d'entre elles

01:09:27seront concernées

01:09:28par ces nouvelles obligations

01:09:28incluant nos départements.

01:09:30Or, nos collectivités,

01:09:32notamment les plus petites,

01:09:34ne disposent pas toujours

01:09:35des moyens humains

01:09:36et financiers

01:09:37nécessaires pour y répondre.

01:09:38Protéger nos collectivités,

01:09:39oui.

01:09:40Les laisser seules

01:09:41face à une facture,

01:09:42non.

01:09:43Vigilance également

01:09:44pour nos entreprises.

01:09:45Nos TPE et PME

01:09:46ne disposent pas

01:09:47des mêmes moyens

01:09:48que les grands groupes.

01:09:49Protéger

01:09:50ne doit pas signifier

01:09:51accabler.

01:09:52Une obligation impossible

01:09:53à appliquer

01:09:54ne protège personne.

01:09:55Les décrets d'application

01:09:56devront donc respecter

01:09:57l'esprit du législateur

01:09:58et tenir compte

01:09:59des capacités réelles

01:10:00de nos entreprises.

01:10:01Vigilance enfin

01:10:02pour notre souveraineté.

01:10:04Car se protéger

01:10:05avec des outils

01:10:05que nous ne maîtrisons pas,

01:10:07c'est dépasser le risque

01:10:08plutôt que le supprimer.

01:10:09Notre cybersécurité

01:10:10doit aussi être un enjeu

01:10:11de souveraineté nationale

01:10:12et européenne.

01:10:14Chers collègues,

01:10:15la menace cyber

01:10:16est durable,

01:10:16elle évolue constamment

01:10:17et elle éclive

01:10:18de notre part

01:10:19une adaptation permanente.

01:10:20Ce projet de loi

01:10:21constitue une étape nécessaire

01:10:22pour renforcer la protection

01:10:23de notre pays

01:10:24et des entreprises

01:10:25et des concitoyens.

01:10:27Ainsi,

01:10:27tout en restant attentifs

01:10:29à la proportionnalité

01:10:30des obligations,

01:10:31à leur financement

01:10:31et à la mise en place

01:10:32et la mise en oeuvre concrète,

01:10:34le groupe de droite républicaine

01:10:36soutient et votera donc

01:10:37ce texte.

01:10:38Nous sommes en effet convaincus

01:10:39que face à des menaces

01:10:40qui ne connaissent

01:10:40ni frontière ni répit,

01:10:42la France ne peut plus

01:10:43permettre d'avoir

01:10:44un temps de retard.

01:10:44Je vous remercie.

01:10:46Je vous remercie.

01:10:49La parole est à

01:10:50madame Sabrina Sebey

01:10:51pour le groupe écologiste

01:10:52et social.

01:11:09Merci madame la présidente,

01:11:10madame la ministre,

01:11:11chers collègues.

01:11:12Dans la nuit du 11

01:11:14au 12 octobre dernier,

01:11:15des centaines de supermarchés

01:11:16ont vu leurs armoires

01:11:17frigorifiques prises en otage

01:11:18par une cyberattaque.

01:11:20Il n'y avait ni bruit,

01:11:21ni fracas,

01:11:22seulement des écrans figés

01:11:23et des chaînes du froid rompu.

01:11:26Aujourd'hui,

01:11:26la guerre ne commence pas

01:11:27toujours par des chars.

01:11:28Elle commence parfois

01:11:29par une ligne de code

01:11:30dans un hôpital,

01:11:31dans une mairie

01:11:32ou bien encore

01:11:33dans un réseau d'eau.

01:11:34Face à cette réalité,

01:11:35la France arrive en retard

01:11:37et plus exactement

01:11:38avec deux ans de retard.

01:11:40La directive Nice 2

01:11:41devait être transposée

01:11:42le 17 octobre 2024.

01:11:44En juillet,

01:11:45la Commission européenne

01:11:46nous a même crémé

01:11:47devant la Cour de justice

01:11:48de l'Union.

01:11:49Et ce texte,

01:11:50adopté à l'unanimité

01:11:51par notre commission spéciale

01:11:52il y a 14 mois,

01:11:53a été repoussé,

01:11:55reporté,

01:11:55puis déprogrammé

01:11:56la veille de son examen.

01:11:58Pourquoi ?

01:11:59Les rapporteurs l'ont dit

01:12:01eux-mêmes,

01:12:01parce qu'un article dérangeait.

01:12:03Une seule ligne

01:12:04a tenu en otage

01:12:05la cybersécurité

01:12:06de tout un pays.

01:12:08Sur le fond,

01:12:09nous soutenons ce texte.

01:12:10Il fait passer

01:12:10le nombre de secteurs régulés

01:12:12de 6 à 18.

01:12:12Il fait passer

01:12:14de quelques 300 opérateurs

01:12:15d'importance vitale

01:12:16à près de 15 000 entités

01:12:17essentielles et importantes.

01:12:19Il fait de l'Annecy

01:12:20le chef d'orchestre

01:12:21de notre défense numérique.

01:12:23C'est un changement d'échelle

01:12:24et il était nécessaire.

01:12:25Mais un changement d'échelle

01:12:27exige des moyens à la hauteur.

01:12:28Près de 1 500 collectivités

01:12:30vont entrer dans ce régime.

01:12:32Nous avons défendu

01:12:33avec département de France

01:12:34une idée simple.

01:12:35On ne protège pas

01:12:36un service public

01:12:36en l'amputant.

01:12:37Une amende infligée

01:12:39à une collectivité

01:12:39est payée par ses habitants.

01:12:41Pour les collectivités,

01:12:42il faut de l'accompagnement,

01:12:43de la formation

01:12:44et de la transparence.

01:12:45Pas des sanctions

01:12:46qui creusent leur budget.

01:12:48Elles ne doivent pas

01:12:48non plus payer elles-mêmes

01:12:50les audits qu'on leur impose.

01:12:51Nous demandons aussi

01:12:52une commission de sanctions

01:12:54irréprochable.

01:12:55Ceux qui jugent

01:12:56ne doivent pas sortir la veille

01:12:57des entreprises

01:12:58qu'ils contrôlent.

01:13:00Chers collègues,

01:13:00je viens à l'essentiel.

01:13:01Le gouvernement nous demande

01:13:02de supprimer

01:13:03l'article 16 bis.

01:13:05Cet article dit

01:13:06une chose très simple.

01:13:07On ne peut pas obliger

01:13:08les fournisseurs

01:13:09de chiffrement

01:13:10à affaiblir volontairement

01:13:11leur système

01:13:11et donc

01:13:12pas de clé maîtresse

01:13:13ni de porte dérobée.

01:13:15Dans un texte

01:13:16qui a pour titre

01:13:17renforcement de la cybersécurité,

01:13:19le gouvernement veut retirer

01:13:21la seule protection explicite

01:13:22du chiffrement.

01:13:23Autant installer

01:13:24une porte blindée

01:13:25en lui ajoutant

01:13:25une serrure de service.

01:13:27Une porte dérobée

01:13:28ne fait pas de tri

01:13:29entre ceux

01:13:29qui la franchissent.

01:13:31Une clé faite

01:13:31pour la police

01:13:32finit un jour

01:13:33entre les mains

01:13:34des mafias,

01:13:35des rançonneurs

01:13:35et des puissances étrangères.

01:13:37Ce n'est pas notre point

01:13:38de vue politique,

01:13:39c'est ce que disent

01:13:39les mathématiques.

01:13:40Tous les experts

01:13:41de la sécurité numérique

01:13:43le répètent.

01:13:43Un chiffrement affaibli

01:13:45pour quelques-uns

01:13:46l'est en fait

01:13:46pour tout le monde.

01:13:48On nous dit

01:13:48supprimer l'article

01:13:50ce n'est pas défendre

01:13:51les portes dérobées.

01:13:52Alors pourquoi

01:13:53tant d'acharnement

01:13:54à le supprimer ?

01:13:55On nous dit aussi

01:13:56que la France serait isolée.

01:13:58Être le premier pays

01:13:59d'Europe à protéger

01:14:00le secret de ses citoyens

01:14:02ce n'est pas être isolé,

01:14:03c'est au contraire

01:14:04montrer la voie.

01:14:06On nous promet enfin

01:14:07de ne parvenir

01:14:07à l'article 8R

01:14:08de la loi narcotrafic

01:14:10que cette Assemblée

01:14:10a eu la sagesse

01:14:12de rejeter

01:14:12avant la fin de la session.

01:14:14Une liberté garantie

01:14:15jusqu'au 30 juin

01:14:16n'est pas une liberté,

01:14:17c'est un sursis.

01:14:19Le chiffrement

01:14:19n'a rien d'un caprice

01:14:20de technicien.

01:14:21C'est le secret

01:14:22des correspondances

01:14:23au 21e siècle.

01:14:24Il protège

01:14:25la journaliste

01:14:26et sa source,

01:14:27l'avocat et son client,

01:14:28la militante

01:14:29face à un régime autoritaire

01:14:30et la femme

01:14:31qui fuit un conjoint violent.

01:14:33Il protège aussi

01:14:34nos hôpitaux,

01:14:35nos banques

01:14:35cano-centrales.

01:14:36C'est pourquoi

01:14:37nous, écologistes,

01:14:38voulons aller plus loin

01:14:39que l'article 16bis.

01:14:40Nous défendons

01:14:41la constitutionnalisation

01:14:42du chiffrement

01:14:43pour que plus aucun gouvernement,

01:14:46quel qu'il soit,

01:14:47ne puisse l'affaiblir

01:14:48par un amendement

01:14:49de circonstances.

01:14:50Nous voulons

01:14:50une France résiliente

01:14:51et une France résiliente

01:14:53protège ses libertés

01:14:54au lieu de les percer.

01:14:55Nous voterons donc

01:14:56contre toute fragilisation

01:14:57de nos libertés fondamentales

01:14:59par des portes dérobées.

01:15:00Je vous remercie.

01:15:02Je vous remercie.

01:15:04La parole est à madame

01:15:05Geneviève Dariussec

01:15:06pour le groupe Démocrate.

01:15:18Bonjour, madame la présidente.

01:15:22Madame la présidente,

01:15:24madame la ministre,

01:15:25monsieur le rapporteur général,

01:15:28madame et messieurs

01:15:29les rapporteurs,

01:15:29mes chers collègues.

01:15:31France Travail,

01:15:33Naval Group,

01:15:33Poitiers,

01:15:34le département de l'Aude,

01:15:35Orange, Bouygues

01:15:36et chez moi dans les Landes,

01:15:38l'hôpital de Dax,

01:15:39on en a parlé en 2021,

01:15:41la mairie de Tarnos cet été

01:15:43et le mois dernier,

01:15:45le supéru de Morsinx,

01:15:47lui aussi contraint

01:15:48de jeter tout son rayon frais

01:15:50après le piratage

01:15:51de ses frigos.

01:15:52Bien sûr,

01:15:53ces noms ont un point commun.

01:15:54tous ont été frappés

01:15:55par une cyberattaque.

01:15:57Donc, nous le savons,

01:15:59plus personne n'est à l'abri

01:16:00et les premières victimes

01:16:01en définitive,

01:16:02ce sont nos concitoyens.

01:16:05Cet été,

01:16:06la Direction générale

01:16:07des finances publiques

01:16:08a reconnu

01:16:08que les données fiscales

01:16:10de 678 000

01:16:12particuliers et professionnels

01:16:14avaient été consultées

01:16:15ou extraites.

01:16:17Identité,

01:16:18adresse,

01:16:18revenu,

01:16:19situation familiale.

01:16:21Ces derniers mois,

01:16:22ce sont aussi les données

01:16:23d'1,6 million d'inscrits

01:16:25à France Travail

01:16:26et 1,2 million de salariés

01:16:28déclarés sur page emploi.

01:16:31Quand un commerce est touché,

01:16:34c'est grave.

01:16:35Quand c'est le fisc

01:16:36ou la sécurité sociale,

01:16:38c'est la confiance des Français

01:16:40dans leur institution

01:16:41qui vacille,

01:16:42car on ne choisit pas

01:16:43de confier ces données

01:16:45à l'administration,

01:16:46on y est tenu.

01:16:47L'État a donc

01:16:48un devoir absolu

01:16:49de les protéger.

01:16:51Et ces données

01:16:52ne disparaissent pas.

01:16:53Elles sont revendues,

01:16:55croisées

01:16:56et finissent

01:16:57par circuler partout.

01:16:59Elles nourrissent

01:17:00les faux SMS

01:17:00de l'assurance maladie

01:17:02sur le renouvellement

01:17:03de la carte vitale,

01:17:04les faux courriels

01:17:06des impôts

01:17:06promettant un remboursement,

01:17:08les faux conseillers bancaires

01:17:10et bien d'autres.

01:17:12L'hameçonnage est devenu

01:17:13la première menace

01:17:14pour les particuliers.

01:17:15Il a bondi de 70%

01:17:18en 2025

01:17:19et plus de 500 000 victimes

01:17:21ont dû demander

01:17:22de l'aide

01:17:23à cybermalveillance.gouv.fr.

01:17:27Alors derrière ces chiffres,

01:17:28il y a des retraités escroqués,

01:17:31des familles inquiètes,

01:17:32des citoyens

01:17:33qui ne savent plus

01:17:34à quel message se fier.

01:17:36Alors bien sûr,

01:17:37la France n'est pas seule.

01:17:38Cette semaine encore,

01:17:40les supermarchés

01:17:41de neuf pays

01:17:42de l'Union européenne

01:17:43ont eux aussi été attaqués

01:17:44et la menace

01:17:47ne connaît pas

01:17:47de frontières.

01:17:49C'est bien classique

01:17:51dans le numérique.

01:17:52Donc notre réponse

01:17:54doit être européenne.

01:17:56Alors cette réponse existe.

01:17:57L'Union européenne

01:17:58a adopté,

01:17:59vous l'avez tous dit,

01:18:01le 14 décembre 2022,

01:18:03REC,

01:18:04Nice 2,

01:18:04DORA,

01:18:06et nous devons transcrire

01:18:10ces propositions,

01:18:12ces lois européennes.

01:18:13Deux ans plus tard,

01:18:15nous y sommes à peine,

01:18:16autant dire que nous n'y sommes pas,

01:18:17que nous sommes en retard,

01:18:19mais je veux quand même

01:18:20remercier bien sûr

01:18:21la volonté du gouvernement

01:18:23de s'être enfin saisi

01:18:25de ce texte.

01:18:26Il était temps.

01:18:26Des milliers d'entreprises,

01:18:28d'administrations

01:18:29et de collectivités

01:18:30devront désormais

01:18:31se protéger,

01:18:32déclarer leur incident

01:18:33et rendre des comptes

01:18:34pour certains.

01:18:35Cette urgence

01:18:36explique aussi

01:18:37notre soutien

01:18:38à la suppression

01:18:38de l'article 16 bis.

01:18:40Nous partageons

01:18:41la conviction

01:18:42que le chiffrement

01:18:43protège les Français,

01:18:44mais sa rédaction

01:18:45est imprécise

01:18:46et elle fragilise

01:18:47nos services

01:18:48de renseignement

01:18:49et un débat

01:18:50aussi important

01:18:51mérite un texte

01:18:52à part

01:18:54mené avec

01:18:55nos partenaires européens

01:18:57plutôt qu'un article

01:18:58qui retarde encore

01:18:59la transposition.

01:19:01Transposer vite

01:19:02ne veut pas dire

01:19:03transposer un minima.

01:19:04Notre groupe

01:19:05a déposé

01:19:0611 amendements

01:19:07guidés par une même idée.

01:19:09Renforcer

01:19:10notre cybersécurité

01:19:11tout en gardant

01:19:12la maîtrise

01:19:13de nos dépendances

01:19:14technologiques.

01:19:16Nous proposons

01:19:17que l'exposition

01:19:18d'un fournisseur

01:19:19à une loi étrangère

01:19:20permettant d'accéder

01:19:22à nos données

01:19:22sans notre accord

01:19:24devienne un critère

01:19:25explicite de choix.

01:19:26Nous proposons

01:19:27le principe

01:19:28appliqué

01:19:29ou expliqué

01:19:30pour le recours

01:19:31aux logiciels

01:19:32propriétaires

01:19:32dans les systèmes

01:19:33critiques

01:19:34et une certification

01:19:35de l'ANSI

01:19:36accessible

01:19:37aux logiciels

01:19:38libres

01:19:39et à nos PME.

01:19:40Nous voulons aussi

01:19:41un texte effectif

01:19:42y compris pour l'État.

01:19:44Une entité attaquée

01:19:45doit pouvoir déclarer

01:19:46son incident

01:19:47une seule fois

01:19:48à l'ANSI

01:19:49qui transmettra

01:19:50à la CNIL

01:19:50et le secteur public

01:19:52s'il échappe

01:19:54aux amendes

01:19:54ne peut pas

01:19:55échapper aux sanctions

01:19:56si le gestionnaire

01:19:58est en défaut

01:20:00pour faute grave.

01:20:02Protéger

01:20:03les données

01:20:03des Français

01:20:04ne peut pas être

01:20:05une obligation

01:20:06sans conséquence.

01:20:07Enfin,

01:20:08nous voulons préparer

01:20:09nos territoires

01:20:10en intégrant

01:20:11le risque cyber

01:20:12au plan communaux

01:20:13de sauvegarde.

01:20:14Mes chers collègues,

01:20:15la cybersécurité

01:20:16n'est plus

01:20:16d'affaires d'experts.

01:20:18C'est la protection

01:20:19de nos données,

01:20:20de nos vies,

01:20:21la continuité

01:20:22de nos services publics

01:20:23et au fond,

01:20:24la confiance des Français

01:20:25dans leurs institutions.

01:20:27Le groupe

01:20:28Les Démocrates

01:20:28votera ce texte

01:20:29et appelle chacun

01:20:30à ne plus en retarder

01:20:32l'adoption.

01:20:33Je vous remercie.

01:20:35La parole est à monsieur

01:20:37Michel Castellani

01:20:38pour le groupe

01:20:39Libertin

01:20:39dépendant

01:20:39entre maires

01:20:40et territoires.

01:20:54Madame la Présidente,

01:20:56Madame la Ministre,

01:20:58Mesdames et Messieurs

01:20:58les rapporteurs,

01:20:59mes chers collègues,

01:21:00nous avons peu à peu

01:21:01confié au numérique

01:21:02une place considérable

01:21:03dans nos vies,

01:21:04dans le fonctionnement

01:21:05de nos entreprises,

01:21:06de nos services publics,

01:21:08de nos infrastructures,

01:21:09même les plus importantes.

01:21:10Nous avons pris le pli

01:21:11de considérer

01:21:13que ces services

01:21:13sont là

01:21:14et qu'ils continueront

01:21:15toujours de fonctionner.

01:21:17Sauf que ce n'est pas

01:21:19systématiquement

01:21:19le cas.

01:21:21La réalité

01:21:21est que sans protection

01:21:23suffisante,

01:21:24cette dépendance

01:21:25au numérique

01:21:25à son revers,

01:21:27c'est ce que nous rappellent

01:21:28donc les cyberattaques

01:21:30qui ont touché

01:21:30la DGFIP,

01:21:32l'éducation nationale,

01:21:33nos hôpitaux,

01:21:33encore récemment

01:21:34nos supermarchés.

01:21:35Cela a été dit

01:21:35à plusieurs reprises

01:21:36à cette tribune.

01:21:37C'est précisément

01:21:38ce qui rend ce projet

01:21:40de loi nécessaire

01:21:41pour faire face

01:21:42à cette menace

01:21:42en transposant

01:21:43trois directives européennes

01:21:44de 2022.

01:21:46Je dois dire,

01:21:47comme d'autres,

01:21:49que je ferai le reproche

01:21:51au gouvernement

01:21:51de n'avoir que

01:21:52trop tardé.

01:21:54Notre Parlement,

01:21:54lui,

01:21:55n'a pas attendu.

01:21:56Il y a plus d'un an,

01:21:56ce texte a été adopté

01:21:57en commission

01:21:58en pleine session extraordinaire.

01:21:59Je veux d'ailleurs

01:22:00à ce titre

01:22:01saluer le travail

01:22:02du président

01:22:02et des rapporteurs.

01:22:04Ce texte acte

01:22:05d'abord le passage

01:22:06à une logique

01:22:07de résilience

01:22:07en transposant

01:22:08la directive-règle

01:22:09qui concerne

01:22:10la protection

01:22:10de nos activités

01:22:12d'importance vitale.

01:22:14Nous ne partons pas

01:22:15de rien.

01:22:15Depuis 2006,

01:22:17la France a battu

01:22:18un dispositif national

01:22:19qui concerne

01:22:20300 opérateurs

01:22:21dans des secteurs

01:22:22aussi essentiels

01:22:22que l'énergie,

01:22:23les transports,

01:22:24l'eau.

01:22:24Ces opérateurs

01:22:25devront désorganiser

01:22:26pour moi établir

01:22:27un plan de résilience,

01:22:28identifier leur dépendance

01:22:30et notifier

01:22:30chaque incident.

01:22:31Notre groupe soutient

01:22:32ces exigences

01:22:34mais il faudra aussi

01:22:35laisser le temps

01:22:36de s'organiser.

01:22:37Je reviens

01:22:38à la directive

01:22:38NIS2

01:22:39et à la lutte

01:22:40contre la cybercriminalité.

01:22:42Près de 15 000

01:22:42entités publiques

01:22:43et privées

01:22:44dans 18 secteurs

01:22:45devront respecter

01:22:46un nouveau cadre commun

01:22:47de cybersécurité.

01:22:49Je veux insister

01:22:49sur la protection

01:22:50du tissu économique.

01:22:53Bien entendu,

01:22:54il faut un sursaut.

01:22:55Mais ce texte

01:22:56ne doit pas se résumer

01:22:57à une liste

01:22:58d'obligations

01:22:59assorties de sanctions

01:23:00face aux cyberattaques.

01:23:01L'État doit surtout

01:23:02sensibiliser,

01:23:03accompagner

01:23:04et aider

01:23:04nos entreprises.

01:23:05Du reste,

01:23:06il ne faut pas penser

01:23:07qu'aux grandes entreprises.

01:23:08Les petites

01:23:09sont des cibles

01:23:11faciles

01:23:12qui attirent

01:23:12les pirates.

01:23:14Je connais

01:23:14un peu la Corse.

01:23:15En Corse,

01:23:16les TPE

01:23:17et les PME

01:23:17représentent

01:23:18près de 90%

01:23:19du tissu économique

01:23:20et nous connaissons

01:23:21cette menace

01:23:22puisque le centre

01:23:23de réponse

01:23:23aux incidents cyber

01:23:24de la collectivité

01:23:25de Corse

01:23:25qui s'appelle

01:23:26le CyberCourse

01:23:27a déjà accompagné

01:23:28de soixantaines

01:23:29d'entreprises

01:23:29victimes d'attaques.

01:23:31D'ailleurs,

01:23:31ce chiffre,

01:23:32il y a des entreprises

01:23:33qui voient leur activité

01:23:34s'arrêter

01:23:35avec un risque

01:23:36de faillite.

01:23:36On sait que tout ça

01:23:37ne peut pas être bon,

01:23:38bien entendu.

01:23:39La même vigilance

01:23:40s'impose pour nos territoires

01:23:42puisque ce texte

01:23:43concerne 1500 collectivités.

01:23:45Un changement

01:23:46qui sera un véritable défi

01:23:48à mettre en œuvre

01:23:48sur le terrain,

01:23:49notre groupe appelle

01:23:50à un accompagnement

01:23:51dédié

01:23:52pour les élus locaux.

01:23:54Il faut aussi

01:23:55que l'Agence nationale

01:23:57de sécurité

01:23:57joue son rôle

01:23:58de chef de file

01:23:59et assure un accompagnement

01:24:00clair et unifié.

01:24:01Reste enfin

01:24:02l'article 16 bis

01:24:04qui concentre

01:24:05l'essentiel

01:24:06des tensions

01:24:07et porte sur la sécurité

01:24:08de nos échanges

01:24:09sur les messageries cryptées

01:24:10WhatsApp

01:24:11et signal

01:24:12ou Telegram.

01:24:13Concrètement,

01:24:14il interdit

01:24:15à l'État

01:24:16d'obliger

01:24:17ces plateformes

01:24:18à créer des portes

01:24:19dérobées,

01:24:20autrement dit

01:24:21un accès caché

01:24:22à nos conversations

01:24:23qui fragiliserait

01:24:24le chiffrement.

01:24:25Ce débat est délicat.

01:24:26D'un côté,

01:24:27personne ne souhaite

01:24:28que ces données

01:24:29puissent être accessibles

01:24:30à notre insu.

01:24:31Le chiffrement

01:24:32protège

01:24:33nos échanges personnels

01:24:34mais aussi

01:24:35les informations sensibles

01:24:36de nos entreprises

01:24:37et des administrations.

01:24:39De l'autre,

01:24:40j'entends

01:24:41les enjeux

01:24:41pour notre sécurité

01:24:42collective.

01:24:44Le rapport

01:24:44du président

01:24:45Boudier

01:24:45propose un équilibre

01:24:47pour ne pas

01:24:47opposer

01:24:48ces deux exigences.

01:24:49Il appelle

01:24:49à renforcer

01:24:50la coopération

01:24:50des plateformes

01:24:51mais demande

01:24:52aussi

01:24:53de ne pas

01:24:54fragiliser

01:24:54le chiffrement

01:24:55au détriment

01:24:56des utilisateurs.

01:24:58J'appelle

01:24:58le gouvernement

01:24:58d'ailleurs

01:24:59à se saisir

01:24:59de ses recommandations

01:25:01étant personnellement

01:25:02toujours très réservé

01:25:04devant ceux qui,

01:25:05de près ou de loin,

01:25:05peu ou prou,

01:25:07restreint

01:25:07le périmètre

01:25:08de nos libertés

01:25:09individuelles.

01:25:11Voilà,

01:25:11Madame la Ministre,

01:25:12je vous ai fait part

01:25:13de nos réserves.

01:25:13et ne doivent toutefois

01:25:15pas nous faire perdre

01:25:16de vue.

01:25:17L'essentiel,

01:25:18face aux cyberattaques,

01:25:20notre groupe votera

01:25:21pour ce projet de loi

01:25:22afin de protéger

01:25:24nos entreprises,

01:25:25nos services publics

01:25:26et nos concitoyens.

01:25:27Je vous remercie.

01:25:30Je vous remercie.

01:25:32La discussion générale

01:25:33est close.

01:25:34Voilà pour le début

01:25:35de l'examen

01:25:35du projet de loi

01:25:36sur la cybersécurité.

01:25:38A très bientôt

01:25:39sur LCP.

La séance est ouverte ! - Cybersécurité : début de l'examen dans l'hémicycle - 09/11/2026

Catégorie

Transcription

Recommandations