Rémi Cardon

Amendement COM-22 — Résilience des infrastructures critiques et renforcement de la cybersécurité

Référence : COM-22

Acte observé : Cosignataire

État officiel : Satisfait ou sans objet

Encadrement et proportionnalité des sanctions L’article 33 autorise l’ANSSI à suspendre des certifications ou des autorisations accordées à une entité essentielle, lorsque celle-ci n’apporte pas à temps la preuve qu’elle s’est conformée à une mesure d’exécution que l’Agence lui a imposée. La portée des certifications et autorisations concernées n'est pas définie de sorte qu'elles peuvent ne présenter aucun lien avec la sécurité numérique. La suspension peut avoir pour conséquence directe l’interruption des activités de l’entité, ce qui emporterait des pertes manifestement disproportionnées. Ce régime exorbitant est d’autant plus problématique qu’il n’est entouré d’aucune garantie. Cet amendement, déposé en lien avec la FedeZer, propose d’encadrer ce dispositif en prévoyant que la suspension ne pourra porter que sur les autorisations et certifications concernant à titre principal la sécurité numérique et sera décidée sur avis conforme de la commission de sanctions.

Amendement COM-18 — Résilience des infrastructures critiques et renforcement de la cybersécurité

Référence : COM-18

Acte observé : Cosignataire

État officiel : Rejeté

Secteurs d'activité concernés : renvoi aux activités strictement énumérées par la directive NIS2 L'article 7 prévoit que la liste des secteurs d'activité critiques et hautement critiques pour le fonctionnement de l'économie et de la société est fixée par décret en Conseil d'État. Comme l'ont souligné plusieurs acteurs, et dans un souci d'éviter toute surtransposition, cet amendement propose de renvoyer aux activités énumérées dans les annexes de la directive NIS2 : annexe I pour les secteurs hautement critiques et annexe II pour les autres secteurs critiques.

Amendement COM-40 — Résilience des infrastructures critiques et renforcement de la cybersécurité

Référence : COM-40

Acte observé : Cosignataire

État officiel : Retiré

Article 1er (Art. L. 1332-6) Le présent amendement du groupe SER prévoit que le décret d’application relatif aux enquêtes administratives de sécurité préalable à l’accès physique ou à distance des points d’importance vitale et aux systèmes d’information d’importance vitale soit pris après avis de la Commission nationale de l'informatique et des libertés (CNIL). Cette précision est nécessaire dès lors que les enquêtes administratives vont porter sur un champ plus large que le cadre en vigueur et qu’elles peuvent donner lieu à la consultation du bulletin n° 2 du casier judiciaire ainsi que des traitements automatisés de données à caractère personnel relevant de l'article 26 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.

Amendement COM-39 — Résilience des infrastructures critiques et renforcement de la cybersécurité

Référence : COM-39

Acte observé : Cosignataire

État officiel : Retiré

Article 1er (Art. L. 1332-5) La directive européenne sur la résilience des entités critiques (REC) du 14 décembre 2022 consacre le passage d'une logique de protection d'infrastructures critiques physiques à une logique de résilience des entités critiques. Les opérateurs dont un ou plusieurs points d’importance vitale sont désignés ne sont plus seulement tenus de protéger leurs installations et matériels. Ils sont tenus de s'assurer de la résilience de l'activité pour laquelle ils ont été désignés. Dans le cadre de la transposition, le présent amendement du groupe SER juge opportun de prendre en compte au niveau législatif la définition du « plan particulier de résilience », qui figure expressément dans la directive, et qui n'existe pas dans le dispositif actuel.

Amendement COM-14 — Résilience des infrastructures critiques et renforcement de la cybersécurité

Référence : COM-14

Acte observé : Cosignataire

État officiel : Satisfait ou sans objet

Proportionnalités des mesures prescrites par l'ANSSI Lorsqu'elle a connaissance d'une menace susceptible de porter atteinte à la sécurité des systèmes d'information, l'ANSSI peut prescrire les mesures nécessaires, notamment pour éviter un incident ou y remédier, ainsi que les délais pour mettre en œuvre ces mesures et en rendre compte. Conformément à l'esprit de l'article 21 de la directive NIS2, cet amendement, déposé en lien avec la FedeRez, propose de préciser que les mesures prises sont adaptées et proportionnées.

Amendement COM-20 — Résilience des infrastructures critiques et renforcement de la cybersécurité

Référence : COM-20

Acte observé : Cosignataire

État officiel : Adopté

Transmission de données personnelles à l'ANSSI : prévoir l'avis préalable de la CNIL Les entités essentielles, entités importantes et bureaux d’enregistrement seront tenus de transmettre à l’ANSSI certaines données à caractère personnel, telles que l’identité et les coordonnées de leurs responsables. Afin d’encadrer au mieux cette transmission, cet amendement, déposé en lien avec la FedeZer, propose que la CNIL soit saisie pour avis sur le projet de décret en Conseil d’État définissant les informations à transmettre.

Amendement COM-34 — Résilience des infrastructures critiques et renforcement de la cybersécurité

Référence : COM-34

Acte observé : Cosignataire

État officiel : Rejeté

Article 1er (Art. L. 1332-2) Le présent amendement du groupe SER entend poursuivre la clarification sur la compatibilité de la notion d’opérateurs d’importance vitale (OIV) avec celle d’entité critique au sens de la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques (REC). Dans son considérant 5, la directive REC souligne les interdépendances croissantes entre les infrastructures et les secteurs. Elles sont le résultat d’un réseau de fourniture de services de plus en plus transfrontière et intégré. Si notre dispositif actuel de sécurité des activités d’importance vitale a déjà identifié les secteurs d’activités indispensables pour la continuité de la Nation et les autorités administratives chargée de les superviser, il convient de saisir l’opportunité offerte par l’examen du présent projet de loi relatif à la résilience des infrastructures critiques pour mettre à jour et préciser dans la loi notre modèle en vigueur e

Amendement COM-48 — Résilience des infrastructures critiques et renforcement de la cybersécurité

Référence : COM-48

Acte observé : Cosignataire

Amendement COM-30 — Résilience des infrastructures critiques et renforcement de la cybersécurité

Référence : COM-30

Acte observé : Cosignataire

État officiel : Rejeté

Créer un comité de suivi pour associer les représentants de la filière cyber et les représentants des entités concernées à la rédaction du référentiel d’exigences techniques et organisationnelles Cet amendement vise à créer un comité de suivi afin d’associer les représentants de la filière cyber et les représentants des entités concernées à l’élaboration du référentiel d’exigences techniques pour la conformité à NIS2 prévu à l’article 14 du projet de loi. Ce référentiel est essentiel car il déterminera quel type de technologie cyber est adapté pour la protection des entités assujetties pour se mettre en conformité avec NIS2. Sa rédaction est renvoyée à un décret en Conseil d’État, sans autre précision. Cet amendement propose que la rédaction et les futures modifications de ce référentiel se fassent dans un cadre de concertation rassemblant, aux côtés de l’ANSSI, les organisations professionnelles et syndicales du secteur (Alliance pour la confiance numérique, Medef, CPME…), des membres

Amendement COM-25 — Résilience des infrastructures critiques et renforcement de la cybersécurité

Référence : COM-25

Acte observé : Cosignataire

État officiel : Satisfait ou sans objet

Tenir compte de la bonne foi de l'entité dans l'application des sanctions L’article 28 prévoit des sanctions lorsqu’une entité fait obstacle aux demandes d’informations de l’ANSSI, ou en cas de fourniture de renseignements incomplets. La situation inhérente à une crise cyber ne permet pas toujours à une entité de fournir l’ensemble des informations requises dans les délais impartis, sans pour autant que sa bonne foi ne puisse être remise en cause. Cet amendement, déposé en lien avec Numeum, propose par conséquent d’introduire un critère d’intention dans la sanction administrative au bénéfice des entités agissant de bonne foi. Il propose également de reproduire une disposition issue de l’article 33 du RGPD sur la transmission progressive des informations en fonction de la disponibilité de celles-ci.

Amendement COM-29 — Résilience des infrastructures critiques et renforcement de la cybersécurité

Référence : COM-29

Acte observé : Cosignataire

État officiel : Rejeté

Introduire un objectif de souveraineté dans la mise en œuvre de la directive NIS2 Pour garantir notre autonomie stratégique il est essentiel pour répondre aux enjeux de sécurité nationale mais aussi de développement économique. Cela exige une protection renforcée face aux risques et aux menaces que les législations extra-territoriales, notamment extra-communautaires, font peser sur nos infrastructures et nos données dites sensibles. Cet amendement propose d'intégrer un objectif de souveraineté et d’autonomie stratégique en matière de cybersécurité, favorisant ainsi le recours de solutions françaises ou européennes souveraines, au titre des mesures de renforcement du niveau de sécurité.

Amendement COM-46 — Résilience des infrastructures critiques et renforcement de la cybersécurité

Référence : COM-46

Acte observé : Cosignataire

État officiel : Retiré

L’article 5 du projet de loi vise à transposer les mesures issues de l'article 8 de la directive 2022/2555 dite « NIS 2 », en ce qui concerne la désignation de l'autorité nationale de sécurité des systèmes d'information et sa compétence pour contrôler la mise en œuvre de la directive. Le présent amendement du groupe SER entend introduire dès cet article un alinéa préliminaire ayant pour but de réaffirmer que les missions de l’autorité nationale de sécurité des systèmes d’information sont duales puisqu’elles relèvent à la fois de la sécurité des systèmes d’information et de la défense des systèmes d’information, cette dernière étant déjà définie par l’article L. 2321-1 du code de la défense. En effet, il est nécessaire d’avoir à l’esprit, dès le début de cette disposition qui ouvre le titre II « cybersécurité », que les notions de cybersécurité et de cyberdéfense présentent un lien d'interdépendance sans qu'elles ne recouvrent des périmètres identiques. Cette architecture étant claireme

Amendement COM-42 — Résilience des infrastructures critiques et renforcement de la cybersécurité

Référence : COM-42

Acte observé : Cosignataire

État officiel : Adopté

Article 1er (Art. L. 1332-8) L'opérateur d'importance vitale relevant de la catégorie d'entité critique au niveau européen doit assurer une activité d'importance vitale et fournir des services essentiels au sens de la directive REC. Or, la définition des entités considérées comme critiques au niveau européen prévue par l’article 17 de la directive est plus large que celle retenue par le projet de loi. Elle prévoit que l'entité doit fournir les mêmes services essentiels ou des services essentiels similaires « à ou dans six États membres ou plus ». Le respect de cette définition en droit interne est important car cette nouvelle catégorie d’entité se voient imposer des obligations supplémentaires par la directive REC et impose l'obligation pour l’autorité administrative de notifier son existence à la Commission européenne. C’est la raison pour laquelle le présent amendement du groupe SER propose de reprendre in extenso la définition figurant dans la directive afin de mieux articuler le dr

Amendement COM-32 — Résilience des infrastructures critiques et renforcement de la cybersécurité

Référence : COM-32

Acte observé : Cosignataire

État officiel : Rejeté

Article 1er (Art. L. 1332-2) La notification à l'opérateur de l'intention de le désigner opérateur d’importance vitale (OIV) doit être l'occasion d'une concertation entre l'autorité administrative (ministre coordonnateur ou préfet de département selon le cas) et l'opérateur concerné. Le principe de cette concertation est prévu dans la partie règlementaire du code de la défense. Le présent amendement du groupe SER envisage de le consacrer dans la loi en raison des implications que la désignation d’OIV entraîne. La concertation préalable est d’autant plus déterminante qu’elle repose sur l’examen de plusieurs facteurs : taille de l'opérateur, allant de la TPE au grand groupe ; secteur d'activité concerné ; probabilité d'occurrence et gravité des risques identifiés. Par ailleurs, la systématisation de la prise en compte de la continuité d'activité pour satisfaire au critère de résilience inscrit dans la directive va engendrer des coûts supplémentaires pour l’opérateur. Il en ira de même po

Amendement COM-15 — Résilience des infrastructures critiques et renforcement de la cybersécurité

Référence : COM-15

Acte observé : Cosignataire

État officiel : Retiré

Précision de la proportionnalité des mesures de gestion du risque cyber L’article 14 prévoit les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées à prendre pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d'information. Cet amendement, déposé en lien avec la FedeRez propose, selon les termes de l'article 21 de la directive NIS2, de préciser les critères d'évaluation de la proportionnalité des mesures en ajoutant qu'il sera tenu compte du degré d’exposition de l’entité aux risques, de sa taille et de la probabilité de survenance d’incidents et de leur gravité, y compris leurs conséquences sociétales et économiques.

Texte parlementaire 384

Référence : 384

Acte observé : Cosigner

1

Suspension des travaux en séance plénière

Acte observé : Participant

Délégation sénatoriale à la prospective - Examen du rapport "IA et environnement"

Acte observé : Participant

Séance plénière - Questions d'actualité au gouvernement

Acte observé : Participant

Commission des affaires économiques - Examen rapports+textes

Acte observé : Participant