Cybersécurité : les enjeux pour les entreprises

mes chers collègues mesdames messieurs c'est avec un grand plaisir que j'ouvre aujourd'hui le cycle des auditions qui seront consacrées au projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité je rappelle que notre commission spéciale est s'est constituée le 12 novembre dernier pour examiner le texte qui vise la transposition de trois directives différentes la résilience la pardon la directive sur la résilience des entités critiques ditrec la directive concernant des mesures destiné à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union dite Nice 2 et la directive qui concerne la résilience opérationnel numérique du secteur financier dite d'ora cette transposition devait intervenir avant le 17 octobre de cette année mais dans le contexte annuel actuel pardon ce n'est pas la seule loi qui connaît du retard malgré tout il y a une vraie attente des entreprises sur les nouveaux objectifs de cybersécurité et les nouvelles obligations que prendront qui pèseront sur les entreprise c'est pourquoi je remercie le Mouvement des Entreprises de France le medf et la conféraation des PME la CPME d'avoir répondu à notre invitation pour partager leur point de vue sur le projet de loi et l'impact de cette transposition ainsi que le cas échéant vos propositions nous pourrons ainsi relayer vos préoccupations notamment au directeur général de l'an que nous entendrons juste après l'UDP la f nous ont fait savoir que leur position nétant pas encore arrêté qu'elle nous adresserait ultérieurement un courrier pour le MEF nous nous accueillons madame Maxens de Merley directrice du numérique monsieur Maxime foret chargé de mission senior Paul affaires publi et Madame Mathilde briillard chargée de mission économique numérique pour la CPME nous accueillons madame France charuyer membre de la commission numérique Monsieur Lionel vigau directeur des affaires économiques juridiques et fiscal Monsieur Jérôme normand économiste monsieur Adrien Dufour responsable des affaires publiques mesdames messieurs avant de vous céder la parole je rappelle à tous que cette audition fait l'objet d'une captation vidéo qui retransmise sur le site internet du Sénat puis consultable en vidéo à la demande je vous propose pour ouvrir cette table ronde que chaque organisation nous présente leur position sur le texte puis je donnerai la parole à chacun des rapporteurs alors oui monsieur Patrick chaise qui est à côté de moi et Monsieur huxori Michel canevette que nous attendons puis à ceux de nos collègues qui le souhaitent pour poser leurs questions avant de vous céder la la parole nous avons inauguré ce matin le 17 cyber et il a été annoncé que plus de 60 % des entreprises ne sont pas conscientes d'être sujettes au risquees numériques aujourd'hui donc c'est une information que je voulais partager avec vous avant de vous que vous laisser démarrer nous sommes nous passons la parole madame de Merl merci monsieur le Président messieurs les sénateurs mesdames les sénatrices est-ce que vous pouvez m'indiquer déjà combien de temps vous m'accordez pour cette première prise propos liminire il faut impérativement que nous ayons nous fini à 16h30 à 17h pardon 17h parce qu'à 17h un petit peu avant parce que parce queà 17h on a l'audition suiv vente donc je pense que si 10 minutes ça vous convient très bien je vous remercie infiniment euh tout d'abord j'allais vous me voler si je puis me le permettre mon introduction puisqueeffectivement aujourd'hui 17 décembre c'est la mise en place du 17 cyber qui fait partie des outils extrêmement pratiques et que nous appelions nos vœux donc nous l'attendions au MDF puisque nous collaborions déjà et nous collaborons aussi avec la CPME d'ailleurs avec cyber malveillance qui avait déjà mis en place une plateforme qui était fonctionnel sur notre site Internet et donc nous sommes très heureux de voir cette plateforme muer et se transformer en 17 cyber donc je reviens juste sur le sur le MF très très brièvement nous sommes une organisation qui regroupons 101 fédération de tout secteur d'activité et donc nous regroupons aussi des entreprises de tout secteur et de toute taille nous avons aussi 120 représentations dans les territoires ce qui nous permet effectivement d'être au contact d'entreprises les plus diverses nous avons actuellement un tour de France de liard je me permet de le citer euh ici puisque ça nous permet de rencontrer énormément de chefs d'entreprises qui globalement s'intéressent ont envie de comprendre notre économie qui est numérique aujourd'hui et nous permettons aussi de remonter des cas d'usage et des exemples mais aussi quelquefois malheureusement des incidents cyber qui leur arrivent très souvent cela peut-être aussi bien des choses assez sophistiquées teles que effectivement des Ranong iiciel ou des arnacosprésidents qui parfois utilisent de l'IA et ou des deep fake et donc nous avons aujourd'hui dans les entreprises des cas qui commencent à s'opérer de prise de position dans des visioconférences par exemple donc un dirigeant apparaît alors que ce n'est pas lui donc ces cas de cyber menace ou de d'insécurité cyber ce se multiplie et vous avez raison de le dire beaucoup d'entreprises n'ont pas conscience de cette menace hélas les chiffres montrent que celle-ci augmente et sans doute l'ANC qui prendra notre suite pourra le rappeler je cite juste un tout petit chiffrees qui me semblait être intéressant de relever c'est que le parquet de Paris a couvert plus de 512 nouvelles enquêtes en 2023 soit plus de 22 % par rapport à l'année précédente et l'ENISA dans son rapport annuel sur les cybermenaces signale également que un des plus grands acteurs du ransongiciiciel en Europe sur la période donc de 2023 qui s'appelle logbit 3 a attaqué l'Europe à 57 % et a fait de la France SA deuxème cible mondiale après les États-Unis donc malheureusement la France est sur le podium des pays les plus menacés car le numérique c'est pas seulement technologique c'est politique et donc c'est pour ça que nous sommes très heureux d'être devant vous et de parler à la représentation nationale pour parler des moyens législatifs que nous pouvons prendre comme en commun pour nous protéger et augmenter notre Cyb sécurité et notre cyberrésilience alors nous accueillons avec bien sûr un esprit positif et constructif cette législation d'abord pour rappeler que le meddef'était déjà beaucoup impliqué dans la transposition de la directive Nice 1 et que c'était un sujet qui nous avait occupé et qui m'a occupé d'ailleurs personnellement dans des fonctions précédentes avec une grande difficulté de faire prendre conscience aux secteurs concernés déjà qu'ils étaient dans le périmètre de l'application de la directive Nice 1 nous voilà assez peu de temps après finalement au regard du calendrier j'allais dire moins de 10 ans après dans une version 2 de cette directive avec un élargissement extrêmement important du nombre de secteurs concernés et donc d'entreprises je sais qu'il y a un chiffrage qui a été approximativement énoncé par l'any c'est quand même une multiplication par un facteur important d'entreprises concernées au vu des difficultés que nous avons rencontré pour euh j'allais dire pas convertir c'est pas le bon mot mais persuader les entreprises de l'intérêt de se préoccuper de leur cybersécurité nous voyons aussi une forme d'evverest à franchir dans ce nouveau périmètre d'une part parce que et je rentre dans le vif du sujet avec cela nous avons une difficulté pour établir le périmètre exact où les entreprises avec qui nous discutons ont des difficultés pour estimer si elles sont ou pas dans le périmètre tout d'abord parce que la définition des entités importantes et essentielles nous semble devoir être un petit peu précisé en effet sur les seuils d'application on a dans le projet de loi qui vous est proposé un caractère altern alternatif et non cumulatif des seuils donc nous aimerions dans les articles 8 et 9 effectivement nous remettre en en coordonnance avec la directive alors pourquoi c'est un point par lequel on souhaite commencer puisqu'on a eu quand même beaucoup et je pense que Madame Brière a mes côté pourra le confirmer d'appel d'entreprise ou de fédération pour nous demander à partir de quand elles étaient concernées et si leur seuil leur les obligerit à se préoccuper du texte donc effectivement euh pour les ee on dit au moins 250 personnes et avec un chiffre d'affaires de 50 millions donc nous voulons insister sur le fait que ce n'est pas ou mais et et la même chose pour les entre pour les entités importantes euh donc il nous semble aussi que euh cette cette recommandation est d'autant plus importante que derrière l'any doit établir une liste de ces ee et ei sous sur base nous dit l'article 12 effectivement des déclarations ça sera très important effectivement pour que cette liste soit complx et qu'on sache effectivement si on est redevable des obligations qui sont dans la directive si on rentre ou pas reste aussi un sujet sur les secteurs qui sont énumérés dans dans dans le texte certaines entités sont venues vers nous avec un fort doute et donc on a besoin de clarification et d'accompagnement peut-être que ça c'est quelque chose qu'on pourrait prévoir aussi peut-être dans la mise en œuvre euh comment est-ce que l'anti peut accompagner les entreprises pour qui ont du mal à déterminer si ell rentrent ou pas euh dans l'application la directive donc ça c'était effectivement un point que on souhaitait mettre en avant principalement euh ensuite euh il y a un principe de proportionnalité qui nous semble aussi très important entre ces entités essentielles et importantes donc là pour le coup nous nous sommes satisfaits de voir cette proportionnalité respectée dans le projet de loi nous aimerions aussi que cette proportionnalité soit également répercutée dans les attendus ces entreprises euh essentielles ou importantes je me tourne surtout vers celles qui sont jugées euh j'allais dire importante qui est effectivement comme l'adjectif le désigne non négligeable donc c'est une la palalissade mais 50 personnes avec un chiffre d'affaires qui ou un bilan qui excède de 10 millions d'euros une entité jeis dire moyenne qui nous appelle jeallis direah quasiment quotidiennement peut relever de cette importance là or dans une enquête que nous avons fait avec la CPME et cyber malveillance nous nous voyons que les entités les plus petites ont souvent très peu de budget donc quand quand les mesures techniques et opérationnelles et organisationnelles qui sont cité dans l'article 14 devront être prises nous aimerions effectivement que l'évaluation qui sera faite par l'any garde une forme de proportionnalité aussi c'està dire qu'effectivement il y a une obligation vis-à-vis des dirigeants de formation de mise en place d'une gouvernance de la cybersécurité pour des entreprises de cette taille- làà ça reste quand même quelque chose de nouveau beaucoup n'ont pas forcément un DSI en tant que tel et si elles en ont un peut être externalisé euh c'est un sujet en fait qui se ren compre dans beaucoup d'entreprises donc ces obligations effectivement j'allais dire c'est une obligation de moyen certes mais néanmoins l'évaluation qui sera en faite par par lany devrait rester proportionnelle d'ailleurs euh sur ce sujet on s'interroge peut-être que ça mélange un petit peu les sujets mais on est toujours dans le champ d'application pour les entreprises qui s'est désigné par le Premier ministre donc euh à l'article 10 du projet de loi euh nous aimerions savoir s'il y a une procédure de recours qui est possible et ou une forme de contradictoire qui soit possible de d'instaurer sur ce sujet et notamment si la taille de l'entreprise bien qu'elle soit et on peut très bien comprendre que des entreprises y compris petites soit par leur technicité ou leur niveau d'innovation particulièrement sensible néanmoins ça serait intéressant qu'ell puisse pouvoir qu'ell puisse prévoir qu'on puisse prévoir une procédure pour qu'elle puisse en discuter euh j'aimerais aussi insister sur les délais on en a beaucoup parlé on en avait parlé lors de notre audition à la csnp aussi c'est vrai que c'est un alors là pour le coup quelque chose qui n'est pas dans le texte de loi sur la la mise en œuvre quel délai on donne aux entreprises pour se mettre en conformité ça c'est quelque chose qu'on aimerait aussi voir peut-être si ce n'est précisé dans le texte si c'est impossible à faire mais au moins que ça soit évoqué dans les débats parlementaire puisque il nous semble à tout le moins qu'une période transitoire de 3 ans comme on l'avait eu pour Nissa donc c'est pas un délai qu'on tire de notre chapeau serait nécessaire pour que les entreprises puissent rentrer euh jeis dire dans une démarche de procédure de mise en œuvre des dispositifs alors pourquoi d'abord parce que effectivement pour savoir exactement quelle mesure technique et organisationnell ou les formations qu'elles doivent organiser ben il faut effectivement avoir j'allais dire les textes réglementaire pour bien comprendre les obligations qui sont attendues d'elle pouvoir éventuellement mettre un chiffre budgétaire en face et donc le prévoir dans la vie j'allais dire financière de l'entreprise à tout le moins il faut pouvoir le prévoir à l'année N pour l'année n + 1 + 2 donc ça ça nous semble être tout à fait cohérent dans l'enquête faite avec cyber malveillance on avait noté que dans les entreprises de très petite taille donc ça fait un référentiel qui est pas forcément juste pour ces entitésl mais le budget informatique est entre 2000 et 3000 € par an donc ça c'est pour les entreprises de moins de 10 si ma mémoire est bonne sur l'enquête qu'on avait faite ça c'est tout compris donc c'est le matériel c'est c'est c'est tout donc pour une entreprise de plus de 50 personnes et qui a un chiffre d'affaires déjà plus important on peut espérer que ce montant soit supérieur mais la cybersécurité à l'intérieur du budget je me souviens qu'on interrogé précédemment le le précédent directeur général de Lan sur ce sujet il sur un budget informatique il faut au moins que la cybersécurité soit entre 10 et 15 % du budget donc évidemment par proportion si on prend 5000 ça fait pas beaucoup donc donc on a besoin d'un petit peu de temps pour mettre pour mettre un petit peu de je vaux dire de de clarification et de planification surtout dans ce cadre-là plus généralement sur le projet de loi et aussi je pourrais répondre bien sûr avec mes collègues à à vos questions on aurait besoin aussi de mieux comprendre à l'article 11 comment s'applique la directive sur les groupes de société il se trouve quand même au MDEF nous avons des ta des entreprises de taille intermédiaire puisque la moyenne de nos adhérant ont 47 salariés donc on n'est pas très loin du seuil là de mise en œuvre mais on a aussi beaucoup d'entreprises qui sont inst aller sur plusieurs territoires et on aurait mieux besoin de mieux comprendre effectivement l'article 11 parce que l'article 11 il y a un premier paragraphe qui cite alors je vais le reprendre sous les yeux pour essayer de pas dire de bêtises pendant que je vous parle les entités essentielles et les entités importantes sont régies par les dispositions donc du présent titre donc le titre 2 sur la cybersécurité premièrement quand elles sont établies sur le territoire national voilà donc donc la notion d'établissement n'est pas évidente ça veut dire que c'est pas forcément le siège et si elles ont elles-mêmes des filiales et au grand 3 du même texte on nous dit pour l'application des dispositions 1 donc celle que je viens de citer et de l'établissement principal s'entend du lieu où sont principalement prises les décisions relatives aux mesures de gestion des risques en matière de cybersécurité mais en fait nulle part il a été fait référence à un établissement principal dans le petit 1 du Grand 1 donc on a besoin de clarification de savoir effectivement quand le texte s'applique sur une entité qui est présente en France est-ce que c'est parce que c'est son établissement principal ou pas ou simplement parce que cet établissement dépasse 50 salariés et le chiffre d'affaires désigné pour être ei ou E et ou est-ce que ça veut dire que c'est cette entité si elle est principale qui relève effectivement du gen d'application de la directive en France et et donc par extension les entités qui lui rapportent devront également respecter y compris dans les autres prays même s'ils ont pas le seuil la loi française donc voilà c'est petit c'est peut-être des petits points de détail mais on a quand même pas mal d'entreprises qui étant un peu étendu sur d'autres territoires européens elles ont besoin de mieux comprendre comment ça s'applique y compris aussi dans la situation où dans un même groupe des filales peuvent répondre à la qualification d'entité essentielle et ou importantes et où si elles répondent à un secteur visé ou pas donc ça c'est des cas un peu spécifiques mais on peut avoir des entreprises qui ont des activités civil et militaire dual certaines vont répondre à un secteur qui répond des 18 secteurs euh ou ou non donc sur le champ d'application ça c'est bon c'est à peu près tout ce que je voulais dire je surveille l'heure euh sur la notion d'incident ça c'est l'article 17 effectivement la notion d'incident important est un critère majeur de d'enclenchement ou pas de certaines choses dans le texte donc nous souhaiterions beaucoup que soit précisée cette notion d'incident important euh alors l'incident il a été notamment déterminé dans un un acte d'exécution c'est ça Mathilde qui vient d'être pris pour les entreprises de servicees numérique nous aimerions qu'en fait on se réfèire à cet acte d'exécution notamment enfin qu'on se réfère c'estd que les critères de l'acte d'exécution servent de base pour déterminer ce que c'est qu'un incident important dans un esprit d'harmonisation puisque ça c'est un sujet majeur pour nous puisque il y a un vrai sujet de élever le niveau niveau de cybersécurité des entreprises en France et en Europe de ne pas créer de distorsion en fait d'un pays à un autre pour pas donner l'impression qu'on puisse faire du cyber shopping euh il y a pas de paradis de la cyber en Europe donc c'est vraiment important que tous les pays soient sur un pied d'égalité vis-à-vis de cette transposition et on a aussi un objectif sous-jacent je pense et en tout cas nous entité économique on peut pas dire le contraire d'avoir aussi un marché de la cyber qui puisse être à la portée de nos entreprises on a la chance d'avoir en France beaucoup d'entreprises spécialisé dans la cybersécurité qui avec un texte harmonisé pourrait atteindre un marché d'une taille critique et c'est pour ça que nous appelons nos vœux à une transposition la plus harmonisée et la moins créatrice de nouvelles obligations possibles et enfin je vais terminer parce que je veux pas monopoliser la parole avec quelques questions autour de l'entité national qui va être donc désigné par l'article 5 euh donc l'entité de mise en œuvre et de contrôle euh de ce texte j'ai je je me dis bien sûr Lancy puisqueil s'agit d'Elle euh nous aimerions et je ne sais pas comment le faire en tout cas dans le texte mais peut-être que ça serait intéressant de réfléchir cette entité qui a une technicité extraordinaire et qui bien sûr je pense a contribué à faire de la France un pays le plus sécurisé possible alors que c'est une cible majeure comment cette entité peut accompagner la j'allis dire cette marche vers une meilleure cybersécurité des des entités dans une mesure où aujourd'hui finalement c'est un service du Premier ministre placé sous le secrétariat général de la Défense nationale est-ce que euh je pose la question peut-être naïvement mais est-ce que c'est correct en fait d'une certaine manière que l'entité soit ainsi positionné ce qui était tout à fait logique dans le cadre des missions précédentes qui était la cybersécurité des systèmes d'information de l'État est-ce qu'elle a les moyens j'ai cru comprendre que dans le bleu budgétaire qui n'est pas advenu puisque la loi de finances voilà n'avait pas forcément des moyens supplémentaires alors M même qu'elle va certainement en avoir besoin et enfin dans sa gouvernance est-ce qu'il est possible d'imaginer que des représentants des acteurs économiques puissent être intégré dans une forme de gouvernance qui aujourd'hui contrairement à d'autres autorités de régulation du numérique comme l'ARSEP comme l'acnil qui ont des collèges aujourd'hui est inexistante donc est-ce que je ne sais pas peut-être dans une mission complémentaire sur la manière de fonctionner lany par rapport à la mise en œuvre de ce texte des réflexions pourraient être ouvertes et on remarque par ailleurs et nous avons très Bones relation en région avec les délégués de l'entil mais ils ne sont quand même pas très nombreux les entreprises sont partout en France puisque je disais en introduction que nousonss un tour de France de l'a et que nous rencontrions beaucoup d'entreprises qui sont très numériques et tant mieux pour nous pour notre économie comment fait-on pour accompagner ces entreprises au plus près euh il y a rien sur les 6S dans le texte c'est vrai que ils peuvent aider c'est des entités mises en place par les régions qui sont souvent de très bonne qualité mais qui là aussi en fait finalement n'ont peut-être pas non plus des moyens euh je vais dire démesurés et et l'articulation avec cybermalveillance n'est pas tellement mise en œuvre et c'est un peu dommage parce que cybermalveillance pour moi c'est euh le meilleur exemple qu'on est de partenariat public privé réussi pour faire augmenter le niveau de cybersécurité donc c'est contre personne mais je pense queavevec l'aide de chacun ça pourrait marcher voilà c'est pour commencer et bien sûr je suis à votre disposition merci beaucoup c'est clair c'est complet je pense et donc je laisse la parole madame Chouet c'est à vous alors pour la CPME déjà je voulais vous remercier parce que c'est une occasion unique que nous avons de collaborer avec vous et puis de vous expliquer surtout ce que nous avons fait sur le terrain alors la CPME c'est 243000 adhérents c'est important 133 structures territorial et 122 fédérations patronales donc la question qui nous est posée aujourd'hui c'est de savoir comment nous allons embarquer les dirigeants dans la gestion de ce nouveau risque numérique alors moi je vais avoir une approche assez terrain je suis un entrepreneur je suis un avocat délégué à la protection des données au service des entreprises et nous avons mis en place au sein de la CPME des dispositifs innovants et je tiens à en parler parce que aujourd'hui ce dont il est question ce n'est pas tant de faire de la pompomanie ou de la surpos de la surtransposition ou de considérer qu'on va tout régler par la norme la question aujourd'hui c'est la capacité de nos dirigeants à absorber des chocs toujours plus nombreux de faire face à l'imprévisibilité et aujourd'hui on a un chiffre qui est colossal 66000 défaillances d'entreprise donc comment j'embarque moi le dirigeant qui est confronté dans son quotidien à une absence de trésorerie une nécessité d'embarquer ses salariés dans la transformation numérique c'est aussi une obligation légale on n' pas attendu la Nice 2 ce sont les obligations qui résultent du Code du travail je le rappelle on a une obligation générale de sécurité qui ressort du règlement européen sur la protection des données c'est l'article 32 obligation de sécurité d by design et nous avons de nouvelles obligations sectorielles avec Nice 2 Dora la lopmie laalpm le cras et cetera donc aujourd'hui dans C dans cet enfer réglementaire dont les enjeux en réalité se mesurent au niveau des États le droit est une arme de défense économique si nous voulons embarquer les dirigeants il ne faudra pas se contenter d'être dans un marketing de la peur dans un marketing normatif mais de rentrer véritablement dans cette chaîne de valeur alors qu'est-ce que nous avons fait nous avons mis en place des commissions sécurité économique parce qu'on ne veut pas aborder la question de la cyber par le prisme de la sanction ça veut dire quoi ça veut dire que pour embarquer un dirigeant sur de la cybersécurité il faut lui expliquer ce qu'il a sous le capot et ce qu'il a sous le capot c'est son patrimoine informationnel c'est-à-dire son actif à protéger alors on a mis en place des petites choses parce qu'on est modeste la réalité c'est des TPE ce sont des PME innovantes on a quelques ETI et on a mis en place un dispositif une convention de partenariat avec des centres de réponse à incident cyberoc d'Égypte pour l'Occitanie je donne des exemples également sur la nouvelle sur la nouvelle Aquitaine ù le campus cyber ça se passe très très bien et donc nous avons des dispositifs de formation gratuits pour embarquer nos dirigeants et faire en sorte que l'écosystème se rencontre ça c'est le premier point ça c'est la difficulté que nous allons avoir du passage à l'échelle la deuxème difficulté à laquelle nous allons être confrontés c'est que lorsqu'il y a un problème cyber la question question n'est pas de savoir si j'ai rempli les bonnes cases sur une documentation c'est de savoir si j'ai la trésorerie est-ce que j'ai 3 mois de trésorerie devant moi pour affronter une crise cyber je vous ai donné quelques réponses malheureusement très peu d'entre eux la deuxème la troisième question c'est est-ce que je comprends la norme nous avons et je je salue le le MDEF qui l'a rappelé nous avons participé avec le MDEF et avec la cyber malveillance à une enquête dont il ressort que moins d'une entreprise sur deux moins d'une entre prise sur deux dispose d'une solution de détection et qu'on a une majorité descendés qui avouent leur méconnaissance de la norme partant ça veut dire quoi ça veut dire qu'ils ne peuvent pas anticiper c'est-à-dire qu'ils ne connaissent même pas l'acronyme Nice 2 l'alopmie qui leur permettrait d'avoir des garanties assurancielles encore moins et une parfaite méconnaissance des règles et des obligations déclaratives et de notification donc aujourd'hui on se retrouve face à un enfer réglementaire qui est utile parce qu'il est porté par NC mais est-ce qu'il est accessible est-ce qu'il est à l'échelle alors l'ancy nous a indiqué qu'il y aurait évidemment une transition il va y avoir ce fameux délai de 3 ans lorsqu'il y a eu le nouveau règlement européen sur la protection des données en 2018 on a expliqué aux entreprises qu'il y aurait cette courbe d'apprentissage et bien il nous faut également cette courbe d'apprentissage et qu'elle soit finalement retranscrite quelque part on a le même problème que le MDF sur le périmètre mais on en a un plus important c'est qu'en réalité au niveau du tissu économique de de la CPME 80 % de la valeur économique au niveau national je tiens à le rappeler et bien c'est que dans la chaîne de valeur on va embarquer tous les sous-traitants mais pas queux on embarque tous ceux qui vont vouloir et qui vont devoir travailler avec les gros et là le standard il écrase tout donc est-ce qu'on ne va pas se retrouver finalement avec une norme qui va se retrouver à nouveau bouclier c'est-à-dire que l'on se servent de la norme comme bouclier ce dont se sont servis les gsfemes je rappelle que 96 % des données de nos entreprises sont hébergées par des entreprises qui sont soumises à une réglementation extraterritoriale donc on souhaite parler de valeur de l'actif à protéger et peut-être plutôt que de parler de la sanction de s'intéresser aux dispositif d'incitation si on veut transformer nos petites PME parce que les gros vont devoir embarquer les petits c'est déjà leur expliquer ce qu être à l'état de l'art et donc là aussi et je rejoins ce qui a été dit précédemment qu'on fasse un effort de pédagogie donc tout ce que l'on fait nous au niveau opérationnel et terrain on fait ce qu'on peut on a déjà conclu ces conventions de partenariat avec les CIRT c'est important financé par les régions mais ça ne suffit pas il va falloir qu'il dispose de plus de moyens l'article 24 permet à l'ANC justement en a la possibilité de peut-être transformer ces CIR en lanceur d'alerte aujourd'hui le quotidien d'une entreprise c'est qu'elle n'a pas de solution de détection parce que la majeure partie des solutions de détection elle dispose sur des dispositifs qui embarquent de l'a très puissant je parle d'osine notamment et qui ne sont pas à la portée des PME donc pour pouvoir accéder passer cette échelle il va falloir que je sache si j'ai des fuites de données sur le Clear sur sur le Clear web notamment et donc comment je fais si je n'ai pas accès à cette technologie parce que légalement je suis sur une zone rouge ou simplement parce que j'en ai pas simplement les moyens alors on a un écosystème on a des accords avec des compagnies d'assurance qui font aujourd'hui des scan cyber et pour inciter dans une logique de prévention les risques mais est-ce que c'est le rôle des assureurs de faire cela est-ce que c'est le rôle peut-être des entreprises des syndicats que nous sommes de nous substituer tel que cela non nous avons la chance d'avoir des CIRT régionaux qui fonctionnent très bien et peut-être dans la collaboration avec l'ANIT de leur permettre d'être des lanceurs d'alerte et d'avoir ces outils donc de doter les CIRT et l'insi de moyens complémentaires deuxième problématique le problème de la lisibilité de la norme la norme pour qu'elle a un sens et une direction faut qu'elle repose sur quelque chose on a un enjeu de définition j'ai pas simplement un problème de définition de la notion d'incident là c'est l'avocat qui parle j'ai C définitions de la notion d'incident qu'il s'agisse du rgpd qu'il s'agisse de laance 2 qu'il s'agisse de Dora ou qu'il s'agisse du CR donc déjà il faut être un fin juriste pour essayer de s'y retrouver ensuite sur la notion de risque là pareil je le retrouve 177 fois sur le ria j'ai énormément de mal à m'y retrouver sur des définitions de risque qui sont différentes donc je vais peut-être avoir besoin de réfléchir en terme de commun numérique c'est-à-dire d'avoir une règlement entation qui s'harmonise et ça on l'appelle de nos vux et pour qu'elle s'harmonise il faut peut-être qu'on arrête d'avoir une guerre de régulateur en Europe et qu'on se retrouve avec des régulateurs en France c'est-à-dire je parle de l'INC je parle de l'acnil qui travaillent ensemble qui soi doté de moyens supérieurs plutôt que de faire peser le risque encore une fois sur le plus petit de la chaîne qui n'en peut plus 66000 défaillances d'entreprise ça parle les plus petits sont des maillons essentiels de la chaîne sans eux chaîne de sous-traitance la logistique ne fonctionne pas il n'y arrive pas parce qu'il y a pas de trésseau il n'y arrient pas parce qu'ils ne savent pas lire la LME ils n'y arrivent pas parce qu'ils n'ont pas de direction générale ils n'ont pas de DPO de délégué à la protection des données ils n'ont pas de RSSI mutualisé alors on est contra un oui de faire appel à un écosystème gratuit de bénévolle dont nous faisons partie parce que la souveraineté elle commence par ça elle commence par défendre une compétitivité des territoires donc la norme sans direction le postulat de base c'est que si on veut transformer nos entreprise en entrepreneur de la donnée la première des choses c'est qu'ils aient conscience de ce qu'ils ont la deuxième des choses c'est qu'ils connaissent l'écosystème la 3oisème c'est que les cessir puissent être des alertes parce que eux ont des solutions de détection des incidents et de fuit de données donc ça le texte le permet le troisème la proportionnalité on a su le faire pour le rgpd on saura le faire et parce que on sait cl si est avec nous là-dessus parce qu'elle a tout à fait conscience qu'il faudra peut-être plus de 3 ans et qu'il ne faut pas que la norme et les standards européens se retrouvent contre nos entreprises prise où finalement on va se retrouver à nouveau à entreposer nos nos stylos notre mémoire dans les archives d'un autre la souveraineté c'est celui qui détient le pouvoir d'exception quand on parle de cybersécurité on parle d'une arme d'intelligence économique et quand on parle d'intelligence économique on a besoin de tous les maillons économiques de la chaîne et donc nous modestement et bien oui c'est ce retour au réel on nous parle d'intelligence artificielle générative aujourd'hui dans les entreprises sans qu'ils en aient véritablement conscience on déploie du copilote à tout va sans avoir les moyens de paramètrer ce qui s'appelle PureView c'est-à-dire l'étiquetage de la donnée on ne sait même pas comment faire avec des DPO parce qu'on n' pas les moyens de les avoir alors qu'on sait comment mutualiser et là on a une occasion unique de pouvoir doter nos institutions et nos organes de contrôle de moyens suffisants ne faites pas poser sur les entreprises ce poids-là aujourd'hui le poids de cette cyber surveillance de cette cyber compétence puisqu'on doit transformer les organisations en système au trro apprenant parce qu'il est question aussi de faire preuve de réalisme et de modestie mais aussi de réalité concrètement ce dont on a besoin c'est de comprendre qu'est-ce qui va faire en sorte que demain les investissements que je mets dans la cyber fasse de moi un producteur de base de données ce qui va dépasser la notion de charge et qui va rentrer finalement dans les métriques de performance extrafinanciè des entreprise ça fait 2 ans que les fonds d'investissement pour la première fois vous demandent les tech due diligence c'est-à-dire que que lorsque vous avez une entreprise qui se rapproche on regarde enfin la solidité la robustesse du SII et de l'outil parce qu'oninvestit plus à blanc c'est fini l'argent magique donc aujourd'hui le chef d'entreprise et bien il va falloir si on veut les faire entrer dans cette chaîne de valeur de la cyber qu' qu'on libère le patrimoine numérique des entreprises des entrepreneurs et qu'on leur fasse confiance et donc des textes qui sont uniquement des textes de sanction avec des textes illisibles ils sont contreproductifs parce qu'ils ne seront lisibles que par les plus gros et on va se retrouver avec du cannibalisme on va se retrouver avec des questions de fermeture du marché on va se retrouver avec finalement made in Microsoft la Cyb sécurité pour les autres tout va bien et avec des outils d'intelligence artificielle générative qui sont en réalité des éponges à donner et des éponges à Secret d'affaires donc aujourd'hui pour remettre la la réglementation à l'endroit ce qu'a fait l'an un travail absolument remarquable il faut le rappeler nous avons un centre des centres de réponse à incident je sais que c'est pas facile donc nous aussi on veut de la proportionnalité noususs on veut une des meilleures définition du périmètre mais tout ça on sait qu'on va l'avoir en fait il est question de moyen ne transform ne nous mettez pas nous ne nous ne nous refilez pas la patate chaude vous avez des C centre de réponse à l'incident quand on suite une convention quand un syndicat professionnel signe une convention le MDF aussi la signer les CCI l'ont signé avec des centres de réponse à incident ça veut dire qu'on sait qu'on a besoin évidemment de mettre en place la cybersécurité quand un centre de réponse à incident me dit que la moyenne P la moyenne générale des Scor d'une entreprise d'une PME c'est 1,4/ 5 c'est dire que l'échelle il va falloir finalement qu'on l'agravisse mais on l'agravira que tous ensemble parce que c'est la défense finalement de notre de notre patrimoine notre capital humain notre capital numérique et notre vivre ensemble demain il ne faut pas que tout soit magique made in USA voilà j'ai term merci beaucoup pour votre intervention euh et votre plédoyer je vais passer la la parle à notre rapporteur pour commencer pour les premières questions si tu veux Pat avec plaisir merci monsieur le Président merci mesdames pour votre vos propos liminires qui nous plonge directement dans dans le sujet donc je veux vraiment vous remercier de de votre présence et de votre disponibilité aujourd'hui en cette ces veill de fête alors en ma qualité de de rapporteur chargé am du titre 2 de ce projet de loi mon intervention sera centrée sur la transposition de la directive du Parlement européen et du Conseil du 14 décembre 2022 concernant les mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union plus connue sous le nom de Nice 2 à l'occasion d'un déplacement à Bruxelles la semaine dernière nous avons l'occasion d'échanger avec des représentants de la direction générale des réseaux de communication du contenu et des technologies la DG Connect de la Commission européenne qui a piloté l'élaboration de cette nouvelle directive les changements attendus pour le monde économique sont significatifs dans toute l'Union européenne mais plus particulièrement en France puisque là puisque cela se traduit par une augmentation estimée du nombre d'entités régulé de 500 à peu près 15000 et du nombre de secteurs économiques concernés de 6 à 18 par rapport au précédent cadre de régulation de la directive Nice 1 surtout ce sont des Metet par principe tous les systèmes d'information des entités régulées qui sont concernés c'est un changement majeur de paradigme qui est à l'œuvre ne s'agit pu seulement sécuriser des infrastructures critiques mais d'assurer la résilience des entités critiques autrement dit la couverture est beaucoup plus large alors plusieurs questions se posent vous avez déjà évoqué ébauché quelques réponses je me permettre de de peut-être de les reposer de façon plus plus littérale euh en vous demandant si euh euh vous pensez pas que les entreprises que vous représentez sont enfin si vous pensez que les les entreprises que vous représenté sont suffisamment informés des changements à venir vous vous avez déjà ébouché une partie de la réponse mais je voudrais vraiment insister sur ce point-là parce que j'allais dire que finalement euh ce projet de loi s'il a une vertu c'est vraiment que on se pose C ces questionsl et qu'on arrive finalement à à pouvoir diffuser auprès de l'ensemble des des acteurs cette connaissance de risque aujourd'hui j'aimerais avir votre votre avis et votre retour sur votre estimation et et sur le travail à mettre en œuvvere pour cela je voudrais savoir aussi si vous pensez que l'Agence nationale de sécurité des systèmes d'information l'ANC est suffisamment bien identifié par le monde économique comme un interlocuteur de confiance dans le domaine de la cybersécurité les entités régulées par la directive niis 2 devront s'enregistrer auprès de l'an mais aussi les incidents significatifs de cybersécurité comme vous l'avez rappelé et il est donc important que on l'identifie dans dans la chaîne et j'aimerais avoir là aussi votre tour plus précis sur ce ce point parmi donc les entreprises que vous représentez avez-vous une idée du nombre d'entre elles qui seront qualifié d'entités essentiell car ex une activité hautement critique ou d'entité importante car exerçant une activité critique donc est-ce que vous avez déjà des estimations précises sur sur ce pointl le projet de loi confie à juste titre à l'ancy des pouvoirs importants en matière de supervision de contrôle les obligations des entreprises et de sanctions en cas de manquement à ces obligations vous l'avez exprimé mais je pense qu'à fin de permettre une application douce et progressive seriez-vous favorable à une période d'adaptation et d'accompagnement vous avez donc déjà vous avez déjà répondu à cette question est-ce que vous pouvez nous en dire plus et sur les sanctions qui qui sont prévu est-ce que elles vous semble proportionné et adéquate en fonction de des différentes types et et types de sanction et type d'entreprise voilà pour les les premières questions que je souhaitais poser à ce stade ok ben alors vas-y vas-y alors oui je pense qu'on va se retrouver doncor je suis sénateur du Loiret et je suis ici en tant que rapporteur au titre de la commission des affaires étrangères la défense dont je suis dont je suis membre et donc il me revient d'instruire le titre premier du du projet de loi donc relatif à la résilience des infrastructures critiques et au renforcement de la cyber sécurité donc qui transpose en droit français la directive dite directive REC euh vous avez dans vos propos et je vous remercie à la fois de votre présence et et de ces propos vous avez abordé différents sujets autour des moyens et de l'accompagnement de la proportionnalité de la compétitivité euh sujet que je retrouve dans les quelques questions que j'ai préparé à vous poser qui vont être rapides et qui recoupent un peu celles qui viennent d'être exprimé d'abord quel quel bilan tirez-vous du dispositif actuel de sécurité des ACT activité d'importance vitale euh quel poids pour vos entreprises est-ce que celle-ci adhère globalement au système je pense que elles sont d'une façon différente soumises à différents risques et on peut imaginer que en fonction de de l'importance de ce risque elle leur appétence si je puis dire par rapport à ce genre de sujet est plus ou moins important comment évaluez-vous la philosophie générale de la directive REC et du titre premer du projet de loi notamment leur priorité donné à la résilience sur la simple protection euh 3e question selon vous les obligations prévues dans le titre premier donc plan de résilience opérateur et particulier euh notification d'incidents exigences spécifiques pour les entités critique européenne sont-elles pertinentes et surtout proportionnées vous avez commencé déjà un peu à à à répondre à cette question mais je souhaiterit que vous le vous développiez quatrièmement comment jugez-vous les mécanismes de contrôle et de sanction prévu en cas de manquement ou d'obstruction notamment les plafonds procédures et les garanties associées et puis peut-être de dernières questions est-ce que vous avez le sentiment que les dispositif d'accompagnement proposé par l'ancy répondent aux obligations de ce projet de loi et puis bien sûr c'est précieux pour nous mais vous avez commencé également à le faire avoir un un retour de terrain euh de votre part quel ressenti général émane donc de ce terrain qu'en est-il des entreprises que vous représentez quels sont leurs leurs attentes si vous pouvez également développer sur ce sujet je vous remercie alors pour répondre aux questions qui ont été posées déjà de Monsieur Patrick chaise sur l'état des lieux nous avons fait un avec Lipsos une enquête sur l'état de la maturité des investissements cyber dont il ressortte que un/ers descondés av vous leur méconnaissance complète des questions réglementaires et l'autre tiers vous pouvez additionner leur manque de ressources humaines donc là on a un problème de moyens on a un problème de de compétenenceces donc le fait de transformer l'entreprise euh sous l'angle de de la réglementation que l'on connaît déjà par ailleurs parce qu'on a le code du travail on avait déjà le pilier le rgpd et cette réglementation sectorielle qui s'agisse de NIS Dora c'est de transformer l'entreprise en système auto apprenant non donc intégrer la norme faire monter en compétence finalement le personnel puisque on est confronté à un déficit de moyen donc là premier défi la formation des dispositifs d'incitation à la formation quels sont-ils c'est aussi ce sont aussi des dispositifs de financement la deuxième question c'est sur la philosophie de la résilience c'est notamment au niveau de Dora c'est une réglementation qui est très intéressante puisqu'elle irrigue également et on parle enfin de de de remédiation c'est cette résilience opérationnelle c'est c'est-à-dire c'est d'arriver à se détacher finalement de la logique dans laquelle sont certaines directions des systèmes d'information on se retrouve à faire de la de la conformité en cochant des cases et de la et la documentation sans s'intéresser véritablement au niveau opérationnel à comment ça fonctionne c'est parfois beaucoup plus simple c'est savoir qui est l'humain derrière le clavier est-ce qu'il est en capacité finalement dans une interface home machine de résister à son BIA d'automatisation et de se poser les bonnes questions donc aujourd'hui sur le domaine qui nous équipe qui nous n occupe en matière de de résilience on est confronté à ce qu'on appelle une polycrise à une explosion des risques cyber et une nécessité de soutiller et soutiller quand on est confronté à des menaces qui on été rappelé tout à l'heure de type intelligence artificielle ça veut dire de l'autre côté et bien dans une cascade opérationnelle je me retrouve aussi avec un outil d'IA donc ce qui va compter c'est la qualité de la décision c'est-à-dire de former nos hommes face à une interface homme machine à pouvoir toujours exercer leur esprit critique ça c'est de l'opérationnel c'est du terrain c'est de ce dire que finalement à partir du moment où j'ai un outil il peut être haqué et que s'il peut être haqué il faut que je puisse exercer une décision et que j'ai la capacité de la contester ensuite au niveau des obligations là où le bas blesse et ça c'est une expérience terrain je vous fais non seulement de chef d'entreprise mais de praticien de la donnée c'est qu'il au niveau des obligations déclaratives et de notification on est toujours sur le Pas vu pas prix si vous avez déjà regardé à quoi ressemble une notification de violation de données euh vous pouvez aller sur le très beau site de l'acnil qui est très accessible et bien c'est c'est assez délicat pour le le dirigeant qui euh est dans cette logique malheureuse du Pas vu pas pris peut-être très latine mais il a un peu de mal à s'autoincriminer alors vous imaginez j'ai été je me suis livré au même exercice j'ai envoyé mais évidemment au sein de la CPME on a on a rendu visible lany on a même rendu visible on a mis tous les liens sur déclarez-vous est-ce que je suis soumis à la Nice 2 déjà les les dirigeants ont un peu de mal à rentrer sur ce type de dispositif et puis ils ne sont pas friants de l'auto incrimin nation entre guillemets alors que c'est utile alors que le dispositif est très bon donc on va se retrouver finalement paradoxalement avec plus de personnes qui vont chercher à échapper à l'application de la règle plutôt que de se poser des questions opérationnelles donc ensuite le troisième point c'est sur l'accompagnement de la S est-ce qu'il est suffisant j'ai envie de vous dire c'est jamais suffisant donc là et je tiens à le redire le rôle des CIRT me semble absolument important pourquoi parce que l'offre actuelle en cybersécurité je le vois sous l'angle de la CPME et bien les surdimensionné nous sommes rendus on va à beaucoup de de conférences et on fait des ateliers cyber on les invite c'est gratuit et cetera toute l'offre autour de nous à grand on va dire à grand renfort de publicité d'outils très compliqués à base d'Illa marketing et cetera c'est peu lisible donc cette offre elle est surdimensionnée donc on redescend pour la chaîne d'approvisionnement que nous sommes essentiel petit maillon mais maillon important quand même puisqu'on se retrouve nous on se retrouve avec des contrats dans lequels on va va vous nous demander d'être à l'état de l'art sans aucune définition de l'état de l'art heinêtre l'état de l'art en sè sécurité très peu y parviennent et si vous avez un bon ressif vous allez essayer de de toucher le Graal mais il faudra que vous ayez une très bonne connaissance des textes mais pas simplement les textes des lignes directrices savoir ce que c'est que le CEPD savoir ce que c'est clacnil ça arrivit à lire les décisions de justice donc quand même une grosse veille documentaire qui peut nous rendre ce service mais ceux qui peuvent nous rendre ce service ce sont ceux qu'on finance au niveau régional parce qu'il faut de la proximité on pas aller à Paris pour arriver à l une une règle donc on a la chance d'avoir un maillage territorial autour de centre de réponse à incident dont c'est le rôle qui travaille main dans la main avec l'ancy donc la proximité c'est essentiel premier point on fait pas on fait aussi finalement on est vertu au niveau carbone au niveau du carbone la deuxième chose c'est que j'ai je n'ai pas d'alertes je n'ai pas les moyens moi d'avoir par exemple des alertes et des questions de de de faille et donc j'ai la possibilité pour autant que certains textes soient amendés on peut comprendre que par exemple on pourrait essayer d'améliorer la notion de sel de lic par exemple je je je donne des suggestions de RESSEL de lic de on en reviendra mais c'est pour permettre à certains pouvoir faire de la détection de fuite de données c'est ce qui va permettre au dirigeants de se saisir de la problématique et bien au niveau des centres de réponse à incidents régionaux et bien il faut que les PME puissent s'adresser à des tiers non marchands faut le dire et on a besoin d'un diagnostic c'est quoi l'état des lieux vous avez des fuites vous avez pas de fuite de on a besoin de formation on a surtout besoin d'une feuille de route et de suivre cette conformité parce que demain si on veut travailler avec des ETI demain si on veut travailler si on veut être cocontractant sous-traitant tout simplement avoir une offre de valeur vis-à-vis de mon donneur d'ordre qui est soumis à la Nice 2 bien évidemment là c'est l'avocat qui parle qu'il va me ré me répercuter ses propres obligations avec les moyens que lui a donc je me retrouve dans une cascade d'obligations et donc je suis toujours en cybersécurité sur des enjeux en réalité de qualification juridique des acteurs au premier rang desquels enjeu de responsabilité le deuxième enjeu c'est l'enjeu de gouvernance du risque je suis plus gros je gouverne mon risque et je vais me retrouver à scanner tous mes petits de la chaîne de sous-traitance avec des outils très puissants mais mes petits sans même le savoir s'ils ne savent pas qu'ils ont des fuites de données ils ne comprendront même pas pourquoi ils sont pas pris sur un marché donc les appels d'offres et cetera donc on a besoin des centres de réponse incident et on a besoin de cette règle de proportionnalité et la proportionné ça veut dire quoi ça veut dire que quand on veut faire monter tout un écosystème à l'échelle il faut aussi savoir redescendre à son échelle et redressant à son échelle ça veut dire pouvoir avoir un opérateur de confiance quelle C pouvoir avoir est rentrer dans une logique peut-être non marchande je le dis parce que c'est important et avoir des des niveaux d'homologation en terme de cybécurité qui soit entre mon aide cyber et Nice 2 et là ce tiers de confiance jouera pleinement son rôle et on va voir un écosystème qui va monter en maturité on a 3 ans pour le faire si j'ai bien compris et là ça va marcher là ça va marcher par parce que nous notre but c'est de véritablement les transformer en entrepreneur de la donnée c'est de pouvoir travailler ensemble sur ces nouveaux entrepôts de données c'est-à-dire on ne peut pas lire la réglementation sur la cybersécurité sans s'intéresser à tout ce qui se passe autour le Data acte le DGA et finalement tous les appels à projets de la BPI sur la constitution d'entrepô de données nous ne sommes riches peut-être nous en Europe que de notre créativité notre agilité et notre capacité de de travailler ensemble sur des mesures alternatives que que nous offrent les gsfemm et là on va y arriver c'est cette mutualisation qui me semble importante si j'ai pu répondre aux quatre questions qui me sont posées madame de Merle alors sur la question effectivement de l'information des entreprises je je je m'inscris dans la remarque qui a été faite effectivement il y a un manque d'information très clair je crois que la csnp avait avait suggéré qu'il a une campagne d'information je pense que globalement toutes les questions de cybersécurité mériterait un peu plus de de communication et d'information cyber malveillance avec notre collaboration jeallis dire aussi côté entreprise privée à communiquer avec le mois de la cyber en octobre des actions très précises et quelque chose que nous avons fait ensemble avec la CPME et l'UDP qui n'est pas là mais c'est faire l'alerte cyber c'était un peu le principe effectivement de communication à grande échelle une forme alors je voudrais pas galvauder un système qui est très important parce que évidemment c'est dans des cas très sérieux mais d'alerteenlèvement mais il y avait un peu une idée de dire et c'est l'idée nous est venue quand il y a eu solar win c'est quand il y a un cas de cybersécurité qui peut impacter toute entreprise et qui a une remédiation existante qui est facile à mettre en œuvre y compris par un non expert alors il faudrait pouvoir communiquer largement vis-à-vis des entreprises et donc sur cette base-l donc il y a eu effectivement j'irais une douzaine ou un peu moins de 15 d'alertte cyber en en près de 2 ans ça veut dire que on a vraiment sélectionné des cas très précis sur lequels d'ailleurs nous nous n'avons ét que diffuseur puisque c'est cyber mveillance et lany qui rédige les alertes mais nous les diffusons au travers de notre réseau et je pense qu'on couvre bonne partie des entités économiques françaises est-ce que ça a eu un impact je l'espère mais on aurait besoin effectivement d'outils un peu global et généraliste parce que le cert.fr qui est publié sur le site de lany je ne sais pas si vous avez été voir les alertes quotidiennes puisqu'il y en a plusieurs par jour de tout type elles sont pas lisibles par quelqu'un qui n'est pas un expert donc on a un problème d'information je pense qu'il y aurait moyen de trouver une intermédiation une sorte de météo de la cyber qui puisse communiquer aux entreprises quand même les cas les plus sérieux sur lequels elles peuvent agir soit dit en passant c'est pas pour taper sur aucune entreprise il existe aujourdhi aujourd'hui des entreprises qui ont des produits softwar sur le marché dont la fin de maintenance informatique au point de vue de cybersécurité c'est à peu près euh j'allais dire le calendrier postal des seins nationaux c'est-à-dire enfin globalement c'est n'importe quoi c'estàd il y a un produit on arrête le 15 novembre 2027 l'autre c'est le 3 décembre 2030 et cetera donc en fait il y a aucune isibilité pour les entreprises de quand s'arrête la maintenance cybersécurité de certains des produits softwir en en diffusion donc on a besoin de clarification et trouver des outils simples on a besoin d'accompagner effectivement peut-être cette directive d'une grande campagne de communication alors sans sans vouloir contredire la CPME avec qui je pense nous sommes très alignés nous ne souhaitons pas avoir un service public de la cybersécurité mais il y a quand même un moyen de trouver de l'aide peut-être surtout dans cette période de transition qui soit renforcé donc c'est pour nuancer et notamment le cyber malveillance encore eux décidément du tout payé pour citer leur nom hein avait créé un label cyberere expert parce que justement sur le terrain de la confiance et de la cybersécurité on a besoin d'avoir des opérateurs indépendants alors qui sont dans le secteur marchand certes mais qui ont été labellisés par une entité euh qui n'a aucun intérêt commercial dans cette histoire parce qu'on a besoin de gens qui sont spécialisés et moi j'aurais bien aimé qu'il y ait une communication plus large sur ce label cyberere expert pour savoir à qui je peux m'adresser autour de moi qui est compétent et qui va pas me vendre de la salade qui va être quelqu'un de confiance et effectivement parce que les coûts de mise en conformité sont importants et d'ailleurs j'allais dire quelque chose qui nous a un petit peu choqué dans le texte c'est non seulement les coûts de conformité ris est important mais les coûts de contrôle c'est dire que si on lit bien l'article 14 si je me souviens bien c'est bien les contrôles de l'an sont aussi à la charge de l'entreprise donc là il va peut-être falloir regarder ça parce que si l'Ursa vous contrôle c'est jamais très agréable évidemment mais les coûts du contrôle du lursaf ne sont pas à ma charge s' redressement il est évidemment mais c'est autre chose donc effectivement et notamment les sanctions sur la proportionnalité là aussi le coût est j'allais dire très élevé et notamment dans la directive en dernier recours il pouvait y avoir peut-être recours à une sanction sur l'interdiction d'exercer donc là je vois que c'est dans l'article 37 alignéa 13 la commission des sanctions peut interdire à toute personne physique exerçant les fonctions de dirigeant dans l'entité essentielle d'exercer les responsabil dirigeante de cette entité jusqu'à ce que l'entité est remédié au manquement alors là nous tout simplement on est tout à fait contre cette disposition parce que il nous semble que c'est très cher payer en terme de direction d'entreprise que effectivement on puisse aller jusque là déjà il y a des sanctions financières qui nous semblent déjà très importantes je vois pas qu'une interdiction de de diriger puisse être prononcé je vois pas l'intérêt pour notre cyberrésilience de prononcer des des sanctions de de telle sorte et effectivement euh bon je ne sais pas vous dire combien d'entreprises ça pourrait viser parmi nos membres j'imagine que la plupart de celles qui seront ei et E seront certainement dans les membres du medf il y a de fortes chances que les 15000 soit parmi les 200000 euh mais je ne sais pas vous dire lesquels lesquels c'est exactement et on n pas de de de recensement exact pour la partie REC moi je suis euh on s'est moins penché sur cette partie là puisqu'elle un peu plus spécifique en revanche ce qui est certain c'est que les entreprises qui étaient anciennement OIV et qui finalement vont le resté si je comprends bien elles sont aguéries maintenant depuis je veux dire le depuis le temps d'une certaine manière cell qui étaient se avaient eu déjà un peu de mal à rentrer parce que elle elle s'était rajouté à la première liste et c'était d'ailleurs sur les os que nous au MEF on avait particulièrement eu du fil à rotord pour contacter les les secteurs et les entreprises potentiellement rentrant dans ce périmètre euh maintenant j'allais dire celles qui vont rester dans ce dans ce cadre-là je crois sont quand même assez euh assez bien habitué au au je veux dire au aux contraintes et aux attentes qui sont sont les leurs euh je pense que la notion de résilence est très importante euh pour moi j'allais dire c'est peut-être la plus importante j'ai eu un chef d'entreprise un jour qui m'a dit ah mais de toute façon moi je fais toutes les sauvegardes ces sauvegardes ne sont pas connectées à Internet et et elles sont effectuées tous les de jours donc au pire ce que je perds et je je je rejoins ce que la CPME a dit c'est 2 jours de données voilà et donc à partir de moment de ce moment-là oui c'est la résilience finalement qui compte la cyberataque c'est beaucoup moins grave quand votre capacité de résilience est quasiment à 100 %. donc après la la prévention de menaces de toute nature et compris terroriste je ne sais pas si c'était dans le texte de Nissin excusez-moi j'ai mauvaise mémoire mais on peut pas non plus demander aux entreprises d'être devin donc attention aussi à pas leur demander de prévoir tout n'importe quoi je pense pense pas il y a des directeurs de la sécurité et de la sûreté d'ailleurs à leur association et partenairire du Medef ils sont très bons professionnels après on peut pas leur demander d'inventer des choses qui qui dépassent l'entendement merci beaucoup donc je vais passer la parole à de de mes collègues qui qui ont fait la demande euh simplement pour trois simplement pour dire par rapport au CIRT c'est d'abord les CIRT il y en a pas dans toutes les régions il y a déjà une région qui n'a pas voulu de C sirirt euh deuxièmement ça été une décision qui était prise par l'ANC à un moment où il y avait une manne budgétaire euh lors du covid et que euh donc effectivement maintenant ce serait à la charge des régions et que ça n'est pas financé et donc effectivement ça fait partie des sujets de nos préoccupations dans le cadre des de l'audition de Lancy sur son budget de savoir si euh le modèle qui est proposé est euh est est finançable et donc il peut être soumis par l'ANSI et je rejoins euh la proposition enfin ce qui a été dit euh euh par par le meddef qu'effectivement la question se pose est-ce que nous avons besoin d'un service public ou pas pour ça la question quand même est dans ce domaine c'est nos limites budgétaires se font se dressent devant tout le monde et je pense pas que ça ça me semble difficile et ça nous semblera difficile de d'avoir un budget qui qui qui se lève pour ça je vais passer la parole premier la premièreur Damien Michalet premier et ensuite catherineinille merci président euh merci mesdames pour pour vos pour vos mots il y a on aura envie de poser plein de questions parce que cela amène à pas mal de sujets peut-être juste commenter on a beaucoup parlé rgpd on est quand même sur une directive totalement différente la rgpd avait une approche très punitive là on est quand même dans une opportunité de productivité et de compétitivité en tout cas pour les acteurs économiques qui qui positionne la directive un peu différemment mais par contre ça amène quand même à une prise de conscience qu'on do avoir c'est qu'on doit être dans une transposition stricte et pas dans une surtransposition parce que il y a cette alors on l'a entendu un peu mais il y a quand même un enjeu économique pas neutre et à surtransposer on viendrait alors alourdir cette directive qui on le voit comme une opportunité parce que ne pas s'aligner avec les risques ou contre les risques cyber ça poserait des vraies difficultés à nos entreprises mais aller trop loin ça en poserait bien d'autres et un vrai problème de compétitivité euh j'aurais plein de questions je vais me limiter à deux deux et seulement deux questions euh la première parce que j'ai j'ai entendu la rgpd mais j'ai pas entendu toutes les autres choses qui arrivent comme la CRC c'est CSRD j'arrive Jama à le dire CSRD la dmat euh qui viennent tout en même temps et là vous évoquez pas de planning ou en tout cas pas encore donc je vous pose cette question tout va bien euh il y a plein de choses qui arrivent dans le numérique ou dans laadmat et vous êtes pas encore alors ce sera ma première question donc voir sur les deux typologies de de d'entreprise que vous représentez ça c'est la c'est la première et puis la 2ème euh l'any euh avait estimé lors de l'étude d'impact en tout cas dans son cadre euh iniicial un coût plus ou moins euh euh quant à un alignement euh des entreprises sur euh euh ces risques cyber est-ce que vous euh avec vos membres vous avez estimé le coût soit euh par rapport à un chiffre d'affaires par rapport à une activité euh est-ce que ces estimations al de manière très macro mais qu'on qu'on ait l'info de ce que çaela pourrait voilà pour mes questions président merci beaucoup Catherine madame merci Président je suis très intéressée par la question des cur et des remarques que vous avez faites à leur sujet je viens d'une région qui a mis en place le premier cissur donc forcément c'est toujours intéressant de voir le retour de cette organisation et et comment ça fonctionne et comment vous appréhendez en fait l'aide qui peut vousre apporté par les R en corrélation avec avec Lancy est-ce que vous pensez j'ai cru comprendre que vous avez évoqué ce sujet que l'échelon régional semblerait être le bon échelon en tout cas un échelon suffisamment proche pour pouvoir peut-être apporter une une réponse qui doit être le plus possible global et et et coordonné par rapport à cette réponse globale et coordonnée il n'y a paser il y a aussi les services de la gendarmerie de la police avec des des des des compétences dédié comment marche cette articulation pour vous est-elle satisfaisante enfin vous on a on a parlé du rgpd donc il y a forcément aussi une relation à l'acnil et c'est n rapport rendre un rapport à la commission des affaires européennes sur ce qu'on appel la dérive normative de de l'ulion dans son mode de de gestion et on voit aussi dans le rapport dragy la mise en application du rgpd extrêmement contraignante et compliquée pour les pour les entreprise on voit l'accumulation a des textes lié aussi à la cyber comment vos entreprises vivent-elles tout ça est-ce qu'elles expriment je crois avoir compris un fort besoin de communication de structuration d'un service public dédié est-ce pas plutôt qu'un besoin de communication d'ailleurs un besoin en monté en compétenence numérique de tous en réalité formation initiale formation continue comment ça peut selon vous s'organiser et j'ai une dernière demande de questions madame audreé linkenhelt merci audre linkenhelt sénatrice du Nord euh moi je me suis fait voler deux parties de mes questions sur les sixts à la fois par Olivier qui a dit et Catherine maen de sa mais ça montre qu'on on a tous un peu les mêmes les mêmes interrogations sur sur ce sujet donc donc tant mieux je rajouteraiis en plus de de ce qu'ils ont tous les deux dit sur ce sujet notamment sur la question de la fin des financements hein qui n'est pas sans sans poser de question à la fois sur la question de l'argent mais aussi de la compétence des régions j'ajouterais deux questions ou peut-être même trois d'abord est-ce que vous pouvez nous en dire plus sur ce que vous pensez de l'articulation entre les cessert et les campus cyber en tout cas là où il en existe est-ce que vous pensez que c'est bien d'avoir ces deux outils côte à côte parallèle est-ce que vous pensez que comme ça se fait dans certaines régions il il est bon de les rapprocher davantage est-ce que cette collaboration est une forme de réponse à ce que vous avez dit madame de de la CPME sur le rôle de lancire d'alerte des sixurs que je suis pas sûre d'avoir complètement comprise puisque pour moi les cesserts interviennent soit sur la sensibilisation soit ensuite sur la réponse à incident et du coup je vois pas très bien en tout cas en l'état actuel de de leur organisation comment il pourrai devenir lanceur d'alerte mais je trouve c'est une idée intéressante donc est-ce que vous pourriez l'expliciter davantage et enfin question peut-être plus de de curiosité mais on sait que dans dans dans isce 2 seront concernés les entreprises que vous représentez ici mais aussi les collectivités est-ce que vous pensez que ces outils ont raison de s'adresser en même temps aux deux types d'entités collectivité ou entreprises étant entendu que pour les entreprises il y a des enjeux de de données vous l'avez tous dit dit il y a aussi des enjeux financiers qui sont un peu différents quand même de ce qui se pose aux collectivités qui ont moins de d'impact en terme de chiffre d'affaires quand elles sont attaquées qui ont pour les entreprises moins d'impact vitaux parfois aussi sauf celles qui ont une qui sont directement dans le champ de la santé mais voilà est-ce que ces différences là font que pour vous finalement il vaudrait mieux les traiter différemment ou qu'au contraire la solution qui se dessine pour l'instant et qui personnellement a plutôt ma préférence mais je j'aurais voulu vous entendre là-dessus est-ce que cette solution un peu conjointe vous paraît pertinente merci alors je me propose de répondre à la question sur les sur les cessir sur l'articulation d'abord avec le campus cyber alors les campus cyber moi je vais parler de ce que je connais modestement donc je connais l'Occitanie et la nouvelle Aquitaine euh le campus cyber de la nouvelle Aquitaine c'est aussi un céir il sont une vingtaine ça fonctionne très bien euh on est invité on on peut finalement faire beaucoup de formations gratuit à destination du tissu industriel mais c'est pas ça qui va être important ce qui va être important c'est l'échange de bonnes pratiqu et la remontée d'information je donne un exemple sans donner le nom de l'entreprise bien évidemment il y a eu malheureusement une entreprise qui a fait l'objet d'un rsware et qui par capillarité a touché à peu près 80 entreprises la problématique c'est que lorsque du jour au lendemain vous pouvez plus facturer avec votre CRM c'est une mise à mort donc là on se retrouve avec une cascade malheureusement de défaillance d'entreprise donc la question qui est posée euh derrière cela c'est quel est le coût pour une entreprise plus petite mais nous il est névralgique il est létal c'est-à-dire que du jour au lendemain si vous ne pouvez pas facturer vous n'avez pas forcément 3 mois de trésorerie et là je me retrouve sur un mois j'ai pas de CRM j'ai l'écran noir de mes données une défaillance d'un éditeur qui va impacter ses 80 clients et les 80 clients en même temps que l'éditeur ils vont tous se tenir par la main pour aller devant le tribunal de commerce donc ça c'est un c'est un sujet et ça se déroule en quelques mois ça va très très vite on n' pas le temps d'aller chercher logbit et cetera non c'est pas de financement pas de possibilité d'avoir accès à sa donnée pas suffisamment de sauvegarde et le temps de la facturation le temps économique n'est pas le temps réglementaire bien sûr qu'ils ont fait les notifications bien sûr que sur la conformité ils ont fait tout ce qu'il pouvait et il y a eu une une réaction très vertuueuse de l'ANC qui s'est intéressé et cetera et des CIRT mais économiquement quand on ne peut pas facturer c'est terminé donc là première réponse pour pour la la taille importe hein pour absorber les les chocs toujours plus nombreux et là la question de la taille elle est elle est vitale pour l'organisation au niveau du mode de fonctionnement d'un céir un centre de réponse à incident alors aujourd'hui je sais qu'il y a campus cyber il y a ce ne sont pas des opérations immobilières du moins je ne pense pas mais il y a un effort de formation pour transformer comme je le disais tout à l'heure les entreprises en système auto apprenant mais surtout avoir de l'échange d'information ce que j'ai pu constater à titre personnel et ce qui est ressorti dans l'enquête avec Ipsos c'est quand on on vous dit que moins d'une entreprise sur deux dispose d'une solution de détection si je veux les amener à monter en gamme dans la maturité cyber il faut qu'elles aient des solutions de détection et donc ces solutions de détection qui sont assez puissantes elles sont au niveau étatique souvent et donc l'idée quand on lit l'article 24 c'est peut-être de se dire qu'avec l'ANC qui dispose de l'agrément peut-être pour l'avenir pas maintenant si on pouvait si on souhaite conserver les centres de réponse à incident avec un mécanisme de financement à imaginer qui ne serait pas uniquement régional mais comme ils sont là on va pas et que ça fonctionne du dans les régions que j'ai cité Occitanie nouvelle aququitaine où on est sur le terrain et ben l'idée et là c'est des échanges avec Lancy avec ceux qui qui s'occupe du du campus cyber qui sont des ingénieurs informaticiens qui sont des officiers de gendarmerie nous disent ça serait quand même intéressant qu'on puisse faire remonter l'information plusutôt dans le cas qui nous occupe si on avait pu faire remonter la fuite plusutôt on aurait pu peut-être plutôt sur les entreprise cliente assurer les sauvegardes s'intéresser et éviter cette contagion donc ça c'est une solution opération in assez basique mais peut-être comme on a les outils on a les hommes on a les gens compétents localement ou ou pas peu importe qu'ils existent ou pas dans d'autres région même si on a plus que 5in ou si c'est les régions les grosses régions industrielles celles qui sont aussi la cible des incidents ensuite pour la 2uxè question qui qui est liée à l'articulation de la norme avec la dichotomie publique privée moi je considère qu'on a une seule et même chapelle la défense de la compétitivité du territoire et que ça doit aller ensemble j'ai pu à titre personnel travailler avec département de France et avec département de France vous savez très bien qu'il y a des départements qui ont été touchés par des cyberattaque d'ampleur euh extrêmement grave et ce qui a eu lieu et ce qui a été organisé et franchement une initiative à salué on s'est enfermé dans une salle comme celle-ci enfermé au sens premier du terme et le président a souhaité que les DSI les élus les direction juridique par par l'ensemble et explique pourquoi dans certains cas dans une dans un département et bien de semaines ils avaient pu remonter les données et s'en sortir et pourquoi dans d'autres il avait fallu 3 mois mais des choses tellement simples qui sont remontées des choses tellement humaines teles que payer les sous-traitants un weekend et cetera tel que où est le chéquier tel que la cellule de crise qui avait pas été mise en place et ce qui est ressorti au bout d'une simple journée c'est-à-dire que vous avez une centaine de départements ensemble avec tout ce petit monde et qui réagit et qui se pose des questions mais on a réussi à faire un plan de réponse à incident juste derrière qui a été communiqué c'est pour ça que je parlais de commun numérique qui a été envoyé à tout le monde parce que les départements il nont n'ont pas d'argent ils sont pas forcément formés donc quand vous faites une formation pour 100 personnes c'est pareil que pour 10 mais au moins il y a quelque chose qui se passe je crois énormément à titre personnelintelligence collective donc ces centres de réponse à incident c'est campus cyber peu m'importe le nom ce qui compte c'est que remonte l'intelligence collective et qu'on a envie de sortir un livrable et donc on va dire on a la possibilité de sortir des documents qui vont être implémentés et qui vont été sans bourse délié et bien aider au on va dire les directeurs des systèmes d'information de département qui sont parfois les parents pauvres parce qu'il y a ce déficit de moyens dans les collectivités et la nouvelle réglementation est intéressante parce qu'elle monte le standard elle dit voilà ce que tu dois faire voilà comment ça se passe là où la nouvelle réglementation pêche c'est effectivement dans cette absence de lisibilité des définitions dans cette peut-être cacophonie en terme de déclaration notification avec des délai quand on les connaît moi je les connais entre l'OPM 72h la distinction entre un incident de sécurité une violation de données c'est pas aisé au sens du rgpd ça reste le pilier quand même et c'est une c'est une boîte à outils qui est intéressante quand on remet la main sur ces données c'est une réglementation qui est orientée sur la défense et la protection des données le ria ça va être une réglementation produit qui va être sur la défense de l'innovation et effectivement Nice 2 on voit le le c'est pas un millefeuille c'est-à-dire qu'on comprend comment fonctionne toute cette réglementation quand on la met bout à bout on comprend que c'est une volonté de remettre la main sur le patrimoine informationnel et d'en faire quelque chose pour en faire quelque chose il faut qu'il soit protégé les mesures de sécurité qu'il s'agisse de réglementation sectorielle doranis 2 LPM en passant par la CSRD c'est la seule et même logique c'est en faire moins mais mieux quand vous faites du rgpd c'est un des périmètres ça rentre dans le périmètre de la CSRD on vous dit minimisation des données mais c'est de la soutenabilité donc on a cet enjeu de valeur et de soutenabilité évidemment il s'agit pas de faire de l'IA parce qu'on peut faire de l'IA il s'agit d'avoir des bonnes pratiques tous ensemble quand on ser uni tous ensemble on fait des bonnes pratiques on fait de la CSRD sans le savoir comme Monsieur Jourdain donc finalement la réglementation quand on comprend comment elle fonctionne il s'agit d'éviter qu'elle ne soit redondante quand on vous dit de faire des analyses de risque sur du déploiement d'outils à base d'IA vous allez pas faire tout seul dans votre coin l'analyse d'impact rgpd puis après vous allez vous faire une analyse d'impact ria qu'a dit la présidente de l'acnil il y a 2 semaines elle a dit on va faire en sorte que les analyse de risque elle puisse être on va éviter qu'elle soit redondante donc c'est la même logique c'est l'approche par risques c'est de la régulation et donc il y a la réglementation et il y a la régulation faire confiance aux opérateurs économiques pour qu'ils fixent aussi leurs bonnes pratiques et la contability ça veut dire quoi ça veut dire se responsabiliser donc on n pas besoin d'un empilement de normes on a besoin aussi de savoir se mettre ensemble pour les mettre en place ensemble ces bonnes pratiques opérationnelles si je suis dans le secteur de la défense ou si je suis dans le secteur du spatial j'ai des bonnes pratiques particulière sur la réglementation orbite basse et cetera on a une réglementation qui est pas simple mais on on est sur des technoduales donc là j'ai besoin de l'any j'ai besoin de de spécialistes et j'ai besoin d'avoir une réglementation métier entre guillemets quand je suis dans le domaine du transport c'est exactement la même chose quand je suis dans le domaine des données de santé exactement donc on doit réfléchir sectoriel et mutualisation me semble-t-il bon sens paysan peut-être c'est-à-dire de de se mettre ensemble par secteur d'activité donc je pense que c'est c'est une bonne opération et c'est une façon d'éviter que les incidents cbin ou les violations de données ne soient létal pour les organisations que nous représentonsad alors je oui oui ouici euh alors je je crois aussi beaucoup à l'intelligence collective et à la vertu des têtes de réseau donc c'est ce qu'on a essayé de d'être et effectivement peut-être que il une manque d'organisation et d'harmonisation des entités qui sont sur le territoire parce que on a eu besoin peut-être de faire feu de tout bois on a eu besoin qui est d'initiative régional on a eu besoin qui est des campus qui se développent on a eu besoin de faire monter un peu un écosystème d'entreprise et de prise de conscience de la cybersécurité j'allais dire après cette période de créativité importante autour de la cybersécurité il faut peut-être mettre un peu de rationalisation et je ne pense pas hélas effectivement pour répondre aux questions qui ont été posées sur les cissard qu'ils vont suffire non seulement parce que je crois je crois que c'est aura qui n'en a pas voilà euh et que pour ce qu'on connaît nos MDEF je crois qu'il y a que deux ou trois personnes au CIRT Corse donc ça ne enfin et c'est très bien qu'il y en ait un mais c'est le nombre de personnes sera sans doute pas suffisant et je m'excuse auprès des corps si jamais je me trompe donc on a besoin de cette aide de réseau et c'est cette capacité à réagir collectivement qui va nous aider et oui sembleterait-il qu'il soit nécessaire de mettre un peu de cohérence sans vouloir tout décider de Paris parce que il y a aussi beaucoup d'initiatives très créatives dans les territoires qu'il faut maintenir après beaucoup de choses je me répète peut-être un peu mais repose sur les entreprises dans ce texte il faut qu'elles se notifie il faut qu'elles se met en conformité c'est elles qui vont payer le coût de contrôle et elles vont payer le coût des sanctions s'il y en a donc effectivement comme disait madame il faudrait que la partie je dire une partie de la responsabilité ne soit pas que sur les entreprises mais soit aussi dans un écosystème qui puisse nous porter donc je rappelle hein le la belle cyber expert ben c'est peut-être bien la capacité à avoir des systèmes d'information global et de prévention euh alors l'exemple qui a été donné de de de département de France est très intéressant nous on a affiché sur chaque étage dans notre organisation les cinq gestes à faire en cas d'attaque cber à côté des indications incendie et ça on les a pas inventé c'est celle du cyber malveillance de nouveau euh et je pense que c'est cette culture de la sécurité qui doit imprégner absolument tout le monde et je pense que ça ça coûte pas forcément grand-chose la compétition entre les réglementations je vous confirme que on a plus entendu parler dans nos réseaux d'entreprisees de la cs3d la euh euh CSRD merci euh que dece 2 pourquoi je ne sais pas euh c'est peut-être un effet marketing ou de communication euh il y a pas pour moi il y a pas de je veux dire de de mise en concurrence des réglementations il y a un esprit effectivement de mise en en sécurité finalement de la manière dont on travaille globalement et il faut essayer de d'en d'en donner les meilleurs aspects parce qu'économiquement on on va on va y gagner en tout cas sur la cybersécurité euh j'en suis personnellement convaincu enfin effectivement ce que je voudrais aussi dire pour pour pour terminer c'est que je pense que globalement on a toutes les cartes en main et que comme je l'ai dit précédemment on a des très belles entreprises de la cybersécurité il faut leur donner un marché et peut-être comme ça a été souligné ça serait dommage qu'on se repose sur une espèce de prête à manger globale euh on s'interroge de savoir si dans le texte effectivement comme la Belgique l'a fait et je pense que c'est intéressant de se benchmarker vis-à-vis des pays qui ont déjà transposé la directive d'avoir un système peut-être un peu d'accélérateur ou d'ascenseur de la cybersécurité où on peut appuyer sur un bouton et arriver directement au bon étage et en l'occurrence les Belges ont fait un système de finalement d'équivalence de conformité avec les lesénmes iso 271 si je me trompe pas euh et peut-être qu'il y a quelque chose à réfléchir alors ça peut-être ne satisfaera pas complètement un esprit très expert et très jeis dire oui compétent tel que on les retrouve au niveau de l'an mais on a besoin de faire monter des marches les unes derrière les autres en même temps la laabilisation ça coûte de l'argent je sais pas si c'est la meilleure solution mais peut-être qu'il y a quelque chose de une présomption de conformité à créer pour aider les entreprises et que le coût ne soit pas trop infranchissable pour elle voilà je vous remercie vraiment pour votre intervention tion parce que ça correspond très exactement à ce que je pense je suis pas du tout convaincu qu'il fallait mettre de la loi dans ce domaine on n pas fait une loi pour mettre des des volets ou des serrures aux portes et aux fenêtres d'accord donc je vois pas pourquoi il en faudrait une pour mettre des firewall sur les serveurs je pense que on est effectivement dans une question qui se pose l'exemple que vous donner de la Belgique et je renvoie du coup ça me là aussi ça va faire la transition ils ont sorti la direec Nice 2 en Belgique et je recommande à toutes les entreprises de d'aller le lire puisque Nice 2 pour qui pourquoi ça pororte beaucoup de réponses effectivement c'est très pragmatique en terme d'approche et je pense qu'il faut pas oublier quand on demande aux entreprises de payer pour assurer leur sécurité que l'État est aussi là pour assurer la sécurité des citoyens et on est en train de parler d'une industrie la cybercriminalité qui est d'un chiffre d'affaires de 1500 à 2000 milliards de dollars sur une année donc demander aux entreprises de porter la responsabilité par rapport à ceux qui les attaquent ça pose quand même un petit peu question sur la réflexion et sur notre démarche actuellement donc sachez que toutes ces interrogations en vous disant est-ce que c'est bien le bon sens aussi on se les pose avec les rapporteurs et ça fait partie justement de tout le travail de réflexion parce que effectivement faut transposer il y a beaucoup de d'intelligence collective aussi au Sénat vous savez qui travaillent sur les questions et euh et donc sachez qu'on est en pleine écoute et je vous remercie encore de toutes vos interventions j'ai une dernière intervention de notre collègue Vanina Paulie gagin oui monsieur le Président messieurs les rapporteurs mes chers collègues merci beaucoup aux intervenant j'avais une question pour bien comprendre comment ça s'articule avec les opérateurs du cloud parce que beaucoup des données dont on parle vont sur ce type d'infrastructure qui malheureusement on le sait tous ne sont pas propriétaires si on peut s'exprimer ainsi et l'absence de Cloud souverain européen n'est-elle pas un talon d'achile finalement de tout l'édifice de protection numérique qu'on essaie quand même aussi de fortifier avec avec ce projet de loi résilience merci beaucoup alors je je Seris ravie de répondre à votre question madame la sénatrice alors effectivement dans les dispositifs qui sont prévus par le projet de loi il est possible que l'ANS demande que les entreprises a recours à des produits certifiés donc c'est une possibilité c'est ouvert côté du medf nous souhaitons que les entreprises soient le plus libre possible et cette liberté ellee s'exerce dans deux sens dire qu'effectivement pour être libre P être éclairé donc avoir un choix éclairé donc la première le premier sujet qui est un cheval de bataille pour nous c'est la transparence donc on a besoin de savoir quand on a recours à un service ou un produit quel service et quel produit on utilise et queles en sont les contraintes diverses techniques mais aussi juridiques pour y venir directement le MEF a pris en juin dernier une position favorable à ce qu'on appelle la labilisation euucs plus c'est-à-dire avec la transparence de l'application ou non de loi extraterritoriale on sait qu'il y a des points contraires notamment dans d'autres pays européen sur ce sujet mais nous sommes plusieurs organisations à militer pour que ce niveau reste pas tant pour deviennent obligatoire je précise bien mais parce que plusieurs entreprises au travers de l'ensemble de l'Union européenne et d'ailleurs c'est pas nous qui l'avons organisé mais il y a un pledge d'entreprises européennes qui s'est organisé lui-même pour dire pourquoi ces entreprises souhaitaient avoir ce niveau de laabilisation donc à partir du moment où des entreprises le veulent bah nous le voulons également mais nous le voulons pour qu'elles puisse le choisir pas pour que ce soit imposé puisqueeffectivement dans l'autre sens effectivement si une entreprise veut avoir recours à n'importe quel jeis dire press de Cloud de son choix nous souhaitons qu'elle puisse en avoir besoin dans la limite effectivement de la disposition qui est prévue si l'anti souhaite que une entreprise pour une raison X ou Y est recours à un produit labellisé mais on ne souhaite pas que ça soit une règle généralisée voilà je merci beaucoup vouz sur le Cloud je pense qu'il y a des enjeux qui nous dépassent notamment des enjeux de négociation en ce qui concerne leucs il y avait une disposition qui était très importante la l'immunité à la portée extraterritoriale du droit notamment hor euu et malheureusement des des des influences et des des des Lutes d'influence aussi au niveau européen non'ont peut-être ne permettront peut-être pas à ce que ça fonctionne ensuite au niveau de la liberté je je vous rejoint complètement mais on va se retrouver aujourd'hui à une augmentation du coût des licences et on le voit déjà arriver donc on doit trouver des solutions alternatives aux clotes cernifiées qui nous sont proposées et on a toutes les possibilités me semble-t-il de faire plus petit moins cher plus soutenable des opérateurs américains c'est comme pour le gaz russe pardonnez-moi monsieur le Président on va finir par dépendre du prix que vous voudrons bien euh instaurer parcequils ont le monopole les les solutions américaines je je vous remercie en tout cas euh merci vraiment pour euh vos intervention euh vous avez la possibilité évidemment de nous envoyer une contribution ça fera ça viendra euh alimenter le travail de nos rapporteurs ici qui qui pourront continuer merci à mes collègues d'avoir participé je propose qu'on s'arrête là maintenant 3 4 minutes avant que reprenne la prochaine audition de Lancy merci encore merci beaucoup chers collègues nous