Cybersécurité : audition de Clara Chappaz

nvette qui va nous rejoindre dans quelques minutes Patrick chaise huxori qui est excusé et les membres ici présents de la Commission spéciale sur le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité je voudrais excuser chacun des membres absents retenus dans leur circonscription ou dans l'hémicycle puisqueau même moment nous avons une PPL agriculture qui qui démarre et je veux saluer Damien Michel qui a été réélu récemment président de la commission supérieure du numérique et des postes ma collègue aussi Catherine main de sailli qui m'a expressément demander de l'excuser auprès de vous je rappelle que notre commission spéciale s'est constituée le 12 novembre dernier pour examiner ce texte et que nous devions ouvrir notre cycle d'audition par votre audition le 9 décembre dernier date que nous avions prévu avant que la censure n'entraîne la démission du précédent gouvernement vous voilà donc enfin devant nous permettez-moi de permettez-nous de nous en réjouir et de vous en féliciter puisque votre présence est le signe d'une continuité ministérielle bienvenue pour le suivi d'un texte très attendu par les professionnels de la cybersécurité et tous les utilisateur de système d'information je crois que ça veut dire à peu près tout le monde en effet ce projet de loi vise à la transposition de trois directives différentes la directive sur la résilience des entités critiques ditrec la directive concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union ditnis 2 et la directive qui concerne la résilience opérationnelle numérique du secteur financier dit d'ora votre présence est aussi le signe qu'enfin le calendrier se dégage pour l'examen de ce texte en séance au Sénat prévu le 11 mars prochain sous réserve de confirmation dans les prochains jours par la Conférence des Présidents avant de vous accueillir la commission SP n'est pas resté inactive les rapporteurs ont mené des auditions et nous nous sommes rendus à Bruxelles auprès de la Commission européenne et des autorités Belg qui ont d'ors et déjà transposé la directive Nice 2 selon un modèle intéressant basé notamment sur la norme ISO 27001 la Commission a également entendu monsieur Vincent Strubel directeur général de l'any et organiser deux tables rondes réunissant d'une part le Medef et la CPME d'autre part la semaine dernière des associations d'experts de la cybersécurité l'Alliance pour la confiance numérique le CLUSIF le CyberCercle et la cyber Task Force ces auditions ont d'ors et déjà soulevé un certain nombre de préoccupations sur l'économie du projet de loi le rôle de l'ANS les obligations et sanctions applicables aux entreprises la transposition de ces directives est essentielle pour renforcer la cybersécurité en europeope mais le projet de loi présente des risques de divergence par rapport aux autres pays européens d'après les premières auditions il apparaît crucial d'adopter une approche proportionnée en évitant les surtranspositions et en harmonisant les obligations de sécurité nous y reviendrons madame la ministre après votre intervention liminaire lors de nos échanges avant de vous céder la parole je rappelle que cette audition fait l'objet d'une captation vidéo qui est retransmise en ce moment sur le site internet du Sénat puis consultable en vidéo à la demande vous aviez tenu madame la ministre à venir nous présenter ce projet de loi je vous donne donc la par après quoi chacun des rapporteurs puis ceux des collègues qui le souhaitent vous poseront leurs questions je vous en prie merci monsieur le Président messieurs les rapporteurs Mesdames et Messieurs les sénatrices et sénateurs tout d'abord permettez-moi de vous remercier pour cette audition dont l'organisation vous l'avez mentionné a été bousculée par l'actualité politique des dernières semaines c'est un véritable honneur de pouvoir donc m'adresser à vous sur ce sujet d'intérêt stratégique aujourd'hui le renforcement la cybersécurité et la résilience de nos infrastructures numériques sont au cœur du projet de loi sur lequel j'aurai le plaisir de revenir plus en détail et que vous aurez la mission d'examiner le renforcement de notre sécurité n'est plus un enjeu secondaire ou réservé à des experts techniques nous sommes toujours plus confrontés à des menaces de multi des menaces multiples tant dans le monde physique que dans l'environnement numérique aux risques naturels sécuritaire et sanitaire s'ajoutent désormais des risques technologiques et des menaces liées à des ingérences étrangère dans un contexte de tension géopolitique accrue la crise sanitaire du covid-19 a souligné combien l'économie mondialisée repose sur des chaînes de valeur diffuses et des processus de production extrêmement fragmentés de la conception à la distribution ce qui accroî les risque ces interdépendance signifie que toute perturbation de nos services essentiels même initialement limité à une entité ou un seul secteur peut produire des effets en cascade plus larges et avoir une incidence négative de grande ampleur sur la fourniture des services au sein du marché européen au pic de la pandémie du covid-19 le retour de contrôle aux frontières a perturbé la poursuite de certaines de nos activités la distribution de composants intermédiaires et la livraison de produits finis de toute nature le contexte géopolitique g géoéconomique et sanitaire mondial se caractérise désormais par une particulière instabilité des conflits locaux ont une incidence mondiale à l'instar de l'approvisionnement en céréales perturbé par la guerre en Ukraine ou encore du conflit entre Israël et le Hamas entraînant un regain de tension dans une région capitale pour le flux mondial des marchandises les exemples sont nombreux de retard ou même parfois de pénurie de certains produits ou d'rées ainsi lors de la récente pandémie de covid-19 que j'ai cité nous avons pu voir l'accélération d'une prise de conscience en la matière et la France a constaté sa dépendance à la production de paracétamol et d'autres principes actifs médicamenteux de la même manière la bascule majeure de notre notre pays en télétravail a accru l'exposition de nos infrastructures économiques et sociales aux risques cyber c'est dans ce contexte que l'utilité de chacun des titres du projet de loi dit résilience est démontré sans détour le premier titre le Titre 1 qui transpose la directive REC s'attagee d'abord à maîtriser la variété des risques auxquels sont confrontés nos infrastructures et opérateurs critiques nous ne partons pas de rien dès 2006 la France a fait le choix précurseur de mettre en œuvre un dispositif de protection des secteurs d' activité d'importance vitale afin de lutter contre ces risques mais l'évolution vers plus d'imprévisibilité géopolitique que je mentionnais ainsi que la diversification des menaces doit nous conduire et conduire les opérateurs d'importance vitale à intégrer davantage dans leur réflexion leur propre évolution dans leur environnement d'activité et ce au sens le plus large possible il ne s'agit donc plus de prendre seulement en compte la sécurité de leurs installations physiques mais de tous les éléments qui concourent même indirectement au fonctionnement de leur activité en outre la cybersécurité est désormais un pilier de notre souveraineté une composante de notre robustesse économique et financière et un préalable à la confiance que placent nos citoyens dans les services numériques car vous l'avez dit il s'agit bien de toutes et tous qui utilise ces services aujourd'hui une prise de conscience collective s'impose à nous au gré de la multiplication des incidents à tous les échelons c'est à cette question que s' tâche de répondre le titre 2 du projet de loi consacré à la directive Nice 2 là aussi nous ne partons pas de rien la France disposait desès 2013 d'une réglementation robuste pour renforcer la cybersécurité des systèmes d'information d'importance vital ce cadre a été ensuite complété avec la directive Nice 1 au profit de près de 300 opérateurs de services essentiel qui était la cible privilégiée d'une menace cyber dite stratégique ces opérateurs de services essentiels ou ose ont gagné en maturité dans la gestion de leur menaces en ligne ont intégré la réglementation dans leur procédurees internes et ont ainsi évolué avec succès vers des systèmes d'information plus robustes cependant comme le directeur général de l'ancy que vous avez eu la chance de pouvoir auditionner il y a peu de temps le mentionner la menace cybè a fortement évolué ces dernières années cette menace historiquement très stratégique et désormais devenu devenue systémique elle est de plus en plus le fait de groupes cybercriminel organisés qui opère à but lucratif ou s'efforce de nous déstabiliser pour des raisons idéologiques les attaques par rensongiciiciel les campagnes de fishing les attaques d'origine étatique qui persistent ne cible plus uniquement les grandes entreprises ou les infrastructure critique elle concne elle concerne bien l'ensemble du tissu économique et social toutes les organisations sont concernées avec une hausse de 30 % des attaques et dont 60 % d'entre elles qui concernent les TPE et PME et les collectivités territoriales ce nombre croissant d'entités ciblées et de victimes ne font l'objet certaines ne font l'objet d' unee RG d'aucune réglementation cyber à l'heure actuelle et parallèlement la maturité des des entités essentielles en la matière rend ces nouvelles entités moins matures beaucoup plus attractives aux yeux des cybercriminels pour citer quelques exemples chers à vos circonscription respective dans le domaine de la santé l'attaque perpétrée au mois d'octobre dernier contre le groupement hospitalier hospyant ouest qui dispose d'un établissement à quimpè a ainsi entraîné la déprogrammation de plusieurs opérations et affecté directement les patients il en a été de même avec le département de lin avec le centre hospitalier de Bour en Bress cela est loin d'être anodin surtout lorsque certaines études comme celle mené par trois chercheuses de l'Université du Minnesota nous apprennent qu'en cas d'attaque en Ron logiciel la mortalité des patients déjà admis à l'hôpital augmente de 35 à 41 %. je le mentionnais les collectivités territoriales ne sont pas en reste elles sont même une C privilégiée des attaques par renongiciiciel entre janvier 2022 et juin 2023 par exemple l'ancy a traité en moyenne 10 attaques par mois contre une collectivité tout département confondu c'est ainsi qu'au mois de novembre le Conseil départemental du Loiret qui a été touché par le vol de 240 gooct de données a aussi été touché face à l'évolution de la menace à l'ampleur de ses conséquences les États-membres européens dont la France ont jugé qu'il était impératif de moderniser notre cadre réglementaire et se sont milisé en ce sens ces efforts concernent également notre système financier qui est tout aussi exposé à la menace plus de la moitié des banques ayant été victimes d'une attaque réussie en 2024 selon les chiffres de l'Autorité bancaire européenne sur cette même année 2024 ici en France les sites de la Poste et du Crédit Agricole se faisait pirater avant que la Banque de France confirme pour sa part avoir constaté des des intrusions extérieures sur l'un de ses extranets la transposition de la directive accompagnant le règlement d'ora au sein du titre 3 de ce projet de loi nous permettra donc d'adresser les risques cyber spécifiques qui pèsent sur ce secteur les exemples concrets que j'ai cité illustre combien certaines menaces ont des répercussions tangibles sur le quotidien de nos entreprises de nos collectivités mais surtout de celui de milliers de Français le coût de ces attaques est très important en 2022 le cabinet d'études économique Aster l'estima en France à 2 milliards d'euros au-delà du seuil aspect financier je perçois que ces attaques contrib but aussi et surtout à ébranler la confiance des Français dans la la capacité de nos institutions publiques à les protéger le projet de loi résilience répond à cet impératif grâce à une approche globale qui qui s'exprima qui s'exprimera excanté pardon par une meilleure prévention des risques et expost par une réaction rapide et efficace en cas d'incident je tiens à saluer à ce titre le choix qui a été fait par le Sénat de constituer cette commission spéciale cela permettra de s'appuyer tout au long de l'examen sur l'expertise à la fois de la commission des affaires étrangères et de la défense de la commission des finances et de la commission des affaires économiques si vous me le permettez je souhaiterais maintenant donner quelques précisions sur chacun des trois volets du texte sur le Titre 1 qui transpose donc directement qui transpose donc la directive sur la résilience des entités critiques ou REC il consacre avant tout un changement d'approche quant à la protection des opérateurs fournissant des services vitaux pour les fonctions sociétales ou les activités économiques là où le dispositif de saiv précédent était surtout concentré sur la protection physique des infrastructures il s'agit désormais de mettre aussi l'accent sur la résilience et l'adaptabilité des opérateurs nationaux face aux crises y compris à l'échelle européenne c'est une démarche salutaire pour tirer les conséquences des crise passé tenir compte des interdépendances d'aujourd'hui et mieux protéger demain des activités indispensables à notre vie économique et sociale c'est notamment vrai pour des domaines tels que la santé l'alimentation ou encore l'eau potable donù nous avons pu tristement mesurer importance pour notre souveraineté au cours des dernières années avec le dispositif de saiv environ 300 opérateurs et 1500 points d'importance vitale faisait l'objet d'une protection spécifique la transposition de la directive REC permet de moderniser ce cadre et de le rendre plus adapté au défi actuels surtout cette harmonisation de la réglementation permettra de mettre l'ensemble des États-membres sur un pied d'égalité et de réduire le décalage qui existait entre la France et ses voisins qui pour certains ne possédaient pas de dispositifs similaire aux nôre la transposition de la directive REC rétablira ainsi une égalité concurrentielle entre nos opérateurs et leurs homologues européens tout en répondant mieux dans le contexte d'une économie mondialisée au risques transfrontaliers et d'interdépendance des chaînes d'approvisionnement la transposition que le gouvernement vous propose consiste à préserver les principes de la politique de SAV tout en restant le plus près possible des exigences de REC nous aurions pu refondre intégralement ce dispositif mais il a semblé préférable de capitaliser sur notre leg les entités critiques pourront ainsi continuer à s'appuyer sur une pratique et une méthode éprouvée ce qui facilitera leur travail de conformité et rendra les coûts limités en substance les nouveautés concernent d'abord le nombre de secteurs couverts 12 selon les saiv auquel REC ajoute trois nouveaux secteurs assainissement réseau de chaleur et hydrogène et les nouveautés résultent aussi du passage d'une logique de sécurisation des sites à une logique de résilience axée sur la continuité de l'activité les acteurs concernés devront désormais réaliser une analyse des risques consignés dans des plans de résilience mieux identifier les dépendances qui les lié à leur prestataire ou d'autres secteurs et notifier les incidents majeurs qu'il pourrait constater ces mesures garantissent une prise en compte accrue des risques qu'ils soi physique ou numérique s'agissant des collectivités territoriales la directive ne les couvre pas en tant que secteur spécifique les collectivités concernées sont celles qui sont déjà désigné OIV car elles assurent des activités d'importance hôpitale ou service essentiel selon REC dans les secteurs qui qui relève de leurs compétences par exemple les secteurs de la gestion de l'eau des transports ou encore de l'énergie pour les collectivités qui gèrent déjà ces compétences en régie les changements seront donc marginaux le Titre 1 du projet de loi s'inscrit dans une politique cohérente et globale en matière de sécurité et est donc en synergie avec les obligations prévues par Nice 2 et Dora cela signifie concrètement que les entités régulées au titre de la directive REC devront respecter les exigences de Nice 2 et dans certains cas de Dora afin de se protéger contre la menace cyber j'en passe donc au titre 2 du projet de loi celui consacré à la directive Nice 2 l'objectif de cette directive est de renforcer la résilience cyber de tous les états- membres de l'Union à cet égard l'harmonisation des régimes mis en œuvre sera déterminante c'est pourquoi la transposition qui vous est proposée est une transcription fidèle du texte européen de plus les négociations depuis les négociations puis la rédaction de ce texte on é ont été guidés par la volonté que la directive européenne puisse être appliqué par tous le principe de proportionnalité est donc un fil conducteur du projet de transposition que le gouvernement vous soumet Nice 2 établit ainsi une distinction claire entre les entités importantes d'une part et les entités essentielles de l'autre qui est reprise par le projet de loi cette classification permet de fixer des obligations adaptées au profil de chaque acteur tenant compte de sa taille de ses capacités financières de son secteur d'activité ou encore son degré de criticité les premières les entités importantes représentent la très grande majorité des entités couvertes environ 80 %. ce sont pour une grande part des petites structures qui bénéficieront d'un régime proportionné centré sur les bonnes pratiques d'hygiène numérique pour se préparer elles peuvent d'ors et déjà s'appuyer sur le guide pratique du même nom rédigé par l'ancy cette approche permettra de munir les entités les plus fragiles d'un filet de sécurité minimal en matière cyber qui soit adapté à leur ressources tant humaines que financièr et qui leur permettent de faire face à une attaque par un renongiciel courant les secondes les entités essentielles seront soumises à des exigences de cybersécurité plus strictes et à des contrôles accrus une attaque réussi sur de grands opérateurs peut avoir des conséquences en cascade dans des secteurs connexes voire même dans d'autres pays il est nécessaire que ces acteurs soient particulièrement responsabilisé contrairement à la majorité des entités importantes ces acteurs sont déjà déjà bien armés par leur taille leur surface financière leur dispositifs de gestion des risques et leur connaissance des enjeux de cybersécurité une grande majorité d'entre eux sont déjà soumis aux réglementations précédentes ce qui leur permettra d'absorber à moindre frais les coûts de conformité associés grâce à son champ d'application large ces exigences ces exigences proportionnées adaptées et raisonnables la mise en œuvre de Nice 2 permettra de faire passer à l'échelle la cybersécurité du socle fondamental de notre nation notre société et notre économie au total ce seront plus de 15000 entités qui seront régulées par Nice 2 en France dans 18 secteurs d'activité les entités régulées devront répondre à des exigences de différents types tout d'abord elles devront s'enregistrer auprès de l'ANC et indiquer par ce biais dans quelle catégorie d'entité ell se situe elles devront ensuite notifier les incidents ayant un impact important sur la fourniture de leurs services et potentiellement en informer le public elles devront prendre des mesures nécessaaires et adapté afin de protéger leurs réseau et système d'information contre les risques cyber auxquels elles sont exposées si vous y consentez les objectifs de sécurité seront précisés par la voie réglementaire nous nous disposerons ainsi de la souplesse nécessaire pour les faire évoluer dans le temps en fonction de l'évolution de la menace qui évolue au fil des années et pour tenir compte des spécificités des entités régulées le référentiel qui est prévu a fait l'objet de plusieurs concertations avec les représentants des secteurs d'activité couverts par le texte il a été révisé à plusieurs reprises et continuera à l'être et à être coconstruit jusqu'à sa parition le principe de proportionnalité dont je vous parler se traduit également par un échelonnement des contrôles ils pourront intervenir en amont et en aval pour les entités essentielles mais uniquement en aval pour les entités importantes je voudrais dire ici un mot des collectivités territoriales pour lesquels la directive prévoit un droit d'option que le gouvernement a choisi d'activer ce choix s'appuie sur le constat que plus d'un quart des victimes d'attaques par Ranong iiciel recensé par la NC en 2023 concerné des collectivités elles seront environ 1800 à être concerné directement par Nice 2 les collectivités de moins de 30000 habitants l'immense majorité des communes ne seront sont concerné que par leur intercommunalité de rattachement nous sommes bien conscients des efforts que certaines collectivités devront faire et nous avons été sensibilisé à plusieurs reprises sur cette question j'ai moi-même échangé régulièrement avec les associations d'élus locaux depuis ma prise de fonction et je peux vous dire que aucune association aucune collectivité ne remett en cause ni l'objectif ni l'intérêt de ce projet de loi cependant elles exprime un vrai besoin d'accompagnement sur lequel j'aurai l'occasion de revenir j'en viens enfin au troème volet volet du projet loi relatif au renforcement de la résilience numérique du secteur financier ces dernières décennies la transformation numérique de notre économie n'a pas épargner le système bancaire et financier banque en ligne ou mobile paiements électronique les institutions financières sont toujours plus dépendantes aux technologie et toujours plus exposé au risques cyber le système financier est en NRE très interconnecté à l'échelle mondiale ce qu' l'expose au risque de contagion et d'incident systémique selon le FMI il aurait subi plus de 20000 incidents en 20 ans connu une perte de 28 milliards de dollars uniquement entre 2020 et 2024 or à l'échelon européen la gestion des risques cyber en matière financière a été prise en compte jusque au prix d'une forte fragmentation et complexité juridique jusqu'au règlement Dora qui nous occupe les les établissements financiers devait s'appuyer sur huit directives différentes pour comprendre les exigences à respecter le chevauchement de ces textes l'hétéréogénéité des approches national ne permettait pas un fonctionnement optimal du marché intérieur l'harmonisation apportée par le règlement d'oraa est donc la bienvenue la France l'a négocié en exigeant qu'il soit bien articulé avec Nice 2 dont il est l'une des dont il est une déclinaison sectoriel ce règlement est construit sur cinq piliers principaux premièrement l'adoption de procédure d'identification et d'atténuation des risques liés aux technologie deuxièmement la mise en place d'une procédure de notification des incidents troisièmement la réalisation de tests de résilience opérationnelle qurièmement l'encadrement de la gestion des risques liés à leur prestataire et enfin le partage d'information entre entités financière afin d'améliorer notre résilience collective la directive accompagnement le règlement la directive accompagnant le règlement d'ora qui est proposé de transposer vise à assurer une cohérence juridique et technique entre le règlement qui est d'application directe et les h directives que je viens de vous évoquer vous l'aurez compris le projet de loi résilience est un texte ambitieux et pragmatique qui repose sur une philosophie claire protéger efficacement sans entraver l'innovation ou notre compétitivité nous veux donc nous devons donc tenir une ligne de crête que je résumerai selon l' approche méthodique en trois axes premièrement celui de la proportionnalité je l'ai déjà évoqué deuxièmement celui de la concertation en effet ce texte n'a pas été construit en chambre mais avec toutes les parties prenantes sur Nice 2 en particulier comme vous l'a rappelé son directeur Lancy a mené plus de 70 consultations depuis septembre 2023 j'ai eu moi-même l'occasion de m'entretenir dès ma prise de fonction avec plusieurs d'entre vous mais aussi avec des associations d'élus des élus eux-mêmes des des entreprises des fédérations partout sur le territoire ce dialogue est bien entendu amené à se poursuivre tout au long de la vie du texte y compris sur son volet réglementaire et pendant sa mise en œuvre enfin le dernier le dernier axe je vous avais dit que j'y reviendrai est celui de l'accompagnement il s'agit d'une demande consensuelle à laquelle le gouvernement entend bien répondre je rappelle d'abord que l'objectif de ce texte n'est pas de sanctionner mais bien d'identifier nos points de vulnérabilité et de renforcer notre sécurité numérique au bénéfice de tous aujourd'hui la question n'est plus de savoir si une entité sera attaquée mais plutôt quand elle le sera j'ai conscience que pour certains acteurs nouvellement assujétis la marche semble haute je me permets cependant de rappeler et de leur rappeler que le coût de la sécurité est inférieur au coût d'une attaque réussie d'un facteur 100ang l'accompagnement sera placé au cœur de la mise en œuvre de ce texte de loi au-delà des outils en ligne que l'ancy a développé et qu'elle enrichira tel que mon aide cyber ou mon espace Nice 2 qu'elle a pu vous présenter des réseaux de terrain joueront un rôle de proximité particulièrement précieux pour les entités régulées je pense notamment aux Chambres de commerce aux campus cyber régionaux au CIRT aux fédérations professionnelles qui seront autant de relais utiles dans nos territoires nous sommes en train de travailler à un renforcement une meilleure structuration et une plus grande lisibilité de ces réseaux et guichets de terrain l'enjeu est que les entités régulées puissent disposer d'un parcours clair de l'évaluation de sécurité jusqu'à la notification d'incident ou la sollicitation des services de remédiation pour conclure je voudrais dire que ce texte est l'opportunité d'élever collectivement nos compétences et notre conscience en matière de risques cyber c'est en réalité un changement de culture qui est appelé ici aujourd'hui l'intégration de la gestion des risques cyber dans les stratégies des organisations est désormais impératif voir une condition sinequanone de notre développement nous continuerons les efforts de sensibilisation en ce sens et veilleront à ce que l'ensemble des citoyens adopte les pratiques d'une bonne hygiène numérique je porte aussi la conviction personnelle que le présent projet de loi est une opportunité unique pour notre écosystème cyber français le marché de la cybersécurité est en pleine expansion et nos entreprises n'ont pas à rougir elles sont reconnues et ont un rôle clé à jouer dans le secteur en renforçant la sécurité de nos infrastructures en stimulant l'innovation nous créons les conditions d'une croissance durable les start-up et PME françaises spécialisés dans les solutions de sécurité informatique pourront non seulement répondre à la demande nationale mais également exporter leur compétences et leur technologie à l'échelle européenne les prestataires de proximité au premier rang desquels ceux qui sont référencés par le jpassima seront également en première ligne pour accompagner les entités aussi en veillant à une transposition au plus proche des textes européens nous limiterons les frictions juridiqu et garantiront une concurrence loyale entre les entités couvertes par Nice 2 dans les différents états- membres de l'Union européenne nous partageons je le crois cette ambition collective de relever notre niveau de cybersécurité et de renforcer la résilience de notre nation c'est un impératif majeur quasi existentiel la force d'une chaîne dépend cependant de son maillon le plus faible nous ne pourrons pas atteindre notre meilleur niveau que si chacun d'entre nous place la cybersécurité au cœur de ses préoccupations et continue à se préparer au défis qui nous attend au regard des échanges que j'ai pu avoir je suis convaincu que les dépat que les débats que nous aurons dans les semaines à venir seront constructifs et que nous pourrons grâce à ce texte faire de la France un modèle en matière de résilience et d'innovation cyber je vous remercie merci beaucoup madame la ministre sans plus attendre je vais proposer à mon collègue Patrick Chise de lancer les premières questions merci monsieur le président madame la ministre mes chers collègues je remercie madame la ministre d'être présent aujourd'hui devant nous pour cette audition nous l'avons dit nous espérions quasiment plus l'organisation de l'audition end avec impatience la venue d'un membre de gouvernement pour évoquer avec nous les enjeux de cybersécurité le sujet est certes moins dans l'actualité et moins médiatisé que celui de l'intelligence artificielle mais il en est il n' est pas moins urgent et primordial en ma qualité de rapporteur chargé d'examen du titre 2 de ce projet de loi mon intervention sera centrée sur la transposition de la directive Nice 2 au-delà de la hausse du nombre de secteurs identité régulé c'est un changement majeur de paradigme qui est à l'œuvre il ne s'agit plus seulement de sécuriser des infrastructures critiques mais aussi d'assurer la résilience des entités critique en tant qu'organisation et de l'ensemble de leur système d'information autrement dit la couverture est beaucoup plus large de ce qui était prévu dans la précédente directive Nice 1 depuis le début de l'année je mène des auditions auprès de différents représentants sectoriels experts de la cybersécurité et administration je ne peux que témoign de l'ampleur du chemin qu'il reste à parcourir pour une plus grande prise de conscience collective surtout je ne peux que regretter le manque de visibilité et le manque de communication autour de la transposition de la directive Nice 2 il y a certes beaucoup d'initiatives qui ont été prise par l'ANC mais qu'en est-il du portage politique que comptez-vous faire madame la ministre pour enfin donner à ce sujet la visibilité qu'il mérite une campagne de communication institutionnelle ne serait-elle pas pertinente j'allais dire pour les secteurs concernés mais aussi pour toutes les entreprises et collectivité de France je me permets d'insister car ce sont plus de 15000 entreprises qui sont concernées mais aussi près de 1500 collectivités territoriales groupements de collectivités et organismes placés sous leur tutelle dont l'ensemble des régions et des département près de 1000 communautés de communes et de 300 communes de plus de 30000 habitants c'est d'autant plus important que l'ensemble de ces organisations devront elles-mêmes évaluer si elles sont soumises à la directive 102 si elles sont entité essentiell ou importantes et elles devront s'enregistrer auprès de l'ANC et lui notifier leurs incidents de cybersécurité comme vous l'avez rappelé madame la ministre toutes les auditions pointent dans la même direction nous ne sommes pas prêt alors que paradoxalement nous sommes déjà en retard aux yeux de la Commission européenne et en comparaison d'autres États-membres il ressort également de mes auditions plusieurs points d'alerte souvent récurrents et concordants sur lesquels je souhaiterais avoir votre avis d'une part et là aussi de façon assez inhabituelle pour notre pays de nombreux acteurs dénonce une soustransposition de la directive et un projet de loi de transposition moins 10 an qui laisse une place trop importante aux dispositions de nature réglementaire par exemple concernant la procédure de notification des incidents alors que la directive Nice 2 prévoit la transmission sans retard injustifié d'une alerte précoce dans un délai de 24 he puis la transmission d'une notification d'incident dans un délai de 72 he le projet de loi ne mentionne pas ce double délai contraint les entités à notifier leurs incidents sans délai et évoque la notification d'incident critique plutôt que d'incident important comment expliquez-vous ces différences qui peuvent nous paraître anodines mais sont loin moins de lettre pour les entités concernées d'autre part à l'inverse certains choix effectués sont assimilables à de la surtransposition dont nous sommes beaucoup plus familiers dans notre pays par exemple l'élargissement du périmètre des entreprises concernées par le projet de loi est régulièrement dénoncé puisque des critères de taille et de chiffre d'affaires sont fixés alternativement tandis que les textes européens les fixent cumulativement là encore entre un E et un ou les sont significatives comment expliquez-vous ce choix enfin le régime de contrôle de sanction prévu pour l'in est de plus en plus perçu comme trop punitif et insuffisamment préventif les entités s'inquiètent du coût financier des contrôles réalisés par l'an qui serait à leur charge de l'absence de prise en compte du caractère intentionnel de la non transmission d'information à l'any et de la rupture d'égalité induite par l'absence de son prévu pour les administrations de l'État comment expliquez-vous ces choix qui nous paraissent là aussi discutables je vous remercie madame la ministre avant de vous poser les questions des autres rapporteurs je vais vous laisser peut-être répondre à ces questions de de Patrick chaise et avec un un tout petit pointe pour venir appuyer vraiment ce que ce qu'a dit mon collègue c'est ce qui est vu par certains comme des soustranspositions puisque effffectivement ça renvoie des décrets je vous rappelle plus de 40 décrets on a calculé donc c'est vraiment au-delà de faites-nous confiance mais c'est un peu déliicat pour le parlementz et et certaines ça peut être vu comme une soustransposition mais une fois qu'on lira le décret ce sera peut-être devenu une surtransposition c'est ce qui inquiè tout le monde je vous en prie madame la ministre merci alors je TER de répondre aux différentes questions que j'ai noté donc premièrement sur la partie communication et sensibilisation et le sentiment que vous avez dans vos discussions de ne pas être que les entités concernées ne sont pas prêtes nous considérons bien que cet objectif de communication est un un objectif absolument majeur je l'ai mentionné Lancy a a fait un travail de fond depuis 2023 avec près de 70 consultations et les fédérations se sont empéré aussi de du sujet j'étais moi-même à l'Européan cyber week à Renn il y a quelques temps où il y avait énormément de de travail autour de ce texte pour sensibiliser les entités qui allaient pouvoir être régulé de par de par ce texte c'est un enjeu qui est vraiment collectif donc l'impulsion des entités des secteurs déjà régulés qui contribu depuis plusieurs années à élever le niveau de sécurité de nos infrastructure et ils vont aider aussi à embarquer toutes les chaînes de valeurs dans ce texte-l l'écosystème cyber au sens large a tout son rôle avec les différents acteurs qu'il composent et qui doivent nous nous sommes bien d'accord avec ça accompagner la ai dans le fait d'accompagner les entités à franchir cette marche la sensibilisation passe par tous les dispositifs que l'ancy vous a présenté donc mon espace Nice 2 en étant un qui permet au aux entités de de comprendre quelles sont les obligations qui seront les leurs de façon très pédagogique et interactive et de découvrir d'appréhender la directive le gouvernement doit prendre toute sa part j'en ai pleinement conscience et nous travaillons à le faire de plusieurs manières avec un certain nombre d'interventions sur le sujet de la cyber j'ai mentionné l'Européan cyber week où j'ai passé un moment l'organisation d'un événement afin de sensibiliser l'écosystème au sens large sur lequel nous travaillons avec le campus cyber mais aussi des campagnes de communication plus directes sur lesquelles nous réfléchissons avec l'ancy à mettre en œuvre en ciblant les entités qui devrai selon les différents modèle de de d'analyse être concerné par le texte pour les informer euh de du fait que ce texte arrive et les invités à aller se renseigner elles-même sur le portail monespace Miss 2 parce que nous n'avons pas accès à toutes les informations qu'ont les entreprises sur les différents éléments qui composent les critères pour être applicable et régulés dans dans le cadre de ce texte mais nous pouvons tout de même faire cette communication un peu plus proactive pour inciter les entreprises et à pouvoir se renseigner donc c'est le cadre dans lequel nous travaillons aujourd'hui je pense que je fais aussi une confiance à toutes les fédérations professionnelles que j'ai pu rencontrer pour porter sur le terrain des messages de sensibilisation d'accompagnement je le mentionnais dans mon propos liminaire et je je vous suis bien sûr reconnaissante de témoigner de de de ce que vous voyez sur le terrain et de nous indiquer et de travailler de B concert quand vous avez le sentiment que le texte n'est pas compris ou pas encore à un niveau de sensibilisation qui est le ntre et en tout cas notre notre ambition je vous le je vous le confirme sur la question de la Sousou sur transp transposition je sais que la notion d'incident a a été questionnée un certain un certain nombre de fois euh en matière de de la notification d'incident donc l'article 17 du projet de loi impose comme vous l'avez mentionné aux entités essentielles important de notifier l'autorité nationale de tout incident important ayant un impact important sur la fourniture de leur service euh dans certains cas qui sont prévus par la loi notamment lorsque la divulgation de l'incident est dans l'intérêt public l'autorité nationale peut après avoir consulté l'entité exiger qu'elle informe le public de l'incident ou le faire elle-même les critères d'appréciation des caractères important et critique des incidents les délais de notification dont vous avez parlé feront l'objet d'une description dans le décret en Conseil d'État qui sera pris pour application de de la loi mais laanc travaille d'ors et déjà à la définition de la notion d'incident important et même si cette définition sera porté par voix réglementaire elle s'appuya sur des critères objectivables qui prendront en compte ceux existant dans les réglementations en vigueur par exemple la notion similaire préexiste dans les dispositions applicables au secteur d'activité importante don je parle en introduction Les saiv et la transposition de la directive Nice 1 et la directive Nice 2 prévoit elle-même certains de ces critères mais il nous paraît nécessaire que laavie réglementaire puisse permettre de vraiment suivre les évolutions du du secteur afin de coller au mieux aux évolutions parce que je pense que vous le savez euh tout aussi tout aussi bien que les professionnels du secteur aujourd'hui les la vitesse à laquelle les menaces de cybersécurité évoluent les techniques évolue nous semble il nous semble plus plus logique de passer par la voie réglementaire afin de pouvoir toujours mettre à jour en fonction de l'évolution de ces menaces les dispositions nécessaires et permettre de garder des critères objectivables en fonction de l'évolution de ces menaces concernant le mécanisme explicque de protection des informations divulguées lors des signalements d'incidents euh c'est le le cœur du métier de l'ANC dont il s'agit et son centre de réponse les textes et et et là-dessus peut-être que j'ai j'ai j'ai pas été assez clair mais les textes réglementaires la façon dont on on on voit le travail c'est qu'ils seront bien sûr soumis à une consultation euh et ce n sont pas des textes que nous prendrons de notre côté euh euh sans sans avoir ces échanges euh comme ce fut le cas d'ailleurs pour la loi la LPM quand il a fallu dans les saivv euh définir les euh les définitions d'incident donc on on a le processus sur lequel on est parti aujourd'hui c'est celui-là il y avait une troisème question je crois sous la la soustransposition non ça cétait la soustransposition sur la surtransposition donc la directive Nice 2 prévoit à son article 2 de s'appliquer aux entreprises moyennes en vertu de l'article 2 de l'annexe de la recommandation et cette annexe c'est où il y a les fameux e ou ou l'article 2 de l'annexe de la recommandation donne deux définitions celle de la micro petite moyenne entreprise et celle des peties entreprise le champ défini est donc le champ pour lequel Nice 2 ne s'applique pas et ça induit une rédaction inversée dans le projet de loi c'est-à-dire que il y a un dépassement des seuils et donc c'est pour ça que le E devient ou je sais pas si vous me suivez et le ou devant le E le la Belgique a suivi la même logique dans sa loi de de transposition mais donc très concrètement la définition colle à la définition l'Union européenne et le projet de loi adapter la définition d'une PME selon cette recommandation pour viser toutes les entreprises au-dessus de cette catégorie donc qui dépasse les seuils fixés mais c'est bien la même la même définition et c'est le même raisonnement pour pour les les EI les entités importante il y avait la question des sanctions euh donc sur la question des sanctions tout d'abord je tiens à rappeler que le texte n'est pas dans une logique de de de bâton mais bien de d'accompagnement des entités à pouvoir se mettre en règle la question des sanctions est là pour pouvoir bah comme comme un comme comme comme dans ce ce type de projet permett de matérialiser le fait que de ne pas se mettre en conformité aura des conséquences mais cependant la logique est bien celle qui est bien d'ailleurs celle de Lancy et d'accompagner les entités vers une mise en conformité et pas seulement de brandir la menace de la sanction selon nous il y a pas de surtransposition dans les mesures de sanction parce que on transpose exactement les mesures de sanction prévues dans la directive NIF 2 et on ne va pas au-delà de ce qui a été prévu à l'échelon européen qu'il s'agisse des contrôle du régime de sanction ou des amendes administratives et je tiens à rappeler que les chiffres qui sont mentionnés le 2 % pour les entités essentiel et le 1.4 % pour les entités importantes sont des seuils maximaux et donc en fonction des différents cas qui seront qui serait nous espérons que tout le monde puisse se mettre en conformité sans sans aller à la commission des sanctions mais s'il y avait des cas la commission des sanctions aurait le soin de prononcer ses sanctions dans un maximal qui est celui qui a été donné mais pas forcément de façon automatique les pourcentages qui ont été mentionnés les entités essentielles elles peuvent être soumises à une interdiction d'exercce mais c'est ce qui est proposé par le cadre de Nice 2 en cas de de nonconformité et aussi je tiens à bien préciser qu'il n'y aura pas de double double sanction Nice 2 et le et le rgpd comme comme vous l'imaginez bien sont très imbriqués l'an et laacneil ils devront coopérer et s'informer en cas d'accident susceptible d'avoir un impact sur les données personnel pour travailler ensemble et de concert donc ça c sur la partie sanction il me semble que c'était les trois points euh il y avait un point sur les contrôles à la charge d' entreprise non et puis le l'exclusion des des sanctions pour les administrations l'exclusion des chanctions pour les administrations tout à fait alors c'est un sujet qui a été vous le savez vous avez vous vous avez lu les différentes études mentionnées par le Conseil d'État nous n'en faisons pas la même lecture et il nous semble que la voix que nous vous proposons est la bonne parce que les les administrations les collectivités n'étant pas des entreprises n'ont pas bah de revenus et de moyens financiers qu'on les entreprises et donc c'est pour ça que nous avons choisi cette voielà afin d'avoir un cadre proportionné entre les entreprises et les administrations et les collectivités sachant que nous avons fait le choix par contre de rentrer les collec iité dans ce cadre Nice 2 parce qu'il nous semble absolument important comme il concentre un quart des incidents que et des et des attaques que il puisse se mettre en conformité mais dans une logique d'accompagnement cependant ça n'empêchera pas Lancy de mener un certain nombre de de de contrôle d'accompagnement de sensibilisation c'est simplement que les sanctions à la fin de ces contrôles ne seront pas là euh oui il y a quand même une petite question de d'égalité de perception de d'inégalité républicaine quand un hôpital privé peut-être sanctionné un hôpital public non c'est ça reste une grande voilà in compréhension de ceux qui qui lisent le texte madame si vous me permettez je vais prendre donc je vais remplacer huxori qui qui ne pouvait être là et donc vous lire les questions qu'il avait prévu de de vous poser madame ministre l'économie du titre premier du projet de loi qui vise à transposer la directive REC dit REC nous semble aller dans le bon sens lors des audition que j'ai conduite j'ai pu constater un consensus autour de la nécessité de renforcer le cadre normatif pour protéger les activités vitales de la nation cependant des préoccupations ont été exprimées tant par les entreprises que par les collectivités territoriales concernant l'accompagnement de l'État dans la mise en œuvre des obligations prévues par le projet de loi pouvez-vous nous préciser les mesures envisagées pour soutenir les opérateur d'importance vitale actuelle ainsi que ceux qui pourraent être amenés à intégrer ce dispositif avec l'entrée en vigueur de la loi en outre dans un contexte budgétaire contraint les services des ministères coordinateurs disposeront-ils de moyens suffisants pour assurer leurs missions actuel et prendre en charge les nouvelles responsabilités qui leur incombront l'étude d'impact du projet de loi reste en effet vague sur ce point se contentant de mentionner que certaines dispositions entraîneront entre guillemets une char charge de travail supplémentaire pouvant avoir des impacts sur les ressources humaines et puisque j'en suis là je vais aussi suppler mon collègue rapporteur Michel Canevet qui qui vient de l'Ouest lointain qui est qui a de perturbation des perturbations au niveau de des TGV donc sur sur la préparation du secteur financier à la mise en conformité avec Dora beaucoup de retard a été pris pour la publication des normes de niveau 2 or les acteurs en ont besoin pour modifier leurs infrastructures informatiques ou encore pour renégocier les contrats avec leurs fournisseurs par ailleurs beaucoup d'institutions financières déplorent le degré de détail très élevé des dispositions de ces normes ris ce qui renchérit d'autant leur coût d'application pouvez-vous vous mobiliser pour exiger des autorités européennes de supervision donc une meilleure visibilité sur le calendrier de publication de ces normes européennes essentiel pour la bonne application de Dora à défaut ne faudrait-il pas reporter l'entrée en vigueur de certaines dispositions de Dora ensuite le secteur financier est soumis aux obligations de Dora dans le PGL cyber résilience il serait souhaitable que les acteurs financier soit bien explicitement exclus des obligations de Nice 2 et soit donc exclus du statut d' d'entité essentielle prévu par la directive Nice 2 à défaut il y a un risque de double réglementation et de multiplication des couches d'exigen techniqu et de déclaration cet empilement risquerait de créer une insécurité juridique pour les entreprises concernées pourquoi ne pas avoir explicitement prévu cette exclusion dans le projet de loi qui permettrait d'éviter que certains acteurs financiers soient doublement régulé à la fois par Nice 2 et par Dora enfin sur les règles applicables aux sociétés de financement les sociétés de financement sont soumises aux obligations de Dora alors même que cette catégorie d'acteurs n'est pas mentionnée dans la d'ora certes un délai supplémentaire est accordé à ces sociétés fixé au 17 janvier 2026 mais ne faudrait-il pas adopter une approche plus proportionnée pour ces petites sociétés une date d'entrée en vigueur au 1er janvier 2027 ne serait-elle pas plus réaliste cela aurait en effet l'avantage d'être très proche sinon identique au délai fixés pour les autres entités financières similaires aux sociétés de financement dans l'Union européenne l'Allemagne prévoit que les entités exerçant des activités leasing seront soumises au cadre simplifié par l'article 16 de Dora à partir du 1er janvier 2027 voilà je vous ai transcrit les rapporter les réflexions des rapporteurs je vais tacher de pas en oublier mais vous me direz si c'est le cas donc il y avait je vais couper entre REC et et Dora parce que du coup il y avait les les deux parties donc sur REC j'entends une question sur les dispositifs d'accompagnement nous pourons bénéficier les OIV en en particulier les collectivités territoriales donc peut-être rappeler comme je l'avais dit dans le propos liminaire que les saiv les repose la sécurité des activités d'importance vitale repose sur une logique partenariale même si elle n'exclut pas les contrôles et donc le cadre qui est celui de REC est de poursuivre les dispositifs actuels de soutien avec des plans types et des guides pour les aider à réaliser leurs plans euh des réalisations d'exercices des plans de protection externes que nous riseront qui seront réalisés avec eux pour les préparer en amont et préparer le concours des services de l'État en casincident donc dans une vraie logique partenariale c'est un dispositif qui a été éprouvé déjà dans dans la réglementation actuelle un soutien aussi à la formation des agents privés de sécurité qui sont absolument critiques sur ce type de site l'année dernière une certification avait été d'ailleurs créée la fourniture d'outils de communication classifié l'échange pour les pour faciliter l'échange d'information classifié sur l'état de la menace notamment et la réalisation d'enquête administrative de sécurité au profit de l'opérateur donc cette logique d'accompagnement partenarial euh qui mêle l'État le préfet et les différentes entités fait l'objet déjà de de enfin a déjà été a déjà été la nôtre depuis maintenant un certain nombre de de temps et il nous semble que ce dispositif était prouvé et que les retours sont plutôt positifs nous mettrons à jour bien sûr les documents de planification afin de coller au mieux à la directive REC donc ça c'est pour la première question sur REC euh sur la question du budget donc comme je vous l'ai expliqué il y a un certain nombre d'entités qui sont mise à profit dans dans la mise en conformité de REC à notre connaissance aujourd'hui nous n'avons pas été sensibiliser sur la nécessité de revoir les budgets de par les obligations que impose parce que les processus qui sont ceux que je viens de décrire resteront les mêmes c'est simplement une question de des documents de planification qui changeront d'un certain nombre de choses nouvelles qu'il faut mettre en place mais toute l'architecture d'accompagnement est déjà là et donc il semble que les budgets soient soient suffisants pour pour absorber euh mais si vous avez des retours inverses euh bien sûr nous nous sommes toujours là pour consulter je l'ai rappelé en début de en début et en propos limininaire Dora euh donc sur Dora l'application depuis le 17 janvier 2025 est en cours donc depuis maintenant quelques quelques jours les acteurs financiers les banques les assurances les services de paiement doivent donc être prêts pour Dora euh il existe encore des défis he n nous en avons consciance mais cette échéance imposée par le droit européen est incontournable et a toujours été communiqué aux acteurs du marché donc ça je pense qu'il faut il faut il faut bien bien tenir là-dessus une échéance importante pour les entreprises consiste à fournir aux autorités la CPR et la MF les registres de leurs contrats de prestation au plus tard le 30 avril donc c'est pas immédiat ils ont un petit peu de temps pour le faire et ce reporting qui est exigé dans les délais impartis permettra aux autorités européennes de désigner les partenaires et les prestataires pardon informatiques critiques au niveau de l'UE les préoccupations que nous entendons et que vous avez rappelé les délais contraignants pour se mettre en conformité le manque de clarté et le retard de certains nombre d'un certain nombre de normes euh sont le reflet principalement d'un besoin de clarification et d'explication il nous semble de pédagogie sur le paquet d'Ur euh pour pouvoir mieux accompagner les acteurs euh il ne il nous semble que ce ne sont pas des problématiques liées à la transposition elle-même euh mais euh mais sur surtout une une une une histoire de pédagogie la CPR et la MF ont publié des dossiers thématiques et des FAQ sur leurs sites respectifs j'étais moi-même un événement auprès d'eux il y a un mois environ avec un axe pédagogique très renforcé pour les acteurs pour aider les entreprises à clarifier les exigences à obtenir les informations nécessaires à leur mise en conformité et il me semble que cesour ces ressources répondent à une grande partie des questions encore insuspens et que ce type d'exercices permet aux entreprises de pouvoir monter en compétence sur le texte la quasi totalité des normes de niveau 2 a été finalisé euh même si nous reconnaissons que certaines public publication officielle accuse encore un retard le RTS sur le reporting des incidents informatiques et cyber devrait être publié au Journal officiel officiel dans les prochains jours nous y sommes attentifs avec une entrée en application prévue 20 jours après cette publication le RTS sur l'harmonisation de la supervision le Parlement européen je pense que vous vous le savez avait jusqu'au 24 janvier pour rendre son avis la publication au Journal officiel est donc attendu sous peu et concernant le standard technique sur la sous-traitance celui-ci a été rejeté par la mission il n'y a pour l'instant aucune autre date prévisible pour son entrée en application parce que le texte devra être remanié par les autorités de supervision européenne avant de pouvoir être réétudié cependant il nous semble que ces retards n'ont pas d'incidence sur la transposition de la directive qui accompagne le règlement Dora via le titre 3 du PJL et le coût de la mise en conformité qui varie considérablement selon la taille et la complexité de l'organisation nous semble aussi appréhendé de par le fait que ces entités ont déjà un niveau de maturité avancé en matière de cybersécurité et des risques physiques auxquels ils sont confrontés loin de moi l'envie de de minimiser les dépenses substantielles qu' que ce nouveau processus entraînera pour la plupart des entreprises notamment en matière de mise à jour technologique de recrutement de spécialistes et de tests de pénétration mais encore une fois un peu comme on le disait en introduction quand on met en regard ses coûts par rapport à ceux qu'engendrontengendrer des attaques physique ou des cyberattaques il me semble que les acteurs du secteur sont plutôt dans une logique de de collaboration et de et de mise en conformité nous avions aussi une question sur euh les sociétés de non peut-être avant les société de financement d'ora et Nice 2 et l'articulation j'entends cette question nous avons là un héritage européen une coexistence des textes euh nous avons eu un échange assez long avec la M la CPR l'ANC et tout toutes les parties prenantes afin de pouvoir s'assurer qu'on minimisera bien les frictions des entités qui seront soumises au de texes j'ai vu le DG de Lancy il y a quelques jours en fin de semaine dernière sur cette question particulière cependant ce n'est pas parce qu'une partie des entités couvertes par Dora sont en conformité avec Dora sur un certain nombre de risques qu'elles ne doivent pas s'assurer que leurs systèmes d'information qui sont utilisés par des milliers et des millions même de français sont aussi couverts par les référentiels de Nice 2 il nous semble que les deux textes sont complémentaires et donc nous pouvons pas les sortir de Nice 2 parce que ça ne couvre pas exactement les mêmes risques et donc on prendrait là un risque qu'on ne veut pas prendre pour bah les les Français les Françaises qui utiliseent les services financiers au quotidien sur les sociétés de financement c'est en effet un point euh un point que je comprends parce qu'il est il est particulier ici en France euh il nous semble que le délai qui a été celui que qui est dans le projet de loi donc d'un an pour 2026 semble réaliste pour ces ces sociétés en tout cas elles ont été consultées dans la rédaction du projet de loi et elles ont semblé être plutôt alignées avec ce délai d'un an supplémentaire si vous n'aviez pas les mêmes retours nous serions bien sûr disponible pour reconsulter et et et prendre prendre le pou de de de des acteurs qui ont pu vous indiquer quelque chose de différent je tiens à rappeler ici que la principale différence entre une société de financement un établissement de crédit c'est que la société de financement ne peut effectuer que des opérations de crédit dans les conditions et les limites de son agrément alors que l'établissement de crédit délivre à la fois des crédits et reçoit des fonds remboursables donc toutes les entreprises qui souhaitent réaliser de façon régulière des opérations de crédit doivent demander cet agrément cette Fame agrément de société de financement donc c'est pas une mesure de surtransposition mais plutôt une pratique courante qui cette réalité dans le cadre de la transposition des textes européens en droit national il me semble que c'est pas la première fois qu'on a ce ce décalage et pour nous les exigences de Dora doivent être étendu à ces sociétés pour deux raisons particulières d'abord harmoniser les exigen en matière de gestion du risque cyber entre les établissements de crédit que j'ai mentionné et les sociétés de financement qui font toutes deux des des offres de services importantes aux entreprises aux citoyens et de préserver la stabilité fin financière en garantisant une protection cyber je le mentionnais dans mon propos introductif le secteur financier et la cible particulière d'un certain nombre d'attaques et ces attaques effritent de façon particulière aussi la confiance que peuvent avoir nos citoyens nos citoyennes dans la sécurisation de nos infrastructures critiques parce que il s'agit des infrastructures financières c'est pourquoi nous avons jugé utile de les ajouter dans le texte merci je avant de passer la parole je vais proposer à notre rapporteur qui est arrivé du fin fond de l'Armorique de prendre la parole merci merci monsieur le Président Madame la Ministre chers collègues effectivement des problèmes ferroviaires m'ont empêché d'être à l'heure alors que j'avais pris mes dispositions pour l'être mais l'essentiel c'est de pouvoir venir et je remerci le président d'avoir relié mes préoccupations je voulais simplement réagir sur deux ou trois points des propos que vous avez tenu d'abord pour ce qui concerne les entreprises qui sont susceptibles d'être concerné par la fois Nice 2 et et par Dora ça va même poser un gros problème pour savoir quelle est la méthodologie à retenir en tout cas les les choses ne sont pas tout à fait identiques pour ce qui concerne ces deux dispositions et donc le fait de surrajouter pour les entreprises de double disposition risque d'être véritablement problématique c'est un premier point un second concerne effectivement les sociétés de financement parce qu'ici au Sénat nous sommes assez attentifs pour éviter les surtranspositions or là clairement nous sommes dans une situation de surtransposition même si tout le monde reconnaît l'intérêt de d'avoir une des mesures accentuer pour l lutter contre d'éventuels problèmes cyber pour assurer la cybersécurité il n'empêche il n'empêche que ça risque d'être particulièrement lourd d'abord parce que dans les sociétés de financement il y a principalement deux gros acteurs autrement ce sont des acteurs de taille assez petite à qui les dispositions de d'odora risque d'être particulièrement coûteuse et donc cela pose un un un problème et pour ma part je suis plutôt dans l'idée que bah il faut qu'on évite les surtranspositions et donc qu'on évite de mettre débouler au au je dirais au chevis de des entreprises de de notre pays à cet égard parce que leur concurrence sur la place européenne il est bien évident qu'aujourd'hui le marché est européen n'en seront pas tenus et et donc il il faut qu'on soit attentif à cela puis j'avais une troisième question qui n'a sans doute pas été abordée qui était le problème du reporting des des entreprises pour autant l'an est aujourd'hui organisé pour pouvoir assurer un reporting permanent vers l'an des des entreprises susceptibles de d'être affronté à des problèmes de cybersécurité telle n'est pas la situation de ni de l'Autorité des marchés financiers ni de l'Autorité de contrôle prudentiel et de résolution est-ce que que euh les responsables de ces unités de ces entités vous ont fait part de d'évolution organisationnell qui les amènerit justement à pouvoir prendre en compte tout cela les problèmes cyber en général ils arrivent le weekend par exemple bah dèors qu'on demande à ce queun reporting soit fait il faut qu'il y ait un interlocuteur en face sinon bah l'entreprise a des contraintes et pas il y a pas d'interlocuteur en face pour recevoir les les euh le reporting voilà ce sont les les quelques points que je voulais en en complément vous vous évoquer euh je vous remerci pour ces questions complémentaires donc sur la question des sociétés de financement sur sur laquelle vous avez posé un certain nombre de questions complémentaires dans les consultations qui ont eu lieu euh il nous semblait que le il nous semble que le délai de mise en œuvre supplémentaire donc d'un an que je mentionnais permettait de répondre aux besoins des société de financement de taille petite de de plus petite taille de pouvoir euh se mettre en conformité donc c'est pas les son de cloches qu'on a eu ceci dit j'entends les sons de cloches qui sont les vôtres et nous avions fait une petite étude pour voir combien de sociétés de financement devraient remplir ses conditions elles sont au nombre de 135 avec seulement une dizaine de sociétés de financement qui sont considéré comme les plus importantes en terme de taille qui devront se conformer dès l'entrée en vigueur des dispositions pertinentes du PG et ce délai du coup pour les autres voilà c'est c'est c'est c'est les son de cloche qui nous sont remontés jusqu'ici je prends je prends votre point nous nous reconsulterons autant que nécessaire pour s'assurer que elles ont bien compris quelles étaient les les obligations et s'assurer que ce délai leur semble leur semble suffisant pour pouvoir se mettre en conformité sur la question de la duplication Nice 2 et Dora j'en ai un petit peu parlé tout à l'heure mais l'an travaille avec la CPR et la MF pour que il y ait vraiment des guidelines de Dora qui soient les plus articulé possible avec Nice 2 le scope des scope c'est pas très français mais le périmètre des entités qui seront régulé avec Dora est inférieure au périmètre de Nice 2 il nous semble que l'articulation qui est en en cours de de réflexion permettra de s'assurer qu'on ne met pas de lourdeur pour ces entités mais cependant qu'elle réponde bien à l'enjeu de d'être en conformité et d'un point de vue cyber et d'un point de vue des spécificités demander au secteur financier en s'assurant qu'il y ait aucun double contrôle donc vraiment de ne pas alourdir les processus de reporting de contrôle de mise en conformité de de ces entités et concernant votre troisième question sur l'organisation vous avez tout à fait raison ça va demander un une réorganisation une internalisation de certaines contraintes les acteurs avec qui nous échangeons nous ont mentionné qu'ils étaient en train de mettre en place un certain nombre de choses je pense par exemple aux cellules de veille le weekend vous avez mentionné le weekend c'est tout à fait juste pour internaliser C ces nouvelles compétences ces nouvelles responsabilisés nouvelles responsabilités de former des ressources pour se faire euh bien sûr hein ça va prendre un peu de temps mais il nous semble que c'est en bonne voie et nous avons pas eu de de de questionnements particulierers sur ce point merci merci madame la ministre je vais on va passer aux questions de nos collègues qui sont ici avec nous je commence avec David Ross merci monsieur le Président merci monsieur le président madame la ministre mes chers collègues merci d'abord pour vos propos liminires et pour les réponses apporter au rapporteurs alors vous avez évoqué un projet de loi qui se veut à la fois ambitieux et pragmatique ambitieux un peu comme notre territoire de l'eston et du plateau de saclé que vous avez visité notamment vendredi dernier pour le lancement des neuf cluster autour de l'intelligence artificielle et puis pour rester dans le pragmatisme un département les son qui a été victime de cyberattaque je pense à l'hôpital d'évri corbeille l'hôpital d'orser également et puis surtout cet été l'Université Paris saclé avec une attaque massive qui a paralysé le début de l'année universitaire puisque ça a bloqué à la fois les inscriptions euh la transmission des notes et toute la messagerie et notamment les les articles des différents enseignant chercheurs de l'université donc ça a été quelque chose de très lour j'ai vu que dans l'article 8 d'ailleurs l'université est mentionné en tant que tel donc ça je je m'en félicite alors moi j'avais deux questions qui peuvent être un peu périphériques par rapport à la loi mais qui sont importants si on veut être dans le pragmatisme et dans les les réponses efficientes une première a été posée sur le terme par Patrick chaise notamment et puis notutre rapporteur sur le volet préventif pédagogique tout ce qui est information sensibilisation formation et protection c'est la mission en particulier de l'ancy mais j'imagine qu'il y a d'autres acteurs et donc ça pose la question des moyens al non pas pour avoir toujours plus de moyens mais j'ai entendu vous avez répondu qu'à priori les les moyens étaient suffisants mais est-ce réellement le cas au regard d'une part du nombre d'augmentation de cas auxquels nous allons être confrontés et puis surtout sur l'urgence de remettre des fois en service les systèm qui paralyse complètement le fonctionnement des des organismes et qui vous l'avez dit à un coup et donc est-ce qu'il faut pas renforcer les moyens humain sur l'accompagnement pour la remise en place et deuxème question euh se défendre c'est bien contre-attaquer c'est mieux et donc là je voulais vous poser une question sur la possibilité d'avoir une sorte de longueur d'avance sur les sur les cyber attaque et le lien peut avoir la recherche et notamment l'intelligence artificielle dans ce domaine là savoir est-ce qu'il y a des travaux qui sont menés en ce sens pour protéger et puis pourquoi pas hacker les cyber attaques voilà merci par avance pour vos répones Hélène conou mour on va prendre les questions s'il vous plaît et puis je la merci beaucoup président madame la ministre mes chers collègues la France mais bon il s'agit d'une estimation serait le 4e pays le plus touché par les cyberattaques et d'après le meddeef le deuxème le plus touché dans le monde ce qui veut dire que c'est quand même un sujet qui nous intéresse particulièrement et qui est incroyablement sérieux d'autant que les statistiques que nous avons démontre que 60 % des entreprises qui subissent une cyberataque déposent le bilan dans les 6 mois qui suivent donc je pense que le le sujet mérite vraiment toute notre attention alors moi ce qui m'intéresse ma question va va recouper un petit peu celle qui vient d'être posée mais va se concentrer sur les PME start-up ti nous avons des seuils de niveau de sécurité qui sont qui insturent des obligations hein de de protection dans les articles 8 et 9 euh du projet de de loi notamment l'article 9 mais qui de fait ne couvre pas c'est petites entreprises ces petites entités puisque le seuil est à 50 employés avec un un chiffre d'affaires qui est assez conséquent qui qui n'est jamais atteint par ces par ces petites entreprises et donc je voudrais vous faire un retour de de terrain puisque l'avez appelé de de vos vux tout à l'heure c'est vrai que nous nous déplaçons beaucoup au contact de CPM notamment dans le domaine de la défense vous savez que nous sommes à la commission Affaires étrangères défense et forces armées donc nous avons un regard croisé nous nous intéressons particulièrement à à ces ces ces entreprises qui sont souvent des fournisseurs de nos grands groupes mais qui travaillent beaucoup dans l'innovation dans la recherche dans des domaines incroyablement sensibles mais qui sont absolument essentiels à la protection à la fois de la souveraineté de notre pays mais également secteurs sensibles qui ont besoin d'une je veux dire d'une d'une très très grande protection or ce que ces entrepreneurs nous disent c'est que un ils n pas la trésorerie suffisante pour se protéger correctement et ce que les les clusters qui existent aujourd'hui qui les regroupe nous disent aussi c'est que il il y a quand même encore un manque d'information donc ma question est assez simple est-ce que en dehors de ce texte et l'ensemble des décrets d'application est-ce qu'il y a une une politique on va dire volontariste de la part de votre ministère pour mettre en place à la fois en fait l'information mais cela a été dit par à la fois par le rapporteur et et mon collègue à l'instant mais euh également de comment dire d'accompagnement euh de ce de ce maillage d'entreprise dont nous avons absolument besoin parce que d'abord elle elle fournissent des emplois localement dans un grand nombre de bassins et euh et aujourd'hui elles sont à la fois victimes de raquette mais j'allais dire c'est pratiquement le le le le moins le moins dangereux pour nous si ce n'est de vol de piratage d'espionnage quand nous sommes notamment dans des domaines qui sont incroyablement sensiblebl voilà je crois que je vous ai tout dit oui parce que c'est lié aussi quand je parlais de la trésorerie on on estime que 10 % du budget informatique doit être consacré à la à la cybersécurité ce qui est quand même assez lourd euh et et au-delà de ça dans dans la politique d'accompagnement il serait bon aussi et d'information euh de nous assurer que les personnels qui ont des des portables qui utilisent des des ordinateurs individuels puissent également être être protégé ce qui n'est pas forcément toujours le le cas en tout cas la la possibilité nen les pas donner à ses entreprises voilà je vous remercie Michelle griaume merci beaucoup merci madame la ministre déjà d'avoir répondu à pas mal de questions euh moi je vais revenir sur certains articles comme l'article 10 où euh on parle de désigner le Premier ministre désignerit certaines entités essentielles et importantes je voulais savoir si vous comptez élargir ce spectre d'entité et si oui lesquels euh l'article 17 tout à l'heure on en a parlé vous parliez d'une obligation de notification mais vous vous vous comprenez bien Madame la Ministre c'est pas cette notification qui nous importe le plus c'est surtout le suivi méticuleux parce qu'on a peur que si un jour on en a parlé un petit peu en parlant du weekend mais si un jour on a une grosse attaque avec des notifications des notifications intenses d'incident sur une courte période forcément ça aura une impact et il faut réagir très très vite euh on parlait de je vais vous parler également de l'article 41 qui modifie le code de La Poste pour renforcer les sanctions donc moi je voudrais savoir que comptez-vous mettre en œuvre pour protéger les citoyens sur les détournements non pas pour ça pardon pardon pardon c'est parce que j'ai raté le truc voilà comment comptezvous préserver les systèmes d'information de la poste qui est un service public auquel les Français sont très attachés et quelle incidence sur l'efficacité du service vous comprenez bien que certains métiers vont disparaître comme d'autres vont être créés avec l'intelligence artificielle donc c'était pour vous demander si vous avez fait une projection sur les modifications de l'emploi à court et moyen terme et sur le nombre de salariés potentiellement affectés à cette nouvelle technologie merci merci nous on c déjà vu avec ministre mais l'avantage quand on passe en dernier c'est que beaucoup de choses ont été dites mais moi je voudrais raappuyer sur un un certain nombre de de choses c'est dire que notre rapporteur chaise l'a dit au départ sur les définitions comment on affine l'ensemble des définitions des termes relatif à la cybersécurité et à la résilience pour en préciser les actions comme on a parlé de la notion d'incident et donc je vais pas développer mais ça ça me paraît essentiel si on travailler et donc dans la continuité de ce qu'avait soulevé qui a été repris aussi par une de mes collègues le rapportch c'est face à l'élargissement du public concerné par cette directive existe-t-il une volonté et un programme national prévu pour sensibiliser former ça c'est vous avez parlé Plô les acteurs privés aux nouvelles obligations qui est introduite par la directive nis2 et puis l'autre élément c'est l'évaluation parce que avant de dire si c'est juste exp il faut peut-être évaluer nos actions comment sera mesuré l'impact de cette loi et quels mécanismes permettront à terme d'ajuster les obligations si nécessaire dans les prochainesnées dans les prochaines années donc je pourrais en poser d'autres mais il y avait aussi les leviers pour renforcer la coopération entre le gouvernement et le secteur privé dans la mise en œuvre des exigences cybersécurité mais je m'en arrêterai là pour pas être alourdir le débat merci chers collègues et ce sera pas la fin puisque j'ai deux questions de notre collègue madame Pauli gagin qui a dû partir pensez-vous que c'est l'innovation en open source la diversification des fournisseurs de Cloud ou bien les deux qui nous permettront une meilleure gestion proactive des risques cyber protéiformes que vous nous avez exposé et en complément de ce qu'a dit ma collègue voilà ma collègue donc hen Conway Mouret comment va-t-on pouvoir mobiliser les financements nécessaires pour assurer l'upgrading des infrastructures à tous les les étages en bon français que j'avais plein de feuilles pour noter toutes les questions je vais essayer est-ce qu'il y en a qui se recouple donc je vais essayer de de regrouper puis vous vous surtout vous me dites si j'ai oublié quelque chose mais euh donc il y avait plusieurs questions en fait qui se recoupent un peu sur l'aspect préventif pédagogique dans le je pense que j'ai un petit peu répondu dans mes propos liminires mais lany a bien sûr un rôle de chef de fil et je pense qu'il faut absolument aussi valoriser le travail formidable qui est fait par les chambres par les campus régionaux les experts cyber du jipassima les prestataires territoriaux et qu'on a bien l'intention de de continuer à porter et puis on en a parlé tout à l'heure mais je pense que je suis complètement aligné que le gouvernement doit prendre toute sa part dans la sensibilisation et la communication autour de la cyber vous avez dit que c'est c'était moins moi en vogue ou je sais plus quel les termees que vous avez mentionné que lia mais mais pas du tout je compte bien en parler tout autant dans la période voilà à de semaines du sommet pour liya c'est c'est sûr mais une fois le le sommet passé nousous nous continuerons bien sûr à porter le message c'est absolument important et d'ailleurs ça me fait ça me permet de faire le pont avec la question qui a été posée sur Ia et cyber tout à fait je crois que c'était là lia peut apporter beaucoup dans dans la cybersécurité j'étais d'ailleurs moi-même à Rennes dans le cadre de l'Européan cyber week pour parler de ce sujet ila et cyber euh donc ça se recoupe euh et il y a à Rennes un des fameux Nafi cluster que que nous avons réuni vendredi qui s'appelle sekooya qui travaille exactement sur cette question là parce que vous le savez Renn est une terre cyber depuis de nombreuses années et donc coupler avec lia ça permet de faire énormément de de choses très intéressante et nous avons lancé dans le cadre de l'euran cyber week un nouvel appel à projet euh sur les les technologies critiques innovantes qui fait partie de la stratégie cyber et qui vise à aider les entreprises à monter en compétence par exemple sur toutes tous les enjeux qu'on peut imaginer avec l'a l'empoisonnement de données étant un exemple très concret sur lequel il faut qu'on puisse aussi augmenter la le le le niveau des solutions que sur lesquelles nos entreprises travaillent donc ça c'était pour formation sensibilisation et a il y avait quand même une question sur les moyens donc et notamment les moyens de LAN je crois que vous avez auditionné du coup on en parlait son directeur il y a quelques temps l'agence bénéficie d'une trajectoire d'augmentation continue he de ces ETP depuis 2022 qui je pense montre vraiment le l'importance de cette agence et et le soutien de de cette agence que que que le gouvernement veut lui donner de par ce que vous a dit son directeur l'essentiel des missions qui seront cell de l'ANC dans le cadre de Nice 2 sont des missions qu'ils ont déjà si n'est la mission de contrôle euh comme il y a un délai qui est prévu de 3 ans de mise en conformité ça laissera à l'ancy le temps de s'organiser pour pouvoir bah prendre ces nouvelles missions de contrôle et de supervision ils ont estimé que les moyens nécessaires étit de 50 TP et comme ils ont une trajectoire de 40 t TP supplémentaires par an ça leur permettra d'absorber au fur et à mesure euh et donc de coller comme il le faut au calendrier donc il nous semble que ils seront en mesure de pouvoir avec la trajectoire budgétaire qui qui est celle actuellement de pouvoir répondre à ces nouvelles missions euh on a parlé aussi je reprends un peu les différents sujets la question des très petites entreprises euh et la question du fait que le le cadre de la loi ne s'applique qu'à des entreprises d'une d'une certaine taille là plusieurs choses vous avez mentionné les sous-traitants je rappelle que dans le réérentiel de la NC il y a aussi des guides justement pour la mise en conformité des sous-traitants et donc avec un effet d'entraînement disons de par les les entités régulées sur leur écosystème de sous-traitement qui est bien là et dans le cadre des de de du secteur de du secteur de la défense de vous avez mentionné on a eu un accompagnement avec des parcours cyber dédiés menés par le ministère des armées qu'on a bien l'intention de passer à l'échelle y compris d'ailleurs dans les secteurs non régaliens pour pour pouvoir aider à transformer accompagner tous les secteurs euh et dans le cadre d'entité qui est ça Mo permettra de reboucller avec la question qui était de ce côté d'entité qui ne serait pas définie exactement dans le cadre qui est celui de nce 2 mais où on aurait en tête un risque particulier je rappelle que le premier ministre a la PO le le peut potentiellement désigner une entité par décret comme étant assujetti aux obligations 2 euh dans les cadres précédents ça a pu peut-être être le cas pour certains hôpitaux qu' auraiit pas pu être dans les dans les dans les réglementation précédentees qui étaai qui étaiit en cours donc je sais pas on pourrait penser à un laboratoire qui fait de la recherche pointu sur une technologie souveraine critique qui n'est pas dans les seuils ni de nombre d'employés ni de chiffre d'affaires et qui pourtant est absolument critique pour la nation le Premier ministre aurait dans ce cas-là c'est un exemple bien sûr la possibilité de faire rentrer cette entité dans le cadre donc ça c'est c'est prévu de cette manière- làà et ça permet je pense de répondre à une une une une de vos questions euh je reprends ma liste parce que je crois qu'on on va arriver en plus à la fin du temps il y a eu des questions sur l'IA et l'emploi mais ça je pense qu'on pourra en discuter à un moment hors cadre de cette audition parce qu'il y a beaucoup de choses à discuter sur l'intelligence artificielle donc si je rentre dedans j'espère qu'on nit pas le temps de de de finir les autres questions euh mais il y avait euh la question aussi de euh de l'accompagnement des entreprises et de la coopération entre le gouvernement et les entreprises sur la mise en conformité sur laquelle je pense que euh nous avons répondu dans le cadre notamment du plan de relance avec un certain nombre de parcours d'accompagnement euh mais même si en effet il s'agit de de 10 % du budget informatique il nous semble que euh dans euh un temps plus long il est absolument essentiel que les entreprises euh qui doivent se conforter se se conformer à cette nouvell régulation puisse intégrer ses dépenses comme des dépenses de fonctionnement parce que la menace est là au quotidien la menace évolue et donc il faut qu'elle elle puisse intégrer le fait que une partie de leur budget informatique en effet on estime aussi à peu près pareil 10 % bah soit dédié euh à cette conformité parce que c'est des dépenses récurrentes euh et c'est pas seulement euh euh des dépenses euh temporaire et donc il faut que ça soit intégré dans la façon dont les entreprises euh pensent leur activité de la même façon que aujourd'hui elles pensent leur dépense informatique quand même étant quelque chose de courant je crois que j'ai à peu près tout couvert euh il y avait peut-être l'article 41 qui est un peu spécifique je sais pas si vous voulez je regarde juste l'orqu si vous voulez que je rentre dedans on a 4 minutes mais c'est sur les brouilleurs euh et le renforcement de la cybersécurité qui a très euh qui qui qui a attraait au dispositif des sanctions à la main de l'ANFR en matière de lutte contre le brouillage des fréquences je crois que c'était une une des questions aussi euh donc cette transmission tient une place essentielle dans la continuité des activités économiques comme vous vous en doutez sociétal étatique et euh comme nous avons vu que ces dernières années le nombre de cas de brouillage leurs gravité sont en augmentation et qu'elles altèrent les application qui utilise des des ressources hertiennes euh il le rapport d'inspection ayant form en octobre de 2018 une série de recommandations pour sécuriser ces fréquences il nous a semblé adéquat de pouvoir poursuivre cet objectif dans le cadre de ce texte et de disposer des sanctions qui sont celles que le texte prévoit qui sont des sanctions graduées avec des quantomes de peine plus élevé afin de disposer d'une dissuasion plus efficace parce que c'est cela attaque des activités absolument critiques de la nation et donc à l'heure actuelle il y a peut-être un sentiment d'impunité que nous voulons résoudre avec ce texte il y avait des questions sur les définitions mais je crois que j'ai déjà répondu précédemment euh et les organisations RH et les prises en compte ça aussi on en a déjà parlé est-ce qu'il y a une question à laquelle j'aurais pas répondu sur laquelle voulais revenir si si c'est pas le cas donc moi j'en ai de trois pour la fin euh donc pour euh donc euh l'autorité nationale pourquoi les missions de l'autorité nationale présente dans la première version du texte ont-elles été renvoyé un décret en Conseil d'État dans l'article 5 en dehors du ministère des armées qu quelle entité recouvre l'expression domaine de la défense vous avez répondu à mon collègue Patrick Chise mais pour les incidents la qualification des incidents il vous a bien posé la question et ça reste un mystère pourquoi les autres l'inscrivent dans la loi la définition des incidents c'est écrit dans la directive européenne pourquoi nous on le renvoie donc un décret ça c'est une question la directive Nice 2 prévoit dans son article 10 que les États-membres veille à ce que chaque CER dispose de ressources suffisantes pour pouvoir s'acquiter efficacement de ces tâches comment le gouvernement a-t-il prévu d'assurer la pérennité financière des C régionaux CIR régionaux répondent--il aux tâches définies par la directive dans son article 11 à l'article 14 des réflexions qui nous ont été faites de professionnel en nous alertant que introduire secnum secnum cloud à l'article 14 entraverit l'harmonisation européenne des normes de sécurité donc j'aimerais savoir de votre part si effectivement puisque c'est renvoyé un décret est-ce que le gouvernement a proposer quelque chose mais ça vous donne ça vous permet de comprendre l'incertitude donc qu'il y a pour euh pour un certain nombre de d'utilisateurs voilà donc c'était les les questions complémentaires que j'avais pour vous dire aussi c'est vrai qu'on a été marqué quand on est allé en Belgique je crois sur par sur la clarteté euh des autorités belges pour la définition la construction euh donc de comment les entreprises devraient être conformes et par exemple si vous êtes C ISO 27001 c'est bon vous êtes conforme puisque il y a il y a tout en fait pour gérer aussi les problématiques humains pas oublier que 80 % des problèmes sont liés à des déficiences ou à des défauts qui sont liés à une erreur humaine donc que pensez-vous de ce fonctionnement on aimerait vous avez cité GP Assima à un moment donc ça veut dire que vous pensez à des choses en terme de construction on aimerait bien peut-être comprendre là comme finalement les autorités belges l'ont fait quel est euh comment vous voyez cette articulation pour que entre une entreprise et quelle garanties vous pouvez leur donner puisque là beaucoup de choses quand même sont renvoyées par par décret faut quand même être conscient d'une chose quand vous dites que euh l'administration peut évoluer puisque les choses évoluent très vite très bien mais alors quand l'administration prend sa décision qui la contrôle donc ça peut arriver aussi donc c'est pour ça c'est à ça que servent les parlementaires quand même alors il y a beaucoup de questions on a plus beaucoup de temps donc je vais tâcher de de répondre au au aux différents points euh sur les normes belges nous en avons discuté aussi avec l'ancy l'approche de l'ancy est simplement différente parce que l'an et donc la France a une approche par objectif de sécurité et de niveau de protection face à la menace cyber là où les normes que vous mentionnez en Belgique favorisent une logique de conformité par la mise en œuvre d'un système de management donc c'est donc une une approche qui est différente et pour ce qui concerne les entités essentielles nous voulions nous inscrire dans la continuité de ce qui a été fait au titre de la directive Nice 1 et du Code de la défense afin d' d'éviter un changement brutal qui aurait un surcoup pour le pour le secteur cependant je crois que le directeur de l'an vous l'a mentionné il ils étudient et je les laisserai je les laisserai parler pour pour se faire mais dans quelle mesure il peut y avoir des mécanismes de reconnaissance mutuel ou autre afin que les entreprises qui opèrent dans différents marchés n'aient pas de lourdeur en fonction des marchés dans lesquels ils s'étendent euh donc voilà c'est quelque chose qu' sont en train en train d'cier en ce moment je crois qu'ils avaient eu l'occasion de de de le déployer de le développer pardon euh sur l'article 14 nous n'avons pas prévu euh d'appliquer de mention de secnum Cloud à ce sujet parce que dans la directive européenne il n'est pas fait mention de certification au niveau du Cloud et nous ne voulons pas encore une fois surtransposer ceendant c'estve Cloud et et et la nécessité d'avoir un cadre européen de sécurité du Cloud est une autre question sur laquelle nous sommes aussi absolument absolument au travail et et qui a toute notre attention mais ce n'est pas l'objet de ce texte là ce sera bien sûr d'autres textes sur les 6t très rapidement oui je remonte un peu comme ça mais euh oui ils sont ils seront donc les organismes de proximité vers lesquels les entreprises les collectivités pourront se tourner pour tout ce qui est signalement mais là aussi l'any a bien indiqué que la disposition dans laquelle elle est c'est de s'assurer que les victimes des attaque peu importe vers qui elle se tourne puisse avoir la même le même traitement et que l'organisation qui consiste à avoir différents acteurs en responsabilité sur ce texte et plus généralement sur la cybersécurité dans le pays ne soit pas euh à peser sur les victimes mais que ça sera bien une contrainte qui est internalisée par l'ANSI de pouvoir organiser le travail entre les différents acteurs pour la notion d'incident j'en avais parlé déjà la question qui avait été la vôtre euh à l'échelle de l'Union européenne c'est aussi un acte délégué donc pour euh pouvoir euh faire ce travail de mise en conformité si ou de d'évolution disons de la définition euh au même titre que la menace évolue euh encore une fois l'idée c'est vraiment d'avoir une consultation autour de de de de la partie réglementaire de la définition de l'incident et pas de faire ça dans notre coin ou quoi que ce soit mais de pouvoir garder la flexibilité par cette voie réglementaire comme l'Union européenne l'a aussi gardé euh en restant au plus près de la définition de l'Union et de des définitions qui ont pu être celle de Nice 1 et des textes précédent et enfin il y avait je crois une première question sur pourquoi est-ce que le rôle euh euh des autorités définies par le règlementaire euh il semble que c'est la voie la plus logique pour pour la définition de ce ce type là et qui a été celle qui a été prise dans Nice 1 ou dans d'autres d'autres textes et c'est ce que nous a confirmé aussi le Conseil d'État je je vous remercie pour vos réponses je crois que c'est bon donc merci vraiment pour vos réponses chers collègues je vous rappelle que nous entendrons dans la suite de nos travaux le 4 février prochain à 16h30 les représentant les représentants des associations des élus voilà merci encore madame la ministre pour votre intervention merci beaucoup merci à vous