Cybersécurité : audition de l'ANSSI

chers collègues nous allons merci c'est ça merci mes chers collègues donc Monsieur le Directeur général nous poursuivrons nos travaux sur le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité par l'audition de Monsieur Vincent B directeur général de l'Agence nationale de sécurité et des systèmes d'information lany que je remercie de venir nous présenter les dispositions de ce texte qui relève de son administration votre venue était attendue car comme vous le savez l'audition de Madame Clara chapaz secrétaire d'État chargé de l'intelligence artificielle et du numérique qui devait ouvrir nos travaux le 9 décembre dernier a dû être reporté à une date ultérieur j'espère qu'elle viendra puisqueil y a une liste de ministres qui circulent partout et enfin il y a plus de minist donc on est quand même inquiet on a quand même bon espoir avec les rapporteurs nous nous sommes rendus la semaine dernière à Bruxelles à la rencontre de la Commission européenne et des autorités belges qui ont d'ors et déjà engagé cette transposition c'est donc à vous que revient la première prise de parole publique de l'administration française devant nos rapporteurs Monsieur Michel canevvette qui est absent mais qui nous suit à distance Monsieur Patrick chaise et HUG Sori et les membres de notre notre Commission spéciale sur cette transposition ce qu'elle apportera en terme de résilience et de cybersécurité et ce qu'elle impliquera pour les entrepris et collectivités dans le cadre de la directive concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union dite Nice 2 Monsieur le Directeur général avant de vous céder la parole je rappelle que cette audition fait l'objet d'une captation vidéo qui est retransmise sur le site internet du Sénat puis consul table en vidéo à la demande avant de vous céder la parole je voudrais vous féliciter pour le lancement ce matin de officiel du 17 cyber qui était une une organisation que nous attendions tous donc cimer malveillance devient maintenant 17 cyber peut-être nous en direz-vous aussi deux mots dans le cadre de cette audition vous avez la parole merci monsieur le Président messieurs les rapporteurs mesdames et messieurs les membres de la commission spéciale permettez-moi en retour de vous remercier euh puisque vous mentionniez le le 17 cyber euh pour la la constance avec laquelle vous avez soutenu ce dispositif et qui je pense s'inscrit dans une démarche d'ensemble qui qui qui trouve toute sa logique également dans l'application du du du projet de loi qui est qui vous est soumis euh je suis très honoré euh de de de plancher devant vous pour vous présenter le titre 2 que dont l'ancy a piloté la rédaction et si vous le voulez bien pilotera également la la mise en œuvre euh sans pouvoir non plus prétendre à porter porter la vision politique que pourrait porter qu'aurait porter Clara chapaz devant devant cette commission et que portera le le porteur naturel de ce texte quand le gouvernement sera constitué je je vous propose de faire un tour d'horizon rapide j'ai bien en tête que vous êtes contraint par le temps vous dire quelques mots de la jeunesse de ce texte de ce qui nous a amené à à présenter au niveau européen puis devant la représentation nationale de nouvelles dispositions des quelques mots de l'esprit qui a guidé la préparation de ce c'est des grands principes que nous avons retenu dans la transposition de cette directive et quelques mots également de ce que nous comptons faire en matière de mise en œuvre pour ce qui est de la Genèse je je en étant conscient que ce n'est pas forcément très intuitif je commencerai par dire que Nice 2 n'est pas la suite de la directive Nice de 2016 transposée en droit national en 2018 qu'on appelle maintenant Nice 1 puisque Nice 2 est arrivé Nice 2 répond à un paradigme différent et un enjeu différent Nice 1 était la continuité du cadre nationale établie à travers la loi de programmation militaire de 2013 qui régulait un certain nombre d'opérateurs d'importance vitale au titre de la défense et de la sécurité nationale Nice 1 donc l'avait étendu à quelques enjeux sociétaux et économiques mais dans la même logique de protéger des des opérateurs stratégiques contre des menaces très ciblées principalement étatique qui était notre quotidien qui le sont toujours mais qui ne sont plus exclusives aujourd'hui la jeunesse de Nice 2 trouve sa source dans l'évolution du paysage de la menace avec l'apparition de ce qu'on appelle la menace systémique celle liée au CRIM organisé des renongiciiciels qui ont marqué les esprits à travers de la paralysie de nos hôpitaux de nos collectivités de nombreuses entreprises d'universités plus récemment euh la dimension activiste de d'acteurs qui ne sont pas des États mais qui cherchent à qui soit se prévalent de causes diverses et variées mais qui surtout cherchent à se mettre en lumière euh et crime organisé ou activistes qui ont en commun une approche totalement indiscriminée euh qui tôt ou tard finit par toucher toute victime potentielle toute structure quelle qu'elle soit et la liste des exemples que j'en ai j'en ai donné donne la la toute la diversité de des victimes qui touche de manière malheureusement démesurer les petits acteurs d'un certain point de vue ce qui n'étaient pas confrontés à la menace jusqu'à présent qui a des conséquences inacceptables sur le plan sociétal dans la délivrance des services publics sur le plan économique dans la faillite d'entreprise et qui même si elle n'est pas une menace de nature étatique pose tout de même et je je tiens à le souligner la question du lien de cohabitation qui existe entre certains ces groupes et certains états si les groupes de CRIM organisés peuvent prospérer c'est qu'ils ne sont pas embêtés par les états dans lesquels ils ils trouvent leur leur implantation et pose la perspective tout de même d'une forme d'épée deamoclesès qui verrait une coordination de ces différents acteurs dans une perspective de de durcissement du dialogue géopolitique euh et qui pèse quelque part sur la liberté d'action de l'État français la vulnérabilité généralisée de notre société de notre économie à ce type d'attaque est une dimension qui intervient maintenant dans le dialogue entre États ce constat il était partagé avec nos partenaires de l'Un Union européenne c'est ce qui a donné lieu à la à la rédaction de la la directive niis 2 qui a été portée sur les fonds baptismau je le précise par la l'occasion de la présidence française de l'UE et qui a été publié en fin d'année 2022 Nice 2 étant d'une certaine manière Nice 1 dans le volet des entités dit essentielle c'est-à-dire les les les acteurs les plus matures ceux qui sont soumis à des exigences élevées et là on est dans la continuation logique de ce qui avait été fait dans Nice 1 mais surtout Nice 2 crée un paradigme nouveau dans la régulation de plus petits acteurs qui sont les entités importantes selon les les terme de la directive qui constitueront la vaste majorité des des nouveaux acteurs assujétis et qui n'ont pas vocation à être protégé contre la menace stratégique ciblée d'un service de renseignement étranger mais sont malheureusement les victimes récurrentes et quotidiennes de la menace non ciblée systémique qui euh fait des victimes sans avoir de cible donc Nice 2 est de ce point de vue-là un changement d'échelle on passe à potentiellement plus de 15000 acteurs réguliés en France contre 500 aujourd'hui on est dans un changement surtout de paradigme dans la men qu'on VI qu'on doit contrer celle qui est non ciblée celle de qu'on appelle systémique dans également la logique de sanction puisque à l'occasion de Nice 2 on bascule d'une logique préexistante de sanction plutôt du registre pénal qui n'était pas opérante à une logique naturellement qualqué sur celle du rgpd de sanctions administrative financière beaucoup plus opérante je précise que ce changement de paradigme sort aussi l'an de sa zone de confort on est des facto confronté depuis quelques années comme tous les autres à cette menace systémique on n'a jamais été euh en position de réguler ces petits acteurs qui vont être le le cœur de de de la la dimension nouvelle de Nice 2 avec ces éléments en tête nous avons préparé ce texte de transposition avec quelques principes directeurs d'abord l'absence de surtransposition ce qui vous a présenté aujourd'hui est une transposition sèche avec l'exercice de deux droits d'option en ce qui concerne les collectivités et les les établissements d'enseignement euh sur lesquel nous avons je pense fait des choix rationnels et raisonnables et plus généralement simila avec ceux qui sont faits par nos les autres États-membres européens dans leur transposition à eux euh deuxième principe directeur la recherche de proportionnalité euh je l'ai dit pour les entités essentielles le sillon est bien tracé on s'inscrit dans la continuité de ce qui été fait jusqu'à présent avec Nice 1 avec le cadre national de la du Code de la défense pour les entités importantes c'est un champ nouveau sur lequel nous avons eu un travail intense pour essayer de positionner la hauteur de la barre il faut faire quelque chose une exigence pas trop élevé qui soit soutenable parce que sinon on sera dans quelque chose qui n'aurait pas de réalisme économique mais pour autant une une exigence qui soit suffisamment élevée pour être opérante euh tout niveler par le bas dans le niveau d'exigence vis-à-vis des entités importantes c'est leur imposer des choses qui auront un coupt mais aucune efficacité parce que ce sera trivialement contournable par les les attaquants donc on a on a travaillé à ce à ce juste niveau on l'a fait et c'est un troisème principe directeur dans une logique de coconstruction comme jamais auparavant ne l'avait fait l'any avec la consultation de plus de 70 fédérations professionnelles des 11 principales associations d'élus euh de quatre fédérations d'ailleurs de des prof des profè question des collectivités territoriales également tout cela depuis septembre 2023 avec des consultations sur différents différents points de la de la transposition et tout cela va continuer nous reprenons d'ors et déjà et ça va s'intensifier en janvier les consultations autour de de l'élaboration du cadre réglementaire évidemment cela se poursuivra et cela ne se conclura qu'après l'examen du texte de loi mais nous pouvons avancer en en temps masqué si j'ose lire avec ces acteursl toujours dans cette logique de consultation de de bien jauger notamment l'empreinte économique des mesures que nous nous préconisons avec des estimations qui figurent dans votre dossier parlementaire d'une d'un investissement initial demandé à une entité importante donc les petites structures qui partirai de rien ce qui n'est pas le cas de toutes de l'ordre de 100 à 200000 € et des frais recurrents qui sont 10 % de tout cela euh et puis vous retrouverez dans le dossier parlementaire les les les chiffres un peu plus élevés pour pour des entités essentielles mais dans les deux cas avec une une relation assez simple ce qui est demandé en terme d'investissement initial c'est 10 fois moins que le coût d'une cyberattaque en en en estimation d'ordre de grandeur et le coût récurrent est donc 100 fois moins que le coût d'une cyberattaque avec cette conviction que j'ai que la cyberattaque est une forme de certitude sur le long terme pour toute entité qui ne se protègerait pas nous avons également eu un un principe de simplification alors ça ne saute sans doute pas aux yeux au au lecteurs du projet de loi mais à travers ce projet de loi il y a à la fois l'intention et la réalité d'une simplification du millefeuille réglementaire qui s'est accumulé au f au fur à mesure des années par le code de la défense par la par différentes dispositions donc à travers ce projet de loi notre intention est d'aligner l'ensemble des cadres réglementaires ou législatifs relatif à la cybersécurité sur un un référentiel commun de normes communes de mesures communes qu'il s'agisse donc des assujétis à Nice 2 des opérateurs d'importance vitale r relevant du Code de la défense ou des administrations publiques qui relèvent du référentiel général de sécurité porté par une ordonnance de 2005 donc un vrai ça n pu certainement pas le sujet de la simplification mais c'est un premier effort dans ce sens nous avons aussi en tête une un besoin d'harmonis alors évidemment il s'agit pas de faire exactement pareil dans tous les États-membres sinon ce ne serait pas une directive mais un règlement mais nous avons bien en tête et à cœur la la le besoin d'harmoniser le plus possible d'aligner les dispositifs le plus possible au profit des entreprises qui seront soumises à ces réglementation le cas échéant dans plusieurs États-membres avec un dialogue permanent qui se structure aou autour d'un d'un groupe de coopération Nice 2 établi par la Commission européenne avec la prise en compte des actions subséquentes de la Commission européenne notamment l'acte d'exécution qui a été pris cet été pour fixer le cadre applicable au aux infrastructures numériques avec des sources d'inspiration que nous trouvons chez d'autres États-membres notamment la Belgique que vous avez mentionné monsieur le Président et qui est la la la le seul État membre à avoir totalement transposé même si l'Italie s'en approche également et qui est pour nous une source d'inspiration permanente sans vouloir tout aligner à à l'évidence mais mais en regardant ce qui ce qui ce qui est fait et ce qui va être fait puisque je pense que la Belgique précurseur essuira un certain nombre de plâtres au profit de l'ensemble de la de la Commission européenne et des États-membres donc je je je l'ai bien à l'esprit et je souligne que tout cela a aussi guider certains choix dans l'équilibre de ce qui relève du législatif et du règlementaire puisqu'il nous faut garder dans cette perspective d'harmonisation progressive et de d'itération d'amélioration du texte pour aligner le plus possible les choses la la souplesse nécessaire et la souplesse fournie par la voie règlementaire pour pouvoir ajuster le tir au fur à mesure de la de la mise en œuvre et j'en viens en essayant d'être rapide à à quelques enjeux de mise en œuvre qui sont des points d'intention identifiés tant dans les consultations que dans la préparation plus généralement la question des délais est évidemment centrale il faut se donner le temps et j'en suis convaincu et je pense que l'État en est convaincu de manière générale pour mettre en œuvre proprement ces ces dispositions alors comprenonsnous bien il faut poser le plus tôt possible le cadre que ce soit celui de la loi ou celui du du travail réglementaire d'où le travail que nous menons en parallèle sur les les textes d'application mais une fois le cadre posé il faudra donner le temps de l'implémentation je j'ai eu l'occasion de le dire à plusieurs reprises et j'en suis toujours aussi convaincu il faudra au moins 3 ans avant d'exiger une conformité complète cont tenu des délais d'investissement des délais de renouvellement de marché ou de contrat euh évidemment le le délai sera sans doute plus réduit pour certaines exigences qui ne ne nécessitent pas d'investissement je table sur un délai de 6 mois environ pour les exigences d'enregistrement auprès de l'ANC de notification d'incident mais la conformité à des mesures techniques prendra a au moins 3 ans et j'insiste d'ailleurs sur le au moins qui est qui peut être une marge de de de de souplesse accordée aux acteurs de selon leur leur leur leur réalité propre je précise que cette cette appréciation des délais fait consensus parmi les États-membres que j'ai pu consulter c'est ce qui a été dit par nos nos collègues belges notamment mais ce ce qui est envisagé également en Allemagne et dans bien d'autres États-membres qu'il s'agisse du délai de 6 mois ou du délai de de 3 ans pour la mise en conformité complète je précise que dans ce consensus on trouve aussi le fait que ça ne peut pas relever de la loi ce qui est d'ailleurs l'avis qui nous a été donné par le Conseil d'État c'est si vous me permettez cette expression un bug de la directive qui ne prévoit pas de délis de mise en application ni de de de mesures transitoires donc c'est quelque chose qui dans les exemples de transposition que nous avons autour de nous et dans notre projet de loi fait est plutôt renvoyé au au pouvoir réglementaire euh j'ai tout particulièrement à cœur également de ne pas dénaturer le fonctionnement de Lancy Lancy c'est avant tout historiquement le cyber pompier c'est comme ça qu'on est connu et je pense que c'est une une appellation flatteuse dont on se on s'accorde bien un cyber pompier ça ne ça ne remplit pas un PV en même temps que ça éteint le feu si je je file la métaphore et donc il me tient tout particulièrement à cœur de ne pas dénaturer cette cette cette fonction et de s'assurer que lorsque l'ANC intervient en soutien de victime elle n'est pas en même temps en train de laisser le planer le doute sur la des poursuites subséquentes donc ça se traduit par l'isolation d'une commission des sanctions qui est prévue dans le texte de loi qui sera seul à même de juger des sanctions Infiné avec tous les principes de contradictoire d'impartialité et de de proportionnalité qui qui s qui qui s'impose dans ce genre d'exercice mais aussi un travail d'organisation et de réflexion sur les processus de l'an pour bien filtrer l'information qui circule entre les missions de d'appui aux victimes et les missions de contrôle d'instruction préssanction euh il nous faut garder de la souplesse je l'ai mentionné en passant mais je le je le réitère y compris dans les mesures de de conformité donc le le l'architecture que nous avons en tête est de fixer des grands objectifs en matière de mesures techniques au niveau de la réglementation de les décliner par des mesures techniques qui seront une manière d'assurer la conformité sans exclure d'autres manières qui pourraient être proposés par les assujectis pour remplir les objectifs qui leur seront donnés en terme de de mesures techniques et de gouvernance euh et puis évidemment cela va sen dire nous avons un énorme besoin d'accompagnement dans les 3 ans que nous nous donnerons pour pour mettre en place ce ce cadre euh c'est un retour qui a fait universellement par tous les acteurs que nous avons consultés il y a évidemment derrière ça un enjeu de financement sur lequel je ne suis pas plus légitime à prononcer et puis les circonstances si prês de guerre mais il y a aussi un enjeu de communication de sensibilisation à laquelle nous nous nous attelons depuis déjà de nombreux mois en partenariat avec les fédérations les associations que nous avons consulté en partenariat si vous le si vous en convenez avec les parlementaires qui ont aussi ce ce pouvoir d'appuyer cette cette communication je pense qu'il y a là un enjeu un enjeu collectif qui peut qui peut fédérer et nous sommes naturellement à votre disposition pour pour vous épaer dans ce cette communication sur sur le les les enjeux à venir des enjeux d'outillage également avec un portail monespace Nice 2 qui a été mis en ligne en version beta parce que nous n'aurions pas le le culot de préjugé de la la loi dans sa forme définitive mais nous avons essayé de fixer les critères d'appréciation telleles qu'ils sont aujourd'hui dans le projet de loi pour permettre à des entreprises de tester leur assujétissement ou non à la directive nise 2 et sur lequel nous allons itérer pour pour intégrer aussi les inégrgations qui qui naissent de ce de ce premier arbre de décision je mentionne pas s mon aide cyber autre outil que nous avons eu le plaisir de lancer à l'occasion du Salon des Maires récemment pour mettre en relation des aidants et des entités ayant besoin d'aide pour faire un premier diagnostic non commercial des besoins de sécurité d'une entité euh au-delà de l'outillage nous avons un enjeu de mobilisation de tout l'écosystème et ça fait écho à à ce que vous mentionniez ce le lancement de du 17 cyber ce matin monsieur le Président euh nous avons besoin de mobiliser les ministères dans leur rôle de coordination sectorielle les organisations professionnel que nous avons consulté et avec lesquels il faut péréniser la relation des acteurs comme le GP cyber malveillance qui a une expérience remarquable dans l'accompagnement de plus petite structur et Don sur lequelle nous allons naturellement nous appuyer y compris dans son sa déclinaison à travers des prestataires labellisés expert cyber les relais locaux que sont les chambres de commerces et d'industrie les agences de développement économique les services de l'État du dernier kilomètre la gendarmerie par exemple les CIRT territoriaux que nous avons soutenu ou sectoriels que nous soutenons également euh et face à cette cette écosystème il y a un enjeu de développement d'appui nous le faisons par notamment l'incubation des ccirt par la refondte de nos référentiels de prestataire pour les pour les prestataires privés un enjeu d'organisation je il est évident qu'il y aura un large débat à continuer à à à à mener sur sur les notions de guichet de notification d'incident en ayant en tête que tout doit Infiné aboutir à l'an c'est ce que prévoit la directive et c'est ce que ce que doit imposer le le le besoin de capitalisation sur la menace et de et de circularisation de la circ d'information mais en veillant à ne pas créer je je prends un exemple un peu trivial la maison qui rend fou dans dans les 12 travaux d'asérix des guichets qui se renvoie les uns les autres on sait très bien que l'administration est est très forte pour faire ça il faut il faut l'éviter surtout dans un contexte de de tension extrême pour une victime de cyberataque et faire en sorte que ceux qui se seront trompés de guichet soi rattrapés guidés appuyés pas renvoyer vers un autre guichet mais accompagné dans leur démarche jusqu'au jusqu'à remplir l'obligation de notification je finirai ce tour d'horizon très rapide que j'ai essayé de de mener tambour battant compte tenu des de votre contraintte temporell euh je ne pourrais pas esquiver la question je je je je la précend des des des moyens l'adéquation des moyens de l'ancy à cette cet objectif de de mise en œuvre euh j'ai eu l'occasion de le dire dans d'autres dans d'autres auditions nous avions estimé le besoin global de mise en œuvre lié à la mise en œuvre de Nice 2 à 50 TP au sein de l'ancy sur un une perspective triénale en plus de la croissance triénale déjà actée de 40 TP par an pour l'an euh il est évident que ça ne se fera pas en 2025 sans préjuger des débats qui restent à mener sur le sur le le le PLF 2025 euh si vous me permettez cette remarque il est tout aussi évident que le calendrier de transposition a glissé et que donc l'essentiel de l'année 2025 sera consacré à la définition et la la mise au point du cadre qu'il s'agisse du du du parcours législatif ou de la déclinaison réglementaire donc je pense pouvoir dire que nous savons faire sous enveloppe à à au détriment d'autres missions et par par des bascules d'effort l'année 2025 qui sera un année une année d'amorçage d'une certaine manière sur le sur la sur Nice 2 néanmoins et c'est une évidence le le besoin demeurera pour les années suivantes sur lesquel nous rentrerons dans une phase d'implémentation plus plus directe voilà j'en ai j'en ai fait fini de ce tour d'horizon rapide monsieur le Président et je suis naturellement à la disposition de la commission pour répondre à des questions bien je vous remercie euh beaucoup Monsieur le Directeur Général juste avant vous il y avait donc la Table Ronde des entre reprise et il y avait deux trois questions qui sont remontées que je vais partager si tu en es d'accord avant et donc ensuite les les rapporteurs vous poseront les questions donc des points soulevés par le MF et la CPME elles ont souligné et saluer le le travail de l'any mais elles ont déploré plutôt un manque d'information des entreprises à ce stade elle s'étonne que l'article 14 fasse reposer le coût des contrôles ô sur les entreprises en citant l'URSAF quand l'URSAF vient vous contrôler l'administration vous facture pas le le coup de son contrôle éventuellement il vous facture si si vous n'avez pas rempli vos obligations mais mais c'est il vous facture pas leur temps donc ça c'est une question l'interdiction aussi d'exercer des fonctions de dirigeant semble aussi sont discutter puisque semble ça ça leur paraît un petit peu disproportionné donc voilà donc ça c'est ce qui est ce qui est relevé j'aurai aussi d'autres questions mais je laisse le la priorité à à nos rapporteurs et et ensuite nos collègues merci merci monsieur le Président Monsieur le Directeur Général merci pour ce ces propos lumminires complet et et précis euh donc vous l'avez compris nous sommes n sommes déplacés à Bruxelles la semaine dernière pour rencontrer à la fois la commission mais aussi euh euh donc vos homologues euh donc euh et j'avoue que les échanges qu'on a pu avoir avec avec eux ont été tout à fait instructifs et et nous ont euh suscité quelques questions supplémentaire alors je je je m'excuse par avant si vous avez déjà abordé un certain nombre de de de sujets euh je vais je vais les reprendre la liste de mes questions avec une première question qui était aussi abordée par le président ma question c'était pensez-vous que les entreprises en particulier les TPE PME qui exercent des activités critiques qui sont donc qualifiés d'entités importantes et qui n'étaient pas soumises à la présente directive Nissan sont suffisamment informé de l'évolution du cadre normatif induit par l'entrée en application de la directive Nice 2 et sinon comment pouvez-vous nous nous indiquer que la communication se se fasse et et s'améliore deuxème question que répondez-vous aux chefs d'entreprise et aux fédérations professionnelles qui craignent une surtransposition alors vous n avez rassuré en disant que dans vos objectifs il n'y avait pas de centration mais néanmoins le doute est toujours là il est légitime car de nombreuses dispositions du projet de loi devront être précisées au niveau réglementaire par décret ce qui laisse toujours une porte ouverte par exemple alors que la précédente directive Nissan listait six secteurs d'activité que l'Union européenne avait jugé prioritaire en raison de leurs effets potentiellement systémiques la France avait ajouté six autres secteurs dont les enjeux ont également été jugés prioritaires désormais la directive Nice 2 18 secteurs d'activité mais comme la liste des entités concernées sera fixée par décret il y a des inquiétudes quant au fait que des secteurs d'activité supplémentaires pourraient être concernés pensez-vous 3è question que les sanctions prévues sont proportionnées le le défaut d'harmonisation des sanctions est une inquiétude car au niveau européen notamment c'est une un problème identifié euh pour éviter de la concurrence entre États sur sur le sujet cyber les États-membres qui ont déjà transposé la directive comme la Belgique ont prévu des sanctions inférieures à celles actuellement prévu par le projet de loi hein jusqu'à 10 millions d'euros ou 2 % de chiffre d'affaires annuel mondial hors taxe pour les entités essentielles et jusqu'à 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial hors tax pour les entités importantes les offices et les bureaux d'enregistrement 4è question quelle sera la philosophie de l'ANC dans les premiers mois d'application de la loi visant à transposer la directive Nice 2 vous nous avez rassuré en la matière mais je je souhaiterais vraiment que vous puissiez revenir sur ce point sera-t-elle une autorité compréhensive et accompagnante à l'égard des des entreprises et comment 5e question pourquoi ne pas avoir repris directement dans le projet de loi la définition des incidents de cybersécurité devont être notifié à la AINS tel que figurant dans la directive Nice 2 ça c'est une question effectivement plus importante et qui donc je l'avoue m'interroge vraiment en conséquence est-ce que vous pouvez nous confirmer que les décrets d'application qui seront préparés par l'an seront bien aligné avec les différentes notions d'incident définies aux articles 7 et 14 du règlement d'exécution du 17 octobre 2024 qui distingue notamment les incidents importants des incidents récurrents et fixe les critères différents selon le type d'acteur concerné voilà pour mes questions dans un premier temps merci monsieur le Président Monsieur le Directeur Général pour ma part donc je suis rapporteur du du Titre 1 de ce de ce texte en tant que membre de la commission des affaires étrangères et de la et de la défense et donc je m'attache plus spécifiquement à la transposition de la directive REC sur les qu ité critique j'ai aussi un un certain nombre de questions euh sauf exception donc pour la défense pouvez-vous nous rappeler pourquoi avoir choisi de confier à une autorité unique l'ANS la mise en œuvre de la politique gouvernementale en matière de sécurité des systèmes d'information alors que ce choix n'était pas imposé par la directive Nice 1 dans la mesure où où le champ d'application de Lancy a évolué avec ses directives euh notamment par la présence d'acteurs économique serait-il pas logique de faire évoluer la gouvernance dans cette dans cette hypothèse ensuite l'article 6 du projet de loi ne reprend pas la définition de la notion d'incident de la directive Nice 2 pourtant essentiel quelles sont les raisons de cette omission est-il prévu de s'appuyer sur le règlement d'exécution 2024 2690 du 17 octobre 2024 sur les textes réglementaire à venir ensuite les dispositions du titre 2 relativ à la cyber sécurité ne sont pas codifié un choix que le Conseil d'État estime nuire à l'accessibilité de la norme pourquoi pour plus de clarté ne pas avoir intégré ces dispositions dans le code de la défense j'ai une question que nous avons posé au SGDSN la semaine dernière en audition qui nous a renvoyé vers l'ency veuillez préciser quel type de mesure pourrait être prise par le Premier ministre pour répondre aux crises majeures ou affectant la la sécurité des système d'information quels critères pourrait être retenus pour la définition de ces de ces événements par ailleurs l'ENC mène depuis l'automne 2023 des consultations avec des acteurs de terrain pour préparer la transposition de Nice 2 quel retour pourouvez-vous nous partager quelles observations quel défi l'an se donne au moins 3 ans pour la pleine application de Nice 2 c'est ce que vous venez de préciser quel accompagnement est-il prévu notamment vis-à-vis des moins aguéris au risque de menace cyber et à titre exemple certains missiles nécessitent plusieurs milliers de sous-traitants il y aura-t-il un regard particulier par exemple des sous-traitants des entreprises concerné par la directive REC vous avez affirmé à plusieurs reprises qu'aucune sanction pour nos confirmités à Nice 2 ne serait appliquée dans un délai de 3 ans le confirmez-vous Lancy apparaît comme le chef d'orchestre vous avez parlé de cyber Pompi tout à l'heure au niveau national comment parvenez-vous à mobiliser et à travailler avec tous les échelons partenaires européens territoriaux service de de l'État les préfets les acteurs locaux quelle limite rencontrez-vous et quelle amélioration doivent-elles être envisagé je vous remercie j'en ai une petite dernière si vous permettez vous avez évoqué les 50 TP supplémentaires est-ce que vous pouvez nous nous préciser les missions de de de ces 50 ETP et la répartition dans les tâches j'ai j'ai une question de notre autre rapporteur Michel Canevet qui est le rapporteur pour la commission finances et plus spécialiste sur Dora et il me demande de vous transmettre la question par rapport à la directive Dora il est envisagé d'intégrer les sociétés de financement dans les entreprises dans les entreprises contraintes qu'est-ce qui le justifie voilà et avez-vous identifié dans le secteur financier et des assurances des faiblesses dans le domaine cyber pour pour ma part et ça sera complémentaire à la question d' d'un des des rapporteurs la directive Nice 2 encourage le recours à des normes et des spécifications techniques européennes et internationales et indique que les États-membres peuvent prescrire des produits et services certifiés dans le cadre de schéma européen afin de démontrer la conformité à certaines exigences la France fera-t-elle le choix de suivre cet encouragement et de recourir à des normes et des spécifications techniques européennes et international si oui quelles seront les normes ou standards retenus par parmi la M titude existante et qui sera en charge de ces choix merci merci alors je vais m'efforcer de de de de faire des des réponses concises et de de n'oublier aucun point je commencerai peut-être sur sur la la question de l'information des entités je partage largement le diagnostic qui est posé par la CPME et je pense que nous avons été à leur côté dans les difficultés qu'ils ont rencontré je pense à mobiliser puisque c'est par eux que ça peut passer notamment euh tout le tissu de PME qui sont potentiellement concernés par le par le périmètre de la de la directive Nice 2 donc oui ce sera c'est pour ça que je je le précisais l'un des l'un des enjeux majeurs celui de la communication de la sensibilisation sur lequel il n'y a pas il y a pas de pas de de levier unique moi je crois profondément aux acteurs de la des fédérations professionnelles à la à la portée de la consultation je crois profondément aussi au rôle des parlementaires pour pour porter ce message auprès du plus grand nombre je crois aussi à toutes les dimensions de communication que nous pouvons mobiliser que nous allons continuer à mobiliser en capitalisant je je je fais un rapprochement avec le travail quielle étaé le nôre dans la préparation des Jeux olympiques et paralympiques sur euh des logiques parfois parfois inhabituelles d'aller d'aller trouver les canaux de communication qui sont lus par ces par ces ces acteurs là pour la préparation des Jeux Olympiques et paralmpiques j'ai donné je ne pensais pas y être y arver un jour une interview dans l'équipe pour toucher les acteurs du monde du sport et leur parler de cybersécurité et je pense qu'il faudra qu'on mobilise aussi ces ces types de de de levier mais je partage totalement le le diagnostic et le la nécessité de poursuivre les efforts dans ce dans ce domaine euh sur la la la la question générale de la de la répartition entre le le réglementaire et le le législatif euh alors nous avons été guidés par par euh comme toujours des injonction contradictoire entre le besoin légitime d'avoir un débat parlementaire sur euh les les paramètres dimensionnant de du nouveau cadre et la nécessité de conserver une forme de souplesse à la fois pour poursuivre des consultations avec des acteurs sur sur les les les points qui ne sont pas tranchés pour s'inscrire aussi dans une temporalité plus longue un je l'ai je l'ai dit et je le je le j'en suis profondément convaincu nous allons besoin de nous inspirer des exemples de nos autres de nos partenaires européens la Belgique en premier lieu mais également l'Allemagne et d'autres d'autres d'autres partenaires qui sont à des stades d'avancement divers sur sur leur propre transposition et je pense que nous avons besoin de garder cette forme de souplesse ce qui renvoie d'ailleurs à la question que vous m'avez posé sur la la notion d'incident euh la notion d'incident elle figurait dans la directive Nice 2 euh elle était clair qu'elle allait être précisée par un acte d'exécution qui a été pris cet été euh d'où le choix de ne pas l'inscrire dans la dans la dans la loi mais plutôt de pouvoir garder ce levier réglementaire pour faire et je ça répondra peut-être à la question question évidemment un alignement le plus fort possible avec le cadre existant par ailleurs et donc je pense que nous reprendrons peu ou prou modulo sa traduction et éventuellement quelques ajustements mineurs pour s'intégrer dans la bonne la bonne visibilité tout ça et et et et le cadre plus général des dispositions préexistantes notamment sur les prestataires de services qualifiés par exemple qui seront aussi soumis à la même définition d'incident donc on nous la préciseront peut-être pour pour combler ces ces l'interprétation dans ces contextes différents mais oui l'intention est bien de s'intégrer et de reprendre cette définition là et j'ajouterai que l'intention est de poursuivre le cas échéant puisque ce qui a été fait par un acte d'exécution peut continuer à évoluer de la même manière suivre les évolutions du cadre européen ou de des des décisions prises par nos partenaire d'où le besoin de cette cette base réglementaire pour poursuivre une forme d'harmonisation et de d'itération pour améliorer le texte de manière de manière rapide et sans doute sans doute dans les années à venir je je je je saute sans doute d'un d'un sujet à l'autre mais pourquoi ce le maintenir le modèle d'une d'une autorité unique qui n'est effectivement pas imposé par la par la par la directive d'abord parce que c'est le modèle qui a marché pour la France depuis la création de l'ancy depuis 2009 j'ai eu l'occasion dans d'autres dans d'autres circonstances de souligner récemment que nous faisions aussi bien que nos amis allemands avec des moyens trois fois moindres cette cette frugalité cette efficacité que qui n'est pas de monfit he qui est qui est généralement un marqueur historique de de Lancy elle tient en partie à ce modèle à ce modèle centralisateur avec un acteur au-dessus de la mêlée positionné à l'interministériel sous l'autorité du Premier ministre qui intervient dans tous les champs qui n'a pas d'autrees mission et donc pas de conflit d'intérêt si j'ose dire qui est ce chef d'orchestre naturel vous l'avez vous l'avez souligné monsieur Sori euh rôle que nous incarnons depuis des années par alors je je il découle le se positionnement de chef d'orchestre découle à la fois de la loi de notre positionnement sous l'autorité du Premier ministre également je pense d'une forme d'expertise et d'efficacité dans le traitement qui fait que nous sommes crédibles et que nous le restons et je pense que c'est ça qui marche qui fait qu'on est efficace parce qu'on arrive à coordonner l'action des services de l'état des des services déconcentrés des acteurs de terrain des acteurs du privé et dans tout ce qu'elle fait l'an agit aujourd'hui déjà dans la coordination d'une équipe de France si je j'ose reprendre ce vocable qui a largement servi et qui était une réalité concrète pendant les les Jeux olympiques et paralympiques une équipe de France qui est très diverse et qui est riche de cette diversité ce qui a été lancé ce matin on est une autre incarnation à travers le 17 cyber qui permet à travers le GP Assima cyber malveillance de mobiliser aussi d'autres acteurs dans la réponse aux besoins plus spécifiques de nos concitoyens notamment euh le le sur la question du des des retours des des consultations moi les les les les retours sont assez uniformes et et transparaissent dans les dans les éléments de de de mise en œuvre ou les les les points d'attention que j'ai mentionné la question des délais est évidemment très prévalente la question de l'accompagnement est très prévalente et nous conduit un à donner un temps suffisant mais aussi à mobiliser tous les acteurs du relais qui peuvent qui peuvent aider épaer là-dedans la question de de l'accompagnement financier ou de la rentabilisation d'une certaine manière de tout cela nous envoie nous renvoie des travaux qui sont en cours sur lequel les Belges aussi sont un exemple inspirant pour essayer à la fois de mobiliser les leviers d'accompagnement qui existent mais aussi de rentabiliser si j'ose dire la conformité àis 2 en inscrivant le cas échéant dans une démarche de labilisation ou dans un périmètre plus large qui permettrait par exemple aux assureurs ou aux secteurs bancaires qui eux aussi se préoccupent de l'évaluation du risque cyber de s'appuyer sur la conformité à Nice 2 pour euh fonder leurs analyses de risque et donc donnerait un avantage quelque part aux acteurs conformes à Nice 2 qu'ils soient réglementés ou qu'ils a les fait de manière volontaire dans la dans la la présentation des risques qu'ils prennent je alors le le la question de la codification de de tout cela s'est posé s'est posé devant le Conseil d'État la vision que nous avons tenu dans la dans la rédaction de ce de ce projet de loi et que mettre cela dans le code de la défense alors que le champ d'application dépasse très largement les enjeux de défense nationale puisqu'il touche des collectivités des de peties taillees ou de relativement petite taille des des PME et et une diversité incroyable d'ailleurs des d'acteurs n'avait pas beaucoup de sens et que c'était pas forcément rendre les choses très lisibles que de les codifier dans le code de la défense la question s'est posée naturellement de le mettre dans d'autres codes mais la la réponse était systématiquement la même il y avait pas de code naturel qui se soit propice à la codification de de ce texte euh sur euh la question des des des sanctions euh alors vous l'avez souligné monsieur le Président le le coût des contrôles déjà à vocation selon le projet de loi qui vous est soumis à reposer sur les entités contrôlées nous sommes là-dedans dans la continuité de ce qui existe déjà dans le code dans le le cadre législatif actuel notamment sur la loi de programmation militaire sur lequel les contrôles sont à sont à la charge des des des des contrôler si je si j'ose m'exprimer ainsi euh nous l'avons fait en ayant en tête notamment le fait que le régime de contrôle est clairement différencié dès la directive entre les entités importantes et les entités essentielles et notamment pour les entités importantes le contrôle ne peut avoir lieu qu'exost donc il nous faut une forte suspicion de nonconformité à travers un incident à travers toute information qui serait de nature à à à laisser penser qu'il y a nonconformité pour mandater un contrôle donc dans ce cadre-là il s'agit pas de de faire contrôler systématiquement l'ensemble des entités importantes à leur frais sur lequel je je je je convient bien volontiers que ce serait insoutenable pour ces entités mais de mettre à leur charge un contrôle avec finalement des des tarifications qui ne sont pas non plus démentiel euh dans en tout cas dans le cadre qui existe aujourd'hui lorsqu'il y a suspicion de de d'irrégularité ou d'inconformité à aux mesures préconisées euh sur le le le choix de positionnement et d'harmonisation des sanctions alors moi j'ai plutôt en tête monsieur monsieur chz vous avez souligné une une un décalage par rapport à la Belgique moi j'ai plutôt en tête que l'ensemble des états- membres dont la Belgique se sont plutôt alignés sur les seuils prévus par la par la directive notamment sur les les pourcentages de chiffres d'affaires global qui sont bien de 2 % pour les entités essentielles et de 1,4 % pour les entités importantes donc en tout cas nous nousous sommes alignés strictement sur les sur ces seuils évidemment le le le la visée n'est pas d'être maximaliste dans tous les cas et je pense que dans l'application du rgpd il y a pas beaucoup de cas de figure si tenté qu'il y en a dans lesquels la laacnil soit allé jusqu'à exiger une une une amende de 4 % du chiffre d'affaires global nous avons le monde de la cybersécurité était plus raisonnable que celui de la défense des des des données personnelles en en fixant des seuils plus faibles mais moià la philosophie qui a qui a présidé je pense la la cette ce positionnement là et de faire non pas de de de jouer au perè Fouettard et de distribuer les amendes mais de faire de ces de ces sujet de cybersécurité un sujet de gouvernance au bon niveau dans les entités assujeties et notamment un sujet de Comex dans les entreprises qui sont concernées euh j'ai l'intuition et elle est confortée par la réalité de ce qui s'est passé autour du rgpd que ça fait cette perspective de sanction en pourcentage de chiffre d'affaires fait d'un sujet purement technique perçu à tort comme purement technique et relevant des seules responsabilités du directeur informatique d'une entreprise un sujet qui va concerner naturellement le directeur financier le directeur des affaires juridiques et le patron et ça tombe bien c'est à cet endroit-là que les décisions doivent être prises qu'il s'agisse d'investissement dans la sécurité de de gestion du risque plus généralement donc c'est bien l'ambition de ce régime de sanction que de porter ce sujet euh au bon niveau de gouvernance cont l'interdiction d'exercer des fonction de dirigeant elle est une reprise de la directive sur laquelle je je je ne nous vois pas aller au urant euh au même titre que le régime préexistant dans le code de la défense ou dans la la transposition de la de la directive Nice 1 prévoyer des régimes de sanction pénales personne n'est allé poursuivre un patron d'entreprise devant les tribunaux dans un régime pénal pour manquement à une obligation de cette nature- làà et je pense que personne n'aurait l'intention de le faire donc je je je pense que c'est c'est une simple reprise de ce que prévoit la directive mais sans intention de d'aller de manière de manière proactive dans cette cette dimension de du régime de sanction euh je je je reviens rapidement sur la philosophie d'accompagnement puisque euh je pense qu'il y aura là-dedans alors un mix de de mobilisation de relais que j'ai pu mentionner dans mon propos liminaire de de communication proactive de partage de guide ce qui est déjà l'activité de l'ancy de mobilisation des des des fédérations professionnelles aussi dans cet accompagnement je pense que une dimension qui qui que j'ai je n'ai pas souligné dans mon propos liminire mais qui qui qui est une ance pour moi c'est aussi énormément de pédagogie et ça fait partie de l'ambition des d'utilisation des délais de 3 ans que nous nous pensons devoir nous donner que de d'accompagner aussi la maturation des des des entités assujties par exemple par des logiques de contrôle à blanc d'où pour moi la nécessité de de constituer assez rapidement un premier noyau de structure de contrôle et de supervision pour aller au contact des des assujetis des fédérations qui les représentent pour tester ce régime de contrôle et pour pour par je je me risquerai à dire que nous allons apprendre au contact les uns des autres et que l'ancy elle-même dans cette nouvelle dimension de ces missions qui le qui est la supervision apprendra au contact des assujeettis et puis enfin sur le sur le alors plusieurs questions renvoi à l'exemple belge donc j'en ferai une réponse une réponse globale la Belgique est pour nous une source d'inspiration et pas que dans la transposition de Nice 2 parce que je je trouve mes mes collègues et camarades du du CCB particulièrement inspirant particulièrement innovant est particulièrement pragmatique dans un certain nombre de de démarches qu'ils ont pu mener et bien avant bien avant la transposition de N 2 donc on regarde de près ce qu'ils font et on se concerte assez régulièrement avec eux euh comme je l'ai j'ai eu l'occasion de le dire je je leur je leur Ségré au demeant d'essuyer les plâtres d'une certaine manière et de guider de guider nos choix à nous pour autant nous n'allons pas avoir une un alignement total des dispositions et notamment je pense que vous avez eu une une présentation de cyber fundamentals qui est la le le les mesures techniques que no nos amis belges mettre derrière les exigences de la directive Nice 2 c'est pour nous une source d'inspiration effectivement je pense que nous travaillons et je pense pouvoir dire que nous sommes dans un niveau d'exigence comparable pour autant je n privilégions pas en l'état la reprise strictinu du de la logique cyber fundamentals et je m'excuse d'ailleurs de le de le dire en belge dans le texte devant cette assemblée qui privilégie le le français euh je je dans dans la l'élaboration des mesures techniques qui fait le toujours l'objet de de consultation nous avons du une part ce qui concerne les entités essentielles qui s'inscrit dans la continuité de ce qui a été fait pour un certain nombre d'entre elles qui sont déjà régulé au titre de la directive Nice 1 ou de du Code de la défense donc nous avons aussi cherché à à prolonger et à péréniser ce qui a un certain nombre de choses qui avaient été fait dans ce cadre là pour ne pas ne pas créer un effet inverse de de changement brutal de la de la réglementation pour les acteurs qui ont déjà investi dans la mise en conformité au texte précédent donc c'est ça qui a surtout guidé notre notre choix et donc un alignement pas naturel avec cyber fundamentals dans ce domainel là pour les entités importantes je pense que la la question se pose de manière plus légitime de l'alignement entre le dispositif belge et le dispositif français avec quand même quelques précaution mais que je que je partage librement et sans préjugés de de l'aboutissement des consultations sur ce sujet premièrement la la démarche la démarche de nos amis belges repose en partie sur la norme ISO 27001 en partie sur des compléments issus d'un cadre du NIST américain ce qui est parfaitement légitime mais ce qui ne donne pas une certification conforme à une norme préexistante prise inextinso donc on est plutôt sur un montage un peu ad hoc et je pense que tous les état-membres sont confrontés à la même réalité il y a pas de norme préexistante qui puisse être prise sur étagère et donner lieu à une conformité directe à la à à à Nice 2 parce que ISO 27001 ne traite pas tous les enjeux de gouvernance par exemple j'ai un autre un autre point de de méfiance vis-à-vis de d'ISO 271 qui est un dispositif d'ASS de d'analyse des risques qui nécessite un travail d'analyse des risques par l'entité qui le met en œuvre euh ce qui a guidé nos travaux jusqu'à ce stade pour les qué importante c'est la notion qu'elles ne seront pas toutes en mesure de conduire leur propre analyse de risque ce qui nécessite une certaine maturité et que nous allons plutôt privilégier en tout cas parmi les modes de conformité à à la directive la simple conformité des règles relativement claires simples qui ne nécessitent pas un travail d'intégration et d'internalisation de la réflexion sur les sur les risques sur leur déclinaison sur un sur une une entité tout ça pour donner quelque part une recette de cuisine simple qui ne nécessite pas une un travail d'analyse au niveau des entités importantes partant du principe que certaines d'entre elles seront en mesure de le faire peut-être pas toutes et je conclurai en disant que je je garde à l'esprit le besoin de souplesse et donc de ne pas imposer un modèle de conformité unique donc de produire une recette de cuisine qui permet de satisfaire l'objectif qui permettra à ceux qui ne savent pas comment faire qui n'ont pas d'idée de trouver la recette et de l'appliquer mais il ne s'agit surtout pas d'exclure d'autres modes de conformité et donc au risque de m'avancer un peu moi je n'exclus pas qu'à terme la labellisation cyber fundamentals belge ou d'autres dispositifs existants chez d'autres état membres soit reconnu en France comme un mode de conformité acceptable à la directive Nice 2 donc soit vous appliquez la recette de cuisine française soit vous appliquez le la labilisation belge dans tous les cas si ça satisfait l'objectif il y a pas de travaux supplémenta à mener je pense qu'il faut il faut se garder cette souplesse là dans l'appréciation des situations parce qu'on est dans une telle variété de d'acteurs assugéti que il y aura pas un modèle unique qui conviendra à tout le monde de manière précise voilà je crois avoir alors non je n'ai pas je n'ai pas répondu à la question sur Dora parce que je ne m'étais noté dans la en dans le coin de ma tête que je n'étais pas le plus légitime pour y répondre euh Dora relevant plutôt de du périmètre de des des ministères économiques et financiers euh je je je mentionnerai simplement le fait que nous avons travaillé avec les futurs régulateurs de Dora qui s'agisse de la Banque de France de la CPR de laamf pour essayer d'harmoniser le plus possible deux directiv et deux cadres qui ne sont pas harmonisés par nature qui ont été négociés parallèlement par des par des acteurs différents qui vont s'imposer pour certains conjointement parce que il y aura un certain nombre d'entreprises et c'est mal encontreux mais c'est comme ça qui auront la moitié de leur activité dans le régime de Dora et l'autre moitié dans le régime de Nice 2 donc nous avons travaillé pour harmoniser le plus possible cont tenu de la différence des textes ce sera pas une harmonisation totale et nous continuerons à être en lien étroit avec ces autorités de contrôle pour limiter les déperditions d'énergie et de friction par dans le la mise en œuvre de ces deux textes parce que évidemment il faudra faudra y veiller 50 TP et bien voilà que comment se réparti ces 50 TP pour moi l'essentiel de la mission de mise en œuvre de Nice 2 relève des compétences habituelles de l'an il s'agisse de la remédiation de la réponse à incident de la de la prévention de l'élaboration de guide et cetera donc ça c'est c'est c'est c'est sous enveloppe quelque part et sous enveloppe contenu des des projections triénales en tout cas ce qui est spécifique à Nice 2 et qui qui fondait cette ce besoin identifier une cinquantaine de TP en plus c'est d'une part la mission de contrôle et de supervision donc la dimension de préinstruction de possibles sanctions qui seront soumis Infiné à la décision de la commission indépendante des des sanctions qui est un métier totalement nouveau pour nous et que nous estimons devoir être peuplé à à terme à hauteur d'une trentaine de TP pour pouvoir le faire bien plus et ça fera le complément un renforcement de notre accompagnement auprès des bénéficiaires Lancy a deux logiques d'accompagnement aujourd'hui avec des coordinateurs sector qui sont en lien avec les ministères qui exercent la coordination de différents secteurs d'activité mais aussi avec les acteurs de de ces secteurs avec les autorités de régulation par exemple et donc je pense que ça ça a besoin de renfort ne serait-ce que pour renforcer la coordination avec les autorités de régulation métier de ces secteurs et puis une deuxième logique de coordination et qui est peut-être là l'axe d'effort principal qui est notre présence dans les dans les régions nous avons aujourd'hui un coordinateur de Lancy auprès de chaque région métropolitaine et un coordinateur qui accumule l'ensemble des outresmèes et qui donc fait régulièrement le tour du monde cette présence auprès des collectivités auprès des régions et qui ne consiste pas à porter c'est pas des hommes orchestres ou des femmes orchestres qui portent l'ensemble des missission de l'an mais qui sont au contact des différents acteurs locaux pour assurer une coordination des efforts elle a toute vocation à être renforcée pour permettre un accompagnement renforcé également voilà ce qu' font de la la demande identifié à ce stade tu voulais apporter quelques compléments non je je me demandais si vous aviez répondu sur l'aspect de l'évolution de de la gouvernance j'ai pas l'imession et puis sur les les la chaîne de sous-traitant des des entreprises qui sont qui sont concernées par la directive REC je je je m'excuse effectivement de ne de ne pas avoir répondu à C à ces pointsl sur la sur la sur sur la gouvernance pour moi l'ambition est vraiment de de de de préserver de maintenir et de et de capitaliser sur le modèle qui a étaé le nôtre jusqu'à présent celui d'une autorité d'une autorité chef d'orchestre euh qui moi j'ai coutume de dire que l'ANC elle intervient dans tous les champ de la cybersécurité elle n'intervient jamais seule mais elle intervient toujours en coordination de l'ensemble des acteurs elle est tour à tour opérateur régulateur conducteur de politique publique et c'est ce qui fait notre force c'est ce qui fait aussi la cohérence du modèle avec à la fois une activité très opérationnelle qui nous conduit à nous confronter quotidiennement aux meilleurs attaquants du monde et à mettre fin à leurs agissements quand ils s'en prennent des entités françaises mais aussi une action dans le domaine de la de la régulation de la coordination de politique publique et ce modèle- là il marche et je ne vois pas de raisons pour lesquelles il ne marcherait pas dans un dans un champ de mission étendu comme celui de Nice 2 au-delà du fait que le réseau de partenaires avec lesquels nous allons travailler sera naturellement beaucoup plus étendu et il inclura beaucoup plus d'acteurs dans les collectivités dans les fédérations professionnelles dans les associations d'élus avec lesquelles il faut péréniser les relations qui ont été noué dans la dans la consultation sur sur le traitement des sous-traitants euh quelque part c'est un une une une part du problème que nous cherchons à résoudre avec Nice 2 euh nous avons depuis des années travailler à la sécurité de nos infrastructures les plus critiques euh depuis un certain nombre d'années le besoin de sécuriser également leurs leur chaîne de valeur pour ne pas c'est une traduction maladroite d'un d'un anglicisme euh sécuriser leur chaîne de valeur pour ne ne pas avoir des défaillances en boule de neige qui Infiné font tomber des infrastructures critiques à partir d'un petit prestataire moi je suis convaincu que malgré toute la valeur que j'attache à ce travail sur les les les chaînes de valeur précises des activités critiques on oubliera toujours un acteur tout ce besoin qui s'exprime à travers la directive niis 2 d'apporter une sécurité assez étendue de base à l'ensemble du tissu économique et donc de changer de périmètre mais de changer aussi de d'échelle j'ajouterai dans cette dimension de prise en compte des sous-traitants une prise en compte particulière de la chaîne de valeur numérique alors Nice 2 traite des infrastructures des des services numériques euh j'attire votre attention sur un autre pan de du cadre européen qui va intervenir dans un champ similaire et dans une temporalité similaire puisqu'il prendra effet en décembre 2026 ou décembre 2027 selon les selon les les ces ces composantes qui est et je m'excuse de l'anglicisme le cyber resilience Act euh qui est un texte un règlement européen donc d'application directe qui lui va réguler les fournisseurs du numérique donc les les éditeurs de logiciel euh les opérateurs de de de de service en mode en mode logiciel à service pardon pour le pour l'anglicisme encore et qui me semble quelque part la deuxième phase de la même pièce et et je me réjouis la France n'y est pas totalement étrangère là encore à travers le la vision qu'elle apporté dans la présidence française de li au premier semestre 2022 que ces deux textes arrivent en même temps et et apportent une forme d'équilibre entre les utilisateurs du numérique qui rentrent dans le champ de Nice 2 et qui ont porté jusqu'à présent la quasi totalité des responsabilités en matière de cybersécurité c'est il y a pas de bonne raison à cela et les fournisseurs du numérique qui ont depuis longtemps et parfois à tort échapper à une forme de responsabilité quand il fournissaient des logiciels vulnérables par exemple qu' ne respectait pas les bonnes pratiques pour les pour corriger ces vulnérabilités là et donc il y a tout un pan de la sous-traitance et celui qui est sans doute le plus difficile hein parce que je me fais aucune illusion sur la capacité d'une petite entité régulée à sujet tianis 2 a imposé des règles de conformité à son éditeur de logiciel ayant P en rue et un marché mondial en revanche le faire à travers un acte un acte réglementaire européen qui régule l'ensemble du marché intérieur ça ça marche donc c'est bien la démarche que nous poursuivons à travers ces ces deux textes merci beaucoup Catherine pardon merci beaucoup monsieur le Président je voulais vous demander votre point de vue sur un autre réglement du Parlement européen et du du Conseil établissant des mesures destinées à renforcer la solidarité les capacités de l'Union afin de détecter les menaces et les incidents de cybersécurité de s'y préparer et de s'yagir avec mes collègues bah ici présentes audre linkendeld et Cyril pelva nous avons étudier ce texte dans le cadre de la commission des affaires européennes du Sénat n avons d'ailleurs déposé une proposition de résolution européenne mais en réalité on s'est beaucoup étonné en étudiant ce texte qu'il intervienne ainsi de manière si précipitée par rapport ort à à Nice 2 c'est un règlement donc d'application directe je je le le répè alors qu'une architecture avait été construite et donc je voulais voir votre avir vraiment votre point de vue sincère sur l'opportunité de ce texte qui n'a bénéficié je viens le dire d'aucune étude d'impact ni de projet de financement quelconque et qui par exemple propose des mesures qui sembleraient aller un peu à l'encontre de l'organisation ne ser française en proposant des des Costes des centres opérationnels de sécurité à l'échelle nationale qui pourrait peut-être venir en doublon des des 6eur dans les régions alors ma deuxème question qui qui qui prolonge celle-ci cette remarque c'est quelle est la bonne échelle selon vous pour organiser ces centres opérationnels d'aide et de réponse à nos entreprises à nos à nos collectivités territorial je vous remercie merci alors je je me permettrai de de de traiter la deuxième question avant de venir à la première la la bonne échelle est quelque part l'ensemble des échelles et est bien articulée entre elle et c'est déjà une réalité puisque nous avons au niveau européen une coordination préexistante au niveau technique à travers ce qu'on appelle et je m'excuse encore pour l'anglicisme le CERT Network qui relie les centres de réponse à incidents nationaux ceux des États-membres que l'ancy incarne pour la France une échelle de coordination au niveau des directeurs d'Agen moi j'ai un club qui s'appelle cyclone des des directeurs des les ANC ou équivalent des 27 États-membres dans lequel nous partageons à la fois le le ce positionnement en charnière entre la réalité technique traitée dans le CER Network et la réalité de nos autorités politiques que nous avons vocation à informer dans la dans la gestion des des crises majeures ça ça marche c'est une réalité et ça ça s'articule assez naturellement avec l'échelon national dans lequel nous avons aussi une une articul une une collectivité enfin pardon une un réseau de de de de CER puisqu'il y a des certs dans les régions il y en a également dans les secteurs d'activité il y en a des entreprises l'ancy porte ce rôle pour le gouvernement et pour le l'échelon national mais al nime aussi une communauté des cissert pour travailler ensemble et donc nous avons plus des réseaux que nous articulons ensemble et ça marche plutôt bien j'en veut pour preuve le fait que c'est ça a été une composante fondamentale de notre réponse et notre traitement des cyberattaques durant les Jeux olympiques et paralympiques tant au niveau national pour coordonner les différents acteurs là encore l'ancy qui a qui a évolué subtilement de son R de de chef d'orchestre dans la préparation comme d'habitude à celui de tour de contrôle pendant le déroulement des Jeux olympiques et paralympiques en mobilisant tous ces réseaux les réseaux nationaux pour la la circulation de l'information mais aussi les réseaux de partenaires européens pour alimenter ces partenaires parfois les rassurer et en tout cas se coordonner sur le traitement des menaces qui débordé de nos frontières donc ça ça marche ça marche plutôt bien et son c'est c'est plusieurs échelles coordonnées entre elles plutôt qu'une échelle unique ce qui ne marcherait pas évidemment c'est une une une grande agence supranationale de temps en temps le l'idée refait surface c'est une fausse bonne idée il faut comme toute fausse bonne idée il faut régulièrement réargumenter contre cette fausse bonne idée parce que ça ça ça ne ça ne répondrait pas une logique de proximité qui est nécessaire et évidemment ça contournerait un élément sur lequel on ne peut pas s'asseoir qui est le partage des responsabilité prévu par les traités entre l'chelons Européens et l'échelon national les États-membres restent responsabl de leur sécurité nationale et donc la sécurité nationale doit être traité par une une agence comme l'ANC et pas comme une par une agence extra supranationale ou européenne euh ceci étant dit le règlement sur la solidarité cyberè me semble aller dans le bon sens et respecter ces lignes rouge en tout cas il a été soutenu dans les délibérations par la France il y a eu évidemment la prise en compte d'un certain nombre de remarques qui veillaient à ne pas ne pas glisser subtilement vers cette fausse bonne idée d'une d'une grande agence supranationale par exemple mais quelque part le règlement sur la la solidarité européenne va plus va à l'étape d'après par rapport à ce qui existe aujourd'hui c'est-à-dire une concer ation entre les États-membres et créer la possibilité d'une entraide et ça je pense que je suis fond fondamentalement convaincu que c'est nécessaire et utile parce que on ne peut pas faire abstraction de ce qui se passe chez nos voisins et on a potentiellement intérêt à pouvoir les aider parce que ce qui se passe chez eux a des conséquences chez nous le meilleur exemple est prenons l'exemple d'une d'une attaque sur le réseau de distribution électrique si le réseau électrique français se porte parfaitement bien mais que le réseau électrique allemand belge ou n'importe quel partenaire européen proche euh tombe suite à une cyberataque les conséquences se feront sentir aussi au niveau national parce que tout cela est interconnecté donc on a on a besoin de pouvoir aider nos voisins on peut pas faire l'hypothèse qu'on aura pas un jour besoin de se faire aider par nos voisins donc c'est aussi quelque chose qu'il faut avoir en tête et de ce point de vue-là le règlement sur la solidarité européenne créer un cadre qui permet cette entraite de manière efficace j'en suis convaincu non pas en créant des bataillons de cybercbattants européens qui attendraient l'arme au pied qu'une crise se déclenche mais en permettant la mobilisation notamment de prestataires privés et en soutenant le cadrage de de du recours à ces ces prestataires privés quelque part on ne fait que reproduire au niveau européen un modèle qui marche très bien au niveau national puisque nous avons été précurseur dans la certification de prestataires privés intervenant dans dans ce genre-là prestataire d'audit prestataire de réponse à incident je ne sais franchement pas comment nous ferions aujourd'hui sans pouvoir nous appuyer sur ces prestataires là et nous le faisons de manière quotidienne dans nos missions les plus quand on touche au cœur du régalien que ce soit par la la nature de la victime ou par la nature de l'attaquant c'est l'ancy qui traite et c'est l'ancy seul qui traite mais dans tous les autres cas l'ANC traite au côté de prestatair privés qui interviennent parfois en première ligne parfois en soutien et c'est le règlement sur la solidarité européenne ne fait rien d'autre que porter ce modèle làà au niveau européen et je pense que c'est une très bonne chose merci Monsieur le Directeur Général vous avez eu des mots très chaleureux pour vos collègues belges je suis sûr qu' qu'il l'apprécieront eux-mêmes ont été très élogieux à l'égard de l'ancy quand ils nous ont reçu la semaine dernière et euhi je suis très content de ce que vous avez dit puisque vous avez dit on ne on ne reprendra pas nous cyber fundamental mais euh on reconnaîtra si une entreprise est considérée comme conforme à Nice 2 parce qu'elle a suivi s fantamatal ça ça nous ira bien alors il y a une deuxième possibilité qu'offre les Belges c'est effectivement c'est ISO 271 vous avez mentionné ça euh et eux donc ils valident ISO 27001 ils ont juste une demande c'est que ce le certificateur qui va certifier ISO 27000 la société soit reconnu par leur agence donc ça pourrait être une question est-ce que ce cette démarche là pourrait vous convenir puisque ça serait pour je pense pour les entreprises intéressant de savoir que elles sont certifiées au 27000 ça rentre bien donc c'est c'est intégré il y a toutes les questions que que l'on se pose enfin si on regarde la norme je je je serai très intéressé ESS de savoir en aparté ce qui fait que au niveau management du système vous vous trouvez qu'il y aurait une faille dans dans lo 27000 mais ça c'est c'est un point j'aimerais savoir en particulier ce ce point-là ils ont une troisième méthodologie qui est de permettre que des euh des personnes qui sont directement du centre de cyberécurité belge viennent auditer directement l'entreprise à ce moment-là effectivement il facture le service c'est une troisième possibilité donc est-ce que la si envisagerait aussi cette prestation de service par exemple qui pourrait être proposée euh ensuite il y a une autre question qui a été posé tout à l'heure par le MEDEF c'est l'article 11 ça faisait ça traitait de l'article 11 comment s'applique la directive sur les groupements de société il pensait aux sociétés qui étaient sur plusieurs pays donc ça peut être aussi une une question qui qui se pose à vous euh pour pour finir il y a dans les euh justement dans dans les choix de prescription des produits et services certifiés dans le casadre des schémas européens quels sont les schémas retenus visa de sécurité de l'an qui sera en charge de ces choix quelle politique industrielle sera mise en place afin de développer des produits et services certifiés en nombre suffisant pour répondre au plus de 15000 entités qui seront concerné par Nice 2 et puisque donc SAU erreur le projet de transposition Nice 2 n'aborde pas c ces sujets donc ça pourrait être des questions complémentaires merci j'en profite vous avez bien raison monsieur le Président le le alors sur sur le l'exemple belge je je précise bien mon propos précédent je m'engage pas à reconnaître des facto tel quel le le le label belge mais je pense qu'il faut aller dans cette direction là et donc poursivre les expertises que que nous Mons actuellement sur le le delta et le fait que je je pense voilà je je pense pas illusoire de de d'arriver à à à ce type de reconnaissance croisée ce schéma vous vous vous mentionnez ISO 271 là encore c'est ce n'est pas que ISO 271 c'est ISO 271 plus quelques compléments sur des des des champs qui manquent dans dans l'ISO 271 et donc moi j'ai j'ai pas de j'ai j'ai pas de il y a pas de faiblesse dans ISO 271 euh il y a quelques manques en relatif à la gouvernance qui sont comblés par nos par nos amis belges moi le le reproche que je fais à cette méthode c'est de nécessiter une analyse de risque instanciée par l'entité qui euh doit se faire labéniser ce qui marche très bien et ce qui est d'ailleurs je pense que ce sera au cœur de nos nos exigences pour les entités essentielles d'avoir leur propre analyse de risque de modéliser leur leur leur activité de d'identifier les facteurs de vulnérabilité les les enjeux et cetera et cetera ça c'est c'est c'est très vertueux comme travail c'est coûteux aussi euh et je ne suis pas sûr que ce soit au cœur de ce qu'on doit demander à une une PME euh de mener ce travail- là alors que probablement dans un secteur d'activité donnée je pense que nous pouvons avoir à l'échelle sectorielle et porté par l'an une appréciation relativement adaptée des risques et leur épargner cette étape là si si si si possible je pense que c'est c'est louable et dans leur intérêt en leur donnant cette recette de cuisine que je mentionnais tout à l'heure c'estd une liste de de mesures auquell il faut être conforme sans faire sans faire sa propre analyse de risque évidemment je je serai je je jouerai contre mon camp si j' interdisait à ces acteursl de faire des analyses de risque au contraire c'est tout à fait vertueux mais je ne vais pas leur imposer euh ça renvoie aussi à la à la question de de l'audit et et je ferai un lien entre votre question sur sur l'audit mené par nos par nos collèges belges nos collègues belges ou les schémas de certification parce que moi je je ne ferme pas du tout la porte à des possibilités d'audit plutôt que portter par l'ENC parce que je malheureusement nos équipes d'audit sont extrêmement mobilisées sur les enjeux les plus cruciaux les infrastructures les plus critiques mais plutôt par et comme c'est notre pratique courante par des prestataires privés là encore le le le cadre de certification Passi prestataire d'audit en SSI qui existe depuis 2014 qui a été je crois le premier le premier cadre de certification qui a été rénové récemment dans la perspective de Nice 2 pour pour porter un niveau d'exigence moindre et pour nous un moyen de de structurer une activité d'audit en revanche et ça répondra à votre votre dernière question monsieur le le président euh moi je n'ai pas l'intention euh et ça ne transparaît pas dans le projet de loi c'est pas l'intention de le prendre au niveau règlementaire non plus d'ailleurs ce serait je pense pas légalement possible je pas l'intention d'imposer le recours à des prestataires certifiés par l'an dans Nice 2 euh ces prestataires aujourd'hui ils portent un niveau d'expertise et d'exigences particulièrement élevé nous travaillons à diversifier leur offre et à diversifier d'ailleurs le le le paysage de ces prestataires avec un niveau d'exigence moindre substantiel puisque nous avons repris les textes les termes génériques des textes européens en la matière euh ils peuvent être un appui je ils ne passeront pas à l'échelle en tout cas pas dans un dans un calendrier compatible avec la mise en œuvre de Nice 2 euh ce qui nous conduit à ne pas en imposer euh l'usage euh en revanche il s'agit évidemment de valoriser le recours à des prestataires euh certifiés ou qualifiés par l'ANC avec des notions qui sont subtiles et qui sont qui font l'objet là encore des des consultations auprès des des acteurs sur le cadre réglementaire et sa déclinaison même infra réglementaire de présomption de conformité moi je peux je pour le dire simplement euh on nira pas imposer là où il faudrait faire un audit de sécurité le recours à un prestataire certifié par l'an en revanche en terme de contrôle euh lorsque l'audit est mené par un prestataire certifié par l'an l'an n'ira pas poser de question dans sa mission de contrôle éventuelle sur la la qualité ou la nature du de l'audit qui a été mené on prendra ça pour argent comptant parce que parce que on a vérifié par ailleurs la la qualité du prestataire son expertise sa compétence et cetera donc voilà on est on est plutôt dans les j d'articulation subtile pour mettre en valeur le recours à des prestataires certifiés par l'ANC sans exclure d'autres et je pense notamment au aux experts cyber qui sont des prestataires avec un niveau d'exigence moindre labellisé par nos collègu du GIP cyber malveillance ce serait dommage de se priver de ces acteurs là donc l'idée est de pouvoir aussi les mettre en valeur et les inscrire dans une logique alors ils ont pas le même niveau d'expertise nécessairement que des prestataires certifiés par l'ANC qui sont qui interviennent dans des infrastructures éminemment complexes qui interviennent face à des attaquants particulièrement experts mais mais il y a pas forcément besoin de ça pour aider une PME à se protéger contre la menace ambiante si j'ose dire celle qu'on appelle systémique je vous remercie pour toutes ces précisions et puis pour commencer à nous donner une sorte d'organisation donc de la réponse que l'on pourrait avoir je crois qu'effectivement le lancement du 17 cyber ce matin démontre queon va avoir un point d'entrée potentiellement unique enfin qu' le la commission notre commission a appelé ça de ses vœux depuis longtemps d'avoir un point d'entrée unique qui ensuite enverra les entreprises les particuliers vers le bon prestataire donc c'est c'est effectivement intéressant de voir que votre approche est est axé sur l'entreprise et le client je dirais la victime potentielle en priorité donc c'est je pense que c'est tout à fait louable en terme d'approche donc je vous remercie je vois pas d'autres questions de personne n d'autres questions donc dans ce cas-là je pense que vous avez donc fini l'exercice en tout cas je vous remercie beaucoup pour toutes ces clarification je je j'aurais pu avoir peut-être encore d'autres questions mais je pense que vous allez il est pas impossible que nous demandions en fin de processus nous vous demandions de de revenir euh puisque là il va y avoir d'autres auditions qui sont menées par par nos rapporteurs en parallèle et on espère savoir très vite quand est-ce que nous-mêmes nous pourrons aller au bout de l'exercice merci encore