ART. 4	N°CL286	
ASSEMBLÉE NATIONALE
28 Octobre 2022
___________________________________________________________________
D’ORIENTATION ET DE PROGRAMMATION DU MINISTÈRE DE L’INTÉRIEUR - (N° 343)
Tombé
AMENDEMENT N°CL286
présenté par
M. Bothorel
------------
ARTICLE 4
I. – À l’alinéa 4,supprimer les mots :
« le paiement d’une rançon parl’assuré dans le cadre d’une extorsion prévue àl’article 312‑1 du code pénal, lorsqu’elle est commise aumoyen d’ ».
II. – En conséquence, aumême alinéa 4, substituer aux mots :
« même code »
les mots :
« code pénal ».
III. – En conséquence,audit alinéa 4, substituer au mot :
« pré-plainte »
le mot :
« plainte ».
IV. – En conséquence, àla fin du même alinéa 4, substituer aux mots :
« dans les 24 heures suivantl’attaque et avant tout paiement de cette rançon »
les mots :
« au plus tard quarante-huitheures après la constatation de l’atteinte ».
EXPOSÉ SOMMAIRE
Cet article traduit une doubleobjectif légitime de la part du Gouvernement. D’abord, conforter etprotéger le marché français de l’assurance en ouvrant explicitementpar la loi la couverture assurantielle des risques cyber, évitantainsi que les entreprises se couvrent hors de France. Ensuite,améliorer la visibilité sur la cybercriminalité en conditionnant lebénéfice de la couverture assurantielle à une déclaration auxautorités.
Toutefois, la rédaction en l’état aurait des conséquences gravespour les entreprises et pour la sécurité nationale, puisqu’elleconforte le modèle de rentabilité des cyberattaques en prévoyantleur financement (paiement de la rançon). Les cibles françaisesdeviendraient alors un choix privilégié pour lescyberattaquants.
L’abaissement du délai de 48 à 24h voté par le Sénat ajoute unecontrainte formelle bureaucratique et un risque de fuiteinformationnelle à la situation de crise engendrée par unecyberattaque, qui rend de facto inutilisable l’informatique del’entreprise. Le délai de 48h semble plus réaliste pour permettre àl’entreprise attaquée de parer aux premiers effets et d’effectuerles démarches obligatoires (notamment en cas de perte de donnéespersonnelles, de données de santé, etc.).
Au-delà, en introduisant dans la loi l’idée selon laquelle unerançon peut être payée, c’est toute la doctrine de la France(« la France ne paye pas de rançon ») qui est remise encause. Le paiement de rançons deviendrait pour notre pays unequestion de modalités et plus une question de principe : cesignal serait compris de tous, y compris des groupes terroristes,mettant ainsi potentiellement en danger nos compatriotes qui viventà l’étranger. La France devra également assumer le financementpotentiel du crime organisé, du terrorisme ou de l’action offensivede gouvernements étrangers hostiles.
Par conséquent, le présent amendement propose une nouvellerédaction de l’article 4 qui supprime la référence au paiement dela rançon et reste ainsi fidèle à la doctrine de la France. Lesassureurs disposeront d’une marge de manœuvre supplémentairepuisque l’article ainsi rédigé couvre l’ensemble des conséquencesde l’atteinte aux systèmes d’information, notamment la perted’exploitation. L’assureur pourra donc imposer plus facilement ausouscripteur certaines mesures de sécurité informatique. Enfin, lacouverture assurantielle pour les attaques n’incluant pas dedemande de rançon serait également soumise à déclaration auxautorités, ce qui permet aux services de l’État concernés d’avoirune visibilité supérieure par rapport à la rédaction initiale.