- Texte visé : Projet de loi, adopté par le Sénat, après engagement de la procédure accélérée, d’orientation et de programmation du ministère de l’intérieur, n° 343
- Stade de lecture : 1ère lecture (2ème assemblée saisie)
- Examiné par : Commission des lois constitutionnelles, de la législation et de l'administration générale de la République
I. – À l’alinéa 4, substituer aux mots :
« couvrir le paiement d’une rançon par l’assuré dans le cadre d’une extorsion prévue à l’article 312‑1 du code pénal, lorsqu’elle est commise au moyen d’une »
les mots :
« l’indemniser de tout dommage causé par une ».
II. – En conséquence, au même alinéa 4, substituer au mot :
« pré-plainte »
le mot :
« plainte ».
III. – En conséquence, à la fin du même alinéa 4, substituer aux mots :
« dans les 24 heures suivant l’attaque et avant tout paiement de cette rançon »
les mots :
« au plus tard quarante-huit heures après la constatation de l’infraction ».
Les auteurs de l’amendement proposent d’élargir l'obligation de dépôt de plainte à tout remboursement assurantiel faisant suite à une cyber-attaque, et pas uniquement au remboursement des rançons, qui ne sont plus mentionnées dans l'article.
En effet, face à la montée des cyber-attaques, la position de l’Etat français ne peut être autre que le non-paiement systématique des rançons. Ce point fondamental de la lutte contre la prolifération des cybermenaces permet d’une part de ne pas alimenter les réseaux criminels, et d’autre part de ne pas envoyer le signal que les entités françaises sont une cible de choix car la France tolérerait le remboursement de rançons. En cela, mentionner explicitement les rançons dans le texte de loi est contre-productif et contraire à cet objectif d’intérêt général.
En revanche, l’obligation pour les victimes de cyber-attaque de déposer une plainte dans des délais raccourcis doit permettre aux services d’enquête d’obtenir des données précieuses pour lutter contre cette forme de criminalité partout sur le territoire.
Le délai pour le dépôt de plainte est allongé de 24h à 48h, afin d’éviter un effet « double peine » pour les petites entreprises (victimes d’une attaque sans possibilités d’être remboursées par l’assureur) qui ne seraient pas en mesure de se rendre en commissariat ou en brigade de gendarmerie immédiatement après la constatation de l’incident.