ART. 18	N°CL107	
ASSEMBLÉE NATIONALE
20 Janvier 2024
___________________________________________________________________
ENCADRANT L’INTERVENTION DES CABINETS DE CONSEIL PRIVÉS DANS LES POLITIQUES PUBLIQUES - (N° 366)
Adopté
AMENDEMENT N°CL107
présenté par
Mme Miller, M. Gouffier Valente, Mme Abadie, Mme Chassaniol, Mme Chandler, M. Dunoyer, Mme Guévenoux, M. Houlié, M. Mendes, M. Le Gendre, M. Didier Paris, M. Pellerin, M. Pont, M. Poulliat, M. Rebeyrotte, M. Rudigoz, M. Terlier, M. Valence et Mme Yadan
------------
ARTICLE 18
Rédiger ainsil’alinéa 2 :
« II. – Lorsquel’objet ou les caractéristiques du marché nécessitent un hautniveau de sécurité des systèmes d’information, l’administrationbénéficiaire peut imposer comme condition de participation latransmission par le candidat des conclusions d’un audit de sécuritéréalisé par un tiers prestataire d’audit de sécurité des systèmesd’information qualifié conformément au référentiel établi parl’Agence nationale de la sécurité des systèmes d’information, ou detout document équivalent d’un autre État membre de l’Unioneuropéenne, attestant d’un niveau minimal de sécurité. »
EXPOSÉ SOMMAIRE
L’article 18 impose aux cabinets deconseil souhaitant participer à la passation d’un contrat de lacommande publique de systématiquement produire les conclusions d’unaudit de sécurité, attestant d’un niveau minimal de sécurité,réalisé conformément à un référentiel de sécurité établi parl’autorité nationale de la sécurité des systèmes d’information(ANSSI). Cette disposition vise à renforcer la protection desdonnées de l’administration.
Toutefois, en l’état de sa rédaction, l’article 18 n’est pascompatible avec les principes issus des directives 2014/24/UE et2014/25/UE relatives aux marchés publics.
En effet, l’article 58 de la directive 2014/24/UE (et, parrenvoi, l’article 80 de la directive 2014/25/UE) prévoit que toutesles conditions de participation imposées aux opérateurs économiquesdoivent être limitées « à celles qui sont propres à garantirqu’un candidat ou un soumissionnaire dispose de la capacitéjuridique et financière ainsi que des compétences techniques etprofessionnelles nécessaires pour exécuter le marché à attribuer.Toutes les conditions sont liées et proportionnées à l’objet dumarché ».
Ce lien nécessaire entre conditions de participation et objet dumarché, comme l’exigence de proportionnalité, ont encore étérécemment rappelés par le Conseil d’État (CE, 12 avril 2023, Officenational des forêts, req. n° 466740).
Or, en visant l’ensemble des marchés pour lesquels unprestataire de conseil est susceptible de déposer une candidature,l’article 18 de la proposition de loi inclut nécessairement desmarchés n’exigeant aucunement que soit spécifiquement garantie lasécurité des systèmes d’information.
S’il est incontestable que certains marchés exigent un hautniveau de sécurité des systèmes d’information, il convient deréserver à ceux-là la production des conclusions d’un audit desécurité.
Par ailleurs, l’annexe XII de la directive 2014/24/UE liste,notamment, les éléments acceptés au titre de la preuve descapacités techniques des opérateurs techniques. À cet égard, estentre autres visé comme moyen de preuve, le contrôle effectué« par un organisme officiel compétent du pays dans lequel lefournisseur ou le prestataire de services est établi » – sibien qu’il est indispensable que soient acceptées les conclusionsd’audit réalisé par un prestataire qualifié conformément à unréférentiel établi non seulement par l’ANSSI, mais également toutdocument équivalent d’un autre État membre de l’Unioneuropéenne.