ART. 34	N°1037	
ASSEMBLÉE NATIONALE
17 Mai 2023
___________________________________________________________________
PROGRAMMATION MILITAIRE 2024-2030 - (N° 1234)
Commission		
Gouvernement		
Rejeté
AMENDEMENT N°1037
présenté par
M. Giletti, M. Allisio, M. Gonzalez, Mme Hamelet, M. Houssin, M. Muller, M. Mauvieux, Mme Laporte, M. Jolly, M. Jacobelli, M. Hébrard, Mme Lavalette, Mme Le Pen, Mme Lorho, M. Lopez-Liguori, Mme Lelouis, Mme Levavasseur, Mme Lechanteux, M. Lottiaux, M. Bryan Masson, Mme Alexandra Masson, Mme Martinez, M. Marchio, M. Loubet, M. Meurin, Mme Menache, M. Meizonnet, Mme Mélin, M. Ménagé, Mme Parmentier, M. Pfeffer, Mme Pollet, M. Rambaud, M. Odoul, Mme Mathilde Paris, Mme Auzanot, M. Tivoli, Mme Robert-Dehault, M. Rancoule, Mme Ranc, Mme Roullaud, Mme Sabatini, M. Salmon, M. Villedieu, M. Jean-Philippe Tanguy, M. Taché de la Pagerie, M. Schreck, M. Sabatou, M. Ballard, M. Grenon, M. Guiniot, M. Guitton, Mme Grangier, Mme Florence Goulet, M. Taverne, M. Frappé, M. Gillet, M. Girard, Mme Galzy, M. François, M. Falcon, Mme Dogor-Such, M. Dragon, Mme Engrand, Mme Diaz, M. Dessigny, M. de Lépinau, Mme Colombier, Mme Cousin, Mme Da Conceicao Carvalho, M. de Fournas, M. Chudeau, M. Chenu, M. Berteloot, M. Bovet, M. Catteau, M. Cabrolier, M. Buisson, Mme Bordes, M. Boccaletti, M. Bilde, M. Blairy, M. Bentz, M. Beaurain, Mme Blanc, M. Barthès, M. Baubry et Mme Loir
------------
ARTICLE 34
À la fin de l’alinéa 8,substituer aux mots :
« les critères d’appréciationdu caractère significatif de la vulnérabilité ou de l’incidentmentionnés au premier alinéa en fonction des pratiques et desstandards internationaux communément admis »,
les mots :
« le référentiel permettantl’évaluation objective du caractère significatif de lavulnérabilité ou de l’incident mentionnés au premieralinéa ».
EXPOSÉ SOMMAIRE
La présente disposition impose auxéditeurs de logiciels établis en France de notifier à l’ANSSI toutincident informatique ou vulnérabilité significative de leursproduits et d’informer leurs utilisateurs. La LPM crée ainsi unenouvelle restriction pour les éditeurs de logiciels, qui devrontsignaler les incidents et vulnérabilités à l’ANSSI et informer lesutilisateurs concernés. Toutefois, cette disposition soulèveplusieurs problèmes, notamment en ce qui concerne la clarté desconditions déclenchant cette obligation, l’absence d’un cadrejuridique et administratif approprié pour encadrer l’obligation denotification à l’ANSSI, et le risque de divulguer publiquement desvulnérabilités non corrigées. Il est donc recommandé de s’appuyersur des référentiels existants, tels que le CVSS, pour évaluerobjectivement la criticité desdites vulnérabilités.