APRÈS ART. 36	N°1612	
ASSEMBLÉE NATIONALE
17 Mai 2023
___________________________________________________________________
PROGRAMMATION MILITAIRE 2024-2030 - (N° 1234)
Commission		
Gouvernement		
Rejeté
AMENDEMENT N°1612
présenté par
M. Lopez-Liguori, M. Allisio, Mme Auzanot, M. Ballard, M. Barthès, M. Baubry, M. Beaurain, M. Bentz, M. Berteloot, M. Bilde, M. Blairy, Mme Blanc, M. Boccaletti, Mme Bordes, M. Bovet, M. Buisson, M. Cabrolier, M. Catteau, M. Chenu, M. Chudeau, Mme Colombier, Mme Cousin, Mme Da Conceicao Carvalho, M. de Fournas, M. de Lépinau, M. Dessigny, Mme Diaz, Mme Dogor-Such, M. Dragon, Mme Engrand, M. Falcon, M. François, M. Frappé, Mme Galzy, M. Giletti, M. Gillet, M. Girard, M. Gonzalez, Mme Florence Goulet, Mme Grangier, M. Grenon, M. Guiniot, M. Guitton, Mme Hamelet, M. Hébrard, M. Houssin, M. Jacobelli, M. Jolly, Mme Laporte, Mme Lavalette, Mme Le Pen, Mme Lechanteux, Mme Lelouis, Mme Levavasseur, Mme Loir, Mme Lorho, M. Lottiaux, M. Loubet, M. Marchio, Mme Martinez, Mme Alexandra Masson, M. Bryan Masson, M. Mauvieux, M. Meizonnet, Mme Mélin, Mme Menache, M. Ménagé, M. Meurin, M. Muller, M. Odoul, Mme Mathilde Paris, Mme Parmentier, M. Pfeffer, Mme Pollet, M. Rambaud, Mme Ranc, M. Rancoule, Mme Robert-Dehault, Mme Roullaud, Mme Sabatini, M. Sabatou, M. Salmon, M. Schreck, M. Taché de la Pagerie, M. Jean-Philippe Tanguy, M. Taverne, M. Tivoli et M. Villedieu
------------
ARTICLE ADDITIONNEL
APRÈS L’ARTICLE 36, insérer l’article suivant:
Dans un délai d’un an à compter dela publication de la présente loi, le Gouvernement remet un rapportau Parlement évaluant l’application de l’article 34 de laprésente loi, examinant notamment la mise en place de sanctionsapplicables aux éditeurs de logiciels qui ne déclarent et neremédient pas aux incidents et vulnérabilités significatives.
EXPOSÉ SOMMAIRE
L’article 34 met en place undispositif qui a pour but d’inciter les éditeurs de logiciel à êtretransparents sur les vulnérabilités significatives et les incidentssur leurs systèmes d’information, à travers deux obligations :d’une part de le notifier à l’ANSSI, et de l’autre d’informer lesutilisateurs. En cas de manquement, il prévoit plusieurs mesures :une injonction de l’ANSSI d’informer les utilisateurs, et à défaut,une information des utilisateurs par l’ANSSI, voire unepublication. Si l’information des utilisateurs est indispensable,cet article pose plusieurs problèmes et questions pratiques sur lerôle de l’ANSSI dans le processus. Des précisions devraient êtreapportées sur les moyens d’information des utilisateurs puisquel’ANSSI ne dispose pas de la liste des utilisateurs d’un logiciel.En outre, la publication de vulnérabilités significatives estutilisée comme moyen d’obliger les entreprises à déclarer ; on peuts’interroger sur l’efficacité de cette mesure, sachant que lapublication de vulnérabilités d’un éditeur de logiciel peutl’exposer à de graves menaces. Il convient donc de réfléchir à unsystème applicable en pratique qui permettrait en bout de chained’atteindre l’objectif de régler la vulnérabilité significativesans pour autant exposer l’entreprise à des risques supplémentairesde cyberattaque. Tel est le sens de cette amendement.