ART. 18	N°166	
ASSEMBLÉE NATIONALE
27 Janvier 2024
___________________________________________________________________
ENCADRANT L’INTERVENTION DES CABINETS DE CONSEIL PRIVÉS DANS LES POLITIQUES PUBLIQUES - (N° 2112)
Commission		
Gouvernement		
Adopté
AMENDEMENT N°166
présenté par
Mme Miller
------------
ARTICLE 18
I. – À l’alinéa 2,substituer aux mots :
« nécessitent un haut niveaude sécurité des systèmes d’information »
les mots : 
« impliquent que leprestataire ait accès à des données d’une sensibilité particulière,à caractère personnel ou non, et si leur violation est susceptibled’engendrer une atteinte à l’ordre public, la sécurité publique, àla santé ou la vie des personnes ou à la protection de la propriétéintellectuelle ».
II. – En conséquence, aumême alinéa, supprimer la première occurrence du mot :
« soit ».
III. – En conséquence, àla fin dudit alinéa, supprimer les mots :
« qualifié conformément auréférentiel établi par l’Agence nationale de la sécurité dessystèmes d’information, soit de tout document équivalent d’un autreÉtat membre de l’Union européenne attestant d’un niveau minimal desécurité ».
EXPOSÉ SOMMAIRE
L’article 18 vise à renforcer laprotection des données de l’administration.
La notion de « haut niveau de sécurité » ne bénéficiepas d’une définition précise. Il convient donc de lui préférer laréférence aux « données d’une sensibilité particulière »,définition arrêtée dans la circulaire « cloud au centre »de la Première ministre du 31 mai 2023 et qui respecte le cadre derégulation international et européen. Elle sera précisée par décreten Conseil d’Etat.
Par ailleurs, cette obligation étant contraignante, elle doitêtre proportionnée à l’objet du marché et aux risques encourusestimés, qui sont donc ainsi précisés.
De même, la mention d’un « référentiel établi parl’ANSSI » ne reflète pas l’évolution et le renforcementprochain du cadre réglementaire au travers notamment de latransposition de la Directive « NIS2 » (n° (UE)2022/2555du Parlement européen et du Conseil du 14 décembre 2022 concernantdes mesures destinées à assurer un niveau élevé commun decybersécurité dans l’ensemble de l’union, modifiant le règlement(UE) n°910/2014 et la directive (UE) 2018/1972, et abrogeant ladirective (UE) 2016/1148 (directive SRI 2).
La nouvelle directive mettra en œuvre un référentiel de sécuritégénéral auquel devront se conformer un grand nombre d’acteurs auregard de leur sensibilité.
Il convient donc de ne pas multiplier les référentiels afind’assurer la lisibilité et la bonne adoption de ces règles pour lesacteurs publics et économiques et en conséquence de supprimer lamention d’une qualification des prestataires d’audit selon unréférentiel établi par l’ANSSI.
En outre, le décret en Conseil d’État prévu par l’article 18permettra de préciser les modalités techniques d’application de cetarticle.