ART. 43 A	N°CS109	
ASSEMBLÉE NATIONALE
5 Septembre 2025
___________________________________________________________________
RÉSILIENCE DES INFRASTRUCTURES CRITIQUES ET RENFORCEMENT DE LA CYBERSÉCURITÉ - (N° 1112)
Tombé
AMENDEMENT N°CS109
présenté par
M. Latombe
------------
ARTICLE 43 A
Rédiger ainsi cetarticle :
« I. - Aprèsl’article L. 612‑24 du code monétaire et financier, ilest inséré un article L. 612‑24‑1 ainsi rédigé :
« Art. L. 612‑24‑1. – I. – Enapplication du premier alinéa du paragraphe 1 de l’article 19du règlement (UE) 2022/2554 du Parlement européen et du Conseildu 14 décembre 2022 sur la résilience opérationnellenumérique du secteur financier, les entités financières soumises àce règlement qui relèvent de la compétence de l’Autorité decontrôle prudentiel et de résolution, à l’exception des personnesmentionnées au b du 2° du A du I del’article L. 612‑2, adressent à l’Autorité de contrôleprudentiel et de résolution leurs déclarations d’incidents majeursliés aux technologies de l’information et de la communication.
« Lorsque ces entités sontégalement soumises en tant qu’entités essentielles ou importantesaux dispositions de la directive (UE) 2022/2555 du Parlementeuropéen et du Conseil du 14 décembre 2022concernant des mesures destinées à assurer un niveau élevé communde cybersécurité dans l’ensemble de l’Union, elles transmettentégalement à l’autorité nationale de sécurité des systèmesd’information, en application du sixième alinéa du 1 del’article 19 du règlement mentionné à l’alinéa précédent,leurs déclarations d’incidents majeurs liés aux technologies del’information et de la communication.
« II. – Enapplication du paragraphe 2 de l’article 19 du règlement (UE)2022/2554 du Parlement européen et du Conseildu 14 décembre 2022 sur la résilience opérationnellenumérique du secteur financier, les entités financières mentionnéesau premier alinéa du I peuvent adresser à l’Autorité decontrôle prudentiel et de résolution leurs notifications decybermenaces. Dans ce cas, elles transmettent également cesnotifications à l’autorité nationale de sécurité des systèmesd’information.
« III. – Lesdéclarations et notifications mentionnées au I et au IIdu présent article sont réalisées par le biais d’un document uniquetransmis simultanément à l’Autorité de contrôle prudentiel et derésolution et à l’autorité nationale de sécurité des systèmesd’information. »
« II. – Au tableau du I des articlesL. 783‑2, L. 784‑2 et L. 785‑2 du même code, aprèsla ligne :
« 
L. 612-24, à l’exception de son huitième alinéa	l’ordonnance n° 2021-796 du 23 juin 2021	
 »
est insérée la ligne suivante :
«
L. 612-24-1	la loi n° du 2025	
 ».
EXPOSÉ SOMMAIRE
Cet amendement vise à désignerl’Autorité de contrôle prudentiel et de résolution comme autoritécompétente chargée de recevoir les déclarations d’incidents majeursliés aux TIC et les notifications volontaires des cybermenaces dela part des entités financières soumises à la surveillance deplusieurs autorités nationales compétentes, conformément audeuxième alinéa du paragraphe 1 de l’article 19 du règlement(UE) 2022/2554 du Parlement européen et du Conseildu 14 décembre 2022 sur la résilience opérationnellenumérique du secteur financier (DORA).
Contrairement à la rédactionadoptée par le Sénat, une communication simultanée et par le biaisd’un formulaire unique est toutefois prévue au bénéfice de l’Agencenationale de sécurité des systèmes d’information (ANSSI), demanière obligatoire pour les entités assujetties au titre II duprojet de loi et sur une base volontaire pour les autres entités,afin de faciliter l’information rapide et le traitement de cesincidents et menaces par l’ANSSI.
Cette rédaction permet de concilierla simplification des démarches à accomplir par les entreprisesconcernées tout en permettant l’intervention rapide de l’ANSSI.
En effet, une transmission à laseule ACPR engendrerait des délais importants, notamment en casd’incidents nocturnes ou le week-end, l’ACPR ne disposant ni d’unsystème d’astreinte ni d’un portail de déclaration accessible encontinu, contrairement à l’ANSSI. Ces délais peuvent être trèspréjudiciables dans le cadre de la gestion d’incidents cybermajeurs. Certains incidents peuvent affecter directement lasituation prudentielle d’un établissement ou perturber lacontinuité de ses services essentiels. Dans ce contexte, uneinformation directe et simultanée des autorités financières estindispensable pour permettre une réaction rapide, prévenir toutrisque de contagion et sécuriser les intérêts des clients.