- Texte visé : Projet de loi, adopté par le Sénat, après engagement de la procédure accélérée, relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, n° 1112
- Stade de lecture : 1ère lecture (2ème assemblée saisie)
- Examiné par : Commission spéciale chargée d'examiner le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité
Alexandre Allegret-Pilot
Membre du groupe Union des droites pour la République
Lien vers sa fiche complèteCompléter l’alinéa 5 par les mots :
« notamment en adoptant des solutions immunes à l’extraterritorialité de droits extra européens ».
L’extraterritorialité de certaines législations étrangères constitue aujourd’hui un risque majeur pour
la souveraineté numérique et la sécurité des systèmes d’information nationaux. De nombreuses lois,
notamment celles adoptées par les États-Unis (comme le Cloud Act, le Foreign Intelligence
Surveillance Act ou encore le Patriot Act), permettent aux autorités de ces pays d’accéder à des
données hébergées à l’étranger dès lors que l’entreprise qui les détient est de droit national,
indépendamment du lieu d’hébergement ou du traitement des données.
Cette situation crée une zone de vulnérabilité juridique pour les entités essentielles et importantes
définies par la directive NIS 2. Ces structures, soumises à des exigences de cybersécurité accrues,
sont parfois tentées de recourir à des solutions étrangères sans mesurer pleinement les risques
induits par le cadre juridique applicable à leurs prestataires.
Il est donc impératif que les entités régulées prennent en compte l'extraterritorialité des droits
auxquels sont soumis leurs prestataires lorsqu'elles choisissent des fournisseurs de services de
cybersécurité, d’hébergement, de cloud ou de traitement de données. Ne pas le faire expose à des
risques concrets d’ingérence, d’espionnage économique, voire de rupture de service en cas de
conflit géopolitique ou de contentieux extrajudiciaire.
L’objectif de cet amendement est d’introduire une référence explicite à l’extraterritorialité dans le
cadre des obligations de cybersécurité des entités assujetties, afin de renforcer la vigilance sur ce point et d’inciter au recours à des solutions européennes ou française