ART. 14	N°CS121	
ASSEMBLÉE NATIONALE
5 Septembre 2025
___________________________________________________________________
RÉSILIENCE DES INFRASTRUCTURES CRITIQUES ET RENFORCEMENT DE LA CYBERSÉCURITÉ - (N° 1112)
Non soutenu
AMENDEMENT N°CS121
présenté par
M. Allegret-Pilot
------------
ARTICLE 14
Après l’alinéa 7, insérer lestrois alinéas suivants :
« Ces produits, services ouprocessus certifiés doivent remplir les conditionssuivantes :
« 1° Le siège statutaire,administration centrale et principal établissement de la sociétédont émanent les produits, services ou processus certifiés en causedoivent être établis au sein d’un État membre de l’Unioneuropéenne ;
« 2° Le capital social et lesdroits de vote dans la société dont émanent les produits, servicesou processus certifiés en cause ne doivent pas être, directement ouindirectement, individuellement détenus à plus de 24 %, etcollectivement détenus à plus de 39 %, par des entités tiercespossédant leur siège statutaire, administration centrale ouprincipal établissement au sein d’un État non membre de l’Unioneuropéenne. »
EXPOSÉ SOMMAIRE
Le présent article prévoit que le référentiel d’exigencestechniques et organisationnelles pourra
imposer le recours à des produits, services ou processuscertifiés au titre du règlement (UE)
2019/881, dit Cybersecurity Act. Cette faculté vise à renforcerle niveau de sécurité des entités
assujetties à la directive NIS 2, en favorisant l’usage desolutions certifiées selon un standard
européen reconnu. Cependant, une incertitude demeure quant àl’intégration, dans ces schémas de
certification – notamment le futur EUCS - de critères relatifs àl’immunité des fournisseurs aux
droits extraterritoriaux. Plusieurs versions préliminaires duschéma ont montré des hésitations sur ce
point crucial, sous la pression de certains États membres etd’acteurs économiques favorables à une
approche plus souple. Or, l’absence de garanties sur l’immunitéaux législations extraterritoriales
(comme le Cloud Act américain) affaiblirait l’ambition même dudispositif. Elle exposerait
potentiellement les données stratégiques d’entités essentiellesou importantes à des ingérences
étrangères. Dans ce contexte, le présent amendement, reprenantla définition du Secnumcloud, vise
à introduire explicitement un critère d’établissement en Europepour les services certifiés que le
gouvernement peut prescrire pour les entités régulées par Nis2.