ART. 8	N°CS178	
ASSEMBLÉE NATIONALE
5 Septembre 2025
___________________________________________________________________
RÉSILIENCE DES INFRASTRUCTURES CRITIQUES ET RENFORCEMENT DE LA CYBERSÉCURITÉ - (N° 1112)
Adopté
AMENDEMENT N°CS178
présenté par
Mme Riotton
------------
ARTICLE 8
Compléter l’alinéa 7 par lesmots :
« et les éditeurs delogiciels ; ».
EXPOSÉ SOMMAIRE
De nombreux responsables sécuritédes systèmes d’information (RSSI), en particulier dans le secteurhospitalier, alertent sur une faille majeure du dispositif actuel :les éditeurs de logiciels ne sont soumis à aucune obligation desécurité ni à aucune autorité de contrôle. Ainsi, lorsqu’unevulnérabilité est découverte dans un logiciel utilisé par unétablissement de santé, rien n’impose à l’éditeur de mettre enœuvre dans des délais raisonnables les correctifs nécessaires,exposant directement l’hôpital à des risques de cyberattaque et deparalysie de ses systèmes critiques.
 
Or, le considérant 85 de la directive NIS 2 souligne explicitementque les éditeurs de logiciels constituent un maillon essentiel dela chaîne d’approvisionnement numérique et que leurs produits sontrégulièrement exploités par des acteurs malveillants pourcompromettre la sécurité des réseaux et systèmesd’information.
 
Afin de répondre à cette vulnérabilité structurelle, le présentamendement propose d’étendre les obligations de cybersécuritéprévues par la directive NIS 2 aux éditeurs de logiciels. Cetteévolution permettra d’imposer des exigences minimales de sécuritédès la conception et le développement des produits, mais aussi deprévoir une capacité d’intervention et de contrôle par l’autoritécompétente (ANSSI).
 
En intégrant les éditeurs de logiciels dans le champ d’application,il s’agit de protéger les établissements de santé et plus largementles entités essentielles contre des risques aujourd’hui avérés, engarantissant que les produits dont ils dépendent respectent unsocle commun de sécurité et que les éditeurs assument pleinementleurs responsabilités en cas de faille critique.