ART. PREMIER	N°CS198	
ASSEMBLÉE NATIONALE
5 Septembre 2025
___________________________________________________________________
RÉSILIENCE DES INFRASTRUCTURES CRITIQUES ET RENFORCEMENT DE LA CYBERSÉCURITÉ - (N° 1112)
Tombé
AMENDEMENT N°CS198
présenté par
M. Lopez-Liguori, Mme Auzanot, Mme Bouquin, M. Buisson, M. Casterman, M. de Lépinau, Mme Delannoy, M. Gabarron, M. Rambaud, M. Rancoule, M. Renault, M. Sabatou, M. Salmon, M. Schreck et M. Villedieu
------------
ARTICLE PREMIER
Compléter la deuxième phrase del’alinéa 32 par les mots : 
« et desous-traitance ».
EXPOSÉ SOMMAIRE
L’obligation initialement prévue par le projet de loi, imposantaux opérateurs d’importance vitale d’analyser les dépendances etvulnérabilités de leurs chaînes de sous-traitance, constituait unprogrès majeur en matière de sécurité nationale et de résiliencedes infrastructures critiques. Pourtant, cette disposition a étésupprimée lors de l’examen au Sénat, affaiblissant le niveaud’exigence prévu par le texte. Or, il est aujourd’hui largementreconnu — et confirmé par les retours des services de renseignementet de cybersécurité — que les chaînes de sous-traitance constituentl’un des principaux vecteurs de risque, notamment dans les domainescyber, logistique et technologique. Les cyberattaques récentesdémontrent que les attaquants ciblent de plus en plus lesfournisseurs de second ou troisième rang, souvent moins protégés,pour compromettre l’ensemble de l’écosystème.
Dans le domaine du numérique, l’exemple de l’attaque SolarWinds,qui a permis à un acteur russe d’infiltrer des milliersd’organisations via un fournisseur logiciel, ou encore celui duransomware NotPetya propagé par la compromission d’un prestatairecomptable ukrainien, illustrent le risque systémique que peuventreprésenter des dépendances mal maîtrisées. L’ANSSI, dans sonpanorama 2024, évoque l’exemple de la compromission d’unsous-traitant informatique étranger intervenant au profit deplusieurs grandes entreprises françaises, permettant à desattaquants de pénétrer les SI de ces dernières, au moyen d’accèslégitimes.  La suppression de cette obligation va donc àrebours d’une approche rigoureuse de la résilience des activitésd’importance vitale. Il s’agit ici de mettre en place une exigencede cartographie et d’évaluation des risques liés aux maillonsessentiels de la chaîne de valeur. 
En rétablissant cette obligation, le présent amendementcontribue directement aux objectifs de la loi : renforcer larésilience nationale face aux menaces complexes et multiformes quipèsent sur nos infrastructures critiques.