ART. 43 A	N°CS242	
ASSEMBLÉE NATIONALE
5 Septembre 2025
___________________________________________________________________
RÉSILIENCE DES INFRASTRUCTURES CRITIQUES ET RENFORCEMENT DE LA CYBERSÉCURITÉ - (N° 1112)
Rejeté
AMENDEMENT N°CS242
présenté par
M. Bouloux, rapporteur
------------
ARTICLE 43 A
Rédiger ainsi cetarticle :
« La déclaration des incidentsmajeurs liés aux technologies de l’information et de lacommunication et la notification volontaire des cybermenacesimportantes prévues à l’article 19 du règlement (UE) 2022/2554du Parlement européen et du Conseildu 14 décembre 2022 sur la résilience opérationnellenumérique du secteur financier et modifiant les règlements (CE) no1060/2009, (UE) no 648/2012, (UE) no 600/2014, (UE) no 909/2014 et(UE) 2016/1011 ainsi que la notification à l’autorité nationale desécurité des systèmes d’information de tout incident ayant unimpact important sur la fourniture des services des personnesmentionnées à l’article 14, prévue à l’article 17, estréalisée à l’aide d’un formulaire unique.
”Cet article est applicable enNouvelle-Calédonie, en Polynésie française et dans les îles Walliset Futuna. »
EXPOSÉ SOMMAIRE
L’article 19 du règlement DORA prévoit que les entitésfinancières déclarent à l’autorité compétente pertinente visée àl’article 46 les incidents majeurs liés aux technologies del’information et de la communication. Elles peuvent égalementnotifier, à titre volontaire, les cybermenaces importantes àl’autorité compétente concernée lorsqu’elles estiment que la menaceest pertinente pour le système financier, les utilisateurs deservices ou les clients.
Quant à l’article 17 du présent projet de loi, qui propose detransposer l’article 23 de la directive NIS 2, il prévoit que lesentités essentielles et les entités importantes (dont peuvent fairepartie plusieurs entités financières concernées par le règlementDORA) doivent notifier sans retard injustifié à l’Agence nationalede sécurité des systèmes d’information (ANSSI) tout incident ayantun impact important sur la fourniture de leurs services.
Afin de diminuer les démarches pour les entreprises victimesincidents majeurs liés aux TIC ou de cybermenaces importantes,l’amendement propose que ces deux obligations d’information soientréalisées par un formulaire unique qui serait adressé aussi bien àl’ANSSI qu’aux autres autorités compétentes selon l’entitéconcernée (Banque de France, ACPR, AMF...).
Cette rédaction alternative à celle du Sénat permettrait demaintenir le rôle primordial de l’ANSSI dans la gestion descyberattaques.