ART. 14	N°CS323	
ASSEMBLÉE NATIONALE
5 Septembre 2025
___________________________________________________________________
RÉSILIENCE DES INFRASTRUCTURES CRITIQUES ET RENFORCEMENT DE LA CYBERSÉCURITÉ - (N° 1112)
Rejeté
AMENDEMENT N°CS323
présenté par
M. Latombe
------------
ARTICLE 14
Compléter l’alinéa 2 par laphrase :
« Le choix d’une solutionlogicielle dont le code source n’est pas accessible ou vérifiable,et lorsqu’elle concerne un système d’information critique, faitl’objet d’une analyse de risques spécifique, documentée etprésentée aux organes de direction évaluant la dépendance vis-à-visdu fournisseur, les limitations en matière d’audit de sécurité etles stratégies de réversibilité à brève échéance. »
EXPOSÉ SOMMAIRE
Le présent amendement vise àinstaurer une saine gestion des risques technologiques pour lessystèmes d’information les plus critiques de la Nation, enapplication du principe « appliquer ou expliquer ». Leprojet de loi renforce à juste titre les obligations decybersécurité. Cependant, une part majeure du risque provient desbriques logicielles elles-mêmes, notamment lorsqu’elles sont des« boîtes noires » dont le fonctionnement interne estinaccessible à l’entité qui les utilise et aux autorités decontrôle. Cet amendement ne vise pas à interdire le recours auxlogiciels propriétaires, mais à s’assurer que leur choix pour unusage critique soit une décision éclairée et documentée. Enexigeant une analyse de risques spécifique pour les solutions àcode source fermé, cet amendement contraint les entitésessentielles et importantes à évaluer objectivement :
1. La dépendance technologique(vendor lock-in) : Le risque de se retrouver prisonnier d’unfournisseur unique, souvent soumis à des législations étrangères,est une vulnérabilité stratégique majeure. L’analyse devra portersur les stratégies de réversibilité et de sortie.
2. Les limitations en matièred’audit de sécurité : L’impossibilité de réaliser ou de faireréaliser un audit complet du code source constitue un risque desécurité intrinsèque. L’entité devra formaliser la manière dontelle entend pallier cette opacité.
3. La souveraineté des données etdes systèmes : Cet amendement s’inscrit dans la continuité del’article 16 de la loi pour une République numérique, quidemande aux administrations de préserver la « maîtrise, lapérennité et l’indépendance de leurs systèmes d’information ».Il précise cette exigence de maîtrise dans le cas desinfrastructures critiques du pays.