ART. 14	N°CS331	
ASSEMBLÉE NATIONALE
5 Septembre 2025
___________________________________________________________________
RÉSILIENCE DES INFRASTRUCTURES CRITIQUES ET RENFORCEMENT DE LA CYBERSÉCURITÉ - (N° 1112)
Retiré
AMENDEMENT N°CS331
présenté par
M. Latombe
------------
ARTICLE 14
Substituer aux alinéas 6 à 8 lesneuf alinéas suivants :
« Un décret en Conseil d’Étatdétermine :
« a) les conditionsd’élaboration, de modification et de publication des objectifsauxquels doivent se conformer les personnes mentionnées au premieralinéa afin que les mesures adoptées pour la gestion des risquessatisfassent aux 1° à 4° de l’article ;
« b) lesconditions d’élaboration, de modification et de publication d’unréférentiel d’exigences techniques et organisationnelles qui sontadaptées aux différentes personnes mentionnées au premier alinéa,en fonction de leur degré d’exposition aux risques, de leur taille,de la probabilité de survenance d’incidents et de leur gravité, ycompris leurs conséquences économiques et sociales.
« Ce référentiel peutprescrire le recours à des produits, des services ou des processuscertifiés au titre du règlement (UE) n° 2019/881 du Parlementeuropéen et du Conseil du 17 avril 2019 relatif àl’ENISA (Agence de l’Union européenne pour la cybersécurité) et àla certification de cybersécurité des technologies de l’informationet des communications, et abrogeant le règlement (UE) n°526/2013 ;
« c) les conditionsdans lesquelles le recours à des normes et des spécificationstechniques européennes, internationales pour la sécurité desréseaux et des systèmes est considéré comme équivalent auréférentiel d’exigences techniques et organisationnelles mentionnéau b).
« Les normes pour la sécuritédes réseaux et des systèmes d’information adoptées par d’autresÉtats membres en application de l’article 21 de la directive(UE) 2022/2555 du Parlement européen et du conseildu 14 décembre 2022 sont considérées comme desnormes européennes ou internationales au sens du présentarticle.
« Le guide de l’ENISA pour lamise en œuvre du règlement d’exécution (UE) 2024/2690du 17 octobre 2024 est notamment réputé équivalentau référentiel d’exigences techniques et organisationnellesmentionné au b) ;
« d) les conditionsdans lesquelles l’application d’autres réglementations pour lasécurité des réseaux et des systèmes est considérée commeéquivalente au référentiel d’exigences techniques etorganisationnelles mentionné au b).
« Le décret fixe les modalitésde concertation des ministères, des représentants des entitésconcernées et des associations d’élus pour les a, b et c duprésent article. »
EXPOSÉ SOMMAIRE
Cet amendement de réécritureconséquent vise à s’assurer que la définition des objectifs desécurité et des référentiels d’exigences pour y répondre sontélaborés par l’ensemble des parties prenantes.
 Dans le texte d’origine,seules l’élaboration, la modification et la publication d’unréférentiel d’exigences techniques et organisationnelles sontsoumises à la concertation des parties prenantes auxquellesmanquent par ailleurs les ministères coordonnateurs.
La concertation des ministères estessentielle dans ce processus de définition en raison notamment deleur connaissance du secteur, des réglementations spécifiques, desacteurs qui le composent et de leur éventuelle articulation avecd’autres secteurs, de leur capacité à évaluer le degré d’expositionaux risques des entités relevant de ce texte ainsi que des impactsmétiers et de leurs conséquences.
Par ailleurs, l’article 25 dela directive (UE) 2022/2555 (dite directive NIS 2) du Parlementeuropéen et du conseil du 14 décembre 2022concernant des mesures destinées à assurer un niveau élevé communde cybersécurité dans l’ensemble de l’union, modifiant le règlement(UE) n°910/2014 et la directive (UE) 2018/1972 et abrogeant ladirective (UE) 2016/1148 prévoit spécifiquement que les« États membres encouragent le recours à des normes etdes spécifications techniques européennes et internationales pourla sécurité des réseaux et des systèmes d’information ».
Non seulement de telles normesinternationales, telles que la norme ISO 27001, sont fréquemmentmises en œuvre dans de grands groupes ayant des filiales dansplusieurs pays de l’Union européenne, mais elles sont égalementreconnues, par d’autres États membres ayant transposé le mêmetexte, comme équivalentes au référentiel national, parfois aveccertains compléments ou sous certaines conditions.
De plus, les normes et lesspécifications techniques pour la sécurité des réseaux et dessystèmes d’information issues d’autres pays européens ayanttransposé la directive NIS 2 susvisée peuvent également servir depoint de référence utile en harmonisant les règles au sein d’ungroupe dans la mesure où, par exemple, des filiales auraient déjà àrespecter un référentiel national applicable par un État membreayant transposé la directive susmentionnée depuis de nombreuxmois.
Le guide de l’ENISA pour la mise enœuvre du règlement d’exécution (UE) 2024/2690du 17 octobre 2024 applicable à certaines entitésrégulées telles que les fournisseurs de services d’informatique ennuage, les fournisseurs de réseaux de diffusion de contenus ou deprestataires de services de confiance, constitue de fait unstandard de sécurité numérique reconnu par l’UE qui peut être leréférentiel pour toute entité régulée, notamment celles disposantde sites dans différents états membres, évitant le risque dedistorsion, optimisant les coûts de mise en conformité pour lesentités régulées et simplifiant les opérations de contrôle.
Enfin, la conformité d’une entité àDORA dont le niveau de sécurité est supérieur à NIS2, doit êtrereconnue comme une preuve de conformité à NIS2.
Afin de « favoriser la mise enœuvre convergente de l’article 21, paragraphes 1et 2 » comme le prévoit le 1 de l’article 25 de ladirective précitée, la rédaction proposée permet la reconnaissanceà l’identique du référentiel national, de normes pouvant permettreune approche cohérente et permettant de disposer du même niveau depreuve de conformité que celui prévu à l’article 15 du présentprojet.
Amendement travaillé avec leCybercercle.