ART. 15	N°CS341	
ASSEMBLÉE NATIONALE
5 Septembre 2025
___________________________________________________________________
RÉSILIENCE DES INFRASTRUCTURES CRITIQUES ET RENFORCEMENT DE LA CYBERSÉCURITÉ - (N° 1112)
Rejeté
AMENDEMENT N°CS341
présenté par
M. Latombe
------------
ARTICLE 15
Rédiger ainsi cetarticle :
« La mise en œuvre par lespersonnes mentionnées à l’article 14 de la loi n° desexigences des référentiels mentionnées au sixième alinéa du mêmearticle 14 vaut présomption, sauf preuve contraire, de la miseen œuvre du niveau de sécurité adapté et proportionné aux objectifsmentionnés au même alinéa du même article. »
EXPOSÉ SOMMAIRE
La rédaction actuelle issue destravaux du Sénat de l’article 15 prévoit que lespersonnes mentionnées à l’article 14 qui mettent en œuvre lesexigences du référentiel mentionné au sixième alinéa du mêmearticle 14 ou qui mettent en œuvre tout autre référentiel reconnucomme équivalent par l’autorité nationale de sécurité des systèmesd’information peuvent s’en prévaloir auprès de celle‑ci lors d’uncontrôle, le cas échéant au moyen d’un label de confiance approuvéepar elle.
La rédaction actuelle ne permetdonc pas aux assujettis respectant le ou les référentiels définis àl’alinéa 6 de l’article 14 :
– ni d’inverser explicitementla charge de la preuve – ce sera toujours à eux dedémontrer ce respect ;
– ni de se prévaloir d’uneposition favorable à cet égard de l’autorité nationale de sécuritédes systèmes d’information devant les tribunaux si une action enresponsabilité est engagée par un tiers contre l’assujetti du faitdu non-respect des obligations prévues au titre de la présente loiet lui ayant causé un préjudice.
Le respect du ou des référentielsdéfinis à l’alinéa 6 de l’article 14 doit permettred’inverser la charge de la preuve du respect des objectifs desécurité et de ne pas la faire reposer sur l’assujetti,conformément d’ailleurs à la position d’autres pays européens ayanttransposé la directive (UE) 2022/2555 (dite directive NIS 2) duParlement européen et du conseil du 14 décembre 2022concernant des mesures destinées à assurer un niveau élevé communde cybersécurité dans l’ensemble de l’union, modifiant le règlement(UE) n°910/2014 et la directive (UE) 2018/1972 et abrogeant ladirective (UE) 2016/1148.
L’inversion de la preuve permetégalement des gains financiers à la fois pour les entités régulées,mais aussi pour l’État lors des opérations de contrôle qui sont defait simplifiées.
Amendement travaillé avec leCybercercle.