ART. 16	N°CS357	
ASSEMBLÉE NATIONALE
5 Septembre 2025
___________________________________________________________________
RÉSILIENCE DES INFRASTRUCTURES CRITIQUES ET RENFORCEMENT DE LA CYBERSÉCURITÉ - (N° 1112)
Rejeté
AMENDEMENT N°CS357
présenté par
M. Latombe
------------
ARTICLE 16
Compléter cet article par l’alinéasuivant :
« Les exigences spécifiquesmentionnées à l’alinéa 2 peuvent prescrire que les opérateursmettent en œuvre des systèmes qualifiés de détection des événementssusceptibles d’affecter la sécurité de leurs systèmesd’information. Ces systèmes de détection sont exploités sur leterritoire national par des prestataires de service qualifiés enmatière de sécurité de systèmes d’information, par l’Autoriténationale de sécurité des systèmes d’information ou par d’autresservices de l’État désignés par le Premier ministre. Lesqualifications des systèmes de détection et des prestataires deservice exploitant ces systèmes sont délivrées par le Premierministre. »
EXPOSÉ SOMMAIRE
Cet amendement vise à garantir lemaintien des exigences en matière de sécurité et de confiance dessystèmes et prestataires des détections des incidents de sécuritédes Opérateurs d’Importance Vitale au niveau équivalent à celui envigueur. En effet, depuis la loi de programmation militaire de2013, les OIV doivent avoir recours à des systèmes et prestatairesde service de détection des incidents de sécurité et lesprestataires qualifiés par l’ANSSI. Ces systèmes doivent parailleurs être exploités sur le sol national. Actuellement, l’ANSSIdélivre aux produits et prestataires qualifiés un Visa de sécurité,accessible après une procédure de qualification particulièrementexigeante.
Or à l’article 16 du projet deloi, ces dispositions sont remplacées par des exigences spécifiquesqui ne concernent plus uniquement les systèmes de détection maisplus généralement tout dispositif matériel ou logiciel ouprestataire de service dont le recours peut être prescrit aux OIV.Surtout, les critères retenus ne sont pas aussi exigeants que ledispositif en vigueur : il peut s’agir de dispositifs etprestataires certifiés ou agréés (et non plus uniquement qualifiés)et ces derniers ne doivent plus obligatoirement être exploités surle sol national.
Pour des raisons de sécuriténationale, nous proposons donc de maintenir les exigences pour lessystèmes et prestataires de détection des incidents de sécurité desOIV en reprenant la rédaction actuellement en vigueur à l’articleL1332‑6‑1 (article qui sera supprimé par les aliénas 55 et suivantsde l’article premier du présent projet de loi).
Amendement travaillé avec desentreprises de cybersécurité membres de fédérations ad hoc.