APRÈS ART. 24	N°CS391	
ASSEMBLÉE NATIONALE
5 Septembre 2025
___________________________________________________________________
RÉSILIENCE DES INFRASTRUCTURES CRITIQUES ET RENFORCEMENT DE LA CYBERSÉCURITÉ - (N° 1112)
Rejeté
AMENDEMENT N°CS391
présenté par
M. Latombe
------------
ARTICLE ADDITIONNEL
APRÈS L’ARTICLE 24, insérer l’article suivant:
Les entités essentielles etimportantes ainsi que, le cas échéant, leurs fournisseurs ouprestataires de services peuvent échanger entre eux, à titrevolontaire, au sein de communautés, des informations pertinentes enmatière de cybersécurité, y compris des informations relatives auxcybermenaces, aux incidents évités ou non, aux vulnérabilités, auxtechniques et procédures, aux indicateurs de compromission, auxtactiques, techniques et procédures adverses, ainsi que desinformations spécifiques sur les acteurs de la menace, des alertesde cybersécurité et des recommandations concernant la configurationdes outils de cybersécurité pour détecter les cyberattaques,lorsque ce partage d’informations :
1° Vise à prévenir et àdétecter les incidents, à y réagir, à s’en rétablir ou à atténuerleur impact ;
2° Renforce le niveau decybersécurité, notamment en sensibilisant aux cybermenaces, enlimitant ou en empêchant leur capacité de se propager, en soutenantune série de capacités de défense, en remédiant aux vulnérabilitéset en les révélant, en mettant en œuvre des techniques dedétection, d’endiguement et de prévention des menaces, desstratégies d’atténuation ou des étapes de réaction et derétablissement, ou en encourageant la recherche collaborative enmatière de cybermenaces entre les entités publiques et privées.
Cet échange est mis en œuvre aumoyen d’accords de partage d’informations en matière decybersécurité, compte tenu de la nature potentiellement sensibledes informations partagées.
Les échanges volontaires desinformations prévues au premier alinéa peuvent nécessiter letraitement de certaines catégories de données à caractèrepersonnel, telles que les adresses internet protocol, leslocalisateurs de ressources uniformes, les noms de domaine, lesadresses électroniques, les informations compromises ou encore leshorodatages lorsqu’ils révèlent des données à caractèrepersonnel.
Ces traitements de données àcaractère personnel sont considérés comme nécessaires à desintérêts légitimes poursuivis par des entités essentielles etimportantes, ainsi que par leurs fournisseurs ou prestataires deservices, conformément à l’article 6, paragraphe 1, pointf), du règlement (UE) 2016/679 du Parlement européen et du Conseildu 27 avril 2016 relatif à la protection despersonnes physiques à l’égard du traitement des données à caractèrepersonnel et à la libre circulation de ces données, et abrogeant ladirective 95/46/CE.
Ces accords de partaged’informations précisent les éléments opérationnels, y compris lerecours éventuel à des plateformes de technologies del’information et de la communication spécialisées et d’outilsd’automatisation, le contenu et les conditions, notamment desécurisation renforcée, de ces partages.
Lorsque des autorités publiques oules centres de réponse aux attaques informatiques participent à cesaccords de partage et mettent à disposition tout ou partie desinformations  dont elles disposent, elles respectent lesconditions prévues par décret en Conseil d’État.
Les entités essentielles etimportantes notifient à l’autorité nationale de sécurité dessystèmes d’information sans délai indu leur participation auxaccords de partage d’informations en matière de cybersécurité visésau présent article lorsqu’elles concluent de tels accords ou,le cas échéant, lorsqu’elles se retirent de ces accords une foisque le retrait prend effet.
EXPOSÉ SOMMAIRE
Cet amendement viseà transposer les dispositions de l’article 29 de ladirective NIS 2, qui prévoient l’existence d’accords departage d’informations en matière de cybersécurité, permettant auxentités essentielles, aux entités importantes et à leursprestataires en matière de cybersécurité d’échanger desinformations détaillées et opérationnelles sur les menaces cyber,afin de mieux y faire face.
Les considérants 119 et 120 dela directive NIS 2 rappellent l’importance de ce dispositif« : « le partage d’informations contribue à accroître lasensibilisation aux cybermenaces, laquelle renforce à son tour lacapacité des entités à empêcher les menaces de se concrétiser enincidents réels et leur permet de mieux contenir les effets desincidents et de se rétablir plus efficacement. […] Il est doncnécessaire de permettre l’émergence, au niveau de l’Union,d’accords de partage volontaire d’informations en matière decybersécurité.
« À cette fin, les Étatsmembres devraient activement aider et encourager les entités,telles que celles fournissant des services de cybersécurité etactives dans la recherche, ainsi que les entités concernées qui nerelèvent pas du champ d’application de la présente directive, àparticiper à ces mécanismes d’échange d’informations en matière decybersécurité. Ces accords devraient être établis conformément auxrègles de concurrence de l’Union et au droit de l’Union en matièrede protection des données. »
Si les échanges de données qui nesont pas des données personnelles semblent possibles au regard dudroit actuel, l’amendement en question lève toute interrogationconcernant les échanges de données personnelles qui seraientcontenues ou qui seraient l’objet même de ce partage, conformémentau considérant 121 de la directive, qui décrit le recours à la baselégale de l’intérêt légitime pour fonder les traitements de donnéesà caractère personnel qui pourraient être effectués à cetteoccasion et reconnaît que le partage de données concernées estconforme aux exigences du règlement général sur la protection desdonnées (RGPD).
Amendement travaillé avec leCybercercle.