ART. PREMIER	N°CS450	
ASSEMBLÉE NATIONALE
6 Septembre 2025
___________________________________________________________________
RÉSILIENCE DES INFRASTRUCTURES CRITIQUES ET RENFORCEMENT DE LA CYBERSÉCURITÉ - (N° 1112)
Adopté
AMENDEMENT N°CS450
présenté par
M. Latombe
------------
ARTICLE PREMIER
Compléter l’alinéa 32 par laphrase : 
« Cette analyse évaluespécifiquement les risques liés à la dépendance envers desfournisseurs de solutions logicielles et matérielles propriétaires,notamment en termes de continuité de service, de coût à long termeet de capacité d’audit indépendant. »
EXPOSÉ SOMMAIRE
Cet amendement vise à préciser le périmètre de l’analyse desrisques de dépendance que doivent conduire les opérateursd’importance vitale (OIV), afin de prendre en compte la nature deplus en plus numérique de nos infrastructures critiques. L’articleL. 1332-4, dans sa rédaction issue du projet de loi, impose uneanalyse des dépendances à l’égard des tiers et des vulnérabilitésdes chaînes d’approvisionnement. 
Le présent amendement vient utilement clarifier que cetteanalyse doit explicitement inclure l’un des risques stratégiquesmajeurs du XXIe siècle : la dépendance technologique vis-à-vis defournisseurs de solutions logicielles et matérielles propriétaires.Cette démarche s’inscrit dans la continuité des travaux duParlement. Le rapport d’information de l’Assemblée nationale «Bâtir et promouvoir une souveraineté numérique nationale eteuropéenne » (n°4299, 2021) souligne que la maîtrise technologiqueet la réversibilité sont des principes fondamentaux de lasouveraineté de l’État. De même, cet amendement étend aux OIVl’esprit de l’article 16 de la loi pour une République numérique,qui impose déjà aux administrations de veiller à la « maîtrise, lapérennité et l’indépendance de leurs systèmes d’information ». Eneffet, l’enfermement propriétaire constitue une vulnérabilitécritique pour la Nation. 
Cet amendement demande donc que l’analyse des risques évaluespécifiquement trois aspects clés lors du choix d’une solutionpropriétaire :
1. La continuité de service : Quelle est la pérennité de lasolution si le fournisseur disparaît ou cesse de la maintenir ?Existe-t-il une stratégie de réversibilité ?
2. Le coût à long terme : Au-delà du coût d’acquisition, quelest le coût total de possession, incluant les montées en version etles frais de maintenance imposés par des fournisseurs en situationde monopole ?
3. La capacité d’audit indépendant : Est-il possible pour l’OIVou pour un tiers de confiance mandaté par l’État de vérifier enprofondeur le fonctionnement de la solution pour y décelerd’éventuelles failles de sécurité ou des fonctionnalités nondocumentées ?
Imposer cette analyse de risque, c’est s’assurer que les OIVprennent des décisions éclairées, qui garantissent non seulementleur propre résilience, mais aussi la sécurité et l’autonomiestratégique de la France.