- Texte visé : Projet de loi, adopté par le Sénat, après engagement de la procédure accélérée, relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, n° 1112
- Stade de lecture : 1ère lecture (2ème assemblée saisie)
- Examiné par : Commission spéciale chargée d'examiner le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité
Éric Bothorel
Agit en tant que rapporteur
Membre du groupe Ensemble pour la République
Lien vers sa fiche complèteI. – À l’alinéa 60, substituer aux mots :
« au premier alinéa de »,
le mot :
« à ».
II. – Après l’alinéa 60, insérer l’alinéa suivant :
« Les opérateurs d’importance vitale ne sont pas tenus de mettre en œuvre les obligations prévues aux articles 14 et 15 de la loi précitée lorsqu’ils sont soumis, en application d’un acte juridique de l’Union européenne, à des exigences sectorielles de sécurité des réseaux et des systèmes d’information qu’ils utilisent dans le cadre de leurs activités ou de la fourniture de leurs services ayant un effet au moins équivalent. »
L’amendement poursuit un objectif de cohérence en visant à soumettre l’ensemble des opérateurs d’importance vitale (OIV) aux obligations de notification d’incidents importants et de vulnérabilités critiques prévues à l’article 17. En effet, en ne visant que le premier alinéa de l’article 17 du projet de loi, la rédaction actuelle de l’article L. 1332-11 prévue à l’alinéa 60 omet l’obligation de notification par les OIV à leurs destinataires de services des incidents importants ayant un impact direct sur ceux-ci ainsi que des vulnérabilités critiques et de leurs mesures de correction.
D’autre part, l’amendement vise à clarifier l’articulation entre les obligations applicables aux opérateurs d’importance vitale (OIV) et celles qui leurs sont applicables en vertu d’un acte juridique sectoriel de l’Union européenne. En effet, il existe des OIV qui n’entrent pas dans le champ d’application de la directive NIS 2 et qui ne sont, ainsi, ni entité essentielle, ni entité importante. En revanche, ils peuvent entrer dans le champ d’application de règlementations sectorielles. Tel est le cas, par exemple, d’OIV qui relèvent du règlement DORA sans pour autant entrer dans la catégorie des entités essentielles ou des entités importantes. Il importe donc de ne pas multiplier les exigences de sécurité qui auraient une même finalité lorsque les opérateurs sont soumis à des dispositions d’effet au moins équivalent, lesquelles priment sur le régime général s’agissant d’une lex specialis.