ART. 43 A	N°CS522	
ASSEMBLÉE NATIONALE
8 Septembre 2025
___________________________________________________________________
RÉSILIENCE DES INFRASTRUCTURES CRITIQUES ET RENFORCEMENT DE LA CYBERSÉCURITÉ - (N° 1112)
Tombé
AMENDEMENT N°CS522
présenté par
M. Bothorel, rapporteur général
------------
ARTICLE 43 A
Rédiger ainsi cetarticle :
« I. - Aprèsl’article L. 612‑24 du code monétaire et financier, ilest inséré un article L. 612‑24‑1 ainsi rédigé :
« Art. L. 612‑24‑1. – I. – Enapplication du premier alinéa du paragraphe 1 de l’article 19du règlement (UE) 2022/2554 du Parlement européen et du Conseildu 14 décembre 2022 sur la résilience opérationnellenumérique du secteur financier, les entités financières soumises àce règlement qui relèvent de la compétence de l’Autorité decontrôle prudentiel et de résolution, à l’exception des personnesmentionnées au b du 2° du A du I del’article L. 612‑2, adressent à l’Autorité de contrôleprudentiel et de résolution leurs déclarations d’incidents majeursliés aux technologies de l’information et de la communication.
« Lorsque ces entités sontégalement soumises en tant qu’entités essentielles ou importantesaux dispositions de la directive (UE) 2022/2555 du Parlementeuropéen et du Conseil du 14 décembre 2022concernant des mesures destinées à assurer un niveau élevé communde cybersécurité dans l’ensemble de l’Union, elles transmettentégalement à l’autorité nationale de sécurité des systèmesd’information, en application du sixième alinéa du 1 del’article 19 du règlement mentionné à l’alinéa précédent,leurs déclarations d’incidents majeurs liés aux technologies del’information et de la communication.
« II. – Enapplication du paragraphe 2 de l’article 19 du règlement (UE)2022/2554 du Parlement européen et du Conseildu 14 décembre 2022 sur la résilience opérationnellenumérique du secteur financier, les entités financières mentionnéesau premier alinéa du I peuvent adresser à l’Autorité decontrôle prudentiel et de résolution leurs notifications decybermenaces. Dans ce cas, elles transmettent également cesnotifications à l’autorité nationale de sécurité des systèmesd’information.
« III. – Lesdéclarations et notifications mentionnées au I et au IIdu présent article sont réalisées par le biais d’un document uniquetransmis simultanément à l’Autorité de contrôle prudentiel et derésolution et à l’autorité nationale de sécurité des systèmesd’information. »
« II. – Au tableau du I des articlesL. 783‑2, L. 784‑2 et L. 785‑2 du même code, aprèsla ligne :
« 
L. 612-24, à l’exception de son huitième alinéa	l’ordonnance n° 2021-796 du 23 juin 2021	
 »
est insérée la ligne suivante :
«
L. 612-24-1	la loi n° du 2025	
 ».
EXPOSÉ SOMMAIRE
Cet amendement vise à désigner l’Autorité de contrôle prudentielet de résolution comme autorité compétente chargée de recevoir lesdéclarations d’incidents et les notifications de cybermenaces de lapart des entités financières soumises à la surveillance deplusieurs autorités nationales compétentes, conformément audeuxième alinéa du paragraphe 1 de l’article 19 du règlement (UE)2022/2554 du Parlement européen et du Conseil du 14 décembre 2022sur la résilience opérationnelle numérique du secteur financier(DORA).
 
Une communication additionnelle est toutefois prévue au bénéficede l’ANSSI de manière obligatoire pour les entités assujetties àNIS2 et, sur base volontaire pour les autres entités, afin defaciliter l’information rapide et le traitement de ces incidents etmenaces par l’ANSSI.
 
Les collectivités ultramarines du Pacifique que sont laNouvelle-Calédonie, la Polynésie française et les îles Wallis etFutuna régies par le principe de spécialité législative où toutecréation, modification ou abrogation d’articles métropolitainsrelevant de la sphère de compétence de l’Etat, en l’occurrence enmatière bancaire et financière, doivent être rendues applicablespar mention expresse.