ART. 8	N°CS78	
ASSEMBLÉE NATIONALE
4 Septembre 2025
___________________________________________________________________
RÉSILIENCE DES INFRASTRUCTURES CRITIQUES ET RENFORCEMENT DE LA CYBERSÉCURITÉ - (N° 1112)
Rejeté
AMENDEMENT N°CS78
présenté par
M. Pilato, Mme Abomangoli, M. Alexandre, M. Amard, Mme Amiot, Mme Amrani, M. Arenas, M. Arnault, Mme Belouassa-Cherifi, M. Bernalicis, M. Bex, M. Bilongo, M. Bompard, M. Boumertit, M. Boyard, M. Cadalen, M. Caron, M. Carrière, Mme Cathala, M. Cernon, Mme Chikirou, M. Clouet, M. Coquerel, M. Coulomme, M. Delogu, M. Diouara, Mme Dufour, Mme Erodi, Mme Feld, M. Fernandes, Mme Ferrer, M. Gaillard, Mme Guetté, M. Guiraud, Mme Hamdane, Mme Hignet, M. Kerbrat, M. Lachaud, M. Lahmar, M. Laisney, M. Le Coq, M. Le Gall, Mme Leboucher, M. Legavre, Mme Legrain, Mme Lejeune, Mme Lepvraud, M. Léaument, Mme Élisa Martin, M. Maudet, Mme Maximi, Mme Mesmeur, Mme Manon Meunier, M. Nilor, Mme Nosbé, Mme Obono, Mme Oziol, Mme Panot, M. Piquemal, M. Portes, M. Prud’homme, M. Ratenon, M. Saint-Martin, M. Saintoul, Mme Soudais, Mme Stambach-Terrenoir, M. Taché, Mme Taurinya, M. Tavel, Mme Trouvé et M. Vannier
------------
ARTICLE 8
À l’alinéa 4, après lemot :
« électroniques »,
supprimer la fin de l’alinéa.
EXPOSÉ SOMMAIRE
Par cet amendement d’appel, legroupe parlementaire de la France insoumise souhaite alerter surles effets de seuil prévus par cet article pour désigner desentités essentielles.
Bien que l’article 10 octroieun pouvoir discrétionnaire au Premier ministre pour désigner desentités essentielles, une définition plus générale permettrait demieux appréhender la multitude des acteurs relevant de secteurshautement critiques sans s’attarder sur la taille de ces dernierset ainsi d’améliorer la prévention des risques.
En effet, dans les secteurshautement critiques – tels que l’énergie, les transports,la santé, la cybersécurité, la défense ou l’alimentation –, denombreuses structures de petite taille peuvent occuper desfonctions clés, parfois irremplaçables. Il peut s’agird’entreprises assurant la maintenance d’un composant stratégique,de PME spécialisées dans un savoir-faire technologique de niche, ouencore de fournisseurs uniques au sein de chaînesd’approvisionnement sensibles. Leur disparition ou leurcompromission, même ponctuelle, pourrait entraîner des rupturesmajeures ou des vulnérabilités systémiques, sans que leur poidséconomique apparent ne reflète leur importance stratégique.
En maintenant des seuilsquantitatifs (effectifs, chiffre d’affaires, bilan), le droitactuel risque donc de laisser hors champ de la réglementation decybersécurité des entités pourtant critiques, simplement parcequ’elles ne remplissent pas les critères formels. Cette approchepeut engendrer des angles morts dans la cartographie des risques,affaiblir la résilience globale de certains secteurs, et créer unfaux sentiment de sécurité en concentrant l’effort réglementairesur les seuls grands acteurs visibles.
À l’inverse, une approchefondée sur la nature des activités exercées et sur la fonctionréelle de l’entreprise dans l’écosystème stratégique permettraitune identification plus pertinente et plus ciblée des entitésessentielles. Elle renforcerait la logique de sécurité intégrée,tout en donnant aux autorités compétentes la capacité d’adapterleur vigilance aux réalités opérationnelles.
Cet amendement contribue ainsi àune approche qualitative et fonctionnelle de la résilience, mieuxadaptée à l’architecture complexe des chaînes critiquescontemporaines. Il répond également à la nécessité, maintes foissoulignée par l’ANSSI, de prendre en compte les interdépendancesindustrielles, les nœuds logistiques sensibles et les externalitéstechnologiques, quels que soient le statut ou la taille des acteursimpliqués.
En somme, il s’agit de garantir quela politique de cybersécurité et de résilience ne laisse aucunmaillon critique de côté, et que la protection des infrastructuresessentielles repose sur une évaluation fine des rôles etresponsabilités, plutôt que sur des indicateurs purementéconomiques.
L’identification du caractèrecritique d’une entreprise doit donc reposer sur la nature de sesactivités et sa place dans l’écosystème stratégique, non sur descritères financiers ou de taille, qui peuvent conduire à de gravesangles morts dans la protection des infrastructuresessentielles.