À l’alinéa 8, après le mot :

« population »,

insérer les mots :

« , l’accès à l’information ».

Rédiger ainsi l’alinéa 13 :

« 4˚ Résilience : la capacité à prévenir tout incident, à s’en protéger, à y réagir, à y résister, à l’atténuer, à l’absorber, à s’y adapter et à s’en rétablir. »

Rédiger ainsi l’alinéa 13 :

« 4˚ Résilience : la capacité à prévenir tout incident, à s’en protéger, à y réagir, à y résister, à l’atténuer, à l’absorber, à s’y adapter et à s’en rétablir. »

Après l’alinéa 13, insérer l’alinéa suivant :

« 5° Souveraineté numérique : la capacité de l’État à établir les règles qui permettront d’utiliser le numérique, de contrôler les impacts de ses usages et à disposer de l’autonomie sur les technologies qui vont conditionner ces usages du numérique tout en se protégeant des ingérences et attaques étrangères. »

À l’alinéa 22, après le mot :

« terroriste »

insérer les mots :

« et à caractère environnemental ».

I. – À l’alinéa 22, substituer aux mots : 

« perturber l’exercice de » 

les mots : 

« avoir un effet perturbateur important sur ».

II. – En conséquence, après l’alinéa 22, insérer l’alinéa suivant :

« L’importance de l’effet perturbateur s’apprécie au regard du nombre de personnes touchées, de l’impact sur d’autres activités d’importance vitale, de l’ampleur géographique de l’effet perturbateur, de son intensité ou de sa durée, de la part de marché de l’opérateur d’importance vitale et de la capacité de ce dernier à y remédier en déployant des solutions alternatives. »

À l’alinéa 22, après le mot : 

« ou », 

insérer les mots : 

« , pour les opérateurs désignés au titre du 2° du I de l’article L. 1332‑2, mettre en cause ».

À l’alinéa 23, après le mot :

« réévaluée »,

insérer les mots :

« chaque fois que nécessaire, notamment à la suite d’un incident mentionné à l’article L. 1332‑7 ou d’une évolution significative de la menace ou des infrastructures critiques de l’opérateur, et ».

Compléter l’alinéa 24 par les mots : 

« ou, pour les opérateurs désignés au titre du 2° du I de l’article L. 1332‑2, d’assurer la sécurité des infrastructures critiques dont la destruction ou l’avarie pourrait présenter un danger d’une particulière gravité pour la population ou l’environnement ».

À la première phrase de l’alinéa 32, après la première occurrence du mot : 

« vitale », 

insérer les mots : 

« désignés au titre du 1° du I de l’article L. 1332‑2 ».

À la fin de la première phrase de l’alinéa 32, substituer aux mots :

« l’exercice de leurs activités d’importance vitale »,

les mots :

« l’ensemble de leurs activités ».

I. – Compléter la deuxième phrase de l’alinéa 32 par les mots :

« de premier rang ».

II. – En conséquence, à la troisième phrase de l’alinéa 32, après le mot : 

« sous-traitants »,

insérer les mots :

« de premier rang ».

I. – À la fin de la quatrième phrase de l’alinéa 32, substituer aux mots :

« cette analyse ».

les mots : 

« l’analyse des dépendances à l’égard des tiers ».

II. – En conséquence, au début de la dernière phrase du même alinéa 32, substituer aux mots :

« Cette analyse »

les mots :

« Elle ».

Après l’alinéa 33, insérer l’alinéa suivant :

« Un décret en conseil d’État définit une méthodologie commune à toute analyse des risques liés à la dépendance envers des fournisseurs de solutions logicielles et matérielles propriétaires. »

I. – Après l’alinéa 36, insérer l’alinéa suivant : 

« Chaque opérateur pour lequel un ou plusieurs points d’importance vitale sont désignés en application du présent chapitre organise la mutation vers des offres cloud opérées par des acteurs non soumis à des législations extra-européennes. Cette transition devra être réalisé avant le 1^er octobre 2030. »

II. – En conséquence, à l’alinéa 37, après le mot :

« œuvre », 

insérer les mots :

« et de mettre en œuvre la mutation vers des offres immunes aux législations extra-européennes dans les délais définis au quatrième alinéa »

À l’alinéa 40, après le mot :

« compétente » 

insérer les mots :

« qui est rendu ».

Rédiger ainsi l’alinéa 41 :

« Il sollicite cet avis avant le recrutement ou l’affectation d’une personne à un poste qui implique l’occupation de fonctions sensibles. Il peut également le solliciter avant le recrutement ou l’affectation d’une personne à un poste pour l’exercice duquel il est nécessaire d’avoir accès aux infrastructures critiques. »

À fin de la première phrase de l’alinéa 45, supprimer les mots :

« s’il est une personne morale de droit privé ».

Après l’alinéa 47, insérer les alinéas suivants :

« Art. L. 1332‑7-1. – Sans préjudice de l’article L. 1339‑1 du présent code, de l’article L. 642‑2 du code de l’énergie et de l’article L. 5121‑29 du code de la santé publique, afin de garantir la continuité des activités au titre desquelles les opérateurs d’importance vitale ont été désignés en application du 1° du I de l’article L. 1332‑2 du présent code, l’autorité administrative peut imposer par arrêté à un opérateur d’importance vitale de constituer un stock minimal de toute matière, tout composant, tout rechange ou tout produit fini ou semi-fini stratégique qui est indispensable à la continuité de son activité et dont il est tenu d’assurer le réapprovisionnement continu au fur et à mesure de son utilisation. Cet arrêté est réexaminé une fois par an. La décision est prise sur proposition du ministre chargé du secteur d’activité concerné et après consultation de l’opérateur concerné. Les opérateurs d’importance vitale relevant d’un même secteur d’activité et soumis aux mêmes règles peuvent, avec l’autorisation de l’autorité administrative et dans des conditions fixées par décret en Conseil d’État, procéder conjointement à la constitution des stocks minimaux mentionnés au présent alinéa.

« Ce stock ne peut excéder le volume nécessaire à l’exercice de l’activité d’importance vitale de l’opérateur concerné en cas de rupture totale ou partielle de l’approvisionnement, y compris lorsque celle-ci est due à un accroissement de l’inflation ne pouvant être anticipé, pendant une durée fixée par l’autorité administrative, qui ne peut excéder six mois.

« L’autorité administrative précise à l’opérateur la nature, le volume et la durée de conservation du stock, qui doit être proportionné au regard :

« 1° De la dépendance à l’égard des approvisionnements dans le secteur d’activité concerné ;

« 2° Des risques et des menaces pesant sur la continuité des activités d’importance vitale concernées, notamment des risques pesant sur les chaînes d’approvisionnement ;

« 3° Des risques de toute nature, y compris à caractère terroriste, qui pourraient perturber l’exercice par l’opérateur de ses activités d’importance vitale ou la sécurité de ses infrastructures critiques ;

« 4° De la situation économique de l’opérateur ainsi que des contraintes logistiques ;

« 5° Des conditions générales d’approvisionnement et de conservation des stocks à constituer, en tenant compte notamment des prix ;

« 6° Des conditions de mutualisation de ces stocks entre des opérateurs relevant du même secteur d’activité et soumis aux mêmes règles ;

« 7° Des mesures mises en œuvre par l’opérateur en application du I de l’article L. 1339‑1 du présent code, des articles L. 5121‑29 à L. 5121‑34 du code de la santé publique ou des articles L. 642‑2 à L. 642‑10 du code de l’énergie.

« Par dérogation à l’obligation de réapprovisionnement continu mentionnée au premier alinéa du présent article, les opérateurs concernés peuvent utiliser en tout ou partie les stocks minimaux mentionnés au même premier alinéa s’ils y sont autorisés par l’autorité administrative, qui en détermine le volume maximal d’utilisation et les modalités de recomplètement ultérieur.

« Les opérateurs concernés ne peuvent être indemnisés des préjudices relatifs aux coûts de la constitution et de l’entretien des stocks prescrits en application du présent article.

« Un décret en Conseil d’État précise les modalités d’application du présent article. » ;

Supprimer les alinéas 48 à 54.

À l’alinéa 52, substituer aux mots : 

« peuvent être »,

le mot : 

« sont ».

Supprimer les alinéas 53 et 54.

Après l’alinéa 54, insérer l’alinéa suivant :

« Le Gouvernement informe sans délai les commissions permanentes de l’Assemblée nationale et du Sénat chargées de la défense de toute demande de mission de conseil formulée en application du premier alinéa du présent article, de la suite qui lui est donnée et, le cas échéant, de l’avis rendu par la Commission européenne, dans le respect du secret de la défense nationale. »

Après l’alinéa 57, insérer l’alinéa suivant :

« Art. L. 1332‑10‑1. – Les agents exerçant une activité mentionnée à l’article L. 611‑1 du code de la sécurité intérieure ne peuvent utiliser les dispositifs mentionnés au II. de l’article L213‑2 du même code s’ils sont employés par un opérateur public mentionné aux articles L. 1332‑1 et L. 1332‑2 du code de la défense. »

Après l’alinéa 61, insérer l’alinéa suivant :

« Conformément à l’article 62A de la loi n° du relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, sont notamment considérées comme ayant un effet au moins équivalent, notamment en matière de gestion des risques de cybersécurité, de notification des incidents et de supervision, les dispositions du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011. Par conséquent, les obligations résultant des articles 14 et 15 ainsi que les obligations résultant du premier alinéa de l’article 17, ne sont pas applicables aux entités financières visées au titre III de ladite loi, ayant le statut d’opérateurs mentionnés à l’article L. 1332‑2 du code de la défense. »

Compléter l’alinéa 71 par la phrase suivante :

« Ils ne peuvent être poursuivis pour atteinte au secret professionnel pour la révélation d’une information à caractère secret dans les conditions prévues à l’article 6 de la loi n° 2016‑1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique. »

Après l’alinéa 83, insérer l’alinéa suivant :

« 1° bis D’un représentant du ministère compétent du secteur d’activité auquel appartient l’entité pour laquelle la commission est saisie ; ».

I. – À l’alinéa 84, après le mot : 

« nommées », 

insérer le mot : 

« respectivement »

II – En conséquence, au même alinéa 84, après le mot : 

« ministre », 

insérer les mots : 

« , le président de l’Assemblée nationale et le président du Sénat »

Après l’alinéa 84, insérer l’alinéa suivant :

« Ces personnalités ne peuvent avoir exercé, au cours des trois années précédant leur nomination, une activité ni au sein de l’une des personnes mentionnées aux articles 8 et 9 de la présente loi ni au sein de l’autorité nationale de sécurité des systèmes d’information, ni au sein d’une entité désignée comme un opérateur d’importance vitale, ni au sein de l’autorité administrative ayant saisi la commission. »

Avant la dernière phrase de l’alinéa 88, insérer la phrase suivante :

« La convocation l’informe du droit dont il dispose de se taire lors de son audition. »

Avant la dernière phrase de l’alinéa 88, insérer la phrase suivante :

« La convocation l’informe du droit dont il dispose de se taire lors de son audition. »

Avant la dernière phrase de l’alinéa 88, insérer la phrase suivante :

« La convocation l’informe du droit dont il dispose de se taire lors de son audition. »

I. – À l’alinéa 90, supprimer les mots :

« mentionnés au 1° ».

II. – En conséquence, à la première phrase de l’alinéa 91, supprimer les mots :

« mentionnés au même 1° ».

I. – À l’alinéa 90, supprimer les mots :

« mentionnés au 1° ».

II. – En conséquence, à la première phrase de l’alinéa 91, supprimer les mots :

« mentionnés au même 1° ».

I. – Après l’alinéa 103, insérer l’alinéa suivant :

« Lorsque l’analyse des risques prévue à l’article L. 1332‑3 le justifie, l’opérateur d’importance vitale peut, pour la passation de ces marchés publics, réserver la participation aux opérateurs économiques établis dans un État membre de l’Union européenne, dans un autre État partie à l’accord sur l’Espace économique européen ou dans un État figurant sur une liste fixée par arrêté du Premier ministre au regard des intérêts essentiels de sécurité de la France. Il peut, dans les mêmes conditions, exclure les opérateurs économiques placés sous le contrôle d’un État qui n’est pas mentionné à la phrase précédente ou soumis à des actes d’ingérence d’un tel État. Il motive ces décisions dans les documents de la consultation. »

II. – En conséquence, après l’alinéa 106, insérer l’alinéa suivant :

« Le dernier alinéa de l’article L. 1332‑20 est applicable à la passation de ces contrats de concession. »

Compléter cet article par l’alinéa suivant :

« Ces contrats ne peuvent être conclus qu’à la condition que l’État conserve un pouvoir de contrôle effectif sur les opérateurs et les sous-traitants, notamment par la mise en place de clauses contractuelles assurant la souveraineté, la sécurité des données et la maîtrise stratégique des capacités essentielles. Dans l’attribution des contrats, le recours à des entités ayant leurs activités et leurs données basées en France, ainsi qu’une moindre vulnérabilité dans leur chaîne d’approvisionnement doit être recherché. »

Compléter cet article par l’alinéa suivant :

« Art. L. 1332‑23. – Dans l’attribution des marchés publics et des contrats de concession, les opérateurs d’importance vitale mentionnés au I de l’article L. 1332‑2 prennent en compte des exigences relatives aux liens capitalistiques des soumissionnaires, à leur exposition à des législations ou décisions d’États tiers ayant une portée extraterritoriale, à la localisation géographique des données, services et matériels qui pourraient découler de l’exécution du marché ou du contrat, et, le cas échéant, à la présence de clauses de réversibilité permettant de garantir la continuité des activités de l’opérateur.

Compléter cet article par l’alinéa suivant :

« Art. L. 1332‑23. – Les opérateurs d’importance vitale qui passent un contrat ou un marché de concession en application des articles L. 1332‑20 et L. 1332‑22 prennent en compte des exigences relatives aux liens capitalistiques des soumissionnaires, à leur exposition à des législations ou décisions d’États tiers ayant une portée extraterritoriale, à la localisation géographique des données, services et matériels qui pourraient découler de l’exécution du marché ou du contrat, et, le cas échéant, à la présence de clauses de réversibilité permettant de garantir la continuité des activités de l’opérateur. »

L’article L. 1332‑6-1 AA du code de la défense est complété par l’alinéa suivant :

« Chaque année, le Gouvernement communique au Parlement les modalités de gestion et de gouvernance des stocks stratégiques imposés par le Gouvernement aux opérateurs d’importance vitale. »

Le II de l’article L. 213‑2 du code de la sécurité intérieure est abrogé.

Au premier alinéa du II de l’article L. 213‑2 du code de la sécurité intérieure, les mots : « leurs prestataires ou leurs sous-traitants » sont supprimés. 

APRÈS L’ARTICLE PREMIER, insérer l’article suivant :
 
Après la deuxième phrase de l’article L. 2224-11-3 du code général des collectivités territoriales, est insérée une phrase ainsi rédigée :
 
« Lorsque l’exploitation du service public d’eau ou d’assainissement implique, pour le délégataire, de réaliser des investissements au titre de sa désignation comme opérateur d’importance vitale afin de se conformer aux obligations de protection des installations d’importance vitale définies aux articles L. 1332-1 à L. 1332-7 du code de la défense, ce programme intègre obligatoirement l’ensemble des travaux et autres investissements nécessaires ainsi qu’une estimation des dépenses en résultant. »

Après l’alinéa 4, insérer les trois alinéas suivants :

« 2° bis L’article L. 2143‑2 est ainsi modifié :

« a) Au 1°, les mots : « aux articles L. 1332‑1 et » sont remplacés par les mots : « au I de l’article » ;

« b) Au b du 2°, la seconde phrase est supprimée. »

Rédiger ainsi l’alinéa 5 :

« 3° Au deuxième alinéa de l’article L. 2151‑1, les mots : « aux articles L. 1332‑1 et L. 1332‑2 » sont remplacés par les mots : « au I de l’article L. 1332‑2 » 

Supprimer l’alinéa 6.

Après l’alinéa 11, insérer l’alinéa suivant :

« 7° bis Au premier alinéa de l’article L. 2364‑2, les mots : « L. 1332‑6-1 A » sont remplacés par les mots : « L. 1332‑10 » ». 

Après l’alinéa 12, insérer l’alinéa suivant :

« I bis – Au troisième alinéa du I de l’article L. 236‑1 du code de l’énergie, les mots : « mentionnés à l’article L. 1332‑1 ou L. 1332‑2 du code de la défense » sont remplacés par les mots : « d’importance vitale mentionnés au I de l’article L. 1332‑2 ». 

Après l’alinéa 12, insérer les sept alinéas suivants :

« II bis. – Le code général des collectivités territoriales est ainsi modifié :

« 1° Le 11˚ de l’article L. 2321‑2 est ainsi rétabli : 

« 11˚ La garantie de la résilience des activités d’importance vitale au sens du chapitre II du Titre III de la première partie du code de la défense, et le respect des obligations en matière de cybersécurité telles que définies au Titre II de la loi n˚ ….. du xx xx xxxx relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité »

« 2° Le 9˚ de l’article L. 3321‑1 est ainsi rétabli : 

« 9˚ Les dépenses liées à la garantie de la résilience des activités d’importance vitale au sens du chapitre II du Titre III de la première partie du code de la défense, ainsi que les dépenses nécessaires à l’exécution des obligations en matière de cybersécurité telles que définies au Titre II de la loi n˚ ….. du xx xx xxxx relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité »

« 3° L’article L. 4321‑1 est complété par un 17˚ ainsi rédigé : 

« 17˚ Les dépenses liées à la garantie de la résilience des activités d’importance vitale au sens du chapitre II du Titre III de la première partie du code de la défense, ainsi que les dépenses nécessaires à l’exécution des obligations en matière de cybersécurité telles que définies au Titre II de la loi n˚ ….. du xx xx xxxx relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité »

Après l’alinéa 19, insérer l’alinéa suivant :

« 1° A Au premier alinéa du II de l’article L. 213‑2, les mots : « mentionnés aux articles L. 1332‑1 et L. 1332‑2 du code de la défense » sont remplacés par les mots : « d’importance vitale mentionnés au I de l’article L. 1332‑2 » et les mots : « lorsque le plan mentionné à l’article L. 1332‑3 » sont remplacés par les mots : « lorsque le plan mentionné à l’article L. 1332‑5 ». 

Le code général des collectivités territoriales est ainsi modifié

1° Le 11° de l’art. L. 2321‑2 est ainsi rédigé :

« 11° La garantie de la résilience des activités d’importance vitale au sens du chapitre Il du Titre III de la première partie du code de la défense, et le respect des obligations en matière de cybersécurité telles que définies au Titre II de la loi n°     du     relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité »

2° Le 9° de l’art. L. 3321‑1 est ainsi rédigé :

« 9° Les dépenses liées à la garantie de la résilience des activités d’importance vitale au sens du chapitre II du Titre III de la première partie du code de la défense, ainsi que les dépenses nécessaires à l’exécution des obligations en matière de cybersécurité telles que définies au Titre Il de la loi n°     du      relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité »

3° L’art. L. 4321‑1 est complété par un alinéa 17° ainsi rédigé :

« 17° Les dépenses liées à la garantie de la résilience des activités d’importance vitale au sens du chapitre Il du Titre III de la première partie du code de la défense, ainsi que les dépenses nécessaires à l’exécution des obligations en matière de cybersécurité telles que définies au Titre II de la loi n°     du     relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité »

Compléter cet article par l’alinéa suivant :

« VII. – L’article 11 de la loi n° 2026‑791 du 16 août 2026 actualisant la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense est abrogé ». 

« I. – Après l'article L. 33-16 du code des postes et des communications électroniques, il est inséré un article L. 33-16bis ainsi rédigé :

« Art. L. 33-16 bis. – I. – Afin de prévenir les atteintes à l'intégrité, à la disponibilité et à la continuité des réseaux de communications électroniques, est interdite la diffusion au public, par quelque moyen que ce soit, notamment par voie de presse écrite ou audiovisuelle, de service de communication au public en ligne, de plateforme en ligne, de réseau social ou de publication imprimée, de toute représentation cartographique, de tout jeu de données géolocalisées, de tout schéma ou de toute description dont le niveau de précision permet de localiser :

« 1° Les câbles et artères des réseaux de communications électroniques, terrestres ou sous-marins ;

« 2° Les infrastructures d'accueil de ces réseaux, notamment les fourreaux, chambres de tirage, poteaux, pylônes et points hauts ;

« 3° Les stations d'atterrissement de câbles sous-marins, les nœuds de raccordement optique, les centres de données, les points d'échange internet et les sites hébergeant des équipements actifs de réseau.

« II. – Le décret prévu au VI fixe, pour chacune des catégories mentionnées aux 1° à 3° du I, le niveau de précision à partir duquel la diffusion est interdite.

« III. – L'interdiction prévue au I s'applique à toute personne physique ou morale, y compris aux opérateurs mentionnés à l'article L. 33-1, aux gestionnaires d'infrastructures d'accueil, aux collectivités territoriales et à leurs groupements, aux éditeurs de services de presse et de communication au public en ligne, et aux fournisseurs de services intermédiaires au sens du règlement (UE) 2022/2065 du 19 octobre 2022, dans les conditions prévues par ce règlement.

« IV. – Ne constituent pas une diffusion au public au sens du I :

« 1° La transmission d'informations à l'État, à ses établissements publics, aux autorités administratives indépendantes, aux collectivités territoriales et à leurs groupements en exécution d'une obligation légale ou réglementaire ;

« 2° La mise à disposition d'informations, dans le cadre du guichet unique prévu à l'article L. 554-2 du code de l'environnement, aux seules personnes qui y sont habilitées ;

« 3° La mise à disposition d'informations, dans le cadre du point d'information unique prévu par le règlement (UE) 2024/1309 du 29 avril 2024, dans les conditions et limites prévues par ce règlement, notamment les restrictions fondées sur la sécurité nationale et la sécurité des réseaux ;

« 4° Les échanges d'informations entre opérateurs, gestionnaires d'infrastructures et leurs prestataires, dans le cadre de relations contractuelles assorties d'une obligation de confidentialité ;

« 5° La diffusion de données agrégées à une maille ne permettant pas de localiser les éléments mentionnés aux 1° à 3° du I, notamment les données relatives à la couverture et à l'éligibilité des locaux aux services ;

« 6° L'indication de l'adresse d'un centre de données ou d'un point d'échange internet ouvert à des clients tiers ;

« 7° La relation, par un média, de faits d'actualité, dès lors qu'elle ne comporte pas d'informations dont la précision excède le niveau fixé en application du II.

« V. – Le président du tribunal judiciaire, statuant selon la procédure accélérée au fond ou en référé, peut prescrire toutes mesures propres à faire cesser une diffusion contraire au I, y compris à l'égard des fournisseurs de services intermédiaires. Il peut être saisi par le ministère public, par l'Autorité nationale de sécurité des systèmes d'information ou par toute personne justifiant d'un intérêt, notamment l'exploitant des infrastructures concernées.

« VI. – Un décret en Conseil d'État, pris après avis de l'Autorité nationale de sécurité des systèmes d'information et de l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse, précise les modalités d'application du présent article. »

II. – Après l'article L. 39-11 du même code, il est inséré un article L. 39-11bis ainsi rédigé :

« Art. L. 39-11 bis. – I. – Le fait de diffuser sciemment au public des informations en méconnaissance du I de l'article L. 33-16bis est puni d'un an d'emprisonnement et de 45 000 euros d'amende.

« II. – Lorsque la diffusion est commise en vue de faciliter une atteinte à l'intégrité ou au fonctionnement d'un réseau de communications électroniques, les peines sont portées à trois ans d'emprisonnement et 75 000 euros d'amende.

« III. – Les personnes morales déclarées responsables pénalement, dans les conditions prévues à l'article 121-2 du code pénal, des infractions définies au présent article encourent l'amende suivant les modalités prévues à l'article 131-38 du même code. »

III. – Les I et II entrent en vigueur à une date fixée par le décret prévu au VI de l'article L. 33-16bisbis du code des postes et des communications électroniques, et au plus tard douze mois après la promulgation de la présente loi. Les personnes ayant diffusé, avant cette date, des informations entrant dans le champ du I du même article procèdent à leur retrait au plus tard à cette date. »

« I. – Après l’article L. 33‑16 du code des postes et des communications électroniques, il est inséré un article L. 33‑16bis ainsi rédigé :

« Art. L. 33‑16 bis. – I. – Afin de prévenir les atteintes à l’intégrité, à la disponibilité et à la continuité des réseaux de communications électroniques, est interdite la diffusion au public, par quelque moyen que ce soit, notamment par voie de presse écrite ou audiovisuelle, de service de communication au public en ligne, de plateforme en ligne, de réseau social ou de publication imprimée, de toute représentation cartographique, de tout jeu de données géolocalisées, de tout schéma ou de toute description dont le niveau de précision permet de localiser :

« 1° Les câbles et artères des réseaux de communications électroniques, terrestres ou sous-marins ;

« 2° Les infrastructures d’accueil de ces réseaux, notamment les fourreaux, chambres de tirage, poteaux, pylônes et points hauts ;

« 3° Les stations d’atterrissement de câbles sous-marins, les nœuds de raccordement optique, les centres de données, les points d’échange internet et les sites hébergeant des équipements actifs de réseau.

« II. – Le décret prévu au VI fixe, pour chacune des catégories mentionnées aux 1° à 3° du I, le niveau de précision à partir duquel la diffusion est interdite.

« III. – L’interdiction prévue au I s’applique à toute personne physique ou morale, y compris aux opérateurs mentionnés à l’article L. 33‑1, aux gestionnaires d’infrastructures d’accueil, aux collectivités territoriales et à leurs groupements, aux éditeurs de services de presse et de communication au public en ligne, et aux fournisseurs de services intermédiaires au sens du règlement (UE) 2022/2065 du 19 octobre 2022, dans les conditions prévues par ce règlement.

« IV. – Ne constituent pas une diffusion au public au sens du I :

« 1° La transmission d’informations à l’État, à ses établissements publics, aux autorités administratives indépendantes, aux collectivités territoriales et à leurs groupements en exécution d’une obligation légale ou réglementaire ;

« 2° La mise à disposition d’informations, dans le cadre du guichet unique prévu à l’article L. 554‑2 du code de l’environnement, aux seules personnes qui y sont habilitées ;

« 3° La mise à disposition d’informations, dans le cadre du point d’information unique prévu par le règlement (UE) 2024/1309 du 29 avril 2024, dans les conditions et limites prévues par ce règlement, notamment les restrictions fondées sur la sécurité nationale et la sécurité des réseaux ;

« 4° Les échanges d’informations entre opérateurs, gestionnaires d’infrastructures et leurs prestataires, dans le cadre de relations contractuelles assorties d’une obligation de confidentialité ;

« 5° La diffusion de données agrégées à une maille ne permettant pas de localiser les éléments mentionnés aux 1° à 3° du I, notamment les données relatives à la couverture et à l’éligibilité des locaux aux services ;

« 6° L’indication de l’adresse d’un centre de données ou d’un point d’échange internet ouvert à des clients tiers ;

« 7° La relation, par un média, de faits d’actualité, dès lors qu’elle ne comporte pas d’informations dont la précision excède le niveau fixé en application du II.

« V. – Le président du tribunal judiciaire, statuant selon la procédure accélérée au fond ou en référé, peut prescrire toutes mesures propres à faire cesser une diffusion contraire au I, y compris à l’égard des fournisseurs de services intermédiaires. Il peut être saisi par le ministère public, par l’Autorité nationale de sécurité des systèmes d’information ou par toute personne justifiant d’un intérêt, notamment l’exploitant des infrastructures concernées.

« VI. – Un décret en Conseil d’État, pris après avis de l’Autorité nationale de sécurité des systèmes d’information et de l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse, précise les modalités d’application du présent article. »

II. – Après l’article L. 39‑11 du même code, il est inséré un article L. 39‑11bis ainsi rédigé :

« Art. L. 39‑11 bis. – I. – Le fait de diffuser sciemment au public des informations en méconnaissance du I de l’article L. 33‑16bis est puni d’un an d’emprisonnement et de 45 000 euros d’amende.

« II. – Lorsque la diffusion est commise en vue de faciliter une atteinte à l’intégrité ou au fonctionnement d’un réseau de communications électroniques, les peines sont portées à trois ans d’emprisonnement et 75 000 euros d’amende.

« III. – Les personnes morales déclarées responsables pénalement, dans les conditions prévues à l’article 121‑2 du code pénal, des infractions définies au présent article encourent l’amende suivant les modalités prévues à l’article 131‑38 du même code. »

III. – Les I et II entrent en vigueur à une date fixée par le décret prévu au VI de l’article L. 33‑16bisbis du code des postes et des communications électroniques, et au plus tard douze mois après la promulgation de la présente loi. Les personnes ayant diffusé, avant cette date, des informations entrant dans le champ du I du même article procèdent à leur retrait au plus tard à cette date. »

À l’alinéa 16, substituer aux mots :

« n° 2025‑532 du 13 juin 2025 visant à sortir la France du piège du narcotrafic »

les mots :

« n° 2026‑798 du 18 août 2026 visant à offrir des réponses immédiates aux phénomènes troublant l’ordre public, la sécurité et la tranquillité de nos concitoyens »

Compléter l’alinéa 3 par la phrase suivante :

« Pour l’exercice de ses missions de prévention et d’accompagnement, l’autorité nationale de sécurité des systèmes d’information peut s’appuyer sur les organismes agréés en application de l’article 24 de la présente loi. »

Compléter cet article par les deux alinéas suivants :« Un comité de suivi de la mise en œuvre du présent titre, présidé par un député ou un sénateur, réunit des membres du Parlement, des représentants des administrations de l’État concernées, des entités essentielles et importantes, des collectivités territoriales et des organisations professionnelles du secteur de la cybersécurité. Il se réunit au moins deux fois par an. Il évalue l’application et l’effectivité des mesures prises pour l’application du présent titre ainsi que leur adaptation à l’évolution des techniques et des menaces. Il peut adresser des recommandations au Gouvernement.

« La composition et les modalités de fonctionnement du comité sont fixées par décret. Ses membres exercent leurs fonctions à titre gratuit. »

Les collectivités territoriales et leurs établissements publics peuvent conclure des conventions de coopération afin de mutualiser leurs moyens en matière de cybersécurité. Ces conventions peuvent prévoir la mise en commun d’expertises, la mutualisation d’équipements, ainsi que la mise à disposition de personnels qualifiés en cybersécurité. Elles peuvent être conclues entre collectivités d’un même territoire ou à l’échelle régionale en lien avec les centres de réponse aux incidents de sécurité informatique.

I. – Rédiger ainsi l’alinéa 1 :

« Afin de parvenir à un niveau élevé de souveraineté numérique et de le maintenir, le Premier ministre élabore une stratégie nationale, notamment en matière de cybersécurité, qui comprend notamment : ».

II. – En conséquence, après l’alinéa 6, insérer les quatre alinéas suivants :

« 4° ter Un plan de financement de la formation et de la recherche en matière de cybersécurité ;

« 4° quater Un plan permettant de financer une doctrine d’autonomie technologique maximale en matière de renseignement et de cyberdéfense, faisant du recours à des technologies extra-européennes une exception devant être motivée ;

« 4° quinquies Une évaluation du coût de notre dépendance aux solutions numériques extra-européennes ;

« 4° sexies Une évaluation fine de l’externalisation des services numériques et du recours aux prestations intellectuelles informatiques par l’État, les organismes publics et les collectivités territoriales ; ».

À l’alinéa 1, après le mot :

« cybersécurité »,

insérer les mots :

« et de souveraineté numérique ».

Compléter l’alinéa 3 par les mots :

« , notamment les organismes agréés en application de l’article 24 du présent projet de loi ».

Compléter l’alinéa 4 par les mots :

« , en précisant leurs missions respectives et leur articulation avec les acteurs territoriaux ».

À l’alinéa 5, après le mot :

« cybersécurité »,

insérer les mots :

« et de dépendance numérique ».

Compléter l’alinéa 6 par les mots :

« notamment en termes de commande publique ; »

Compléter l’alinéa 6 par les mots : 

« favorisant ainsi le recours à des infrastructures et solutions françaises ou européennes souveraines ; ».

À l’alinéa 7, après le mot :

« publiques », 

insérer les mots : 

« , des collectivités territoriales, ».

À l’alinéa 7, substituer aux mots :

« annuellement mis en place dès 2026 et piloté »

les mots :

« et par un programme de prévention porté ».

À l’alinéa 7 , substituer aux mots :

« mis en place dès 2026 et piloté » 

les mots : 

« conçu et mis en oeuvre »

Compléter l’alinéa 7 par les mots :

« , en lien avec les organismes agréés en application de l’article 24 de la présente loi ».

Compléter l’alinéa 7 par la phrase suivante :

« Ce plan comprend des outils et des modèles destinés à aider les employeurs, en particulier les petites et moyennes entreprises et les collectivités territoriales qui ne sont pas des entités essentielles ou importantes, à intégrer les risques résultant d’incidents affectant leurs réseaux et systèmes d’information dans l’évaluation des risques prévue à l’article L. 4121‑3 du code du travail ; »

Compléter l’alinéa 7 par la phrase suivante :

« Ce plan comprend des outils et des modèles destinés à aider les employeurs, en particulier les petites et moyennes entreprises et les collectivités territoriales qui ne sont pas des entités essentielles ou importantes, à intégrer les risques résultant d’incidents affectant leurs réseaux et systèmes d’information dans l’évaluation des risques prévue à l’article L. 4121‑3 du code du travail ; »

À l’alinéa 9, après le mot :

« citoyens, », 

insérer les mots : 

« des élus, ».

Compléter l’alinéa 12 par les mots :

« , en s’appuyant sur les campus régionaux de cybersécurité et les centres régionaux de réponse aux incidents, ainsi que sur les autres organismes exerçant ces missions, en lien avec les régions ; »

I. – Après l’alinéa 15, insérer l’alinéa suivant :

« e) Les modalités d’un accompagnement adapté aux caractéristiques et contraintes particulières des collectivités régies par l’article 73 de la Constitution, notamment en matière de mise en conformité, de sécurisation des systèmes d’information, de formation, d’accès à l’expertise en cybersécurité et de réponse aux incidents ; »

II. – Compléter cet article par les trois alinéas suivants :

« II. – La perte de recettes pour l’État est compensée à due concurrence par la création d’une taxe additionnelle à l’accise sur les tabacs prévue au chapitre IV du titre I^er du livre III du code des impositions sur les biens et services.

« III. – La perte de recettes pour les collectivités territoriales est compensée à due concurrence par la majoration de la dotation globale de fonctionnement et, corrélativement pour l’État, par la création d’une taxe additionnelle à l’accise sur les tabacs prévue au chapitre IV du titre I^er du livre III du code des impositions sur les biens et services.

« IV. – La perte de recettes pour les organismes de sécurité sociale est compensée à due concurrence par la majoration de l’accise sur les tabacs prévue au chapitre IV du titre I^er du livre III du code des impositions sur les biens et services. »

Après l’alinéa 17, insérer l’alinéa suivant : 

« 5° octies Une étude sur le développement d’un système de stockage de données souverain dont les opérations, de l’hébergement à la gestion des données, seraient réalisées en France via une entreprise française sous juridiction française ; »

Après l’alinéa 17, insérer l’alinéa suivant :

« 5° octies Une politique relative à l’inclusion et à la spécification d’exigences liées à la cybersécurité pour les produits et services des technologies de l’information et de la communication dans les marchés publics, notamment en matière de certification de cybersécurité, de chiffrement et d’utilisation de produits de cybersécurité en sources ouvertes, ainsi qu’à la prise en compte des facteurs de risque non techniques liés aux fournisseurs et prestataires de services, notamment leur soumission, ou celle des entités qui les contrôlent, à des législations d’États non membres de l’Union européenne susceptibles de permettre un accès non consenti aux données ou aux systèmes d’information, ainsi que des mécanismes susceptibles de permettre la désactivation, l’interruption ou la restriction à distance du fonctionnement d’un produit ou service ; ».

Après l’alinéa 17, insérer l’alinéa suivant :

« 5° octies Une politique relative à l’inclusion et à la spécification d’exigences liées à la cybersécurité pour les produits et services des technologies de l’information et de la communication dans les marchés publics, notamment en matière de certification de cybersécurité, de chiffrement et d’utilisation de produits de cybersécurité en sources ouvertes, ainsi qu’à la prise en compte des facteurs de risque non techniques liés aux fournisseurs et prestataires de services, notamment leur soumission, ou celle des entités qui les contrôlent, à des législations d’États non membres de l’Union européenne susceptibles de permettre un accès non consenti aux données ou aux systèmes d’information, ainsi que des mécanismes susceptibles de permettre la désactivation, l’interruption ou la restriction à distance du fonctionnement d’un produit ou service ; ».

Après l’alinéa 17, insérer l’alinéa suivant :

« 5° octies Une politique relative à l’inclusion et à la spécification d’exigences liées à la cybersécurité pour les produits et services des technologies de l’information et de la communication dans les marchés publics, notamment en matière de certification de cybersécurité, de chiffrement et d’utilisation de produits de cybersécurité en sources ouvertes, ainsi qu’à la prise en compte des facteurs de risque non techniques liés aux fournisseurs et prestataires de services, notamment leur soumission, ou celle des entités qui les contrôlent, à des législations d’États non membres de l’Union européenne susceptibles de permettre un accès non consenti aux données ou aux systèmes d’information, ainsi que des mécanismes susceptibles de permettre la désactivation, l’interruption ou la restriction à distance du fonctionnement d’un produit ou service ; ».

Compléter l’alinéa 18 par les mots :

« et d’autonomie stratégique numérique ».

Compléter l’alinéa 18 par les mots :

« , qui comprennent une mesure de l’exposition au risque en matière de cybersécurité, exprimée en termes financiers pour la situation actuelle et projetée, une appréciation de l’efficacité des mesures de maîtrise des risques au regard du risque résiduel et des éléments relatifs à l’évolution des menaces et des incidents importants aux échelles nationale et sectorielle ».

Après l’alinéa 18, insérer l’alinéa suivant :

« La stratégie nationale en matière de cybersécurité permet de remettre en cause le modèle actuel de collecte et de conservation des données personnelles. Elle engage une réflexion sur les vulnérabilités structurelles induites par la logique de centralisation et de multiplication des données. »

À l’alinéa 19, substituer au mot :

« trois » 

le mot :

« deux ».

À la première phrase de l’alinéa 20, substituer à la date : 

« 2026 » 

la date :

« 2027 ».

Compléter la première phrase de l’alinéa 20 par les mots :

« et de souveraineté numérique ».

Compléter cet article par l’alinéa suivant :

« La stratégie nationale de cybersécurité garantit que les acteurs publics demeurent au cœur du pilotage et de l’exécution des politiques de cybersécurité. Elle veille à préserver et à développer au sein des administrations publiques les compétences, expertises et capacités opérationnelles nécessaires à l’exercice de ces missions. »

Supprimer cet article.

Rédiger ainsi cet article :

« I. – Le code de la sécurité intérieure est ainsi modifié :

« 1° Le I de l’article L. 731‑3 est ainsi modifié :

« a) À la seconde phrase du premier alinéa, après le mot : « connus, », sont insérés les mots : « y compris le risque d’incident informatique ayant un impact important sur la fourniture des services à la population, » ;

« b) Après le 7°, il est inséré un 8° ainsi rédigé :

« « 8° Assurant des activités de service public dont la continuité est susceptible d’être perturbée par des incidents informatiques, et dont la liste est déterminée par décret en Conseil d’État. » ;

« 2° À l’article L. 731‑5, après le mot : « sauvegarde », sont insérés les mots : « , notamment pour prendre en compte le risque d’incident informatique, ».

« II. – Le I du présent article entre en vigueur à l’occasion de l’actualisation du plan communal de sauvegarde ou, au plus tard, à la date de sa révision. »

Rédiger ainsi cet article :

« I. – Le code de la sécurité intérieure est ainsi modifié :

« 1° Le I de l’article L. 731‑3 est ainsi modifié :

« a) À la seconde phrase du premier alinéa, après le mot : « connus, », sont insérés les mots : « y compris le risque d’incident informatique ayant un impact important sur la fourniture des services à la population, » ;

« b) Après le 7°, il est inséré un 8° ainsi rédigé :

« « 8° Assurant des activités de service public dont la continuité est susceptible d’être perturbée par des incidents informatiques, et dont la liste est déterminée par décret en Conseil d’État. » ;

« 2° À l’article L. 731‑5, après le mot : « sauvegarde », sont insérés les mots : « , notamment pour prendre en compte le risque d’incident informatique, ».

« II. – Le I du présent article entre en vigueur à l’occasion de l’actualisation du plan communal de sauvegarde ou, au plus tard, à la date de sa révision. »

Après le deuxième alinéa de l’article L. 741-2 du code de la sécurité intérieure, est inséré un alinéa ainsi rédigé :
« Le plan Orsec départemental précise les modalités de coordination entre les services de secours, les exploitants des réseaux de communications électroniques et les gestionnaires des réseaux d’énergie nécessaires à la continuité et au rétablissement des communications utiles à la protection des populations. Il prévoit les modalités de partage sécurisé des informations nécessaires à cette coordination et de prise en compte des dépendances entre ces réseaux. »

Après l’alinéa 1, insérer l’alinéa suivant :

« 1° A Approche tous risques : une démarche qui vise à protéger les réseaux et les systèmes d’information ainsi que leur environnement physique contre des événements tels que le vol, les incendies, les inondations, une défaillance des télécommunications ou une défaillance électrique, ou contre tout accès physique non autorisé et toute atteinte aux informations détenues par l’entité essentielle ou importante et aux installations de traitement de l’information de l’entité, ou toute interférence avec ces informations et installations, susceptibles de compromettre la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données stockées, transmises ou traitées ou des services offerts par les réseaux et systèmes d’information ou accessibles par ceux-ci. Les mesures de gestion des risques en matière de cybersécurité devraient donc également porter sur la sécurité physique et la sécurité de l’environnement des réseaux et des systèmes d’information, en incluant des mesures visant à protéger ces systèmes contre les défaillances du système, les erreurs humaines, les actes malveillants ou les phénomènes naturels, conformément aux normes européennes et internationales, par exemple celles figurant dans la série ISO/CEI 27000 ; ».

Rédiger ainsi l’alinéa 9 :

« 5˚ bis Résilience : la capacité à prévenir tout incident, à s’en protéger, à y réagir, à y résister, à l’atténuer, à l’absorber, à s’y adapter et à s’en rétablir ; »

I. – À l’alinéa 9, supprimer les mots :

« d’un opérateur ».

II. – En conséquence, au même alinéa 9, supprimer les mots :

« type d’ ».

III. – En conséquence, à la fin dudit alinéa 9, substituer aux mots :

« ou à y résister afin d’assurer la continuité de la ou des activités d’importance vitale qu’il exerce »

les mots :

« , à y réagir, à y résister, à l’atténuer, à l’absorber, à s’y adapter et à s’en rétablir ».

Rédiger ainsi l’alinéa 9 :

« 5° bis Résilience : la capacité d’une entité à prévenir tout type d’incident, à s’en protéger et à y résister, afin d’assurer la continuité des activités qu’elle exerce et des services qu’elle fournit ; ».

À la fin de l’alinéa 9, substituer aux mots :

« d’un opérateur à prévenir tout type d’incident, à s’en protéger ou à y résister afin d’assurer la continuité de la ou des activités d’importance vitale qu’il exerce »,

les mots :

« à prévenir tout incident, à s’en protéger, à y réagir, à y résister, à l’atténuer, à l’absorber, à s’y adapter et à s’en rétablir rapidement ; ».

À l’alinéa 12, après le mot :

« communication »,

insérer les mots :

« ou de leurs utilisateurs ».

I. – Après l’alinéa 11, insérer l’alinéa suivant :

« 11° De la production, de la transformation et de la distribution des denrées alimentaires. »

II. – En conséquence, supprimer l’alinéa 16.

I. – Après l’alinéa 11, insérer l’alinéa suivant :

« 11° De l’enseignement supérieur et de la recherche »

II. – En conséquence, supprimer l’alinéa 19.

Après l’alinéa 11, insérer l’alinéa suivant :

« 11° Des câbles sous-marins et de leurs opérateurs ».

Après l’alinéa 11, insérer l’alinéa suivant :

« 11° Des satellites et de leurs opérateurs ».

Après l’alinéa 11, insérer l’alinéa suivant :

« 11° De la protection sociale »

Après l’alinéa 11, insérer l’alinéa suivant :

« 11° De l’éducation »

Après l’alinéa 19, insérer l’alinéa suivant : 

« 8° De l’éducation ».

Après l’alinéa 18, insérer l’alinéa suivant :

« 6° bis De la fourniture de services de facturation électronique par les plateformes agréées ; ».

Compléter l’alinéa 18 par les mots :

« , notamment des services fournis par les plateformes agréées de facturation électronique ».

Au début de l’alinéa 19, ajouter les mots :

« De l’éducation et » 

Après l’alinéa 19, insérer l’alinéa suivant :

« 8° De la culture. »

À la fin de l’alinéa 2, supprimer les mots :

« qui emploient au moins 250 personnes ou dont le chiffre d’affaires annuel excède 50 millions d’euros et dont le total du bilan annuel excède 43 millions d’euros  ».

À la fin de l’alinéa 4, supprimer les mots :

« qui emploient au moins 50 personnes ou dont le chiffre d’affaires annuel et le total du bilan annuel excèdent chacun 10 millions d’euros ».

Après l’alinéa 5, insérer l’alinéa suivant :

« 4° bis Les fournisseurs de services agréés de facturation électronique ; ».

I. – À l’alinéa 7, substituer aux mots :

« domaine et »,

le mot :

« domaine ; ».

II. – En conséquence, compléter le même alinéa 7 par les mots :

« désignés par le Premier ministre sur proposition d’un ministère coordonnateur d’un secteur d’activité mentionné à l’article 7, conformément à la procédure prévue à l’article 10 de la présente loi ».

À l’alinéa 7, supprimer les mots :

« et les éditeurs de logiciels »

À l’alinéa 7, supprimer les mots :

« et les éditeurs de logiciels »

À l’alinéa 7, supprimer les mots :

« et les éditeurs de logiciels »

À l’alinéa 7, supprimer les mots :

« et les éditeurs de logiciels »

À l’alinéa 7, supprimer les mots :

« et les éditeurs de logiciels »

I. – À l’alinéa 7, substituer aux mots :

« domaine et »,

les mots :

« domaine, ainsi que »

II. – En conséquence, compléter le même alinéa 7 par les mots :

« qui emploient au moins 250 personnes ou dont le chiffre d’affaires annuel excède 50 millions d’euros et dont le total du bilan annuel excède 43 millions d’euros ».

À l’alinéa 10, supprimer les mots :

« d’une population supérieure à 30 000 habitants ».

I. – À la fin de l’alinéa 16, substituer aux mots :

« au sens de l’article L. 6141‑1 du code de la santé publique

les mots :

« ainsi que les établissements et services sociaux et médico-sociaux publics délivrant des prestations de soins, qui emploient au moins 250 personnes ou dont les produits d’exploitation excèdent 50 millions d’euros et le total du bilan annuel excède 43 millions d’euros. » 

II. – En conséquence, supprimer l’alinéa 17.

III. – En conséquence, compléter cet article par l’alinéa suivant :

« 11° Les établissements de santé privés d’intérêt collectif ainsi que les établissements et services sociaux et médico-sociaux gérés par des organismes de droit privé à but non lucratif et délivrant des prestations de soins, qui emploient au moins 250 personnes ou dont les produits d’exploitation excèdent 50 millions d’euros et le total du bilan annuel excède 43 millions d’euros. ».

I. – À la fin de l’alinéa 16, substituer aux mots :

« au sens de l’article L. 6141‑1 du code de la santé publique

les mots :

« ainsi que les établissements et services sociaux et médico-sociaux publics délivrant des prestations de soins, qui emploient au moins 250 personnes ou dont les produits d’exploitation excèdent 50 millions d’euros et le total du bilan annuel excède 43 millions d’euros. » 

II. – En conséquence, supprimer l’alinéa 17.

III. – En conséquence, compléter cet article par l’alinéa suivant :

« 11° Les établissements de santé privés d’intérêt collectif ainsi que les établissements et services sociaux et médico-sociaux gérés par des organismes de droit privé à but non lucratif et délivrant des prestations de soins, qui emploient au moins 250 personnes ou dont les produits d’exploitation excèdent 50 millions d’euros et le total du bilan annuel excède 43 millions d’euros. ».

I. – À la fin de l’alinéa 16, substituer aux mots :

« au sens de l’article L. 6141‑1 du code de la santé publique

les mots :

« ainsi que les établissements et services sociaux et médico-sociaux publics délivrant des prestations de soins, qui emploient au moins 250 personnes ou dont les produits d’exploitation excèdent 50 millions d’euros et le total du bilan annuel excède 43 millions d’euros. » 

II. – En conséquence, supprimer l’alinéa 17.

III. – En conséquence, compléter cet article par l’alinéa suivant :

« 11° Les établissements de santé privés d’intérêt collectif ainsi que les établissements et services sociaux et médico-sociaux gérés par des organismes de droit privé à but non lucratif et délivrant des prestations de soins, qui emploient au moins 250 personnes ou dont les produits d’exploitation excèdent 50 millions d’euros et le total du bilan annuel excède 43 millions d’euros. ».

I. – Compléter l’alinéa 16 par les mots :

« , lorsqu’ils emploient au moins 250 personnes ou que leur chiffre d’affaires ou leurs produits d’exploitation annuels excèdent 50 millions d’euros et que le total de leur bilan annuel excède 43 millions d’euros ».

II. – En conséquence, compléter l’alinéa 17 par les mots :

« , lorsqu’ils emploient au moins 250 personnes ou que leur chiffre d’affaires ou leurs produits d’exploitation annuels excèdent 50 millions d’euros et que le total de leur bilan annuel excède 43 millions d’euros ».

I. – À l’alinéa 5, après le mot : 

« communes », 

insérer les mots :

« de 30 000 habitants et plus ».

II. – Compléter cet article par l’alinéa suivant :

« II. – La perte de recettes pour l’État est compensée à due concurrence par la création d’une taxe additionnelle à l’accise sur les tabacs prévue au chapitre IV du titre I^er du livre III du code des impositions sur les biens et services. »

À l’alinéa 5, après le mot :

« communes »,

insérer les mots :

« de 30 000 habitants et plus ».

À l’alinéa 5, après le mot :

« communes »,

insérer les mots :

« de 20 000 habitants et plus ».

Après l’alinéa 6, insérer l’alinéa suivant : 

« 5° bis Les établissements publics locaux d’enseignement, au sens de l’article L. 421‑1 du code de l’éducation ; ».

I. – À la fin de l’alinéa 8 substituer aux mots :

« au sens de l’article L. 6141‑1 du code de la santé publique »,

les mots :

« ainsi que les établissements et services sociaux et médico-sociaux publics délivrant des prestations de soins, qui emploient au moins 50 personnes ou dont les produits d’exploitation et le total du bilan annuel excèdent chacun 10 millions d’euros ».

II. – En conséquence, à la fin de l’alinéa 9, substituer aux mots :

« et services sociaux et médico-sociaux au sens de l’article L. 312‑1 du code de l’action sociale et des familles »,

les mots :

« de santé privés d’intérêt collectif ainsi que les établissements et services sociaux et médico-sociaux gérés par des organismes de droit privé à but non lucratif et délivrant des prestations de soins, qui emploient au moins 50 personnes ou dont les produits d’exploitation et le total du bilan annuel excèdent chacun 10 millions d’euros ».

I. – À la fin de l’alinéa 8 substituer aux mots :

« au sens de l’article L. 6141‑1 du code de la santé publique »,

les mots :

« ainsi que les établissements et services sociaux et médico-sociaux publics délivrant des prestations de soins, qui emploient au moins 50 personnes ou dont les produits d’exploitation et le total du bilan annuel excèdent chacun 10 millions d’euros ».

II. – En conséquence, à la fin de l’alinéa 9, substituer aux mots :

« et services sociaux et médico-sociaux au sens de l’article L. 312‑1 du code de l’action sociale et des familles »,

les mots :

« de santé privés d’intérêt collectif ainsi que les établissements et services sociaux et médico-sociaux gérés par des organismes de droit privé à but non lucratif et délivrant des prestations de soins, qui emploient au moins 50 personnes ou dont les produits d’exploitation et le total du bilan annuel excèdent chacun 10 millions d’euros ».

I. – À la fin de l’alinéa 8 substituer aux mots :

« au sens de l’article L. 6141‑1 du code de la santé publique »,

les mots :

« ainsi que les établissements et services sociaux et médico-sociaux publics délivrant des prestations de soins, qui emploient au moins 50 personnes ou dont les produits d’exploitation et le total du bilan annuel excèdent chacun 10 millions d’euros ».

II. – En conséquence, à la fin de l’alinéa 9, substituer aux mots :

« et services sociaux et médico-sociaux au sens de l’article L. 312‑1 du code de l’action sociale et des familles »,

les mots :

« de santé privés d’intérêt collectif ainsi que les établissements et services sociaux et médico-sociaux gérés par des organismes de droit privé à but non lucratif et délivrant des prestations de soins, qui emploient au moins 50 personnes ou dont les produits d’exploitation et le total du bilan annuel excèdent chacun 10 millions d’euros ».

I. – Compléter l’alinéa 8 par les mots :

« , lorsqu’ils emploient au moins 50 personnes ou que leur chiffre d’affaires ou leurs produits d’exploitation annuels et le total de leur bilan annuel excèdent chacun 10 millions d’euros ».

II. – En conséquence, compléter l’alinéa 9 par les mots :

« , lorsqu’ils emploient au moins 50 personnes ou que leur chiffre d’affaires ou leurs produits d’exploitation annuels et le total de leur bilan annuel excèdent chacun 10 millions d’euros ».

Après l’alinéa 5, insérer l’alinéa suivant : 

« L’arrêté du Premier ministre pris en application du dispositif prévu aux alinéas précédents doit prévoir une date d’entrée en vigueur de ses dispositions au plus tard 6 mois à compter du jour de sa publication. »

Après l’alinéa 5, insérer l’alinéa suivant : 

« L’arrêté du Premier ministre pris en application du dispositif prévu aux alinéas précédents doit prévoir une date d’entrée en vigueur de ses dispositions au plus tard 4 mois à compter du jour de sa publication. »

Après l’alinéa 5, insérer l’alinéa suivant : 

« L’arrêté du Premier ministre pris en application du dispositif prévu aux alinéas précédents doit prévoir une date d’entrée en vigueur de ses dispositions au plus tard 3 mois à compter du jour de sa publication. »

I. – À l’alinéa 6, substituer aux mots :

« ont désigné un représentant établi »,

les mots : 

« sont établis de façon effective ».

II. – En conséquence, à l’alinéa 10, substituer aux mots :

« ont désigné un représentant établi »,

les mots : 

« sont établis de façon effective ».

Compléter cet article par un alinéa ainsi rédigé :

« IV. – Les entités répondant à la fois à la définition d’une entité essentielle et à celle d’une entité importante, du fait des diverses activités qu’elles exercent, sont régies par les dispositions qui encadrent leur activité principale. »

À la fin de l’alinéa 1, supprimer les mots :

« , après avis des ministres compétents pour les secteurs d’activité mentionnés à l’article 7 ».

À la fin de l’alinéa 1, supprimer les mots :

« , après avis des ministres compétents pour les secteurs d’activité mentionnés à l’article 7 ».

Après l’alinéa 1, insérer l’alinéa suivant :

« L’autorité nationale de sécurité des systèmes d’information notifie à chaque personne inscrite sur cette liste son inscription ainsi que, le cas échéant, sa qualité d’entité essentielle ou d’entité importante. »

À l’alinéa 1, supprimer le mot :

« deux ».

Compléter cet article par l’alinéa suivant :

« L’État identifie et sensibilise les entités concernées dans des conditions précisées par décret. »

I. – À la première phrase, après le mot :

« importantes »,

insérer les mots :

« ainsi qu’aux opérateurs mentionnés à l’article L. 1332‑2 du code de la défense ».

II. – En conséquence, compléter cet article par l’alinéa suivant :

« Conformément à l’article 62 A de la présente loi, sont notamment considérées comme ayant un effet au moins équivalent, en matière de gestion des risques de cybersécurité, de notification des incidents et de supervision, les dispositions du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011. Par conséquent, les dispositions pertinentes de la présente loi ne sont pas applicables aux entités financières visées au titre III de la présente loi, essentielles et importantes ou ayant le statut d’opérateurs mentionnés à l’article L. 1332‑2 du code de la défense. »

Compléter cet article par l’alinéa suivant :

« Tous les deux ans, l’autorité nationale de sécurité des systèmes d’information publie et actualise des lignes directrices d’analyse des différentes réglementations européennes permettant de hiérarchiser le degré d’exigence de chacune pour les entités concernées. »

Compléter cet article par l’alinéa suivant :

« Par dérogation aux sixième et septième alinéas de l’article 14, les entités essentielles ou importantes assujetties à un acte d’exécution pris en application de la directive (UE) 2022‑2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, établissant des exigences techniques et méthodologiques ainsi que des exigences sectorielles mettent en œuvre les exigences prévues par ces actes. »

Compléter cet article par l’alinéa suivant :

« Par dérogation aux sixième et septième alinéas de l’article 14, les entités essentielles ou importantes assujetties à un acte d’exécution pris en application de la directive (UE) 2022‑2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, établissant des exigences techniques et méthodologiques ainsi que des exigences sectorielles mettent en œuvre les exigences prévues par ces actes. »

Après l’article 321-1 du code pénal, il est inséré un article 321-1-1 ainsi rédigé :

« Art. 321-1-1. – N’est pas pénalement responsable au titre des articles 321-1 et 323-3 la personne qui, pour un motif légitime, notamment de recherche ou de sécurité informatique, recueille, détient, analyse ou transmet des données rendues accessibles au public par autrui à la suite de l’une des infractions prévues aux articles 226-18, 311-1 et 323-1 à 323-3-1, dès lors que ces actes sont nécessaires et proportionnés à la finalité poursuivie.

« Le présent article s’applique sans préjudice des dispositions relatives à la protection de la vie privée et des données à caractère personnel, aux secrets protégés par la loi et aux droits de propriété intellectuelle ».

Après la première phrase de l’alinéa 1, insérer la phrase suivante :

« Dans le cas de solutions logicielles, les fournisseurs de ces solutions assurent la mise à disposition gratuite et le maintien du système d’exploitation, des pilotes de périphérique, des mises à jour unitaires et cumulatives, et des firmware nécessaires au fonctionnement et à la sécurité du produit pendant une durée compatible avec leur durée de vie prévisionnelle. Les durées minimales de mise à disposition sont fixées, par catégorie d’équipement, par arrêté du Premier ministre. »

Après la première phrase de l’alinéa 1, insérer la phrase suivante :

« Dans le cas de solutions logicielles, les fournisseurs sont tenus de mettre à disposition, à la cessation du support logiciel de ces solutions, les informations et outils nécessaires à leur interopérabilité et, lorsque cela est techniquement possible, à leur maintenance logicielle par des tiers ou à la migration vers des solutions logicielles libres. »

I. – À la première phrase de l’alinéa 1, substituer aux mots :

« les réseaux et les »,

les mots :

« la sécurité des réseaux et des ».

II. – En conséquence, à la même première phrase du même alinéa 1, substituer au mot :

« usagers »,

le mot :

« destinataires ».

III. – En conséquence, à la deuxième phrase dudit alinéa 1, après le mot :

« mesures »,

insérer les mots :

« de protection physique et logique ».

IV. – En conséquence, à l’alinéa 3, après le mot :

« sous-traitance »,

insérer les mots :

« , et mettre en œuvre des politiques de sécurité des ressources humaines, de contrôle des accès physiques et logiques et de gestion des actifs ainsi qu’une politique de sécurité de la chaîne d’approvisionnement fondée sur l’identification des fournisseurs et prestataires de services directs et de leur niveau de criticité, réexaminée au moins une fois par an ».

Après la deuxième phrase de l’alinéa 1, insérer la phrase suivante :

« Ces mesures peuvent prendre en compte le risque lié à l’origine des produits et composants utilisés, dans le cas où le fabricant est directement ou indirectement contrôlé par un Gouvernement, une autorité publique ou une force armée d’un pays tiers. »

Après la deuxième phrase de l’alinéa 1, insérer la phrase suivante : 

« Pour apprécier ces garanties, les personnes mentionnées au présent alinéa tiennent également compte des facteurs de risque non techniques liés à leurs fournisseurs et prestataires de services directs, notamment de l’éventuelle soumission de ceux-ci, ou des entités qui les contrôlent au sens de l’article L. 233‑3 du code de commerce, à des législations d’États non membres de l’Union européenne permettant un accès non consenti aux données ou aux systèmes d’information, ainsi que du lieu de traitement des données et de fourniture du support technique. »

Après la deuxième phrase de l’alinéa 1, insérer la phrase suivante : 

« Pour apprécier ces garanties, les personnes mentionnées au présent alinéa tiennent également compte des facteurs de risque non techniques liés à leurs fournisseurs et prestataires de services directs, notamment de l’éventuelle soumission de ceux-ci, ou des entités qui les contrôlent au sens de l’article L. 233‑3 du code de commerce, à des législations d’États non membres de l’Union européenne permettant un accès non consenti aux données ou aux systèmes d’information, ainsi que du lieu de traitement des données et de fourniture du support technique. »

Après la deuxième phrase de l’alinéa 1, insérer la phrase suivante : 

« Pour apprécier ces garanties, les personnes mentionnées au présent alinéa tiennent également compte des facteurs de risque non techniques liés à leurs fournisseurs et prestataires de services directs, notamment de l’éventuelle soumission de ceux-ci, ou des entités qui les contrôlent au sens de l’article L. 233‑3 du code de commerce, à des législations d’États non membres de l’Union européenne permettant un accès non consenti aux données ou aux systèmes d’information, ainsi que du lieu de traitement des données et de fourniture du support technique. »

Après la troisième phrase de l’alinéa 1, insérer la phrase suivante : 

« Ces mesures prennent notamment en compte l’accroissement des capacités d’intrusion dans les réseaux et systèmes d’information permis par le développement des systèmes d’intelligence artificielle. »

À la première phrase de l’alinéa 1, substituer au mot :

« usagers »,

le mot :

« destinataires ».

À la première phrase de l’alinéa 1, substituer au mot :

« usagers »,

le mot :

« destinataires ».

I. – Supprimer l’avant-dernière phrase de l’alinéa 1.

II. – En conséquence, à la fin de l’alinéa 9, supprimer les mots :

« , en veillant au respect des principes énoncés au premier alinéa du présent article. »

I. – Supprimer l’avant-dernière phrase de l’alinéa 1.

II. – En conséquence, à la fin de l’alinéa 9, supprimer les mots :

« , en veillant au respect des principes énoncés au premier alinéa du présent article. »

I. – Supprimer l’avant-dernière phrase de l’alinéa 1.

II. – En conséquence, à la fin de l’alinéa 9, supprimer les mots :

« , en veillant au respect des principes énoncés au premier alinéa du présent article. »

I. – À la première phrase de l’alinéa 1, après le mot :

« tout »,

insérer le mot :

« ou ».

II. – En conséquence, à l’alinéa 7, substituer au mot :

« huitième »,

le mot :

« sixième ».

III. – En conséquence, à l’alinéa 9, substituer au mot :

« septième »,

le mot :

« huitième ».

Compléter l’alinéa 2 par la phrase suivante : 

« Les mesures mentionnées au présent alinéa sont fondées sur une approche tous risques visant à protéger les réseaux et les systèmes d’information ainsi que leur environnement physique contre les incidents. »

Compléter l’alinéa 2 par les mots : 

« et aux enjeux de souveraineté numérique ».

Compléter l’alinéa 2 par la phrase suivante :

« Le choix d’une solution logicielle dont le code source n’est pas accessible ou vérifiable, et lorsqu’elle concerne un système d’information critique, fait l’objet d’une analyse de risques spécifique, documentée et présentée aux organes de direction évaluant la dépendance vis-à-vis du fournisseur, les limitations en matière d’audit de sécurité et les stratégies de réversibilité à brève échéance. »

Compléter l’alinéa 2 par la phrase suivante :

« Le choix d’une solution logicielle dont le code source n’est pas accessible ou vérifiable, et lorsqu’elle concerne un système d’information critique, fait l’objet d’une analyse de risques spécifique, documentée et présentée aux organes de direction évaluant la dépendance vis-à-vis du fournisseur, les limitations en matière d’audit de sécurité et les stratégies de réversibilité à brève échéance. »

À la fin de la seconde phrase de l’alinéa 2, supprimer les mots :

« en fonction de leur degré d’exposition au risque ».

À la fin de la seconde phrase de l’alinéa 2, supprimer les mots :

« en fonction de leur degré d’exposition au risque ».

À l’alinéa 3, après le mot :

« protection »,

insérer les mots :

« et la résilience ».

Compléter l’alinéa 3 par les mots et la phrase suivante :

« lorsque celle-ci a une implication directe sur la sécurité des réseaux et systèmes d’information. Les rôles et les responsabilités de chacun devront être précisés autant que de possible au préalable. »

I. – À l’alinéa 4, substituer aux mots :

« information et »,

le mot :

« information, ».

II. – En conséquence, compléter le même alinéa 4 par les mots : 

« et la transparence ainsi que la capacité des technologies utilisées à être auditées afin de faciliter l’investigation et la résolution desdits incidents ».

Compléter l'alinéa 4 par les mots :

« , y compris une politique de divulgation des vulnérabilités comportant un point de contact permettant à toute personne de signaler une vulnérabilité et une procédure de traitement des vulnérabilités signalées avant leur divulgation ».

Compléter l’alinéa 4 par les deux phrases suivantes :

« Les outils et procédures mentionnés au présent alinéa comprennent, le cas échéant, la recherche, le recueil et l’analyse d’informations accessibles au public, y compris de données rendues accessibles au public à la suite d’une infraction, lorsque ces actes sont nécessaires à la détection des fuites de données, des cybermenaces et des vulnérabilités affectant les réseaux et systèmes d’information de l’entité, ou au traitement des incidents qui les affectent. Lorsqu’ils respectent la vie privée, la protection des données à caractère personnel, les secrets protégés par la loi et les droits de propriété intellectuelle, ces actes sont autorisés par la loi au sens du premier alinéa de l’article 122‑4 du code pénal ; »

Après l’alinéa 4, insérer l’alinéa suivant :

« Les outils et procédures mentionnés au 3° comprennent, le cas échéant, la recherche, le recueil et l’analyse d’informations accessibles au public, y compris de données rendues accessibles au public à la suite d’une infraction, lorsque ces actes sont nécessaires à la détection des fuites de données, des cybermenaces et des vulnérabilités affectant les réseaux et systèmes d’information de l’entité, ou au traitement des incidents qui les affectent. Lorsqu’ils respectent la vie privée, la protection des données à caractère personnel, les secrets protégés par la loi et les droits de propriété intellectuelle, ces actes sont autorisés par la loi au sens du premier alinéa de l’article 122-4 du code pénal. »

Compléter l’alinéa 5 par les mots :

« , en tenant compte de leurs dépendances à l’alimentation électrique, aux réseaux de communications électroniques et à leurs fournisseurs ou prestataires directs, ainsi que des conditions de continuité et de rétablissement de leurs services ».

Compléter l’alinéa 5 par les mots : 

« , en favorisant la libre intégration et l’interopérabilité des technologies et protocoles utilisés, ainsi que la portabilité des données ».

Compléter l’alinéa 5 par les mots : 

« , en favorisant la libre intégration et l’interopérabilité des technologies et protocoles utilisés, ainsi que la portabilité des données ».

Après l’alinéa 5, insérer l’alinéa suivant :

« 5° Lorsque les services sont accessibles aux usagers par voie numérique, anticiper d’éventuelles conséquences de l’évolution ou de la cessation du support logiciel qui pourraient rendre un équipement encore fonctionnel incompatible avec le service. Prévoir, lorsque cela est techniquement possible, un mode d’accès alternatif à ce service, ne nécessitant pas le renouvellement de cet équipement. »

I. – Après la première phrase de l’alinéa 6, insérer la phrase suivante : 

« Il peut à cette fin prescrire le recours à des produits, des services ou des processus certifiés au titre du règlement (UE) n° 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’Agence de l’Union européenne pour la cybersécurité et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) n° 526/2013 ».

II. – En conséquence, supprimer l’alinéa 8.

I. – Après la première phrase de l’alinéa 6, insérer la phrase suivante : 

« Il peut à cette fin prescrire le recours à des produits, des services ou des processus certifiés au titre du règlement (UE) n° 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’Agence de l’Union européenne pour la cybersécurité et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) n° 526/2013 ».

II. – En conséquence, supprimer l’alinéa 8.

I. – Après la première phrase de l’alinéa 6, insérer la phrase suivante : 

« Il peut à cette fin prescrire le recours à des produits, des services ou des processus certifiés au titre du règlement (UE) n° 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’Agence de l’Union européenne pour la cybersécurité et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) n° 526/2013 ».

II. – En conséquence, supprimer l’alinéa 8.

À la seconde phrase de l’alinéa 6, substituer aux mots : 

« la gravité », 

les mots : 

« l’effet perturbateur important ».

Compléter l’alinéa 6 par la phrase suivante :

« Ce décret détermine les modalités d’exclusion du champ d’application du présent article des systèmes d’information que les entités n’utilisent pas dans le cadre de leurs activités ou pour la fourniture de leurs services. »

Après l’alinéa 7, insérer l’alinéa suivant :

« Les entités mentionnées au premier alinéa du présent article doivent, dans la mesure du possible, avoir recours à des solutions locales d’hébergement des données afin d’assurer le plus haut niveau de protection et de sécurité de ces dernières. »

Après l’alinéa 7, insérer l’alinéa suivant :

« Les entités mentionnées au premier alinéa du présent article doivent avoir recours à des solutions techniques immunes de tout législation étrangère ayant des effets extraterritoriaux. »

I. – À l’alinéa 8, substituer aux mots :

« peut prescrire »,

les mots :

« prescrit prioritairement ».

II. – En conséquence, compléter le même alinéa 8 par les mots :

« , subsidiairement par l’autorité désignée à l’article 5 de la loi n° , dans le cadre de ses missions définies par décret en Conseil d’État. »

Compléter l’alinéa 8 par les mots : 

« , après réalisation d’une étude des risques de dépendance stratégique liés au choix de ces produits, services ou processus. »

Après l’alinéa 8, insérer l’alinéa suivant :

« Il veille en outre à ce que les produits, services ou processus mentionnés à l’alinéa 8 puissent faire l’objet d’un audit et répondent à des critères de transparence. Une priorité est donnée aux solutions présentant le plus haut niveau de transparence, d’ouverture et de réversibilité. »

Supprimer l’alinéa 9.

Supprimer l’alinéa 9.

Après l’alinéa 9, insérer les six alinéas suivants :

« Les outils et procédures mentionnés au 3° comprennent, le cas échéant, la recherche, le recueil, l’analyse, la conservation et la transmission d’informations accessibles au public, y compris de données rendues accessibles au public à la suite d’une infraction.

« Ces actes, accomplis de bonne foi par les personnes mentionnées au premier alinéa ou par un prestataire agissant à des fins de sécurité informatique ou de recherche, sont autorisés lorsque :

« a) Ils sont strictement nécessaires et proportionnés à la détection des fuites de données, des cybermenaces et des vulnérabilités affectant leurs réseaux et systèmes d’information, ou au traitement des incidents qui les affectent ;

« b) Ils respectent la vie privée, la protection des données à caractère personnel, les secrets protégés par la loi et les droits de propriété intellectuelle ;

« c) Les informations utiles à la protection des victimes sont transmises sans délai à l’autorité nationale de sécurité des systèmes d’information.

« Les actes accomplis dans ces conditions sont autorisés par la loi au sens du premier alinéa de l’article 122‑4 du code pénal. »

À l’alinéa 10, après le mot :

« qualifiés »,

insérer les mots :

« ou à des outils et prestataires inscrits sur une liste établie par cette autorité selon des critères objectifs, transparents et non discriminatoires ».

Après l’alinéa 10, insérer l’alinéa suivant :

« Les entités désignées au premier alinéa du présent article disposent d’un délai de trois ans après promulgation de la loi pour mettre en œuvre les exigences prévues au présent article. »

Après l’alinéa 10, insérer l’alinéa suivant :

« Les entités désignées au premier alinéa du présent article disposent d’un délai de deux ans après promulgation de la loi pour mettre en œuvre les exigences prévues au présent article. »

Compléter cet article par l’alinéa suivant :

« Lorsqu’une entité essentielle a recours à un service d’informatique en nuage fourni par un prestataire privé pour traiter ou stocker des données dont la violation est susceptible de porter atteinte à la sécurité nationale, à l’ordre public, à la santé ou à la vie des personnes ou à la continuité des services essentiels qu’elle fournit, elle veille à ce que ce service mette en œuvre des critères de sécurité et de protection des données garantissant notamment la protection de ces données contre tout accès par des autorités publiques d’États tiers non autorisé par le droit de l’Union européenne ou d’un État membre. Ces critères sont ceux prévus au I de l’article 31 de la loi n° 2024‑449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique et précisés par le décret pris pour son application. Un décret en Conseil d’État précise les catégories de données concernées ainsi que les délais de mise en conformité, qui ne peuvent excéder trois ans à compter de sa publication. Le présent alinéa ne s’applique pas aux personnes soumises à l’article 31 de la loi n° 2024‑449 du 21 mai 2024 précitée. »

Compléter cet article par l’alinéa suivant :

« Lorsqu’une entité essentielle de droit privé a recours à un service d’informatique en nuage fourni par un prestataire privé pour traiter ou stocker des données dont la violation est susceptible de porter atteinte à la sécurité nationale, à l’ordre public, à la santé ou à la vie des personnes ou à la continuité des services essentiels qu’elle fournit, elle veille à ce que ce service mette en œuvre des critères de sécurité et de protection des données garantissant notamment la protection de ces données contre tout accès par des autorités publiques d’États tiers non autorisé par le droit de l’Union européenne ou d’un État membre. Ces critères sont ceux prévus au I de l’article 31 de la loi n° 2024‑449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique et précisés par le décret pris pour son application de la loi n° 2024‑449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique. Un décret en Conseil d’État précise les catégories de données concernées ainsi que les délais de mise en conformité, qui ne peuvent excéder trois ans à compter de sa publication. »

Compléter cet article par les deux alinéas suivants :

« Les communes, les établissements publics de coopération intercommunale à fiscalité propre et leurs établissements publics administratifs qualifiés d’entités essentielles ou importantes disposent d’une période de deux ans à compter de l’entrée en vigueur du présent article pour mettre en œuvre une trajectoire progressive de mise en conformité avec les exigences qu’il prévoit. Cette trajectoire repose sur un diagnostic initial, une évaluation des moyens nécessaires et une feuille de route comportant des jalons de réalisation adaptés à leur degré d’exposition aux risques et à leurs capacités techniques, humaines et financières.

« Cette période ne suspend ni l’application des obligations prévues au présent article ni les obligations de notification des incidents prévues à l’article 17. Elle ne fait pas obstacle à l’exercice des pouvoirs prévus à l’article 25. »

Les administrations définies aux alinéas 8 à 18 de l’article 8 du présent projet de loi ne peuvent utiliser de solutions logiciels ayant recours à des transferts de données personnelles vers des pays tiers dont le niveau de protection des droits fondamentaux en ligne n’est pas considéré comme conforme aux exigences prévues par le droit européen et national.

Les administrations mentionnées aux alinéas 8 à 18 de l'article 8 du présent projet de loi ne peuvent utiliser de solutions logiciels ayant recours à des transferts de données personnelles vers des pays tiers dont le niveau de protection des droits fondamentaux en ligne n'est pas considéré comme conforme aux exigences prévues par le droit de l'Union européenne et le droit national. Par dérogation et exception à l'alinéa précédent, l'Agence nationale de la sécurité des systèmes d’information peut, par décision motivée, autoriser une administration à utiliser une telle solution logicielle.

Les administrations mentionnées à l’article 8 de la présente loi évaluent systématiquement et en priorité, lors de l’acquisition d’une solution logicielle, les solutions reposant sur des logiciels libres, en tenant compte de leur niveau de sécurité, de leur coût total, de leur interopérabilité, de leur réversibilité, de la durée de leur support et du niveau de dépendance à leur fournisseur.

Lorsqu’une administration retient une solution propriétaire, elle motive son choix au regard des critères mentionnés au premier alinéa. »

Dans le cadre de la mise en œuvre des obligations relatives à la cybersécurité des entités essentielles et importantes, les prestataires de services, y compris les hébergeurs de données, établis dans un pays tiers peuvent être sollicités à condition que :

1° Le pays tiers en question soit lié à l’Union européenne par un accord de commerce et de coopération comprenant des engagements explicites en matière de protection des données et de cybersécurité ;

2° L’entreprise concernée s’engage contractuellement à respecter les obligations issues du droit européen en matière de cybersécurité, notamment celles prévues par la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union et le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;

3° Cette conformité fasse l’objet d’un audit régulier par une autorité compétente désignée par décret.

La liste des pays et catégories de prestataires concernés est fixée par décret en Conseil d’État, après avis de la Commission nationale de l'informatique et des libertés et de l’Agence nationale de la sécurité des systèmes d'information.

Les obligations prévues à l’article 14 et au troisième alinéa de l’article 16 ne sont applicables aux collectivités territoriales, à l’exception des régions et des collectivités exerçant les compétences dévolues aux régions, ainsi qu’à leurs groupements et à leurs établissements publics administratifs, qu’à l’expiration d’un délai de trois ans à compter de la publication du décret en Conseil d’État mentionné au sixième alinéa du même article 14.

Dans le cadre de la mise en œuvre des obligations relatives à la cybersécurité des entités essentielles et importantes, les prestataires de services, y compris les hébergeurs de données, établis dans un pays tiers peuvent être sollicités à condition que :

1° Le pays tiers en question soit lié à l’Union européenne par un accord de commerce et de coopération comprenant des engagements explicites en matière de protection des données et de cybersécurité ;

2° L’entreprise concernée s’engage contractuellement à respecter les obligations issues du droit européen en matière de cybersécurité, notamment celles prévues par la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union et le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;

3° Cette conformité fasse l’objet d’un audit régulier par une autorité compétente désignée par décret.

La liste des pays et catégories de prestataires concernés est fixée par décret en Conseil d’État, après avis de la Commission nationale de l’informatique et des libertés et de l’Agence nationale de la sécurité des systèmes d’information.

I. – Les entités mentionnées au présent titre recourent en priorité, pour l’externalisation de services de technologies de l’information et de la communication, à des prestataires remplissant les conditions suivantes :

1° Être titulaires, pour la prestation concernée, d’une qualification délivrée par l’autorité nationale de sécurité des systèmes d’information ;

2° Être assujettis en France à l’impôt sur les sociétés au sens de l’article 209 du code général des impôts, sauf lorsque la prestation est assurée par un opérateur interne appartenant au même groupe que l’entité concernée.

II. – À titre dérogatoire, lorsqu’aucun prestataire ne satisfait, pour le service recherché, aux critères mentionnés au I, l’entité concernée peut recourir à un autre prestataire, sous réserve de l’obtention d’une autorisation expresse de l’autorité nationale de sécurité des systèmes d’information et après démonstration documentée de l’absence d’offre disponible répondant à ces critères.

À l’alinéa 1, après la première occurrence du mot :

« information »,

insérer les mots :

« ou publié par l’Agence de l’Union européenne pour la cybersécurité ».

I. – À l’alinéa 1, substituer au mot :

« huitième »,

le mot :

« sixième ».

II. – En conséquence, à l’alinéa 4, substituer au mot :

« septième »,

le mot :

« sixième ».

III. – En conséquence, à l’alinéa 5, substituer au mot :

« septième »,

le mot :

« sixième ».

1° A l’alinéa 1, substituer au mot :

« huitième »,

le mot :

« sixième ».

2° Aux alinéas 4 et 5, substituer au mot :

« septième »,

le mot :

« sixième ».

I. – À l’alinéa 1, substituer au mot :

« huitième »,

le mot :

« sixième ».

II. – En conséquence, au même alinéa 1, substituer au mot :

« septième »,

le mot :

« sixième ».

III. – En conséquence, à l’alinéa 4 , substituer au mot :

« septième »,

le mot :

« sixième ».

IV. – En conséquence, à l’alinéa 5, substituer au mot :

« septième »,

le mot :

« sixième ».

I. – Après l'alinéa 1, insérer l'alinéa suivant :

« La mise en œuvre des orientations techniques publiées par l'Agence de l'Union européenne pour la cybersécurité pour l'application du règlement d'exécution (UE) 2024/2690 de la Commission du 17 octobre 2024 est réputée équivalente au référentiel mentionné au sixième alinéa de l'article 14. »

II. – En conséquence, à l'alinéa 6, substituer aux mots :

« au 2° »,

les mots :

« aux 1° et 2° ».

À la première phrase de l’alinéa 2, après le mot :

« information »,

insérer les mots :

« ou par tout organisme européen recommandant des référentiels et exigences équivalents ».

Compléter l’alinéa 6 par la phrase suivante :

« Ce décret définit également les modalités de communication des autres référentiels reconnus comme équivalents par l’autorité nationale de sécurité des systèmes d’information et prévus au premier alinéa du présent article. »

I. – Les collectivités territoriales, leurs groupements et leurs établissements publics administratifs lorsqu’ils sont des entités essentielles au sens de l’article 8, transmettent chaque année à l’autorité nationale de sécurité des systèmes d’information une attestation établissant que les mesures mises en œuvre en application de l’article 14 demeurent en place et à jour au regard des exigences du référentiel mentionné au même article ou de tout autre référentiel reconnu comme équivalent en application de l’article 15.

II. – Cette attestation est délivrée, lorsque l’entité satisfait aux exigences de ce référentiel, par un prestataire de services mentionné au dernier alinéa de l’article 14 et qualifié à cet effet par l’autorité nationale.

III. – Un décret en Conseil d’État précise le contenu de l’attestation, la date de sa première transmission, ses modalités de transmission et les conditions dans lesquelles les prestataires sont qualifiés à cet effet »

I. – À l’alinéa 2, après le mot :

« loi »,

insérer les mots :

« , ou tout autre référentiel reconnu comme équivalent par l’autorité nationale de sécurité des systèmes d’information ».

II. – En conséquence, compléter cet article par les quatre alinéas suivants :

« Un décret en Conseil d’État précise :

« 1° Les conditions de reconnaissance de l’équivalence de référentiels et de normes et spécifications techniques européennes ou internationales pour la sécurité des réseaux et des systèmes permettant aux opérateurs mentionnés à l’article L. 1332 2 du code de la défense de démontrer leur conformité à tout ou partie des exigences du référentiel mentionné à l’article 14 de la présente loi.

« 2° Les conditions de reconnaissance de l’équivalence de normes en matière de sécurité des réseaux et des systèmes d’information adoptées par des États membres en application de l’article 21 de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures permettant aux entités essentielles ou importantes qui fournissent des services dans ces États membres et auraient, dans ces derniers, la qualification d’entité importante ou essentielle, de démontrer leur conformité à tout ou partie des exigences du référentiel mentionné à l’article 14 de la présente loi.

« 3° Les conditions de reconnaissance de l’équivalence d’exigences issues d’un acte juridique de l’Union Européenne permettant à ces opérateurs de démontrer leur conformité à tout ou partie des exigences du référentiel mentionné à l’article 14 de la présente loi. »

I. – À l’alinéa 2, après le mot :

« loi »,

insérer les mots :

« , ou tout autre référentiel reconnu comme équivalent par l’autorité nationale de sécurité des systèmes d’information ».

II. – En conséquence, compléter cet article par les quatre alinéas suivants :

« Un décret en Conseil d’État précise :

« 1° Les conditions de reconnaissance de l’équivalence de référentiels et de normes et spécifications techniques européennes ou internationales pour la sécurité des réseaux et des systèmes permettant aux opérateurs mentionnés à l’article L. 1332 2 du code de la défense de démontrer leur conformité à tout ou partie des exigences du référentiel mentionné à l’article 14 de la présente loi.

« 2° Les conditions de reconnaissance de l’équivalence de normes en matière de sécurité des réseaux et des systèmes d’information adoptées par des États membres en application de l’article 21 de la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures permettant aux entités essentielles ou importantes qui fournissent des services dans ces États membres et auraient, dans ces derniers, la qualification d’entité importante ou essentielle, de démontrer leur conformité à tout ou partie des exigences du référentiel mentionné à l’article 14 de la présente loi.

« 3° Les conditions de reconnaissance de l’équivalence d’exigences issues d’un acte juridique de l’Union Européenne permettant à ces opérateurs de démontrer leur conformité à tout ou partie des exigences du référentiel mentionné à l’article 14 de la présente loi. »

Compléter l’alinéa 3 par la phrase suivante :

« Lorsqu’elles délivrent des agréments, elles veillent à ce que les entités agréées respectent les exigences du référentiel mentionné à l’article 14. »

Après l’alinéa 3, insérer l’alinéa suivant :

« Les entités essentielles et importantes mettent en œuvre les exigences du référentiel mentionnées à l’article 14 ainsi que les exigences spécifiques fixées par le Premier ministre en matière de mise en œuvre de systèmes qualifiés de détection des événements susceptibles d’affecter la sécurité de leurs systèmes d’information. »

Après la deuxième phrase de l’alinéa 4, insérer la phrase suivante :

« Ces exigences peuvent inclure des restrictions ou interdictions concernant certains composants ou produits qui, à l’issue d’une évaluation des risques, sont identifiés comme présentant un risque élevé pour la sécurité nationale, notamment lorsque leur fabricant est directement ou indirectement contrôlé par un Gouvernement, une autorité publique ou une force armée d’un pays tiers. »

Avant la dernière phrase de l’alinéa 4, insérer la phrase suivante :

« Aux fins de la bonne application des dispositions prévues aux alinéas précédents, les entités visées au présent article doivent avoir recours à des solutions techniques numériques immunes de tout effet extraterritorial de législations étrangères. »

Compléter l’alinéa 4 par la phrase suivante : 

« L’autorité nationale de la sécurité des systèmes d’information veille à ce que les processus de certification, de qualification et d’agrément soient fondés sur des critères techniques objectifs, transparents et non-discriminatoires, afin de garantir leur accessibilité aux logiciels libres et aux solutions proposées par les petites et moyennes entreprises innovantes. »

Compléter l’alinéa 4 par la phrase suivante : 

« L’autorité nationale de la sécurité des systèmes d’information veille à ce que les processus de certification, de qualification et d’agrément soient fondés sur des critères techniques objectifs, transparents et non-discriminatoires, afin de garantir leur accessibilité aux logiciels libres et aux solutions proposées par les petites et moyennes entreprises innovantes. »

À la deuxième phrase de l’alinéa 4, supprimer le mot :

« réguliers ».

Compléter la deuxième phrase de l’alinéa 4 par les mots : 

« dont le siège statutaire, administration centrale et principal établissement sont situés sur le territoire national ».

Compléter la deuxième phrase de l’alinéa 4 par les mots :

« dont le siège statutaire, administration centrale et principal établissement sont situés dans un État membre de l’Union européenne ».

Compléter cet article par l’alinéa suivant :

« Les exigences mentionnées au deuxième alinéa peuvent prescrire que les opérateurs mettent en œuvre des systèmes qualifiés de détection des événements susceptibles d’affecter la sécurité de leurs systèmes d’information. Ces systèmes de détection sont exploités sur le territoire national par des prestataires de service qualifiés en matière de sécurité de systèmes d’information, par l’Autorité nationale de sécurité des systèmes d’information ou par d’autres services de l’État désignés par le Premier ministre. Les qualifications des systèmes de détection et des prestataires de service exploitant ces systèmes sont délivrées par le Premier ministre. ».

Compléter l’alinéa 4 par l’alinéa suivant :

« Les exigences spécifiques mentionnées au deuxième alinéa du présent article peuvent notamment prescrire que les opérateurs mettent en œuvre des systèmes qualifiés de détection des événements susceptibles d’affecter la sécurité de leurs systèmes d’information d’importance vitale. Ces systèmes de détection sont exploités sur le territoire national par des prestataires de service qualifiés en matière de sécurité des systèmes d’information, par l’autorité nationale de sécurité des systèmes d’information ou par d’autres services de l’État désignés par le Premier ministre. Les qualifications des systèmes de détection et des prestataires de service exploitant ces systèmes sont délivrées par le Premier ministre. »

Afin de préserver la sécurité et l’indépendance de leurs systèmes d’information, les administrations publiques mentionnées aux alinéas 8 à 18 de l’article 8 de la présente loi utilisent en priorité des logiciels libres et des services de l’informatique en nuage réversibles.

La mise en oeuvre par l’administration d’un logiciel non libre ou d’un service de l’informatique en nuage non réversible n’est autorisée que lorsque l’évaluation comparative de nature technique et économique démontre qu’il est impossible d’accéder à des solutions libres ou à des solutions déjà développées au sein de l’administration publique équivalentes en matière de fonctionnalités, de coût total et de cybersécurité. L’évaluation visée au présent paragraphe est effectuée conformément aux procédures et aux critères définis par la direction interministérielle du numérique, qui, à la demande des parties intéressées, émet également un avis sur leur conformité.

La direction interministérielle du numérique développe une stratégie pour l’utilisation, le développement et la commande de logiciels libres au sein de l’administration publique. 

Supprimer cet article.

Supprimer cet article.

Supprimer cet article.

Supprimer l'article

Supprimer cet article.

Supprimer cet article.

I. – Au début, ajouter la mention suivante :

« I. – ».

II. – Substituer aux mots :

« services de chiffrement »,

les mots :

« moyens ou de prestations de cryptologie, au sens de l’article 29 de la loi n° 2004‑575 du 21 juin 2004 pour la confiance dans l’économie numérique ».

III. – En conséquence, après le mot :

« qualifiés », 

insérer les mots :

« ni aux fournisseurs de services de communications interpersonnelles non fondés sur la numérotation, au sens du 6° quater de l’article L. 32 du code des postes et des communications électroniques, ».

IV. – En conséquence, substituer au mot :

« électroniques »,

le mot :

« électroniques, ».

V. – En conséquence, compléter cet article par les mots :

« , y compris l’ajout, à l’insu des utilisateurs, d’un destinataire ou d’un participant à une communication ».

VI. – En conséquence, compléter cet article par l’alinéa suivant :

« II. – Le I ne fait obstacle ni à la mise en œuvre, sur un équipement terminal déterminé, des techniques de recueil de renseignement et des mesures d’investigation autorisées par la loi, notamment celles prévues à l’article L. 853‑2 du code de la sécurité intérieure et à l’article 706‑102‑1 du code de procédure pénale, ni à l’obligation de remise des conventions de déchiffrement prévue à l’article L. 871‑1 du code de la sécurité intérieure, lorsque la personne concernée détient ces conventions. »

Après le mot :

« qualifiés »,

insérer les mots :

« , ainsi qu’aux fournisseurs de services de communications interpersonnelles non fondés sur la numérotation, au sens du 6° quater de l’article L. 32 du code des postes et des communications électroniques ».

Compléter cet article par les mots :

« , y compris l’ajout, à l’insu des utilisateurs, d’un destinataire ou d’un participant à une communication ».

Compléter cet article par l’alinéa suivant :

« Aucun service de réseau social en ligne, tel que défini à l’article 6 de la loi n° 2004‑575 du 21 juin 2004 pour la confiance dans l’économie numérique, ne peut mettre en place d’outils, de quelque nature que ce soit et à quelque fin que ce soit, visant à récolter de façon systématique sous format numérique les cartes nationales d’identité, passeport ou tout document officiel d’identité permettant d’identifier ses utilisateurs ».

Après l'article 16 bis, il est inséré un article ainsi rédigé :

"I- Les images collectées au moyen de systèmes de vidéoprotection autorisés sur le fondement de l'article L. 252-1 du code de la sécurité intérieure ou au moyen de caméras installées sur des aéronefs autorisées sur le fondement du chapitre II du titre IV du livre II du même code et faisant l'objet d'un traitement algorithmique sont interdits.

II- L'article 10 de la loi n° 2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024 et portant diverses autres dispositions est abrogé."

Compléter l’alinéa 12 par la phrase suivante :

« Lorsque l’incident a causé ou est susceptible de causer l’extraction de données à caractère personnel, l’information du public comporte une présentation claire des risques d’usurpation d’identité et d’hameçonnage ciblé qui peuvent en résulter pour les personnes concernées, des précautions qu’elles peuvent prendre et du dispositif national d’assistance aux victimes d’actes de cybermalveillance. »

Après l’alinéa 12, insérer l’alinéa suivant :

« Lorsqu’un incident mentionné au premier alinéa du I doit également être notifié ou signalé en application de l’article L. 1332‑7 du code de la défense ou de l’article L. 1111‑8-2 du code de la santé publique, ces notifications et signalements sont réalisés par le biais d’un document unique transmis simultanément à l’ensemble des autorités destinataires. »

Après l’alinéa 12, insérer les trois alinéa suivants :

« Lorsque l’incident s’accompagne d’une demande de rançon ou de toute autre forme d’extorsion, la notification initiale et le rapport final mentionnés au présent II comprennent l’indication de cette demande, de son montant et des modalités de paiement exigées. Ils précisent, le cas échéant, si l’entité a décidé de procéder au paiement et, dans l’affirmative, son montant et ses références. Ces informations sont actualisées sans retard injustifié lorsque la demande ou le paiement intervient postérieurement à la notification concernée.

« Ces informations sont couvertes par le secret. Elles ne peuvent être utilisées que pour l’assistance à l’entité, l’analyse de la menace et la recherche des auteurs, et ne peuvent fonder, à elles seules, une sanction au titre du présent titre. Leur transmission aux autorités judiciaires intervient dans les conditions prévues à l’article 23.

« L’autorité nationale de sécurité des systèmes d’information transmet chaque année au Gouvernement, pour être intégrées au rapport prévu à l’article 64, des données statistiques agrégées et anonymisées relatives aux demandes de rançon et aux paiements déclarés. »

I. – À la première phrase de l’alinéa 15, substituer au mot :

« critique »,

le mot :

« importante ».

II. – En conséquence, à la seconde phrase du même alinéa 15, substituer au mot :

« critique »,

le mot :

« importante ».

III. – En conséquence, à la première phrase de l’alinéa 17, substituer au mot :

« critique »,

le mot :

« importante ».

Après l’alinéa 18, insérer les trois alinéas suivants :

« Lorsqu’un incident notifié en application du II constitue une violation de données à caractère personnel, la personne concernée peut adresser à l’autorité nationale de sécurité des systèmes d’information, par la même voie, la notification prévue à l’article 33 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ou au II de l’article 83 de la loi n° 78‑17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. L’autorité nationale de sécurité des systèmes d’information la transmet sans délai à la Commission nationale de l’informatique et des libertés.

« La notification ainsi adressée est réputée effectuée auprès de la Commission nationale de l’informatique et des libertés à la date de sa réception par l’autorité nationale de sécurité des systèmes d’information.

« Dans tous les cas, les délais impartis pour ces notifications prévus par les législations applicables sont considérés comme satisfaits si la notification est réalisée dans les délais impartis auprès du guichet unique de déclaration prévu ci-dessus. ».

Après l’alinéa 18, insérer les trois alinéas suivants :

« Lorsqu’un incident notifié en application du II constitue une violation de données à caractère personnel, la personne concernée peut adresser à l’autorité nationale de sécurité des systèmes d’information, par la même voie, la notification prévue à l’article 33 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ou au II de l’article 83 de la loi n° 78‑17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. L’autorité nationale de sécurité des systèmes d’information la transmet sans délai à la Commission nationale de l’informatique et des libertés.

« La notification ainsi adressée est réputée effectuée auprès de la Commission nationale de l’informatique et des libertés à la date de sa réception par l’autorité nationale de sécurité des systèmes d’information.

« Dans tous les cas, les délais impartis pour ces notifications prévus par les législations applicables sont considérés comme satisfaits si la notification est réalisée dans les délais impartis auprès du guichet unique de déclaration prévu ci-dessus. ».

À la fin de l’alinéa 1, supprimer les mots :

« , notamment en cas de recours à des services permettant l’anonymisation des données d’enregistrement ».

I. – Après l’alinéa 1, insérer les cinq alinéas suivants : 

« La base des données d’enregistrement des noms de domaine comprend notamment les informations suivantes : 

« 1° Le nom de domaine ; 

« 2° La date d’enregistrement ; 

« 3° Le nom du titulaire, l’adresse postale, l’adresse de courrier électronique et le numéro de téléphone permettant de le contacter ; 

« 4° L’adresse postale, l’adresse de courrier électronique et le numéro de téléphone permettant de contacter les points de contact associés au nom de domaine, si ces coordonnées sont différentes de celles du titulaire. ».

II. – En conséquence, à l’alinéa 3, après le mot :

« dresse, »

insérer les mots :

« , le cas échéant, ».

III. – En conséquence, au même alinéa 3, après le mot :

« données »,

le mot : 

« complémentaires ».

I. – Après l’alinéa 2, insérer les cinq alinéas suivants :

« La base des données d’enregistrement des noms de domaine comprend les informations suivantes :

« 1° Le nom de domaine ;

« 2° La date d’enregistrement ;

« 3° Le nom du titulaire, l’adresse postale, l’adresse de courrier électronique et le numéro de téléphone permettant de le contacter ;

« 4° L’adresse postale, l’adresse de courrier électronique et le numéro de téléphone permettant de contacter les points de contact associés au nom de domaine, si ces coordonnées sont différentes de celles du titulaire. ».

II. – En conséquence, à l’alinéa 3, après le mot :

« dresse, »

insérer les mots :

« , le cas échéant, ».

III. – En conséquence, au même alinéa 3, après le mot :

« données »,

le mot : 

« complémentaires ».

À la fin de l’alinéa 3, supprimer les mots :

« et précise les procédures de vérification des données d’enregistrement des noms de domaine ».

Compléter cet article par les deux alinéas suivants :

« Les données mentionnées à l’alinéa précédent sont conservées dans un système de sauvegarde sécurisé pour une durée de dix ans aux seules fins de répondre à une demande émanant de l’autorité judiciaire dans le cadre d’une procédure pénale ; ou de permettre à l’autorité nationale de sécurité des systèmes d’information d’identifier l’origine d’un incident de cybersécurité ou d’assurer la résilience des réseaux.

« Ce dispositif de conservation prolongée est soumis à des conditions strictes d’accès, de traçabilité et de protection des données, dans le respect des droits fondamentaux. »

Après l’alinéa 2, insérer l’alinéa suivant :

« Lorsque le destinataire est un centre de réponse aux incidents de sécurité informatique relevant d’un État non membre de l’Union européenne ou un organisme international, la communication est en outre subordonnée à l’existence de garanties de confidentialité au moins équivalentes à celles prévues par le droit français ainsi qu’à la réciprocité. »

I. – Après la première phrase de l’alinéa 1, insérer les deux phrases suivantes :

« L’agrément précise les missions confiées à l’organisme concerné. Celles-ci peuvent comprendre la sensibilisation, l’orientation et l’accompagnement des entités ainsi que la préparation aux incidents. »

II. – En conséquence, à la seconde phrase du même alinéa 1, après le mot :

« agréés »,

insérer les mots :

« , ainsi que les organismes agréés entre eux, ».

III. – En conséquence, à la même seconde phrase dudit alinéa 1, supprimer les mots :

« entre eux ».

IV. – En conséquence, compléter ladite seconde phrase du même alinéa 1 par les mots : 

« dans la seule mesure nécessaire à leurs missions de prévention et de gestion des incidents ».

V. – En conséquence, compléter le même alinéa 1 par la phrase suivante :

« Ces échanges sont proportionnés à cette finalité, assurent la confidentialité des informations et respectent les règles applicables aux informations classifiées et à la protection des données à caractère personnel. »

VI. – En conséquence, compléter cet article par l’alinéa suivant : 

« Ce décret précise les critères d’agrément, adaptés aux missions concernées, notamment les garanties de compétence, d’impartialité, de confidentialité et de prévention des conflits d’intérêts. »

Compléter l’alinéa 1 par la phrase suivante : 

« Les informations échangées se limitent au minimum nécessaire et sont proportionnées à l’objectif du partage. »

Compléter cet article par l’alinéa suivant :

« Ce décret précise les conditions d’agrément des organismes intervenant à l’échelle d’un secteur d’activité ou d’un territoire, en tenant compte de la nature des missions exercées et des caractéristiques des entités accompagnées. Il définit les modalités de coordination de ces organismes avec l’autorité nationale de sécurité des systèmes d’information. »

Les entités essentielles et importantes ainsi que, le cas échéant, leurs fournisseurs ou prestataires de services peuvent échanger entre eux, à titre volontaire, au sein de communautés, des informations pertinentes en matière de cybersécurité, y compris des informations relatives aux cybermenaces, aux incidents évités ou non, aux vulnérabilités, aux techniques et procédures, aux indicateurs de compromission, aux tactiques, techniques et procédures adverses, ainsi que des informations spécifiques sur les acteurs de la menace, des alertes de cybersécurité et des recommandations concernant la configuration des outils de cybersécurité pour détecter les cyberattaques, lorsque ce partage d’informations :

1° Vise à prévenir et à détecter les incidents, à y réagir, à s’en rétablir ou à atténuer leur impact ;

2° Renforce le niveau de cybersécurité, notamment en sensibilisant aux cybermenaces, en limitant ou en empêchant leur capacité de se propager, en soutenant une série de capacités de défense, en remédiant aux vulnérabilités et en les révélant, en mettant en œuvre des techniques de détection, d’endiguement et de prévention des menaces, des stratégies d’atténuation ou des étapes de réaction et de rétablissement, ou en encourageant la recherche collaborative en matière de cybermenaces entre les entités publiques et privées.

Cet échange est mis en œuvre au moyen d’accords de partage d’informations en matière de cybersécurité, compte tenu de la nature potentiellement sensible des informations partagées.

Les échanges volontaires des informations prévues au premier alinéa peuvent nécessiter le traitement de certaines catégories de données à caractère personnel, telles que les adresses internet protocol, les localisateurs de ressources uniformes, les noms de domaine, les adresses électroniques, les informations compromises ou encore les horodatages lorsqu’ils révèlent des données à caractère personnel.

Ces traitements de données à caractère personnel sont considérés comme nécessaires à des intérêts légitimes poursuivis par des entités essentielles et importantes, ainsi que par leurs fournisseurs ou prestataires de services, conformément à l’article 6, paragraphe 1, point f), du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE.

Ces accords de partage d’informations précisent les éléments opérationnels, y compris le recours éventuel à des plateformes de technologies de l'information et de la communication spécialisées et d’outils d’automatisation, le contenu et les conditions, notamment de sécurisation renforcée, de ces partages.

Lorsque des autorités publiques ou les centres de réponse aux attaques informatiques participent à ces accords de partage et mettent à disposition tout ou partie des informations  dont elles disposent, elles respectent les conditions prévues par décret en Conseil d’État.

Les entités essentielles et importantes notifient à l’autorité nationale de sécurité des systèmes d’information sans délai indu leur participation aux accords de partage d’informations en matière de cybersécurité visés au présent article lorsqu’elles concluent de tels accords ou, le cas échéant, lorsqu’elles se retirent de ces accords une fois que le retrait prend effet.

Afin de prévenir ou de traiter une atteinte à un système d’information, les organismes publics ou privés visés à l’article 24 de la loi n°   sont autorisés à communiquer les informations nécessaires aux entités essentielles ou importantes concernées.

Les informations partagées sont réputées respecter les législations relatives à la protection des données.

Après l’article L. 2141-7-1 du code de la commande publique, il est inséré un article L. 2141-7-2 ainsi rédigé :

« Art. L. 2141-7-2. – L’acheteur peut exclure de la procédure de passation d’un marché les personnes qui, au cours des trois années précédentes, ont fait l’objet d’une sanction administrative définitive prononcée par une autorité compétente pour un manquement grave aux obligations de sécurité prévues par l’article 32 du règlement (UE) 2016/679 du 27 avril 2016, lorsque ce manquement est susceptible d’affecter la sécurité, la disponibilité ou la résilience des systèmes ou services concernés par le marché.

« L’exclusion ne peut être prononcée lorsque la personne établit, dans les conditions prévues à l’article L. 2141-11, qu’elle a pris des mesures correctrices suffisantes pour démontrer sa fiabilité et prévenir la réitération du manquement. »

Après l’article L. 2141-7 du code de la commande publique, il est inséré un article L. 2141-7-2 ainsi rédigé :

« Art. L. 2141-7-2. – L’acheteur peut exclure de la procédure de passation d’un marché les personnes qui, au cours des trois années précédentes, ont fait l’objet d’une sanction administrative définitive prononcée par une autorité compétente pour un manquement grave aux obligations de sécurité prévues par l’article 32 du règlement (UE) 2016/679 du 27 avril 2016, lorsque ce manquement est susceptible d’affecter la sécurité, la disponibilité ou la résilience des systèmes ou services concernés par le marché.

« L’exclusion ne peut être prononcée lorsque la personne établit, dans les conditions prévues à l’article L. 2141-11, qu’elle a pris des mesures correctrices suffisantes pour démontrer sa fiabilité et prévenir la réitération du manquement. »

Les entités essentielles et importantes ainsi que, le cas échéant, leurs fournisseurs ou prestataires de services peuvent échanger entre eux, à titre volontaire, au sein de communautés, des informations pertinentes en matière de cybersécurité, y compris des informations relatives aux cybermenaces, aux incidents évités ou non, aux vulnérabilités, aux techniques et procédures, aux indicateurs de compromission, aux tactiques, techniques et procédures adverses, ainsi que des informations spécifiques sur les acteurs de la menace, des alertes de cybersécurité et des recommandations concernant la configuration des outils de cybersécurité pour détecter les cyberattaques, lorsque ce partage d’informations :

1° Vise à prévenir et à détecter les incidents, à y réagir, à s’en rétablir ou à atténuer leur impact ;

2° Renforce le niveau de cybersécurité, notamment en sensibilisant aux cybermenaces, en limitant ou en empêchant leur capacité de se propager, en soutenant une série de capacités de défense, en remédiant aux vulnérabilités et en les révélant, en mettant en œuvre des techniques de détection, d’endiguement et de prévention des menaces, des stratégies d’atténuation ou des étapes de réaction et de rétablissement, ou en encourageant la recherche collaborative en matière de cybermenaces entre les entités publiques et privées.

Cet échange est mis en œuvre au moyen d’accords de partage d’informations en matière de cybersécurité, compte tenu de la nature potentiellement sensible des informations partagées.

Les échanges volontaires des informations prévues au premier alinéa peuvent nécessiter le traitement de certaines catégories de données à caractère personnel, telles que les adresses internet protocol, les localisateurs de ressources uniformes, les noms de domaine, les adresses électroniques, les informations compromises ou encore les horodatages lorsqu’ils révèlent des données à caractère personnel.

Ces traitements de données à caractère personnel sont considérés comme nécessaires à des intérêts légitimes poursuivis par des entités essentielles et importantes, ainsi que par leurs fournisseurs ou prestataires de services, conformément à l’article 6, paragraphe 1, point f du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE.

Ces accords de partage d’informations précisent les éléments opérationnels, y compris le recours éventuel à des plateformes de technologies de l’information et de la communication spécialisées et d’outils d’automatisation, le contenu et les conditions, notamment de sécurisation renforcée, de ces partages.

Lorsque des autorités publiques ou les centres de réponse aux attaques informatiques participent à ces accords de partage et mettent à disposition tout ou partie des informations dont elles disposent, elles respectent les conditions prévues par décret en Conseil d’État.

Les entités essentielles et importantes notifient à l’autorité nationale de sécurité des systèmes d’information sans délai indu leur participation aux accords de partage d’informations en matière de cybersécurité visés au présent article lorsqu’elles concluent de tels accords ou, le cas échéant, lorsqu’elles se retirent de ces accords une fois que le retrait prend effet.

Après l’alinéa 1, insérer l’alinéa suivant :

« Pour les très petites entreprises et les petites et moyennes entreprises, telles que définies par la législation européenne, le délai imparti ne peut être inférieur à trois mois, sauf en cas de menace grave et immédiate. »

Supprimer l’alinéa 9.

I. – À l’alinéa 9, substituer aux mots :

« peuvent concourir à la recherche des manquements mentionnés au premier alinéa du présent article »,

les mots :

« ne peuvent intervenir qu’à titre consultatif, ».

II. – En conséquence, au même alinéa 9, supprimer le mot :

« même ».

III. – En conséquence, compléter ledit alinéa 9 par les mots : 

« du présent article. »

IV – En conséquence, compléter le même alinéa 9 par la phrase suivante :

« La constatation des manquements relève exclusivement de ces derniers. »

Compléter cet article par l’alinéa suivant :

« Un décret en Conseil d’État fixe les critères de délégation des audits par l’autorité nationale de sécurité des systèmes d’information à un organisme indépendant qu’elle aura désigné et les circonstances susceptibles d’exonérer l’entité contrôlée du coût du contrôle. ».

Rédiger ainsi cet article :

« À l’avant-dernier alinéa de l’article L. 103 du code des postes et des communications électroniques, les mots : « établie selon un » sont remplacés par les mots : « lorsqu’il répond aux prescriptions d’un ». ».

I. – À l’alinéa 1, substituer aux mots :

« et personnels mentionnés à »

les mots :

« , personnels et experts mentionnés au premier et au neuvième alinéas de ».

II. – En conséquence, à l’alinéa 2, substituer aux mots :

« et personnels »

les mots :

« , personnels et experts ».

III. – En conséquence, après le même alinéa 2, insérer l’alinéa suivant :

« Ils peuvent, dans la limite de leur habilitation : ».

IV. – En conséquence, à l’alinéa 8, substituer aux mots :

« et personnels »,

les mots :

« , personnels et experts ».

V. – En conséquence, à l’alinéa 9, substituer aux mots :

« et personnels »,

les mots :

« , personnels ainsi que les experts, ».

I. – À l’alinéa 1, substituer aux mots :

« et personnels mentionnés à »

les mots :

« , personnels et experts mentionnés au premier et au neuvième alinéas de ».

II. – En conséquence, à l’alinéa 2, substituer aux mots :

« et personnels »

les mots :

« , personnels et experts ».

III. – En conséquence, après le même alinéa 2, insérer l’alinéa suivant :

« Ils peuvent, dans la limite de leur habilitation : ».

IV. – En conséquence, à l’alinéa 8, substituer aux mots :

« et personnels »,

les mots :

« , personnels et experts ».

V. – En conséquence, à l’alinéa 9, substituer aux mots :

« et personnels »,

les mots :

« , personnels ainsi que les experts, ».

À la fin de l’alinéa 2, substituer aux mots :

« sont habilités à : »,

les mots :

« aux lieux d’exécution d’une prestation de services. »

À la fin de l’alinéa 2, substituer aux mots :

« sont habilités à : »,

les mots :

« aux lieux d’exécution d’une prestation de services. »

À l’alinéa 3, supprimer les mots :

« nécessaire à l’accomplissement de leur mission ».

À l’alinéa 3, substituer au mot :

« à »,

les mots :

« aux contrôles. À ce titre, ils peuvent exiger la communication de documents de toute nature, propres à faciliter ».

À l’alinéa 3, substituer au mot :

« à »,

les mots :

« aux contrôles. À ce titre, ils peuvent exiger la communication de documents de toute nature, propres à faciliter ».

I. – À l’alinéa 8, après le mot :

« contrôle, »,

insérer le mot :

« ni ».

II. – En conséquence, au même alinéa 8, après le mot : 

« professionel »,

insérer les mots :

« ni la confidentialité des consultations juridiques prévue à l’article 58‑1 de la loi n° 71‑1130 du 31 décembre 1971 portant réforme de certaines professions judiciaires et juridiques ».

III. – En conséquence, audit alinéa 8, substituer aux mots :

« peut être opposé »

les mots : 

« peuvent être opposés ».

IV. – En conséquence, compléter l’alinéa 8 par la phrase suivante :

« Par dérogation aux dispositions de l’article 58‑1 de la loi n° 71‑1130 du 31 décembre 1971 portant réforme de certaines professions judiciaires et juridiques, il ne peut être opposé la confidentialité des consultations juridiques. »

Après l’alinéa 9, insérer l’alinéa suivant : 

« Lorsque les documents sont soumis au secret professionnel, les agents ne peuvent que les consulter sur place. Ils ne peuvent ni les retranscrire ni les copier. »

Après l’alinéa 9, insérer l’alinéa suivant : 

« Seuls les documents et éléments nécessaires à l’instruction peuvent être enregistrés, retranscrits ou copiés. Tout autre document, ou éléments enregistrés, retranscrits ou recopiés sont supprimés sans délai à partir du moment où il est constaté qu’ils ne sont plus nécessaires à l’instruction. »

I. – Compléter l’alinéa 2 par les mots :

« les plafonds prévus à l’article 37 en cas de manquements aux obligations, prescriptions ou exigences pour lesquelles le contrôle est mené ».

II. – En conséquence, supprimer les alinéas 3 et 4.

I. – Compléter l’alinéa 2 par les mots :

« les plafonds prévus à l’article 37 en cas de manquements aux obligations, prescriptions ou exigences pour lesquelles le contrôle est mené ».

II. – En conséquence, supprimer les alinéas 3 et 4.

I. – Compléter l’alinéa 2 par les mots :

« les plafonds prévus à l’article 37 en cas de manquements aux obligations, prescriptions ou exigences pour lesquelles le contrôle est mené ».

II. – En conséquence, supprimer les alinéas 3 et 4.

À l’alinéa 2, après le mot :

« obstacle »,

insérer les mots :

« de façon délibérée ».

Après l’alinéa 4, insérer l’alinéa suivant :

« L’amende prévue au deuxième alinéa n’est pas prononcée à l’encontre de la personne contrôlée qui, de bonne foi, a fourni des renseignements incomplets ou inexacts ou communiqué des pièces incomplètes, lorsqu’elle les a rectifiés ou complétés de sa propre initiative ou dans le délai que lui ont imparti les agents et personnels mentionnés à l’article 26. Cette amende peut toutefois être prononcée, sans invitation préalable à régulariser, en cas de mauvaise foi ou de manœuvre frauduleuse. »

Compléter l’alinéa 6 par les mots : 

« ni aux collectivités territoriales, à leurs groupements et à leurs établissements publics administratifs ».

Compléter cet article par l’alinéa suivant :

« L’amende administrative prévue au présent article ne peut être prononcée à l’encontre des collectivités territoriales, de leurs groupements et de leurs établissements publics administratifs. »

I. – À l’alinéa 4, substituer aux mots :

« organisme indépendant désigné »,

les mots :

« prestataire de service qualifié ».

II. – En conséquence, compléter le même alinéa 4 par les mots :

« que la personne contrôlée choisit, ou des essais et analyses réalisés par un organisme indépendant désigné par cette autorité ; ».

III. – En conséquence, compléter l’alinéa 6 par les mots :

« réalisés par l’autorité nationale de sécurité des systèmes d’information ».

IV. – En conséquence, après le même alinéa 6, insérer l’alinéa suivant :

« 5° Des audits en cas d’incident important ou d’une violation des obligations mentionnées à l’article 26 réalisés par un prestataire de service qualifié par l’autorité nationale de sécurité des systèmes d’information que la personne contrôlée choisit. »

V. – En conséquence, à la seconde phrase de l’alinéa 7, après la référence :

« 2°bis »,

insérer les mots :

« et au 5° ».

VI. – En conséquence, supprimer l’alinéa 8.

I. – À l’alinéa 4, substituer aux mots :

« organisme indépendant désigné »,

les mots :

« prestataire de service qualifié ».

II. – En conséquence, compléter le même alinéa 4 par les mots :

« que la personne contrôlée choisit, ou des essais et analyses réalisés par un organisme indépendant désigné par cette autorité ; ».

III. – En conséquence, compléter l’alinéa 6 par les mots :

« réalisés par l’autorité nationale de sécurité des systèmes d’information ».

IV. – En conséquence, après le même alinéa 6, insérer l’alinéa suivant :

« 5° Des audits en cas d’incident important ou d’une violation des obligations mentionnées à l’article 26 réalisés par un prestataire de service qualifié par l’autorité nationale de sécurité des systèmes d’information que la personne contrôlée choisit. »

V. – En conséquence, à la seconde phrase de l’alinéa 7, après la référence :

« 2°bis »,

insérer les mots :

« et au 5° ».

VI. – En conséquence, supprimer l’alinéa 8.

Compléter l’alinéa 4 par les mots :

« et dont le siège statutaire, l’administration centrale et le principal établissement sont situés dans un État membre de l’Union européenne ».

Après l’alinéa 6, insérer l’alinéa suivant :

« À l’égard des entités importantes, les mesures mentionnées aux 1° à 4° ne sont mises en œuvre qu’a posteriori, lorsque l’autorité nationale de sécurité des systèmes d’information dispose d’éléments de preuve, d’indications ou d’informations selon lesquels l’entité ne respecterait pas les obligations qui lui incombent en application du présent titre. Les audits de sécurité mentionnés aux 2° et 2° bis réalisés à leur égard sont des audits ciblés. »

Compléter l’alinéa 7 par la phrase suivante :

« Ce coût ne s’applique pas aux collectivités territoriales, à leurs groupements et à leurs établissements publics administratifs. »

Compléter l’alinéa 7 par la phrase suivante :

« L’autorité nationale de sécurité des systèmes d’information tient compte, pour l’exercice de cette faculté, de la situation financière des collectivités territoriales, de leurs groupements et de leurs établissements publics administratifs. »

I. – À l’alinéa 1, après le mot :

« section »,

insérer les mots :

« et le calendrier d’application progressif et différencié des mesures de contrôles en fonction du niveau de préparation des entités concernées et du niveau de priorité des exigences de mise en conformité ».

II. – En conséquence, au même alinéa 1, substituer au mot :

« fixées »,

le mot :

« déterminés ».

Après le mot :

« section »,

insérer les mots :

« , notamment les modalités de coordination des contrôles avec la Commission nationale de l’informatique et des libertés, ».

I. – À la fin de l’alinéa 7, substituer aux mots :

« et qui ne peut être inférieur à un mois, sauf en cas de manquement grave ou répété »,

les mots :

« en fonction de la gravité des manquements, de l’ampleur des mesures à mettre en œuvre et des moyens de la personne contrôlée ».

II. – En conséquence, après le même alinéa 7, insérer l’alinéa suivant :

« Ce délai ne peut excéder six mois pour justifier de l’engagement effectif des mesures de mise en conformité ni être inférieur à un mois, sauf en cas de manquement grave ou répété. »

Après l’alinéa 9, insérer l’alinéa suivant :

« Par dérogation aux alinéas précédents, lors de son contrôle, l’autorité nationale de sécurité des systèmes d’information peut enjoindre sans délai à la personne contrôlée de prendre toutes les mesures conservatoires nécessaires à faire cesser des manquements susceptibles de porter atteinte aux intérêts fondamentaux de la Nation, à la sécurité nationale, à la continuité des services essentiels ou à la protection des données sensibles. »

Compléter l’alinéa 10 par la phrase suivante :

« L’autorité nationale de la sécurité des systèmes d’information peut décider de rendre publique cette mesure d’exécution. »

I. – À la seconde phrase de l’alinéa 11, substituer au mot :

« procède »,

les mots :

« peut procéder ».

II. – En conséquence, compléter le même alinéa 11 par la phrase suivante :

« Elle tient compte, pour déterminer le montant total de l’astreinte liquidée, des circonstances de l’espèce. »

I. – À la seconde phrase de l’alinéa 11, substituer au mot :

« procède »,

les mots :

« peut procéder ».

II. – En conséquence, compléter le même alinéa 11 par la phrase suivante :

« Elle tient compte, pour déterminer le montant total de l’astreinte liquidée, des circonstances de l’espèce. »

I. – À la seconde phrase de l’alinéa 11, substituer au mot :

« procède »,

les mots :

« peut procéder ».

II. – En conséquence, compléter le même alinéa 11 par la phrase suivante :

« Elle tient compte, pour déterminer le montant total de l’astreinte liquidée, des circonstances de l’espèce, notamment de la taille de l’entité, de ses capacités humaines, techniques et financières, des diligences accomplies pour se conformer à la mesure d’exécution et des difficultés rencontrées dans sa mise en œuvre. »

Compléter cet article par l’alinéa suivant :

« Lorsque la personne contrôlée est une collectivité territoriale, un groupement de collectivités territoriales ou l’un de leurs établissements publics administratifs et qu’elle ne s’est pas conformée à la mesure d’exécution dans le délai imparti, l’autorité nationale de sécurité des systèmes d’information peut rendre publics la mesure d’exécution et le manquement constaté, dans des conditions qui préservent la confidentialité des informations dont la divulgation porterait atteinte à la sécurité des systèmes d’information ou aux intérêts de la défense et de la sécurité nationale. »

Compléter cet article par l’alinéa suivant :

« Lorsque la personne contrôlée est une administration de l’État ou l’un de ses établissements publics administratifs, les mesures d’exécution adoptées en application du présent article sont transmises aux commissions permanentes compétentes de l’Assemblée nationale et du Sénat, dans des conditions qui préservent la confidentialité des informations dont la divulgation porterait atteinte à la sécurité des systèmes d’information ou aux intérêts de la défense et de la sécurité nationale. »

Compléter l’alinéa 2 par la phrase suivante :

« La notification des griefs mentionne la saisine de la commission des sanctions et informe la personne contrôlée de son droit de prendre connaissance du dossier et de présenter ses observations devant cette commission. »

Compléter cet article par l’alinéa suivant :

« La suspension d’une certification ou d’une autorisation ne peut concerner les services vitaux à la survie de l’entité lorsque celle-ci est une très petite entreprise ou une petite ou moyenne entreprise, telle que définie par la législation européenne, sauf en cas de menace grave et immédiate. »

Substituer aux mots :

« découlant de l’application du chapitre II du présent titre et du présent chapitre »,

les mots :

« , prescriptions et exigences prévues par les textes mentionnés aux 1° à 6° de l’article 26 ».

Substituer aux mots :

« découlant de l’application du chapitre II du présent titre et du présent chapitre »,

les mots :

« , prescriptions et exigences prévues par les textes mentionnés aux 1° à 6° de l’article 26 ».

À l’alinéa 1, substituer aux mots :

« aux obligations découlant de l’application du chapitre II du présent titre et du présent chapitre »,

les mots :

« mentionnés à l’article 35 ».

À l’alinéa 1, substituer aux mots :

« aux obligations découlant de l’application du chapitre II du présent titre et du présent chapitre »,

les mots :

« mentionnés à l’article 35 ».

Après l’alinéa 2, insérer l’alinéa suivant :

« 1° bis Un représentant du ministère compétent du secteur d’activité auquel appartient l’entité pour laquelle la commission est saisie ; »

Compléter l’alinéa 3 par la phrase suivante :

« Ces personnalités ne peuvent avoir exercé, au cours des trois années précédant leur nomination, une activité au sein de l’une des personnes mentionnées aux articles 8 et 9 ni au sein de l’autorité nationale de sécurité des systèmes d’information. »

I. – À l’alinéa 1, après le mot :

« manquement »,

insérer le mot :

« constaté ».

II. – En conséquence, au même alinéa 1, substituer aux mots :

« prévues au présent titre »,

les mots :

« , prescriptions et exigences prévues par les dispositions mentionnées au 3° et 4° bis de l’article 26 ».

III. – En conséquence, à la première phrase de l’alinéa 4, après la référence :

« chapitre II »,

insérer les mots :

« du titre II ».

IV. – En conséquence, compléter la même première phrase du même alinéa 4 par les mots :

« , le montant le plus élevé étant retenu ».

V. – En conséquence, compléter l’alinéa 7 par les mots :

« ou aux obligations prévues au présent chapitre ».

VI. – En conséquence, à la fin de l’alinéa 8, substituer aux mots :

« exigences mentionnées aux 2°, 4°, 5° et 6° de l’article 26 de la présente loi »,

les mots :

« obligations, prescriptions et exigences prévues par les dispositions mentionnées aux 2°, 4°, 5° et 6° de l’article 26 et par le présent chapitre ».

I. – À l’alinéa 1, après le mot :

« manquement »,

insérer le mot :

« constaté ».

II. – En conséquence, au même alinéa 1, substituer aux mots :

« prévues au présent titre »,

les mots :

« , prescriptions et exigences prévues par les dispositions mentionnées au 3° et 4° bis de l’article 26 ».

III. – En conséquence, à la première phrase de l’alinéa 4, après la référence :

« chapitre II »,

insérer les mots :

« du titre II ».

IV. – En conséquence, compléter la même première phrase du même alinéa 4 par les mots :

« , le montant le plus élevé étant retenu ».

V. – En conséquence, compléter l’alinéa 7 par les mots :

« ou aux obligations prévues au présent chapitre ».

VI. – En conséquence, à la fin de l’alinéa 8, substituer aux mots :

« exigences mentionnées aux 2°, 4°, 5° et 6° de l’article 26 de la présente loi »,

les mots :

« obligations, prescriptions et exigences prévues par les dispositions mentionnées aux 2°, 4°, 5° et 6° de l’article 26 et par le présent chapitre ».

I. – À l’alinéa 2, supprimer les mots :

« des collectivités territoriales, de leurs groupements et de leurs établissements publics administratifs, ».

II. – En conséquence, à l’alinéa 3, supprimer les mots :

« des collectivités territoriales, de leurs groupements et de leurs établissements publics administratifs, ».

III. – En conséquence, après l’alinéa 4, insérer l’alinéa suivant :

« En cas de manquement aux obligations prévues au présent titre, la commission des sanctions enjoint aux collectivités territoriales de mettre en place un plan de remédiation dans un délai d’une semaine à compter de la constatation du manquement. Si le plan de remédiation n’a pas été mis en place, la commission des sanctions peut prononcer à l’encontre de la collectivité territoriale une amende administrative dont le montant, proportionné à la gravité du manquement, ne peut excéder 10 millions d’euros. ».

À l’alinéa 2, substituer à la référence :

« 1333‑2 »,

la référence :

« L. 1333‑2 ».

Après l’alinéa 4, insérer l’alinéa suivant :

« En cas de manquement aux obligations prévues au présent titre, la commission des sanctions enjoint aux collectivités territoriales de mettre en place, en bénéficiant de l'expertise de l’autorité nationale de sécurité des systèmes d’information, un plan de remédiation dans un délai de trois mois à compter de la constatation du manquement. Si le plan de remédiation n’a pas été mis en place dans le délai imparti, la commission des sanctions peut enjoindre la collectivité territoriale concernée de le présenter lors de la prochaine réunion de l'assemblée délibérante de la collectivité concernée, et de le rendre public. En cas de manquement à l'obligation de notification à l’autorité nationale de sécurité des systèmes d’information d'un incident important tel que définit à l'article 17 du présent projet de loi, un rapport d'incident doit être présenté concomitamment au plan de remédiation. » 

Après l’alinéa 5, insérer l’alinéa suivant :

« I bis. – En cas de manquement par les collectivités territoriales, leurs groupements et leurs établissements publics administratifs aux obligations du présent titre, la commission des sanctions peut, conformément aux dispositions applicables du code général des collectivités territoriales, saisir la chambre régionale des comptes qui peut les mettre en demeure, puis demander au préfet d’inscrire ces crédits à leur budget. »

Après l’alinéa 5, insérer l’alinéa suivant :

« I bis. – En cas de manquement par les collectivités territoriales, leurs groupements et leurs établissements publics administratifs aux obligations du présent titre, la commission des sanctions peut, conformément aux dispositions applicables du code général des collectivités territoriales, saisir la chambre régionale des comptes qui peut les mettre en demeure, puis demander au préfet d’inscrire ces crédits à leur budget. »

Compléter la première phrase de l’alinéa 13 par les mots : 

« ou au plus tard deux ans après l’interdiction ».

I. – Après qu’une entité visée à l’article 37 a fait l’objet d’au moins une sanction au titre du même article dans les douze derniers mois et en cas de manquements répétés aux obligations prévues par le présent titre, ou lorsque ces manquements font peser un risque grave sur la continuité d’un service essentiel ou un risque grave de fuite de données personnelles, la commission des sanctions peut, sur autorisation du tribunal administratif, nommer un administrateur provisoire chargé de superviser les systèmes d’information de ladite entité, pour une durée maximale de douze mois, renouvelable une fois dans les mêmes conditions.

Le tribunal administratif est saisi par la commission des sanctions, ou, en cas d’urgence, par le directeur de l’Agence nationale de la sécurité des systèmes d’information. Le tribunal statue dans un délai de sept jours.

La tutelle ne porte que sur les systèmes d’information et leurs composantes de sécurité. Elle ne peut s’étendre aux autres secteurs d’activité de l’entité.

II. – L’administrateur provisoire est nommé parmi les agents de l’Agence nationale de la sécurité des systèmes d’information habilités. Il dispose des pouvoirs nécessaires à l’accomplissement de ses missions, notamment l’accès complet au système d’information, ainsi que le pouvoir de prendre les mesures de modification nécessaires pour garantir la sécurité dudit système. Il nomme et gère les agents de l’entité concernée pour mener à bien sa mission.

III. – L’administrateur et l’ensemble des agents extérieurs à l’entité qui participent à la gestion de la tutelle sont tenus à la confidentialité.

Sans préjudice des autres obligations de confidentialité prévues par la loi, toute divulgation d’éléments relatifs à l’activité de la tutelle, quelle qu’en soit la forme, est punie des peines prévues à l’article 226‑13 du code pénal.

IV. – La fin de la tutelle peut être prononcée à tout moment par l’Agence nationale de sécurité des systèmes d’information sur demande de l’administrateur. L’entité concernée peut saisir le tribunal administratif pour mettre fin à la tutelle. Il peut y être mis fin par le tribunal administratif, que si l’entité démontre qu’elle est en conformité avec les exigences prévues par le titre II de la présente proposition de loi.

V. – Les frais de tutelle sont entièrement pris en charge par l’entité concernée. Ces frais incluent notamment le remboursement du salaire de l’administrateur et des agents de l’Agence nationale de sécurité des systèmes d’information en gestion de la tutelle.

VI. – Les dispositions du présent article s’appliquent aux entités établies sur le territoire national quelle que soit leur nationalité. Sous réserve des conventions internationales, la tutelle ne peut viser que les systèmes d’information accessibles depuis le territoire national.

VII. – Un décret pris en Conseil d’État précise les modalités d’application de la présente proposition de loi.

I. – Après l’article L. 131‑14 du code des juridictions financières, il est inséré un article L. 131‑14‑1 ainsi rédigé :

« Art. L. 131‑14‑1. – Tout justiciable mentionné à l’article L. 131‑1 qui, destinataire d’une mise en demeure notifiée en application du I de l’article 37 ter de la loi n° du relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, s’est abstenu, par une faute grave, de prendre dans le délai imparti les mesures relevant de ses fonctions pour remédier aux manquements constatés, est passible de l’amende prévue à l’article L. 131‑16.

« La gravité de la faute s’apprécie notamment au regard de l’exposition au risque de l’organisme, de la sensibilité des données et des services concernés, des diligences accomplies, des moyens dont disposait l’intéressé, des alertes qu’il a adressées à sa hiérarchie et des conséquences d’un éventuel incident important. »

II. – Lorsque l’autorité nationale de sécurité des systèmes d’information constate, à l’occasion d’un contrôle mentionné au chapitre III du titre II, qu’une administration de l’État, une collectivité territoriale, un groupement de collectivités territoriales ou l’un de leurs établissements publics administratifs méconnaît les obligations prévues aux articles 14 et 17, elle met en demeure l’autorité dirigeante de l’organisme d’y remédier dans un délai qu’elle fixe. Ce délai ne peut être inférieur à trois mois, sauf en cas de manquement grave ou d’urgence.

La mise en demeure précise les manquements constatés, les mesures attendues et les personnes chargées de leur mise en œuvre. Elle est notifiée à l’autorité dirigeante et aux personnes ainsi désignées, qui peuvent présenter leurs observations.

III. – À l’expiration du délai, l’autorité nationale de sécurité des systèmes d’information constate si l’organisme s’est conformé à la mise en demeure. À défaut, elle en informe le ministère public près la Cour des comptes et lui transmet la mise en demeure et ses constats.

I. – Après l’article L. 131‑14 du code des juridictions financières, il est inséré un article L. 131‑14‑1 ainsi rédigé :

« Art. L. 131‑14‑1. – Tout justiciable mentionné à l’article L. 131‑1 qui, destinataire d’une mise en demeure notifiée en application du I de l’article 37 ter de la loi n° du relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, s’est abstenu, par une faute grave, de prendre dans le délai imparti les mesures relevant de ses fonctions pour remédier aux manquements constatés, est passible de l’amende prévue à l’article L. 131‑16.

« La gravité de la faute s’apprécie notamment au regard de l’exposition au risque de l’organisme, de la sensibilité des données et des services concernés, des diligences accomplies, des moyens dont disposait l’intéressé, des alertes qu’il a adressées à sa hiérarchie et des conséquences d’un éventuel incident important. »

II. – Lorsque l’autorité nationale de sécurité des systèmes d’information constate, à l’occasion d’un contrôle mentionné au chapitre III du titre II, qu’une administration de l’État, une collectivité territoriale, un groupement de collectivités territoriales ou l’un de leurs établissements publics administratifs méconnaît les obligations prévues aux articles 14 et 17, elle met en demeure l’autorité dirigeante de l’organisme d’y remédier dans un délai qu’elle fixe. Ce délai ne peut être inférieur à trois mois, sauf en cas de manquement grave ou d’urgence.

La mise en demeure précise les manquements constatés, les mesures attendues et les personnes chargées de leur mise en œuvre. Elle est notifiée à l’autorité dirigeante et aux personnes ainsi désignées, qui peuvent présenter leurs observations.

III. – À l’expiration du délai, l’autorité nationale de sécurité des systèmes d’information constate si l’organisme s’est conformé à la mise en demeure. À défaut, elle en informe le ministère public près la Cour des comptes et lui transmet la mise en demeure et ses constats.

I. – Pour chaque entité essentielle ou importante mentionnée au 7°, 10° de l’article 8 ou aux 4°, 6°, 6° bis, 6° ter ou 5°, 7° de l’article 9 qui est une administration de l’État ou une personne morale de droit public, l’autorité exécutive de l’entité désigne, parmi les agents occupant un emploi de direction, un responsable de la mise en œuvre des mesures prévues à l’article 14. Elle communique son identité à l’autorité nationale de sécurité des systèmes d’information.

II. – Lorsqu’il estime que les moyens nécessaires à la mise en œuvre de ces mesures font défaut, ce responsable en informe par écrit l’autorité exécutive de l’entité. Lorsque l’entité est une collectivité territoriale ou un groupement de collectivités territoriales, cette information est portée à la connaissance de l’assemblée délibérante lors de sa plus prochaine réunion.

III. – Lorsque la commission des sanctions constate un manquement d’une entité mentionnée au I aux obligations prévues aux articles 14 ou 17, ou l’inexécution d’une mesure prise en application de l’article 31, elle transmet sa décision à l’autorité investie du pouvoir disciplinaire. Celle-ci se prononce, dans un délai de deux mois et par une décision motivée, sur l’engagement de poursuites disciplinaires à l’encontre du responsable mentionné au I et des autres agents dont les agissements ou les abstentions ont concouru au manquement. Elle informe la commission des sanctions de sa décision. L’information adressée par le responsable en application du II est prise en compte pour l’appréciation de sa responsabilité.

IV. – La décision de la commission des sanctions mentionnée au III est rendue publique, dans des conditions qui ne portent pas atteinte à la sécurité des systèmes d’information de l’entité. Lorsque l’entité est une collectivité territoriale ou un groupement de collectivités territoriales, elle est communiquée à l’assemblée délibérante, qui en débat lors de sa plus prochaine réunion. Lorsque l’entité relève de l’État, elle est communiquée aux commissions permanentes compétentes de l’Assemblée nationale et du Sénat.

I. – Pour chaque entité essentielle ou importante mentionnée au 7°, 10° de l’article 8 ou aux 4°, 6°, 6° bis, 6° ter ou 5°, 7° de l’article 9 qui est une administration de l’État ou une personne morale de droit public, l’autorité exécutive de l’entité désigne, parmi les agents occupant un emploi de direction, un responsable de la mise en œuvre des mesures prévues à l’article 14. Elle communique son identité à l’autorité nationale de sécurité des systèmes d’information.

II. – Lorsqu’il estime que les moyens nécessaires à la mise en œuvre de ces mesures font défaut, ce responsable en informe par écrit l’autorité exécutive de l’entité. Lorsque l’entité est une collectivité territoriale ou un groupement de collectivités territoriales, cette information est portée à la connaissance de l’assemblée délibérante lors de sa plus prochaine réunion.

III. – Lorsque la commission des sanctions constate un manquement d’une entité mentionnée au I aux obligations prévues aux articles 14 ou 17, ou l’inexécution d’une mesure prise en application de l’article 31, sa décision est rendue publique, dans des conditions qui ne portent pas atteinte à la sécurité des systèmes d’information de l’entité. Lorsque l’entité est une collectivité territoriale ou un groupement de collectivités territoriales, elle est communiquée à l’assemblée délibérante, qui en débat lors de sa plus prochaine réunion. Lorsque l’entité relève de l’État, elle est communiquée aux commissions permanentes compétentes de l’Assemblée nationale et du Sénat.

Supprimer cet article.

I. – À l’alinéa 19, substituer à la référence :

« 45‑4 »,

la référence :

« L. 45‑4 ».

II. – En conséquence, à l’alinéa 20, substituer à la référence :

« 2° ter »,

la référence :

« 1° bis ».

À l’alinéa 20, substituer à la référence :

« 2° ter »,

la référence :

« 1° bis ».

Après l’alinéa 39, insérer les cinq alinéas suivants :

« VI bis. – L’article L. 212‑2 du code des relations entre le public et à l’administration est ainsi modifié :

« 1° Le 1° est ainsi modifié :

« a) Les mots : « aux articles 9 à 12 » sont remplacés par les mots : « l’article 11 » ;

« b) Après la troisième occurrence du mot : « administratives », sont insérés les mots : « ainsi qu’à celles relatives aux exigences spécifiques à l’égard des systèmes d’information permettant des échanges d’informations par voie électronique avec le public et d’autres administrations mentionnées au troisième alinéa de l’article 16 de la loi n° du relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité » ;

« 2° Au 2°, les mots : « aux articles 9, 11 et 12 » sont remplacés par les mots : « à l’article 11 ». »

Après l’alinéa 39, insérer l’alinéa suivant :

« VI bis. – À la fin du premier alinéa de l’article L. 112‑11 du code des relations entre le public et à l’administration, les mots : « règles fixées par le référentiel général de sécurité mentionné au I de l’article 9 de l’ordonnance précitée » sont remplacés par les mots : « exigences spécifiques à l’égard des systèmes d’information permettant des échanges d’informations par voie électronique avec le public et d’autres administrations mentionnées au troisième alinéa de l’article 16 de la loi n° du relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité ». »

À l’alinéa 6, après le mot :

« mêmes »,

insérer les mots :

« directive et ».

À l’alinéa 6, après le mot :

« mêmes »,

insérer les mots :

« directive et ».

Supprimer cet article.

Supprimer cet article.

I. – À l’alinéa 1, après le mot : 

« et »,

insérer le mot : 

« des ».

II. – En conséquence, à la fin de l’alinéa 39, substituer aux mots :

« du 31 décembre 2025 »,

les mots :

« à l’expiration d’un délai d’un an à compter de la promulgation de la présente loi ».

Après l’article 42 , insérer un article ainsi rédigé : “Dans les trois mois à compter de la promulgation de la présente loi, le Gouvernement présente au Parlement un rapport sur la protectio cyber de nos satellites et de leur segments sol".

I. – Au début de l’alinéa 3, substituer au chiffre :

« 2 »,

la référence :

« 2° ».

II. – En conséquence, à l’alinéa 4, après le mot :

« modifiant »,

insérer les mots :

« les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011 ».

III. – En conséquence, à l’alinéa 5, substituer aux mots :

« l’Union modifiant, »,

les mots :

« l’Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2), ».

I. – Au début de l’alinéa 4, substituer au mot : 

« En »

les mots : 

« Pour l’ ». 

II. – En conséquence, au même alinéa 4, supprimer les mots : 

« soumises à ce règlement ».

I. – Compléter l’alinéa 4 par la phrase suivante :

« Cette transmission à l’autorité nationale de sécurité des systèmes d’information est effectuée dans des conditions équivalentes aux conditions de déclaration des incidents majeurs à l’Autorité de contrôle prudentiel et de résolution en application du règlement 2022/2554 et, notamment, dans des conditions de contenu et de format identiques. »

II. – En conséquence, compléter l’alinéa 6 par la phrase suivante :

« Cette transmission à l’autorité nationale de sécurité des systèmes d’information est effectuée dans des conditions équivalentes aux conditions de notification des cybermenaces à l’Autorité de contrôle prudentiel et de résolution en application du règlement 2022/2554 et, notamment, dans des conditions de contenu et de format identiques. »

I. – À la première phrase de l’alinéa 6, substituer aux mots : 

« peuvent adresser »,

le mot : 

« adressent ».

II. – En conséquence, compléter la même première phrase du même alinéa 6 par le mot : 

« majeures ».

Après l’alinéa 6, insérer l’alinéa suivant : 

« III. – Les déclarations et notifications mentionnées aux I et II sont réalisées au moyen d’un document unique transmis simultanément à l’Autorité de contrôle prudentiel et de résolution et à l’autorité nationale de sécurité des systèmes d’information. »

Après l’alinéa 6, insérer l’alinéa suivant : 

« III. – Les déclarations et notifications mentionnées aux I et II sont réalisées au moyen d’un document unique transmis simultanément à l’Autorité de contrôle prudentiel et de résolution et à l’autorité nationale de sécurité des systèmes d’information. »

Après l’alinéa 6, insérer l’alinéa suivant :

« III. – Les déclarations et notifications mentionnées aux I et II du présent article sont réalisées par le biais d’un document unique transmis simultanément à l’Autorité de contrôle prudentiel et de résolution et à l’autorité nationale de sécurité des systèmes d’information. »

I. – À l’alinéa 7, substituer aux mots :

« vingt-deuxième »,

les mots :

« vingt-troisième ».

II. – En conséquence, compléter cet article par les six alinéas suivants :

« 4° Après le 5° du III de l’article L. 783‑2, il est inséré un 5° bis ainsi rédigé :

« « 5° bis À l’article L. 612‑24‑1, les références à la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 sont remplacées par les références aux dispositions applicables en métropole en vertu de la directive précitée. » ;

« 5° Après le 5° du III de l’article L. 784‑2, il est inséré un 5° bis ainsi rédigé :

« « 5° bis À l’article L. 612‑24‑1, les références à la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 sont remplacées par les références aux dispositions applicables en métropole en vertu de la directive précitée. » ;

« 6° Après le 3° du III de l’article L. 785‑2, il est inséré un 3° bis ainsi rédigé :

« « 3° bis À l’article L. 612‑24‑1, les références à la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 sont remplacées par les références aux dispositions applicables en métropole en vertu de la directive précitée. ». »

I. – À l’alinéa 7, substituer aux mots :

« vingt-deuxième »,

les mots :

« vingt-troisième ».

II. – En conséquence, compléter cet article par les six alinéas suivants :

« 4° Après le 5° du III de l’article L. 783‑2, il est inséré un 5° bis ainsi rédigé :

« « 5° bis À l’article L. 612‑24‑1, les références à la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 sont remplacées par les références aux dispositions applicables en métropole en vertu de la directive précitée. » ;

« 5° Après le 5° du III de l’article L. 784‑2, il est inséré un 5° bis ainsi rédigé :

« « 5° bis À l’article L. 612‑24‑1, les références à la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 sont remplacées par les références aux dispositions applicables en métropole en vertu de la directive précitée. » ;

« 6° Après le 3° du III de l’article L. 785‑2, il est inséré un 3° bis ainsi rédigé :

« « 3° bis À l’article L. 612‑24‑1, les références à la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 sont remplacées par les références aux dispositions applicables en métropole en vertu de la directive précitée. ». »

Afin d’assurer la mise en oeuvre et l’évaluation de la politique publique spécifique, il est institué auprès du ministre de l’économie un Comité national d’observation des risques cyber dans le secteur de cybersécurité dans le secteur bancaire, financier et assurantiel.

Ce comité a pour mission notamment : 

1° De suivre l’évolution des menaces et incidents de cybersécurité dans le secteur bancaire, financier et assurantiel ;

2° D’évaluer la mise en oeuvre des obligations légales et réglementaires en matière de cybersécurité par les acteurs concernés ;

3° De prévenir les effets induits des mesures de cybersécurité sur les coûts supportés par les usagers, notamment en matière de frais bancaires et assurantiels.

Le comité rend publics annuellement ses travaux de suivi et d’évaluation dans des conditions fixées par arrêté du ministre chargé de l’économie. Sa composition, fixée par arrêté ministériel, comprend notamment :

– des représentants des associations agréées de défense des consommateurs ;

– des représentants des établissements bancaires, financiers et assurantiels ;

– des représentants des autorités de régulation et de contrôle compétentes ;

– un représentant de l’Agence nationale de la sécurité des systèmes d’information.

Les membres du comité siègent à titre gratuit.

I. – À l’alinéa 4, substituer au mot : 

« En »,

les mots : 

« Pour l’ ». 

II. – En conséquence, au même alinéa 4, supprimer les mots :

« soumises à ce règlement ».

III. – En conséquence, à l’alinéa 7, substituer aux mots :

« par le biais »,

les mots :

« au moyen ».

I. – À l’alinéa 4, supprimer les mots :

« et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011 ».

II. – En conséquence, à l’alinéa 5, substituer au mot :

« soumises, »,

le mot :

« soumises ».

III. – En conséquence, au même alinéa 5, substituer au mot :

« importantes, »,

le mot :

« importantes ».

IV. – En conséquence, audit alinéa 5, supprimer les mots :

« modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2), ».

V. – En conséquence, au même alinéa 5, supprimer le mot :

« paragraphe ».

VI. – En conséquence, au même alinéa 5, substituer aux mots :

« (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 précité »,

les mots :

« mentionné à l’alinéa précédent ».

VII. – En conséquence, à la première phrase de l’alinéa 6, supprimer le mot :

« précité ».

VIII. – En conséquence, à la même première phrase du même alinéa 6, supprimer les mots :

« du présent article ».

IX. – En conséquence, supprimer l’alinéa 7.

I. – À l’alinéa 4, supprimer les mots :

« et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011 ».

II. – En conséquence, à l’alinéa 5, substituer au mot :

« soumises, »,

le mot :

« soumises ».

III. – En conséquence, au même alinéa 5, substituer au mot :

« importantes, »,

le mot :

« importantes ».

IV. – En conséquence, audit alinéa 5, supprimer les mots :

« modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2), ».

V. – En conséquence, au même alinéa 5, supprimer le mot :

« paragraphe ».

VI. – En conséquence, au même alinéa 5, substituer aux mots :

« (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 précité »,

les mots :

« mentionné à l’alinéa précédent ».

VII. – En conséquence, à la première phrase de l’alinéa 6, supprimer le mot :

« précité ».

VIII. – En conséquence, à la même première phrase du même alinéa 6, supprimer les mots :

« du présent article ».

IX. – En conséquence, supprimer l’alinéa 7.

I. – Au début de l’alinéa 6, supprimer les mots : 

« En application de l’article L. 631‑1, ».

II. – En conséquence, à la fin de l’alinéa 7, supprimer les mots : 

« en application de l’article L. 631‑1 ».

I. – Les entités mentionnées au présent titre et relevant du champ d’application des chapitres II et IV du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011 recourent en priorité, pour l’externalisation de services de technologies de l’information et de la communication, à des prestataires remplissant les conditions suivantes :

1° Être titulaires, pour la prestation concernée, d’une qualification délivrée par l’autorité nationale de sécurité des systèmes d’information ;

2° Être assujettis en France à l’impôt sur les sociétés au sens de l’article 209 du code général des impôts.

II. – À titre dérogatoire, lorsqu’aucun prestataire ne satisfait, pour le service recherché, aux critères mentionnés au I, l’entité concernée peut recourir à un autre prestataire, sous réserve de l’obtention d’une autorisation expresse de l’autorité de contrôle compétente et après démonstration documentée de l’absence d’offre disponible répondant à ces critères.

I. – Substituer aux alinéas 15 et 16 les XXXX alinéas suivants : 

« 7° Le tableau du second alinéa du I des articles L. 773‑5, L. 774‑5 et L. 775‑5 est ainsi modifé :

a) La huitième ligne est remplacée par trois lignes ainsi rédigées : 

« 

 » ;

b) La ligne :

« 

 »

est remplacée par les trois lignes ainsi rédigées :

« 

 ».

a) Le b) entre en vigueur le 11 janvier 2027.

II. – En conséquence, après l’alinéa 20, insérer les six alinéas suivants : 

« 9° bis A Les articles L. 773‑21, L. 774‑21 et L. 775‑15 sont complétés par un 5° ainsi rédigé :

« 5° L’article L. 521‑10 est ainsi modifié : 

« a) Au I, les mots : « de la Banque de France aux fins de l’accomplissement par celle-ci de ses missions prévues l’article L. 141‑4 » sont remplacés par les mots : « de l’Institut d’émission d’outre-mer au titre de l’avant dernier alinéa de l’article L. 721‑24. »

« b) Le II est ainsi modifié : 

« – à la première phrase, les mots : « la Banque de France » sont remplacés par les mots : « l’Institut d’émission d’outre-mer » ;

« – au début de la seconde phrase, les mots : « la Banque de France » sont remplacés par les mots : « l’Institut d’émission d’outre-mer ». »

I. – Substituer aux alinéas 15 et 16 les XXXX alinéas suivants : 

« 7° Le tableau du second alinéa du I des articles L. 773‑5, L. 774‑5 et L. 775‑5 est ainsi modifé :

a) La huitième ligne est remplacée par trois lignes ainsi rédigées : 

« 

 » ;

b) La ligne :

« 

 »

est remplacée par les trois lignes ainsi rédigées :

« 

 ».

a)       Le b) entre en vigueur le 11 janvier 2027.

II. – En conséquence, après l’alinéa 20, insérer les six alinéas suivants : 

« 9° bis A Les articles L. 773‑21, L. 774‑21 et L. 775‑15 sont complétés par un 5° ainsi rédigé :

« 5° L’article L. 521‑10 est ainsi modifié : 

« a) Au I, les mots : « de la Banque de France aux fins de l’accomplissement par celle-ci de ses missions prévues l’article L. 141‑4 » sont remplacés par les mots : « de l’Institut d’émission d’outre-mer au titre de l’avant dernier alinéa de l’article L. 721‑24. »

« b) Le II est ainsi modifié : 

« – à la première phrase, les mots : « la Banque de France » sont remplacés par les mots : « l’Institut d’émission d’outre-mer » ;

« – au début de la seconde phrase, les mots : « la Banque de France » sont remplacés par les mots : « l’Institut d’émission d’outre-mer ». »

Après le troisième alinéa de l’article L. 354‑1 du code des assurances, sont insérés quatre alinéas ainsi rédigés :

« Les entreprises d’assurance et de réassurance recourent en priorité, pour l’externalisation de services de technologies de l’information et de la communication, à des prestataires remplissant les conditions suivantes :

« 1° Être titulaires, pour la prestation concernée, d’une qualification délivrée par l’autorité nationale de sécurité des systèmes d’information ;

« 2° Être assujettis en France à l’impôt sur les sociétés au sens de l’article 209 du code général des impôts.

« À titre dérogatoire, lorsqu’aucun prestataire ne satisfait, pour le service recherché, aux critères mentionnés aux 1° et 2°, l’entreprise concernée peut recourir à un autre prestataire, sous réserve de l’obtention d’une autorisation expresse de l’autorité de contrôle compétente et après démonstration documentée de l’absence d’offre disponible répondant à ces critères. »

I. – Après l’alinéa 5, insérer l’alinéa suivant : 

« 1° bis A la fin du premier alinéa de l’article L. 12‑10‑1, les mots : « connaissance de l’atteinte par la victime. » sont remplacés par les mots : « déclaration de l’atteinte par la victime à son assureur. »

II. – En conséquence, après l’alinéa 7, insérer l’alinéa suivant :

« 3° Au quatorzième alinéa de l’article L. 194‑1, les mots : « loi n° 2023‑22 du 24 janvier 2023 d’orientation et de programmation du ministère de l’intérieur » sont remplacés par les mots : « loi n°     du     relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité »

À l’alinéa 6, substituer au mot :

« troisième », 

le mot : 

« cinquième ».

Le code des assurances est ainsi modifié :

1° A la fin du premier alinéa de l’article L. 12‑10‑1, les mots : « connaissance de l’atteinte par la victime » sont remplacés par les mots : « déclaration de l’atteinte par la victime à son assureur ». 

2° Au quatorzième et au dernier alinéas l’article L. 194‑1, les mots : « loi n° 2023‑22 du 24 janvier 2023 d’orientation et de programmation du ministère de l’intérieur » sont remplacés par les mots : « loi n° du relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité » 

 Le code des assurances est ainsi modifié :

1° A la fin du premier alinéa de l’article L. 12‑10‑1, les mots : « connaissance de l’atteinte par la victime » sont remplacés par les mots : « déclaration de l’atteinte par la victime à son assureur » ;

2° Au quatorzième alinéa de l’article L. 194‑1, les mots : « loi n° 2023‑22 du 24 janvier 2023 d’orientation et de programmation du ministère de l’intérieur » sont remplacés par les mots : « loi n°... du... relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité ».

Après l’Article 58 bis, insérer l’article suivant
 
I. – À l'article L. 12-10-1 du code des assurances, les mots : « connaissance de l'atteinte par la victime » sont remplacés par les mots : « déclaration de l'atteinte par la victime à son assureur ».
 
II. – À l'article L. 194-1 du même code, les mots : « loi n° 2023-22 du 24 janvier 2023 d'orientation et de programmation du ministère de l'intérieur » sont remplacés par les mots : « loi n° du relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité ».

Après le troisième alinéa de l’article L. 211‑12 du code de la mutualité, sont insérés quatre alinéas ainsi rédigés :

« Les mutuelles et unions mentionnées à l’article L. 211‑10 recourent en priorité, pour l’externalisation de services de technologies de l’information et de la communication, à des prestataires remplissant les conditions suivantes :

« 1° Être titulaires, pour la prestation concernée, d’une qualification délivrée par l’autorité nationale de sécurité des systèmes d’information ;

« 2° Être assujettis en France à l’impôt sur les sociétés au sens de l’article 209 du code général des impôts.

« À titre dérogatoire, lorsqu’aucun prestataire ne satisfait, pour le service recherché, aux critères mentionnés aux 1° et 2°, la mutuelle ou l’union concernée peut recourir à un autre prestataire, sous réserve de l’obtention d’une autorisation expresse de l’autorité de contrôle compétente et après démonstration documentée de l’absence d’offre disponible répondant à ces critères. »

Insérer l’article suivant :

Le Gouvernement remet au Parlement, dans un délai de six mois à compter de la promulgation de la présente loi, un rapport sur le recours aux prestataires de services de technologies de l’information et de la communication par les entités mentionnées au titre III de la présente loi. Ce rapport évalue notamment la part des entreprises extra-communautaires parmi ces prestataires, ainsi que les enjeux en matière de résilience et de souveraineté numérique.

Après le troisième alinéa de l’article L. 931‑7 du code de la sécurité sociale, sont insérés quatre alinéas ainsi rédigés :

« Les institutions de prévoyance et unions mentionnées à l’article L. 931‑6 recourent en priorité, pour l’externalisation de services de technologies de l’information et de la communication, à des prestataires remplissant les conditions suivantes :

« 1° Être titulaires, pour la prestation concernée, d’une qualification délivrée par l’autorité nationale de sécurité des systèmes d’information ;

« 2° Être assujettis en France à l’impôt sur les sociétés au sens de l’article 209 du code général des impôts.

« À titre dérogatoire, lorsqu’aucun prestataire ne satisfait, pour le service recherché, aux critères mentionnés aux 1° et 2°, l’institution de prévoyance ou l’union concernée peut recourir à un autre prestataire, sous réserve de l’obtention d’une autorisation expresse de l’autorité de contrôle compétente et après démonstration documentée de l’absence d’offre disponible répondant à ces critères. »

Insérer l’article suivant :

« Les entités mentionnées au présent titre assurent l’hébergement et le traitement des données à caractère personnel collectées en France sur des infrastructures situées sur le territoire national.

« À cette fin, ces données sont hébergées et traitées :

« 1° Soit sur un service d’informatique en nuage qualifié SecNumCloud par l’Agence nationale de la sécurité des systèmes d’information ;

« 2° Soit sur un système d’information interne, physiquement localisé en France et conforme aux exigences de sécurité définies par l’Agence nationale de la sécurité des systèmes d’information.

« Toute externalisation de l’hébergement ou du traitement de ces données vers un prestataire non qualifié SecNumCloud ou sur des infrastructures situées hors du territoire national est interdite, sauf dérogation expressément accordée par l’Agence nationale de la sécurité des systèmes d’information. »

À la fin de la seconde phrase de l’alinéa 1, substituer à la date :

« 17 janvier 2027 »,

la date :

« 17 janvier 2028 ».

À la fin de la seconde phrase de l’alinéa 1, substituer à la date : 

« 17 janvier 2027 », 

la date : 

« 17 juillet 2027 ».

I. – À la seconde phrase de l’alinéa 1, supprimer les mots :

« remplissant les conditions prévues au point 145 du paragraphe 1 de l’article 4 du règlement (UE) n° 575/2013 du Parlement européen et du Conseil du 26 juin 2013 concernant les exigences prudentielles applicables aux établissements de crédit et modifiant le règlement (UE) n° 648/2012 ».

II. – En conséquence, à la fin de la même seconde phrase du même alinéa 1, substituer à la date :

« 17 janvier 2027 »,

la date :

« 17 juillet 2027 ».

Supprimer cet article.

I. – Au début, ajouter les mots :

« Conformément aux dispositions de l’article 13 de la loi n°       du       relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité ».

II. – En conséquence, compléter cet article par l’alinéa suivant :

« Pour les entités financières visées au premier alinéa du présent article, assujetties au règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier, les dispositions de ce règlement sont réputées assurer un effet au moins équivalent à celui des exigences prévues par la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022, notamment en matière de gestion des risques de cybersécurité, de notification des incidents et de supervision. »

Pour l’application du 6 de l’article 28 du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011, un arrêté du ministre chargé de l’économie détermine, sur proposition de l'autorité nationale de sécurité des systèmes d'information et de l’Autorité de contrôle prudentiel et de résolution, la liste des personnes morales habilitées à réaliser des audits auprès de prestataires tiers de services en technologie de l’information et de la communication à la demande des entités financières.

Sans préjudice des articles 28 à 31 du règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011, l’autorité compétente publie un référentiel de bonnes pratiques et tient à jour un annuaire non exclusif de prestataires référencés aptes à réaliser, à la demande des entités financières, des audits et inspections auprès des prestataires de services des Technologies de l’Information et de la Communication.

Supprimer cet article.

Compléter cet article par l’alinéa suivant :

« Ce rapport comprend également une évaluation de l’exposition financière au risque cyber, actuelle et projetée, des entités concernées par la présente loi ainsi qu’une appréciation consolidée de cette exposition à l’échelle nationale. » 

I. – Au début de la première phrase, ajouter les mots :

« Chaque année, ».

II. – En conséquence, à la même première phrase, substituer à l’année :

« 2026 »,

l’année :

« 2027 ».

III. – En conséquence, à ladite première phrase, supprimer les mots :

« tous les ans, ».

IV. – En conséquence, à la même première phrase, substituer aux mots :

« , qui précise »,

les mots :

« prévue à l’article 5 bis. Ce rapport présente l’évolution des indicateurs clés de performance définis par cette stratégie ainsi que ».

V. – En conséquence, à la même première phrase, substituer aux mots :

« mis à sa disposition »,

les mots :

« dont dispose l’autorité nationale de sécurité des systèmes d’information ».

VI. – En conséquence, au début de la seconde phrase, substituer aux mots :

« Il évalue également »,

les mots :

« ; il évalue ».

VII. – En conséquence, compléter cet article par la phrase suivante :

« Il analyse également le niveau d’exposition des opérateurs d’importance vitale ainsi que des entités essentielles et importantes aux technologies, produits et services fournis par des entreprises établies hors de l’Union européenne ou soumises à des législations d’États tiers à portée extraterritoriale, et présente les actions engagées pour réduire ces dépendances. »

Compléter cet article par la phrase suivante :

« Il analyse également le niveau d’exposition des opérateurs d’importance vitale ainsi que des entités essentielles et importantes aux technologies, produits et services fournis par des entreprises établies hors de l’Union européenne ou soumises à des législations d’États tiers à portée extraterritoriale, et présente les actions engagées pour réduire ces dépendances. »

Dans les six mois à compter de la promulgation de la présente loi, le Gouvernement présente au Parlement un rapport sur la capacité de financer la montée en gamme en matière de cybersécurité des sous traitants par un fonds cyber alimenté par les acteurs de la base industrielle et technologique de défense et une partie des recettes issues des exportations d’armement.

Dans les six mois à compter de la promulgation de la présente loi, le Gouvernement remet au Parlement un rapport sur l'état des menaces et des vulnérabilités touchant les territoires ultra-marins dans le domaine de la cybersécurité, et établit un panel de solutions humaines et financières, dressées en lien avec les collectivités, pour y répondre.

Dans un délai de six mois à compter de la promulgation de la présente loi, le Gouvernement remet au Parlement un rapport sur les moyens alloués aux collectivités territoriales classées comme entités essentielles ou entités importantes afin de leur permettre de mettre en place les mesures de cyberprotection prévues au titre du présent projet de loi.

Dans un délai de 3 mois à compter de la promulgation de la présente loi, le Gouvernement remet au Parlement un rapport qui analyse la situation financière des universités publiques et propose des solutions leur permettant de mettre en place un véritable plan de cybersécurité.

Dans un délai de six mois à compter de la promulgation de la présente loi, le Gouvernement remet au Parlement un rapport présentant les moyens humains et financiers supplémentaires indispensables pour que l’Agence nationale de la sécurité des systèmes d’information puisse contrôler l’application et l’effectivité des dispositions contenues dans le présent projet de loi.

Dans les trois mois à compter de la promulgation de la présente loi, le Gouvernement présente au Parlement un rapport sur l’allocation des fréquences face à l’encombrement de l’orbite basse.

Dans un délai de six mois à compter de la promulgation de la présente loi, le Gouvernement remet au Parlement un rapport étudiant l’opportunité et les modalités d’une reconnaissance, au niveau constitutionnel, du droit au chiffrement des communications et des données.

Ce rapport analyse notamment le rôle du chiffrement comme garantie de l’exercice effectif du droit au respect de la vie privée, du secret des correspondances, de la liberté d’expression et de communication et de la liberté de réunion, et propose des recommandations pour formuler des garanties constitutionnelles contre tout affaiblissement systémique des moyens de chiffrement.

Dans un délai de six mois à compter de la promulgation de la présente loi, le Gouvernement remet au Parlement un rapport évaluant les modalités de financement des dépenses engagées par les collectivités territoriales et leurs groupements pour satisfaire à leurs obligations en matière de cybersécurité.

Ce rapport étudie notamment l’opportunité et les conséquences financières d’une extension de l’éligibilité au fonds de compensation pour la taxe sur la valeur ajoutée aux dépenses de cybersécurité des collectivités territoriales et de leurs groupements, notamment celles relatives à l’acquisition et au déploiement de matériels et de solutions logicielles, au maintien en condition de sécurité des systèmes d’information, aux prestations d’audit et de sécurisation ainsi qu’à la formation des agents.

Il évalue en particulier les effets d’une telle extension sur les communes de moins de 10 000 habitants et leurs groupements et formule des propositions permettant d’assurer un financement pérenne de leur montée en compétence en matière de cybersécurité.

Dans un délai de six mois à compter de l’entrée en vigueur de la présente loi, le Gouvernement remet au Parlement un rapport, réalisé sur la base de travaux menés par le Conseil d’analyse économique, qui évalue les impacts et l’efficacité économiques et sociaux de la modification de l’article L. 121‑8 du code des assurances sur les garanties concernant les risques liés aux cyberattaques.