Cybersécurité et collectivités territoriales

collectivité territoriale plusieurs raisons ont conduit à organiser cet échange spécifique avec les différents échelons de collectivité local la première raison est que le projet de loi dont notre commission spéciale est saisie vise à élever le niveau de cybersécurité des collectivités de plus de 3000 habitants dans le cadre de la transposition de directive concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union dite Nice 2 le deuxème motif est la vulnérabilité numérique de nos services publics territoriaux qui sont en première ligne au même titre que les hôpitaux dont les attaques sont davantage médiatisées mais saviez-vous que selon l'any l'Agence nationale de sécurité des systèmes d'information les attaques réussies par ransongiciiel sur des collectivités représente 1/4 de l'ensemble des attaques contre 10 % sur les établissements de santé c'est pourquoi le retour d'expérience de nos associations d'élu nous sera précieux pour apprécier le juste seuil et le juste niveau d'obligation à inscrire dans la loi enf enfin la troisème raison de cette table ronde est que certaines collectivités territoriales sont elles-mêmes des actrices de la cybersécurité en proposant soit des actions de prévention soit des dispositifs spécifiques je pense aux régions qui se sont engagé dans la création de ces cirtes régionaux pour répondre et soutenir les entreprises de leur territoire pour faire face à des incidents de sécurité informatique leur rôle est diversement connu et reconnu aussi le témoin des représentants des régions nous sera utile pour discerner les différentes approches proposées à leur sujet par l'ANC la ministre et les entreprises expertes en cybersécurité qui ne partagent pas la même appréciation de leur mission nous vous remercions très sincèrement d'être venu à notre rencontre soit en visioconférence Monsieur Michel saovade vice-président du conseil départemental du puit d'Ô maire de Marsac en livreadois et qui représentera la MF et département de France soit en présentiel ici pour l'Association des régions de France Monsieur Jérôme tréardi conseiller régional de Bretagne nous étions rencontrés lorsqu'avec mon collègue corrapporteur budgétaire des programme du du programme 129 relatif à la cybersécurité nous étions allés à Rennes et Madame constance Nébula vice-présidente de la Région des Pays de Loire chargé du numérique vous êtes les acteurs les plus plus au fait pour nous relater vos expériences respectives dans la création des cessirtes de vos régions vous êtes accompagné de Madame Laure prévau conseillère économie à région de France pour intercommunalité de France nous recevons madame Marline le Dieu de ville bonjour donc vice-présidente en charge du numérique d'intercommunalité de France vice-président délégué à l'économie numérique au système d'information et à la culture de la communauté de commune de orz vous êtes accompagné de monsieur Clément Bellac non perdu conseiller numérique d'intercommunalité de France et de Madame Montaine blonsard là cette fois j'ai bon responsable des relations avec le Parlement enfin pour la métropole du Grand Paris nous recevons voilà alors donc nous recevrons à sa demande monsieur Geoffroy Boulard maire du 17e arrondissement conseiller de Paris et vice-président de la métropole du Grand Paris accompagné de Madame Justine TER chargé de mission cyber métropole du grandamp Paris et Monsieur hois laffet chef de projet innovation numérique je vous remercie d'avoir répondu à notre invitation pour partager votre point de vue sur le projet de loi et l'impact de cette transposition pour les entreprises nous serons en particulier intéressé par les dispositions du texte qui vous posent problème et vos éventuelles propositions d'amendement mesdames et messieurs avant de vous céder la parole je rappelle à tous que cette audition fait l'objet d'une captation vide vidéo qui est retransmis sur le site internet du Sénat puis consultable en vidéo à la demande je vous propose pour ouvrir cette table ronde que chaque organisation nous présente leurs propositions sur le texte pour une durée de 10 minutes au maximum puis je donnerai la parole à chacun des rapporteurs Monsieur Michel canevette Monsieur Patrick chaise et huxori puis à ceux de nos collègues qui le souhaitent pour poser leurs questions nous sommes donc ensemble jusqu'à 18h je vous propose de commencer dans l'ordre de présentation d'abord Monsieur Michel sauade en visionférence pour l'AMF et département de France puis les régions de France les intercommunalités et la métropole du Grand Paris Monsieur Michel sauade vous avez la parole merci beaucoup monsieur le Président bonjour à à tous désolé de ne pas être avec vous aujourd'hui et je vous envoie quelques soleil du pu d'Ô je vais attaquer très rapidement si vous voulez concernant l'AMF je m'étais posé la question de regrouper à la fois AMF et ADF mais je pense que c'est intéressant de de de voir en contraire les les deux points de vue parce qu'ils ont naturellement beaucoup de points communs comme avec notre nos collègues des autres associations d'élu mais il y a aussi des des différences qui s'expliquent par la connaissance la connaissance que nous pouvons avoir les uns et les autres de de tout cela alors concernant l'AMF tout d'abord globalement si l'AMF partage l'ambition d'un renforce ement de la cybersécurité pour les communes et les EPCI euh elle est très inquiète sur les conditions dans lesquelles elles vont devoir mettre en œuvre les nouvelles obligations dont on sait qu'elles seront coûteuses et et quand on dit coûteuses c'est bien entendu d'un point de vue financier mais également en terme humain et et matériel aucune progressivité ne pourra être ne pourra être inscrite dans dans la loi de fortes tensions sont attendu euh sur la filière des métiers cyber de nouvelles contraintes budgétaires vont peser sur les communes et les EPCI cette année par ailleurs laamf s'interroge sur le périmètre réel des communes concernées qui n'est pas clair notamment du fait des rapports étroits entre les les communes et leurs EPCI et le texte explique que les communes seront entre guillemets embarqué dès lors qu'elles le seront dans le cadre de le PCI qui les porte dans ce contexte pour la MF la transposition de la directive Nice 2 ne doit pas ignorer cette réalité et doit insrire dans une logique de transition progressive et d'un accompagnement fort de de l'État à tout point de vue c'est ce que je vais vous développer je pense que j'aurais pas besoin de de 10 minutes pour laisser un un un maximum de place au à l'ensemble du du débat premier point la MF tient à souligner la qualité de la concertation menée par l'an dès la fin de de l'année 2023 c'est clair dans ce ce cadre et d'ailleurs l'article 5 du titre 2 rappelle que le gouvernement charge l'ansy de la mise en œuvre de de sa politique et du coup ça nous permet quand même de nous interroger sur la plance d'un d'implication politique et je dois dire que pour avoir écouté l'audition de la ministre devant cette commission spéciale véritablement on n'a pas forcément été très rassuré si elle évoque les fédérations professionnelles à plusieurs reprises les collectivités locales me semble-t-il sont peu dans mon champ de de vision il faut également souligner que la MF est soucieuse de la question de la cybersécurité évidemment comme nous tous et qu'elle souhaite que l'application de la directive soit un succès en réussissant à inscrire les communes PCI dans une dynamique collective avec les les autres niveaux de de collectivité locale c'est ce qui ressort clairement des échanges que nous avons pu réaliser au sein de l'AMF qui rassemblait les élus les services voir les les deux au sein de nos collectivités ceci étant dit et pour se faire il faut que le législateur tienne compte de la réalité des moyens des communes et des EPCI afin que la mise en œuvre soit supportable financièrement et faisable techniquement la transposition doit donc s'inscrire dans une logique de transition progressive et et et dans ce cadre la MF s'interroge notamment la MF regrette l'absence d'une étude d'impact des conséquences de la transposition ce qui n'est pas satisfaisant surtout dans le contexte d'incertitude financière actuelle euh que nous connaissons tous euh pour rappel le le cabinet de conseil y date dans un rapport rendu public au mois de novembre 2024 estime que le coût nécessaire en solution de sécurité pour les collectivités locales sél vrait à 690 millions d'euros par an pour que les collectivités puissent se conformer aux exigences de Nice 2 à ce chiffre s'ajoute d'après le le même cabinet sans 5 million d'euros par an pour l'embauche et la formation de ressources humaines qualifiées les nouvelles obligations sur un plan tant organisationnel que financier seront en effet nombreuses et leur non respect c'est notre second point d'inquiétude pourra engager la responsabilité du maire ou du président de le PCI si elles ne sont pas respectées et du coup je je reviens à l'audition de la ministre Clara chapaz que pensez de la réponse de la ministre interrogée par vous je pense que c'était le le sénateur Patrick Chise qui avait posé la la question de mémoire euh sur sa réponse deux poids de mesures pour les sanctions entre les collectivités et les administrations de l'État la ministre soutenant en même temps le Conseil d'État et s'y opposant sans étude d'impact sur les conséquences financières également de telles obligations pour les communes et les EPCI l'AMF n'a pas été en mesure de se prononcer sur les périmètres proposés ce que vous évoqueiez monsieur le le président en introduction cette absence d'étude d'impact a même conduit parfois certains parmi nous à s'interroger légitimement de mon point de vue sur le rapport coût risque que les collectivités pouvaient être amené dans la la balance et en arrivé à ce point-là ça veut dire véritablement qu'il y a un un un sujet nous semble-t-il néanmoins l'association a fait connaître à l'ansy et au représentants de l'État à plusieurs reprises un certain nombre de points de de Vig finance qui n'étonneront personne hein sur ce que j'ai pu voir des travaux de la commission évidemment le risque de tension sur les métiers cyber qui va impacter le recrutement des personnels au au sein de nos collectivités et et éventuellement le recours onéreux à des prestataire extérieur par ailleurs des échanges que nous avons pu faire les deux co-présidents de la commission numérique de de l'AMF Patrick Molino et et moi-même avec les les des DSI des RSSI mettent en évidence la très grande fragilité de nos structures euh à la fois par un portage politique qui qui est faible à notre à notre échelle et et également par les les enjeux que cela implique euh trisème point la nécessaire progressivité de l'entrée en application des nouvelles obligations pour des raisons évidentes de de CA et de difficultés de gestion des ressources humaines nouvelles charges financière pour les collectivités alors que les communes et les EPCI sont appelés à maîtriser leurs dépenses pour faire face à cette situation mais l'accompagnement financier de de l'État est indispensable et je rajouterais que à côté de cet accompagnement de l'État il y a forcément un accompagnement par les les collectivités euh que sont euh les départements et les et les régions et et l'appui euh des établissements publics de coopération intercommunale une inquiétude particulière justement et est pointée en direction des communautés de communes donc les plus petites ces EPCI et leur capacité à respecter les obligations du futur référentiel il y a là une une vraie interrogation enfin l'incertitude sur les conséquences réelles de ces nouvelles normes sur les systèmes d'information des communes membres des intercommunalités puisque toutes dispose de services partagé avec l'ensemble de leurs communes membres Service Commun mutualisation de serveur de de logiciel et cetera voilà monsieur le Président très très rapidement on pourra peut-être reprendre ensuite pour ce qui concerne le l'AMF souhaitez-vous que je continue dans le prolongement avec l'ADF ou souhaitez-vous que nous abordions cette seconde présentation ensuite oui continuez sur les départements s'il vous plaît oui merci donc concernant la laadf là aussi euh une certaine symétrie des formes avec des des observations générales qui soulignent d'abord la qualité des consultations conduites par l'any et et qui recoupe également les préoccupations exprimées par les collectivités qui n'ont pas reçu de de réel écho à à l'échelant politique les préoccupations exprimé depuis le début des discussions par l'ADF porte sur trois points les ressources nécessaires à la réussite du passage à l'échelle la structuration territoriale d'une politique publique de cybersécurité et et le le soutien de de l'État le texte du point de vue de de l'ADF consiste en une transposition brute de la directive d'une part il ne répond pas à ses préoccupations et d'autre part il renvoie un grand nombre de dispositions au niveau réglementaire sans en fixer suffisamment les principes par conséquence il fait de notre point de vue courir le risque de voir la mise en conformité administrative primé sur le développement de mesures véritablement opérationnelles et et et le rôle de l'ADN et on on le sent dans dans cette observation globale par rapport à la MF euh fait que la la connaissance des enjeux et est vraiment à cette échelle là principalement en détaillant maintenant les les les inquiétudes portées par l'ADF d'abord les impacts en matière de pratique de sécurité il s'agit de mettre en place ou d'adapter et et c'est le détail finalement de de de de toute la chaîne de du dével développement de la cyber la gouvernance les mesures de gestion des risques et des incidents c'est l'article 17 je crois qui évoque ce point le traitement des incidents et les rapports et l'obligation de notification la sécurité de la chaîne logistique de de soutien la sécurisation de l'acquisition du développement de la maintenance des systèm on pourra développer ensuite les pratiques de base en matière d'hygiène cyber et puis les les dimensions liées au matériel aux technologies embarquées cryptographie chiffrement la formation bien entendu la sécurité des personnels des politiques de contrôle d'accès et et et les moyens d'otification qui sont importants notamment pour les entités essentielles Second Impact les impacts en matière financière les évolutions demandées clairement auront de lourds impacts budgétaires je je reprends pas ce que je je viens de dire précédemment au titre de la MF en investissement comme en fonctionnement alors que les budgets des départements sont déjà fortement contraints les budgets informatiques pour nos collectivités au titre de 2025 semble être amputé par la plupart des départements donc vous connaissez bien la situation au Sénat de l'ordre de 30 à 50 % en moyenne je vous laisse imaginer les les conséquences alors impact financier bien entendu impact humain évidemment il sera nécessaire de recruter et former les agents disposant des bonnes compétences au bons poste l'offre de formation est un enjeu en partentière elle implique la structuration d'une filière professionnelle de de cybersécurité et là il y a un certain nombre de choses qui sont engagées mais sur le marché de l'emploi les départements se confrontent déjà à la concurrence des acteurs privés importants euh je vous ai dit tout à l'heure j'étais sur fond depuis d'Ô le département du puit d'ome la DSI c'est 45 personnels 23 départs dans les trois derniers années 12 recrutements récents et on poste à pourvoir euh aujourd'hui l'enjeu il est bien entendu autour de de la cyber où la fragilité est évidente mais l'enjeu est même sur notre fonctionnement j'allais dire au au quotidien les impacts en matière de chaîne de responsabilité et là aussi naturellement la DFI est sensibilisée la conformité à Nice 2 passera forcément par le fait de disposer de prestataires eux-mêmes conformes au aux exigences prestatair de service de confiance et ça nécessitera la révision des marchés surtout une évaluation des prestataires par les commanditaires qui évidemment nous pose problème bien que le cyberrésilience Act prévoit d'imposer la conformité de tous les produits numériques la question des moyens de certification des prestataires reste clairement posé les présidents de département ne pourront pas se porter garant de tous les prestataires la loi ou la réglementation doivent prévoir le partage des responsabilité déclaration de conformité par par exemple je sais pas les les pistes qui peuvent être imaginés autre point non négligeable l'adaptation au changement les départements devront s'adapter rapidement aux nouvelles réglementations et aux évolutions technologiques ce qui peut être difficile dans un environnement en constante évolution et et je dois dire que dans les échanges que j'ai pu avoir personnellement avec les les DSI ou RSSI euh la réponse était souvent on sort du GPD on se trouve confronté à de nouvelles normes alors qu'on a du mal à faire tourner nos serveurs correctement sans sans noircir le le trait c'est ce qui m'a été répondu lors un d'un de de ces échanges euh les impacts enfin en matière de coopération et partage d'information euh encourager la coopération et le partage d'information est évidemment une bonne idée hein ça se retrouve dans les articles 23 et 24 mais euh de notre point de vue elle est quand même déclinée de façon très très centralisé et et limité alors de son côté département de France a euh s'est engagé sur ce point maintenant depuis euh plus de 2 ans euh département de France organisé en février 2023 un séminaire des présidents à hulos pour échanger sur les cyberattaques et créer collectivement un plan de cyber résilience qui a été publié en juin 2023 un groupe des RSSI a été m en place au moyen d'une plateforme collaborative en lien étroit avec le club des RSSI des collectivités enfin le SGDSN et lany ont été sollicités plusieurs fois pour intervenir devant les présidents comme devant les DGS de département afin d'optimiser la prise en compte de la cybersécurité au niveau de la gouvernance et un groupe de contact constitué de DSI RSSI et DGS et mise en place par département de France en prévision des échanges avec sur l'importante partie réglementaire à à à venir je l'avais pas évoqué mais vous l'avez déjà rappelé dans plusieurs euh débat que vous avez pu avoir l'importance du du du réglementaire par rapport à ce texte euh du coup par rapport à ça euh la réflexion conduite par euh l'ADF euh porte sur la structuration d'une politique publique territoriale de cybersécurité parmi les conditions d'un passage à l'échelle réussie la consolidation d'un réseau territorial de cybersécurité s'impose il repose aujourd'hui essentiellement euh sur les CIRT vous l'avait rappelé à à à juste titre monsieur le Président euh lesquels sont créés par les régions l'état dispose pour sa part du réseau des délégués territoriaux de l'ansy euh un à deux par région et euh à la limite des forces de sécurité intérieure dans les unités spécialisées sont centralisées au niveau national c'est clairement très insuffisant et aucune per perspective favorable ne dessine en la matière quand on regarde l'étude d'impact sur l'augmentation des des des moyens mise à disposition de de l'ANS on parle d'une soixantaine d'équivalent temps plein pour une montée en charge considérable du nombre d'entités à à superviser cela ne porte pas crédit au critiqu parfois adressés aux régions dépourvu de ces CIR tout mal équipé là où existe là où ils existent pardon les les campus cyber font leur leur existence et leur dynamisme repose sur l'énergie de chaque acteur il est dommage que le texte par une transposition assez sèche finalement des obligations ne donne pas d'impulsion favorable il est amplement possible de le faire sans tomber dans la surtransposition et et pour finir quelques points de de vigilance concernant le le coût des contrôle si nous avons bien compris les contrôles conduits par l'ANC sont à la charge des entités contrôlées ça nous paraît totalement inacceptable quand bien même les contrôles ne seraient menés qu'en cas de suspicion forte sur le non respect des des règles il s'agirait alors d'une sanction par avance et et du coup c'est totalement inaudible de notre de notre point de vue euh je vous rappelle la le l'avis du Conseil d'État d'ailleurs sur la la question et on ne peut que que s'interroger du fait que l'État s'exonère pour sa propre administration voici si vous voulez les les les éléments de de base que je peux verser au au débat en vous remerciant bien c'est c'est nous qui vous remercions pour vos propos clairs et puis là vous avez tenu le temps donc je vais passer donc vraiment je vous remercie beaucoup donc je vais passer la parole à Madame constance Nebula et après merci monsieur le Président Mesdames Messieurs les rapporteurs parlementaires et collaborateurs je suis aussi heureuse de retrouver des collègues qui prouve aussi que la famille des élus impliqués sur les questions numériques est relativement petite puisque on a l'habitude de se croiser et de travailler ensemble merci avant tout de de questionner d'interroger les associations de collectivités et de prendre le temps d'avoir le point de vue finalement des élus locaux et des différentes collectivités territoriales dont les régions sont effectivement directement concerné par la la transposition et l'effectivité de cette directive européenne vous l'avez rappelé les région de par leur importance de par leur nombre d'administrés de par leur criticité sur le les données récoltées et traitées seront considéré comme entité essentiell et devront donc répondre au plus haut niveau de sécurité exigé par la nouvelle directive Nice 2 c'est la raison pour laquelle la prise de parole que que je me permets de faire en tant que corapporteur des sujets numériques pour région de France sera concentrer sur le le sujet de de de Nice 2 vous l'avez indiqué Monsieur le Président euh sur le le nombre et le volume de de d'attaques euh mené contre les collectivités qui sont référencées et qui sont croissantes 12 des 18 régions ont été euh attaquées certaines euh très fortement et ça fait l'objet régulièrement de de de médiatisation les collectivités comme d'autres structures publiques comme les établissements de santé sont devenus des cibles on le on le sait et et je pense que ça n'étonnera personne autour de la table on est donc considéré comme entité essentielle euh c'est la raison pour laquelle on a un niveau je dirais d'intérêt et d'exigence par rapport à ce à ce texte qui est particulièrement fort considérant aussi que les régions ont une place centrale sur le sujet de la cybersécurité ce que j'évoquerai également de manière un peu plus un peu plus large h dans le travail notamment mené avec l'ancy on a été effectivement associé comme la MF ou la DF dès novembre 2023 aux travaux préalable à la transposition je veux tout de même vous indiquer euh que l'on a demandé à l'ANC une étude impact sur la transposition du la directive qui n'a jamais été réalisée de la même manière que ça a été évoqué par Michel sovade on a demandé effectivement un d'estimer les coûts pour les régions qui sont non estimés notamment pour un bénéfice risque et d'avoir un coût une étude de coût réel réalisé par l'ANS et de porter à la connaissance des élus locaux les coûts réels et les coûts induit d'autant plus dans un contexte budgétaire relativement tendu dans un contexte où il y a des arbitrages budgétaires et que si on ne mobilise pas les élus les collègues sur les les moyens financiers à priorisés ça va passer à la trappe et ce sera trop tard une fois une fois la directive je dirais en place on a aussi un vrai souci sur la prise en compte du sujet Nice 2 avec un chiffre que je vous partage sur 500 décideurs informatiques interrogés dans le baronet de la maturité cyber 23 % n'ont jamais entendu parler de Nice 2 euh et seul 24 % se déclareent près ça veut dire qu'on a encore une marge de manœuvre qui est relativement importante et ça veut aussi dire qu'on a un manque de connaissance un manque de préparation qui est effectif je fais une différence entre l'an au niveau national et l'an au niveau régional comme ça a été dit également au niveau régional on a plutôt des bons contacts mais les moyens sont faibles mais on a un dialogue régulier c'est au niveau national où je dirais que le discours est parfois un petit peu un petit peu différent a été évoqué aussi la question des saisir et donc forcément la question de du financement de la pérennité des césirt on nous a dit quand les les 1 million d'euros pour 3 ans ont été octroyés par l'ANS aux régions voilà 1 million d'euros faites des CIRT très bien sauf que on sait les régions se sont mobilisées elles ont effectivement développer ces cisirt nous en avons presque toutes néanmoins depuis 3 ans on n'a pas eu d'amélioration ou de concrétisation ou de d'affirmation de la politique publique cyber vis-à-vis des régions euh Michel sovide a évoqué madame chapaz je me suis entretenu avec elle mardi dernier après euh son intervention ici c'est moi qui lui ai indiqué que les régions n'avaient pas la compétence cyber donc je voilà je je elle pensait voilà que l'ANC nous avait confirmé une compétence cyber à partir du moment où ils nous ont confié les les césir et qu'en plus on a la dimension campus cyber mais c'est pas le cas je vous confirme que ce n'est pas le cas on aimerait ou on a'imerait pas c'est un autre débat que j'évoquerai après mais ce n'est pas le cas euh région de France souhaiterait également que toujours dans la prolongement des cisirt on est donc ce ce cette précision autour de la compétence cyber une clarification qui va bien entendu aller avec des financements et financement toujours euh dans le cadre de France 2030 on aimerait effectivement que le le le renforcement de la cybersécurité des collectivités territoriales et des administrations publiques puissent être plus fortement intégré à France 2030 afin qu'on er un accompagnement qui soit digne de cette mise en conformité et de cette entrée en vigueur aujourd'hui en terme de moyens ce n'est ce n'est pas le cas vous évoquez de manière un tout petit peu plus générale que en 2021 le le l'État le gouvernement a mis en place une stratégie d'accélération cyber je vais vous faire un petit exemple en entonnoir la stratégie d'accélération cyber c'est 1,7 milliard d'euros dont 720 millions d'euros d'argent public très belle enveloppe sur ces 720 millions d'euros on en a 136 millions dédiés à l'animation par par l'an très bien dans ces 136 millions on en a 60 million pour créer des centres régionaux de réponse à incident les césirt d'accord sauf qu'on nous a donné 1 million d'euros sur 3 ans sans garantie de financement après donc moi j'ai quand même un vrai souci de dilution des sommes puisqu'on a une ambition qui a été affichée mais infin au bout de la chaîne ceux qui s'occupent de ces sujets-l les régions n'ont pas été ni associé financièrement ni humainement ni politiquement à la suite qui sera donnée et je terminerai sur le sujet un petit peu plus sur les campus cyber et Jérôme prendra la suite pour illustrer avec un exemple au niveau des campus cyber on a une initiative nationale et contrairement peut-être à l'affichage et à la communication je vais me permettre d'être un petit peu plus direct dans lesffet il n'y a pas eu d'aide au montage de la part de la structure nationale campus cyber vis-à-vis des régions pas d'aide au montage sur le modèle pas d'aide au montage financier pas d'aide au montage humain ou structurel c'est chaque région qui avec un portage politique en mode débrouille se dit comment est-ce que je vaux organiser le campus cyber comment je mets les acteurs autour de la table et comment je crée mon campus cyber c'est la raison pour laquelle vous n'avez pas un modèle qui se ressemble en France mais c'est encore une fois l'initiative des régions et a moyens constants et a périmètre constant donc voilà les les quelques messages que je voulais vous faire passer bien entendu nous ne remettons pas du tout en question le bien fondé du projet de loi on y est on y est favorable certains chantiers ont été anticipés déjà par les collectivit territoriale on ne part pas de zéro encore une fois on a une anticipation on n pas attendu la réglementation pour cela mais c'est aussi la préoccupation de tous il faudra veiller plutôt à l'absence de surtransposition ça je je pense que ça fait ça fait débat on a un véritable problème d'accompagnement des collectivités je m'étale pas puisquon a été plusieurs à le dire on a un souci par rapport au coûts de mise en œuvre des ces obligation ça a été dit également et je terminerai en vous disant que tout ça ne pourra pas être possible tant qu'on a'ura pas une clarification de la stratégie de l'État en matière de cybersécurité du vrai rôle de l'ANC de la vraie compétence du vrai portage politique et de la gouvernance merci beaucoup on est normalement on est limité à 10 minutes par non non je donc en fait le temps va être assez restreint si vous voulez bien parce que mais vous pourrez revenir ensuite sur les réponses voilà c'est pour donner du temps à chacun et que surtout que tous nos collègues et les rapporteurs comme à commencé par nos rapporteurs puissent vous poser des questions merci merci beaucoup monsieur le Président messieurs les rapporteurs mesdames Messieurs les élus mesdames messieurs je suis ravi d'être parmi vous aujourd'hui et je m'associe au propos de Constance Nébula de vous remercier d'entendre les les collectivités sur ce sujet extrêmement important de transposition de Nice 2 donc comme j'ai quelques minutes et par respect pour les autres personnes qui vont prendre la parole je vais être très rapide je voulais juste donc il nous paraissait intéressant de poser ici l'exemple de la région Bretagne région Bretagne terre de cyber 2è région sur la cybersécurité après l'île-de- France euh qui se caractérise par une une une histoire autour de la cyber qui s'est traduit par une volonté politique forte de jean-v ledriant en son temps et une forte présence militaire juste un constat d'humilité que je voulais partager avec vous c'est pas parce qu'on a un écosystème en Bretagne de sécurisant qu'on peut nous envier que malheureusement les sécurisés sont mieux sécurisés et donc on a le même constat et le même constat d'humilité que les autres régions et donc je pense que ça c'est aussi une matière à réflexion dans le cadre de cette transposition de l'anis 2 on peut poser plein de choses mais après c'est la réalité du terrain et et c'est pourquoi que au niveau politique on a un très grand travail autour de la sensibilisation de la diffusion de la culture cè dans la société je pense que ça passe aussi par là euh le sujet qui nous intéresse aussi et aujourd'hui euh dans ce but on s'est emparé de deux grands sujet on a parlé des campus cyber j'aurais peut-être l'occasion d'y revenir de façon plus en détail mais simplement pour vous dire queon en pareil c'est de ce sujet-l pas comme dans un comme pas comme dans un pour un sujet immobilier mais bien comme un sujet de fédération de l'écosystème et de d'un moyen de pouvoir réunir toutes les parties prenantes et de l'écosystème breton et de pouvoir justement travailler à la réflexion entre autres sur la transposition de la Lonis 2 même si la loi est pas encore arrivée on n'a pas attendu ça pour y réfléchir vous dire aussi qu'on représente l'ensemble des régions qui ont été laabilisées au sein du conseil d'administration du campus cyber sur le sujet des CCR qui fait coul beaucoup d'ancre et beaucoup de qui provoque beaucoup d'échanges juste pour vous partager notre rapport en Bretagne pour vous dire que il a fait la démonstration de sa pertinence on a fait répondu à 115 incidents l'année dernière et notamment on accompagné des collectivités et je vous pourrais partager le le le le le rapport d'expérience avec les différents mairres qui ont été tout à fait satisfaits de du service qui a été rendu le financement bien évidemment est clé et c'est un sujet sur lequel constance nimela et d'autres on son déjà revenu donc je vais pas revenir dessus et je sais que c'est un sujet sur lequel j'ai échangé avec Monsieur struel encore tout tout récemment mais par contre une chose que je souhaitais porter ici c'est ne ne jetons pas trop vite ce qui a été construit il y a quand même une réalité une opérationnalité qu'il faut pas oublier en interne on a fait le travail de voir un peu ce que amènerait en l'me de la région Bretagne une transposition et c'est plusieurs millions d'euros de budget qui devrait être à lou au système d'information pour se mettre au niveau de ce qu'on estimait puisque la loi est pas encore posée mais de ce qu'on estimait qu'il allait être nous être demander le contrainte budgétaire je pense qu'on va pas revenir dessus vous les connaissez et donc c'est une réflexion que je vous pose est-ce qu'on a véritablement les moyens de notre ambition notamment aussi sur les dimensions RH c'est une question que je vous pose parce que je pense c'est quelque chose qu'on doit collectivement se poser deux convictions la conviction que l'échon régional est un échon qui a prendre en compte dans sa capacité justement par sa granolumétré plus fine de pouvoir relier une politique nationale et européenne et le deuxième conviction mais c'est un peu notre façon de travailler en Bretagne pour le coup c'est la coopération dans un souci d'optimisation budgétaire et de la capacité à pouvoir partager les bonnes pratiques voilà ce que je pouvais dire rapidement pour respecter le temps à parti et vous l'avez fait je vous remercie madame leedieu de ville merci Monsieur le prés monsieur le président Mesdames et Messieurs les rapporteurs Mesdames et Messieurs les les sénateurs et Mesdames et Messieurs donc en ce qui concerne intercommunalité de France euh bon déjà nous nous nous nous sommes n nous sommes ravis en d'une certaine je je c'est une façon de parler mais de de Ben de cette perspective de la transposition nce 2 puisque euh les interces pour vous faire un petit portrait euh les intercommunalités avaient lancé aussi un un baromètre de il y a de il y a 2 ans de de maturité numérique c'est c'est c'est beaucoup plus large avait mis la la la cybersécurité euh comme première priorité des intercommunalités donc ça montre bien qu'elles sont conscientes euh du problème euh on le voit bien déjà entre 2022 et 2023 il y a eu 187 attaques c'est sourceus de l'ancy et je sais que maintenant je n'ai pas les chiffres je n'ai pas les derniers chiffres mais euh c'est une montée en puissance je vais dire et en quantité des attaques cyber auprès des collectivités quel que soit leur taille hein donc on peut très bien se retrouver dans une petite commune une petite interco comme une une une grande métropole donc c'est un sujet qui nous tenait à cœur euh et et nous avons beaucoup apprécié les les consultations qui ont été mené euh auprès des associations d'élus de la part de la part de l'EN nous avons beaucoup travaillé avec avec avec cette organisme euh notamment nous avons réuni en commission numérique euh une cinquantaine de euh d'Interco hein allant de la Communauté de Communes je vais dire de 5000 habitants jusqu'à la métropole d'un million d'habitants pour montrer quand même chez nous la la variété aussi de de de de nos structures euh et qui on a permis déjà par rapport à cette ce projet de loi bah d'évoluer puisque pour nous déjà on sait à quelle sauce on va être mangé entre entre guillemets puisque toutes les intercommunalités sont concernées par Nice 2 euh euh en revanche on a pu d'une certaine manière enfin casser ce seuil des 30000 habitants qui nous paraissait pas très approprié par rapport à la réalité du terrain notamment des communautés de communes puisque les communautés de communes les 992 communautés de communes sont ben seront qualifiés d'entités importantes et communauté de d'aglo communauté urbaine et et métropole seront entités essentielles simplement je je tiens à faire remarquer que euh même au sein des des communautés de communes mais et ensuite au sein des entités on va dire essentiel il y a quand même un gap entre la petite communauté de commune même entité importante je veux dire de 5000 habitants et la communauté de commune de 70000 habitants il y a quand même un gap un certain gap tout comme il y aura un gap entre une communauté d'agglomération de de 30 à 50000 habitants et une métropole d'un million d'habitants donc forcément cette transposition de ra en tenir compte et devra surtout tenir compte de la réalité du terrain euh en ce qui concerne toujours cette loi nous en sommes nous euh et ça je je parle les points positifs avec l'ancy dans la phase déjà réglementaire puisque nous allons monter un des groupes de travail euh le premier va va la première réunion va se va se va se faire le le 20 février avec avec l'association Les interconnectés euh un groupe de travail avec Lancy qui va réunir pour la phase réglementaire un petit groupe de métropole un groupe un petit peu plus important de communauté d'aglo et un groupe encore plus important de communauté de communes pour que vraiment l'ancy puisse se faire une idée de la réalité du terrain donc c'est ces réunions ce sera pour Ben faire justement étudier un petit peu l'impact pour chacun en fonction des strates euh ben de de cette transposition parce que comme tout le monde on avait on attendait on attend toujours une étude d'impact mais on on va la disons que notre objectif c'est vraiment de la de la confronter au terrain euh voir où sont les difficultés pour l'ancy aussi pour qu'elle comprenne où sont nos difficultés et euh et puis faire des propositions bah de mesures adaptées hein adapter au terrain je voulais aussi mettre en avant notre ben notre R rôle mutualisateur auprès des communes donc nous y sommes très attachés et et et Nice 2 peut-être l'occasion aussi pour nous d'une certaine manière d'accompagner alors plus ou moins fortement les communes ça peut aller simplement de la de la sensibilisation à une plus grosse mutualisation mais là encore la transposition bah cette loi doit doit fournir un cadre clair et je dirais presque simple ou praticopratique pour pour avoir pour nous permettre d'avancer dans le bon sens après au niveau des points de vigilance ben je vais rejoindre un petit peu tous ce qu'ont dit mes collègues donc je vais je vais je vais je ne vais pas avoir besoin disons de de de de de de de prendre beaucoup de temps euh pour nous ben comme pour tout le monde il y a un aspect bah la proportionnalité qui euh principe de proportionnalité de délai qui qu'on nous dit être pris qui seront pris en compte euh simplement on on est encore dans le flou concrètement ça va être pris en compte comment euh comme je le disais tout à l'heure on a on a des petites des très petites interc euh tout comme des plus groses donc cette proportionnalité même même au sein des entités importantes on va nous demander un certain nombre d'obligations et notamment de remonter d'information au moment où une entité est attaquée bah c'est il faudra être sûr que ça ne sera pas la T une fois qu'on aura la tête dans le guidon euh ben une prise de tête alors l'ancy nous dit ce sera des des questionnaires tout simples à remplir mais ce sont des aspects des choses qu'on entre guillemets qu'on demande à voir hein puisque on nous dit beaucoup de choses ça va être facile enfin moi j'ai déjà discuté à plusieurs reprises avec lency et au moins pour les entités importantes on est déjà plus flou pour les entités essentielles vous inquiétez pas vous navez même pas besoin d'un RSSI un simple référent cybersécurité suffira je veux bien l'entendre mais je vous le dis enfin on demande à voir hein mais ça on le verra peut-être avec avec notre groupe de travail qui se réunira nos groupes de travail qui se qu'on pense faire réunir t tous les mois enfin une fois par mois jusqu'à la la fin de la phase réglementaire par ailleurs bah effectivement il y aura besoin d'accompagnement et d'ingénierie alors financier de l'accompagnement technique à tous les niveaux je ne vais pas vous donner de chiffre je n'en ai pas on n pas on n' pas fait cette évaluation de notre côté ce sera fait en partenariat on l'espère avec Lancy juste pour Mém pour bien comprendre les besoins d'accompagnement surtout des plus petits et ça je parle aussi des communautés d'agglomération quand il y a eu le France relance qui a permis à certain nombre de de collectivités ben de mettre en place une vraie politique cybersécurité en leur sein euh il faut comprendre que c'est quasiment toutes les métropoles qui ont reçu qui ont bénéficié de cette accompagnement 50 % des communautés d'agglomération et 10 % des communautés de communes je dis a celle qui en avait le plus besoin et pourquoi alors ça n'est pas lany qui qui souhaitait ne pas accompagner les petites collectivités mais une des conditions pour que une collectivité soit accompagnée fallait qu'elle soit qu'elle est indéc donc ça nous montre un petit peu le le niveau de maturité cyber même ne serait-ce qu'informatique numérique de de ces petites collectivités donc donc cet accompagnement ça va être forcément un moment ant enfin ce ce calibrer cet accompagnement en fonction encore une fois des strates puisque on a pas tous les mêmes ni tous les mêmes moyens par ailleurs bah délai parce que bah délai c'est normal non seulement pour se mettre en place petit à petit mais euh nous collectivités nous sommes soumis au marché public donc ne serait-ce que pour remettre en cause un certain nombre euh de contrat et bien il nous faudra du temps même 3 ans pourra pourra être insuffisant je ce sont même des métropoles qui sont quand même un peu plus rompu que nous à ce genre d' que nous là je parle en tant que comité de commune en tant que vice-président des communité de communes euh qui sont un peu plus rompus à ce genre d'exercice qui nous disent qu' nous qu'il leur faudra certainement plus de 3 ans pour ne serait-ce que remettre en cause un certain nombre un certain nombre de marchés par ailleurs et ça ça concerne énormément ben les plus petits qui font appel à des sociétés extérieur à des prestataires extérieurs euh on va manquer cruellement euh ben de prest terre privée euh et de proximité parce que j'entends beaucoup parler de de de de grands groupes mais ça n'est pas suffisant on ne veut pas non plus tuer le marché local ou le le l'entreprise locale on y tient nousmême avons la compétence développement économique et et on on serait embêté très embêté que ce ne soit plus que des grands groupes qui qui prennent la main et puis ne serait-ce que une question de coû n'en parlons même pas euh ben comme j'ai entendu effectivement on va avoir un problème aussi donc au niveau des des des prestataires et surtout effectivement ne pas nous ne pas nous demander d'être garant de de la cybersécurité des outils qui nous sont proposés quoi parce que nous n'en sommes pas forcément CAPAES de vérifier qui fait quoi donc ce qu'on a déjà demandé et ce qu'on nous dit qu'il y aura ce sont pas mal de prestataires certifié certifié ans certifié là encore comme tout à l'heure euh ben ça nous va mais encore faut-il qu'on les qu'on les qu'on les voit venir qu'on les qu'on qu'on voit comment ça se comment ça se goupille et je sais moi aussi pour être au campus cyber ma collectivité nouvelle Aquitaine euh le le travail qui est fait par les campus cyber les entreprises pour justement monter en compétence et et je salue ce travail qui qui est énorme et et et j'espère que que que que ce sera bien pris en compte par l'État à ce à ce niveau-là euh euh bien sûr tout ce qui va être je me dépêche ressources humaines bon on l'a dit hein on va avoir on va avoir des des soucis de recrutement et et et notamment pour les plus petits comment rémunérer ces recrutements et alors je vais aller très vite cette fois et puis au niveau plus plus national euh on a besoin de visibilité bon au niveau régional c'est pareil visibilité des des acteurs locaux être sûr que ils seront encore là dans un an en 2 ans et qu'on pourra toujours travailler avec eux et les visibilité au niveau par exemple interministériel au niveau des associations d'élus n'est pas toujours facile ben de de discuter correctement avec l'État dans la mesure où parfois plusieurs ministères sont impliqués et et on souhaite on espère avoir un peu plus de de de visibilité à ce à tous les niveaux et on attend aussi de de l'État une communication plus institutionnelle pour informer l'ensemble des acteurs voilà j'ai terminé merci vous avez commenté l'interministériel pour pour les intercommunalités en montrant que av un besoin de fluidité monsieur jeofroy Boulard nous vous avions présenté avant que vous n'arriviez donc nous savons tous qui vous êtes bienvenue merci monsieur le Président messieurs les rapporteurs mesdames les sénatrices mesames les sénateurs je vais rapidement représenter la métropole du Grand Paris qui couvre 131 130 mir tr 11 territoires et trois départements les hautes- scèes la scène Saint-Denis le valde Marne et quelques communes limitrophes de l'esson et du valdoise les compétences de la métropole sont en matière de de de pilotage essentiellement des différents enjeux lié à l'environnement l'attractivité l'énergie l'habitat ou encore l'aménagement la métropole du Grand Paris face à ses défis a souhaité construire un écosystème favorable à l'innovation à travers notamment le pilotage de dispositifs qui et action dédié à l'innovation et au numérique sur son territoire la métropole du Grand Paris porte également des programmes afin d'accompagner les communes dans son périmètre dans leur digitalisation ou dans le lancement de programmes innovant en matière de Data ou de numérique à titre d'exemple la métropole met en œuvre des programmes d'accompagnement et de cofinancement d'expérimentation de solutions innovantes ou numérique programme innové dans la ville ou quartier métropolitain d'innovation mais aussi des réseaux d' culture urtion aux enjeux numériques euh et d'innovation avec des des académies de formation dites le réseau des explorateurs destiné aux agents des différentes communes sur la base du volontariat et un réseau d'élu d'innovation et du numérique la métropole du Grand Paris réfléchit également à la construction d'une stratégie autour de l'intelligence artificielle qui sera présentée en avril au Conseil métropolitain euh le développement du numérique et de l'innovation c'est une source d'opportunité pour les acteurs de son périmètre mais la métropole reste naturellement vigilante aux impacts que peut avoir ce développement que ce soit à travers la maîtrise inégale des compétences numériques l'impact environnemental du numérique et l'apparition de nouvelles dépendances et fragilité face à l'efficience de nos systèmes d'information et le besoin vous l'aurez compris de renforcer la cybersécurité et nous avons dè 2019 adopt dans le schéma métropolitain d'aménagement numérique un soutien comme prioritaire à la gestion à la sécurisation des données publiques alors le risque C cyber sur les collectivités je ve rien vous apprendre vous le connaissez vous l'avez étudié et vous êtes évidemment en prise directe dans le cadre de de de de l'examen de Nice 2 avec je voudrais reparler peut-être quand même de l'étude cyber malveillance de 2024 euh qui montre qu'une collectivité sur 10 déclare avoir été victime d'une ou plusieurs attaques au cours de l'année 202 24 que l'amsonnage est la cause principale dans 30 % des cas euh que 45 % des collectivités attaquées nen connaissent pas la cause et que les collectivités touchées sont principalement ont principalement déploré première chose une interruption d'activité de service mais aussi une destruction ou un vol de données ou encore une perte financière euh il faut quand même rappeler c'est toujours cette étude qui fait référence qui rappelle que 44 % de communes euh estime être faiblement exposé au risque et 18 % ne savent pas évaluer le risque un chiffre qui s'explique moi je le pense par le fait qu'ell penseent ne pas être vulnérable et qui les amène à surestimer l'efficacité de leur système de protection et à être insuffisamment préparés aux cyberattaques c'est aussi une fracture qui se creuse entre les commune ça a été rappelé à l'instant il y a il y a des dispositifs d'aide autour de la cybersécurité et plusieurs communes effectivement à travers France relance ou ou encore aide cyber peuvent bénéficier de ces aides mais il faut dire il persiste un manque de connaissance d'accompagnement des moyens humains et financiers notamment au niveau des petites communes l'étude d'ailleurs cyber malveillance constate qu'il n'y aura pas d'évolution majeure des budgets consacrés à l'informatique et à la sécurité des systèmes d'une année sur l'autre et que 73 % des petites et moyennes collectivités ont un budget informatique annuel de moins de 5000 € et 2 tierses communes n'envisageent pas d'évolution sur ce plan à la hausse alors qu'elle se s'estime fortement son fortement exposé au risque alors moi je voudrais simplement vous reparler peut-être des retours de la métropole du Grand Paris présidé par patrickier sur les impacts d'une cyberattaque les éléments statistiqu à l'échelle nationale identifié par l'étude que j'ai cité se retrouve également au sein du territoire de la métropole du Grand Paris et nous avons toujours souhaité évidemment que cette métropole soit une métropole des maires lors des rencontres avec les communes il nous est apparu que la question de la cybersécurité constitue un élément d'inquiétude majeure chez les maires en particulier bien sûr pour les communes qui ont peu de moyens ou un système d'information daté peut développé j'ai pu d'ailleurs échanger avec des maires qui ont vécu ce type d'attaque de ces échanges il ressort que l'impact d'une cyberataque sur une commune est encore il faut le dire peu maîtrisé au sein des équipes il est nécessaire de passer tout de suite en situation de gestion de crise et les communes connaissent ce type de situation notamment elles peuvent être prise au dépourvu lors d'une cyberataque car l'ensemble de leurs activités se retrouve désorganisé perturbant d'autant la capacité de réaction pendant plusieurs jours la majorité des agents ne peut plus travailler dans l'attente de la restauration des des systèmes d'inform formation et cette dernière a d'ailleurs lieu étape par étape et non en bloc il est donc nécessaire de prendre en compte cette remise en marche progressive vis-à-vis des équipes la cyberattaque a également des conséquences pour les usagers suspension des inscriptions et des paiements à la cantine versement des allocations des centres d'action sociales l'équipe politique notamment le maire est alors vous l'aurez compris en première ligne et une cyber attaque entraîne aussi des répercussions sur le long terme certaines villes ont mis entre 2 et 4 années pour se pour s'en remettre et pour remettre à jour surtout certaines données de paiement à la cantine par exemple les cyberattaques sont aussi éprouvantes pour les équipes qui les ont vécu générant une fatigue importante et pouvant entraîner un turnover dans les équipes communales au sein des des agents quelques exemples de cyberattaque sur les communes de la métropole du Grand Paris 2020 bondi blancmil Vincen 2021 trembler en France ville peinte bobinil à cour-neuve 2022 saint-clou chville 2023 bris surmne cheville la rue et le CIM du Valdem alors l'arrivée de de Nice 2 euh c'est pour nous euh c'est pour nousah l'occasion évidemment de de s'interroger sur la place des collectivités dans ce dispositif euh même si lany a déclaré le 3 septembre dernier qu'il apparaissait important face à cette menace de se saisir de cette opportunité pour les collectivités cette intégration d'IS 2 n'intégrera peut-être pas pas toutes les collectivités et pourra être limité à certaines d'entre elles en fonction de leur capacité de leur taille et il est important donc de s'assurer que les collectivités intégr intégrés disposeront et ça a été rappelé des moyens humains et financiers pour mettre en œuvre les exigences de sécurité de la directive et d'après cyber malveillant 62 % des collectivités appellent à une sensibilisation accru des élus et des agents la mise en place des outils de sécurisation sont aussi privilégi et l'accompagnement financier on en reparlait tout à l'heure est également au cœur des attentes afin de d'aider les territoires alors la métropole du Grand Paris a mis en place un accompagnement de ces communes sans attendre 10 de pour être le plus conforme aussi à ces à ces direective et elle a souhaité donc s'engager en matière de cybersécurité des 130 communes à travers un projet européen ironie du sort euh un un programme européen qui auquel la Métropole participe depuis 2021 le projet cbia Cyber Security and artificial intelligence hub qui est lauréate du programme EDI au niveau européen le campus cyber porteur de ce projet et acteur fédérateur de la communauté sur l'Île-de-France a en effet rassemblé un consortium d'acteurs regroupant des entreprises des associations et des acteurs public je vais pas les citer toutes afin de proposer la création d'un edit dédié à la thématique de la cybersécurité ce projet vise à créer tout simplement un guide un guichet unique qui permet de développer des actions en faveur de cybersécurité auprès des entreprises TP PME et des collectivités territoriales sur le territoire francilien et afin de sensibiliser ces acteurs dans la mise en œuvre d'une stratégie cyber adapté à leurs besoins sibia c'est son nom ce programme a construit un parcours d'accompagnement DTPE divisé en quatre phase embarquement diagnostic sécurisation et cofinancement et dans le cadre de ce projet cbia la métropole du Grand Paris s'est positionné pour porter conjointement avec le le campus cyber la déclinison de ce parcours d'accompagnement pour les communes métropolitaines ce projet est mis en œuvre avec le soutien financier de la Commission européenne sur la partie TPE PME et la partie collectivité et la région Île-de-France sur la partie TPE PME exclusivement nous l'avons décliné ce programme aux communes métropolitaines avec un un programme d'accompagnement première brique clé en main 100 % gratuit pour les communes qui va permettre un diagnostic individualisé par commune évaluant le niveau de maturité en cybersécurité et un plan de sécurisation adapté à leur besoins identifi lors du diagnostique dans un deuxième temps euh nous pourrons proposer un soutien financier pour la mise en place du plan de sécurisation le diagnosticque ne suffit pas il faut aussi des moyens pour la sécurisation avec une prise en charge à hauteur de 50 % par la métropole du Grand Paris du du coup du projet dans la limite d'un plafond de 200000 € grâce au Fonds métropolitain innovés dans la ville et troisième brique de ce de ce programme que nous développons la métropole du Grand Paris pour les 130 communes c'est évidemment d'amener toutes ces toutes ces communes à un niveau d'accompagnement satisfaisant en matière de cybersécurité et donc nous avons nous avons ciblé 30 communes sur les 130 qui sont les plus les plus sensibles en tout cas qui peuvent être les plus adaptés à ce euh à ce dispositif nous avons euh également souhaité conduire une pré-analyse en matière de cybersécurité des communes de notre territoire les résultats d'ailleurs pourront servir à la fois à convaincre les communes d'entrer dans la démarche parce que il y a aussi cet aspect de d'embarquer euh comme je l'ai dit les les communes et cette évaluation externe sera évidemment n'aura pas d'impact sur le fonctionnement des services de la commune il faut le rappeler c'est important euh et seront communiquer on a des premiers retours sur ce programme et nous avons lancé début début décembre et et surtout par courrier du président le 23 janvier à l'ensemble des maires le lancement effectif de ce programme nous avons déjà 10 communes qui ont demandé à bénéficier de ce programme d'accompagnement donc vous voyez c'est c'est tout tout récent très concret et nous organisons vendredi euh un événement de lancement au campus cyber vous êtes les bienvenus nous avons déjà plus de 80 participants c'estd euh la la mobilisation des communes sur ce sujet et leur permettre évidemment de rentrer dans le dispositif je vous remercie je vous remercie monsieur le Maire pour votre présentation je vous remercie chacun chacune et chacun d'entre vous parce que on sent de la passion et vraiment euh de l'investissement euh collectif c'est ça fait vraiment plaisir et puis merci d'avoir cité si souvent cyber malveillance qui est un un acteur essentiel de la cyber prototection des entreprises mais aussi des particuliers j'en profite pour citer le lancement du 17 cyber qui est une voilà qui est une nouveauté depuis le mois de décembre et que l'on doit aussi à Cyber malveillance donc je vais commencer par laisser la parole à notre rapporteur Patrick chaise qui commencera merci monsieur le Président merci à toutes et à tous alors beaucoup de choses ont déjà été dites je m'excuse par avance des redites mais des fois c'est pe-être bien de pouvoir insister sur certains points donc en ma qualité de rapporteur chargé de l'examen du titre 2 du projet de loi mon intervention sera centrée sur la transposition de la directive du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union plus connu sous le nom de directive Nice 2 avec cette directive il ne s'agit plus seulement de sécuriser des infr strructure critique mais aussi d'assurer la résilience des entités critiques en tant qu'organisation et de l'ensemble de leur système d'information et de fait cette résilience est indispensable s'agissant des collectivités territoriales car celles-ci sont de plus en plus victimes de cyberattaque avec 187 incidents les concernant traités par l'ANC entre janvier 2022 et juin 2023 alors que l'imposition des règles aux collectivités est laissée au libre choix des États-membres dans la directive la France qui apporté cette nécessité lors des négociations européennes a fait le choix de les intégrer dans ses nouvelles exigences au regard de la multiplication des attaques affectant les services publics locaux et leur faible sécurisation le projet de loi prévoit ainsi que près de 1500 collectivités territorial groupement de collectivités et organismes placés sous leur tutelle dont l'ensemble des régions et des départements près de 1000 communautés de communes et 300 communes de plus de 30000 habitants devront se conformer au cadre législatif résultant de transposition de la directive Nice 2 en particulier l'ensemble de ces collectivités devront elles-même évaluer si elles sont soumises à la directive si elles sont entités essentielles ou importantes et devront s'enregistrer auprès de l'ANS et lui notifier tout incident de cybersécurité alors plusieurs questions avec déjà des réponses partielles mais sur lequel je voudrais néanmoins insister euh partagez-vous le constat selon lesquels les collectivités territoriales sont au aujourd'hui souvent vulnérable face aux menaces cyber vous l'avez évoqué beaucoup se disent inquiètes considèrent le sujet très importante mais peu sont finalement conscientes et même armé et quand vous dites globalement qu'il y a des inquiétudes fortes des conséquences dramatiques mais que finalement les évolutions budgétaires en tout cas les budgets qui sont alloués ne sont pas au rendez-vous n a-t-il pas une incohérence et comment peut-on faire ou pourrait-on faire pour corriger ces incohérences deuxème question considérez-vous que les obligations mises à la charge des collectivités par le projet de loi soient proportionné c'est-à-dire adapté au moyens et à la maturité des acteurs alors vous avez aussi en partie répondu mais je pense qu'il est important qu'on revienne sur ce point pensez-vous que les collectivités que vous représentez sont suffisamment informés des changements à venir seront-elles en mesure de s'y conformer rap et comment faire pour pouvoir faire évoluer justement ce ce niveau de d'information enfin pensez-vous que l'Agence nationale de la sécurité des systèmes d'information est suffisamment bien identifié par les collectivités territoriales comme un interlocuteur de confiance dans le domaine de la cybersécurité car les entités régulées par la directive Nice 2 devront s'enregistrer auprès de l'ANC je vous l'ai dit mais aussi lui signaler tous les incidents significatifs de cybersécurité donc la relation euh collectivité ainsi doit être fluide voilà pour mes questions monsieur le Président merci Monsieur rapporteur est-ce que ça vous dérange pas si on prend les deux autres questions des rapporteurs comme ça c'est voilà effectivement je pense aussi monsieur rapporteur merci monsieur le Président Mesdames et Messieurs doncori je suis sénateur du Loiret je suis membre de la commission des affaires étrangères et de la défense au Sénat et c'est à ce titre que donc je m' était proposé d'être rapporteur euh de la directec du titre premier donc plus spécifiquement de la transposition de la directive REC euh je vais pas vous faire la même introduction que mon collègue pour vous laisser plus de temps pour répondre mais j'ai quelques questions également à vous à vous poser euh quel bilan tirez-vous du dispositif actuel de sécurité des activités d'importance vitale pour les collectivités territoriales quelques-uns d'entre vous ont donné des des statistiques mais je serais intéressant intéressé de savoir euh dans chacune de vos organisations quelle est la proportion euh des entités que vous considérez être robuste par rapport euh par rapport au à la dans dans vos différentes associations quelle est la la proportion de région de de de communes de départements que vous considérez comme étant euh euh engagé dans un dans une politique de défense cyber et considéré comme robuste par rapport à ce à ce risque euh comment évalz vous la la philosophie générale de la directive REC et du titre premier du projet de loi notamment leur priorité donné à la résilience sur la simple protection quel regard portez-vous sur les définitions inscrites à l'article 1er du projet de loi activité d'importance vitale infrastructure critique point d'importance vitale et système d'information d'importance vitale selon vous les obligations prévues dans le titre 1er plan de résilience opérateur et particulier notification d'incidents exigences spécifies pour les entités critiques européennes sont-elles pertinentes et proportionnées comment jugez-vous les mécanismes de contrôle d'astreinte et de sanctions prévu en cas d'obstruction qui pourront aussi s'appliquer aux collectivités territoriales puis enfin le Conseil national d'évaluation des normes a émis un avis défavorable sur ce projet de loi au regard des coûts non compensés qui l'engendrera vous avez chacun vous avez insisté sur le fait queévidemment il y avait des il y aurait des couts induit pourriez-vous nous nous indiquer quelles mesures pourrai être prises par l'État pour accompagner les collectivités leurs groupements ou leurs établissements qui seront des désigné au iiv dans la mise en œuvre de leurs obligations je vous remercie merci beaucoup euh sateur Michel kenv rapporteur merci monsieur le Président Mesdames et Messieurs chers collègues effectivement je suis corapporteur pour la partie d'Ur mais je ne pense pas que pour ce qui concerne les collectivités territoriales il y ait au niveau au niveau des organismes financiers euh euh des euh particularités sinon vous pourrez me le dire donc euh je vous pose deux questions à titre général la première pour savoir si à votre avis on est dans un contexte de surtransposition pour ce qui concerne les obligations fait aux collectivités territoriales sur Nice 2 et la deuxème question c'est euh euh sur le délai pour la la mise en œuvre est-ce que euh les choses vous semblent claires ou souhaitez-vous qu'il y ait des délais euh un peu supérieur pour la mise en œuvre des et le respect des des obligations si vous considérez que ce n'est pas de la surtrposition Merci euh mes chers collègues rapporteurs est-ce que vous acceptez j'ai les que les collègues posent leurs questions en complément directement parce que comme ça ça va éviter vous allez avoir un exercice de collectivité sénatoriale ok donc Michel Valy d'abord et puis ensuite merci monsieur monsieur le Président Michel V je suis sénateur de la Charente Maritime on a parlé de question de moyens et de ressources humaines on a parlé de question d'acculturation aussi et passez-moi l'expression est-ce que pour éviter de réinventer l'eau chaude sur ces questions d'acculturation on pourrait essayer de profiter d'un exercice qui existe déjà dans un certain nombre de communes donc je m'adresse plus au représentants des communes donc à notre collègue Michel sauade et puis au au Grand Paris en reprenant par exemple une proposition une recommandation de l'AMF qui dans son guide sur la cybersécurité de novembre 2020 affirmeré que les plans de crise des communes et des intercommunalités devraient être complétés par un volet numérique c'est aussi une proposition qui a été formulée par les élus au numérique lors du 5e Congrès national organisé par Ville Internet en 2023 et qui proposait de rendre obligatoire une périodicité d'exercice de cyberattaque sur les 21000 et quelques communes 21000 et quelques communes en France tenu de rédiger appelle un plan communal de sauvegarde bon on on comment dire on distingue châurou au cololmar qui ont déjà intégré le risque cyber dans le dans le PCS est-ce que vous pensez tout simplement que ça pourrait être une piste où à l'occasion des renouvellements des plans communaux de sauvegarde on pourrait faire en sorte de systématiser un chapitre sur le le risque cyber sans aller forcément très loin mais pour faire une pierre de coup la sénatrice Catherine main de Sailler merci monsieur le Président je suis sénatrice de scène maritime et conseil régional de Normandie donc je suis extrêmement sensible à ce que mes collègues voilà en face ont comment dirais-je expliqué à propos la position de de région de France et et je partage complètement les les remarques que vous avvez formulé la transposition de ce texte mais clairement en en lumière en réalité l'carence d'un État qui est tout au stratège je rappelle qu'on a eu quand même quatre ministres du numérique en peu de temps et que aucun d'entre eux n'avait une vision panoramique et transversale du du sujet et c'est bien ça le le problème il y a 10 ans dans un premier rapport au Sénat nous établissions le fait qu'il fallait absolument un Haut commissariat au numérique et même dans la loi pour une république numérique nous avions amendé le texte dans ce ce sens-là donc ce sera être l'occasion la transposition de la directive Nice 2 de redire qu'il faut absolument qu'on change complètement de de de de stratégie dans le cadre de cette stratégie énoncé est-ce que l'ensemble des collectivités que vous représentez est-ce que vous sentez suffisamment accompagné éclairé sur certains choix stratégiques aussi qui convient d'avoir et de bons réflexes en réalité pour se prémunir les cyberattaques cyberattaqu c'est bien sûr les infrastructures techniques physiques ce sont aussi dans le cadre du informatique en nuage ce sont aussi les logiciels de traitement les Data Center c'est toute une chaîne en fait qu'il faut sécuriser est-ce que par exemple sur le choix de logicienne euh ce qui va contribuer à gérer ce que sont les données sensibles que vous avez aussi à traiter qui ont être à protéger quel voilà de quel éclairage bénéficiez-vous est-ce que vous pensez que vos collectivités soit séparé soit réunis dispose de circulaires clair sur ces sujet est-ce que vous vous sentez accompagné aussi par alors on a évoqué l'ancy mais il y a bien sûr l'acnil aussi qui accompagne comment on dirait les collectivités sur ces sujets j'aurais bien aimé disposer de votre éclairage les cyberattaques ont concer bien sûr vos collectivités nos collectivités mais également les établissements de santé mais pas pas que des lycées il y a pas si longtemps que ça aussi subit des cyberataques voilà dans vous avez chacun des niveaux de à votre niveau les établissements scolaires en responsabilité lycée collège école il y a des choix technologiques aussi à opérer quand vous équipez les les les les élèves les établissements des choix à la fois de de d'outils mais également de logiciel de traitement encore une fois comment ça se passe par exemple avec l'Éducation nationale a-t-il les commissions dédiés avec des directives claires avez-vous en face de vous des personnels qui vous semblent formés et compétent sur ces sujets car la formation des formateurs est obligatoire je dois dire je me suis presque étranglé quand j'ai découvert que ma propre région c'était elle qui financer des dispositifs pour prévenir les excès des des écrans et du coup des cyberattaques à travers les les écrans ce n'était pas l'éducation nationale qui faisit ce travail là voilà c'est question assez simple mais qui rentre quand même dans le champ la réflexion sur la cybersécurité merci ma cher collègue il y a encore trois demandes de de questions donc la liste s'allange je vais peut-être l'arrêter là parce qu'après on va oui oui non mais vous êtes voilà c'est ça donc j'ai Ludovic est et ensuite vous-même donc ça s'allong mais il faudra vous vous comment dire vous mettre d'accord pour vous compléter dans les réponses voilà ce que je veux dire donc merci monsieur le Président mes chers collègues mesdames et messieurs merci d'abord de nous consacrer de de votre temps pour nous nous remonter effectivement les les informations du teroire chose que nous obtenons aussi dans notre dans nos fonctions de sénateur et de sénatrice un point qui est peut-être qui n'a pas été évoqué depuis le début c'est de revenir à ce qu'on appelle la politique de gestion du risque ça on a peut-être pas assez parlé c'estàdire qu'on peut pas non plus à travers cette directive demander aux collectivités territorial plus que le prix de l'attaque elle-même si elle venait à à venir un de ses jours oui tout à fait une cyberataque leovic aujourd'hui une politique et vous l'avez dit je crois que c'est vraiment le le le point commun de toutes intervention c'est de dire qu'une politique claire et efficace au niveau national n'empêche en rien une articulation agile au niveau territorial je dis ça parce que aucune collectivité vous le savez comme moi ne ressemble à une autre aussi bien dans le fond que dans la forme par leur taille par par leur implantation géographique mais aussi dans la dans dans la dans le fond puisque il y a des collectivités qui sont spécialisées dans la délivrance de papier d'identité d'autres dans l'instruction de permis de conduire ou encore spécialisé dans le dans le volet social donc ça en fait des des communes et des collectivités différentes qui n'ont pas forcément les mêmes besoins et les mêmes données à protéger simplement euh je vais je vais aller à l'essentiel cette directive ne doit pas constituer je l'ai déjà dit la dernière fois une épée d'amocl supplémentaire sur la tête des communes qui on est qui on déjà plusieurs sur d'autres sujets je crois que c'est extrêmement important surtout que mettre de toute façon les communes op pas avec une sanction philigrane n'a jamais été vraiment une solution un gage d'efficacité le deuxième point qui est important c'est que aujourd'hui ça c'est très important mettre un coefficient de proportionnalité entre l'argent investi et le niveau de sécurité atteint pour moi est utopique c'est c'est tout à fait le contraire moi j'essaie de d'aller dans les communes pour leur dire qu'on peut aujourd'hui se protéger de manière efficace sans investir trop et je crois qu'il faut pas non plus qu'on aille dans une course en avant dans une fite en avant où les communes vont devoir faire des des études préalables et cetera ell en ont d'ailleurs déjà pas les moyens euh au risque de de pouvoir ne pas aller au bout du du système faisons attention aussi que ce qui peut apparaître comme un investissement au départ peut se transformer en de du fonctionnement dans les années au fil du temps sachant que c'est un peu ce qui pose problème aux communes dans leur budgets communaux enfin ce que je voulais vous dire Infiné en tout dernier c'est que euh les actions qui de bon sens qui peuvent être mises en place au niveau des communes euh parfois c'est simplement de l'identification de données critiqu quells sont les l'ident quelle est l'identité quelle est l'information qui est critique dans cette collectivité territoriale et quelle est euh leur politique de restauration en cas de problème avec ces deux questionsl on arrive quand même pas mal à les rassurer et à pouvoir agir efficacement en cas de de problème et enfin au niveau RH vous l'avez dit mais je crois que c'est utopique malheureusement pour certaines communes de pouvoir s'offrir les services d'un spécialiste cyber alors qu'elles n'ont déjà pas la possibilité de se prendre une secrétaire générale de mairie à pleintemps donc là aussi il faudra qu'on soit très vigilant la solution pourrait être de tout transférer à le PCI là je crois qu'il faut aussi être très vigilant parce qu'on créerait une fracture numérique supplémentaire merci à vous merci chers collègue madame audreé linkenfeld merci monsieur le Président bonjour à tous audre linenel donc je suis sénatrice du Nord élu de la ville de lillele euh en tant qu'élu de la ville de lillele à l'époque comme première adjointe j'ai eu à subir il y a 2 ans maintenant une cyber attaque d'ampleur euh donc je mesure tout à fait ce que ça veut dire chers collègues de délivrer des actes d'état civil par exemple quand on a plus d'informatique ou de délivrer des billets d'entrée à la piscine aux EAU ou ou ou dans les médiathèque je suis par ailleurs membre du conseil de surveillance d'Ur technologie dont l'une des filièes il a le opère le campus Ciber haut-de-france donc assez au fait aussi de ce que vous avez pu dire sur ce sujet sur le financement sur la pérenité sur l'efficacité ou en tout cas la manière dont se sont monté les cessorts j'aurais souhaité vous vous posez de deux trois questions une ou deux qui ne font finalement que revenir ce ce que vous avez dit vous-même donc est-ce que vous pourriez expliciter ce que vous avez pu dire je pense en particulier à la R sur la différence entre le niveau national et le niveau régional de Lan dans l'accompagnement et peut-être aussi par extension pour rebondir sur ce qui a été dit par des collègues précédemment sur la knil qui est un interlocuteur souvent national mais dont on a besoin quand on est malheureusement victime d'une cyber attaque expli expliciter pardon aussi ce que vous nous avez dit sur l'absence de compétences cyber comment vous voyez les choses l'articulation entre la compétence numérique la compétence économique la compétence cyber dans les différentes strates interco et ou région et enfin question plus plus nouvelle cela a été abordé tout à l'heure par Michel Valy notamment moi je suis assez favorable en effet à ce qu'il y a un volet cyber dans dans les PCs parce que quand on a subi une attaque et qu'on doit tout redémarrer on mesure à quel point ça ça aurait été utile d'avoir un un un plan de Contin é ou un plan de reprise ma question est la suivante au-delà des aspects strictement numériques de cette continuité et de cette reprise est-ce que vous considérez peut-être que la métropole du Grand Paris qui a accompagné je crois 113 incidents vous nous avez dit est-ce que vous considérez qu'il y a aussi un déficit d'accompagnement de l'État sur les process tout courts c'est-à-dire pendant qu'on a pas d'informatique en fait on fait comment quand on doit délivrer un acte d'état civil quand c'est pas un Lillois qui vous le demande mais à marseillais on fait comment quand on doit délivrer un permis de construire bref on fait comment pour assurer la continuité du service public dans n'importe quelle grande entreprise on peut penser que ça passe par des process qui sont écrits et qui existent à l'échelle de nos collectivités je suis pas certaine qu'on est l'équivalent est-ce que c'est des choses auxquelles vous avez été confronté est-ce que vous ne pensez pas que si on veut une politique complète en matière de cybersécurité on doit aussi s'intéresser à ces ASPS non numérique de la continuité de nos services merci Merci beaucoup ma cher collègue madame Vanina Pauli g oui merci beaucoup monsieur le président mesdames messieurs merci beaucoup je suis sénateur de l'Aube j'ai trois petites questions la première elle recoupe un peu celle qui a été posée par une de mes collègues c'est sur les infrastructures et les outils en fait est-ce que vous pensez qu'on gagnerait à orienter un peu la commande publique des collectivités vers des des outils et des infras peut-être moins vulnérables plus open source et et plus européens ça c'est ma première question la deuxème c'est sur les RH dans l'Aube nous avons créé une université qui s'appelle l'université technologie 3 qui forme à la sécurité globale et nous avons lancé un institut ha for cyber qui a pour vocation de proposer des formations en Contin continu en alternance prof professionn et qui forme déjà notamment des forces de l'ordre sur ces enjeux de security cber donc je voulais vous dire que on est très ouvert à à toute demande de formation qui pourrait émaner des des collectivités et et enfin moins PRODOMO j'aurais souhaité savoir si vous aviez avancé la réflexion sur le financement puce qu'on voit bien que on a un problème de financement est-ce que vous avez eu à chaque niveau d'organisation regroupant les collectivités des discussions avec France assureur parce que finalement ce dont on parle c'est un risque et donc en général quand il y a un risque on se tourne vers les structures d'assurance des risques et donc je je voulais savoir si vous pensez qu'il serait de bonne àoi de de faire contribuer les assureurs activement au financement de de de ces finalement des des coûts induits par ces transpositions qui vont augmenter le niveau de sécurité je vous remercie merci beaucoup mes chers collègues alors normalement on devait terminer à 18h donc je suis obligé de lancer un plan de recovery le donc je propose que on finisse on allonge de 10 minutes ce qui nous donne 15 minutes pour répondre et je sais que je crois qu'il a vous deviez partir à 18h donc je c'était prévu comme ça donc je bon c'était si c'est 18h15 c'est bon alors dans ce cas-là je le fais dans l'ordre donc qui était prévu donc on va commencer par Monsieur sauvad si vous nous entendez bien hein et si ça fonctionne toujours oui là on n' pas le son vous avez l'air de voà ça y est ça VI si c'est bon très bien alors très très rapidement aux questions dans l'ordre si vous voulez j'ai pas eu le temps vraiment de de de synthétiser Mo moins rompu à l'exercice que vous euh je je pense euh vous savez que laamf comme comme la DF d'ailleurs sont des associations généralistes chacune à leur niveau de collectivité locale et elles sont entourées et et soutenu de l'expertise un certain nombre d'associations qui sont plus qui sont plus spécialisées et et nous dans le domaine du numérique ben on peut compter sur le le l'expertise de la viica l'expertise du de la FNCCR et cetera pour avoir ces élémentsl vous vous serez donc pas surpris que je je partage assez largement les les interrogations de de Patrick FZ euh est-ce qu'on partage le constat sur la sur la vulnérabilité des collectivités oui euh comme on constate également de très nombreuses vulnérabilités de nos collectivités dans tout un tas de de domaine de de sécurité hein qui n'a pas dans sa commune été interpellé c'est toujours très désagréable par quelqu'un qui vous explique Monsieur le Maire que tant que vous il aura pas eu un accident mortel vous n'aurez pas pris la la mesure du du dispositif et et et c'est vrai euh le sénateur chaise a raison il y a quelque part une incohérence euh l'AMF est parfaitement consciente que nous élus locaux nous Mair ou président d'intercommunalité on on on doit être on doit assumer nos nos responsabilités et et quelque part le défaut global que je pourrais évoquer pour l'ensemble des questions que vous avez posé c'est celui du portage politique ce portage politique n'est pas assuré pleinement par les collectivités il les sans doute plus au niveau des départements euh disons dans la globalité parce que que les moyens et et l'engagement n'est pas le même mais il y a il y a un déficit de notre part de portage politique sur un sujet qui est perçu très techno et et et et pas très intéressant quelque quelque part la position de la MF elle est très claire s'il y a un sujet politique c'est bien celui du numérique et du coup budget proportionné évidemment non information suffisante des collectivités non mais à nous quelque part aussi de de faire l'effort d'aller vers cette formation en mesure s'y conformer rapidement certainement pas et est-ce que l'ancy est bien identifié par nos collectivités je je pense pas donc voilà pour pour ce premier point pour huxori euh proportion des entités robustes et cetera moi je suis dans l'incapacité dans l'un et dans l'autre de vous le dire moi j'ai le sentiment que toutes nos collectivités sont fragilisé et à ma connaissance on na pas de statistiqu je pourrais donner des statistiques sur les budgets des départements et vous dire qu'aujourd'hui mais vous le savez aussi bien que moi les départements en terme budgétairees sont sinistrés dans un pourcentage important je peux pas vous le dire sur le le numérique euh très très clairement et je comprends tout à fait les les difficultés sur la proportionnalité des mécanismes de de contrôle et et l'avis défavorable du Conseil des normes Michel canivel contexte de surtransp ition ça a déjà été évoqué dans une table ronde précédente certains points paraissent curieusement soustransposition je pense justement à à à à l'identification des des incidents à faire remonter d'autres nous posent problème Patrick Chise l'a évoqué avec l'embarquement qui était à la main des des gouvernements sur les les collectivités concernant les délais supérieur bien entendu la question des déélèves va se se poser mais je crois que la question c'est surtout notre capacité à travailler ensemble pour essayer d'avoir des délais qui sont adaptés à chaque strate concernant michaelll valet euh que je remercie d'avoir évoqué les recommandations de de laamf à juste titre euh pour aller dans son sens sur ce qui existe déjà il y a quelque chose qui s'appelle immunité cyber avec la gendarmerie nationale qui permet aux collectivités de s'identifier en 10 cases à cocher et avec un accompagnement local qui permet aux communes les les plus petites de mettre un point d'attention sur les les difficultés majeure mais bien entendu l'AMF se veut le le relais pour l'ensemble des des collectivités de la plus petite mairie à à à à la commune de de Paris et concernant Madame Catherine main de sailli j'espère que j'ai pas écorché les les noms euh la la question de la compagne ement des collectivités il est clair que non et je partage nous partageons nous la nécessité de de faire du numérique un sujet numérique à à à part entière par opposition à à ce qu'évoquait Michel Valet avec le le l'aduction au PCs c'est une réflexion qui peut être conduite en terme de gestion de crise mais qui doit être doublé d'une dimension spécifiquement euh numérique je pense qu'il a cet aspect là est important euh Ludovic est évoque la la politique de gestion du risque et ne pas demander plus que le prix de l'attaque je l'ai je l'ai évoqué je partage tout à fait votre point de vue mais ça interpelle qu'on qu'on en soit là je crois qu'une réponse peut être plutôt du côté de l'État que dans le domaine de de la sanction même proportionnée de parvenir à créer une dynamique collective et dès lors que l'État n'est pas embarqué l'intervention de de constance nbula par rapport à la ministre est assez édifiante et venez en complément de ce que j'ai dit ce qui pêche c'est la volonté de de l'état de de s'engager contrairement aux échanges que moi j'ai pu voir dans les différentes tablesrondes que vous avez construite Audrey lineneld sur la différence entre le niveau national niveau régional ça relevait des régions et enfin Sylvie gouavan orienté vers des produits open source plus européen je crois qu'il y a deux choses moi je suis confronté en tant que vice-président au numérique du département euh à à l'évolution de nos dispositifs et aujourd'hui l'Open Source pour une collectivité qui ne dispose pas du backoffice important derrière de mise à niveau et de suivi ça se traduit non pas par une avancée en terme de numérique moi ce que je gère aujourd'hui au niveau du département du PIP d'Ô pour ce qui concerne le budget du numérique dont j'ai la responsabilité c'est pas avancer vers plus de cyber avancer vers plus de euh développement du numérique je suis en train de me débrouiller pour résorber au mieux une dette numérique euh qui est en réalité creusé au fil des années par l'absence d'une politique globale adaptée j'ai essayé d'être très très rapide euh l'AMF en tout cas est est à la disposition de de vous tous euh mes obligations m'amènent très régulièrement à être sur Paris je suis vraiment à votre disposition si vous le le souhaitez avec beaucoup de de plaisir et en vous remerciant pour la qualité de l'échange merci merci beaucoup c'était donc je pour précision madame paolie gagin à qui vous avez répondu en dernier donc il y a une petite erreur sur le nom pour le le script on va reprendre un un pilotage politique justement de de l'échange puisque ça fait parfois défaut ça a été souspointé c'est que là la réponse effectivement a été très très comple sur tout le monde je vous proposerai de voilà de d'être synthétique et de faire voilà pour voilà pour qu'on s'en sorte dans le dans le temps qui était un peu imparti alors on y va madame neb merci beaucoup donc je vais pas répondre aux questions effectivement une par une tiret par tiret et je vais essayer de de regrouper les sujets entre guillemets par par thème le premier sujet était sur la prise de conscience des collectivités à l'échelle des régions il serait faux de dire qu'il y a pas une prise de conscience parce qu'on est on est des entités qui sont quand même relativement fortes relativement cost avec des grosses DSI et avec des moyens par contre ce que l'on a constaté à l'échelle des régions c'est le niveau d'en dessous qui n'a pas cette prise de conscience et ce qui n'est pas forcément au courant je vous ai donné tout à l'heure le chiffre de 23 % qui n'a jamais entendu parler de Nice 2 je vais vous raconter une anecdote nous la région Pays de la Loire on a un Jeep qui s'appelle e collectivité qui vise à accompagner la transformation numérique des collectivités numérique responsable intelligence artificielle cybersécurité la base de la base de la base c'est quand même d'avoir une adresse mail sécurisée à au base mon village macommune.fr et cetera il faut imaginer que quand on propose gratuitement gratuitement à une commune une petite commune de l'héberger d'avoir un nomre domaine propre et de l'héberger parce qu'elle avait nan le maire@gmail.com la commune nous répond je garde mon Gmail voilà donc donc c'est l'exemple que je voulais vous donner simplement sur la prise de conscience donc la prise de conscience elle n'existe pas dans les strates plus petites mais au niveau des régions ça va plutôt bien au niveau de l'an bien identifié oui heureusement qu'on a l'an enfin vraiment heureusement qu'on a en région et c'est la c'est un petit peu le sujet que j'ai envie d'évoquer c'est qu' on manque de moyens de l'an en région alors que quand on a une cyber attaque il se trouve que moi je suis aussi élu local je suis élu à Angers qui a été la deuxième plus grosse cyber attaque avec ex Marseille il y a maintenant 3 ans et demi on a mis 3 ans pour s'en remettre notre premier réflexe a été l'ancy qui nous a aidé c'est pas l'état enfin pas c'est pas l'état c'est pas les process processe de l'État c'est l'an et c'est le privé puisqu'il a fallu remédier au système d'information donc c'est la c'est un peu en mode débrouille mais heureusement qu'on a l'Anci en région et c'est l'ancien en région qu'il faut renforcer en revanche ça a été évoqué tout à l'heure a été évoqué l'acnil il serait faux aussi de dire qu'on a beaucoup de liens avec l'acnil c'est pas quelque chose qui est décentralisé c'est pas un interlocuteur local c'est pas un interlocuteur pour les élus voilà contrairement à lanc encore une fois une belle présence en région euh au niveau des sanctions je crois que c'était vous monsieur le Président qui avait dit sur une table ronde on était tous les deux ensemble vous avez dit la loi est la même pour tout le monde et je suis assez d'accord sur le principe à condition qu'il y ait l'accompagnement nécessaire je ne suis pas d'accord pour que les collectivités soient sanctionnées sils n'ont pas été aidés à faire ce pourquoi on leur a demandé de faire je je soit on décide qu'il y a une différence entre le secteur public et le secteur privé et les sanctions sont pas les mêmes d'accord mais soit on décide de mettre des moyens sur l'accompagnement effectif et là les sanctions sont les mêmes voilà c'est un point de vue je je suis pas antisanction ou proanction je vous dis juste que les la sanction pour la sanction ça n'a aucun intérêt et encore une fois les collectivités on croule sous les sanctions les réglementations les normes et cetera euh enfin commençons par l'accompagnement avant de penser à la sanction ça me paraît assez logique sur transposition est-ce qu'on en a peur euh un peu mais j'ai envie de vous dire que le sujet vient pas de nous et le sujet vient de l'Europe mais c'est un autre débat eu parce que plus on a de normes européennes plus elles se démultiplient à l'échelle locale mais c'est encore une fois un autre sujet le délai de 3 ans je pense que le délai de 3 ans en tout cas du côté des régions est bon encore une fois on n pas attendu pour commencer on a on a le enfin voilà on est on est dans le on est dans les clous HH je répondrai pas sur la partie euh r parce que ça nous concerne moins euh pareil sur le PC le PCS en revanche question politique bien entendu quelle transversalité ministérielle en fait à qui on parle à bciy à l'intérieur ou à la défense on ne sait pas voilà c'est quelque chose qu'on enfin vous allez c'est aussi quelque chose que j'ai évoqué avec l'arrache à la semaine dernière moi à titre personnel ça fait des années que je défends le fait d'avoir un ministre unique du numérique c de la cyber et de l'IA qui dépend du Premier ministre et qui est qui est transversalité sur les autres directions ministè enfin sur les autres ministères c'est logique et tant qu'on aura pas ce positionnement là et ben on pourra toujours discuter stratégie de l'État voilà mais un jour un jour peut-être ça ça a existé exactement et c'était très bien maintenant on va faire avec ce qu'on on va faire avec ce qu'on a je répondrai pas sur les données sensible je pense que Jérôme en dira un mot il se trouve que je suis président d'Open Data France donc la question des données me touche particul iement et là aussi heureusement qu'on a des structures qui existent pour palier au manquement de l'État c'est encore un un avis personnel les environnements numériques de travail dans les lycées sont attaqués nous en Pays de la Loire on a eu un hacking dans un lycée avec des vidéos d'une violence in Nui diff diffusé sur l'environnement numérique de travail les le personnel n'est absolument pas formé à ça ils savent même pas quoi faire c'est panique à mort vraiment c'est panique à mort donc là il y a tout un volet où je j'ai pas la réponse à la question de comment on va sensibiliser jusqu'au au personnel des lycées puisque étant donné que tout est numérisé il faudrait aller partout en terme de de formation et de sensibilisation eu le budget DSI je vous confirme que plus les années passent plus le budget du DSI augmente en fonctionnement c'est d'ailleurs même le seul budget dans les collectivités qui augmente en fonctionnement puisqu'on est censé normalement réduire le fonctionnement et avoir plus d'investissement et et les le budget des DSI augmente en fonctionnement structurellement parce qu'il faut payer de plus en plus d'outils numériqu qui pay qui paye sur le budget de fonctionnement donc c'est un problème h je vous ai évoqué anc compéten et je terminerai sur la partie compéten cyber éventuellement région le sujet n'est pas encore une fois n'est pas tant la compétence qu'un manque de clarté qu'on nous dise oui ou non si on s'en occupe mais si on s'en occupe on nous donne les moyens de le faire mais qu'on nous dise pas on vous propose de faire un saisir mais débrouez-vous on vous propose de faire un campus cyber mais débrouillez-vous je suis désolé de donner cet exemple mais pour moi le 17 cyber crée une sorte de confusion parce que le 17 cyber c'est un numéro national mais qu'est-ce qu'on fait des numéros régionaux je je je pour moi ça vient en contradiction ça veut dire que les appels dans les césirtes vont être moindres que les appels éventuellement au 17 cyber ou pas enfin là en fait si vous voulez peut-être que nous comme on est un peu plus en affinité avec le sujet on va pouvoir l'expliquer mais pour le grand public c'est un bazar horrible il pareil pareil pour les associations pareil pour les entreprises ils ne vont plus savoir plus il y a d'entités plus il y a d'organismes moins on sait vers qui se tourner et c'est un peu le problème donc on est en mode c'est le terme que j'ai dit tout le temps sur ce type de sujet on est en mode débrou et je pense qu'on va malheureusement continuer à être en mode débrouilleux merci oui c'est bien d'avoir un numéro unique vous savez parce que quand on doit savoir déjà dans quelle région on se trouve que il y a un numéro et comme il se trouve que toutes les régions n'ont pas justement à CIRT voilà et la décision de faire des CIRT régionaux n'a pas été non plus il y a pas eu de consultation préalable et donc faut voilà on se retrouve dans la question de pilotage on se retrouve avec ce qu'on a mais on avait besoin justement depuis longtemps d'un numéro d'appel unique qui peut réorienter vers éventuellement à C régional si ça la solution peut être là euh monsieur oui merci beaucoup alors c'est un exercice extrêmement frustrant parce que contre un par le temps je vais pouvoir juste répondre qu'à quelques éléments euh juste sur cette question du CIRT rappeler malgré tout qu'il y a un lien entre les C régionaux et le 17 cyber de redirection en tout cas en Bretagne c'est il y a ce travaill là qui a été fait moi je vais vous juste vous deux trois sujets je je je prône pour effectivement un partage politique unique mais mes relations et c'est la chance qu'on a en Bretagne c'est vrai qu'on a une relation très proche avec le ministère des armées et donc il y a une chose dont je me suis rendu compte que je vous verse ici à votre réflexion c'est qu'il y a une dualité quand même dans la cyber il y a la cyber civil et de défense comme l'a et je suis pas certain discuter avec le ministre le cors nu notamment qui est très allant sur le sujet de l'a de défense que c'est un sujet aussi facilement transversal qu'on le dit ici en tout cas c'est c'est peut-être pas pas aussi simple je pensais initialement qu'il était simple mais en discutant sur cette dualité je me dis que c'est peut-être pas c'est peut-être une des raisons pour lesquelles on a du mal à avoir un portage unique derrière vous redire également que je suis intimement convaincu par rapport à tout ce qu'on se dit qu'il y a un vrai rôle de monter en compréhension du risque cyber à tous les niveaux les régions effectivement on peut penser que parce qu'on s'est emparé du sujet du campus de des CIRT qu'on a cette cette capacité et Constance l' très bien à niveau a très bien rappelé les moyens financiers même s'ils sont contraints de pouvoir aller là-dessus il n'en demure pas moi que mes collègues élus sont bien éloignés de ces sujets là et donc qui doivent prendre aussi des décisions derrière donc je pense qu'il faut encore une fois avoir moi le message que je veux porter c'est un message d'humilité et un message aussi de de travail de de faire mont en compence en compréhension de ce risque cyber en tout cas c'est comme ça qu'on le porte en Bretagne et donc derrière le rôle des CIRT le rôle de Lancy que je je tiens aussi également et je rejoins les propos de ma collègue sur le fait que l'ancy a un rôle primordial dans dans les territoires et le lien qu'on peut avoir avec eux est extrêmement important mais je trouve qu'on fait porter beaucoup de choses sur les les épaules de Lancy voilà c'est qu'on a l'impression qu'ils vont tout faire et donc c'est là où je sais les questionnement qui peut avoir que certains d'entre vous ont que j'ai pu noter dans d'autres auditions je l'ai rappelé tout à l'heure des des des gens d'ailleurs qui qui ont fait dire aux élus au numériqu qui trouvaient que le le cissire servait à rien en tout cas moi on m'a pas posé la question je vous dis tout le contraire je pense que ça peut être une partie de la solution parce que ça nous permet d'avoir un lien avec l'ancy parce que ça nous permet d'avoir un lien avec les territoire et que ça permet de faire ce travail de de de faire comprendre ce qui est derrière ce risque cyber c'est pour ça que nce 2 en tant que tel euh je suis pas capable je suis pas suffisamment enfin le projet de loi que j'ai eu entre les mains fait 900 pages j'ai pas tout lu en tout cas c'est un bon moyen de donner l'opportunité de parler du sujet et donc je pense que là derrière ce ce lien entre le campus national le le cette stratégie nationale et ce qu'on peut descendre dans les territoires sera extrêmement important et une dernière chose sur le choix des solutions plus souveraines c'est un vrai sujet encore dernièrement je déjeuner avec Microsoft euh et qui enfin voilà je suis très interpellé sur le fait d'un côté des grandes ambitions et la réalité du terrain quand on fait des choix de solution parce que c'est plus facile et que et que on est un peu embarqué dedans c'est un vrai sujet voilà que je partage avec vous et je pense que cette sensibilisation des élus est extrêmement important derrière donc c'est pas simplement les collectivités CEI au sein des collectivités différents élus voilà ce que je pouvais dire rapidement mais je et vous aviez bien dit plutôt qu'il faut aussi avoir les moyens de ses ambitions donc c'est voilà ça nous renvoie à ça madame interministériel intercommunalité VO intercommunalité moi je vais être brève et je ne vais pas répondre à toutes les questions ni même regrouper je ne suis pas rompu à l'exercice du tout mais je je vais oui je vais je vais commenter de de deux trois questions qui m'ont qui m'ont interpellé notamment B est-ce que les les collectivités sont connaissent l'an connaissent laacnil enfin tout tout ces relations B ça dépend de la taille he tout simplement mais est-ce que c'est gênant pas toujours une commune effectivement comme disait Michel sauade bah elle sait qu'elle peut s'adresser à sa gendarmerie la gendarmerie est très très à l'écoute donc parfois ça peut ça peut ça peut largement suffire donc c'est pas la peine de d'aller chercher des choses très complexes parfois ne serait-ce que lors d'une attaque ou ne serait-ce que pour être accompagné diagnostiquer parce que c'est c'est c'est un moment important par ailleurs euh en ce qui concerne la gestion des risques les PCs ben je suis en ce qui me concerne effectivement c'est pas la peine parfois d'aller dépenser des sommes folles dans des équipements euh alors que c'est d'abord des bonnes pratiques donc il y a peut-être une première partie diagnostique qui peut être fait soit par monnaie de cyber soit par la gendarmerie enfin savoir où on en est avoir les moi je je sais que dans ma commune j'ai fait faire j'ai fait l' NC là mon cyber euh bah c'est des questions simples vous faites quoi de vos outils est-ce que c'est vous avez un mot de pass administrateur parfois ils savent pas ben demander puis puis puis c'est des choses comme ça c'est c'est parfois simplement des des des des ENF entre guillemet des bonnes pratiques pas forcément des grosses dépenses je vais pas dire que c'est pour tout le monde la même chose là je parle des plus petites structures mais c'est vrai que en terme d'accompagnement global je dirais c'est assez zéro enfin enfin je suis je je suis peut-être excessive mais il y a pas trop d'accompagnement chacun se débrouille euh nous au niveau des interc ben nous on essaie d'accompagner les les les communes sans la compétence on n tient pas plus que ça simplement on veut tous avoir la possibilité ben de voir comment on peut mutualiser plus ou moins en fonction bah des des des des des volontés des communes déjà et et des moyens des interco à ce niveau-là donc on a vraiment tout tout déjà tous les niveaux de de mutualisation faut simplement que la la transposition ou ce qu'on va nous demander ne ne ne nous ne soit pas trop complexe parce que sinon ce serait contre-productif et et et oui pour en tout ce qui concerne gestion des risques ne sera-ce que rajouter dans les PCs ou dans les PC is enfin les les plans intercommunaux de sauvegarde qui vont qui sont normalement obligatoires à partir de 2026 pour toutes les les interco qui ont des communes qui ont qui sont soumises à un PCs une partie une partie un volet cyber avec le R risque et comment en cas de crise on peut y répondre parce que là là là simplement des des choses basiques qui pourrait être inscrit dans ces PCs ou dans ces PCIs ça aiderait beaucoup de gens parce que les communes ou les petites interc sont ont peur de l'attaque mais sont tellement perdus par rapport à la réponse que que il suffirait simplement d'avoir un petit peu quelques quelques balises quelques quelques interlocuteurs vous faites ça ça serait déjà énorme voilà et puis après effectivement accompagnement serait aussi comment travailler sur le le après constance expliquer qu'ils ont mis 3 ans s'ans remettre c'est c'est énorme donc il il y a quand même tout un travail à à faire sur une fois qu'on a été attaqué puisque tout le monde le dit hein c'est pas si mais quand euh mais qu'est-ce qu'on fait bien sûr pour gérer la crise quand elle arrive mais ensuite pour reprendre une activité normale ou petit à petit normale ou en mode dégradé voilà merci beaucoup pour pour réflexion votre pragmatisme aussi euh monsieur le vice-président du la grande la métropole merci monsieur le Président je je vais essayer d'être court je vais essayer de répondre alors à à quelques points parce qu'il y a beaucoup de choses qui ont été dit je je partage c'est vrai que le portage politique manque quand parce qu'on a cité un certain nombre de ministères on a oublié aussi qu'il le ministère des comptes publics et ministère de la Fonction publique aussi euh et donc on a saucissonné depuis euh une dizaine d'années 10 ans à peu près euh les sujets du numérique et ce qui fait qu'il a il y a un manque d'impulsion politique donc ça c'est très important et je crois que les enjeux de l'intelligence artificiel nécessite un ministère euh plein euh ministère peut-être régalien parce que c'est aujourd'hui un sujet sur euh sur bien des bien des enjeux euh est-ce que l'accompagnement est suffisant euh au niveau de de l'état de l'an nous on a des exemples à la métropole du Grand Paris qui qui montre que que l'an a joué son rôle avant même que la région l-de-fance ait mis en place la la plateforme et numéro le numéro d'urgence donc en l'occurrence on a plutôt des des retours positifs sur le rô de l en situation de crise après il y a une réalité qui fait que il faut restaurer les données donc ça pose la question aussi de ce que l'État pourrait apporter aux collectivités dans un rôle régalien de souveraineté numérique moi je crois qu'il a il y a quelque chose à à développer auprès des collectivités c'est un vrai un vrai sujet sur la sécurisation des données sur du cloud souverain euh sur sur le Nice 2 sur le budget bon oui les collectivités bah elles ont pas de budget hein pour tous ces sujets enfin je veux dire elles ont déjà à mettre à niveau un certain nombre de systèmes d'information et donc c'est vrai que ce qu'on constate c'est compliqué donc nous ce qu'on avait fait le on a fait le choix de donner entre guillemets de de proposer un accompagnement gratuit pour que les communes déjà se se laissent euh voilà accompagner déjà premier sujet et puis après il y a évidemment l'investissement des collectivités nous on a la chance d'avoir un territoire où où on peut donner cette impulsion politique ce qui est peut-être pas le cas de tous les toutes les intercommunalités de France mais on en a fait un choix politique c'est un choix politique d'accompagner et de financer jusqu'à 50 % donc des des projets des collectivités qui nous serait soumis mais encore faut-il compléter les 50 autres pour et ça c'est à la charge aujourd'hui de la commune bon donc c'est aussi un choix politique mais on voit qu'il y a une acculturation qui progresse on voit les réseaux d'élus qui se forme on a on en a créé un au sein de la métropole et il y a une il y a une volonté quand même de d'appréhender ce sujet hein je discutais encore l'autre jour avec le maire de jeunevillier qui me parlait de l'urgence pour lui de sécuriser ses datas euh et son système et donc il il attendait un accompagnement de la de la métropole et pourtant il connaît les les dispositifs donc donc c'est un un vrai sujet mais c'est vrai que ce cette oui on peut parler de sur transposition euh Mo je parce que finalement cette là on est dans l'urgence alors il faut surtransposer euh on voit que finalement euh les communes elles font euh elles se débrouillent les intercommunalités se débrouillent les région ont mis en place des choses et donc bon ben il faut surtout mais mais attention hein on va rajouter encore des contraintes la sanction on va se retrouver sanctionné alors qu'on n pas au niveau et que l'État ne nous a jamais accompagné ou en tout cas pas accompagné à la hauteur des enjeux euh d'aujourd'hui donc il y a urgence ok mais il y a urgence aussi à ce que l'État a une véritable stratégie et qu'on définisse ce qui relève de l'État ce qui relève des collectivités ce qui relève du privé parce que il y a ce sujet de la souveraineté qui est quand même importante et puis on a la les filières parce que ce qu'on voit ce qu'on voit nous les DSI de de commune un peu robuste il nous disent nous notre difficulté c'est d'avoir des prestataires qualifiés c'est d'avoir des prestataires qui sur ces sujets cyber vont pouvoir nous accompagner et je vous parle déjà de DSI de communes robustes donc imaginez les petites communes la métropole du Grand Paris des communes qui font 3000 habitants bon et on a aussi derrière des arrondissements qui font 220000 habitants donc les niveaux sont pas sont pas les mêmes donc il y a un sujet de filière sur les prestataires et on a parfois peu de choix de solutions technologi pour les communes en matière de gestion de la relation usager on n pas 40000 solutions techniques donc il y a ce sujet là aussi qui est important donc le contrôle la sanction l'aspect punitif lié à la transposition franchement finalement c'est pas notre enjeu quoi notre enjeu c'est c'est de poursuivre ce travail pour évangéliser toutes les communes à se mettre sur les sujets sur ces sujetsl le diagnostic et puis le plan de résolution le financement et si en plus on rajoute une couche de sanction moi je je crois que ce que le numéque le numérique punitif aura aura des conséquences qui seront qui seront néfastes et qui et qui aggraveront les inégalités voilà ce que je voulais simplement dire pardonnez-moi d'avoir été un petit peu long non vous c'était vraiment très intéressant je pense que vous aviez tous bien répondu et surtout bien partager vos préoccupations je crois que vraiment tout le monde était de très haut niveau et c'est vraiment c'était un vrai plaisir cette de vous écouter tout toutes et tous c'était très bien bien sûr j'ai une requête pour revenir sur l'aspect financement parce que moi j'entends que effectivement c'est une dépense de fonctionnement qui augmente et ce mais est-ce que cette dépense de fonctionnement n'est pas finalement de façon détournée une dépense d'investissement dans le sens où la protection qui qui est donnée est quand même donc une garantie de se protéger demain donc là est-ce qu' est-ce qu'il y a pas une question à se poser ça c'est on est toujours sur cette même question qui dit qu'effectivement quand on investit 100 normalement pour une application supplémentaire on doit prévoir 7 à 10 dedans qui va qui qui se s'accompagne c'est effectivement ça ça fait partie du sujet tu tu as complètement raison mais c'est C vous voulez là je voudrais quand même qu' normalement on a eu ce sujetl la semaine dernière sur un comité d'examen euh que je présidais sur des des financement liés à des investissements de commune sur des logiciels des licences et en fait on s'est rendu compte que selon les projets selon l'interprétation de la commune ça passer en investissement et c'est un vrai sujet ça c'est un vrai sujet et pour nous pour apprécier le financement de la métropole mais parfois c'est pas c'est pas très très c'est pas très aisé et vous la raison c'est vous avez raison c'est un un vrai sujet qui se pose merci beaucoup on a donc un peu débordé par mais c'était effectivement euh voilà chacun avait beaucoup de choses à dire et je pense que comme je l'ai dit c'était très pertinent donc chers collègues je vous rappelle que nous nous retrouverons pour une nouvelle séquence d'audition en réunion plinière le mardi 11 février prochain avec à 15h une table ronde avec des représentants des organisations financières autorité des marchés financiers autorité de contrôle prudentiel et de résolution et à 16h une seconde table ronde avec les grands acteurs de la cybersécurité tels que Orange cyberdéfense kaperskii Talès ou Airbus cy security dans dans dont pardon les présences restent à confirmer après quoi nous nous retrouverons le 4 mars prochain pour la réunion consacrée à l'examen du rapport et du texte de la commission en vue d'un examen en séance publique le 11 mars il me reste une dernière fois à vous remercier merci encore au revoir merci beaucoup merci merci merci