🔴La ministre de l’IA &du Numérique sur le projet de loi relatif au renforcement de la cybersécurité

7 octobre prochain. Le calendrier d'examen de ce projet de loi très attendu laisse perplexe. Ce texte a été déposé sur le bureau du Sénat le 15 octobre 2024, a été adopté le 12 mars 2025. Notre commission spéciale a consacré un travail rigoureux et approfondi à ce sujet qui s'est traduit par un cycle d'audition puis par l'examen en commission spéciale au lendemain de la démission du gouvernement de François Bairou les 9 et 10 septembre 2025. Il s'est donc passé près d'un an entre l'adoption du texte en commission et l'inscription à l'ordre du jour. Madame la ministre, notre commission serait désireuse d'en savoir plus sur les raisons qui ont conduit le gouvernement à différer autant l'inscription de ce texte. Ce projet de loi est pourtant urgent puisqu'il vise essentiellement à assurer la

transposition de trois directives européennes adoptées en 2022. La directive rec la résilience des entités critiques qui a fait l'objet du titre 1er du projet de loi et qui est rapporté par madame Mervieux. la directive Nice 2 qui fait l'objet du titre 2 et qui est rapporté par notre nouveau rapporteur monsieur Thiebau que je salue. Enfin la directive Dora euh qui fait l'objet du titre 3 et qui est rapporté par Michael Boulou. Notre rapporteur général Éric Botorel suit par ailleurs l'ensemble du texte. La directive rec et la directive Nice 2 aurait dû être transposé avant le 17 octobre 2024. La directive Dora devait l'être avant le 17 janvier 2025. Nous sommes donc très en retard. Madame la ministre, la France a fait l'objet de plusieurs cyberattaques d'envergure au

cours de l'année. Je n'en citerai que quelques-unes qui ont particulièrement marqué nos concitoyens. En avril 2026, l'Agence nationale des titres sécurisés à NTS a détecté un incident de sécurité pouvant impliquer une divulgation de données. Et en août 2026, un acteur malveillant a revendiqué un vol de données suite à des accès illégitimes au système d'information de la direction générale des finances publiques, la DG FIP, dans des circonstances qui ne sont pas la conséquence d'une attaque sophistiquée selon les déclarations de l'ANC dans son rapport d'incident publié le 29 septembre. Ces quelques exemples nous montrent à quel point il est crucial d'élever notre capacité de résilience face aux attaques. La commission d'enquête sur les dépendances structurelles et les vulnérabilités

systémique dans le secteur du numérique et les risques pour l'indépendance de la France que j'ai eu à l'honneur de présider a rendu son rapport en juillet 2026. Cette commission d'enquête n'a pas traité de la cybersécurité des failles des entités nationales publiques et privées car j'avais la conviction que ce texte essentiel a être rapidement mené à son terme et qu'il n'était pas nécessaire que la commission l'aborda. Je me réjouis que ce soit le cas à partir de la semaine prochaine. Par ailleurs et je pense que ça sera revu par l'ensemble de des collègues, l'article 16 B ça fait be couler beaucoup d'ancre madame la ministre. Un rapport au gouvernement a été confié à notre ancien collègue Florent Bouier. Nous soyons très désireux d'en connaître les principales conclusions. Je vous

laisse sans plus tarder la parole madame la ministre avant que notre rapporteur général, nos rapporteurs thématiques et l'ensemble de nos collègues puisse vous interroger. La réunion répondra aux modalités de prise de parole définie lors de la réunion constitutive. Durée d'intervention fixée à 3 minutes pour les rapporteurs et à 2 minutes pour les orateurs de groupe et une minute pour les prises de paroles individuelles. Je vous cède la parole madame la ministre. Merci monsieur le président de la commission spéciale, cher Philippe Latbe, monsieur le rapporteur général, cher Éric Botorel, madames et messieurs les rapporteurs, chers Catherine Hervieux, cher Vincentu, cher Michael Boulou, mesdames et messieurs les députés, je suis évidemment très heureuse d'être devant vous cet

après-midi pour évoquer un projet de loi qui me tient tout particulièrement à cœur. Le projet de loi dit résilience. J'étais effectivement à vos côtés il y a 1 an pour son étude en commission spéciale en tant que rapporteur du titre 2 et je remercie Vincent Tierbo d'en avoir pris le relais. Cette audition se tient donc dans un contexte particulier, celui de la reprise de l'examen parlementaire de ce texte après une longue attente, vous l'avez dit, monsieur le président, et d'une recrudescence sans précédent de la menace cyber. À titre liminaire, je tiens à remercier chacune, chacun d'entre vous pour votre engagement sur le sujet de la cybersécurité. C'est aussi grâce à votre ténacité que nous sommes réunis aujourd'hui pour discuter de ce projet de loi et plus largement de

l'action du gouvernement en ce domaine. Mais avant d'entrer dans le vif du sujet et revenir sur les mesures du projet de loi résilience, je voudrais évoquer la mission sur le chiffrement des messageries confiées à l'ancien député Florent Boudier. Le président Laatombe m'a fait part la semaine dernière de la demande unanime du bureau de votre commission de disposer d'information sur les conclusions de cette mission. Sur ce sujet, je voudrais vous apporter les précisions suivantes et vous partager mes convictions. D'abord, le rapport sera publié très prochainement sous un format qui respectera les impératifs de sécurité nationale. Vous y vous y aurez donc accès prochainement. Ensuite, sur le sujet

spécifique de l'article 16 bis, je voudrais vous redire ma position. J'ai eu l'occasion de de m'exprimer avec chacun d'entre vous individuellement qui a toujours été constante depuis 9 mois. Cet article constitue à mon sens un cavalier législatif qui n'a pas sa place dans le projet de la loi résilience. Le gouvernement soutiendra en séance publique la suppression de l'article 16 bis et s'engagera à ne pas réintroduire ni soutenir une réintroduction de l'article 8 ter d'ici la fin de la session parlementaire. Je veux être très clair sur ce point. Ma priorité depuis près d'un an au côté du premier ministre, c'est améliorer la cyberrésilience de la nation. La menace

cyber est plus forte et intense que jamais. Elle touche toutes les strates de notre économie, de notre société. Pour les entreprises, il s'agit d'une continuité d'une question de continuité d'activité voire de survie économique. Pour les organisations publiques, il s'agit de préserver la continuité de nos services publics et la confiance des usagers. Vous auditionnerez juste après moi le directeur général de LANCY, Vincent Schtrubel. Je lui laisserai donc le soin de vous apporter les détails sur l'état de la menace. Cependant, je souhaiterais que mon propos se concentre davantage sur les moyens que l'État et ce gouvernement se donne pour faire face à ces menaces. Ceci concerne bien sûr la cybersécurité de nos entreprises, de nos collectivités

territoriales, mais aussi de l'État. Je ne reviendrai pas de manière exhaustif sur les attaques, les cyberattaques qui ont frappé les services de l'État ces derniers mois, mais je ne souhaite pas me cacher derrière mon petit doigt et il me semble essentiel de partager avec vous notre vision sur ce défi immense. La dernière cyberattaque majeure contre l'État subie par la direction générale des finances publiques est particulièrement grave. Bien au-delà des dommages informationnels et informatiques, elle met en péril la crédibilité de l'État quant à sa capacité à protéger les les données des citoyens et des entreprises. Le ministre David Amiel s'en est très largement expliqué lors de sa conférence de presse au côté de la directrice

générale de la DGFIP. Cette cyberattaque a démontré si besoin en était que personne n'est à l'abri, ni entreprise, ni collectivité, ni même l'État. Quelle que soit l'entité concernée, mon message est identique. La cybersécurité n'est pas seulement et uniquement une affaire de technicien qu'on délègue au DSI en invoquant sa complexité ou sa technicité. C'est un enjeu de gouvernance au même titre que la stratégie financière, la gestion des ressources humaines ou encore la mise en conformité réglementaire. En avril dernier, c'est ce même message que j'ai porté auprès des directeurs d'administration centrale de Ber. La cybersécurité doit être une priorité stratégique intégrée à tous les niveaux de décision,

y compris au plus haut niveau de la gouvernance. Elle doit à ce titre engager personnellement et directement les directeurs d'administration, les maires, les présidents de département, les présidents de région et les chefs d'entreprise. Le gouvernement n'a pas attendu la cyberattaque de la DGFIP pour agir et heureusement. J'ai présenté la stratégie nationale de cybersécurité 2026-2030 en janvier dernier au campus cyber de Nouvelle Aquitaine. Cette stratégie donc la stratégie nationale de cybersécurité s'articule en cinq axes avec des mesures concrètes parmi lesquelles la création d'un portail national de la cybersécurité du quotidien. Depuis, le premier ministre a également annoncé des mesures fortes le 30 avril dernier suite à la cyberattaque

de la NTS. Elles comprennent la feuille de route des efforts prioritaires de sécurité numérique de l'État qui se décline en 40 actions. Cette feuille de route a été pour la première fois rendue publique à la demande du premier ministre. Autre annonce majeure, la transformation de la dinume en autorité référente pour l'IA et le numérique de l'État, aussi appelé Arian, je reprendrai ce ce ce nom, qui a mandat renforcé pour définir, imposer et contrôler les règles d'architecture, spécification et bonne pratique pour l'ensemble de l'État. La création de l'Ariane part d'un constat simple et système d'information de l'État restent encore trop fragmenté, hétérogène et

insuffisamment sécurisé. Cette trop grande hétéroénéité crée de nombreuses vulnérabilités. Par ailleurs, la dette technique s'ajoute à cette trop grande variété. La stratégie nationale de cybersécurité vise à consolider le socle numérique de l'État. Ce sera la mission de l'Ariane. Par ailleurs, il est à noter que dorénavant à la à la demande du premier ministre, les ministères ont un objectif clair de dépenses consacrées à la cybersécurité. 5 % de leur budget numérique en 2025 27 pardon jusqu'à 10 % du budget numérique en 2030. La stratégie nationale de cybersécurité

contient bien d'autres décisions. Elle est publiée sur le site internet du SGDSN. Je vous invite à la consulter. La cyberattaque de la DG FIB nous a fait franchir un nouveau seuil. Le premier ministre a demandé que nous allions plus vite, plus loin. L'ANC doit par exemple créer une capacité renforcée de réaction, d'intervention et d'assistance au service de l'État. baptisé réactive. Ce dispositif doit permettre de mieux circonscrire les attaques et de lutter plus efficacement contre les exfiltrations de données. Le renforcement de la cybersécurité de la nation passe également, j'en suis convaincu, par le soutien à notre

écosystème d'entreprise cyber. Nous avons en France un écosystème extraordinaire. En 2025, les jeunes pousses de la cybersécurité ont levé 15,6 milliards d'euros, soit une hausse de 32 % en un an. 866 opérations de levée de fond recensées. C'est un record. Ces chiffres montrent l'attractivité du secteur, mais aussi la nécessité de structurer le marché. Le radar des start-ups de la cybersécurité élaboré par Wavestone et BPI France met en évidence un fait incontestable. L'écosystème cyber français n'a jamais compté autant d'entreprises innovantes avec 234 start-up, 43 scaleup et de

licorn avec deux tendances qui illustrent l'effervescence du secteur. Un nombre sans précédent de nouvelles start-up a été créé cette année, plus de 105 contre 44 l'année dernière. Le niveau de financement est toujours aussi dynamique avec 304 millions d'euros levés cette année. Alors évidemment, nous soutenons cette dynamique au travers de France 2030. Notre objectif est de faire émerger des champions français et européens de la cybersécurité pour garantir à notre pays la maîtrise des technologies essentielles à sa souveraineté numérique. Par ailleurs, le Premier ministre a annoncé une nouvelle enveloppe de 200 millions d'euros pour la cybersécurité dans le cadre de France

2030. Vous le voyez, nous ne sommes pas restés inactifs face à la menace cyber, mais au-delà de ces mesures essentielles, je pense que l'adoption du projet de loi résilience autour duquel nous sommes réunis aujourd'hui reste sans doute la mesure la plus efficace pour permettre à notre pays d'être cyber résilient. Il transpose trois directives, vous l'avez dit monsieur le président, trois directives européennes qui ont toute vocation à renforcer cette cyberilience. La directive rec résilience des entités critiques transposé dans le titre 1. La directive Nice 2 transposée dans le titre 2 prévoit le renforcement du niveau de

cybersécurité d'au moins 15000 entités essentielles et importantes relevant de 18 secteurs hautement critiques ou critiques. Cette directive porte une vision claire, renforcer la sécurité, la résilience de l'ensemble du tissu économique et social européen. Et enfin, la directive d'OA transposée dans le titre 3 qui vise à renforcer la résilience opérationnelle numérique du secteur financier face à la dépendance croissante des acteurs financiers au système d'information et au prestataires technologiques. Le titre premier du projet de loi transpose, je disais donc la directive. Deux objectifs : offrir un socle minimal de protection à l'ensemble des

infrastructures critiques de l'Union européenne dont dépendent nos propres entités. Deuxièmement, deuxème objectif, égaliser le terrain de jeu entre opérateurs au sein du marché intérieur, désormais soumis à des standards communs en la matière. Ceci se traduit par l'introduction de plusieurs mesures phares de planification, d'anticipation, de rationalisation et de communication. Le titre 3 du projet de loi porte quant à lui les adaptations rendues nécessaires par l'entrée en application de Dora qui, je le rappelle concerne les établissements bancaires, les entreprises d'investissement, les infrastructures de marché, les assureurs

et les autres entités financières. Le titre 3 retient ainsi une double notification simplifiée aux autorités financières d'un côté et à l'ANSI de l'autre pour les acteurs relevants simultan simultanément de ces deux cadres. Ce dispositif vise à conserver d'une part l'expertise sectorielle des superviseurs financiers et d'autre part la vision transversale de la menace cyber détenue par l'anci. La directive Nice 2 constitue par son d'articles le cœur et le nombre d'entités concernées également le cœur du projet de loi. 46 articles. Nous le

savons, la cybersécurité n'est plus une option, c'est un impératif stratégique. Les 18 secteurs critiques identifiés sont les piliers de notre souveraineté. Avec plus de 15000 entités, cette loi couvre un périmètre large mais nécessaire. Ces lois n'est pas un texte théorique. Elle impose trois obligations fondamentales et très concrètes aux entités concerné. Leur enregistrement auprès de l'ANC pour une traçabilité et une coordination nationale des acteurs critiques. La seconde obligation notification obligatoire des incidents à l'ANC.

3è obligation, la mise en œuvre de mesures concrètes pour sécuriser les systèmes d'information, préparer les crises, garantir la continuité d'activité et protéger les chaînes d'approvisionnement. Concrètement, que signifie cela ? D'abord, cela signifie une gouvernance renforcée. Le risque numérique doit être traité au plus haut niveau. Ce sont comme le sont je dirais, je l'ai dit tout à l'heure, les risques juridiques, les risques financiers par exemple et les dirigeants doivent assumer leur responsabilité. Ensuite, la mise en œuvre de mesures de protection proactiv pour limiter les

incidents avant qu'il ne surviennent. Troisièmement et enfin le développement de capacité de défense et de résilience pour réagir rapidement en cas d'attaque et limiter les impacts afin de revenir à une situation normale dans les meilleurs délais. Et qui dit règle dit contrôle. L'ANC se voit ainsi doté de pouvoir de contrôle renforcé grâce à Nice 2 mais aussi au règlement Idas, le CSA, le CRA, les règlements européens. Une commission des sanctions indépendantes sera également créée pour garantir l'impartialité et l'efficacité des mesures prise. Dans le cas de non respect des règles de mise en conformité, les entités pourront se voir

infliger une sanction financière. Les récents incidents qui auraient pu être évités avec une hygiène numérique rigoureuse nous rappelle que l'inaction a un prix. Cette loi envoie donc un signal fort aux entreprises. Tout d'abord, le message que nous leur passons, c'est vous n'êtes plus seul. L'État vous accompagne mais il vous demande aussi de vous engager. Un message également un signal aux dirigeants. La cybersécurité n'est pas une question technique réservée aux experts. C'est une responsabilité stratégique aux citoyens. Enfin, votre sécurité, celle de vos données, de vos services publics, dépend de votre capacité collective à anticiper et à

résister. Dès novembre 2025, un service de pré-enregistrement a été mis en ligne. Il permet aux organisations volontaires d'anticiper cette obligation et de se familiariser avec le processus et deuxièmement d'accéder à des ressources spécifiques pour mieux comprendre leurs obligations. Enfin, c'est également un moyen cette plateforme de tester leur éligibilité à Nice 2. Le référentiel cyberfance, aussi appelé récif, a par ailleurs été mis en place. Celui-ci propose un cadre clair, proportionné. Il liste l'ensemble des mesures recommandées pour atteindre les objectifs de mise en conformité à NIS 2. Mais également, récif comprend des

fiches pratiques pour passer à l'action avec le recueil de fiches récif en pratique. Enfin, je souhaiterais souligner que cette lois traitent de la cybersécurité. et non de la souveraineté numérique. Sur ce point et sur ce dernier point, les leviers sont au niveau européen et les discussions sont déjà bien engagées dans le cadre du cloud and AI Development Act. J'invite donc à ce que le périmètre de la loi ne soit pas étendu à ces enjeux. Mesdames et messieurs les députés, la cybersécurité est l'affaire de tous, du citoyen en grand groupe ou encore à l'État. aux collectivités territoriales. Le projet de loi résilience va nous

permettre de nous mettre en conformité avec nos obligations européennes et faire ce que j'estime être un pas de géant sur la cyberprotection de notre société. Et je pense qu'il y a encore d'autres pas à faire. Je me tiens à votre disposition, monsieur le président, mesdames et messieurs les rapporteurs, mesdames et messieurs le député pour répondre à toutes vos questions et je vous remercie par avance de votre engagement pour faire aboutir ce texte sans sur transposition mais également sans sous transposition s'agissant d'une directive européenne. Je vous remercie pour votre attention. Merci madame la ministre. Donc merci de ces ces mots. Je pense qu'il y aura des questions qui vont vous être posées sur le prochainement du rapport. Donc je

vais pas le faire moi mais voilà. Monsieur le rapporteur général, est-ce que je vous cède la parole ? Merci monsieur le président, madame la ministre, cher Anne, nous sommes à quelques jours de la discussion en séance du projet de loi sur la résilience et la cybersécurité en principe, je êre prudent car cette année passée depuis nos travaux en commission spéciale m'ont appris à l'être enlevant la poussière accumulée sur le texte de la commission spéciale enregistrée à la présidence de l'Assemblée le 10 septembre 2025, je n'ai pu m'empêcher de sourire. En effet, sur la couverture, j'ai lu entre parenthèses procédures accélérées. Je n'ose imaginer ce qu'aurait été une procédure non accélérée. Vous étiez rapportrice, vous êtes devenu ministre. C'est la bonne

nouvelle de cette année de patience. Nous étions quelques parlementaires convaincus de l'importance de la cybersécurité depuis l'actualité nous a rattrapé violemment, très violemment. Le réel, c'est quand on Scogne aurait dit Jacques Lacan, vous devez être cabossé mais cela ne se voit heureusement pas. Madame la ministre. Le M Lacan avait dit que la psychanalyse est un remède contre l'ignorance. Elle est sans effet sur la connerie. Il en est de même sur la cybersécurité et tout compte fait sur cette loi. Elle doit permettre de lutter contre l'ignorance mais elle sera bien démuni contre la connerie pardon la bêtise les tour de rieurs qui usent parfois des mêmes mots de passe pour se connecter à la piscine municipale aussi de sécuriser les impôts ou sur l'espace

de travail de leur entreprise ou de leur association. Rapporteur général, je seraiis extrêmement vigilant à ce que ce texte gigogne au sens où il transpose trois réglementations européennes ne deviennent pas un texte attrape tout. Nous entendons régulièrement la plainte de la surtransposition des règlements européens et c'était pas y contribuer à notre tour. Le cyber connaît peu de frontières et ne sont pas national assurément. Il s'agit pas de faire 27 réglementations européennes nationales car alors seule la législation américaine s'imposerait plus probablement la seule loi du marché et des grands acteurs américains ou chinois. Ces questions doivent être traitées en européen et inscrites dans notre droit national tout en assurant de la de la constitutionnalité de nos

propositions. L'épisode de la loi sur les réseaux sociaux pour les mineurs est là pour nous le rappeler collectivement. si en était besoin. Je dis ça, je dis rien. Je n'ai que trois questions. C'est la bonne nouvelle. Elles ne sont pas tout à fait simples et je m'en excuse. Une année aura été nécessaire entre nos travaux en commission et le passage en séance. Pourquoi ? J'ai une petite idée sur la question et sur la réponse, mais je souhaite que la représentation nationale soit éclairée sur ce qui aura bloqué. Deuxème question, un rapport parlementaire a semble-t-il été nécessaire pour lever quelques doutes ? Et moi, je veux réinsister sur le fait que nous puissions en prendre connaissance avant la séance. Est-ce que à votre avis ce que vous avez annoncé

tout à l'heure comme étant les jours prochains peut s'inscrire dans quelque chose comme avant la séance ? Enfin, madame la ministre, cher Anne, à l'issue de l'adoption de ce texte, nous renc nous rentrerons dans le tunnel budgétaire. L'épisode de l'attaque de la DGFIP a montré que nous ne manquions pas forcément de besoins humains mais de réactivité et surtout de coordination ministérielle. Nous avons des services, une stratégie, des agents de valeur et je veux apporter mon soutien à l'anci. C'est plus difficile de le faire dans la période, mais je sais leur mobilisation et leur expertise. Madame ministre, je vais pas vous demander si votre budget sera en augmentation, mais si nous avancerons réellement dans la mise en synergie opérationnelle, réelle et sécure de tous nos informaticiens

publics. J'ai sentiment qu'il y ait urgence. Je vous remercie. Merci madame la ministre. Je vous laisse répondre à monsieur le rapporteur général. Merci monsieur le président. Monsieur le rapporteur général, cher Éric, moi aussi je suis je suis contente de vous retrouver vraiment. Vous savez combien ce texte est important pour pour notre pays, pour l'Europe, mais mais pour nous aussi, on y a travaillé beaucoup et donc c'est vraiment extrêmement important puis se retrouver aujourd'hui pour pour réenclencher ce qui s'est arrêté depuis depuis la commission spéciale. Euh vous me demandez pourquoi ça a pris 30 ans tant de temps. Alors bon, il y a effectivement le fait et vous êtes député qu'il y a

énormément de textes qui sont dans les tuyaux. Il y a eu des priorités et des priorisations d'études de texte à l'Assemblée nationale qui est fait que ça a décalé dans le temps le PJL résilience. Puis je vais être honnête avec vous et transparente. Il y a un article dans le texte dont j'ai parlé dans mon introduction qui est le 16 bis qui a aussi donné lieu et c'est normal à des discussions, à des craintes et qu'il fallait lever ces craintes. Ces craintes, elles ont été levées notamment et on on nous a demandé vous a demandé d'être patient parce que le Premier ministre a confié un rapport à une mission donc gouvernementale à au députés alors président de la commission des lois Florent Boudier sur spécifiquement le sujet du SBI. Il

fallait lui laisser le temps de mener cette mission. C'était une mission de de 6 mois. Il l'a fait. On arrive à la fin de cette à cette de cette mission. Le rapport euh a été remis par Florent Boudier au Premier ministre puisque c'est une demande du premier ministre qui m'amène à répondre à votre deuxième question sur le rapport boudier. Euh quand euh j'ai été saisi par le président de la commission spéciale la semaine dernière qui m'a dit euh à l'unanimité, nous voulons avoir accès aux conclusions du rapport boudier, je l'ai immédiatement transmis à Matignon qui m'a répondu que ce rapport sera public, accessible dans les prochains jours. Je peux pas vous dire plus précisément. Je euh je la la séance là, elle est elle est filmée. Moi-même je je

je repréciserai à Matignon si ça pouvait être possible d'avoir accès au moins pour les rapporteurs et les membres de la commission, le bureau avant la séance. euh ce serait bien, c'est ce que je transmettrai euh en tout cas au comme recommandation, mais je je ne peux pas vous donner la date précise puisque c'est ça votre question, mais je transmettrai le message. S'agissant euh de la cybersécurité, je voudrais juste rappeler une chose parce qu'on l'a un peu oublié, ça me permet de de remettre aussi les pendules à l'heure, euh on l'a un peu oublié pendant à l'issue de après l'attaque de la de la de la DG FIP. La cybersécurité en France, elle est sous la responsabilité du Premier ministre. Pourquoi ? Parce que les autorités

compétentes pour accompagner la la le plan de cybersécurité, la cyberrésilience de la nation, elle dépend de de du SGDSN et de l'ANCI. Et les autorités sont sous la responsabilité du premier ministre. Donc le plan cyber de la France, elle est pilotée depuis Matignon. Et par contre, moi je suis là effectivement pour veiller à à à la mise en œuvre de ce plan puisque la preuve, je l'ai annoncé à Bordeaux au campus cyber. L'ANTS, on est monté à un cran supplémentaire. On a créé l'Ariane, on a euh on a euh notamment euh au niveau des budgets euh le Premier ministre a imposé que chaque

ministère euh puisse atteindre d'ici 2030 10 % de son budget de la DSI, enfin de de du service numérique, des services numériques euh en cybersécurité. Euh, on a également dans le cadre de France 2030 débloqué, le premier ministre a a a débloqué 200 millions d'euros que ce soit pour accompagner les industriels euh de la filière, soit également pour faire monter en compétence et en cybersécurité les les services de l'État. Et puis aussi, il a responsabilisé comme moi je dans mon discours, je dis il faut que les dirigeants se responsabil responsabilisent, le premier ministre a aussi responsabilisé ses ses ministres. Au aujourd'hui la responsabilité de la vérification du plan et notamment les qu

40 actions euh que nous devons mettre en œuvre le plus rapidement possible euh soit euh suivi et vérifié, contrôlé directement par les ministres dans chaque ministère. Donc en fait en terme d'organisation, le premier ministre donne la feuille de route, donne les moyens de monter en cyber résilience, cybersécurité notre pays et notamment l'administration centrale et les ministères. à chaque ministre doré d'avant de faire appliquer ces 40 actions et de vérifier que c'est bien à un niveau de responsabilité élevé, c'est-à-dire ce sont les directeurs d'administration, les RSSI qu'on veut rendre aussi plus visibles dans les organigrammes des ministères euh pour que ce plan puisse avoir lieu. Voilà ce que je peux vous dire sur le plan de cybersécurité. Donc elle était ce plan

de cybersécurité pour l'État enclenché avant avant la NTS évidemment avant la DG FIP. Bah non, il nous a demandé d'aller plus vite, plus loin, plus fort. C'est ce qu'on est en train de faire. Donc à Bercerne avec David Damiel, on a euh déjà réuni pour leur dire on en est où. Donc euh c'est ce que doivent faire en fait toutes les entités. Nous en tout cas, on a on a on a on a un peu analysé et mené notre autocritique. Maintenant, on a changé et c'est devenu une priorité, la cybersécurité de l'État, bien entendu, mais avec le PJL résilience également la cybersécurité de la nation toute entière. Merci monsieur Thbo. Oui, merci monsieur le président, madame

la ministre, ravie de vous retrouver à ce poste. Moi, j'ai différentes questions qui sont directement liées au textes, notamment issus du des travaux qui ont reçu qui ont été menés dans par la commission. Euh bon, je partage assez la vie sur le sur le sur le CSB en tout cas à titre à titre personnel et je le sais que le groupe aussi. Euh vous avez effectivement souligné que et je c'est un sujet qui me tient à cœur, éviter les surtranspositions. Il y en a quelques-unes, notamment sur le médico-social, les établissements, notamment sur les éditeurs de logiciel qui sont déjà soumis à des à des obligations par rapport à des directives UE. Donc, je voulais savoir aussi quelle était la position du gouvernement par rapport à ces surtranspositions issues

de de la commission. Sachant que moi, j'aurais plutôt volonté euh à titre personnel, je sais, mais appuyé aussi par mon groupe à devoir les les éviter, en tout cas les les supprimer. Euh et j'ai une question qui me préoccupe notamment dans les amendements. Vous avez parlé de l'étendue des des missions qui sont données à l'ANSI et aussi le la coordination avec Ariane. Or, il s'avère que dans la commission, nous avons rajouté des missions à l'ANCY, notamment sur l'aspect pédagogique, notamment sur ce sujet territorialisation. Euh est-ce que ces éléments qui sont passés en commission dont je comprends le fond euh le fond de ces amendements et la comment dire la pertinence soit aussi bien sur les aspects pédagogiques que sur territoalisation, est-ce qu'aujourd'hui

de votre point de vue cela ne vient pas euh euh ce veut pieux ne vient pas surcharger l'MCI par rapport au travail que qu' vont devoir faire notamment sur l'issue de ces nouvelles directives européennes et est-ce que ça vous semble éventuellement pertinent de les garder ou d'envisager d'autres dispositifs ? Merci madame la ministre. Je vous laisse répétendre. Merci monsieur le président. Merci monsieur le rapporteur pour votre vos questions. Alors sur la surtransposition, oui enfin je pense que quand je serai au banc, il y aura souvent ce mot qui sortira de de mes propos parce que il faut pas surtransposer dans la mesure où ça pourrait tant de

rajouter des tas et des tas de choses mais mais en fait c'est une c'est une directive donc il faut la la transposer en l'état sur euh des sur transpositions sur lesquelles vous avez vous avez mis votre doigt notamment les éditeurs de logiciel effectivement euh c'était votre collègue madame Ryoton qui avait introduit cet amendement qui avait été voté en commission spéciale parce que elle concernait notamment les éditeurs de logiciel en santé sur son territoire elle avait eu un hôpital qui avait été cyber attaqué et et elle elle s'était dit bah voilà le le PJL résilience c'est l'occasion donc cet amendement est arrivé comme ceci enfin de cette manière par ce par cette ce canal les éditeurs de logiciel sont déjà euh sont déjà

soumis à de fortes règles de cybersécurité mais pas dans cette enfin dans ce texte déjà aussi en tant qu'enté importante ou essentiel mais aussi par un autre texte européen euh le Cyber Resilience Act qui touche à la cybersécurité et qui impose des règles de cybersécurité très fortes au niveau des produits des des produits logiciels. Et le CR donc Cyber Resilience Act est applicable en tout cas sur l'obligation qu'on sesit logiciel à faire des déclarations à Lancy depuis le 11 septembre 2026. Donc il est opérationnel on peut dire. Donc inclure les éditeurs logiciels dans le cyber resilience

le le oui le le PJL Resilience est une surtransposition. euh sachant que certains d'entre eux, notamment euh tous les logiciels qui concernent euh euh je dirais euh les services de cloud euh en mode SAS où euh certains produits liés à euh oui à à principalement au aux clas aux éditeurs, aux logiciels de santé en mode SAS et CA sont concernés en tant qu'entés essentielles ou importante dans le texte. Donc elles sont déjà euh concernées. Donc pour nous, c'est une surtransposition. Quant au médico-social, je m'en rappelle très bien parce que c'est moi qui l'ai introduit en fait. Euh et pourquoi ? Parce que euh le monde hospitalier ne se reconnaissait pas dans la liste des

entités concernées. Ils étaient pas nommément euh explicitement précisé dans le PJL résilience et dans Nice 2 en particulier. Je l'avais fait rajouter à l'époque parce que c'était une demande du du secteur hospitalier et médico-social et euh et qu'il rentre il rentrait à l'époque dans la catégorie dite entreprise euh et donc à ce stade, je ne défendrai pas non pas parce que je l'ai mis en place mais mais parce que ça a du sens aujourd'hui euh que les établissements hospitaliers, on a vu le nombre de cyberattaques, les établissements médicaux-sociaux soient clairement identifiés dans le texte du PJL résilience. Euh donc pour les éditeurs de logiciel, j'estime qu'il y a sur transposition

pour le médicato social et le monde hospitalier, il n'y en a pas sur l'ANC. Alors Lancy, c'est vrai que enfin franchement je pense qu'il faut tous, on peut tous reconnaître ici le travail exceptionnel qui est fait par l'agence, par toutes ces équipes qui sont sollicité, qui font leur travail extrêmement bien. Au niveau du budget, même si c'est pas tout à fait la question, le budget 2027 en dans la proposition de la feuille de route est identique à 2026. Mais par contre ce qu'a demandé le premier ministre, c'est de recentrer les activités de l'ANC, enfin de prioriser et de recentrer ses activités. Voilà avec une feuille de route qui est claire pour les ministères mais je pense qui est aussi clarifiée, beaucoup plus euh ciblé précise pour pour l'ANC. Donc ça veut dire qu'il y a

des choses qui que vont faire en priorité par rapport à d'autres. Merci madame la ministre. Monsieur Boulou. Merci madame la ministre. Comme il a déjà été dit puisque j'arrive tard dans cette discussion si plus d'un an s'est découlé depuis l'examen de la en commission de ce projet de loi. Or la directive Dora que le titre 3 dont je suis reporteur a pour but de transposer dans notre droit interne donner aux Étatsmembres jusqu'au 17 janvier 2025 pour l'appliquer. C'est-à-dire il y a 622 jours. Il va s'en dire que l'examen en séance du projet de loi devenait urgent. Ça a été dit également, je je nourris un

regret, c'est celui de ne pas disposer aujourd'hui encore du rapport de notre ancien collègue Florent Bouier au sujet de l'article 16 bis du projet de loi qui, il faut le dire, c'est quand même le véritable point d'achoppement de ce texte qui certes ne concerne pas ma partie mais a justifié le report sinédié de l'examen en séance. Comme vous le savez madame la ministre, j'ai eu plusieurs échanges par courrier au début de cette année pour alerter le ministre chargé des relations avec le parlement sur l'urgence des d'examiner ce projet de loi et il m'était répondu que le gouvernement attendait la remise de ce rapport. Et il est donc curieux en dehors du du sujet hein que nous examinions dans une semaine précisément le texte sans même que connaître les tenants et les aboutissants de ce

document. Vous nous avez dit qu'on allait l'avoir mais on ne sait pas quand ni ça sera avant le dépôt des amendements. Donc voilà, c'est quand même assez curieux. J'ai entendu votre position sur la suppression de l'article 16 bis que le gouvernement va soutenir contre l'engagement du gouvernement de ne pas réintroduire un hu terre comme on a pu le connaître d'ici la fin de la session parlementaire. Mais si j'étais taquin, je dirais que vaut cet engagement quand il y a quand même des échéances électorales qui font que voilà, on aura pas ce gouvernement qui sera là en en juin prochain, qui sait ? Voilà, je pense que en tout cas c'est pas sûr he ça sûr.

Donc voilà et en fait ce que j'ai pas compris, je posé la question explicitement, vous semblez dire enfin vous l'avez vous l'avez éludé, vous l'avez pas dit explicitement, vous-même, vous n'avez pas lu le rapport. Voilà, c'est c'est une question. Donc pour revenir plus précisément sur le titre 3 qui transpose Dora et dont j'ai l'honneur d'être le rapporteur thématique, je me fais félicite que les modifications que nous avons pu apporter l'an dernier en commission des modifications que nous avons pu apporter l'an dernier en commission spéciale et c'est bien avancé et ça sera pas vraiment le le sujet d'achoppement du texte je pense. Deux points néanmoins restent à trancher ou à éclaircir et je souhaitais recueillir votre avis. Le premier concerne la double transposition

à LANC à l'autorité compétente de supervision des entités financières des incidents et menaces. Il nous faut trouver une rédaction harmonisée pour que les articles 43 et 45 bis qui retiennent chacun ses principes mais sans préciser de la même manière le recours à un formulaire unique vous l'avez évoqué pouvez-vous nous nous donner ou redonner la position ? Enfin reste la question de l'entrée en application du titre 3. Le retard prix dans l'examen du texte nous oblige à nous y pencher. La question se pose surtout pour les sociétés de financement de petite taille pour laquelle nous avions voté en faveur d'une entrée en application le 17 janvier 2027. Donc c'est quand même très court maintenant. Euh mais alors maintenant est-ce que une date par exemple au 17 janvier 2028 vous

semblerait envisageable ? Je vous remercie. Merci madame la ministre. Je vous laisse répondre. Merci monsieur le le rapporteur pour vos questions qui sont légitimes sur le 16bis. Bon, j'aimerais peut-être rappeler l'historique du Sbis. Le CESBis est né en réactif aux hères, quasiment la même nuit. J'étais dans l'hémicycle, on écoute on on avec vous, on étudiait la loi narcotrafic et effectivement les sénateurs avaient introduit le 8 dans la loi narcotrafic que les députés ont repoussé cette nuit-là, ont extrait du texte par sécurité. Au même moment, un sénateur

pour être sûr qu'il n'y ait plus de 8 terres jamais euh s'est dit "Bah, on va aider les députés et on va dans le la loi le PJL résilience mettre le 16bis euh qui d'une manière euh je dirais euh radicale euh empêche l'introduction de nouveaux outils de de possibilités de de lire en clair des messageries cryptées pour les besoins des services de sécurité intérieure. mais également par un amendement que vous avez porté monsieur le président sur les processus qui également ont un impact sur les outils mis à disposition actuellement donc à droit constant de la justice pour les besoins des de leurs

enquêtes avec les magistrats. Euh le 16bis euh avait de sens éventuellement éventuellement si le 8 existait. Le 8 n'existe pas. Donc le CESBI c'est un cavalier, il est tout seul et surtout il a un impact délétaire sur les services euh à droit constant, c'est-à-dire aggrave les conditions d'enquête de la justice et euh des services euh de sécurité intérieurs. C'est d'abord euh sur le fond pour cela, même si je ne suis pas une spécialiste parce qu'en fait moi mon sujet dans le PJL résilience c'est la cybersécurité, c'est pas les techniques de renseignement. Donc déjà, il est cavalier, il a rien à faire dans ce texte et il a d'autant plus rien à faire dans ce texte que le H ter n'existe pas. Donc au moins,

laissons au service de sécurité intérieure et au service de la justice faire le travail qu'ils font à droit constant. N'aggravons pas les conditions d'exercice de ces deux ministères. Euh donc c'est c'est principalement pour ça sur la la mission Boudier. Que que puis-je vous dire ? Je je après vous dites bah on n'est pas obligé de vous croire. Bah en fait moi ce que je vous demande c'est de me faire confiance. C'est de me faire confiance. Je peux pas dire autre chose. Moi j'ai confiance quand le premier ministre et les services de Matignon me disent "Vous aurez accès au rapport et aux conclusions dans le cadre bien sûr respect de la sécurité nationale des conclusions du du rapport bouier. J'ai absolument aucune

raison de remettre cela en cause et et je vous le dis mais vous non plus et je vous le dis d'autant plus à l'aise, c'est que lorsqu'on va étudier le PJL résilience dans l'hémicycle, certes ça va être enfilante, donc ça va être un peu morcelé, donc faudra être attentif au planning, mais et bien le ministre de l'intérieur lui-même, il est d'accord pour venir au banc discuter avec vous du 16bis. Donc pour vous dire que euh c'est quelque chose quand même d'anormal ce cet article puisque sur un texte où je suis au banc dont j'ai la compétence, le ministre de l'intérieur va venir pour discuter avec vous parce que c'est lui qui a les éléments de réponse euh sur le fond. Mais moi, je vous le dis, euh ça n'a rien à faire là. le droit constant

permet aux services de faire à peu près euh leur travail, même si après effectivement il y aura peut-être un jour euh plus tard et après la fin du mandat du président de la République. C'est ce que le ministre de l'intérieur est prêt à venir vous dire publiquement au banc sur le CESBIS que il n'y aura pas de h ter nouveaux dans un texte futur d'ici la fin du mandat du président de la République. Donc là, après je dirais en dehors de la confiance, je peux pas vous donner d'autres d'autres éléments et je pense que ce ne sera pas après euh enfin je je pense que ce sera pas dans un délai long et et je ferai en tout cas

tout pour que vous l'ayez avant si c'est possible le début de l'examen du texte sur l'articulation entre Nice 2 et Dora. Euh Dora euh je le rappelle, c'est donc le texte qui est euh qui est dédié à l'environnement bancaire assurantiel. Il y a euh évidemment deux ils sont soumis donc aux règles de cybersécurité de Dora, mais il y a deux actions où il y aura des et à la fois euh des mises en œuvre dans le cadre d'Od et en plus auprès de l'ANC. Ils auront notamment l'obligation les acteurs concernés par Dora de

s'enregistrer auprès de l'ANC comme toute entité euh de Nice 2 et l'obligation également de notifier en cas d'incident à l'ANS avec un formulaire commun envoyé à l'ANSI et à la CPR ou l'AFM qui sont donc les les l'AMF qui sont les organismes compétents en matière assurance et banque. Donc globalement, ils sont soumis aux règles, si je me résume de Dora, sauf pour deux choses où ils auront une action supplémentaire à faire. Ils auront l'obligation de s'identifier en tant qu'entité d'Ora une fois auprès de l'ANC et dès qu'il y aura un incident, ils auront également l'obligation de faire une déclaration à l'ANC dans un formulaire commun qui sera envoyé à deux

canaux distincts. En plus, l'avantage si vous voulez, c'est que l'ANC, ils sont de permanence 24 heures sur 24, 7 jours sur 7, ce qui n'est pas le cas des organismes bancaires ou financiers. Et donc la, c'est vrai que en cas d'incident, constatez, il est urgent euh rappelez-vous, il y a des délais de déclaration qui puissent le faire euh immédiatement. Euh l'ANC euh l'ANC la Banque de France ont signé d'ailleurs le 3 juillet 2026 un accord qui vise à renforcer l'échange d'information de coopération dans le cadre de l'articulation entre Nice 2 et Dora. Voilà ce que je peux vous dire sur vos questions. Merci. Merci madame la ministre. On va passer au groupes politiques en commençant par le Rassemblement national. Monsieur Salmon. Merci monsieur le président. Madame la

ministre, je voudrais vous interroger sur les conséquences concrètes de ce texte pour les entreprises et les collectivités territoriales qui vont devoir renforcer leur cybersécurité. Il faut le rappeler, les entreprises comme les collectivités sont demandeuses d'accompagnement dans ce domaine. Elles ont conscience de leur vulnérabilité et surtout des conséquences que peut avoir une cyberattaque, interruption d'activités ou de services publics, perte de données, remise en état des systèmes informatiques pendant plusieurs jours ou plusieurs semaines. Renforcer leur cybersécurité est donc une nécessité et bien souvent un investissement permettant d'éviter des conséquences potentiellement beaucoup plus coûteuses. Mais la question est de savoir comment accompagner cet

investissement. L'article 14 prévoit que les organismes concernés devront mettre en œuvre à leurs frais les mesures nécessaires pour atteindre un niveau de sécurité adapté au risque. Sécurisation des réseaux, détection et gestion des attaques, continuité, reprise d'activité et formation des personnels et des dirigeants. Pour une grande entreprise ou une métropole disposant de services informatiques importants, ces obligations peuvent être facilement intégrées. Mais quand sera-t-il ? d'une PME ou d'une TPE, d'un petit établissement médico-social ou d'une communauté de commune rurale qui dispose de moyens humains et financiers beaucoup plus limités. Par exemple, la communauté de commune où je réside, celle du pays de Lure, forte de 19200 habitants, mais ayant fait le choix de prendre la

compétence au assainissement sera concerné tout comme la plus petite communauté de commune de mon département, celle d'Emondji J, 6300 habitants et qui s a pris la compétence au assainissement et donc sera concerné. La question se se pose d'autant plus que le texte élargit le nombre de structures concernées. Notre notre travail préparatoire soulligne d'ailleurs explicitement le coût et la charge administrative que ces nouvelles obligations pourraient représenter pour les petites structures. Il faut également être attentif aux effets de seuil. Le franchissement d'un seuil de population, d'effectifs ou de chiffres d'affaires ne doit pas provoquer brutalement des dizaines de milliers d'euros d'investissement supplémentaires. Le texte prévoit un principe de proportionnalité ainsi qu'un

fond destiné à accompagner certaines collectivités dans leur mise en conformité. Madame la ministre, avez-vous déjà reçu des remontées des entreprises et des collectivités sur le coût visible de ces nouvelles obligations ? Et surtout, comment comptez-vous accompagner financièrement et techniquement les structures les plus modestes et éviter les effets de seuil afin que afin que le renforcement nécessaire de notre cybersécurité ne se transforme pas en une nouvelle contrainte financière qu'elle serait incapable d'assumer. Je vous remercie. Merci madame la ministre. Merci monsieur le président. Merci monsieur le député pour votre question. Euh évidemment la montée en cybersécurité comme toute comme toute mise en conformité réglementaire euh c'est un investissement. Euh ce que je

peux vous dire euh pour l'avoir vécu moi-même à la ville de Van, c'est que le coût de la cyberattaque c'est 10 fois 50 fois plus cher que la mise en conformité à la cybersécurité. Il faut jamais oublier ça quand on n'est pas cyber protégé les conséquences en matière de coût je le dis en préambule. Mais vous avez raison, ça nécessite la mobilisation euh bah je dirais de de de ces entités. Pour certaines qui sont plutôt des entités importantes, par exemple, sont des PME euh mais il faut qu'elles le fassent dans le cadre de la cyberilience de la nation. Elles vont le faire mais elles ne sont pas seules. Elles ne sont pas seules. D'abord en région, il y a partout sauf une région

euh des euh des Cirites par exemple. Les Cirites euh font de l'accompagnement, font de la sensibilisation, font de la préparation à la mise en conformité à Nice 2. Vous avez les campus cyber qui également sont en contact avec les CCI, avec les les chambres des métiers, l'artisanat, avec les les CPME, les MEDEF de leur département euh pour pouvoir les sensibiliser et les mettre déjà sur le rail. Ce que je veux vous dire, c'est que euh c'est vrai que cette mise en conformité, elle elle représente une charge pour ceux euh qui n'ont pas commencé à à se mettre en conformité. La plupart des entreprises, bon celles concernées par Dora, elles sont déjà en conformité. Les euh entreprises concernées par REC, elles sont pour la

plupart des gens en conformité. Donc, il y aura moins moins de délais pour eux. Mais globalement, le message de Vincent Schtrel, le directeur de l'ANC, depuis euh 1 an que nous avons euh eu cette commission spéciale, c'est n de dire au PME, "N'attendez pas la transposition du texte euh du PJL résilience pour vous mettre en conformité." C'est d'ailleurs pour cela que il y a le fameux récif dont je vous ai parlé tout à l'heure qui comprend toutes les action et je pense enfin j'espère en tout cas que la mise en conformité a démarré par nécessité déjà par besoin pour se protéger et là elles n'auront plus le choix puisque ce sera la loi les cirtes

donc en région qui accompagne les campus référentiel vous avez également un écosystème privé en cybersécurité dans toutes les régions à proximité des collectivités, à proximité des entreprises et des PME en particulier. Et puis enfin, vous avez aussi le label de confiance. Le label de confiance qui est une certification qui est en cours de d'élaboration par l'ANC qui se construit d'ailleurs avec l'écosystème et qui va permettre d'attester de la conformité. Donc c'est un travail, je comprends, lourd mais mais nécessaire au même titre que pour n'importe quel règlement les entité se mettent en conformité et et et ça ça a un engagement. Pour répondre à votre

question, il est pas prévu à date d'accompagnement financier pour la mise en conformité. C'est une responsabilité individuelle de chaque entité de de le faire. Après euh et bien on est ouvert, je dirais que euh en cas de difficulté pour accompagner euh via euh les organisme dont je vous ai parlé euh des entités qui auraient des difficultés à le faire. Par contre, si elles se mettent pas en conformité après la transposition du PJL résilience et euh la sortie des des décrets, la promulgation de la loi, s'il y a des contrôles, si elles n'ont pas entamé les démarches, c'est clair que ça pourra aller jusqu'à des sanctions financières. Merci pour la France insoumise, monsieur

Saint-Martin. Merci monsieur le président, monsieur le rapporteur, madame la ministre. Il y a un problème que ce texte de résilience pose avant même son contenu et monsieur le président l'a souligné dans ses propos liminaires. Pourquoi seulement maintenant ? La menace cyber n'est pourtant pas nouvelle. Elle frappe nos services publics et les entreprises depuis des années et elle s'aggrave. En 2025, 3586 événements de sécurité ont été portés à la connaissance de l'ANCI. Parmi eux, 1366 étaient des incidents confirmés contre 1112 en 2024 et 831 en 2023. Le collapse de la DG FIP l'été dernier est un précédent malheureux et inquiétant. Ça fuite de partout. Euh pas plus tard qu'hier, on apprenait que le laboratoire d'innovation de l'ANSI qui met en place des outils utiles aux

politiques publiques de cybersécurité a lui aussi subi une compromission fâcheuse. C'est quand même un comble. La directive Nice 2 devait être transposée avant octobre 2024 face à une menace que nous connaissons depuis longtemps sur laquelle on n'a pas cessé d'alerter. On constate donc le le défaut de d'anticipation, de préparation et de planification de la réponse. Donc ils ne sont pas du tout suffisants. La question des moyens retient particulièrement notre attention. Vous venez de de l'évoquer puisque vous élargissez considérablement les obligations de cybersécurité avec jusqu'à 15000 entités concernées dont de nombreuses collectivités territoriales qui voient dans le même temps leur dotation couper à rat. Mais derrière chaque nouvelle obligation, il y a des moyens humains,

des équipements, des formations et des dépenses. Pour renforcer la sécurité sans faire peser la facture aux collectivités territorial ou sur les services publics qui représentent à eux seuls 67 % des incidents, il est grand temps de rompre avec les logiques de coupe budgétaire en débloquant des moyens conséquents et la mesure des menaces car à la fin les défaillances coûtent très très cher, vous l'avez rappelé, sans parler de des ruptures de services qui mettent en en les activités en rade. Enfin et surtout, comment comptez-vous garantir que que ces nouvelles obligations soient bel et bien mises en œuvre et dument contrôlé ? car il ne faudrait pas que nous votions une loi théorique pour reprendre votre expression mais que faute de moyens les acteurs et opérateurs exposés soient

laissés seuls face à la menace et que l'État déjà sous tension soit incapable de superviser l'application de ses propres exigences légales. Madame la ministre, la menace est sérieuse. Notre retard pris en France est constaté et vous en avez convenu. Il s'agit donc de joindre la parole aux actes pour l'intégrité, la cyber résilience de nos services publics et de faites de notre société au vu de l'encastrement numérique des relations sociales et économiques. Merci pour vos réponses. Merci madame la ministre. Euh merci monsieur le président, monsieur le le député, merci pour votre votre question. Pourquoi maintenant j'y ai répondu ? Donc je je vous je vous renvoie à mes réponses précédentes sur ces ces ces 11 mois qui se sont passés. Ce qu'il faut retenir, c'est qu'on est

là finalement et que on va reprendre le cours normal du texte et et j'espère que ce sera transposé le plus rapidement possible. C'est ce qu'on souhaite tous. Euh, s'agissant de de l'événement Any, vous avez la chance d'avoir le directeur général juste derrière moi en audition. Je vous propose de lui poser la question si si vous voulez bien. Euh il vous répondra euh voilà, il sera sera face à vous euh sur les collectivités territoriales. Déjà par rapport aux autres entités euh entreprises, rappelez-vous que nous avons introduit dans le texte qu'il n'y a pas de sanction financière pour les collectivités territoriales. Donc en cas de manquement,

il y aura des contrôles éventuellement. Ça concerne les entités de plus de 30000 habitants, principalement les intercommunalités et essentiellement les intercommunalités, les villes de plus de 30000. Mais l'intercommunalité à ce stade euh dans une communauté de commune, il y a une DSI. Normalement, il y a une DSI. Donc, il y a des techniciens, il y a des gens qui travaillent sur ces sujets-là. Et le principe de l'intercommunalité, c'est la mutualisation. On a mutualisé le DPO pour le RGPD. Moi, je plaide depuis 10 ans sur ce sujet-là pour la mutualisation également du RSSI. Et il faudrait que les intercommunalités et quand je discute avec intercommunalité de France, euh ils

sont bien conscients de ça. C'est vraiment l'échelon pour moi le plus efficace de cybersécurité pour les collectivités territoriales, c'est l'intercommunalité parce qu'ils ont plus de moyens. Ils ont une vision globale d'un territoire. Et donc c'est la cyberilience d'un territoire et ils ont surtout des techniciens qui sont capables d'assister, d'accompagner les communes, même les plus petites. Il y a pas de sanction financière, je l'ai dit. Euh et puis euh par ailleurs, euh notamment les communes euh au niveau de l'accompagnement financier pour les faire monter en en cybercompétence, c'est pas prévu actuellement, ce n'est pas prévu dans le budget de de le faire. Euh donc voilà ce que je peux vous dire

sur vos questions. Merci. Merci madame la ministre pour le groupe socialiste, monsieur Saintpasteur. Merci monsieur le président, madame la ministre, messieurs les rapporteurs, chers collègues. Une cyberattaque peut commencer par une clé USB envoyée dans un ours en peluche, entrer dans un laboratoire de la NASA par un ordinateur connecté sans autorisation ou mobiliser les distributeurs de boissons d'une université pour perturber son réseau. Ces exemples bien réels nous rappellent que la cybersécurité doit partir des réalités de terrain, des équipements et des usages. Il s'agit là d'un point de vigilance important pour notre groupe. Ce texte, on l'a déjà dit, il est attendu comme l' rapport récemment remis par notre ancien collègue Florent Boudier. Nous vivons un peu le supplice

de Tantal et attendant donc avec grande impatience la communication de ces éléments, nous verrons à l'épreuve du réel en espérant que nous ne soyons pas les spectateurs d'une version 2.0 d'en attendant Godo. Nous serons attentifs à la prise en compte globale des risques également à ce qui se passe dans les tuyaux mais aussi au tuyaux eux-mêmes. Les incendies en Gironde l'ont illustré entre le Porsge et la génie. Les secours ont dû recourir au réseau mobilment à WhatsApp pour palier les trous de couverture de leur réseau radio en taresse. Leur communication pouvait donc dépendre d'une antenne, de son alimentation électrique et du câble qu'il a relié au réseau. Or au Cap Ferré, un câble sectionné lors de la création d'un parfeu a mis 20 antennes mobiles hors service. La robustesse de

ces infrastructures engage directement la capacité des secours à communiquer en pleine crise. C'est un point essentiel. Nous serons également attentifs à l'accompagnement des acteurs concernés. Identifier ses risques, former ses équipes et préparer la continuité de son activité existe des compétences, du temps et des moyens. Les collectivités, associations et entreprises, particulièrement les plus petites, doivent trouver un interlocuteur de proximité et un appui technique et financier adapté. Ce maillage territorial, vous avez parlé des cybercampus, des centres de réponse à incidence, sera décisif pour faire de ce texte une protection effective avec des résultats mesurables pour toutes les entités concernées. Mes questions sont donc sur la garantie du bon périmètre

entre infrastructure logique et physique, celle des moyens, vous y avez répondu, votre réponse est de mon point de vue un peu décevante et de l'accompagnement au plus près de du terrain par ces interlocuteurs de proximité que j'ai évoqué. Je vous remercie. Merci madame la ministre. Merci monsieur le président. Euh merci monsieur le député pour vos pour vos questions. Euh c'est vrai que ce qui s'est passé dans votre département cet été euh qui n'est pas de l'attaque cyber là, mais un des incendies géants qui ont finalement mis euh mis en péril des infrastructures euh nous nous permettent finalement de de nous rendre compte que la résilience, elle est aussi euh passe par la

protection physique. vous l'avez dit alors dans le titre 1, c'est-à-dire recalement des des exclusivement des OIV et dans le cadre des OIV, la résilience concerne en premier lieu la protection physique de ces de ces lieux. et dans la protection physique euh ou dans la résilience de manière globale, ensuite il y a Nice 2 euh qui qui est appliqué pour la protection euh cyber, mais le titre 2 répond à cette préoccupation que vous avez de aussi être vigilant sur la protection des infrastructures euh et notamment euh parce qu'il y a dans la partie rec euh des obligations de protection périmétrique. Donc voilà ce

que je ce que je peux vous dire. Et par ailleurs sur les télécom effectivement après les incendies, j'ai réuni les les acteurs télécom pour savoir comment ça s'était passé, comment bon il y a pas eu trop de dégâts m'ont-ils dit sur sur leurs infrastructures, qu'elles soient téléphoniques, qu'elle soit la fibre ou ou autre. Ce que je peux vous dire, c'est qu'il y a une une lettre de mission en cours sur la résilience des réseaux télécom et euh et notamment le la le sujet éminemment important dont on a déjà parlé sur la le réseau radio du futur par exemple qui sera essentiel en cas bah justement de de période climatique excessive de grands incendies

comme vous avez vécu en Gironde. Il faut que le réseau radio du futur puisse fonctionner et donc c'est une mission qui est en cours pour pouvoir protéger ces réseaux indispensables à la sécurité publique pendant ces grands événements ou climatiques ou incendie comme vous vous avez vécu. Euh donc voilà ce que je peux vous dire sur le sujet. Merci madame la ministre pour le groupe droite républicaine madame Dubi Müller. Président, madame la ministre, cet été, l'éducation nationale, la DG FIP, le ministère du logement et plusieurs 10 ont été victimes de cyberattaque. Les données de millions de Français ont été dérobées. Dans le même temps, le 9 juillet, la Commission européenne a saisi la Cour de justice de l'Union

européenne contre la France. En cause, notre retard de près de 2 ans dans la transposition de la directive Nice 2. Elle réclame une somme forfaitaire et des astreintes. Alors que nos finances publiques sont sous forte tension et que l'on demande des efforts à tous les Français, quel est le montant des sanctions demandées par la commission et combien la France risque-t-elle de payer pour chaque jour de retard supplémentaire ? Par ailleurs, le texte que nous nous apprêtons à adopter en séance repose sur une une conviction juste. La résilience face aux cyberattaques ne se joue pas seulement dans les systèmes d'information, elle se joue aussi dans les équipements et matériels. Le Sénat l'a rappelé, le rapporteur, comme le ministre délégué de l'époque ont précisé que les plans

particuliers de résilience visent, je cite, l'ensemble des mesures prises ou envisagées par l'opérateur, ce qui inclut notamment les équipements et les matériels. Encore, faut-il en tirer les conséquences ? pour le référentiel d'exigences techniques et opérationnelles dont l'ANCY a établi une version de travail en mars dernier. Je et je tiens d'ailleurs à saluer l'excellence de son travail. Le projet de loi prévoit la concertation avec les ministères, les associations d'élus et les représentants des entités, c'est-à-dire les utilisateurs et les équipements. Leur place est légitime mais ne saurait être exclusive. Il manque ceux qui conçoivent et fabriquent les équipements. Les utilisateurs disent ce dont ils ont besoin. Les industriels savent ce qui est réalisable et à quel

coût et dans quel délai. Sans eux, nous risquons un référentiel hors sol difficile à appliquer et donc une dépendance accrue à l'égard de fournisseurs étrangers. Alors que la souveraineté technologique est au cœur de nos préoccupations, les ministères techniques, industrie, intérieur, énergie y ont aussi certainement leur place. Alors madame la minie, j'ai deux questions supplémentaires. Où en est-on dans la préparation des décrets et du référentiel et selon quel calendrier ? Et pouvez-vous vous engager à associer à la concertation pour les décrets comme pour le référentiel les industriels, concepteurs et fabricants d'équipements qui le souhaitent ? Je vous remercie. Merci madame la ministre. Je vous laisse répondre à notre collègue. Merci monsieur le président. Merci

madame la député pour vos pour vos questions. Donc concernant l'amende en fait le retard effectivement pourrait provoquer générer une amende dont on ne connaît pas le montant. Enfin en tout cas nous notre priorité c'est de montrer doréavamment qu'on est dans l'action et qu'on va transposer ce PJL et et ces trois directives le plus rapidement possible. Donc on a bien ça en tête et on a effectivement pas envie d'avoir cette amende. Donc on on fait en sorte de plus trop perdre de temps et d'être en retard. euh sur euh sur les décrets. Déjà ce que je peux vous dire c'est que euh ces 11 mois, enfin je veux pas être cynique évidemment, mais euh ça

a laissé le temps aux administrations concernées par euh ces trois textes, c'est-à-dire la DG trésor pour l'un, le SGDSN pour l'autre et l'ANC pour le 3è d'anticiper ces ces décrets. Donc je dirais que au niveau des décrets, dans la foulée de la transposition, la promulgation, les décrets, ils sont quasiment prêts. Donc on ira vite sur la publication des décrets puisqueeffectivement là, on risque d'avoir une amende si les décrets ils sortent pas vite derrière la promulgation. Donc ça c'est c'est ce que je souhaitais vous dire sur le référentiel. En fait, c'est le récif dont je vous parlais tout à l'heure. Ce sont 20 chapitres, 20 objectifs, 20 objectifs, pardon, qui sont rédigés, qui

existent. Donc, récif n'est pas en cours d'élaboration, c'està-dire la mise en conformité c'est ce document et vous pouvez le retrouver d'ailleurs sur le site Mes ressources cyber euh à partir du site de l'ANC. Mes ressources cyber, vous l'avez intégralement. C'est pour les entités essentielles, pour les entités importantes. Donc il n'y a pas, je dirais, il y aura pas de réécriture du référentiel. Par contre, par rapport à l'implication de l'écosystème, je partage cette cette suggestion que que vous faites, c'est ça me paraît indispensable que l'écosystème contribue et ils vont le faire notamment dans le cadre de la stratégie nationale cyber. il est prévu euh que l'écosystème soit euh soit impliqué et notamment pour

aussi la consultation sur les décrets pour les décrets, ils seront euh dans la boucle des des discussions euh avec euh avec la les les différentes autorités compétentes. Merci madame la ministre. Pour les démocrates, je vais me charger de de vous poser trois questions très précises pour savoir si on a la possibilité de déposer des amendements et et de voir quel sort vous leur réserveriez. La première question, c'est sur le référentiel commun. Vous l'avez évoqué avec Dora auprès du rapporteur Boulou d'un formulaire commun entre l'ANSI, la CPR et la MF. Qu'en est-il de l'ACNIL ? Parce qu'il peut y avoir des des failles qui imposent aussi une déclaration auprès de l'ACNIL. Est-ce qu'on peut intégrer l'acnil dans le formulaire commun ? Et est-ce qu'on peut le

généraliser ? Pas simplement le laisser à Dora, mais aussi le faire pour Nice 2 puisque dans un centre de cas, nous avons besoin d'avoir une déclaration à l'ANSI et une déclaration à l'ACNIL. Pourquoi ne pas généraliser, simplifier le travail des organisations quand elles ont des déclarations à faire ? Deuxième question qui est une question qui fâche qui a été un peu abordée tout à l'heure de votre part et je voudrais pas simplement qu'on la regarde que du côté des collectivités mais qu'en est-il des sanctions pour le secteur public ? Le Conseil d'État qui était ce saisi de ce PJL a expliqué qu'il y avait une inégalité de droit entre le secteur privé et le secteur public. Qu'en est-il ? En terme de sanction, vous l'avez dit dans votre propos, vous dites qu'il faut

que les chefs d'entreprise, les entreprises et les citoyens soient responsables. Qu'en est-il des fonctionnaires ? Qu'en est-il des collectivités quand il y a des failles qui provoquent des fuites de données aussi importantes que celles que nous avons connu ? Et c'est quelque chose qui va dans le sens de de l'état de droit puisque le la cour des comptes cet été a sanctionné quatre hauts fonctionnaires à titre personnel pour des manquements avérés sur la constitution et la création d'un système d'information. Donc nos concitoyens aujourd'hui nous demandent de trouver des responsables et de pouvoir les nommer. Est-il prévu des sanctions pas simplement financières pour les collectivités, mais aussi des sanctions pour l'État central et pour ses opérateurs ? Et troisème question

précise, beaucoup d'entreprises nous demandent, notamment les petites entreprises qui seront qualifiées d'entités importantes qui sont soumises à Nice 2 mais qui sont de petite taille, elles souhaiteraient que nous puissions réfléchir à un référentiel équivalent à celui par exemple de la Belgique, c'est-à-dire d'avoir une présomption de conformité quand on est par exemple certifié ISO 27001. Pourquoi aujourd'hui écarte-t-on systématiquement cette réflexion en disant que récif doit s'appliquer à tout le monde quelle que soit la taille ? agressif et facilement applicable certainement par des entreprises de très grande taide du type du TE du type la SNCF ou EDF mais une petite PME qui serait soumise à Nice 2 parce que sous-traitante de rang 2 d'une entreprise plus grosse est-ce qu'elle a

besoin d'être systématiquement conforme à récif est-ce qu'on pourrait pas simplement se dire que ISO 27001 est une bonne présomption de conformité je vous remercie merci beaucoup monsieur le président je vais répondre à vos questions. anglais au niveau de l'acnil, c'est effectivement la plupart de temps la conséquence directe d'une cyberattaque, c'est la fuite de données, la perte de de contrôle de données. Euh dans le cadre de PJL résilience, de manière générale, elles ont un certain nombre d'obligations, la déclaration de l'incident à l'AC, mais elles doivent également indiquer s'il y a eu un impact sur les données à caractère personnel, ce qui générera automatiquement une déclaration à l'ACNIL. Donc euh il y aura pas une déclaration commune puisqu'il faut

harmoniser euh les choses entre les les différents textes. Euh mais en tout cas quand il y a une déclaration d'incident qui sera effectué auprès de euh de l'ANY euh dans ces déclarations, l'idée c'est queil y ait un comment dire un formulaire qui soit automatiquement généré euh pour déclarer à l'ACNIL à partir du moment où il a été identifié une fuite de données. Donc ça ça nécessite de le travailler. Moi, je pense que vous pourrez reposer aussi la question au directeur de l'ANC mais en tout cas euh ça ne se fera pas automatiquement. Il faudra vraiment qu'il y ait une démarche de l'entreprise ou de l'entité qui a été cyberattaquée en parallèle à l'ACNIL. L'idée par contre, c'est de simplifier les choses.

On veut éviter les doubles déclarations. Donc pour Dora, je vous ai répondu tout à l'heure, monsieur le député Boulou, il y avait deux actions spécifiquement qui n'était pas dans Dora qu'il fallait faire vers Lancy de la même manière Vacnil, mais on cherche la simplification et la simplification pour moi c'est après les échanges que j'ai pu avoir avec le directeur général de LANC et et il pourra clarifier cette position là après à l'issue de mon audition, c'est qu'il y a une une génération automatique d'un formulaire à partir du moment où on déclare un incend incendie à un incendie un incident à l'ANSI pour éviter ces lourdeurs administratives sur le secteur public. Je vais pas revenir sur les collectivité territorial parce que je crois que c'était pas ça l'objet

de la question. J'ai répondu tout à l'heure sur le fait que pour l'instant dans le texte et je pense qu'on on on laissera les parlementaires débattre de oui ou non. Vous vous pensez qu'il faut des sanctions financières pour les collectivités territoriales ? Les cyberattaques que nous avons vécu au niveau des ministères ces derniers mois prouvent que quand même globalement la chaîne des responsabilités, elle est pas claire. Elle est pas claire. Donc déjà la première action que nous allons mettre en œuvre et que parmi toutes les les 40 actions que nous avons, il y en a une qui concerne effectivement la chaîne aussi de responsabilité. Et euh en fait la responsabilité c'est parfois pas euh c'est parfois pas le le directeur de l'administration qu'on ne peut pas par

exemple euh retirer de son poste parce qu'il y a une cyberattaque dans la mesure où il est il est nommé par le président de la République et qu'il est qu' dépend de de la Constitution. Mais euh nommément, c'est un peu compliqué euh surtout quand il y a des défaillances humaines, un non respect des règles d'hygiène de base au sein de l'usage et du matériel et des pratiques euh par les fonctionnaires des outils euh professionnels. on on souhaite aller vers quand même une responsabilisation aussi des agents et des et et des personnes qui seraient finalement à l'origine d'une d'une cyberattaque par exemple à cause d'une

compromission de mot de passe identifiant. Euh donc ça c'est quelque chose qu'il faut faire. Euh donc sanctionner financièrement l'État, l'État ne peut pas sanctionner financièrement l'État. Donc euh je pense que la réponse qu'on peut apporter, c'est effectivement de responsabiliser, identifier et puis sanctionner d'une autre manière euh les agents qui auraient été en défaut ou le service qui n'aurait pas fait respecter euh les choses sur euh ISO 27001. Je sais que vous êtes très attaché à ISO 27001, monsieur le président. Euh je je j'ai je la réponse que je vais vous faire c'est que c'est bien mais c'est pas suffisant. ISO 27001 n'est pas suffisant et surtout n'est pas conforme à Nice 2 tout simplement et donc n'est pas

conforme à la directive. Euh la la Belgique par exemple euh vous en vous en parlait régulièrement effectivement, ils ont déjà transposé la Belgique. Ils ont été parmi les premiers d'ailleurs de et moi. Euh ils ont transposé euh Nice 2 et ils ont introduit euh l'ISO 27001 euh dans comme référentiel, sauf que ils ont rajouté d'autres critères, ils ont rajouté d'autres d'autres choses que 27001 qui en fait tout cumulé correspond à Nice 2. Et et donc on peut on peut pas on peut pas faire du Nice 2 à géométrie variable. Et par ailleurs ISO 27001 ommet complètement un aspect très

important du PJL résilience et de Nice 2, c'est la gestion de crise. Dans 27001, monsieur le président, il y a il y a pas la gestion de crise d'incidence cyber. Or, le principe de la résilience, c'est que dans le process, on puisse intégrer euh la ce qu'on appelle la remédiation et donc notamment le pilotage de la crise pour revenir le plus rapidement possible à un état normal. Donc 27001, c'est bien mais c'est pas suffisant. Ça ne correspond pas au niveau d'exigence de cybersécurité puisqu'il la gestion de crise. Merci madame la ministre. Pour le groupe Horizon et indépendant, madame Poussibac. Merci monsieur le président. Merci de m'accueillir dans cette commission spéciale madame la ministre.

Et ça me fait drôle parce que c'est rare qu'en commission spéciale on soit tous d'accord sur au moins un constat. C'est que une politique solide de protection et bien des données n'est plus une option mais une urgence. Je pense qu'on le partage tous autour de cette table. Les cyberattaques contre nos services publics se se multiplient et menacent directement la confiance des Français dans leur administration. Au-delà de la menace évidente pour notre souveraineté, ces attaques comme celles que nous avons vécu hein contre la DG FIP cet été mettent également nos concitoyens en danger. Les données extraites facilitent les usurpations d'identité, les âmeçonnages et les autres types de fraude. Or, la France accuse 2 ans de retard dans la transposition de la

directrice Nice 2 au point que la Commission européenne cet été a saisi la Cour de justice. Donc le groupe Horizon et indépendant salue la décision du gouvernement d'inscrire enfin ce texte en priorité à l'ordre du jour de notre session. Cette urgence impose une méthode, vous l'avez dit et nous le partageons, ne pas surtransposer. Chaque exigence ajoute au-delà du droit européen retarderait l'adoption du texte et alourdirait une mise en œuvre qui demandera déjà beaucoup à l'état, aux collectivités, aux entreprises, aux établissements publics et à l'ANC qui est appelé à passer de quelques centaines d'entités régulées à plus de 15000. Donc mes questions seront les suivantes.

Le gouvernement entend-il tenir tout au long de l'examen une ligne claire de non sur transposition, y compris face aux amendements qui viendraient alourdir les obligations ? Par ailleurs, une fois le texte adopté, comment comptez-vous organiser un calendrier de mise en œuvre à la fois rapide et réaliste, en particulier pour le titre 2 et dans quel délais ? Même si vous avez commencé à y répondre, mais concrètement les décrets et le référentiel d'exigenence seront-ils publiés et de combien de temps disposeront les différentes entités pour se mettre en conformité ? Merci madame la ministre. Merci madame la ministre. Je vous laisse reprendre votre voix et de répondre à notre collègue.

Merci monsieur le président. Merci madame la députée pour vos questions. Alors sur la centre sur transposition, comme je le disais en introduction, je pense que c'est le mot que je vais le plus utiliser dans l'hémicycle pendant l'étude du texte. Évitons la surtransposition euh parce qu'il s'agit d'une directive et que finalement on n' pas trop de marge de manœuvre. Mais j'invite moi en fait aussi les parlementaires à s'approprier ce sujet par ailleurs après dans d'autres textes dans des missions, dans des rapports où là on pourra aller plus loin. Mais la directive elle elle doit être pure. Si si si je peux m'exprimer ainsi. Sur le calendrier. Mon objectif notre objectif c'est d'accélérer la mise en œuvre du PJL Résilience et en particulier Nice 2 puisque comme vous l'avez dit, c'est

15000 entités. C'est c'est beaucoup euh évidemment, il y aura une approche progressive des contrôles. On va aller du plus critique, c'estàd l'ANC ira du plus critique c'est-à-dire les entités essentielles, les OIV euh pour voilà pour comment dire pour apporter de la progressivité et et un petit peu de temporalité. Et déjà ce qui rejoint les questions de certains de vos collègues leur permettent de leur d'avoir le temps de se mettre en conformité. On accompagnera les PME, on a des structures dans les régions, dans les territoires pour pas qu'il n'y ait que euh l'ANCI. On a cybermaveillance.gov.fr également. Enfin, on a on a des entités qui pourront accompagner les PME. L'objectif, j'en ai pas parlé depuis le début de cette audition, rappelez-vous

dans le texte euh sortie de la commission spéciale, on se donnait un délai de 3 ans pour une mise en œuvre totale de de de Nice 2. Euh 3 ans, euh ça fait donc 1 an que nous n'avons pas travaillé, donc pas eu promulgation de la loi, donc on est plutôt sur un estimatif d'une mise en conformité pour fin 2028. Donc ça veut dire qu'on on reste finalement sur ce délai de 3 ans mais grevé grevé d'une année. Donc une une année et demi 2 ans maximum pour se mettre en conformité ce qui nous amène à fin 2028 pour les entités concernées par Nice 2. Et puis enfin l'ANC va publier sa stratégie euh de contrôle. Une fois que la loi sera promulguée, LANC, elle elle annoncera euh un petit peu sa sa

stratégie pour pas qu'il y ait de voilà pour le faire dans un esprit constructif et ne pas créer d'angoisse en plus à la mise en œuvre de de ce texte. Sur les décrets, ce que je peux vous dire, c'est que j'en ai parlé un tout petit peu effectivement tout à l'heure, c'est que sur le titre 1, c'est-à-dire rec sont des des OIV, euh les décrets sortiront dans les 3 mois après la promulgation de la loi. Sur le titre 2, c'est un peu plus long, il y en a beaucoup plus mais on s'est donné comme limite temporelle 7 à 9 mois maximum après la promulgation de de la loi. Et pourquoi ? notamment parce qu'on a besoin pour sortir les décrets, vous l'avez dit madame la députée du Bimulaire, mais il va falloir consulter

l'écosystème. On va devoir aussi consulter la l'ACNIL ainsi que la Commission européenne sur Nice 2. Donc ça va prendre entre 7 et 9 mois, c'est ce qu'on s'est donné comme ambition et on essaiera de de s'y tenir. Et puis concernant Dora, et bien c'est au plus tôt dès la promulgation. Ce que je peux vous dire, monsieur le député Boulou, c'est que après avoir discuté avec la DG trésor, ils sont prêts les décrets, c'est ce qu'ils m'ont dit. Donc dès qu'elle est promulguée, les décrets, ils sortent. Donc après évidemment voilà. Oui, c'était sur les petites entités. Voilà ce que je peux vous dire pour répondre à vos questions, madame la députée. Merci madame la ministre. On passe au aux questions individuelles et je sais que le rapporteur général et le rapporteur de Nice 2 ont des questions.

Donc je leur propose de les faire à la suite l'un l'autre comme ça on va grouper les questions pour tenir le délai. Président, vous allez vous allez s'ouvrir. Je pense madame la ministre, il peut pas y avoir de véritables auditions sur ce thème là sans qu'on parle à un moment donné du filtre en tirarnac. Alors, je vais interpeller monsieur Strevel tout à l'heure sur la capacité qu'on a à agir sur les infos stealers puisqueaujourd'hui c'est la mode avec les jeunes majeur qui s'emmerdent et qui discutent sur Discord et qui s'amusent avec ses outils les klepptogiciels. Mais si on regarde dans le rétroviseur, on a une autre type de menace he qui passe par le haonnage et et une des réponses efficaces au haonnage, en tout cas c'est ce qu'on avait envisagé, c'est la mise en œuvre

d'un d'un filtre et du filtre du filtre anti-arnaque. Ce filtre, il a une longue histoire et une tellement longue histoire qu'on en parle plus vraiment. Je crois savoir aujourd'hui que c'est porté par votre collègue de l'intérieur et que c'est l'OFAC qui le porte. Moi, j'ai un message madame la ministre si vous me confirmez que c'est bien c'est bien le cas. D'abord, est-ce que vous pourriez obtenir de lui là aussi un délai pas uniquement sur la remise du rapport ? J'ai bien compris que c'était plutôt méti pour l'autre mais est-ce que Laurent Lun collègue au-delà du fait qu'il puisse venir défendre de manière efficace le fait qu'il n'y ait pas besoin de de 16 bis pourrait aussi nous expliquer comment il entend mettre en œuvre le filtre antinac dont la traduction en matière législative a été

faite par cette chambre il y a maintenant de longs longs mois. Monsieur Thieb. Oui. Merci monsieur le président. Madame la ministre, juste une question par rapport à un sujet qui a été abordé tout à l'heure. Effectivement, vous vous l'avez souligné que nous avons supprimé les sanctions pour les colectivités territoriales. Euh toutefois, c'est la question comment les rendre malgré tout dans une trajectoire et dans une obligation. Euh parce que c'est vrai que vous l'avez dit que ça a un coût certes conséquent, mais on sait que la meilleure porte d'entrée pour les pour les hackers, en tout cas pour les cyberattaques, c'est le maillon le plus faible. Et malheureusement, souvent nos collectivités territoriales sont en maillon faible euh notamment en terme de

de sécurité. Donc est-ce qu'il faudrait pas peut-être envisager même si on met pas de sanction mais en tout cas une feuille de route claire qui pourrait avoir des notions de sanction gradué à voir envisager mais j'ai peur que le fait d'avoir enlevé les sanctions effectivement nous nous comment dire nous nous enons pas un message très très positif et pas incitatif et notamment peut-être un décalage entre le public et privé. Madame la ministre, je vous laisse répondre à nos deux collègues sur ces deux sujets hétérogène mais qui sont quand même très à la cybersécurité.

Merci monsieur le président. De belles questions pour finir cette audition. l'OFAC euh et bien euh l'autorité enfin qui qui supportera le filtre anti-arnaque dans le bon sens du terme puisqu'il est chargé de le mettre en œuvre. Euh par contre, ce que je peux vous dire, c'est que il y a un avis circonstancié de la commission euh sur le projet de décret. Euh et donc euh on va devoir prévoir une nouvelle écriture euh qui sera à soumettre à nouveau à la Commission européenne. Donc là, pour l'instant, c'est plutôt un délai dû à euh à une réaction de la Commission européenne européenne par rapport à l'écriture du décret qui est qui était prêt et qui est sortie de chez chez nous par contre de notre ministère. Euh et

puis en fait en fait aussi après c'est l'OFA qui le mettra en œuvre et éventuellement il y a aussi des sujets de ressources humaines. Euh voilà parce qu'il faut il faut renforcer l'OFAC pour pouvoir assurer la mise en œuvre du filtre antiarnac. Donc là c'est pareil, je peux pas je peux pas vous dire les délais. On est en train de travailler à la réécriture, ce sera ressoumis à la Commission européenne et puis j'ai bon espoir que on ait notre filtre antiarnac un jour. Euh donc ça c'est sur votre question sur les collectivités territoriales. Euh donc le choix qui avait été fait en commission spéciale il y a 1 an, c'était effectivement de pas mettre de sanction collectivité territoriale ayant jugé que elles avaient déjà beaucoup beaucoup de

de charges de contraintes réglementaires, que les collectivités territoriales sont des entités qui sont très respectueuses des lois euh et qui le font. euh généralement rapidement et bien. Donc on trouvait que enfin moi c'est ce qui avait été décidé en tout cas dans la commission spéciale que la sanction financière n'était pas déterminante dans la mise en conformité des collectivités territoriales. Par contre la la comment dire la la conséquence réputationnelle s'ils ne le font pas pour moi est beaucoup plus lourde pour un maire pour son équipe municipale. Lors d'une publication, il est avéré que le maire et son équipe n'ont pas tout mis en œuvre pour protéger les données et les des citoyens et les systèmes

d'information de la ville ou de l'ICO ou du département ou de la région. Je pense que en terme d'image pour les élus, c'est c'est pire. Euh par ailleurs, il y a quand même des mesures d'exécution, ça va être graduel au niveau des contrôles. Il y a une discussion avec les collectivités locales euh pour éviter euh si c'est le cas euh que ce soit trop lourd. Je dirais que ce sera proportionné. On a le commission le président de la commission spéciale a d'ailleurs suggéré que finalement il y ait des sanctions financière si je ne m'abuse mais mais gradué justement c'estàdire que il y ait des étapes avant d'arriver à la sanction

financière et c'est et ça va déjà être le cas puisque de toute façon il y a les mesures d'exécution après le contrôle mesure d'exécution recontrôle voilà on peut imaginer mais là j'ai envie de vous dire moi j'en ferai pas un cas euh au nom du gouvernement de un cadre de de sujet non discutable. Je pense que c'est à vous là les parlementaires de décider finalement s'il y aura des mesures financières, des sanctions financières, si elles doivent être graduées pour les collectivités ou si vous restez sur le texte qu'il est sorti en commission spéciale. Je pense que c'est un débat que vous devez vous pourrez avoir dans l'hémicycle. Merci madame la ministre. Nous arrivons à la fin de cette audition. Je j'en profite pour plus soyer, je sais pas si le mot est bon. Sur la question du

rapporteur général sur le filtre, nous voyons que la conséquence des attaques et des fuites de données qui ont eu lieu y compris dans le service public sont ensuite des tentatives d'âmeonnage auprès de nos concitoyens. C'est ça qui ront la confiance de nos concitoyens vis-à-vis du public et donc du service public. Donc nous avons besoin du filtre antiernac d'une écriture très rapide soumise à la Commission européenne pour une mise en place la plus rapide possible pour limiter les effets auprès de nos concitoyens. C'est ce que il nous retourne quasiment tous les jours dans nos permanences euh quand euh quand nous sommes en circonscription. Euh je pense qu'il faut qu'on aille plus vite que se dire que peut-être dans quelques mois on ressoumettra un décret. Mais voilà, je

suspends la séance. On vous remercie encore une fois madame la ministre de cette audition.