Cybersécurité : l'avis des autorités de régulation financière

projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité se poursuit aujourd'hui par une première table ronde avec les autorités de régulation financière l'Autorité des marchés financiers ici représenté par Monsieur monsieur Sébastien raspilier secrétaire général qui est accompagné de Monsieur Philippe sourlas secrétaire général adjoint en charge de la direction de la gestion d'actifs et de Madame Laure tertray directrice de cabinet auprès de la présidente madame Marianne Barba layami l'Autorité de contrôle prudentiel et de résolution pour laquelle s'exprimera Monsieur Frédéric hervau secrétaire général adjoint qui est accompagné de Madame Véronique benïd Cohen conseillère parlementaire auprès du gouverneur de monsieur Alexandre Garcia expert en régulation prudentielle bancaire et politique de stabilité financière et Monsieur Gabriel prégissa chargé de mission je vous remercie d'avoir répondu à notre invitation car vous pourrez ainsi nous éclairer sur le troisè des trois volets de ce projet de loi à savoir la transposition de la directive qui concerne la résilience opérationnelle numérique du secteur financier dit Dora ce titre 3 du projet de loi entre dans le champ de compétence de notre collègue et corapporteur Michel Canevet par ailleurs membres de la commission des finances du Sénat nos auditions avaient jusque-là porté sur les deux premiers titres du projet de loi lesquels concernent pour le premier la transposition de la directive sur la résilience des entités critiques ditrec et pour le titre 2 la directive concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union dit Nice 2 pour autant ces sujets ne sont pas sans lien puisque certaines questions ont pu être soulevées lors de précédentes auditions sur les recoupements ou redondances pouvant exister entre ces droits trois directives mes collègues corapporteurs sur le Titre 1 et 2 respectivement Hux Sori qui va nous rejoindre et Patrick chaise pourront vous demander des précisions lors de la séquence des questionsréponses mesdames messieurs avant de vous céder la parole je rappelle à tous que cette audition fait l'objet d'une captation vidéo qui est retransmise sur le site internet du Sénat puis consultable en vidéo à la demande euh contenu de l'expérience des premières auditions passées je vous propose pour ouvrir cette table ronde que chaque rapporteur donc présente pose ses questions comme ça vous pourrez intégrer dans votre déclaration une une réponse qui fait que on a remarqué que quand on faisait les déclarations liminires puis les réponses on on décalait ça donner moins de temps pour éventuellement pour nos collègues de pour poser des questions complémentaires donc si vous ne voulez bien on va commencer donc par les questions de nos rapporteurs et ensuite je vous donnerai la parole à tour de roule Michel canevette merci monsieur le Président Mesdames et Messieurs les intervenants chers collègues effectivement nous avons une table ronde plus spécifiquement dédiée à Dora ce cet après-midi euh donc j'aimerais bien tout d'abord que vous puissiez nous indiquer les principaux risques que vous avez identifié concernant le secteur financier qui a déjà je dirais une appétence aux questions de cybersécurité de manière approfondie tout simplement parce que c'est important pour eux euh ce que l'on constate à l'examen du texte et que finalement il y a encore un certain nombre de normes qui n'ont pas été publiées avez-vous des indications sur euh les changements de de de ces normes et et d'ailleurs ne trouvez-vous pas que ces normes sont euh trop précises et donc apportent trop de contraintes à l'ensemble des institutions fin financière tel que cela génère aussi des coûts pour l'ensemble des acteurs et des contraintes administratives bien entendu qui vont impacter l'activité de chacun c'est-à-dire les entreprises mais aussi les superviseur voilà et puis de façon synthétique peut-être nous avons trois sujets de de préoccupation tout d'abord le fait qu'il y ait plusieurs directives au règleement qui soit inclus dans le projet de loi résilience et donc les entreprises notamment du secteur financier pourrai astrinte à au respect à la fois de Nice 2 et de Dora comment voyez-vous les choses comment peut-on faire pour éviter qu'il y ait une complexification pour ces entreprises par l'obligation de respect de deux réglementation tites européennes deè point de rogation qui concerne les sociétés de financement puisque dans la directive européenne elles ne sont pas incluses et la France ferait le choix de les inclure trouvez-vous cela pertinent certes un délai a été accordé pour 1 an même et un an d'ailleurs enfin le dispositif est applicable normalement depuis le 17 janvier d'ailleurs mais pour un an je en janvier 2026 est-ce que vous trouvez que cela est suffisant et est-ce que vous trouvez que ces obligations sont proportionnées pour ces acteurs dit des sociétés de de financement et puis 3ème et et dernière préoccupation qui nous est apparu au fil des auditions c'est la question du reporting par l'ensemble des acteurs des incidents qui surviennent qui appellent à ce qu'il y ait une organisation de supervision en face qui soit adapté c'est-à-dire qui soit en capacité à tout moment puisqu'il est demandé quasiment à l'instanté de pouvoir faire le le reporting des incidents qui sont identifiés l'an est organisé pour pouvoir fonctionner en temps permanent tel n'est sans doute pas le cas ni de la CPR ni de l'Autorité des marchés financiers quelle disposition entendez-vous mettre en œuvre pour assurer la continuité du du service 24 heur sur 24 et 365 jours sur 365 merci Patrick chaise oui merci monsieur le Président merci mes chers collègues mesdames et messieurs alors particulièrement je suis chargé de la partie Nice 2 donc la transposition du titre 2 néanmoins si cette audition est est principalement consacré à la directive Dora les infrastructures de marchés financiers secteur bancaire sont également concernés par la directive Nice 2 en tant que secteur hautement critique avec cette directive c'est un changement majeur de paradigme qui est à l'œuvre il ne s'agit plus seulement de sécuriser euh des infrastructures critiques mais d'assurer la résilience des entités critiques autrement dit la couverture est beaucoup plus large alors j'aurais trois questions euh première question euh pensez-vous que les entreprises du secteur bancaire et financier sont suffisamment informées des changements à venir au titre de Nice 2 ma deuxème question concerne l'ANC et plus particulièrement pensez-vous que l'an est suffisamment bien identifié par le monde financier comme un interlocuteur de confiance dans le domaine de la cybersécurité et enfin ma trème question concerne l'articulation des dispositions des directive Nice 2 et Deora et dans le cas du projet de loi qui transpose entre les titres 2 et 3 est-ce que vous c'est cette articulation vous paraît adéquate avez-vous le cas échéant identifié des difficultés voilà pour mes questions simples merci beaucoup donc pour rappel nous devons clore cette première table ronde 15h30 et donc je vis savoir qui souhaite commencer pour donc pour 10 minutes 10 12 minutes pour répondre à ces questions donc monsieur Herveau pour la CPR monsieur le Président messieurs les les rapporteurs mesdames les les sénatrices messieurs les les sénateurs mesdames messieurs d'abord je suis très honoré de pouvoir échanger avec vous sur la mise en œuvre du du règlement Dora relative à la la résilience informatique et et cyber du secteur financier qui fait donc l'objet comme vous l'avez rappelé d'un titre spécifique de ce projet de loi résilience en tant que secrétaire général adjoint de de la CPR qui est l' autorité en charge du contrôle des secteurs bancairirees et de de l'assurance je peux confirmer que c'est un sujet qui nous mobilise fortement et car il est vraiment capital pour la la stabilité financière en France mais aussi dans l'ensemble de l'Union européenne et nous nous avons travaillé pour pour nous y préparer au cours des derniers mois alors le contexte dans lequel s'inscrit cette nouvelle réglementation est je pense marqué par deux éléments essentiels et c'est peut-être premier élément de de réponse sur la la manière dont on peut percevoir les le risque cyber spécifique au au secteur financier je crois que d'une part nous constatons une une digitalisation accélérée du secteur financier et je crois que en tant qu'utilisateur de de services bancaires et financiers nous le nous le vivons tous au quotidien en tant que superviseur nous avons également d'ailleurs constaté au cours des dernières années l'essort de service support de plus en plus massif et et complexe he on peut penser au services en nuage cloud ou bien les les centre de données particulièrement important y compris pour les sujets liés à l'intelligence artificielle euh et donc ces services sont proposés aux établissements financiers par des des acteurs géants du numérique dont beaucoup sont basé en dehors de l'Union Européenne ce qui évidemment soulève un certain nombre de de questions sur la performance la réussite de la transformation digitale des des entités euh et bien sûr les risques qui sont associés et effectivement c'est peut-être le deè élément de contexte nous constatons l'essort des cyberattaques visant le secteur financier c'est un des secteurs les plus les plus affectés par les les attaques ou les tentatives je rappellerai illustration en 2024 la la filiale américaine de la banque chinoise ICBC qui a dû être recapitalisée de plusieurs milliards de dollars à la suite d'une d'une cyberattaque d'un d'un rongiciel euh je rappellerai également que dans le cadre de son évaluation des risques du système financier la Banque de France considère le risque cyber comme le risque structurel le plus élevé donc je pense que c'est effectiv un élément de réponse à votre question sur la manière dont nous nous percevons le risque de ce point de vue-là le règlement d'ora apporte une avancée bienvenue en posant un cadre unifié d'exigences de gestion des risques informatiques et cyber pour une très large gamme d'acteurs financiers banque assurance acteurs de paiement entreprise d'investissement mais aussi infrastructure des marchés ou émetteurs de cryptoactifs et donc des acteurs qui doivent tous tester leur leur cyber résilience et pour les plus systémiques seront assujettis à des tests d'intrusion piloté par leurs autorités de contrôle permettant de détecter d'éventuelles failles dans leur système d'information Dora établit également un dispositif harmonisé de déclaration d' d'incident cyber donc sujet qui fait partie effectivement de vos question soit incident cyber informatique et de paiement qui permet d'orchestrer la réponse des autorités y compris l'an enfin Dora met en place une nouvelle surveillance des prestataires tiers critique dont la liste sera arrêtée probablement au 2e semestre de cette année par les autorités européennes de supervision qui arrêteront la liste et mettront en œuvre une surveillance de ces acteurs qui sont donc des acteurs en dehors du système financier mais qui fournissent des services critiques pour le secteur financier à la CPR nous sommes préparés au cours des deux dernières années à assurer ces nouvelles missions le règlement est donc maintenant rentré en application depuis le 17 janvier toutefois il manque encore un certain nombre de de pièces importantes dans le le dispositif en complément du règlement la transposition de la directive va modifier plusieurs textes importants et le projet de loi introduit plusieurs compléments de substances qui nous semble tout à fait indispensable en matière d'assugétissement d'abord puisque les sociétés de financement comme crédit logement ou l'Agence française de développement ne sont effectivement pas visé par définition par le texte européen puisque c'est un statut purement national mais sans extension de l'application de Dora par la loi nationale nous n'aurions pas nous n'aurons pas à CPR de base juridique pour recevoir les notifications d'incident ou contrôler les registres d'externalisation de ces acteurs importants pour l'économie française donc je rentrerai un petit peu plus dans le détail par rapport à cette problématique des sociétés de financement mais je crois que ça nous semble en tout cas un point important puisque le risque cyber est susceptible de se propager et compte tenu deinterconnexion des acteurs du système financier il est vraiment important d'éviter d'avoir un maillon faible qui ne serait pas couvert ou qui serait couvert de manière trop tardive par rapport aux autres acteurs donc c'est bien la logique de Dora d'unifier finalement le traitement de l'ensemble des acteurs du système financier et donc pour terminer peut-être ces propos introductif je pense que certains amendements à la version initiale du projet de loi qui a été déposé devant le Parlement nous sembleraiit utile il s'agit notamment pour ce qui concerne l'extension du périmètre de Dora au succursal de pays-tiers d'entreprise d'investissement parce que là aussi ça n'est pas couvert ni par pas couvert aujourd'hui par le le projet et puis aussi c'est peut-être un un élément de réponse à l'une de vos questions sur finalement la charge administrative pour les les entités supervisées euh il nous semble utile peut-être de d'amender le texte de façon à limiter la charge sur un certain nombre d'aspects en particulier pour les établissements notamment les infrastructures qui sont supervisés par plusieurs autorités hein CPR AMF Banque de France il nous semblerait utile de désigner un point d'entrée unique pour les déclarations d'incidents de façon à éviter une redondance des des déclarations d'incident par ces entités et dans le même esprit s'agissant des prestataires de services de paiement nous semblerait utile de simplifier le processus de déclaration d'incident de sécurité majeure en les centralisant auprès d'une seule autorité la CPR en accord bien sûr avec la Banque de France voilà je vous remercie pour votre attention et je vous proposerai dans un deuxième temps de de revenir plus dans le détail sur vos différentes questions merci beaucoup monsieur raspier pour la MF oui merci beaucoup monsieur le Président messieur les les rapporteurs mesames les sénatrices et messieurs les sénateurs pour cette opportunité d'évoquer Dora du point de vue de l'Autorité des marchés financiers et vous décrire aussi en quelques mots comment nous y sommes préparés mais ce que ça signifie peut-être très concrètement dans une vie ailleurs j'ai négocié et finalisé sous présidence français de l'Union européenne le paquet d'ora directive et règlement je ne dirais pas que j'en paye maintenant le prix étant maintenant à l'œuvre pour appliquer cela entre il y a les textes de niveau 2 que vous avez évoqué au niveau européen certains manquent encore et puis évidemment la transcription au droit national par les législateur que que vous êtes euh le premier élément c'est que le règlement d'ora s'agit de la résilience opérationnelle numérique du secteur financier comme l'a indiqué Frédéric arveau contexte de digitalisation croissante je pas en faire une description détaillée vous l'avez bien à l'esprit un paysage aussi d'externalisation importante c'estàdire que ces actions numériques ne sont pas faites nécessairement en interne chez les acteurs financiers l'exemple du Cloud a évidemment été marquant mais de manière plus générale c'est bien la question de la résilience et de se poser la question en tant qu'institution financière qui doit offrir des services qui soient critique systémique ou simplement servir son client s'interroger sur quels sont les facteurs qui me conduiraient par exemple à interrompre un service je prends un exemple sur le champ alors de l'autorité de marché financier il est extrêmement vaste en terme de nombre d'entités mais sur les entités de plus petite taille en moyenne sans aucun doute que celle de la CPR si on pense aux banques aux assurance c'est notamment les sociétés de gestion sociétés de gestion nous indique typiquement bah au-delà des risques cyber que tout le monde a bien à l'esprit sur la base d'exemples qui ont aussi fait l'objet de de sortie médiatique c'est typiquement bon voilà j'ai une panne d'électricité devant chez moi parce qu'il y a un coup de pioche qui a fait ben je n'ai plus de serveur je n'ai plus de données transmises par Bloomberg et je ne peux pas faire mon indice sur lequel je cote en continu mes mes produits et donc ça crée des des problématiques voilà c'est pour dire aussi qu'il y a du très concret ça n'est pas que le l'incidence cyber massif c'est aussi vraiment le quotidien pour des entités de taille varié C gestion à dizaines de de collaborateurs c'est c'est un peu notre lot quotidien avec Philippe sourlas qui qui dirige la la direction de la gestion d'actif avec moi on pense aussi chez nous nou euh au prestataires de services sur cryptoactif alors ça c'est l'entrée en vigueur quasi concomitante du règlement micaa au niveau européen market in crypto assets euh bon il y a un régime national qui a préexisté à ce régime européen on a plus d'une centaine d'acteurs on verra ce qu'il en ressort à la fin mais on aura une cinquantaine d'acteurs peut-être enfin plusieurs dizaines on s'attend de taille diverse on a des prestataires de services au financement de financement participatif ce qu'on appelait et le crowdfunding en en bon français donc voilà une diversité d'acteurs et une diversité de sujets de nature de résilience opérationnelle ce que je peux vous indiquer aussi c'est que au-delà des autorités publiques qui se sont félicité l'adoption de ce paquet d'ora quand on parle à des investisseurs qui soient européens ou même outreAtlantique reconnaissent que Dora a vocation à devenir un standard d'exigen minimal qui donne confiance donc en tout cas nous les échos qu'on a et par des acteurs issus du privé qui qui mettent de l'argent pour financer euh c'est que c'est perçu positivement en tout cas dans les ambitions et dans les objectifs et le choix qui a été fait par législateur européen euh c'est bien que ça embarque beaucoup de monde pour répondre à peut-être une nvau question sur l'ambition mais aussi la charge derrière beaucoup de monde parce que on est dans des domaines très interconnectés comme l'a dit Frédéric HERV ou si vous avez un maillon faible c'est ça qui va en fait donner la le niveau de résilience au au global en tout cas ça ça peut l'être ainsi euh donc ce choix a été fait en tout cas c'est perçu positivement comme ambition ça n'empêche pas évidemment qu'il faut optimiser les ressources je pense que c'est quelque chose qu'on s'est appliqué à nous-même parce que on est en ressources évidemment qui sont fixé d'ailleurs par le législateur et qu'on se doit de de d'y être très très vigilant et d'être aussi efficient que possible mais clairement ça va imposer des charges pour nous supplémentaire nouvelle du type de la réalisation des tests de pénétration donc les fameux tlpt où là c'est de la ressource très pointu en terme de cyber expertise ou en tout cas de système d'information qu'il faut qu'on puisse recruter si besoin al y a une compétition assez féroce sur le marché de l'emploi à cet égard et puis aussi dans notre travail quotidien dans la supervision des entités qu'on réalise déjà évidemment pour le respect d'un certain nombre de réglementation issu du droit européen voire du droit national on rajoute là bah le respect la vérification du respect des exigences fixées par le paquet d'Ur par ces acteurs donc typiquement la cartographie des prestations externalisées par les soci gestionestion il faudra qu'on la récupère et si on l'a pas qu'on relance pour bien l'avoir qu'on regarde et qu'on identifie euh cas échéant des éléments qui pourraient être perçus comme problématiques il y a aussi tous les aspects de reporting que vous avez signalé donc là euh on pourra y revenir pe plus en détail mais peut-être déjà deux éléments parmi les entités sans doute qui sont critique au sens couvertees par Nice 2 et par Dora nous on en a qu'une je pour ça que je laisse davantage Frédéric compléter ensuite mais c'est clair qu'on enfin voilà le le le le le sujet est bien de limiter la charge sur elle en se disant que un point d'entrée unique déjà entre les trois autorités de supervision serait pertinent donc pour pas la nommer c'est une plateforme de marché voilà qui s'appelle euronex et après on a une chambre de compensation un dépositaire central qui sont qui sont Banque de France et à CP donc d'essayer de limiter la charge en faisant un point d'entrée unique après charge à nous entre les trois autorités on en a l'habitude de nous articuler pour transmettre l'information évidemment et puis dans l'articulation avec l'an bah c'est bien identifier ce que souhaite avoir l'ANC et en fonction de ça nous identifier ce qui est le plus efficace entre mettre en place un développement chez nous qui serait après une trans une transmission assez automatisée à l'ANC direct pour cette entité ou alors si l'ANC peut attendre un jour maximum parce qu'on dit bien 365 jours 365 fait 24 324 enfin voilà on est présent il y a pas de de fermeture d'autorité des marchés financiers jamais donc ça c'est sur la problématique de l'efficience c'est pour vous dire que on en a conscience pour les acteurs parce qu'on en a aussi conscience pour nous euh les charges qui portent sur les acteurs se transmettent quelque part vers nous puisque ça fait une charge de supervision supplémentaire et si on a une masse de documents il faut bien qu'on les les analyse donc on est plutôt demandeur d'avoir une une efficience en la matière euh peut-être euh juste pour donner quelques exemples euh comme je l'indiquais je voulais faire en écho de de Frédéric harveau mais pour vous signaler la l'ampleur on va dire des des des gens concernés en gestion d'actifs on a des exemples assez concrets je peux pas donner de nom mais typiquement de Rand someware ça peut être des PME donc elles en sont victimes comme des PME d'une industrie manufacturière peut l'être comme vous vous avez pu il y a des intrusions prolongées dans les boîtes email professionnelles ça ce sont des choses qui étaient avant d'ora nous remonté en tant que superviseur mais qui là vont être davantage cadrés par par les acteurs euh peut-être juste pour terminer sur les questions que vous avez posé est-ce que les institutions financières sont assez bien informées nous en tout cas on s'est efforcé de faire beaucoup de pédagogie vis-à-vis d'elle dans nos actions classiques de supervision en al signalant bien qu'il fallait se préparer à l'entré en vigueur de Dora je pense que j'ai vu sur la place beaucoup de conférences ou de webinaires ou de de séminaires organisés pour les préparer euh je pense que sur ce domaine là c'est plus aisé que sur d'autres dans le sens où ces entités sont bien conscientes de manière générale de l'importance à attacher à ces sujetsl parce que derrière les conséquences en terme d'image de réputation peuvent être très directes très rapides très visibles donc au-delà même de la peur du gendarme euh il y a quelque part euh la la la prise de conscience déjà à assz assez ancienne que ces sujets là sont sont vraiment à regarder est-ce que lency est bien identifié par ces institutions financières c'est pas à moi d'y répondre directement pour le compte de Lancy ce que je peux vous dire c'est qu'elle nous en parle très spontanément donc je pense que Lancy est bien identifié par ses acteurs et était perçu par ces acteurs institutions financières comme un tiers de confiance ce qu'elles nous disent mais là encore je dépasse largement mon rôle c'est enfin j'imagine vous avez des des contacts des auditions avec Lancy c'est peut-être que Lancy avec Nice va devenir une autorité de supervision et nous en tant qu'autorité de supervision c'est vrai qu'on a pu dire dans nos échanges à clany c'est une nature de rôle qui est différente de conseil hein c'est pas si on a une capacité de sanction évidemment on n'est pas perçu exactement de la même façon pour autant tout cela on arrive quand même à le faire et typiquement dans nos entités qu'on supervise quand elles ont besoin d'avoir un peu de guide de de de ligne directrice ce genre de chose on le fait très volontiers pour dire qu'il peut y avoir très bien un dialogue entre un supervisé un superviseur qui ne se contend pas à une opposition de façade parce que à la fin il pourrait y avoir un risque de sanction dans ces matières là il y a une compétence je crois très reconnue à l'ANC par les institutions financières en tout cas c'est les témoignages qu'elle nous transmett et pour nous le défi ça sera d'être à la hauteur par la capacité qu'on aura de recruter des experts aussi à notre niveau mais pour participer pour revenir sur mon point de départ de mon intervention sur l'amélioration générale de la connaissance de la prise de conscience et de la préparation à accroître sa résilience pour la santé globale du secteur financier en France et en Europe merci permettez monsieur le Président de revenir peut-être de manière un petit peu plus détaillée sur certaines des questions don plusieurs questions portaient sur l'articulation entre Dora et Nice 2 peut-être sur la il y a plusieurs perspectives une perspective qui est d'ordre juridique je crois que le l'articulation des textes nous semble claire puisque le le considérant 16 et l'article 1er de Dora font de Dora un texte lex spécialiste et c'est par ailleurs effectivement quelque chose qui est prévu par Nice 2 dans son article 4 hein qui permet lorsque des des actes juridiques sectoriels de l'Union imposent à des entités que soit essentiell ou importantes des mesures de gestion des risques en matière de cybersécurité ou notification d'incidents avec un effet équivalent ce sont les textes sectoriels qui s'appliquent donc le principe c'est bien que pour le secteur financier Dora avOcatiOn à être le texte d'application et donc quand on est conforme à Dora on est couvert par Dora euh on on est conforme à à Nice 2 et donc effectivement ça nous semble le le point important pour autant bien sûr l'ancy reste pleinement partie prenante euh l'ancy reste le le l'autorité en charge de la cybersécurité et euh l'entité qui va au premier chef répondre sur le plan technique au aux incidents cyber hein et donc ça c'est vraiment un point un point tout à fait tout à fait essentiel et qui implique une bonne coopération entre euh les autorités de contrôle du secteur financier et et Lancy euh comme l'a indiqué d'ailleurs sbastien raspillet notre ressenti notre perception c'est qu'il y a une bonne connaissance des missions du rôle de Lancy par les les acteurs du secteur financier je rappellerai que nous avons depuis maintenant 20 ans un organisme c'est le groupe de place robustesse hein qui est organisé sous l'égite de la Banque de France et auquel participe à la fois les les grands acteurs du du secteur financier mais également les autorités publiques AMF ACPr et Lancy hein qui a vocation à la fois à partager de manière informelle sur les sujets liés au risque opérationnel et au risque cyber et également à organiser des des tests ou à répondre à des situations de crise et euh par ailleurs les les communications de place importantes que nous avons été amenés à à conduire à CPR comme AMF et banque de- France au cours des derniers mois ont de manière assez systématique également euh permis d'inclure lany hein la la conférence du contrôle auquel ont participé près de d'un millier de participants organisé par la CPR au mois de novembre incluait une une table ronde sur la mise en œuvre de Dora et Lancy était effectivement partie prenante à cette à cette table ronde euh donc c'est effectivement un sujet important le l'autre point sur les notifications d'incidents nous nous sommes effectivement mis en en mesure de de recevoir les notifications d'incident majeur par par les différents acteurs en utilisant soit pendant les les les périodes ouvré les euh les circuits de notification habituel au au reporting prudentiel soit par mail le dimanche ou en période en période de de nuit ce qu'il faut avoir en tête c'est que la la temporalité la criticité de ces notification n'a pas le même sens la même portée vis-à-vis de Lancy et vis-à-vis des des des autorités de contrôle qui ne vont pas jouer le même rôle en cas d'incident cyber ce que je veux dire par là c'est que que l'ANS va être en fait en première ligne pour assurer les réponses techniques aux incidents Cyb les qualifier les comparer éventuellement informer les les acteurs affectés des de mesures éventuelles de de remédiation alors que du côté des autorités de contrôle notre rôle va être de d'évaluer les conséquences pour le système financier et les différents acteurs de l'incident et de partager sur sur ces problématiques et d'aider les acteurs à prendre les les bonnes mesures sur leur produits financiers sur leurs services ce sont donc des rôles qui sont complémentaires et qui ne sont pas substituables donc je pense que c'est effectivement le point pour lequel nous nous devons avoir continuer à avoir cette cette bonne coopération et cette bonne articulation avec avec l'an vous avez également posé donc une question question sur les la couverturelaai d'application pour les les sociétés de de financement donc je voudrais rappeler à cet égard que les les sociétés de de financement sont des des établissements qui ont une une activité de de financement spécialisé hein on peut citer la facturage le crédit bail la caution ou l'octroit d'autres garanties financièr qui sont des activités tout à fait importantes pour pour l'économie R services vraiment importants mais qui ne sont pas euh donc qualifiés d'établissement de crédit puisqu'ils ne collecte pas de fonds remboursables du public de de dépôts euh mais leur activité est bien une activité tout à fait tout à fait importante alors il est vrai que les sociétés de financement présentent une certaine hétérogénéité en terme de de taille et d'importance hein on a un certain nombre d'entités qui sont vraiment très critiques hein soit parce qu'elles ont une mission de de service public hein on peut penser à à Action Logement ou à l'Agence française de développement soit pour crédit logement qui euh est donc un un acteur essentiel hein qui assure des services de ctionnement euh des des prêts immobiliers résidentiels hein juste sans vouloir multiplier les chiffres rappeler que sur les 1000 milliards de crédits immobiliers dans cours de crédit immobilier en France Crédit Logement a cautionné un en cours de près de 430 milliards d'euros donc on ne peut pas dire que c'est un acteur mineur et pour vous donner une illustration concrète si demain une cyberattaque conduisait par exemple à divulguer dans le public les données de près de millions de Français je crois que c'est effectivement un risque qui doit nous collectivement nous nous préoccuper donc raison pour laquelle il nous semble effectivement important euh d'appliquer Dora également à ces acteurs même s'il dispose d'un statut national hein et non pas d'un statut européen ce qui explique il ne soit pas visé directement par par le règlement ou par ou par la directive il faut également rappeler que les sociétés de financement pour la grande majorité près de près des 2 tiers font partie de groupe bancair et donc il serait un petit peu contreintuitif alors que les groupes bancaires sont amenés déjà appliquer Dora depuis le 17 janvier que leur filial société financement reste en dehors je pense que on aurait un petit peu un effet de de maillon faible voilà donc pour ces raisons il nous semble important que les sociétés de financement soi effectivement se voit étendre l'application de de dorain encore une fois elles sont très dépendantes pour leur financement parce qu'elles ne collectent pas de dépôts d'autres acteurs du système financier donc il est vraiment important que la couverture leur soit également appliquée pour ce qui concerne la date nous il nous semble que effectivement le début de l'année 2026 nous semble un délai raisonnable de mise en œuvre sachant que bien sûr en tant qu'autorité de contrôle des sociétés de financement nous appliquons dans nos activités de contrôle un principe de proportionnalité une approche par les risques hein qui s'appliquera lorsque nous serons amenés à nous assurer de la bonne mise en œuvre de des mesures de Dora par par par ses acteurs comme par comme par les autres euh voilà pour ce qui concerne les les textes réglementaires donc effectivement il y a pour l'essentiel deux normes techniques de réglementation qui sont encore attendu l'une qui porte sur la la sous-traitance et l'autre Sébastien raspiller faisait référence les les tests d'intrusion renforcé les fameux tl é hein qui ont vocation à s'appliquer à une seulement au aux acteurs les plus systémiques qui seront mis en œuvre sous le contrôle et avec la participation des autorités de contrôle du secteur financier euh donc effectivement le le le texte est encore en attente ce qui veut dire que le le calendrier pour commencer ses tests est plutôt attendu pour la fin du du premier du premier semestre même si le règlement d'ora est applicable depuis le 17 janvier bien sûr la mise en œuvre est nécessairement progressive notamment sur ces sur ces aspects voilà je pense pour l'essentiel des des questions si les collègues ont des questions chez juste Michel Grum qui s'est qui m'a fait signe bonjour à tous merci déjà pour les éléments donnés euh concernant l'article 57 qui a introduit dans le code des assurances de nouvelles exigences notamment de renforcer la cybersécurité euh des assurances pour protéger les données des assurés comme les capacités de fonctionnement et d'indemnisation des assureurs ainsi que l'article 58 qui définit les nouvelles obligations de gouvernance face au risques liés à l'utilisation d'outils numériques introduit en aora euh je voudrais savoir comment comptez-vous protéger davantage les contrats des assurés sur le plan numérique en sachant que je viens du département du Nord le Nord a été fortement touché notamment aussi bien pour les citoyens que pour les collectivités par les inondations les effets climatiques mais aussi j'interpelle concernant tous les placements aujourd'hui qui sont faits dans les assurances notamment les assurances retraite les assurances vie les assurances obsè tout ça c'est de l'argent qui bah qui qui qui voyage qui travaille et voilà donc ma question c'est comment comptez-vous protéger davantage les contrats des assurés sur le plan numérique aussi bien des données personnelles que financiers merci je crois qu'effectivement c'est un une illustration des des évolutions de Dora puisque c'est en fait c'est un texte aussi qui quelque part met au même niveau finalement le l'ensemble des acteurs par rapport aux attentes en matière de gestion des des risques informatiques des risques d'externalisation et des risques cyber et donc je crois qu'il est effectivement important que le le secteur de de l'assurance soit aussi bien protégé puisque comme vous y faisiez référence il peut y avoir des des données tout à fait sensibles hein qui concernent les données de santé les données de paiement ou toutes données personnell ou individuell des des assurés et [Musique] donc Dora est aussi tout à fait bienvenu par rapport à cette préoccupation légitime de bien protéger ces ces données donc effectivement un des effets c'est de de souligner cette cette nécessité d'avoir bons dispositif de de protection et il appartient la CPR en tant qu'autorité de de contrôle de bien nous assurer dans le cadre de nos nos missions habituelles de de de contrôle que ce soit contrôle permanent sur base documentaire ou bien contrôle sur place puisque nous nous diligentons également des des contrôles sur place pour aller regarder de manière très concrète l'organisation de la la gestion des risques y compris donc sur cette dimension de protection des données de de sécurité informatique au sein des établissements et donc il y a bien dans les faites et en pratique une conformité avec le le cadre le cadre réglementaire bien sûr ça se ce sera effectué dans le cadre d'une approche proportionnelle d'une approche par les risques en fonction bien sûr de la taille du profil des des acteurs et de la nature de leur de leur activité et ça je dirais que c'est quelque chose de de commun par rapport à nos à l'exercice de nos missions de de contrôle collègue Paul gagin merci monsieur le Président bonjour à toutes et à tous merci beaucoup pour vos présentation j'avais une question plus précise sur les opérateurs de Cloud puisque finalement on parle des données mais ces données elles vont aller dans des cloud j'ai du mal à m'imaginer comment on va pouvoir assurer s'agissant d'opérateur de cloud qui ne seront pas nécessairement intrauropéens la garantie de la sécurité des des données qui seront hébergées au regard de d'application un peu extraterritoriale des lois qu'on peut voir se multiplier au regard des des changements géopolitiques qui qui ont lieu ces derniers temps Madame vous voulez répondre directement très bien la même question si c'est oui monsieur le Président mais en la même question élarg ah bon élargissez oui merci oui hier au ministère de des armées le ministre de la Défense comment néerlandais s'est exprimé en disant que en fait le le gros sujet et que nous en France nous avons une certaine indépendance que nous avons réclamé depuis longtemps en matière de de défense mais ce n'est absolument pas le cas de beaucoup de nos partenaires européens et donc la question qu'il posait c'était exactement celle-ci à savoir que les données sont hébergées ou peuvent être stockées en dehors avec la confiance qu'on peut accorder à un allié bien évidemment du territoire national mais que s'il devait y avoir des changements dans la relation et bien que cela pose des questions de souveraineté et donc est-ce que nous sommes en capacité de pouvoir héberger j'ai l'ensemble des données dont nous avons besoin même si nous avons la construction qui a été annoncée hier soir d'un super calculateur et de plein de choses euh de pouvoir faire cela de façon souveraine voilà et et et et la et la deuxième question c'est au niveau européen ne risqueil pas d'y avoir également des directives qui vont essayer d'harmoniser un petit peu l'ensemble des des des volontés des des uns et des autres je crois que c'est ces deux questions nous permettent d'aborder un des des piliers essentiels et très novateurs de Dora don nous navions pas encore discuter à savoir la la mise en place d'un dispositif de de surveillance des prestataires tiers critique alors de quoi s'agit-il c'est effectivement quelque chose d'assez d'assez novateur en l'espèce les donc les les les acteurs du secteur financier vont au printemps nous rapporter l'ensemble de leur contrats d'externalisation avec des prestataires donc informatiqu l'ensemble de leur de leur contrat ces reportings vont passer par les les autorités compétentes ça fait partie aussi Sébastien raspiller il faisait référence un des des questions opérationnelles nous avons dû traiter et à charge ensuite pour les aut autorité nationale donc de rétrocéder cette information aux trois autorités européennes de de supervision donc l'ESMA he qui a son siège à Paris pour les les marchés financiers l'Autorité bancaire européenneement son siège à Paris et l'Autorité Européenne le yopa pour les les les pensions et les et les assurances et sur la base de ces données et donc de de critères qui sont définis dans dans Dora il sera possible d'identifier des prestataires [Musique] qui de par l'importance de leur service euh seront considérés comme critique au niveau européen pour le secteur financier de par l'ampleur de leur utilisation en fait par les les différents acteurs du système financier donc bien sûr les noms ne sont pas encore connus mais je crois que on voit quel type d'acteurs on aura à faire en particulier bien sûr enfin il y a différentes catégories d'Andora mais notamment les les prestataires de de servicees en nuage de service de Claude hein qui vous l'avez mentionné sont pour la plupart d'entre eux basés en dehors de l'Union Européenne et pour ces acteurs donc on attend 15 à 20 entités il y aura un dispositif de surveillance qui sera mis en place par les autorités européennes de supervision donc de manière conjointe il y a tout un dispositif qui se met en place donc qui s'assurera que euh ces entités euh répondent à la au règlement d'ora en terme de protection des données de niveau de sécurité euh de qualité des clauses contractuelles avec les acteurs du système financier euh pour lesquels des services sont sont fournis euh et donc et d'ailleurs ces prestataires devront au titre de Dora euh disposer d'une implantation au sein de l'Union européenne qui sera donc une entité qui sera l'interlocutrice directe voilà donc si demain je un Google un Amazon je ne sais pas je donne des exemples purement théoriques venait à effectivement être identifié dans le cadre de ce processus donc il devront avoir une une entité qui les représente dans l'Union européenne et il y aura effectivement ce mécanisme de de surveillance qui permettra de s'assurer de euh euh du niveau de sécurité de protection des données des services fournis au au secteur au secteur financier c'est donc effectivement une innovation importante en terme de calendrier on attend à ce que la la liste de ces entités soit désignée quelque part à à l'automne en tout cas avant la fin de l'année 2025 avec une une mise en œuvre effective de ce nouveau dispositif de surveillance à compté du début de l'an 2026 c'est peut-être dernier point parce que c'est une question importante les les autorités nationales participeront en fait à cet exercice de de surveillance bien sûr à du concurrence de l'utilisation des Services de ces prestataire par leurs acteurs financiers mais on peut s'attendre à ce que bien sûr quand l'importance du secteur financier français nous soyons amenés à contribuer à cet exercice européen de de surveillance monsieurlou enfin plus plus vous me plus vous nous expliquez plus on s'inquiète en fait et parce que quand vous me parlez de de l'utilisation des solution européennes et l'Open Source on voit bien quand même les limites mais il y a un autre sujet aussi qui nous qui nous préoccupe c'est les collectivités territoriales et les colle locales qui est un vrai sujet puisque en matière de personnel sont pas formaté puis on va leur demander des choses nouvelles notamment au niveau des régions et donc la question c'est quel mécanism peuvent être mis en place pour aider justement les collectivités à financer leur projets de cybersécurité et puis est-ce que les assurances peuvent-elles justement parce que c'est c'est elles vont jouer un rôle c'est justement la couverture peuvent-elles jouer un rôle dans le financement de cette la cybersécurité de nos collectivités alors je pense que la la première partie de votre question porte sur effectivement d'autres parties du projet de loi résilience que Dora donc il appartient pas je pense à à la CPR he de de pouvoir vous répondre à ce qui concerne les collectivités territoriales la deuxème partie de votre question juste mentionner que les on constate le développement d'un certain nombre de de contrats d'assurance spécifique pour effectivement assurer le le risque cyber hein ça fait partie maintenant de des offres qui commencent à se développer sur le sur le marché contrat d'assurance il y a forcément jamais GR qui est assoé au niveau de de risque oui en fa ça s'il vous plaît s'il vous plaît là je crois que le l'audition m'échappe complètement là en ce moment on va se reprendre donc euh non mais c'est ch monsieur rasp si vous voulez répondre oui non peut-être pour répondre sur les deux aspects qui vont du très global au local euh sur global précédente je vous ai indiqué que j'avais négocié ce texte pour le compte de la présidence française moi j'ai souvenir du lendemain de la Vasion de la Russie je vois la carte en Ukraine c'était lors d'une conférence qui est organisée avant l'écofine informel j'ai un rendez-vous avec un acteur américain dans les services Cloud qui m'avait dit maintenant vous savez qui sont vos amis bon c'est une anecdote tout ça pour dire que on avait lourdement insister et au niveau européen ça n'avait pas été trop discuté sur la présence en Europe au moins pour avoir une capacité d'action en terme de supervision ça ça ne répond pas à votre problmatique de souverereaineté j'en ai bien conscience mais c'est déjà pour dire que on met une obligation qu'on est capable de faire respecter un acteur qui pour respecter Dora doit mettre une implantation en Union européenne alors évidemment quand on parle d'Amazon ou Google cloud ça n'est pas trop lourd pour eux de mettre des personnes dedans mais au moins ça ça permet quand même ça permettra aux autorités européenes de supervision de faire leur métier parce qu'ils seront pas obligés d'aller aux États-Unis que par les temps qui court je pense ce serait plus compliqué donc tout ça pour dire que VO c'est prévu la définition de ces entités tiers critiques va être donc détaillé comme l'a indiqué Frédéric herveud à la fin du premier semestre il y a d'autres acteurs que les prestataures de Claude mais là ce que vous ce don vous faites référence c'est aussite cloud Act américain et donc la capacité d'aller pour des autorités d'État non européens sur des données qui seraient établies sur des serveurs de ce type ce que je peux vous indiquer en terme de témoignage c'est que nous évidemment en France je pense que ça concerne pas que la MF mais la CPR et bien d'autres entités publiques euh nous sommes soumis par Lancy au secnum Cloud en bon français bon ce dont on s'aperçoit c'est qu'évidemment ça a un coût enfin ça apporte une sécurité aussi donc voilà c'est c'est c'est juste pour dire qu'il y a un équilibre à trouver cet équilibre en France il est clair façon il s'impose à nous en tant qu'autorité publique il n'y a pas de difficulté nos homologues quand on leur parle de Cloud européen voilà on sent qu'ils sont pas totalement au même niveau que nous de sensibilité et pour autant ils traitent de données enfin chez nous on a des données confidentielles euh très sensibles c'est quand même quelque chose qui est assez surprenant donc bon ça encore une fois ça dépasse largement le cas de la MF ou d'autorité de notre type c'est juste pour vous indiquer effectivement le côté généralisation du minimum de pédagogie et de prise de conscience des risques auxquels nous pouvons collectivement faire face est important et Dora y participe ma façon de retomber sur leses pieds pour le local je peut-être prendre l'exemple à toute proportion gardée des acteurs qu'on peut avoir sur notre supervision côté am où il y a des petites structures euh évidemment qu'il a un sujet de proportionnalité et évidemment qu'en même temps une cyberattaque sur une petite structure peut avoir des effets totalement dévastateurs euh donc c'est comment est-ce qu'on concilie les deux il y a quand même des choses bon peut-être pas à l'abri non plus du du pire jamais mais la résilience est quand même de diminuer la probabilité et là il peut y avoir des effets assez simple typiquement la connaissance de ces sous-traitants en est quand même une pour savoir si eux-mêmes ont des standards et cetera donc ça c'est de l'information c'est c'est pas des coûts enfin c'est et deuxième point c'est évidemment le risque humain enfin les campagnes de fishing et autres de faire des exercices et on se rend comptein on emmène aussi dans nos autorités à la MF on peut enfin voilà c'est c'est la sensibilisation euh bon nous les structures qu'on supervise honnêtement sur le contrôle de Philippe côté cé de gestion elles font ça et il y a des prestataires qui qui les aident en en ce sens alors même ce sont pas nécessairement des grandes structures donc voilà encore une fois je veux pas dépasser mon rôle mais en tout cas ce que je peux observer en terme pratique c'est qu'il existe des des des actions qui peuvent être mises en place par des structures de plus petite taille ou un peu éloigné de leur métier de de ce type de problématique mais encore une fois résilience améliorer la résilience ça veut pas dire éliminer tout risque de toute façon ça c'est juste impossible en matière de cyber notamment c'est diminuer la probabilité et si ça arrive diminuer l'impact donc d'où aussi dans dans Dora les exigences de reporting quand même sans délai donc aussi rapide que possible des incident et puis aussi leur structuration parce qu'on enfin des attaques cyber honnêtement je pas vous livrer des chiffres mais je pense que toute entité et comprisit local on sont soumis quasi de manière quotidienne il y a celles qui réussissent ça c'est beaucoup plus rare heureusement et puis celles qui réussisse avec un gros impact c'est encore plus rare c'est bien l'esprit et c'était juste pour le rappeler nous en tout cas côté secteur financier moi ce que je peux ce dont je peux témoigner c'est que c'est une prise de conscience qui ne date pas de Dora mais que Dora permet de structurer de professionnaliser de systématiser et l'espoir on y reviendra dans 5 ans c'est de voir si le niveau minimal est bien monté et honnêtement ça se trouve après ça permettra de diffuser sans besoin forcément de règlement ça sait rien mais aussi à des structures autres parce que on a le secteur financier est concerné mais il peut avoir plein d'autres entités qui ont un impact tout aussi important pour les citoyens il nous reste très peu de temps mais Catherine Morand sa est oui ici ce côté-là on n'est pas très rassuré en réalité par vos explications et tentativ de démonstration que tout va bien les données seront sécurisées à partir du moment où elles sont confiées aux trois clouers principaux qui sont AWS Google et Microsoft puisque c'est eux qui dominent très largement le le marché puis c'est à eux qu'on confie très volontiers sans trop se poser de questions les données les plus sensibles de nos administration et des Français euh et des Européens d'ailleurs dans une naïveté absolue euh vous avez cité le clouda c'est pas tellement clouda moi qui me préoccupe qui nous préoccupe pour avoir beaucoup travaillé avec mes collègues sur le sujet c'est tout de même la convention section 102 de FISA federal intelligence surveyance Act qui a été renouvelé pour de an par urul von Leiden et Joe Biden au lendemain quand même de l'accord l'annulation de l'accord de transfert de données des européen le privacy shield vers les États-Unis c'était le 20 juillet le 16 juillet 2020 cet accord de transfert a été renouvelé finalement sans grande modification par exemple un européen peut se voir transférer ses données sans être notifié la différence d'un Américain par exemple il y avait des améliorations qui avaient été demandées à cette convention elle é éé renouvelé pour 2 ans et on peut s'inquiéter parce que maintenant avec l'arrivée de Donald Trump et la façon dont il envisage les choses avec les gens de la tech qu'elle soit à nouveau renouvelé et on sait bien que euh la loi FISA fait fait que euh sur requête toute requête de l'État fédéral les données des des des des européens peuvent être transféré par les DSI des sociétés concerné à tout moment donc pour nous ça nous rassure pas tellement plus que cela voilà donc la question elle se pose quand même je je pense je pense voilà je crois que Dora Dora vise à répondre au au risque d'attaque cyber donc le risque de corruption des données de divulgation des données liées à des des attaques malveillantes donc là je pense que effectivement le dor n'a pas vocation à répondre à l'ensemble des problématiques associées à l'utilisation des services en nuage et notamment aux questions de coopération internationale ou de euh voilà de droit euh applicable par les les les les différents états sur la la divigulation des données donc voilà je crois que là encore une fois le le le le sujet de Dora c'est vraiment la prévention du du du risque cyber des attaques cyber du risque informatique d'une manière plus générale hein donc ça ne ça ne répond pas bien sûr à l'ensemble des des problématiques liées à ce type de de service je vous je vous remercie je voudrais quand même préciser par rapport à ce qu'a dit ma collègue que s'il y a effectivement trois acteurs qui dominent et qui tiennent à peu près 70 % du marché euh du claud nous avons quand même un acteur français et pas des moindres au VH et qui est un leader européen et donc ce pense que c'est important quand même de le rappeler surtout ici il y a un sujet dont personne n trop parlé qui pourtant est d'actualité en ce moment qui est lia et j'ai posé la question un Act un outil dia est-ce que vous pouvez me donner des conseils financiers réponse bien sûr quel type de conseil financier cherchez-vous gestion de budget investissement épargne immobilier retraite ou autre voilà donc ce sont des conseils qui sont tout à fait ouverts aujourd'hui vous êtes vous savez comme tout le monde queil y a un nouvel leeur qui est arrivé il y a 2 semaine qui a eu un impact majeur sur des cours de bourse et j'aurais aimé savoir si effectivement ça fait partie des acteurs qui sont en possibilité d'être régulés contre ôé par vous c'est un quelque chose je vous dis c'est une question que je viens de poser à l'instant je ne n'ai pas donné le nom de l'utilitaire mais vous voyez c'est la limite un peu de l'exercice peut-être vous donner quelques éléments alors vous l'avez essayé là aujourd'hui on avait essayé il y a quelques temps où ça commençait la réponse commencer par je ne suis pas autorisé d'après la réglementation à vous donner des conseils financiers mais enfin si jamais vous voulez quand même voilà bon donc je comprends que la prévention aurait même disparu c'est une problématique évidemment qu'on regarde en tant que régulateur de marché simplement on parle d'un sujet qui est global par essence donc c'est notamment évoqué au sein du Forum des régulateurs de marché mondial qui s'appelle aosco en anglais oicv l'organisation internationale des commissions de valeur en français qui regroupe quand même 130 je crois 30 pays donc c'est pas l'ONU mais ça couvre quand même une dimension extrêmement large du globe et c'est un enfin c'est une organisation qui a par exemple beaucoup de valeur pour nous parce qu'elle permet pour nos enquêteurs et contrôleurs mais surtout enquêteurs de pouvoir demander des informations sensible à nos homologues sachant qu'on est bah face quand je parle des enquêtes pas loin de 100 % une dimension à minima pas que française quoi euh donc donc c'est en cours maintenant quelle réponse y apporter on en est pas encore là parce que ce que vous évoquez c'est aussi une intelligence artificielle donc par opposition pas humaine et avec une territorialisation qui est complexe à définir donc soit on part sur une territorialisation qui est celle du client le récipiion de l'information enfin là on voit tout de suite qu'on est sur des terrains un peu sensibles nature politique de type censure ou autre euh et puis bon façon c'est contournable donc pour vous dire que la réflexion a commencé la réponse n'est pas encore identifié euh bon après de manière plus prosaïque c'est pas pour me défausser hein je vous livre la l'état des lieux de toute façon la digitalisation croissante des activités de l'économie mais même de du quotidien fait que pour nous AMF en terme de protection de l'épingne qui est une la première que nous a confié le législateur ça n'est plus la ça n'est plus que la vérification que le conseiller dans un agence bancaire à la mode bevron ou autres villes souspréfecture de France où chef canton est bien fait c'est via les réseaux sociaux les influenceurs et ça ce sont des outils de veille pour nous à développer de de conseils plus ou moins éclairés donc par exemple sur les influenceurs on a développé avec les RPP un certificat des influenceurs qui on peuvent l'avoir bon est-ce que ça parle aux gens il y a encore et toujours des choses à faire il a b vient encore bouleverser ça alors même que sur ces aspects plus on va dire près on va dire où on a davantage de capacité d'action directe on vait déjà qu' c'est toujours à remettre sur l'ouvrage donc non on en a pas fini mais enfin voilà c'est juste pour vous dire en un mot que ce sujet a été identifié qu'il est vaste et que s force de contribuer à notre échelle au sein de ce forum mondial pour essayer d'avoir des des lignes directrices qui permettront euh à la fin de d'apporter des réponses satisfaisantes en matière de protection de l'épargne merci euh merci beaucoup donc nous allons clore cette première table ronde de l'après-midi avant donc pour pouvoir commencer la seconde avec les entreprises de la cyberdéfense Airbus orange etalè je vous remercie beaucoup on parle à côté de moi le groupe Orange représenté à la fois pour sa propre sécurité par Monsieur Patrick guyonau directeur de la sécurité du groupe Orange et pour la fourniture de service de cyberdéfense par Monsieur Oliv Olivier Bonet de paayet général et ancien directeur àjoint de la DGSE maintenant exécutif