Cyberdéfense : Airbus, Orange et Thales

se maintenant exécutif vice-président technologie et marketing de la filiale Orange cyberdéfense vous êtes accompagné de Monsieur Laurentine lavz directeur des affaires publiques enfin le groupe Talès pour lequel s'exprimera monsieur Alexis Corret vice-président stratégie cybersécurité accompagné de madame Isabelle Caputo directrice des relations institutionnelles je vous remercie d'avoir répondu à notre invitation pour nous éclairer sur la vision globale que vous pouvez avoir sur ce projet de loi qui vise la transposition de trois directives à savoir pour le titre 1er la transposition la directive sur la résilience des entités critiques d'itrec pour le titre 2 la directive concernant les mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union européenne dite Nice 2 et pour le titre 3 la résilience opérationnelle numérique du secteur financier dit Dora vous êtes tous à votre niveau directement concernés par ce projet de loi comme vous l'étiez d'ailleurs par Nice 1 puisque vous êtes des acteurs majeurs à la fois du secteur de la défense et du secteur civil vous vous caractérisez également par une dimension européenne et internationale votre regard sur le marché européen et les risques de distorsion juridique de transposition dans les différents États membres de l'Union européenne nous sera utile enfin outre le souci de votre propre sécurité vous fournissez des services de cybersécurité oui il y a quelqu'un qui veut être auditionné mais c'est trop tard donc vous fournissez des services de cybersécurité à vos clients entre entreprise collectivité territoriale par le biais de vos filiales Airbus protect je suis très aidé en ce moment je sens qu'il y a une grosse assistance ciseau Michel est très résilient voilà donc je recommence donc donc outre le souci de votre propre sécurité vous fournissez des services de cybersécurité à vos clients là aussi nous seront à l'écoute de vos points de vue sur le projet de loi son impact et les éventuels problèmes ou propositions d'amendement avant de vous céder la parole je rappelle je rappelle à tous que cette audition fait l'objet d'une captation vidéo qui retransmise sur le site internet du Sénat puis consultable en vidéo à la demande et je propose à mon collègue rapporteur de poser ses questions dès à présent comme ça vous pourrez intégrer éventuellement les réponses compléter par rapport à votre présentation liminaire que vous aviez prévu Patrick merci monsieur le Président donc bonjour à toutes et à tous en ma qualité de rapporteur chargé de l'examen du titre 2 de ce projet de loi mon intervention sera donc centrée sur la transposition de la directive Nice 2 cette directive est d'une importance capitale car les changements attendus pour le monde économique sont significatifs dans toute l'Union européenne et plus particulièrement en France d'abord en matière de périmètre il est en effet estimé que le nombre d'entités régulées passe de 500 à 15000 et que le nombre de secteurs économiques concernés passe de 6 à 18 par rapport au précédent cadre de régulation de la directive Nice 1 ensuite parce que ce sont désormais tous les systèmes d'information des entités régulées qui sont par principe concernés enfin parce que c'est un changement majeur de paradigme qui est à l'œuvre il ne s'agit plus seulement de sécuriser des infrastructures critique mais d'assurer la résilience des des entités critiques en tant qu'organisation autrement dit la couverture est beaucoup plus large aujourd'hui je me réjouis de pouvoir vous entendre en tant qu'expert de la cyberdéfense pour avoir votre analyse autour de la transposition de la directive Nice 2 et son projet de loi de transposition d'abord pouvez-vous nous indiquer quelle solution vous apporter en matière de cyberdéfense et à l'attention de quel client la directive N va-t-elle avoir un impact important ou très important sur vos activités deuxème question quelle analyse faites-vous du projet de loi considérez-vous qu'il assure une transposition fidèle de la directive identifiez-vous un risque de surtransposition ou à contrario de soustransposition 3è question sur la procédure de notification des incident alors que la directive Nice 2 prévoit la transmission sans restar injustifié d'une alerte précoce dans un délai de 24 heur puis la transmission d'une notification d'incident dans un délai de 70h le projet de loi ne mentionne pas ce double délai contraint les entités à notifier leur incident sans délai et évoque la notification d'incident critique plutôt que d'incidents importants que pensez-vous de ces choix sont-ils de nature à surtransposer ou à soustransposer la directive et surtout sont-ils de nature à affaiblir ou à renforcer notre réponse collective aux cybermenaces 4e question sur le périmètre retenu le gouvernement a fait trois choix qui soulèvent des interrogations premièrement l'inclusion des établissements d'enseignement menant des activités de recherche l'inclusion des collectivités territoriales notamment les départements les métropoles les communautés urbaines les communautés d'agglomération et les communes depis de 30000 habitants et l'élargissement du périmètre des entreprises concernées puisque les critères de taille et de chiff d'affaires sont fixés alternativement tandis que les textes européens les fixent cumulativement que pensez-vous là aussi de ces choix et enfin pensez-vous que les entreprises et les collectivités territoriales sont suffisamment informé des changements à venir je vous remercie merci mon cher collègue je vais vous proposer de répondre directement à la fois question question avec votre propos liminaire et je propose de commencer donc dans l'ordre alphabétique pour Airbus donc qui veut prendre monsieur le Président messieurs les rapporteurs messieurs mesdames les sénateurs mesdames messieurs en vos titres grades et qualités merci de nous accueillir aujourd'hui pour cette table ronde la résiliance digitale présente plusieurs enjeux cruciaux pour les organisations et notamment les organisations critiques catégoriser maintenant entreprise essentiell et entreprise importantes c'est la capacité à anticiper prévenir dissuader détecter retarder défendre répondre et résister aux attaques et se remettre des incidents de cyber sécurité la protection de l'intégrité informatique et fonctionnelle face au risques croissants la limitation des pertes financière perte d'image et de confiance en cas d'incident majeur la continuité des activités et le maintien de la productivité malgré les attaques y compris en y répondant en mode dégradé enfin la préservation et la sécurisation des données y compris dans le contexte du rgpd cette résilience lorsqu'elle parvient à être démontré conditionne l'instauration d'un climat de confiance avec nos clients usagers fournisseurs et nos autorités de tutelle nos organisations sont de plus en plus contraintes à s'assurer également contre le prê préjudice que représenterait une disruption majeure et a démontré aux assureurs aux cyber assureurs notre potentiel de résilience une fois rappeler les enjeux importants que représentent la résilience digitale et la sécurité pour notre filière je souhaiterais attirer votre attention sur quelques points qui ressortent de notre étude du projet de loi sans vouloir déposséder le Parlement français de ses prérogatives il n'est plus envisageable aujourd'hui que ce type de texte soit de niveau directive européenne mais bien un règlement européen en effet imaginez la difficulté pour un groupe comme Airbus présent dans la quasittalité des États membres de l'UE nous allons devoir appliquer 27 réglementations différentes ce qui finira par avoir un coût et posera des complexités d'ordre technique ensuite il faut analyser plus globalement l'impact de la réglementation sur la compétitivité des entreprises européennes d'orénavant régulé le projet de loi dans la continuité des dispositif existant représente pour notre filière une double surtransposition de la directive européenne comme nous aurons peut-être l'occasion de le développer dans le cadre de cette table ronde la France va en effet au-delà des demandes de la directive et la proposition transposition actuelle vient en doublon d'un certain nombre de contraintes qui sont déjà requises dans le corpus réglementaire existant je pourrais citer la LPM l'igi 1300 l'i900 et l'i 901 l'augmentation des sanctions fera également peser une pression financière sur nos entreprises transformant le dispositif existant qui est fondé sur une coopération et une confiance entre acteur en une en une relation qui sera plus contractuelle nos concurrents internationaux y compris européens non soumis à ces mêmes règles seront avantagés laissons laissant nos entreprises dans une position désavantageuse attention donc à ne pas créer par surtransposition une opportunité de dumping de cybersécurité pour les autres États-membres l'articulation avec les autres réglementations également on peut parler en pour notre secteur de partaillè au niveau de l'Union européenne et au niveau français de de la LPM de 2013 qui s'applique déjà à un certain nombre de d'opérateurs enfin euh nous demandons à étendre la période de grâce pour satisfaire à ces différentes transpositions en fait le vrai risque résite particulièrement dans les PME et les ETI qui sont déjà vulnérables et qui pourraient être fragilisé par des exigences trop contraignante et une mise en œuvre précipitée les délais d'application de la réglementation doivent donc s'adapter au temps nécessaire pour que nos entreprise puissent s'y conformer une mise en œuvre trop rapide risquerait de créer des déséquilibres importants et de les rendre moins efficaces leur soutien et leur préservation sont donc des priorités auxquelles nous devons répondre de manière concrète ensuite la question de la souveraineté numérique et de l'indépendance géostratégique est au cœur de nos préoccupations parfois la résilience opérationnelle vient contredire le en partie le principe de souveraineté notamment sur les aspects où les gfames prennent une place prépondérante les choix qui seront faits aujourd'hui détermineront notre capacité à maintenir l'équilibre de notre indépendance et interdépendance dans un contexte de concurrence globale enfin pour que nos entreprises puisse réussir cette transition vernis 2 un soutien au bon niveau des services de l'État sera indispensable soutien sous forme technique financière et d'aide au développement de solutions de confiance qui soi adapté aux PME et aux ETI ce soutien est un investissement pour assurer la pérennité et la compétitivité de notre filière nous pensons que l'any doit avoir un rôle prépondérant dans ce dispositif je vous remercie pour votre écoute et me tiens à votre disposition pour développer ces points plus avant merci beaucoup qui intervient pour le groupe Orange ce sera moi monsieur président Laur directeur des affffaires publiques pour le groupe Orange je nous vous remercions pour votre invitation ça avec plaisir évidemment que nous vous allons partager notre vision d'abord notre lecture des textes européens notre lecture du projet de loi français comme vous l'avez dit monsieur le Président nous sommes concernés à double titre nous sommes d'abord une entreprise essentielle et donc de nouvelles obligations s'imposent à nous au travers de ces texes et bien évidemment nous serons compliant encore faut-il que le les obligations sont un peu les mêmes partout sur le territoire européens je ne reprendrai pas les les mots de notre camarade de jeu Michel berartelemi d'erbus mais évidemment nous partageons cette préoccupation que d'être compétitif quand on répond à des des appels d'offre de d'entreprise essentielle en Europe puisque la loi qui s'appliquera à la lo d'établissement principal pourrait conduire en cas de surtransposition en France à avoir des asymétries entre les entre les les les acteurs d'un même marché pour répondre au aux besoins de nos clients partout en Europe et nous sommes aussi fournisseurs de services donc c'est à la fois des obligation qui pè sur nous mais aussi quelques marché qui s'ouvre à nous c'est la raison pour laquelle d'ailleurs nous nous marchons à deux têtes à trois têtes aujourd'hui avec avec moi qui parle mais qui passerait les plat trs essentiellement entre Patrick guillonau qui est le directeur de la sécurité du groupe Orange vous l'avez dit monsieur le président euh et Olivier Bonet de pairé qui est le directeur exécutif stratégie et produits de orangche cyber défense qui pouront répondre et l'un et l'autre aux questions que que vous nous poserez mais voilà peut-être juste sur sur le cadre de de de de nos observations un sujet de cohérence et d'articulation je vais pas répéter ce que notre camarade derus a dit mais nous partageons précisément et exactement et et l'entièreté des propos qui qu'il a tenu donc un sujet de cohérence et d'articulation entre le différents textes un sujet de surtransposition euh le rapporteur Patrick Chise toucher quelques-uns mais plus largement tout ce qui va renvoyer à des précisions par la voie réglementaire peut aussi nous soucier nous préoccuper puisque par cette voie-là on peut avoir aussi la surtransposition donc on appelle de nos vœux que que le Sénat le Parlement dans sa globalité précise et encadre le mieux et le plus possible ce qui devra être ensuite précisé par la VO règlement de sorte à ce qu'on ait pas des obligations qui pèsent uniquement sur les les entreprises françaises et et qui pèser sur ell y compris au travers les offres qu'elles adresseraient à leurs clients partout en Europe voilà je te laisse peut-être Patrick dire deux trois mots sur la partie Orange opérateur oui merci Monsieur les présidents et Monsieur les sénateurs pour votre audition je voulais juste souligner pour nous aujourd'hui la difficulté de compréhension des obligations qui reposent sur nous euh en ce sens que pour notre activité d'opérateur nous sommes à la fois soumis à Nice 2 selon le droit national et pas RECC mais aux obligations d'oiv mais quand on n plus dans le secteur des télécom mais pour nos activités numérique à ce moment-là on est comment concerné par l'ensemble du texte de la loi résilience qui nous pose un certain nombre de de complexité d'interprétation euh sur un même système d'information selon qu'il puisqu'il il peut servir à plusieurs finalités qu'est-ce quelles sont celles que l'on doit comment prioriser et mettre en place et puis comme ça a été dit tout à l'heure c'est de notre compréhension en dehors du secteur du domaine telco c'est le le droit du siège qui apporte donc tout ce que vous mettrez donc pas forcément sur transposition ce qui sera décidé en tout cas en transposition maximaliste nous pose un problème d'application au bornes du groupe orangche puisque vous savez qu'on est euh présent en T pardon en Slovaquie en Pologne en Belgique au Luxembourg en Espagne et en Moldavie pas encore dans l'UE mais sans de bientôt et que les droits locaux sont moins restrictifs donc on pourra arriver à des complexités euh jeis presque dire des des applications exigences Baro ou cocas où les directives d'orange parce qu'on est installé en orange sont plus fortes à nos filiale que ce que leur impose le leur autorité nationale alors évidemment c'est un surcû c'est un sujet de comment de compétitivité euh voilà donc et puis avec nos différentes comment nos différentes activités voilà on a du mal à savoir ce lesquels sont contaminés euh les unes par rapport aux autres vous avez aussi posé la question sur les collectivités local était utile de les de les inclure à notre sens oui parce qu'il y a un certain nombre et sans doute une spécificité très française avec la présence des ripes euh et si on veut avoir une vision bout en bout de la résilience il faut partir de l'abonné enfin on va dire d'un d'un abonné à un autre sur certains euh comment sur certains services et exclure les collectivités locales c'est sans doute exclure euh les ripes et donc créer euh en fait des points de je dire de non résilience ou en tout cas de faiblesse donc pour nous c'est très important que euh ce type de structure soit bien euh comment euh concerné par le texte d'une manière ou d'une autre pour assurer une continuité euh dans euh les communications en particulier vous savez vous y êtes sensible et nous encore plus au tout ce qui a trait aux appels d'urgence ce que je voulais dire en première approche et ensuite je vais céder la parole à Olivier pour la par Monsieur le Président Monsieur rapporteur mesdames messieurs les sénateurs c'est à la fois d'une certaine manière en ma qualité d'ex serviteur de l'État et mais aussi maintenant au service de l'entreprise que je je suis devant vous au sein d' qui cyber défense qui est une socié anonyme détenue par le groupe Orange qui adresse le marché de la cyber sur l'ensemble du scope de l'analyse de la menace protection détection jusqu'à gestion de crise ce qu'on appelle une société de service sécurité numérique avec une présence en France majoritairement mais aussi en Europe je vais me permettre une petite dégression sur le contexte dans lequel la régolution évolue en ce moment tout d'abord le marché de la cybersécurité est un marché qui continue d'être extrêmement dynamique qui est en croissance de 11 à 2 % et ce jusqu'en 2030 selon les analystes très fragmenté on est leader en Europe avec 12 % de part de marché en Belgique avec 5 % donc il est extrêmement concurrentiel deuxièmement on fait face à des niveaux de complexité de plus en plus profonds autour de trois idées un une analyse de menace qui est de plus en plus prignante l'UR qui est le deuxème continent visé après les États-Unis continue de croître à autour de 20 % en terme de cybercriminalité le marché des petites et moyenes entreprise a connu un bon de plus de 57 % cette année en cybercriminalité donc le la cybercriminalité descend en profondeur dans les couches des sociétés et des organisations deuxièmement en terme d'analyse de la menace vous avez n acteurs les activistes qui ont maintenant et de plus en plus un impact sur les sociétés avec euh des actions de désinformations couplé à des actions de saturation de type didos donc oui il y a de plus en plus un app de société et des sociétés du monde de l'entreprise deuxè niveau de complexité au-delà de cette évolution de la menace une euh régulation qui arrive qui s'impose aux entreprises et trisème niveau c'est évidemment euh le mouvement vers le Cloud qui complexifie ce qu'on appelle la surface d'attaque des des entreprises pourquoi je vous dis ça parce que nos clients aujourd'hui nous disent c'est trop compliqué pour nous tout ça c'est trop compliqué on a besoin de d'un accompagnement et de parellez-moi simplifier cette complexité et j'en viens à cette complexité autour de la régulation alors d'abord on est une société numérique au titre on est visé par le règlement d'exécution de l'Union européenne d'octobre 2024 en tant que entreprise essentielle euh c'est aussi un coup pour nous alors un coup évidemment assez marginal parce que on a toutes nos certifications ANC et que comme société sécurité numérique est évident qu'on s'est préparé à tout ça néanmoins c'est un enjeu de changement culturel pour une société numérique comme nous euh c'est pas on est euh conforme à la Nice 2 on doit l'être tout au bon de l'évolution de nos services de sécurité à chaque fois qu'on lance un service de sécurité en soit on doit garantir qu'il soit conforme à nce 2 donc c'est un investissement continu et c'est une vraie modification culturelle mais qui nous semble exement positive parce qu'elle consolide évidemment la la réputation deib défense ou des entreprises qui se conformment à de deuxièmement c'est une opportunité évidente vous l'avez dit vous l'avez compris quand les petites et moyennes entreprises sont de plus en plus touché quand Nice 2 va ouvrir le champ des segments et des tailles d'entreprisees elle elles vont être de plus en plus concernés par cette double complexité et pour nous il faut adresser ce marché de façon très très immédiate à la fois en accompagnant ces entreprises c'est ce qu'on fait en développant un tas de propositions de conseil sur de la déclaration sur comment mesurer l'investissement que vous devez accorder pour être nice2 conforme au nce 2 et comment accompagner cet investissement avec avec orang cyber dééfense donc oui c'est aussi une opportunité c'est une opportunité parce que ça lance de nouveaux services et parce que ça nous permet de continuer à rentrer dans le bas du marché qui devient un marché absolument stratégique pour des sociétés comme nous sur la transposition elle-même je crois que moi je suis Mo moins préoccupé parce que j'y vois des effets d'opportunité je crois que le diable se cachera dans les détails dans les décrets d'application c'est qu'on voit qu'aujourd'hui il y a encore euh certaines euh questions ouvertes qui sont des questions ouvertes sur les processus de remontée d'incident sur les certifications les qualifications est-ce qu'on peut pas en profiter pour simplifier le champ de ces qualifications et avoir des parallèle de conformité il y a des questions autour de la notion de localisation et d'architect de de de de de de de périmètres pardon de vos systèmes d'information qui vont être concernés par Nice 2 donc tout ça va nous imposer de rentrer dans des détails et ces détails me semble-t-il nécessiteront qu'on accompagne l'entreprise et l'État et l'Anci un rôle majeur à jouer dans la mise en place à part de l'écriture de de ces décrets donc voilà ce que je ce que je voulais vous dire propos liminire vous en prie pour la société talè qui oui bonjour déjà je voulais vous remercier de de de prendre le temps de de nous écouter monsieur le Président Monsieur Madame les sénateurs euh peut-être juste en terme de de de contexte donc moi je suis en charge de la stratégie des activités de service de cybersécurité et de notre portfolio d'offre associé au niveau du groupe et donc sur ce volet de talè peut-être un peu moins connu que que d'autres nous sommes à la fois éditeur et construction de solutions de cybersécurité pour protéger les données le contrôler l'accès à ces données en tant qu'éditeur finalement de de de logiciel nous sommes aussi acteurs de service de cybersécurité où nous accompagnons nos clients en amont sur des phases de conseil et de de stratégie pour gérer leurs risque cyber pour déployer des solutions et ensuite pour fournir des services de ce qu'on appelle de security operation Center qui sont des services de détection et de réponse attaque avec une empreinte géographique en Europe assez équilibré entre l'Espagne la France la région Bénelux le les les Pays-Bas et une un déploiement assez global sur cette sur sur cette plaque européenne on a dans ce contexte un focus sur l'accompagnement alors sur en France des grands des grands groupes et des OIV du secteur des acteurs du secteur bancaire mais d'une manière générale dans le périmètre rentrant dans le périmètre de de la directive Nice beaucoup d'entités essentielles et importantes euh monsieur le rapporteur vous avez précisé c'est quelque chose de de de très important que le nombre d'entités régulées passe de 500 à 1500 qu'on augmente 15000 pardon euh qu'on triple nombre de secteurs impacté et que le le sujet de de de la cybersécurité sétant un sujet de résilience et donc couvre finalement autre chose que certains systèmes d'information euh sensible et donc la la marche à euh à à à gmper pour accompagner et déployer cette résilience est relativement importante et donc il nous semble très important d'accompagner la transposition de ces règlements et directives avec une politique industrielle autour de la cybersécurité qui soit relativement claair de manière à développer et maintenir des offres capacitaires qui permettent de de doter ces entités essentiell et et importante des des des des capacités nécessaires à la mise en œuvre de cette conformité à Nice 2 mais surtout ce qu'on leur demande c'est de monter euh finalement le le le niveau de leur maturité cyber et leur niveau de de résilience donc l'objectif il est pas la conformité mais bien évidemment la résilience de ces entités et aujourd'hui euh face à cette augmentation importante du du périmètre couvert et finalement un risque de pénurie capacitaire pour monter en compétence parce que on sait très bien qu'aujourd'hui tout le monde n'aura pas dans la maison l'ensemble des capacités des compétences nécessaires pour pour se mettre en conformité rapidement on voit un vrai risque de de d'émergence d'offre un petit peu low cost si je peux le le le dire comme ça de permettant de cocher une case de la conformité sans avoir une réalité opérationnelle de de de vraiment de monter en en maturité sur cette gestion de de risque cyber et de et de résilience donc quand on regarde ce qui s'est passé finalement au moment de la loi de programmation militaire et et et de l'exigence qui a été mise sur sur les OIV on on on a vu une politique industrielle se développer autour des schémas de certification qui ont été de qualification qui ont été mentionné de de service qui ont permis en fait de monter le niveau d'exigence vis-à-vis des OIV mais surtout de monter le niveau d'exigence vis-à-vis des offreurs de manière à aligner finalement l'offre et le et le et le besoin et je pense qu'il est très important de de de prendre en compte ce ce besoin et de réfléchir à à la mise en place d'une politique industrielle qui permett de construire une offre qui qui réponde au besoins cette offre c'est pas celle qui a été mise en place dans le cadre de de la programmation militaire et des qualifications elle est probablement trop contraignante quelque part parce que les enjeux de sécurité sont plus des enjeux de souveraineté que que que de résilience mais il faut développer quelque chose qui permette de de de de maintenir une offre de de de qualité permettant à la fois une certaine agilité et une certaine compétitivité on a parlé de l'échelle ça ne peut pas coûter pour certaines entités trop cher et donc on peut pas avoir des exigences de souveraineté de confiance donc plus aussi élevé que celle qu'on peut avoir sur des des des des OIV sur leur système d'information vitaux et donc il nous semble absolument fondamental d'associer à la fois les nouveaux régulés les entités essentielles et les entités importantes et les offreurs dans la réflexion sur cette politique industrielle sur les nouveaux labels ou nouveaux schémas de certification qui permettrai de mettre sur le marché des offres euh qui qui garantissent finalement euh le le le bon niveau de de qualité et de sérieux dans l'accompagnement de ces entités parce qu'on s'attend quand même sur le marché à une accélération très forte de la demande de la préparation à la mise en conformité et au déploiement euh des premiers euh des premiers contrôles on sait très bien que quand il y a une échéance de de de mise en conformité on peut avoir tendance à aller chercher la solution qui sera disponible le le le plus rapidement euh possible cette politique industrielle elle pourrait également s'associer à des un accompagnement au financement ou au développement de de de d'offres spécifiques de de de de de de cadres de mise en conformité ce qu'on appelle des framework de mise en conformité euh le déploiement de solution et d'accélération autour de l'intelligence artificielle pour la cybersécurité qui permettrait d'accompagner cette mise à l'échelle mais également on a des sujets de formation des donneurs d'ordre des formations des opérateurs dans un cadre de développement un petit peu nouveau pour pour la France notamment qui un développement régional relativement large là où effectivement quand on regardait les les contraintes réglementaires jusqu'à présent elle touchait souvent des grands groupes dont les sièges étaient et la fonction sécurité très souvent centralisée à Paris euh c'est un élément important le le le deuxième sur lequel je je voulais remonter parce que vous avez mentionné cette notion de remonté d'incidents et d'exigences temporelles et de de de niveau de sécurité je pense que la directive et sa transposition ont pour objet essentiel sur ce volet-là de permettre aux États et à la Commission européenne d'avoir un meilleur meilleure vision de l'état de la menace et de pouvoir communiquer et et anticiper sur sur sur des crises cyber peut-être majeures qui dépasseraient certains périmètrre je trouve que la boucle descendante de l'information n'est pas suffisamment modélisée et est mise en avant c'est-à-dire que remonter de l'information c'est bien mais en fait finalement les gens qui en ont besoin c'est ceux qui sont exposés au risque et à la menace et on voit peu finalement d'éléments qui clarifient la façon dont cette information va redescendre et on sait que c'est technique très compliqué he il y a des sujets de droit d'en connaître et et et d'exploitation de de ces marqueurs d'attaque mais c'est quelque chose qui est relativement faible je dirais dans dans dans les textes et on on pense qu'il serait important de renforcer finalement cette dimension de partage d'information avec le le développement d'une d'une offre de de de renseignement d'intérêt cyber c'est ce qu'on appelle dans le jargon américain la cyber sweat intelligence mais qui soit tourné vers les les entreprises essentielles et et les entreprises les entités essentielles entités importantes et qui soi actionnable par elle aujourd'hui on a un réseau finalement d'offreurs d'acteurs de la cyber qui ont des capacités de détection évidemment dans la boucle de remontée vous allez avoir accès aux informations sur les incidents mais il y a des éléments importants sur le contexte finalement de la menace sur la connaissance de l'écosystème des acteurs malveillants qui aent des vocations étatiques ou des vocations mafieuses et sur la face façon dont ils opèent leurs attaques tout ça c'est c'est de l'information qui est fondamentale pour mieux gérer les attaques et aujourd'hui je je voilà c'est quelque chose qui est très peu décrit remonté alors que c'est un élément qui est très important à mon sens pour améliorer la résistance et la résilience des entités intermédiaires donc voilà voilà pour les éléments que je je voulais remonter peut-être juste sur les questions que vous avez posé monsieur le le le rapporteur sur un risque de sous ou de surtransposition je pense que quand on analse le texte il peut y avoir des endroits où on va considérer que c'est de la sous transposition à d'autres endroits de la de de la surtransposition je pense que l'enjeu très important pour nous c'est la compétitivité des entités qui vont être régulées et donc une surtransposition peut avoir un impact sur leur accès au marché européens et pour nous en tant qu'acteur de de la cybersécurité qui a compagnons ces acteurs finalement ça a un impact également sur notre compétitivité parce que ça ne nous quand on a une hétérogénéité qu'elle soit sous ou surtransposer dans l'offre on n'est pas capable finalement d'harmoniser nos investissements dans le développement des solutions qu'on va vendre à nos clients et en tant qu'acteur français à vocation de de de de marché européen c'est très important de pouvoir exploiter finalement nos offres sur l'ensemble du territoire et et de nos marchés ce qui est parf fois rendu impossible par des réglementations qui sont hétérogènes d'un pays à l'autre sur sur le périmètre et l'inclusion de la recherche des collectivités territoriales et finalement cet élargissement là c'est plutôt un avis personnel je pense que on est tous conscient du fait que ce sont des des des organisations qui ont des gros enjeux d'exposition cyber qu'il y a au-delà de du risque peut-être économique le service public qui est engagé il y a l'image qui est engagé et ça me paraît indispensable d'accompagner ces entitésl dans leur montée en maturité cyber et en en terme de de résilience voilà pour merci c'est bon vous aviez fini çaon euh merci beaucoup je on va passer aux questions des collègues oui juste peut-être un un un complément euh tu Peret par rapport à à vos interventions j'entends cette finalement ce souhait de de règlement plutôt de directive et cetera mais la question que je posais c'était de dire finalement dans le texte tel qu'il est aujourd'hui proposé par le gouvernement est-ce qu'il y a des points donc essentiels qui vous paraissent déjà être en sur transposition ou sous transposition et mais je vais pas vous demander de de peut-être unee réponse maintenant littérale mais par contre si vous pouvez nous faire une contribution écrite sur ces pointslà ça serait donc très intéressant vous avez souligné je pense un des des sujets clés c'est les la définition d'un incident euh grave ou pas grave sévère pas sévère important donc déjà on est un peu dans le flou et de les délais de comment euh de signalement de de ces incidents et en comme on a trois groupes euh mon di autour de la table avec la difficulté de dire si c'est euh le siège qui doit déclarer c'està dire qu'un incident dans un une de nos filiales en Europe il doit remonter euh on va dire à Paris pour qu'on le déclare Lancy je suis pas forcément sûr que c'est du S P qu'un acident en Roumanie soit déclaré à l'any mais bon en tout cas c'est comme ça qu' aujourd'hui que c'est que c'est écrit et je vous raconte pas dans l'autre sens pour que ça revienne donc c'est donc effectivement non mais je je pense que mon collègue rapporteur avait vraiment juste titre souhaité qu' qu' qu'on a juste en fait dans vos frustrations ou dans les limites que vous avez exposé cela rejoint complètement les commentaires qui ont été faits lors des auditions de je dirais de des experts de de la de l'écosystème et donc c'est effectivement une préoccupation qu'on avait depuis le début mais qui vient nous conforter et comme l'a dit mon collègue le la nécessité effectivement d'aller plus loin euh puisque notre objectif c'est queeffectivement ce texte servent euh ce soit pas pour leur compliquer la vie mais bien pour les aider à mieux se défendre c'était je vous rappelle que c'était ça l'objectif quoi donc c'est euh c'est effectivement quelque chose qui nous préoccupe euh avant de donner la parole à mes collègues je vais vous poser les questions de du mon collègue rapporteur huxori qui lui est plus sur la partie REC il avait deux questions et ensuite je vais proposer à mes collègues de vous poser leurs questions donc sauf exception pour la défense le gouvernement a fait le choix de confier à une autorité unique l'Anci la mise en œuvre de la lo la politique gouvernementale en matière de sécurité des systèmes d'information alors que ce choix n'était pas imposé par la directive Nice 2 ce choix vous paraît-il pertinent quel regard portez-vous sur les définitions inscrites à l'article 1er du projet de loi donc activité d'importance vitale infrastructure critique point d'importance vitale et système d'information d'importance vitale au cours des auditions précédentes plusieurs personnes ont regretté l'absence de définition dit des notions d'incident de vulnérabilité notamment d'origine humaine donc je pense que vous partagez ça c'était sa question mais je crois que là il y avait une unanimité si je comprends bien donc je vais poser la ensuite je vais laisser alors la prochaine question c'est audre linconel merci monsieur le Président bonjour à à toutes et à tous je vais peut-être me décaler un petit peu avec ma question mais en même temps rebondir sur ce que vous avez pu dire et ce qu'on a pu entendre aussi dans l'audition précédente sur la la sécurisation du cloud où on sait bien que la plupart des grands acteurs du Cloud sont pas nécessairement des acteurs européens ça n'est pas vrai que pour le Cloud c'est vrai aussi pour un certain nombre de prestataires même si on en a euh on a des champions français et quelques champions européens mais on sait aussi que il n'y a pas que ça c'est un des points d'alerte que nous avions identifié avec ma collègue Catherine main de sali quand on avait travaillé une proposition de résolution euh ici au Sénat pour la commission des affaires européennes sur la question de la cyberréserve euh donc j'ai bien conscience que avec ce projet de loi on est plutôt dans l'amont dans la prévention mais se pose quand même pour l'ensemble des acteurs la question de l'aval parce que malheureusement la cybermenace se transforme parfois en cyberattaque et donc même si on s'est doté de tous les outils et qu'on a suivi tous les conseils il peut néanmoins arriver d'être attaqué et donc d'avoir euh besoin de de prestataire donc j'aurais bien voulu profiter que vous soyez là pour vous entendre sur cette question euh de euh de pas seulement du cloud encore une fois mais aussi de de ses prestataires en cas d'intervention comment comment vous voyez les choses est-ce que dans la transposition de ces textes il y a des éléments qui viennent vous conforter ou au contraire vous fragiliser puisqu'on a bien compris que votre enjeu c'était de pouvoir intervenir le plus facilement possible à l'ensemble de l'échelle européenne voire au-delà mais au moins déjà déjà à l'échelle européenne on sait qu'on a un S nombre d'États membres qui ne feront pas nécessairement appel à des champions français français ou même à des champions européens eu et qui feront peut-être appel à des champions amis alliés ou moins voilà merci je vous propose de répondre et ensuite on prendra les autres questions de mes collègues alors à titre personnel je fais partie de la réserve cyber donc je peux vous dire que oui ça existe euh euh ensuite je dirais euh on on a déjà monté au sein de la filière ce que je je pourrais appeler des des groupes d'entraide r cber par exemple boost Aero où où l'idée c'est de c'est de venir aider un acteur qui en aurait besoin on va plus parler quand on parle du groupe Airbus de de sa ligne de de fournisseur ceci étant l'écosystème en lui-même fonctionne je dois dire que c'est c'est une avancée qui a été permise par la mise en œuvre de la de la LPM parce que le quand quand on lisait la la LPM en décalé le but c'était quand même de d'augmenter le niveau global de résilience cyber et pas seulement de de contraindre et là ce qu'on ce qu'on voit c'est que peut-être le le texte tel qu'il est écrit aujourd'hui il va aller dans l'autre sens c'estd que c'est on voit beaucoup une demande de démonstration de la de preuve en fait et ça peut aller à l'encontre de l'efficacité économique c'estàdire que tout l'argent que les entreprises vont mettre pour aller pour aller démontrer auprès des autorités qu'elles sont qu'elles sont conformes c'est de de l'argent qu'elles ne mettront pas ailleurs ça rebondit sur ce que vous avez dit est-ce que lany pourrait être quelque part le point central oui nous l'appelons de nos vœux alors je dirais il n'est pas le point unique parce que quand on parle d'export contrôle on va s'adresser au SGDSN et pas à lany ceci étant ça ça marche quand même et on voit depuis bah depuis que Monsieur Poupard a fait monter en compétence LAN de manière assez flagrante bah que ça marche beaucoup mieux donc oui il y a il y a un écosystème les écosystème il doit être bipartite il doit être entre l'État et les différents les différents intervenants privés ou même collectivités et qui qui doivent quelque part en regard se mettre d'accord sur quelles sont les preuves attendues pour démontrer la la conformité aux règles et quels sont je dirais pas les groupes de travail mais je dirais plutôt les groupes d'intervention les compiers qu'on va pouvoir appeler dans le cadre où on est un sinistre Airbus par exemple a a cherché à voir en terme d'assurance cyber comment on pouvait non pas travailler en filière mais au contraire travailler sur des filières différentes en se disant que s'il y avait un risque systémique sur une partie une filière en particulier genre le bancaire B les industries seraient moins touché à ce moment-là ça permettrait aux industriels d'aller aider le monde bancaire et vice-versa si si j'ai comis vous parlez bien de la réserve de l'Union européenne ou bon la réserve de l'Union européenne il y a un dilemme qu'on a pu sur lequel on a pu échanger avec le kores c'est peut-on accepter qu'il ait des sociétés de services non européennes dans cette réserve et je pense que le la bonne équation c'est de faire en sorte que les entreprises de l'Union européenne soit Primus interpparaissent dans l'intervention et qu'ell puissent être accompagné d'entreprise et de sous-traitance autre que celle de l'Union européenne je pense que c'est ce cas c'est une opinion très personnelle je pense que ça ça on doit pouvoir l'accepter mais étant entendu que ce sont bien les pays membres de l'Union européenne qui désignent des entreprises Primus interpress dans le cadre de l'intervention deuxème remarque sur l'an je Jem une conviction assez personnelle c'est que le la maturité au tau du numérique va moins vite que le numérique lui-même bon qui s'impose dans lesations donc et j' reviens répondre indirement ce que vous posez comme question monsieur le rapporteur euh moi je préfère qu'on soustranspose à condition qu'on renforce le rôle de Nancy dans sa capacité à transposer la et les décrets que moi je crois beaucoup l'idée que ce soit par le haut qu'on impose une maturité générale dans un monde que l'on découvre donc je moi je suis très favorable plutôt à des renforcements de l'ANC du rôle de l'ANC en général quitte à ce qu'on s transpose encore une fois et qu'on laisse à l'an son rôle de gendarme euh je je laisse oui vous voulez répondre aur beaucoup de commentaires à faire mais enfin bon allez-y allezy non non mais je vous en prie non mais c'est je je je va rester dans mon rôle de président parce que là je c'est c'est un avis chacun à le sien je t'en prie d'accord peut-être de deux éléments et je pense que je l' je l' mentionné tout à l'heure par rapport à vos questions sur la sécurité du Cloud et et notamment du fait qu'il y a beaucoup d'aeurs de Cloud aujourd'hui qui sont non européens euh pour moi ici on est en train de parler de sécurité et de résilience d'organisation qui n'ont pas forcément d'enjeu de souveraineté et donc euh le sujet c'est est-on capable de cybécuriser correctement des des des des des charges qui sont déployées dans des clouds qui peuvent être parfois globaux et on a certains de nos acteurs aujourd'hui qui opèrent partout dans le monde et qui donc sont obligés de de de jouer avec euh ces acteurs euh globaux pour moi la la réponse est oui mais par contre il faut s'accompagner des bonnes solutions et et du bon niveau de maturité et derrière la la la transposition de de de Nice 2 on est quand même sur une approche par le risque et donc chaque acteur est censé analyser ses risques et déployer les bonnes mesures de de de cybersécurité il y a pas de raison qu'on soit pas capable de faire des analyses de risque au niveau de l'entité pour savoir si j'ai un risque ou pas d'aller dans un Cloud qui soit américains ou ou ou ou européen et et et ensuite de déployer les bonnes mesures de protection qui sont qui qui seront appliqué sur sur le sujet de de cyber réserve européennne je comprends aujourd'hui qu'on va avoir des enjeux de de maintien de capacité local dans chaque pays hein c'est je pense que c'est une position assez claire de l'an aujourd'hui de dire mes capacités régaliennes je je elles sont d'abord au service de de la résilience de l'État et finalement ce sont les entreprises privé qui pourront aller participer à cette résilience européenne via via des sélections malheureusement aujourd'hui je pense qu'on est en sous-capacité de réponse à incident cyber en Europe on a quelques acteurs mais aujourd'hui je pense que dans chacune de nos organisations les spécialistes de ces sujetsl se compent en centaines maximum et donc on on peut pas faire l'économie que de s'appuyer sur les quelques sachants qui existent dans le monde et qui sont pertinent sur sur sur ces attaques là je je suis tout à fait d'accord avec le le constat d'Olivier qui est de dire bah il faut garder le le la primeure à une société européenne dans sa coordination parce que aujourd'hui on sait pas dire d'où viront ces attaques et on peut pas mettre une confiance aveugle dans des acteurs extraeuropéens je parlais de d'analyse de de la menace et de de STR intelligence tout à l'heure aujourd'hui il y a des acteurs américains qui fournissent des solutions on peut pas s'empêcher de penser qu'elles sont peut-être ais dans l'information qu'ell transmettent sur le sur le continent européen c'est la même chose sur la réponse incident on peut parfois exploiter des technologies ou des ressources non européennes mais il faut savoir les contrôler et vérifier qu' qu'elles sont conforme finalement à nos attentes et pour revenir sur la question de de l'ANC je pense que l'an aujourd'hui a démontré certaine capacité à transposer des contraintes RG entaire euh dans des industries spécifiques le sujet de la sur ou sans transposition de la directive Nice elle va passer aussi par la les les dégrés d'application qui vont j'imagine être sectoriels et c'est là qui est toute la complexité du sujet euh on est au à la croisée de chemin entre l'expertise cyber et l'expertise de chacune des verticales et des secteurs et c'est un enjeu très compliqué dans le déploiement de la cybersécurité fait pas de la cybersécurité de la même manière dans l'automobile dans l'aviation dans la banque et cetera et donc avoir une entité garant finalement du respect du process de transposition et son homogénéité paraîtt une bonne approche il faut s'assurer qu'on équipe finalement l'an soit par des biais de collaboration ou ou ou ou de ressources de l'expertise sectorielle qui va être nécessaire pour garantir une transposition qui prenne en compte finalement les les les zones enjeux spécifiqu des différents marchés soit en compétitivité soit en en en niveau d'exigence on a des des secteurs qui sont très variés il sont pas du tout exposés aux mêmes menaces et du coup la transposition de la directive sur ces secteurs elle va être je l'imagine relativement différente et elle elle nécessite une expertise métier importante merci je va passer la parole madame Michel merci monsieur le Président face à la hausse des des menaces en ligne l'armée de terre c'est créé depuis le 1er janvier un nouveau régiment spécialisé en cybersécurité ce nouveau régiment dont les effectifs ont été triés sur le volet ont été recrutés dans les trois CPS de métier de l'armée et aujourd'hui on possède quatre unités vraiment spécial is sur la cyberdéfense donc ma question est comment les entreprises de cyberdéfense compent--elles aujourd'hui collaborer avec le nouveau régiment de l'armée de terre et quelles actions sont mises en œuvre pour assurer la défense des intérêt français ma deuxième question est notamment sur la formation quels efforts de formation pourrait être engagé par vos entreprises vous en avez parlé un peu tout à l'heure monsieur Coret euh dans le domaine de la cyberdéfense quel objectif de formation vos entreprises compent-elles remplir merci VO prendre les questions par deux euh donc Vanina paulig gagin s'il vous plaît oui merci monsieur le Président merci euh mesdames et messieurs pour vos présentations j'avais une question on sent bien que il y a une nécessité d'avoir une approche systémique puisque notre objectif c'est la robustesse finalement du système quels que soient les acteurs et la chaîne des acteurs est-ce que vous envisagez de soumettre l'idée deune coconstruction publique privée des cahiers des chares qui vont prédéterminer ces offres je pense par exemple aux collectivités locales où on n pas nécessairement les acheteurs publics qui vont être capable je pense de de concevoir ces offres et puis ensuite de peut-être dégager des des patrons d'offre un peu sur étavière qui soit aussi purgé des de de enfin des enjeux de la commande publique et cetera merci qui veut répondre alors sur la première question la collaboration avec ce qu'on pourrait appeler l'arme cyber aujourd'hui pas de manière directe euh au travers de pareil au travers de Lancy des différents certes on on fait passer les analyses de menaces on regarde quels indicateurs de compromission on a pu trouver mais c'est c'est une relation som toutes indirecte h h en terme de en terme de formation euh il y a de plus en plus de cursus qui qui se montent donc je dirais qu'on va avoir quand même demain des des wagons de de professionnels qui vont arriver le tout étant de réussir à les garder chez nous parce que euh les extrêmement bons se font aussi attirer à l'étranger euh ne nous voilà n nous voilons pas la face et sur la sur la partie offre groupée en fait c'est euh euh on voit quand on analyse les différents textes de réglementation au niveau européen on a 3500 contraintes que l'on doit gérer donc demain si on pouvait avoir je dirais une offre qui qui devrait être quelque part tamponnée par l'ANC qui disent voilà si vous prenez ce type de solution en fait vous allez répondre en ce qui nous concerne à une majorité des contraintes qui vous sont appliqué dans les dans les différentes lois je pense qu'on aurait fait un grand pas en avant en fait on on on s'économiserait toute toute la partie épluchage de l'appel d'offre pour pour pour regarder on dirait voilà vous vous avez tel besoin vous avez tel solution euh telle solution en face permettez-moi de vous repartager encore une conviction pour répondre à ces deux questions mais qui se rejoignent dans l'idée que euh le monde de l'entreprise monde de l'État se connaissent encore pas suffisamment et surtout dans le numérique alors qu'il y a de plus en plus d'enjeux communs autour de la souveraineté de l'innovation de la connaissance mutuelle de nos cultures donc pour avoir connu enfin maintenant connaître l'autre côté de la face j'ai encore plus cette conviction et je pense qu'il nous faut recréer ou alors imaginer ou alors développer une d'autres fores de partenariat alors oui on a des partenariats puis je je le poussais déjà quand j'étais dans cette fonction de commandant de la cyberdéfense au ministère des des armée je le suis encore plus dans le monde de l'entreprise déterminé 1 on a créé par exemple un cadre é change avec des officiers qui viennent pendant 3 ans au sein d'orange cyberdéfense et puis un ingénieur chez nous va dans les armées et ben irriguer de la culture de l'autre c'est petit pas mais ce petit pas me semble ces petit pas parant me semble absolument essentiel dans la connaissance mutuelle et on essaie de créer les conditions de cette counivation avec avec ce monde avec ce monde en tout cas de l'armée et puis demain sans doute des collectivités locales pour lesquell on a une point d'attention très particulire parce que comme je disais le la descente dans le bas de marché et au niveau territorial de la cyber est de plus en plus critique et on se doit aujourd'hui de proposer des services très sur étagères très faciles d'accès qu'on appelle parz-moi ce sent anglais en Plug and Play qui permettent à des non initiés de tout de suite disposer de services cyber et ça ça nécessite sans doute qu'on se mette un peu plus en proximité des Collectiv local qu'on aujourd'hui je vouis porter TR points au niveau du groupe Orange on a environ 250 à 300 réservistes et donc on a une des conventions particulières avec les armées pour qu'il soit comment largement disponible d'ailleurs pendant les j les armées ont récupéré si je puis dire on a cédé l'emploi d'un certain nombre de spécialistes cyber pour comment augmenter les forces de la gendarmerie et des réservistes opérationnels donc ça c'est je pense quelque chose de particulièrement intéressant parce que effectivement ça a fait des échanges de culture comme le soulignait Olivier mais aussi des vrais échanges opérationnels au moment où l'un ou l'autre en ont besoin d'ailleurs à ce titre euh je voulais faire une petite remarque j'ai pas retrouvé dans le dernière version du projet de loi il y avait un moment en tout cas un article sur euh les opérateurs qui étaient soumis à l'application du code des marchés publics euh dans une des versions je sais plus si elle est dans la je je sais pas si vous pouvez le faire mais il serait quand même intéressant que dans cet article on comment on puisse promouvoir les comment les offres ou les services proposés par des entreprise nationale c'est possible parce qu'on peut comment utiliser les marchés sensibles donc on pourrait quand il s'agit d'analyse de risque d'une université qui fait de la recherche je ne comprend pas qu'on fasse un marché un appel d'offre ouvert c'est qu'il a quand même des comment des des critères qui existent à travers les les marchés type sensibles et deux on peut mettre des critères extra financiers comme effectivement est-ce que l'entreprise le prestataire accueille des réservistes ne sa parce que ça fait partie finalement aussi d'une de nos contributions à l'œuvre commune de défense d'avoir des un certain nombre de spécialistes qu'on met à disposition à travers la réserve et je souligne et c'est important parce qu'il y avait déjà travaillé dans le casadre de la filière des industries de sécurité à faire des offres euh et ça très bien marché avec les hôpitaux donc on avait fait ça euh tu peut-être Alexis euh en 2021 20 21 22 dans avec la France 2030 donc on avait packagé des offres pour faire des expertises et des renfors de sécurité sur les hôpitaux et effectivement on attend la relance de la filière des industrie de sécurité avec des offres particulières pour service les systèmes de santé qui sont fortement comment soumis à des cyberattaques et aussi aux collectivités locales sur la formation je me permets une un petit ajout on on est en train aussi de modifier nos formations pour sortir du mode les experts Pat aux experts et former ce qu'on appelle les cadres dirigeants les se level à la question cyber à la gestion de crise c'est et et en particulier vers les Comex parce que il y a encore je je pense des gains des gains maturité extrêmement importants qui permettent après par une gestion par par le haut de faire descendre et d'infuser si vous voulez des les une compréhension des des contraintes des enjeux de cybersécurité du coup je je vais rebondir sur ce sujet de de formation avant de de parler du sujet des offres je pense que finalement des des des des grands groupes tels que nous sommes avons pratiquement tous développer des filières internes de formation à la cyber de de finalement de parfois de transformation de certains de nos ingénieurs pour les dotter de de de ces compétences cyber en tout cas moi je l'ai observé dans beaucoup à la fois de grand groupes offur de de solution cyber mais aussi dans le domaine bancaire l'industrie l'énergie ou autres parce que à l'époque il y avait un manque de formation sur le marché aujourd'hui on a de plus en plus de formation initiale de plus en plus d'écoles diplômante en en cybersécurité ou même de cursus d'ingénieur avec des spécialités cyber on se rend compte que sur ces niveaux de formation relativement technique on a plus d'ingénieurs d'apprentis de gère sur sur le marché donc ça c'est c'est plutôt une une une bonne nouvelle euh effectivement je pense qu' il nous manque le côté formation d'un niveau de management plus important de d'acculturation au risques cyber dans des filières de formation continue sur lequel aujourd'hui j'en vois pas beaucoup sur sur sur le marché et malheureusement il y a c'est c'est pas vraiment le rôle des industriels de la cyber que d'amener ce niveau de de formation pour moi c'est plutôt la la filière de formation qui qui devrait doter le marché de ses enjeux il était peut-être pas très demandeur jusqu'à présent mais c'est vrai que bah des directives comme comme Nice 2 vont forcément avoir un impact sur sur la demande parce qu'on a des responsabilités relativement importantes qui sont portées par les les cadres dirigeants aujourd'hui sur la la coconstruction publi privé euh d'offre et de solution euh je pense que ça va avec ces sujets de politique industrielle dont je parlais tout à l'heure euh il y a un sujet de de reconnaissance de labellisation de ces offres de manière à leur donner euh voilà enfin aider finalement les les les nouveaux régulés à choisir des solutions et et le faire en confiance quand ils ont pas forcément le bon niveau de maturité euh pour le faire et je dirais que la bonne nouvelle c'est qu'on a tous les vecteurs aujourd'hui en France pour pouvoir travailler sur les les les les sujets Patrick mentionnait le comité de filière industrie de sécurité on a des fédérations professionnelles comme l'Alliance pour la confiance numérique qui sont des cadres euh de d'échange d'industriel et d'offreurs qui permettent de gérer toutes ces contraintte de de compétition et cetera pour pour pouvoir engager avec l'écosystème et codévelopper des offres et des solution en tout cas dans leur forme forcément développer mais sur marché une offre de de cette sous cette forme là mais de cadrer ces échanges là et puis d'échanger sur qu'est-ce que serait les bonnes solutions les bonnes offres quelles seraient les bonnes contraintes qu'on on pourrait vouloir déployer aussi dans dans la transposition et dans les décrets d'application donc on a cet écosystème et je pense que tous les acteurs là qui sont autour de la table sont heureux de pouvoir participer à ces discussions merci remémy Cardon merci monsieur le Président puisqu'on parle d'offre de de package ou autre et puis étant donné qu'on est effectivement focalisé sur sur ce texte Nice 2 qui vient démocratiser euh euh ça soit pour les collectivités les les entreprises l'enjeu de la cybersécurité euh puisque vous êtes certaines sont des OIV présentes à cette audition vous avez beaucoup plus de recul puisque ça fait déjà quelques années que vous êtes à la manœuvre sur la les enjeux cyber par avec le le partenariat rapproché avec l'ANC bien évident mais moi je Seris curieux de ça voir un peu le le le coût d'investissement est-ce que vous classez d'ailleurs sur du fonctionnement l'investissement c'est un peu des deux par rapport parce qu'en fait là on parle beaucoup de tout ça à chaque audition ça c'est des choses qui remonte mais notre enjeu aussi c'est de convaincre aussi faire la bascule et d'avoir des chiffres clés je je vous donne pas une réponse vous demande pas forcément une réponse hyper précise parce que je me doute que ça demande un peu de travail mais avoir une étude qualitatif un peu sur sur cet enjeu là parce que c'est bien de de mettre une directive de c'est bien de la décliner dans son propre pays mais encore faut-il regarder un peu les études d'impact et parce que certains se plaignent j'ai entendu j'ai entendu quelques propos sur le le cûp que ça va engendrer la concurrence déloyale parfois enfin AINS de suite je vous bah si parce que il y en a qui vont qui vont avoir certains pays vont avoir des des ution et d'autres justement un peu moins c'est un peu le finalement ça c'est un c'est un peu de la concurrence des loyal à la fin donc voilà est-ce que vous avez réfléchi un peu à ça puisque vous avez déjà quelques années d'ancienneté sur les enjeux cyber donc je suppose qu'il y a il y a des choses qui sont réalisées un peu en interne peut-être qu'ils sont confidentielles j'en sais rien mais en tout cas ça peut nous intéresser sur Non mais jeux c'est on merci le temps il nous reste pas beaucoup de temps donc je vais vous pardon je vais vous proposer de d'écouter la question de Catherine main de ser de répondre au au aux deux à mes deux collègues simultanément merci beaucoup oui c'est une question assez simple dans le prolongement de celle de mes collègues à à Monsieur j'ai été très sensible à vos remarques qui ont consisté à à dire qu'il était important que concomitamment à c'est cette nouvelle législation il y ait une véritable politique Industri rel qui se mettent en place à quel niveau voyez-vous cette politique s'instaurer faut-il profiter de la révision et de la mise à jour de la stratégie décennie numérique qui est prévue pour 2026 boussol numérique qui est largement insuffisant nous nous nous nous l'avons dit et euh orienter justement les nouvelles euh en tout cas prendre de nouvelles orientations financer fortement euh notamment les solutions Ia pour la cybersécurité le quantique et également euh comment articuler ça avec les politiques nationales est-ce que vous avez réfléchi à ces sujets vous avez des suggestions à à formuler merci beaucoup chers collègue qui veut répondre B je pense que le le le sujet du cadre du de de l'exécution d'une politique industrielle est est compliqué parce que en fait effectivement on veut faire pass dans différents véhicules je je reste persuadé que lany dans son bureau politique industrielle a la capacité d'instruire finalement le recueil des besoins et et et et et les missions finalement de de deun sorte de de feuille de route il maintiennent quelque part une liste des des des des services et produits dont ils ont besoin pour accompagner notamment euh l'exécution de la loi de programmation militaire et donc déploi final des schémas de certification et de qualification des offres qui répondre à ces besoinsl on pourrait très bien imaginer quelque chose d'un niveau moins élevé parce que je comme je disais tout à l'heure en fait on a un sujet autour des produit qualifié qui est que on a un niveau d'exigence important du fait des enjeux de résilience de la nation et et et et de souveraineté qui voilà aurait un risque amènerait un risque de surcût pour revenir à votre question sur sur sur les solutions donc il faut trouver un moyen de tamponner ces offres là avec un niveau de visa de sécurité le le le plus facile à à atteindre possible tout en garantissant le le le bon niveau de de confiance et surtout le bon niveau d'agilité c'estàd que le risque derrière les offres qualifiées c'est qu'aujourd'hui quand on a un tampon l'offre elle est figée dans le temps jusqu'à ce qu'on la renouvelle et dans la cybersécurité ça c'est un vrai problème il faudrait avoir peut-être des nouveaux modèles de schéma qui nous permettent de de donner un niveau de confiance dans les acteurs du conseil ou dans les acteurs de la détection euh d'attaque sans les leur imposer de tamponner une offre à un instant T et les empêcher de la faire évoluer au risque de perdre leur tampon euh au fur et à mesure du temps et et ensuite pour revenir sur le coût de de de l'offre euh je je je m'amusais l'autre jour d'une remarque de Vincent Strubel qui disait je suis am étonné de voir des offres de conform comité Nice 2 apparaître sur le marché du Conseil parce que moi-même comme j'ai pas encore travaillé sur les décrets d'application je sais pas vous dire ce que ça va être et et donc on a probablement ce sujetl c'est que le coût de la mise en conformité il va dépendre des différents secteurs qui vont être touchés et des décrets d'applications qui qui qui qui vont apparaître je je dirais que pour nous en tant qu'industriel ça fait partie de nos politique produit que d'investir dans des offres et et et de les développer le le le vrai sujet ça va être pour les entités régulées euh et de savoir quel est en fonction de leur point de départ finalement quel est le l'écart qu'elles ont vis-à-vis de la conformité Nice 2 il y a peut-être des entreprises ou des organisations qui n'ont jamais rien fait et là bah la marche va être probablement relativement élevé et puis il y a des entreprises qui ont déjà un certain niveau de maturité d'éducation et qui vont finalement devoir peut-être adapter un petit peu leur approche voire avoir un surcût marginal par rapport à à ce qu'elles font aujourd'hui la la la question est voà difficile de répondre à la question je pense que Vincent Rubel disait que le ticket d'entrée sur une entreprise de taille intermédiaire si elle n'avait rien fait était estimé du côté de l'ANC aux alentours de 200000 € ouais je je reviens juste sur les coûts alors on a euh comment euh puisqu'on est au IV on a d on a un certain nombre de s de V hein des des systèmes et c'est d' on avait fait la remarque dans l'audition de de la FFT sur le comment en gros un un ici de V c'est 30 % plus cher qu'un ici normal parce qu'il y a des coûts de de conception qui sont particuliers euh de la maintenance en condition de sécurités qui sont beaucoup plus strictes et donc plus élevé et puis des coûts de supervision spécifiques parce que vous pouvez pas garder les logs dans les mêmes systèmes enfin un système de cloisonnement d'où la remarque qu'on avait faite sur une des interprétations de la loi c'est il faut ce qu'on appelle le S régulé soit vraiment restreint aux fonctions qui nous amène à C entité importante ou ou vitale parce que à l'échelon je vais vous donner un petit chiffre pour vous donner quand même les applications au niveau d'orange pour le territoire national c'est plus de 9000 applications et des CIV on en a même quelques dizaines je CIS pas jusqu'à ma main c'estjà surcoup donc on doit tout mettre au même niveau on avait discuté du du système de enfin de système d'information régul pour nous ce périmètre là il est effectivement en terme de coût ultra important parce qu'on peut pas mettre les mêmes les mêmes conditions sur de sécurité surt et puis ouis sur la politique industrielle on revient il y a il y a un comité stratégique de filière qui aujourd'hui un peu endormi donc nous n'appelle que que de notre comment oui oui bah voilà mais il faut que il faut qu'il y ait plusieurs ministres pérennes qui s'accordent sur la signature donc donc voilà donc donc voilà donc voilà donc si vous leur dites et qui signe le contrat de de filière comment pour ça qu'on fait la bouteille la bouteille à la mer donc voilà donc il y a voilà donc je pense que dès que dès que possible tout le monde est d'accord pour pour signer le contrat de filière voilà et donc là on repartira effectivement sur ces sujets là entre autres pour apporter peut-être un un autre angle d'approche une bonne ABAC c'est de dire que la cybersécurité ça va représenter à peu près 10 % du du coût d'un système d'information faut pas se leurer à chaque fois qu'on demande d'augmenter le niveau de sécurité ou du moins qu'on qu'on demande de de de monter en compétence soit ça va se faire en augmentant l'enveloppe globale mais ça se fait au détriment de l'efficacité de l'entreprise soit ça ça va se se faire en fait en en laissant de côté en disant bon ben je suis pas conforme euh ceci induit par analyse de risque toute une flopppée de consultants qui viennent vous expliquer ce à quoi vous devez être conforme et ce à quoi ça va pouvoir se négocier donc en fait il est pas étonnant d'avoir tout un tas de consultants sur le marché dès à présent parce que ils regardent comment ils vont déjà pouvoir biaiser par rapport à la loi qui est pas encore sortie alors ce qu'il faut savoir aussi c'est que les industriels eux en cascade ils vont cascader les exigences c'estàdire qu'ils vont demander à chacun de leurs fournisseurs dans leur chaîne d'approvisionnement bah de de d'apporter la preuve qu'ils se sont mis en conformité avec Nice 2 et j'en reviens à s'il y a pas quelque part un organe qui vient qui qui vient mettre un tampon en disant c'est bon on est allé les voir ils sont bons ben ça veut dire que chacun des clients d'une entreprise va demander la démonstration de la preuve donc il y a il y a matière en fait à être plus efficace en ayant un organe qui quelque part capable de dire ok on a on est allé auditer cette entreprise et on considère qu'elle est à un niveau acceptable merci merci beaucoup je pense que on va arriver au bout j'ai posé la question à à à la l'intelligence artificielle pour savoir quel était le le meilleur endroit pour être conforme en Europe pour être conforme à à Nice 2 et donc j'ai eu tout un explicatif sur l'ISO 27000 euh la Belgique en disant que c'était évidemment le pays le plus avancé aujourd'hui qui le recommandait c'est un vrai sujet parce que il a été dit là que on pouvait s'en remettre à quelqu'un dans l'administration qui allait faire un décret qui allait nous dire comment ça allait se passer pour un législateur c'est un peu insupportable je vous le dis c'est parce que à la sortie c'est quand même nous qui sommes face aux électeurs et qui devont leur répondre et faire voter un texte avec l'administration qui vous dit bah vous votez et après je vous dirai comment ça va fonctionner c'est très compliqué à entendre et c'est pour ça d'ailleurs qu'on va avoir une réunion normalement cétait décidé avec les rapporteurs avec le bureau pour justement prendre une position parce que au niveau de l'approche c'est très compliqué on ne peut pas s'en remettre à quelqu'un qui n'est pas lui-même soumis à contrôle pour décider à quelle sauce on va être mangé donc il y a une grosse question ça c'est la démocratie donc on va en débattre il y a pas de on va pas parler de de la sortie mais c'est effectivement un sujet qui a été qui a qui est revenu souvent dans les questions d'ailleurs dans les vôtres puisque je sais dire aujourd'hui ce qu'on peut faire ce qu'on doit faire pour être conforme à Nice 2 en étant à Bruxelles on est allé sur place on a eu toutes les réponses c'est pas complié vous êtes ISO 27000 vous avez quelqu'un un auditeur qui est validé par nous donc une liste d'auditeurs pour vous valider il a pas n'importe qui qui vous certifie au 27000 voilà donc c'est tout cadré on comprend tous voilà on a le mode opératoire et on peut savoir et nous avons posé à la question à Monsieur Strubel pendant son audition voilà la Belgique voilà ce qu'il propose est-ce que vous accepteriez donc en France qu'on puisse faire ça ah ben non on va avoir autre chose d'accord mais ceci étant il a aussi dit que ça serait accepté puisque il accepte bien le fait que on puisse faire comme ça en Belgique donc quelqu'un qui conforme N 2 en Belgique peut venir intervenir sur le territoire donc donc vous voyez tout ça crée ne fait pas de la simplicité en terme d'approche crée du trouble et donc ça nécessite effectivement des clarification et je crois que ça va très exactement dans le sens de tout ce que vous avez dit je pense donc c'est pour ça que c'est assez cohérent mais c'est cétait une question de philosophie alors je en tout cas je vous remercie parce qu'on a en fini avec vous tout ce tout ce cycle d'audition publique et nous aurons ainsi pu à notre niveau contribuer à l'information des professionnels je l'espère et du grand public avec de auditions de responsables public monsieur Vincent Strubel directeur général de l'ancy et Madame Clara chapaz ministre délégué à l'intelligence artificielle et au numérique et cinq tables rondes qui auront réuni les organisations professionnelles MDEF CPME des représentants des entreprises cyber ACN cyber cerclle cyber Task Force CLUSIF les associations d'élus Association des Maires de France association des départements de France association des région de France intercommunalité de France métropole de grand du Grand Paris et aujourd'hui les autorités de régulation financière et trois grands acteurs de la cyberdéfense alors je vous donne rendez-vous pour le bureau donc on va se mettre d'accord pour lundi après-midi pour une visioconférence entre nous parce que c'est un peu compliqué pour qu'on puisse tous Voilà débattre de cette de la position et donc ensuite nous aurons rendez-vous le 4 mars prochain pour la réunion consacrée à l'examen du rapport du texte de la commission en vue d'un examen en séance public le 11 mars d'ici là les rapporteurs pourront finaliser leurs travaux je vous remercie je rem mercie les intervenants pour vraiment pour leur apport mes collègues pour avoir participé tout au long de ces auditions et voilà et tout un chacun qui nous a aidé pour préparer ce texte merci à toutes et à tous