Mme Sabine Thillaye

La première définition que vous aviez proposée lors des débats en commission n’était pas pleinement satisfaisante. Cette nouvelle rédaction me paraît beaucoup plus robuste et complète : avis favorable.

…dont l’objectif est d’informer les utilisateurs de la présence d’une faille dans le logiciel afin d’en limiter les victimes. Il est bien entendu que, parallèlement à cette publication, l’Anssi, en lien avec l’éditeur victime de l’attaque, travaille à combler la faille. Votre amendement conduisant à affaiblir le dispositif, j’émettrai un avis défavorable.

Attendre que la vulnérabilité soit résorbée annulerait tout l’intérêt du dispositif,…

J’estime pour ma part qu’une publication obligatoire rigidifierait trop le texte. Comme précédemment, il faut laisser un peu de latitude à l’Anssi pour apprécier les vulnérabilités et prendre ses décisions en conséquence. En commission, nous avons adopté un amendement de notre collègue Belhamiti visant à ce que le délai d’information des utilisateurs soit déterminé par l’Anssi. Et nous venons d’adopter les amendements nos 1634 et 1673 qui viennent préciser que ce délai dépend de l’urgence, des risques pour la sécurité nationale – je rappelle à nouveau que nous examinons une LPM – et du temps n…

Il est favorable. Ces amendements s’inscrivent dans la continuité de nos travaux en commission et permettraient d’encadrer la fixation du délai d’information sans nuire à l’opérationnalité de la correction des vulnérabilités.

Même avis défavorable, ma chère collègue, que pour votre amendement no 1121 qui visait à rendre automatiques les mesures prévues à l’article 32. Il convient en effet de laisser de la flexibilité à l’Anssi et aux éditeurs dans leur réponse aux actes malveillants.

Je laisserai le ministre répondre sur ce point et formulerai pour ma part une demande de retrait.

Si la commission a tenu à préciser que seuls étaient concernés les utilisateurs professionnels, c’est que ce sont précisément eux les acteurs ciblés par les dispositifs que nous instituons dans le cadre de la défense et de la sécurité nationale. Avis défavorable.

Nous voulons procéder par étapes, en appliquant d’abord le name and shame et, si ce n’est pas suffisant, en venir aux sanctions. Et puis, comme l’a dit notre collègue Latombe, beaucoup de sujets devront être traités au niveau européen.

…j’ai simplement parlé d’équilibre. Une entreprise n’a aucun intérêt à commercialiser un produit défectueux, c’est du simple bon sens.

Madame Thomin, je ne place absolument pas les intérêts commerciaux avant la défense et la sécurité nationale,…

Je n’ai pas dit ça !

Je tiens à souligner que nous nous efforçons, depuis le début de notre discussion, de maintenir un équilibre entre, d’une part, la sécurité nationale et, d’autre part, nos libertés fondamentales, notamment la liberté d’agir et d’entreprendre, qui nous incite à limiter les contraintes pesant sur nos entreprises. En l’espèce, je souhaite que nous nous en tenions au dispositif prévu dans le texte, à savoir qu’en cas de non-respect de l’injonction de communiquer les vulnérabilités constatées à l’Anssi, celle-ci pratiquera le fameux name and shame.Au demeurant, aucune entreprise n’a intérêt à les d…

Nous partageons l’objectif visé mais, aux termes de l’article 34, il est de la responsabilité des éditeurs de logiciels de déclarer leurs vulnérabilités. Or ceux-ci ne sont pas habilités à apprécier l’atteinte à la sécurité nationale, qui est une prérogative de l’État. En commission, nous avons néanmoins souhaité mieux définir ce qu’est un incident informatique et préciser le caractère significatif des incidents et vulnérabilités visés, par trois amendements que nous allons examiner dans quelques instants.Par ailleurs, j’émettrai un avis favorable à votre amendement no 1673, qui prévoit que le…

Cette précision est utile. Avis favorable.

Défavorable.

J’émets un avis favorable car ils visent à préciser utilement le dispositif. Nous avons adopté un amendement qui prévoit la consultation de la Cnil avant la publication du décret en Conseil d’État précisant les modalités d’application de l’article 33.

Même avis – défavorable – que sur l’amendement no 1269 ; nous nous sommes déjà exprimés à ce sujet. En commission, nous avons fait évoluer les dispositifs parce qu’il n’y avait aucune référence à la défense de la sécurité nationale dans le texte, en dehors de l’article 32. Nous avons rattaché tous les articles à cette notion, ce qui me semble apporter des garanties beaucoup plus larges.

…car je n’ai pas une vision très claire sur ce point. Je m’aligne donc sur l’avis défavorable de la commission.

Nous en avons discuté à plusieurs reprises. J’ai interrogé à nouveau l’Anssi, qui assure que l’article 32 n’impliquera aucune dépense d’investissement pour les opérateurs concernés. Comme l’a dit M. le ministre délégué, il est question d’une dizaine d’opérations de filtrage par an. Ce nombre, qui semble raisonnable, permettra une exécution par des agents déjà embauchés, sans qu’il soit nécessaire d’appliquer un système de traitement automatisé.La notion de coûts permet déjà de couvrir les dépenses de fonctionnement et les éventuelles dépenses inhérentes à la masse salariale mobilisée par les o…

Avis défavorable, pour les mêmes raisons que celles avancées lors de l’examen de l’amendement de Mme Thomin.

…pour comprendre le mode opératoire.Nous cherchons toujours l’équilibre entre l’efficacité et la protection des libertés : c’est bien plus difficile que de défendre des avis tranchés. (Applaudissements sur les bancs des groupes RE, Dem et HOR.)

Avis défavorable. Vous affirmez que le choix d’un délai de cinq ans, au lieu de dix ans, est arbitraire. Il est le fruit des discussions avec l’Anssi, qui considère qu’il s’agit du temps nécessaire pour effectuer les recherches d’antériorité qui parfois s’imposent. La précédente durée de dix ans était excessive, mais deux ans seraient insuffisants…

Avis défavorable. S’il était adopté, votre amendement reviendrait à supprimer les modalités d’encadrement de la conservation des données recueillies au titre de l’article 32. C’est surprenant de votre part car juridiquement très insécurisant. Ce n’est donc probablement pas votre volonté.Sans doute s’agit-il d’un amendement d’appel par lequel vous voulez marquer votre opposition aux nouvelles autorisations en matière de collecte de données, sans motif légitime apparent ; or l’alinéa 14 concerne les cas où des cyberattaquants ont sciemment exploité un nom de domaine aux fins de porter atteinte à…

Il est préférable de se tourner vers un avocat, celui-ci étant parfaitement en mesure de les expliquer à nos concitoyens.

…« dans les conditions prévues à l’article L. 521-2 du code de justice administrative » permettra à tous les citoyens de comprendre leurs droits ?

Je comprends votre souci d’information du public sur le référé liberté, mais pensez-vous qu’ajouter « le contrôle juridictionnel sur les mesures prises au titre du présent article s’exerce notamment…

Le référé liberté est à la disposition de tout justiciable, sous réserve de remplir plusieurs conditions prévues à l’article L. 521-2 du code de justice administrative : l’administration doit avoir porté une atteinte grave à une liberté fondamentale – le juge l’apprécie in concreto ; l’atteinte doit être manifestement illégale ; elle doit être imputable à une personne morale de droit public ou à un organisme de droit privé chargé d’un service public ; la requête doit être justifiée par une urgence à agir pour faire cesser cette atteinte.Si ces critères sont réunis, le recours au référé liberté…

Vous souhaitez subordonner l’application des mesures prévues à l’article à l’obtention d’un avis conforme de l’Arcep. Je comprends votre idée, dont nous avons déjà débattu en commission. Toutefois, le dispositif proposé serait particulièrement lourd pour cette agence et devrait donc, à mon avis, être réservé aux cas les plus problématiques en matière de libertés publiques.C’est pourquoi l’article prévoit que de la redirection du nom de domaine vers un serveur sécurisé de l’Anssi ne peut excéder deux mois, renouvelable une seule fois en cas de persistance de la menace, et après avis de l’Arcep.…

Ce dialogue est déjà prévu. L’alinéa 2 de l’article prévoit que l’Anssi s’adresse d’abord au titulaire du nom de domaine, avant, en cas de carence de ce dernier, de saisir les fournisseurs d’accès à internet ou les hébergeurs. En commission, nous avons en outre adopté un amendement prévoyant que l’Anssi « tient compte de la nature de ce titulaire ainsi que de ses contraintes opérationnelles ».Votre amendement pose par ailleurs un problème légistique. Il tend à compléter l’alinéa 10, lequel concerne à la fois les titulaires ayant enregistré leur nom de domaine de bonne foi, avec lesquels un dia…