Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité

Passages cités dans le texte officiel

Les alinéas sur lesquels s'appuie la synthèse ci-dessus, reproduits à l'identique. Le texte complet (75 articles) est dans l'onglet « Le texte ». Texte intégral sur assemblee-nationale.fr

1. Article 1 er

   Alinéa 8« 2° Infrastructure critique : tout ou partie d’un bien, d’une installation, d’un équipement, d’un réseau ou d’un système nécessaire à l’exercice d’une activité d’importance vitale ou dont une perturbation pourrait mettre gravement en cause la santé de la population ou l’environnement ;

   Alinéa 14« Art. L. 1332 ‑ 2 . – (Non modifié) I. – Sont désignés opérateurs d’importance vitale par l’autorité administrative :

   Alinéa 16« L’autorité administrative précise, le cas échéant, dans l’acte de désignation de l’opérateur d’importance vitale, l’activité ou la liste des activités d’importance vitale exercées par l’opérateur qui constituent des services essentiels au fonctionnement du marché intérieur de l’Union européenne définis par le règlement délégué (UE) 2023/2450 de la Commission du 25 juillet 2023 complétant la directive (UE) 2022/2557 du Parlement européen et du Conseil en établissant une liste de services essentiels et qui, à ce titre, justifient que cet opérateur soit regardé comme une entité critique au sens de cette directive ;

   Alinéa 22« Art. L. 1332 ‑ 3 . – (Non modifié) Les opérateurs d’importance vitale réalisent une analyse des risques de toute nature, y compris à caractère terroriste, qui pourraient perturber l’exercice de leurs activités d’importance vitale ou la sécurité de leurs infrastructures critiques, notamment des points d’importance vitale désignés par l’autorité administrative.

   Alinéa 24« Sur le fondement de cette analyse, les opérateurs d’importance vitale adoptent des mesures proportionnées de résilience, techniques, opérationnelles et organisationnelles, afin d’assurer la continuité des activités d’importance vitale qu’ils exercent et de sauvegarder leurs infrastructures critiques.

   Alinéa 46« Art. L. 1332 ‑ 7 . – (Non modifié) Les opérateurs d’importance vitale désignés au titre du 1° du I de l’article L. 1332‑2 notifient à l’autorité administrative, au plus tard vingt‑quatre heures après en avoir pris connaissance, tout incident susceptible de compromettre la continuité de leurs activités d’importance vitale, dans des conditions fixées par décret en Conseil d’État.

   Alinéa 92« Art. L. 1332 ‑ 17 . – (Non modifié) I. – En cas de manquement aux obligations découlant de l’application du présent chapitre, la commission des sanctions peut prononcer à l’encontre des opérateurs d’importance vitale, à l’exception des administrations de l’État et de ses établissements publics administratifs, des collectivités territoriales, de leurs groupements et de leurs établissements publics administratifs, une amende administrative dont le montant, proportionné à la gravité du manquement, ne peut excéder dix millions d’euros ou, lorsqu’il s’agit d’une entreprise, 2 % du chiffre d’affaires annuel mondial hors taxes de l’exercice précédent, le montant le plus élevé étant retenu.

   Lire la suite dans le texte officiel

2. Article 5

   Alinéa 1L’autorité nationale de sécurité des systèmes d’information mentionnée à l’article L. 2321‑1 du code de la défense est chargée de la mise en œuvre de la politique du Gouvernement en matière de sécurité des systèmes d’information régie par le présent titre et de son contrôle.

   Lire Article 5 en entier

   L’autorité nationale de sécurité des systèmes d’information mentionnée à l’article L. 2321‑1 du code de la défense est chargée de la mise en œuvre de la politique du Gouvernement en matière de sécurité des systèmes d’information régie par le présent titre et de son contrôle. Le Premier ministre peut désigner un organisme autre que l’autorité nationale de sécurité des systèmes d’information mentionnée au premier alinéa pour exercer à l’égard de certaines entités, en raison de leur activité dans le domaine de la défense, certaines des responsabilités de cette autorité prévues au présent titre. Les missions de l’autorité nationale de sécurité des systèmes d’information et des organismes désignés par le Premier ministre ainsi que leurs conditions d’exercice sont précisées par décret en Conseil d’État. Ces missions comprennent notamment l’accompagnement et le soutien au développement de la filière cybersécurité en coordination avec les ministères compétents ainsi que la promotion de la cyberprotection de la cyberhygiène et de l’éducation aux bonnes pratiques numériques.

3. Article 5 bis

   Alinéa 19La stratégie nationale en matière de cybersécurité est mise à jour au moins tous les trois ans.

   Lire Article 5 bis en entier

   Afin d’atteindre et de maintenir un niveau élevé de cybersécurité, le Premier ministre élabore une stratégie nationale qui comprend notamment : 1° Les objectifs et les priorités de la Nation en matière de cybersécurité et d’autonomie stratégique numérique, qui incluent en particulier les secteurs mentionnés à l’article 7 ; 2° Une liste des différents organismes et autorités concernés par la mise en œuvre de cette stratégie nationale ; 3° Une coordination renforcée entre les organismes et les autorités définis au 2° du présent article dans le but d’atteindre les objectifs et les priorités mentionnés au 1° ; 4° Un inventaire des mesures garantissant le partage d’informations par les organismes et les autorités mentionnés au 2° sur les risques, les menaces et les incidents en matière de cybersécurité ainsi que la préparation, la réaction et la récupération des services après un incident ; 4° bis Les orientations permettant une approche commune des enjeux de cybersécurité et de souveraineté numérique ; 5° Un plan comprenant les mesures nécessaires pour améliorer le niveau général de sensibilisation des entreprises, des administrations publiques et des citoyens à la cybersécurité, notamment par des politiques actives de cyberprotection, de cyberhygiène et d’éducation aux bonnes pratiques numériques, annuellement mis en place dès 2026 et piloté par le dispositif national d’assistance aux victimes d’actes de cybermalveillance ; 5° bis Les modalités de soutien, y compris financier, aux collectivités territoriales et à leurs groupements ; 5° ter La promotion et le développement de l’éducation et de la formation en matière de cybersécurité, des compétences en matière de cybersécurité, des initiatives de sensibilisation de recherche et développement en matière de cybersécurité ainsi que des orientations sur les bonnes pratiques de cyberhygiène et les contrôles, à l’intention des citoyens, des parties prenantes et des entités ; 5° quater (nouveau) L’offre de formation publique dans le domaine de la cybersécurité et la cyberdéfense ; 5° quinquies (nouveau) Une stratégie d’aménagement du territoire en lien avec le 5° ter et comprenant : a) Le maillage territorial des compétences, notamment par la création ou le soutien de centres régionaux de formation, d’expertise ou de réponse aux incidents ; b) Les établissements d’enseignement supérieur, les lycées professionnels et les organismes de formation continue, en lien avec les régions ; c) Les dispositifs de soutien aux collectivités territoriales pour leur mise en conformité, leur sécurisation numérique et leur capacité de résilience ; d) Des objectifs de réduction des inégalités territoriales d’accès aux métiers, aux formations et aux ressources en cybersécurité ; 5° sexies (nouveau) La création d’un fonds de soutien spécifiquement destiné à accompagner les collectivités territoriales et les établissements publics de coopération intercommunale à fiscalité propre qualifiés d’entités importantes ou essentielles n’ayant pas bénéficié du « parcours de c ybersécurité » du plan France relance ; 5° septies (nouveau) Les orientations visant à promouvoir l’utilisation de logiciels libres et des standards ouverts comme leviers stratégiques pour la résilience, la sécurité et la souveraineté numérique de la Nation ; 6° Les indicateurs clés de performance pour évaluer la mise en œuvre de la stratégie nationale en matière de cybersécurité. La stratégie nationale en matière de cybersécurité est mise à jour au moins tous les trois ans. À compter de 2026 puis tous les deux ans, le Gouvernement remet au Parlement, avant le 30 septembre, un rapport sur la mise en œuvre de la stratégie nationale en matière de cybersécurité. Ce rapport précise l’évolution des indices de performance définis par ladite stratégie. Chapitre II De la cyber‑résilience Section 1 Définitions