Amendement n° DN964
LOI n° 2023-703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense (1)
Dispositif
Compléter l’alinéa 7 par la phrase suivante :
« Il précise notamment les critères d’appréciation du caractère significatif de la vulnérabilité ou de l’incident visés à l’alinéa 2 du présent article en fonction des pratiques et standards internationaux communément admis. »
Ce que ça change · analyse IA
Encadre l'évaluation de la gravité des incidents par l'ANSSI en imposant des standards techniques reconnus (CVSS).
Intention : L'auteur cherche à protéger les opérateurs contre l'imprévisibilité de l'action administrative en verrouillant les critères de déclenchement des obligations de signalement sur des standards techniques objectifs.
L'amendement vise à limiter le pouvoir discrétionnaire de l'ANSSI dans la définition de ce qui constitue un incident « significatif ». En ancrant l'appréciation de la gravité dans des référentiels techniques objectifs et universellement admis (comme le score CVSS), le législateur cherche à éviter une interprétation purement administrative ou arbitraire de la menace. L'adoption de cet amendement montre que la volonté du législateur est de soumettre l'autorité de régulation à une norme technique préexistante, garantissant ainsi une prévisibilité pour les acteurs de la cybersécurité.
Exposé sommaire
Le présent amendement apporte une précision quant à l'appréciation que l'ANSSI aura du caractère significatif de l'incident ou de la vulnérabilité pouvant entrer dans le périmètre de l'article 34. Il prévoit ainsi que cette appréciation dépend des pratiques et standards communément admis en matière de sécurité des systèmes d'information, en particulier le recours au système d'évaluation CVSS. Ces éléments seront ainsi précisés dans le décret d'application de l'article.
Le débat en séance (compte rendu)
Cet amendement n'apparaît pas nommément dans les comptes rendus de commission importés (non soutenu, retiré avant discussion, traité en groupe — ou réunion pas encore importée via app:import:comptes-rendus-commissions).