Amendement n° CL1
LOI n° 2023-703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense (1)
Dispositif
À la première phrase de l’alinéa 6, substituer aux mots :
« meilleurs délais »
les mots :
« soixante-douze heures à compter de la constatation de la vulnérabilité ou de l’incident ».
Ce que ça change · analyse IA
Impose un délai de 72h pour signaler toute vulnérabilité majeure, opposant l'exigence de transparence à la gestion technique des incidents.
Intention : L'auteur cherche à transférer le pouvoir de décision du calendrier de divulgation de l'éditeur vers l'utilisateur, en verrouillant une obligation de rapidité pour limiter l'asymétrie d'information.
L'amendement tente d'introduire une contrainte temporelle stricte (72 heures) dans l'obligation d'information des éditeurs de logiciels. En rejetant cette proposition, le législateur refuse de figer un délai universel et court, privilégiant probablement une approche plus flexible ou une gestion coordonnée par les autorités de cybersécurité plutôt qu'une obligation de résultat immédiate pour les acteurs privés. Le rejet confirme que l'intention de la loi n'est pas de créer une obligation de transparence automatique et instantanée envers l'utilisateur final, mais de maintenir une maîtrise du calendrier de divulgation.
Exposé sommaire
Cet amendement vise à clarifier le délai auquel sont soumis les éditeurs de logiciel pour informer les utilisateurs d'une vulnérabilité significative ou d’un incident informatique compromettant la sécurité de leurs systèmes d’information susceptible d’affecter un de leurs produits. Si une telle vulnérabilité ou un tel incident est détecté par l’éditeur de logiciel, celui-ci doit impérativement en informer ses utilisateurs par un souci de transparence afin de leur permettre de prendre les dispositions qui s'imposent. Au regard des enjeux de cyber sécurité en cause, il importe de prévoir que cette information doit se faire dans un délai maximum de soixante-douze heures à compter de la découverte de la vulnérabilité ou de l'incident.
Le débat en séance (compte rendu)
Cet amendement n'apparaît pas nommément dans les comptes rendus de commission importés (non soutenu, retiré avant discussion, traité en groupe — ou réunion pas encore importée via app:import:comptes-rendus-commissions).