Amendement n° CL25
LOI n° 2023-703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense (1)
Dispositif
I. – À la deuxième phrase de l’alinéa 6, substituer aux mots :
« peut enjoindre »
le mot :
« enjoint ».
II. – En conséquence, à la dernière phrase du même alinéa, substituer au mot :
« peut »
le mot :
« doit ».
Ce que ça change · analyse IA
Oblige l'ANSSI à imposer l'information des utilisateurs et à rendre public le défaut de l'éditeur, face au risque de rétention d'information.
Intention : Renforcer la responsabilité des éditeurs de logiciels en supprimant la liberté d'action de l'ANSSI au profit d'un mécanisme de coercition automatique et de 'name and shame'.
L'amendement vise à transformer le pouvoir de l'ANSSI, actuellement discrétionnaire, en une obligation de sanction et de transparence. En proposant de rendre systématique l'injonction d'information et la publication publique des failles en cas de silence de l'éditeur, l'auteur cherche à briser l'asymétrie d'information entre les géants du logiciel et les utilisateurs. Le rejet de cet amendement indique que le législateur souhaite préserver une marge de manœuvre (un pouvoir d'appréciation) pour l'autorité de régulation, refusant de l'enfermer dans un mécanisme automatique de sanction et de publicité qui pourrait, selon les opposants, aggraver l'insécurité ou nuire aux entreprises.
Exposé sommaire
Par cet amendement, le groupe parlementaire de la France insoumise - NUPES souhaite rendre obligatoire le fait pour l’ANSSI d’enjoindre aux éditeurs de logiciel d’informer leurs utilisateurs en cas de vulnérabilité ou d’incident compromettant la sécurité de leurs systèmes d’information.
En effet, si les éditeurs de logiciel ont failli à leur obligation d’informer les utilisateurs recourant à leur produit d’une vulnérabilité avérée, ou d’un incident informatique compromettant la sécurité de leurs systèmes d’information, l’ANSSI doit impérativement les obliger à le faire.
Par ailleurs, le groupe parlementaire de la France insoumise-NUPES souhaite rendre obligatoire le fait pour l’ANSSI de rendre publics la vulnérabilité ou l’incident affectant la sécurité d’un produit lorsque l’éditeur de logiciel responsable du produit n’en a pas informé ses utilisateurs.
En effet, si les éditeurs de logiciel ont failli à leur obligation d’informer les utilisateurs recourant à leur produit d’une vulnérabilité avérée ou d’incident informatique compromettant la sécurité de leurs systèmes d’information, y compris après avoir reçu une injonction à le faire par l’ANSSI, alors l’ANSSI doit obligatoirement rendre publics la vulnérabilité ou l’incident ainsi que l’injonction qui n’a pas été mise en œuvre. Ces possibilités ne doivent pas rester à l’appréciation de l’ANSSI mais au contraire devenir des sanctions obligatoirement imposées à l’éditeur de logiciel responsable.
Le débat en séance (compte rendu)
Cet amendement n'apparaît pas nommément dans les comptes rendus de commission importés (non soutenu, retiré avant discussion, traité en groupe — ou réunion pas encore importée via app:import:comptes-rendus-commissions).