Amendement n° CL26
LOI n° 2023-703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense (1)
Dispositif
Après la première phrase de l’alinéa 2, insérer la phrase suivante :
« À défaut, les éditeurs de logiciels sont passibles d’une amende administrative pouvant aller jusqu’à 4 % de son chiffre d’affaires. »
Ce que ça change · analyse IA
Introduit des sanctions financières massives pour les éditeurs de logiciels cachant sciemment des vulnérabilités, opposant sécurité nationale et liberté économique.
Intention : Sanctionner lourdement la rétention d'information des acteurs privés pour les contraindre à une transparence totale sur les failles de sécurité, au risque de transformer la cybersécurité en une responsabilité de type conformité de données.
L'amendement visait à transformer la responsabilité des éditeurs de logiciels en une obligation de transparence assortie d'un risque financier majeur. En proposant de calquer le régime de sanction sur celui du RGPD (jusqu'à 4 % du chiffre d'affaires mondial), l'auteur cherchait à passer d'une logique de simple coopération à une logique de coercition stricte. Le rejet de cet amendement indique que le législateur a choisi de ne pas faire des éditeurs de logiciels des acteurs de la sécurité nationale soumis à un régime de sanctions punitives disproportionnées, préférant maintenir un cadre de régulation moins contraignant financièrement pour le secteur privé.
Exposé sommaire
Par cet amendement, le groupe parlementaire de la France insoumise-NUPES souhaite renforcer le pouvoir de l’ANSSI en matière de sanctions dans le cas où un éditeur de logiciel manquerait sciemment à son obligation d’information de ses utilisateurs en cas de vulnérabilité ou incident affectant ses produits.
En effet, l’article 34 ne prévoit pas de sanctions financières à l’encontre de l’éditeur de logiciels. Pourtant, le fait de sciemment cacher à l’ANSSI l’existence d’une vulnérabilité ou d’un incident dont les conséquences en matière de défense et de sécurité nationale pourraient s’avérer critiques, doit relever selon nous d’une sanction comparable à celle prévue par le RGPD (règlement général sur la protection des données) en matière de protection des données personnelles. Avec le RGPD, le montant des sanctions pécuniaires peut s’élever jusqu’à 20 millions d’euros ou dans le cas d’une entreprise jusqu’à 4 % du chiffre d’affaires annuel mondial. De telles sanctions doivent pouvoir être imposées dans le cas prévu par l’article 34.
Le débat en séance (compte rendu)
Cet amendement n'apparaît pas nommément dans les comptes rendus de commission importés (non soutenu, retiré avant discussion, traité en groupe — ou réunion pas encore importée via app:import:comptes-rendus-commissions).