Amendement n° CL68
LOI n° 2023-703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense (1)
Dispositif
Compléter l’alinéa 6 par la phrase suivante :
« L’Autorité nationale de sécurité des systèmes d’information ne peut cependant procéder à cette publication tant que l’éditeur de logiciel n’a pas remédié à la vulnérabilité ou à l’incident. »
Ce que ça change · analyse IA
Précise que la publication de failles ne doit pas nuire à l'éditeur, opposant sécurité publique et protection des entreprises.
Intention : L'auteur cherche à créer un bouclier juridique pour les éditeurs afin de limiter leur responsabilité et leur exposition face à la divulgation de vulnérabilités, tandis que le rejet confirme une volonté de placer la transparence cyber au-dessus des intérêts privés des acteurs du marché.
L'amendement tentait d'introduire une clause de sauvegarde pour les éditeurs de logiciels, afin que l'obligation de transparence (même incitative) ne devienne pas une source de risque supplémentaire pour l'entreprise elle-même. Son rejet indique que le législateur privilégie la transparence de l'information sur la sécurité économique ou la protection de la réputation des éditeurs, considérant que le risque de non-divulgation est supérieur au risque de préjudice pour l'entreprise.
Exposé sommaire
Cet amendement vise à faire en sorte que la mesure de publication de la vulnérabilité significative ou de l'incident ne présente pas un risque pour l'éditeur de logiciel. La publication éventuelle de failles significatives ne doit pas être l'occasion d'aggraver la situation de risque cyber dans laquelle la société se trouve du fait de la présence même de la vulnérabilité dans son logiciel. Même si la mesure est incitative et demeure un outil à la disposition de l'ANSSI et non une obligation, de telles précisions sont nécessaires afin de limiter tout risque d'exploitation de la vulnérabilité, d'autant plus si elle est significative et peut toucher des administrations publiques ou des opérateurs d'importance vitale.
Le débat en séance (compte rendu)
Cet amendement n'apparaît pas nommément dans les comptes rendus de commission importés (non soutenu, retiré avant discussion, traité en groupe — ou réunion pas encore importée via app:import:comptes-rendus-commissions).