Amendement n° CL98
LOI n° 2023-703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense (1)
Dispositif
Compléter l’alinéa 7 par la phrase suivante :
« Il précise notamment les critères d’appréciation du caractère significatif de la vulnérabilité ou de l’incident visés à l’alinéa 2 du présent article en fonction des pratiques et standards internationaux communément admis. »
Ce que ça change · analyse IA
L'ANSSI doit désormais évaluer la gravité des incidents selon des standards reconnus (comme le CVSS) plutôt que de façon discrétionnaire.
Intention : L'auteur cherche à protéger les acteurs de la cybersécurité contre l'imprévisibilité de l'action de l'État en verrouillant les critères de déclenchement des obligations légales sur des métriques techniques universelles.
L'amendement vise à encadrer le pouvoir d'appréciation de l'ANSSI concernant le seuil de 'caractère significatif' des incidents. En imposant le recours à des standards techniques éprouvés (système CVSS), le législateur cherche à limiter l'arbitraire administratif et à garantir une prévisibilité juridique pour les entités concernées. L'adoption de cet amendement montre que le législateur ne souhaite pas une loi fondée sur une évaluation purement subjective de l'autorité de sécurité, mais sur une base technique objective et internationale, transformant une compétence discrétionnaire en une compétence liée à des standards de fait.
Exposé sommaire
Le présent amendement apporte une précision quant à l'appréciation que l'ANSSI aura du caractère significatif de l'incident ou de la vulnérabilité pouvant entrer dans le périmètre de l'article 34. Il prévoit ainsi que cette appréciation dépend des pratiques et standards communément admis en matière de sécurité des systèmes d'information, en particulier le recours au système d'évaluation CVSS. Ces éléments seront ainsi précisés dans le décret d'application de l'article.
Le débat en séance (compte rendu)
Cet amendement n'apparaît pas nommément dans les comptes rendus de commission importés (non soutenu, retiré avant discussion, traité en groupe — ou réunion pas encore importée via app:import:comptes-rendus-commissions).