Amendement n° 996
LOI n° 2023-703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense (1)
Dispositif
I. – À la deuxième phrase de l’alinéa 6, substituer aux mots :
« peut enjoindre »
le mot :
« enjoint ».
II. – En conséquence, à la dernière phrase du même alinéa, substituer au mot :
« peut »
le mot :
« doit ».
Ce que ça change · analyse IA
Oblige l'ANSSI à imposer l'information des utilisateurs et à rendre public le défaut d'information des éditeurs.
Intention : Renforcer la transparence et la responsabilité des éditeurs de logiciels en supprimant le pouvoir discrétionnaire de l'ANSSI au profit de sanctions automatiques.
L'amendement vise à transformer le pouvoir de l'ANSSI, passant d'une capacité d'action discrétionnaire à une obligation de sanction. En cherchant à automatiser l'injonction et la publicité des failles non signalées, l'auteur veut supprimer la marge de manœuvre de l'autorité de régulation pour éviter toute complaisance ou gestion politique des risques cyber. Le rejet de cet amendement indique que le législateur souhaite conserver une flexibilité décisionnelle pour l'ANSSI, privilégiant une approche de régulation par l'appréciation des risques plutôt qu'une application mécanique et automatique de sanctions publiques.
Exposé sommaire
Par cet amendement, le groupe parlementaire de la France insoumise - NUPES souhaite rendre obligatoire le fait pour l’ANSSI d’enjoindre aux éditeurs de logiciel d’informer leurs utilisateurs en cas de vulnérabilité ou d’incident compromettant la sécurité de leurs systèmes d’information.
En effet, si les éditeurs de logiciel ont failli à leur obligation d’informer les utilisateurs recourant à leur produit d’une vulnérabilité avérée, ou d’un incident informatique compromettant la sécurité de leurs systèmes d’information, l’ANSSI doit impérativement les obliger à le faire.
Par ailleurs, le groupe parlementaire de la France insoumise-NUPES souhaite rendre obligatoire le fait pour l’ANSSI de rendre publics la vulnérabilité ou l’incident affectant la sécurité d’un produit lorsque l’éditeur de logiciel responsable du produit n’en a pas informé ses utilisateurs.
En effet, si les éditeurs de logiciel ont failli à leur obligation d’informer les utilisateurs recourant à leur produit d’une vulnérabilité avérée ou d’incident informatique compromettant la sécurité de leurs systèmes d’information, y compris après avoir reçu une injonction à le faire par l’ANSSI, alors l’ANSSI doit obligatoirement rendre publics la vulnérabilité ou l’incident ainsi que l’injonction qui n’a pas été mise en œuvre. Ces possibilités ne doivent pas rester à l’appréciation de l’ANSSI mais au contraire devenir des sanctions obligatoirement imposées à l’éditeur de logiciel responsable.
Le débat en séance (compte rendu)
Cet amendement est rattaché à une séance mais n'apparaît pas dans le compte rendu (amendement non soutenu, retiré avant discussion ou discuté en groupe sans mention individuelle).