Amendement n° 1037
LOI n° 2023-703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense (1)
Dispositif
À la fin de l’alinéa 8, substituer aux mots :
« les critères d’appréciation du caractère significatif de la vulnérabilité ou de l’incident mentionnés au premier alinéa en fonction des pratiques et des standards internationaux communément admis »,
les mots :
« le référentiel permettant l’évaluation objective du caractère significatif de la vulnérabilité ou de l’incident mentionnés au premier alinéa ».
Ce que ça change · analyse IA
Précise les critères de notification des vulnérabilités aux éditeurs pour éviter les divulgations prématurées.
Intention : L'auteur cherche à protéger les éditeurs de logiciels contre une charge administrative imprévisible et un risque de sécurité accru en verrouillant les critères de notification à des standards techniques plutôt qu'à une interprétation souveraine de l'ANSSI.
L'amendement visait à encadrer l'obligation de signalement des incidents et vulnérabilités aux éditeurs de logiciels. En proposant l'usage de référentiels techniques standardisés (comme le CVSS) pour définir la criticité, l'auteur cherchait à limiter l'arbitraire de l'ANSSI et à protéger les éditeurs contre une obligation de divulgation qui pourrait exposer leurs clients avant qu'un correctif ne soit disponible. Son rejet confirme la volonté du législateur de maintenir une obligation de signalement dont les modalités de déclenchement restent largement à la discrétion de l'autorité de cybersécurité, privilégiant la réactivité de l'État sur la protection de la propriété intellectuelle ou la gestion du risque commercial des éditeurs.
Exposé sommaire
La présente disposition impose aux éditeurs de logiciels établis en France de notifier à l'ANSSI tout incident informatique ou vulnérabilité significative de leurs produits et d'informer leurs utilisateurs. La LPM crée ainsi une nouvelle restriction pour les éditeurs de logiciels, qui devront signaler les incidents et vulnérabilités à l'ANSSI et informer les utilisateurs concernés. Toutefois, cette disposition soulève plusieurs problèmes, notamment en ce qui concerne la clarté des conditions déclenchant cette obligation, l'absence d'un cadre juridique et administratif approprié pour encadrer l'obligation de notification à l'ANSSI, et le risque de divulguer publiquement des vulnérabilités non corrigées. Il est donc recommandé de s'appuyer sur des référentiels existants, tels que le CVSS, pour évaluer objectivement la criticité desdites vulnérabilités.
Le débat en séance (compte rendu)
Cet amendement est rattaché à une séance mais n'apparaît pas dans le compte rendu (amendement non soutenu, retiré avant discussion ou discuté en groupe sans mention individuelle).