Amendement n° 1612
LOI n° 2023-703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense (1)
Dispositif
Dans un délai d’un an à compter de la publication de la présente loi, le Gouvernement remet un rapport au Parlement évaluant l’application de l’article 34 de la présente loi, examinant notamment la mise en place de sanctions applicables aux éditeurs de logiciels qui ne déclarent et ne remédient pas aux incidents et vulnérabilités significatives.
Ce que ça change · analyse IA
Propose de repenser les modalités d'information des utilisateurs pour éviter d'exposer les éditeurs à des cyberattaques.
Intention : L'auteur cherche à protéger les éditeurs de logiciels contre les risques de cyberattaques et de préjudice commercial induits par une publication publique de leurs failles, en privilégiant une méthode d'information plus discrète et moins risquée.
L'amendement soulève une tension entre l'impératif de transparence (protéger les utilisateurs) et la sécurité de l'éditeur (ne pas fournir une feuille de route aux attaquants). En rejetant cet amendement, le législateur confirme que la priorité est donnée à l'alerte des utilisateurs, quitte à accepter le risque de publication de vulnérabilités, plutôt qu'à la protection de la réputation ou de la sécurité immédiate de l'entreprise. Le rejet indique que l'efficacité de la sanction (la publication forcée) prime sur la prudence opérationnelle demandée par l'auteur.
Exposé sommaire
L'article 34 met en place un dispositif qui a pour but d'inciter les éditeurs de logiciel à être transparents sur les vulnérabilités significatives et les incidents sur leurs systèmes d'information, à travers deux obligations : d'une part de le notifier à l'ANSSI, et de l'autre d'informer les utilisateurs. En cas de manquement, il prévoit plusieurs mesures : une injonction de l'ANSSI d'informer les utilisateurs, et à défaut, une information des utilisateurs par l'ANSSI, voire une publication. Si l'information des utilisateurs est indispensable, cet article pose plusieurs problèmes et questions pratiques sur le rôle de l'ANSSI dans le processus. Des précisions devraient être apportées sur les moyens d'information des utilisateurs puisque l'ANSSI ne dispose pas de la liste des utilisateurs d'un logiciel. En outre, la publication de vulnérabilités significatives est utilisée comme moyen d'obliger les entreprises à déclarer ; on peut s'interroger sur l'efficacité de cette mesure, sachant que la publication de vulnérabilités d'un éditeur de logiciel peut l'exposer à de graves menaces. Il convient donc de réfléchir à un système applicable en pratique qui permettrait en bout de chaine d'atteindre l'objectif de régler la vulnérabilité significative sans pour autant exposer l'entreprise à des risques supplémentaires de cyberattaque. Tel est le sens de cette amendement.
Le débat en séance (compte rendu)
Cet amendement est rattaché à une séance mais n'apparaît pas dans le compte rendu (amendement non soutenu, retiré avant discussion ou discuté en groupe sans mention individuelle).