Amendement n° 1613
LOI n° 2023-703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense (1)
Dispositif
Compléter l’alinéa 6 par la phrase suivante :
« L’Autorité nationale de sécurité des systèmes d’information ne peut cependant procéder à cette publication tant que l’éditeur de logiciel n’a pas remédié à la vulnérabilité ou à l’incident. »
Ce que ça change · analyse IA
Précise que la publication de vulnérabilités ne doit pas aggraver le risque pour l'éditeur, entre transparence et sécurité.
Intention : Protéger les éditeurs de logiciels contre un effet de bord où la divulgation d'une faille créerait une vulnérabilité supplémentaire ou un préjudice commercial, en privilégiant la sécurité de l'entreprise sur la transparence de l'écosystème.
L'amendement tente d'introduire une clause de sauvegarde pour les éditeurs de logiciels, craignant que l'obligation de transparence (même incitative) ne devienne une arme de plus pour les cyberattaquants. En proposant de limiter la publication si elle présente un risque pour l'éditeur, l'auteur cherche à créer un droit de rétention ou de modulation de l'information. Son rejet confirme la volonté du législateur de privilégier la transparence et la remontée d'information vers l'ANSSI comme rempart collectif, plutôt que de protéger la responsabilité ou la réputation individuelle des acteurs privés.
Exposé sommaire
Cet amendement vise à faire en sorte que la mesure de publication de la vulnérabilité significative ou de l'incident ne présente pas un risque pour l'éditeur de logiciel. La publication éventuelle de failles significatives ne doit pas être l'occasion d'aggraver la situation de risque cyber dans laquelle la société se trouve du fait de la présence même de la vulnérabilité dans son logiciel. Même si la mesure est incitative et demeure un outil à la disposition de l'ANSSI et non une obligation, de telles précisions sont nécessaires afin de limiter tout risque d'exploitation de la vulnérabilité, d'autant plus si elle est significative et peut toucher des administrations publiques ou des opérateurs d'importance vitale.
Le débat en séance (compte rendu)
Cet amendement est rattaché à une séance mais n'apparaît pas dans le compte rendu (amendement non soutenu, retiré avant discussion ou discuté en groupe sans mention individuelle).