Amendement n° 1673
LOI n° 2023-703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense (1)
Dispositif
Après la première phrase de l’alinéa 6, insérer la phrase suivante :
« Ce délai est déterminé en fonction de l’urgence, des risques pour la sécurité nationale et du temps nécessaire aux éditeurs pour prendre les mesures correctives. »
Ce que ça change · analyse IA
Supprime l'imposition d'un délai fixe pour informer les utilisateurs, privilégiant la qualité du correctif au risque de précipitation.
Intention : L'auteur cherche à protéger l'efficacité de la réponse technique en empêchant une obligation de résultat temporelle qui forcerait la diffusion d'alertes incomplètes ou dangereuses.
L'amendement transforme une obligation de rapidité (délai maximum) en une obligation de pertinence (qualité de l'information). En rejetant l'idée d'un calendrier rigide, le législateur reconnaît que la sécurité ne réside pas dans la vitesse de l'alerte, mais dans l'efficacité de la réponse (correctif ou contournement). Le débat souligne une tension entre le droit à l'information immédiate de l'utilisateur et le risque de diffuser une alerte sans solution concrète, ce qui pourrait aggraver la vulnérabilité des systèmes. L'adoption de cet amendement montre que l'intention de la loi n'est pas la simple transparence, mais la résilience opérationnelle.
Exposé sommaire
En application des standards internationaux sur la divulgation coordonnée de vulnérabilités, l’Information des utilisateurs doit s’accompagner de mesures de contournement, ou idéalement de correctifs. De manière générale, les doctrines internationales visant à fixer des recommandations en matière de procédures de gestion des vulnérabilités n’imposent pas de délai fixe pour cette raison. En effet, la production de correctifs de sécurité ou l'élaboration de mesures de contournement efficaces sont complexes et peuvent nécessiter du temps. Certaines vulnérabilités peuvent aussi nécessiter une coordination importante (si le produit est intégré dans d’autres produits, etc.). De ce fait, imposer un délai maximum pour prévenir les utilisateurs peut être contre-productif et aboutir à un effet inverse en termes de sécurité des systèmes d’information.
Nous proposons cependant d’indiquer les critères que l’ANSSI prendra en compte pour la détermination du délai.
Le débat en séance (compte rendu)
Cet amendement est rattaché à une séance mais n'apparaît pas dans le compte rendu (amendement non soutenu, retiré avant discussion ou discuté en groupe sans mention individuelle).