Amendement n° 1138
LOI n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique (1)
Dispositif
Rétablir cet article dans la rédaction suivante :
« I. – Lorsque les administrations de l’État ou ses opérateurs, dont la liste est annexée au projet de loi de finances, ont recours à un service d’informatique en nuage fourni par un prestataire privé pour la mise en œuvre de systèmes ou applications informatiques, elles veillent au respect des dispositions du présent article.
« Si le système ou l’application informatique concerné traite de données d’une sensibilité particulière, telles que définies au II du présent article, qu’elles soient à caractère personnel ou non, et que leur violation est susceptible d’engendrer une atteinte à l’ordre public, à la sécurité publique, à la santé ou la vie des personnes ou à la protection de la propriété intellectuelle, l’administration veille à ce que le service d’informatique en nuage fourni par le prestataire privé mette en œuvre des critères de sécurité et de protection des données, garantissant notamment la protection des données traitées ou stockées contre tout accès non autorisé par des autorités publiques d’États en dehors de l’Union européenne.
« II. – Sont qualifiées de données d’une sensibilité particulière au sens du I :
« 1° les données qui relèvent de secrets protégés par la loi, notamment au titre des articles L. 311‑5 et L. 311‑6 du code des relations entre le public et l’administration ;
« 2° les données nécessaires à l’accomplissement des missions essentielles de l’État, notamment la sauvegarde de la sécurité nationale, le maintien de l’ordre public et la protection de la santé et de la vie des personnes.
« III. – Lorsque, lors de l’entrée en vigueur du présent article, l’administration de l’État ou son opérateur mentionné au I, a déjà engagé un projet nécessitant le recours à un service d’informatique en nuage, cette administration ou cet opérateur peut solliciter une dérogation au présent article.
« IV. – Un décret en Conseil d’État précise les modalités d’application du présent article, et notamment les critères de sécurité et de protection des données visés au I, les conditions dans lesquelles une dérogation peut être accordée par le Premier ministre pour des projets déjà engagés et la durée de cette dérogation, ainsi que les conditions dans lesquelles les administrations de l’État ou les opérateurs concernés doivent solliciter l’avis du directeur interministériel du numérique. »
Ce que ça change · analyse IA
Intègre les critères techniques et opérationnels de la certification SecNumCloud au-delà des seuls critères juridiques.
Intention : Verrouiller la souveraineté numérique de l'État en imposant un standard de sécurité technique et opérationnel strict (SecNumCloud) pour empêcher que la protection juridique ne soit rendue caduque par des failles de sécurité ou des pratiques de gestion de données non maîtrisées.
L'amendement corrige une lacune du texte issu du Sénat qui se limitait à une approche purement juridique de la protection des données. En renvoyant explicitement à l'intégralité des exigences de la qualification SecNumCloud (techniques, opérationnelles et juridiques), il transforme une obligation de conformité légale en une obligation de sécurité systémique. Le débat sous-jacent oppose une vision de la souveraineté par le droit (protection contre les lois extraterritoriales) à une vision par la technique (protection contre les failles et l'ingérence), l'amendement choisissant de verrouiller la seconde pour garantir l'efficacité de la première.
Exposé sommaire
La protection de nos données stratégiques et sensibles, notamment vis-à-vis des États tiers, doit être une priorité. Par ailleurs, le levier de la commande publique est indispensable pour permettre à une véritable industrie numérique européenne de se développer.
Toutefois, le rétablissement en l’état de l’article 10bisA tel que voté au Sénat ne reprend qu’une partie des exigences imposées par la qualification SecNumCloud de l’Agence Nationale de la sécurité des systèmes d’informations (ANSSI). En effet, la qualification SecNumCloud impose des exigences assurant la protection des données par le respect de mesures techniques, opérationnelles et juridiques. Cependant, l’écriture de l’article 10bisA voté au Sénat n’intègre pas l’intégralité des exigences SecNumCloud et ne mentionne que les critères juridiques. En l’espèce, l’écriture proposée renvoie vers un décret permettant de préciser le respect de l’ensemble des exigences SecNumCloud.
Le présent amendement vise ainsi à assurer la protection des données sensibles traitées par les administrations publiques en s’assurant que celles-ci, lorsqu’elles doivent avoir recours à des services d’informatique en nuage privés, s’assurent de ce que ces services soient suffisamment fiables et protecteurs des données de nos concitoyens et respectent les critères fixés par décret.
Afin d’assurer la cohérence d’ensemble des cadres normatifs, le présent amendement propose d’adapter au niveau législatif la doctrine Cloud au centre, qui repose elle-même sur la qualification SecNumCloud déployée par l’ANSSI.
Un décret en Conseil d’État précisera également les détails de l’application du présent article, et notamment les conditions dans lesquelles l’avis du directeur interministériel du numérique devra être consulté, ainsi que les conditions dans lesquelles une dérogation au présent article peut être accordée aux administrations de l’État ou leurs opérateurs pour les projets déjà engagés lors de l’entrée en vigueur de cette obligation.
Le débat en séance (compte rendu)
Cet amendement est rattaché à une séance mais n'apparaît pas dans le compte rendu (amendement non soutenu, retiré avant discussion ou discuté en groupe sans mention individuelle).