Amendement n° 30 rect. Sénat

I. – Après l’alinéa 15

Insérer quatre alinéas ainsi rédigés :

…° La section 1 est complétée par un article L. 1332-6-1 AB ainsi rédigé :

« Art. L. 1332-6-1 AB. – Afin de garantir la continuité et la sécurité des activités au titre desquelles les opérateurs d’importance vitale ont été désignés en application de l’article L. 1332-1, tout système de commande, de contrôle ou de guidage électronique, informatique ou numérique indispensable à l’exercice d’une activité d’importance vitale ne peut comporter de fonction permettant sa prise de contrôle, sa désactivation, son altération ou son détournement à distance par son concepteur, son fabricant, son fournisseur ou par un tiers, lorsque ceux-ci relèvent d’un État étranger ou sont susceptibles d’être placés sous l’influence d’un État étranger.

L’autorité administrative peut imposer à l’opérateur concerné, par arrêté pris sur proposition du ministre chargé du secteur d’activité et après consultation de l’opérateur, les mesures techniques et organisationnelles nécessaires au respect du premier alinéa, notamment la certification de sécurité des équipements concernés, la maîtrise nationale ou européenne de leurs fonctions critiques et la suppression de toute capacité d’administration ou de mise à jour à distance non maîtrisée par l’opérateur ou par l’État. Cet arrêté est réexaminé une fois par an.

Un décret en Conseil d’État précise les modalités d’application du présent article, notamment les catégories de systèmes concernés et les conditions de leur contrôle. »

II. – Alinéa 17

Remplacer les mots :

à l’article L. 1332-6-1 AA

par les mots :

aux articles L. 1332-6-1 AA et L. 1332-6-1 AB

La parole est à M. Olivier Cadic.

Cet amendement vise à étendre le régime de résilience des opérateurs d’importance vitale à un risque insuffisamment couvert : la présence, dans les systèmes électroniques de commande, de contrôle ou de guidage qu’ils exploitent, de fonctions permettant une prise de contrôle à distance par un fournisseur ou un équipementier sous influence étrangère.

Il s’inscrit dans la logique du titre III du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit Résilience, et prolonge directement l’article 6, qui crée à la même section du code de la défense de nouvelles obligations de continuité d’activité pour les OIV. La mécanique retenue – arrêté de l’autorité administrative, proposition du ministre sectoriel, consultation de l’opérateur, réexamen annuel, sanction – est calquée sur celle des articles L. 1332-6-1 AA et L. 1332-7, par cohérence rédactionnelle.

Le périmètre est volontairement circonscrit aux seuls systèmes indispensables à une activité d’importance vitale – réseaux d’énergie, transports, télécommunications, eau, santé, etc. –, ce qui garantit la proportionnalité de la mesure et son lien avec le texte, sans empiéter sur la réglementation générale des véhicules ou des équipements grand public.

Quel est l’avis de la commission ?

rapporteur. Je suis plutôt convaincu par le dispositif proposé. Pour autant, il est difficile d’en mesurer les conséquences concrètes pour les opérateurs concernés : devront-ils remplacer l’intégralité du matériel concerné ? Dans cette hypothèse, une application différée pourrait-elle être nécessaire ?

La commission ne disposant pas des éléments suffisants pour répondre et donner un avis circonstancié, je sollicite, là encore, l’avis du Gouvernement.

Quel est donc l’avis du Gouvernement ?

ministre. Monsieur le sénateur, nous comprenons parfaitement l’intention qui sous-tend votre amendement, qui vise à répondre au risque posé par la prise de contrôle à distance, par des puissances étrangères, de systèmes nécessaires à l’activité d’OIV. Incontestablement, nous partageons ce constat, ce risque ne doit pas être minimisé.

Je serai néanmoins conduite à vous demander de retirer votre amendement, et ce pour plusieurs raisons.

Premièrement, la politique publique de sécurité des activités d’importance vitale prend déjà en compte le risque posé par les dépendances de certains opérateurs envers d’autres opérateurs économiques situés dans d’autres États. En effet, les directives nationales de sécurité permettent de traiter cette problématique ; ce sera d’autant plus le cas une fois que le projet de loi Résilience sera adopté, puisqu’il prévoit que les OIV sont tenus de réaliser « une analyse de leurs dépendances à l’égard de tiers, y compris ceux situés en dehors du territoire national […] ».

Deuxièmement, la logique imposée par la directive sur la résilience des entités critiques, dite REC, est davantage celle d’une gestion des risques visant à l’adoption de mesures proportionnées aux risques constatés par l’opérateur et l’État que celle d’une interdiction pure et simple, laquelle peut s’avérer excessive dans ses effets et problématique pour les acteurs concernés.

Troisièmement, votre amendement pourrait poser des difficultés au regard du droit européen – voire sur le plan constitutionnel – en instaurant une restriction à la libre circulation des biens fondée sur des critères relativement flous : qu’est-ce qu’un tiers « susceptible d’être placé sous l’influence d’un État étranger » ? Quelle forme la certification prévue prendrait-elle ?

La conventionnalité de ce dispositif paraît donc incertaine, de même que sa conformité aux principes de clarté et d’intelligibilité de la norme.

Enfin, le Gouvernement a décidé de s’attaquer à la difficulté que vous évoquez en prévoyant, dans le projet de loi Résilience, une disposition spécifique en matière de commande publique. Celle-ci permettra aux OIV soumis à ce droit, pour les biens nécessaires à la protection de leurs infrastructures critiques, de mieux garantir leur accès à des solutions exemptes de toute ingérence.

Voilà pourquoi je demande le retrait de cet amendement.

Oui, et je vais présenter les deux raisons pour lesquelles je ne tiens surtout pas à le retirer.

La première a trait au fait que nous disposons aujourd’hui, sur notre territoire, d’équipements que des puissances étrangères sont en mesure de stopper dans le cas où nous entrerions en conflit avec elles. Par exemple, certains d’entre eux pourraient voir leur alimentation en énergie coupée du jour au lendemain.

Je vous laisse libre de vos propos, madame la ministre, mais si nous devons faire face à un conflit à l’avenir et que nos systèmes énergétiques sont arrêtés à distance par un acteur qui en aurait la capacité – ce qui est le cas –, nous vous renverrons alors à votre réponse.

Ces raisons liées à la sécurité expliquent pourquoi je ne retirerai pas l’amendement : chacun est libre de ses déclarations, mais si de tels événements venaient à se produire, nous nous les rappellerons.

La deuxième raison a trait au projet de loi Résilience et à la directive REC que vous avez évoquée : parlons-en ! La Commission européenne vient justement d’attaquer la France pour ne pas l’avoir transposée. Cela fait maintenant plus d’un an que ce texte a été voté au Sénat, et nous attendons toujours qu’il soit mis à l’ordre du jour de l’Assemblée nationale : je trouve donc assez cocasse que vous veniez nous expliquer que tout figure dans la directive REC, alors que le Gouvernement empêche que l’on vote le projet de loi Résilience à l’Assemblée nationale et, par conséquent, que ses dispositions entrent en vigueur.

Voilà les deux raisons pour lesquelles je ne peux pas accepter de retirer cet amendement. J’aimerais que le Gouvernement nous indique en quelle année il prévoit de transposer la directive REC dans notre droit, car les sénateurs l’attendent depuis plus d’un an.

La parole est à M. le rapporteur.

rapporteur. Je comprends parfaitement la problématique que soulève Olivier Cadic, car nous l’abordons dans différentes structures, notamment au sein de la délégation parlementaire au renseignement (DPR).

Si nous devons effectivement nous pencher sur cette question, il faudrait peut-être le faire autrement que par un amendement : nous pourrions par exemple envisager de lancer une étude plus approfondie afin de la traiter sans précipitation, car les conséquences potentielles pour les entreprises qui fabriquent ce type de matériels sont considérables.

Je crois donc qu’une réflexion s’impose avant d’agir hâtivement – si je puis me permettre – et de créer d’éventuelles difficultés. Je ne dispose pas d’une solution clés en main, mais une étude d’impact semblerait être appropriée afin d’évaluer les conséquences d’un tel dispositif. Cependant, nous ne réalisons pas d’étude d’impact pour un seul amendement et il faudra donc procéder autrement.

En tout état de cause, j’émets en définitive un avis défavorable.

La parole est à Mme la ministre.

ministre. J’entends votre préoccupation relative à l’inscription du projet de loi Résilience à l’ordre du jour, ce dernier devant permettre de transposer la directive. Cela fait partie des discussions qui sont menées aujourd’hui entre le Gouvernement et les assemblées, et vous connaissez les enjeux liés au calendrier parlementaire, monsieur le sénateur.

J’entends donc votre préoccupation et ne manquerai pas de solliciter de nouveau mon collègue chargé des relations avec le Parlement quant à cette nécessité de procéder à cette transposition au travers de l’inscription de ce texte à l’ordre du jour.