Compte rendu intégral des prises de parole, sous la présidence de Présidence de Mme Yaël Braun-Pivet.
Tours 601 à 681 sur 681 — page 4 / 4.
En tout cas, on leur laisse un peu de temps – on peut discuter de la durée exacte. Car si une PME subit une cyberattaque, elle paiera peut-être, dans la précipitation : elle a peur, l’entreprise doit fonctionner, et elle a besoin de ses données. Parfois, ce sont des boulangeries qui ont deux salariés ! Ce n’est pas comme une grande entreprise du CAC40 qui a un directeur des services informatiques, qui fait appel à des sociétés de conseil, etc.On leur laisse donc un peu de temps pour déposer plainte, mais avoir déposé plainte est indispensable pour être remboursé par l’assurance – celle-ci n’est d’ailleurs pas une obligation, mais une simple possibilité. Je ne crois pas qu’il y ait, dans le droit des assurances, beaucoup de délits, notamment contre les biens – le vol de vos bijoux ou le saccage de votre voiture –, où l’assurance rembourse si l’on n’a pas déposé plainte !
Mais oui ! Bien sûr !
Tout à fait !
Les rançongiciels ne doivent pas devenir la face cachée d’une nouvelle délinquance : nous devons absolument savoir ce qui se passe. Les dépôts de plainte doivent donc devenir systématiques, ce qui permettra d’enrichir les bases de renseignement non seulement des policiers et des gendarmes mais aussi des magistrats, afin de mieux combattre ces cyberdélinquants.Cet article 4 dit le contraire de ce qu’on veut lui faire dire : il n’accorde pas un blanc-seing aux assurances – cela, c’est ce qui se passe aujourd’hui. En votant les amendements de suppression, vous voteriez pour voir cette délinquance financière prospérer ! La solution ne réside pas non plus dans le système étatisé que propose M. Bernalicis – j’aurais pu trouver un autre mot, mais j’ai voulu vous êtes agréable. (Sourires.)
Public, tout simplement !
Oui, public !
Je peux encore choisir mes mots, il n’y a pas de police des mots à l’Assemblée nationale, rassurez-moi ! (Applaudissements sur les bancs du groupe RE. – Exclamations sur les bancs du groupe LFI-NUPES.)
Ah si !
Je n’irais pas sur ce terrain…
Non, il y a une police des jupes, des vestes, etc.
M. Bernalicis, qui comprend finalement bien ce que veut faire le Gouvernement, propose donc une solution complexe et étatisée : il voudrait que le public, plutôt que le privé, garantisse le risque à 100 %.Cet article n’a rien d’idéologique, il n’est que pratique. Il permet de lutter contre cette criminalité nouvelle que nous connaissons à peine. Je vous encourage donc fortement à rejeter les amendements de suppression ; les adopter ne rendrait vraiment pas service aux entreprises, aux hôpitaux, aux PME et plus généralement à tous les particuliers. Je rappelle que plus de la moitié des escroqueries individuelles sont déjà des cyberattaques. (Applaudissements sur plusieurs bancs du groupe RE.)
La parole est à M. Erwan Balanant.
M. le ministre a brossé un bon tableau de la situation. Il y a un risque nouveau, mais qui ressemble à ce qui existe dans la vie réelle. Essayons d’adopter des solutions qui fonctionnent déjà.Cher Ugo Bernalicis, je crois que vous n’avez pas bien compris que le régime des assurances, c’est déjà une mutualisation du risque !
Mais c’est privé !
Celui qui présente de gros risques paiera une prime plus importante que celui qui présente des risques moindres.
Il a raison !
L’assurance vous remboursera suivant les primes que vous avez payées. Cela fonctionne très bien et ne coûte pas d’argent à l’État – celui-ci peut ainsi se consacrer à d’autres tâches, par exemple payer des policiers pour trouver les méchants qui demandent des rançons.Madame Belluco, vous demandez une loi relative au numérique. C’est un droit qui existe, qui est assez fort, issu d’ailleurs en partie de choix européens. Il faut bien sûr continuer à le renforcer, et justement nous posons ici une brique supplémentaire ; en votant votre amendement, nous irions dans le sens contraire.Le groupe Dem votera contre ces amendements de suppression.
La parole est à M. Ugo Bernalicis.
Ce qui est intéressant, avec l’idéologie dominante, c’est qu’elle n’a pas besoin de se justifier : elle est dominante par principe.
Nous sommes majoritaires, en effet !
« C’est le bon sens », « c’est comme ça que ça marche », « pourquoi faire simple quand on peut faire compliqué »…En vérité, il faut inverser la question : pourquoi faire privé alors que nous pourrions faire public, puisque nous partons de zéro et que nous avons tout à construire ?Vos autres arguments sont réversibles. Monsieur le ministre, vous dites que le système assurantiel existe déjà, qu’on ne le crée pas. Alors supprimer l’article ne changera rien, sur l’aspect assurantiel en tout cas ! Et les entreprises se protègent déjà ; elles sont déjà dans l’obligation de protéger leurs données. Le sujet n’est donc pas là.Pour ce qui est de la sphère publique, des hôpitaux en particulier, j’espère bien qu’ils déposent systématiquement plainte ! Il y a dans le code de procédure pénale un article 40, qui oblige tout dépositaire de l’autorité publique à faire connaître sans délai au procureur […]
Exactement.
Je préfère donc un système parapublic, en lien avec la police, la gendarmerie et le parquet, à des assurances privées qui gèrent ces affaires en b to b, d’entreprise à entreprise. Nous ne sommes pas d’accord parce que nous n’avons pas la même approche idéologique, ce qui n’est nullement un gros mot dans ma bouche.Si nous demandons la suppression de l’article, c’est parce que nous estimons qu’il y aurait matière à le retravailler. Vous ne parlez pas de prévention ! Votre argument est tautologique : c’est de la prévention, parce qu’en s’assurant ils feront de la prévention. (Applaudissements sur les bancs du groupe LFI-NUPES.)
Je mets aux voix les amendements identiques nos 517 et 626.
(Il est procédé au scrutin.)
Voici le résultat du scrutin : Nombre de votants 197 Nombre de suffrages exprimés 192 Majorité absolue 97 Pour l’adoption 76 Contre 116
(Les amendements identiques nos 517 et 626 ne sont pas adoptés.)
La parole est à Mme Élisa Martin, pour soutenir l’amendement no 777.
Il y a un point sur lequel nous sommes d’accord : l’enjeu, c’est le dépôt de plainte. Il faut augmenter le nombre de dépôts de plaintes afin de pouvoir ensuite agir comme il convient. De nombreuses entreprises sont victimes de ce type d’attaques, mais c’est aussi le cas des collectivités et d’autres types d’organismes. Certaines d’entre elles hésitent à porter plainte parce que cela peut entacher leur réputation, laisser penser qu’elles n’ont pas protégé leurs données comme elles auraient dû le faire, voire leur valoir un rappel à l’ordre de la part de la Cnil.Une fois cela posé, il reste à déterminer le chemin : quel chemin faut-il emprunter pour arriver à cet objectif que nous partageons, c’est-à-dire pour inciter fortement au dépôt de plainte ? Soyons sincères : lors de la table ronde, cette affaire de couverture assurantielle a été largement débattue ! Le directeur général de la […]
Quel est l’avis de la commission ?
Je répondrai très rapidement, parce que nous en avons déjà en grande partie débattu lors de l’examen des amendements de suppression. Le général Marc Boget, qui dirige le Comcybergend, le commandement de la gendarmerie dans le cyberespace, a dit une chose que nous avons entendue, et j’ai d’ailleurs souhaité que nous aménagions l’article 4 à la suite de cette table ronde à laquelle vous faites référence : selon lui, il fallait éviter que l’article cible uniquement les rançongiciels, parce que cela aurait envoyé un message qui n’est pas forcément le bon. Dans le même temps, il reconnaissait que les assurances n’étaient interdites nulle part – je le répète. Nous en avons tenu compte et nous avons étendu à toute forme de dommage le champ de la mesure ; j’accepterai même tout à l’heure, en tant que rapporteur, des amendements qui vont plus loin s’agissant des dommages et même des pertes, par […]
Quel est l’avis du Gouvernement ?
Même avis.
La parole est à M. Aurélien Lopez-Liguori.
Je veux répondre à ce que disait tout à l’heure M. le ministre. Quand nous ne sommes pas d’accord avec la majorité, c’est soit parce que nous n’avons pas compris, soit parce que nous sommes des imbéciles. (« Oh ! sur les bancs du groupe RE.)
Il faut parler de l’amendement !
C’est parfois cumulable !
Quel mépris, monsieur le ministre ! Ce n’est pas sérieux, pas digne d’un ministre.
Je vais parler de l’amendement, ne vous inquiétez pas. Nous allons vous fournir quelques arguments d’autorité, qui émanent de l’extérieur de cet hémicycle. Selon Philippe Cotelle, administrateur de l’Association pour le management des risques et des assurances de l’entreprise, « souscrire une assurance qui garantit le remboursement de la somme exigée par un rançongiciel, c’est se coller une cible dans le dos » ; quant à Johanna Brousse, vice-procureure en charge des dossiers de cybersécurité au parquet de Paris, elle a déclaré que « nous ne voulons plus payer et nous n’allons plus payer. […] La France n’est pas la poule aux œufs d’or ». Enfin, d’après Guillaume Poupard, directeur général de l’Anssi, « quand on alimente le crime organisé, il ne faut pas s’étonner si le nombre d’attaques continue à augmenter ».Comme les principaux acteurs du secteur, nous sommes opposés par principe au […]
L’amendement no 1101 de M. le rapporteur est rédactionnel.
(L’amendement no 1101, accepté par le Gouvernement, est adopté.)
Je suis saisie de deux amendements identiques, nos 807 rectifié et 1191 rectifié.La parole est à Mme Blandine Brocard, pour soutenir l’amendement no 807 rectifié.
Déposé par notre collègue M. Latombe, cet amendement de précision vise simplement à clarifier le périmètre de l’article 4 afin de renforcer la sécurité juridique du dispositif : il précise qu’il s’agit d’indemniser « un assuré ».
La parole est à M. Christophe Naegelen, pour soutenir l’amendement no 1191 rectifié.
Je défendrai en même temps le no 1297, qui a le même objectif. Ce sont deux amendements de précision, conçus en collaboration avec notre collègue Latombe – nous avions eu l’occasion, pendant la législature précédente, de travailler ensemble sur des textes relatifs à la cybersécurité, et nous avons décidé de déposer ces amendements ensemble, sous la forme d’amendements identiques. Le premier vise à préciser que l’indemnisation concerne « un assuré », et le deuxième ajoute à la mention des « dommages » celle des « pertes » causées par ce type d’atteintes.
Quel est l’avis de la commission ?
Il est favorable, et il en sera de même – je le dis tout de suite – pour les amendements identiques qui suivent, les nos 1294 et 1297, qui vont dans le sens des indications que j’ai données lors de la discussion sur l’article.
(Les amendements identiques nos 807 rectifié et 1191 rectifié, acceptés par le Gouvernement, sont adoptés.)
Les amendements nos 1294 de M. Philippe Latombe et 1297 de M. Christophe Naegelen sont donc défendus.La parole est à M. Ugo Bernalicis.
Je voudrais juste dire qu’il est important que nous passions un peu de temps sur le présent article, parce qu’il ne traite pas seulement des rançons : il vise l’ensemble des dommages causés aux entreprises par ce type d’attaques. Moi, je n’ai pas de problème avec ça, mais dire que cet article ne va pas conduire à valider et à consolider un système assurantiel, c’est faux ! C’était d’ailleurs l’objectif affiché par la direction générale du Trésor lors de l’audition : son représentant a expliqué qu’elle voulait conforter un système assurantiel parce qu’elle pense que cela va favoriser la prévention et éviter que les cyberattaques restent impunies, tout en renforçant les dépôts de plainte. Vous pouvez l’assumer ; je ne vous en veux pas et, à votre place, j’agirais de la même manière !Cela dit, je voudrais rappeler, s’agissant de la couverture des risques, que quelqu’un qui souscrit une […]
Voilà !
(Les amendements identiques nos 1294 et 1297, acceptés par le Gouvernement, sont adoptés.)
L’amendement no 1100 de M. le rapporteur est rédactionnel.
(L’amendement no 1100, accepté par le Gouvernement, est adopté.)
L’amendement no 451 de M. Christophe Naegelen est défendu.
(L’amendement no 451, repoussé par la commission et le Gouvernement, n’est pas adopté.)
La parole est à M. Jiovanny William, pour soutenir l’amendement no 502.
Il vise à préciser que le « représentant légal » ou les « ayants droit » de la victime peuvent également porter plainte, afin de rendre le présent article plus opérationnel.
Quel est l’avis de la commission ?
Défavorable, parce que les personnes morales sont naturellement représentées par leur représentant légal pour porter plainte. Votre demande est donc satisfaite.
(L’amendement no 502, repoussé par le Gouvernement, n’est pas adopté.)
Je suis saisie de deux amendements identiques, nos 720 et 893.La parole est à Mme Élisa Martin, pour soutenir l’amendement no 720.
On attend toujours que le ministre nous indique les effectifs de police judiciaire consacrés aux questions de cyberattaques.Quant au présent amendement, il prend en compte, à nouveau, la complexité du problème. La détermination du délai dans lequel la plainte doit être déposée nous préoccupe beaucoup, d’abord parce que ce délai a un caractère relatif : quand le fait-on commencer ? À quel moment exact considère-t-on que la « constatation de l’infraction » a eu lieu ? Est-ce quand on ouvre le courriel frauduleux, quand on s’aperçoit des conséquences de son ouverture, quand la rançon est demandée ou bien quand on s’en acquitte ? De ce point de vue, il ne nous apparaît pas complètement pertinent de préciser que la plainte doit être déposée « au plus tard quarante-huit heures après la constatation de l’infraction », d’autant plus que les réactions à une telle attaque, une fois qu’elle est […]
La parole est à Mme Sandra Regol, pour soutenir l’amendement no 893.
Il est identique à celui qui vient d’être soutenu. Puisque nous voulons que les choses fonctionnent mieux et que les personnes concernées soient incitées à porter plainte, ce qui est tout à fait légitime, nous considérons que ce délai très court a plutôt l’effet inverse. Il est trop court pour pousser à agir et pour servir d’incitation : tout cela ne rime à rien. Nous proposons donc, encore une fois et dans le même esprit que nos collègues – mais il me semble que M. le rapporteur, dans son intervention précédente, n’y était pas insensible –, de supprimer ce délai, trop court, de quarante-huit heures.
Quel est l’avis de la commission ?
J’ai déjà évoqué cette question il y a quelques instants. Pour répondre à Élisa Martin, en effet, il y a une distinction à faire entre le moment de l’attaque et celui où la victime peut la constater ; c’est un vrai sujet. D’ailleurs, le Sénat avait écrit que le dépôt d’une plainte devait avoir lieu vingt-quatre heures après l’attaque ; en commission, nous avons considéré qu’il fallait plutôt évoquer la « constatation » par la victime de l’attaque.
Eh oui !
C’est un terme très large, qui permet finalement de couvrir toutes les hypothèses que vous avez mentionnées il y a quelques instants, et de retenir le moment où la victime se sent telle, l’attaque ayant été constatée. Nous allons même aller plus loin : les amendements identiques nos 1295 et 1298, respectivement dus à M. Latombe et à M. Naegelen, préciseront que le délai commence lorsque la victime a « connaissance de l’atteinte ». C’est encore plus précis !S’agissant du délai, celui de vingt-quatre heures nous paraissait trop court, je l’ai dit tout à l’heure. L’avalanche d’amendements – tout à fait justifiés, en tout cas pour certains d’entre eux – concernant cette question m’a fait réfléchir, mais je le dis à celles et ceux qui proposent de l’allonger à une semaine ou quinze jours : c’est totalement incompatible avec l’idée même d’une scène de crime, sur laquelle il faut tout de suite […]
Quel est l’avis du Gouvernement ?
Je partage l’avis du rapporteur, mais je vais répondre à la question qui m’a été posée, même si j’avais cru comprendre qu’il ne fallait pas faire durer les débats. Quand le ministre parle, on lui reproche de rallonger les débats ; quand il ne dit rien, on l’accuse de ne pas répondre aux questions. N’est-ce pas, monsieur Bernalicis ? Je vais donc vous répondre, madame la députée Martin, puisque c’est ma pente naturelle.Quelque 340 enquêteurs s’occupent des cyberattaques mais 15 000 policiers et gendarmes ont reçu une formation dans ce domaine. En effet, ces derniers peuvent prendre en main certaines enquêtes lorsque des plaintes sont déposées dans une brigade de gendarmerie ou dans un commissariat. Environ 270 000 enquêtes judiciaires concernant des cyberattaques ont été ouvertes, sachant que, d’une manière générale, 90 % des enquêtes sont effectuées par les directions départementales de […]
La parole est à M. Ugo Bernalicis.
Si nous voulons qu’un maximum de personnes portent plainte, il ne faut pas mettre un délai restrictif : au-delà de vingt-quatre heures, les gens se diront que cela ne vaut pas la peine puisqu’ils ne seront pas couverts par leur assurance. Et dans le monde réel, nous savons qu’aucune compagnie d’assurances ne prévoira une clause indiquant qu’elle couvrira une partie du préjudice, même si l’assuré n’a pas déposé plainte dans les vingt-quatre heures. Celui qui aura dépassé les vingt-quatre, quarante-huit ou soixante-douze heures…
Une semaine !
Oui, même une semaine ! Nous aurions pu expérimenter la mesure sans fixer de délai ou bien en établissant des délais différents en fonction de la taille des entreprises.L’un des raisonnements sur le rançongiciel était intéressant car lié à la question de la scène de crime. On ne parle d’ailleurs plus nommément des rançons, même si elles restent englobées dans le dispositif. Pourquoi ne soumetterait-on pas le paiement de la rançon au dépôt de plainte, mais surtout à l’acceptation de l’autorité judiciaire ? Le paiement de la rançon peut aider à la résolution de l’enquête si l’on utilise des techniques telles que le traçage des fonds. On peut alors remonter aux destinataires et confondre les délinquants et criminels à l’origine de l’affaire. Ce ne serait quand même pas inintéressant !Or le texte n’y fait même plus référence, ce qui élimine cet aspect de l’enquête. En l’état, on se contente […]
(Les amendements identiques nos 720 et 893 ne sont pas adoptés.)
La suite de la discussion est renvoyée à la prochaine séance.
Prochaine séance, à vingt et une heures trente :Suite de la discussion du projet de loi d’orientation et de programmation du ministère de l’intérieur.La séance est levée.
(La séance est levée à vingt heures cinq.)
Le directeur des comptes rendus Serge Ezdra