Compte rendu intégral des prises de parole, sous la présidence de Présidence de Mme Valérie Rabault.
Tours 201 à 400 sur 662 — page 2 / 4.
J’ai bien lu la décision en question : elle évoque la sécurité nationale sans la définir.
Eh oui !
Les seuls éléments mentionnés qui s’y rapportent sont les « règles relatives à la permanence, à l’intégrité, à la sécurité ou à la disponibilité du réseau ou relatives à la confidentialité des messages transmis et des informations liées aux communications ». Soit ces précisions sont trop restrictives et le contrôle du respect de ces règles ne relèvera pas des prérogatives de l’Anssi, soit elles sont hors sujet. Quoi qu’il en soit, pourquoi le législateur ne pourrait-il pas définir cette notion ?
Il a raison !
Les juges européens rencontreront des difficultés en raison de cette imprécision – j’y reviendrai tout à l’heure.
L’amendement no 775 de Mme la rapporteure pour avis est rédactionnel.
(L’amendement no 775, accepté par le Gouvernement, est adopté.)
L’amendement no 1275 de M. Jérémie Iordanoff est défendu.
(L’amendement no 1275, repoussé par la commission et le Gouvernement, n’est pas adopté.)
La parole est à M. Philippe Latombe, pour soutenir les amendements nos 1587 et 1618, qui peuvent faire l’objet d’une présentation groupée.
Je retire les amendements nos 1587 et 1618 au bénéfice des amendements identiques nos 1626 et 1669. Nous avons discuté de cette question en commission des lois et sommes convenus que Mmes Chassaniol et Le Hénanff réécriraient leurs amendements en vue de la séance, ce qui a été fait. Mes amendements n’ont donc plus de raison d’être.
(Les amendements nos 1587 et 1618 sont retirés.)
Je suis saisie de deux amendements identiques, nos 1626 et 1669, qui font l’objet d’un sous-amendement no 1791.La parole est à Mme Clara Chassaniol, pour soutenir l’amendement no 1626.
Il vise à préciser que les données transmises à l’Anssi doivent être anonymisées par les fournisseurs de système de résolution de noms de domaine, sans mentionner l’adresse IP source, afin de préserver l’anonymat de l’utilisateur du nom de domaine et de cibler seulement les données qui permettront de reconstituer un type d’attaque. Il s’agit donc de sécuriser l’anonymat des données recueillies par l’Anssi.J’en profite pour remercier la rapporteure pour avis, le Gouvernement et l’Anssi pour leur collaboration entre la commission et la séance. À l’issue de ces discussions, il est apparu que l’inscription d’une liste de données techniques ne garantirait pas réellement l’anonymat de ces données car elles peuvent évoluer et devenir identifiantes.
La parole est à Mme Anne Le Hénanff, pour soutenir l’amendement identique no 1669.
Il vise à préciser que les données transmises aux agents de l’Anssi doivent être anonymisées par les fournisseurs de système de résolution de noms de domaine. En effet, ces données ne doivent en aucun cas permettre une identification, ce qui est explicitement écrit dans l’étude d’impact du présent projet de loi. Ces amendements complètent l’amendement no DN952 de Mme la rapporteure, adopté en commission des lois, qui précise que « les données techniques permettant d’identifier la source de la connexion ou celles relatives aux équipements terminaux utilisés ne peuvent être ni recueillies ni exploitées. »
Le sous-amendement no 1791 de Mme la rapporteure pour avis est rédactionnel.Quel est l’avis de la commission sur les amendements identiques ?
J’émets un avis favorable car ils visent à préciser utilement le dispositif. Nous avons adopté un amendement qui prévoit la consultation de la Cnil avant la publication du décret en Conseil d’État précisant les modalités d’application de l’article 33.
Quel est l’avis du Gouvernement ?
Je suis également favorable à ces amendements identiques ainsi sous-amendés par Mme la rapporteure pour avis. Je saisis l’occasion, ainsi que je l’avais fait lors de l’examen de l’article 32, pour saluer les travaux en commission, qui ont permis d’affiner et de resserrer le dispositif. En effet, vous avez adopté un amendement qui fait référence à la sécurité nationale ; un amendement qui prévoit la consultation de la Cnil avant la publication du décret en Conseil d’État ; un amendement qui vise à encadrer la durée de conservation des données non identifiantes, qui passe de dix à cinq ans ; enfin, un amendement de la rapporteure pour avis, qui vise à préciser que les données « permettant d’identifier la source de la connexion et celles relatives aux équipements terminaux utilisés ne peuvent être ni recueillies ni exploitées », garantissant un premier niveau de sécurité. Ces amendements […]
La parole est à M. Philippe Latombe.
En commission des lois, nous avions indiqué que l’article 33 devait être sérieusement retravaillé afin qu’il soit beaucoup plus sécurisé. C’est pourquoi je soutiens ces amendements, ainsi que le sous-amendement. En effet, ils viennent compléter une série d’amendements adoptés en commission des lois. L’un d’eux fait référence à la sécurité nationale, notion dont nous avons débattu tout à l’heure. À cette occasion, nous avons rappelé la décision du Conseil constitutionnel qui la définit très clairement.Ces amendements sont en outre de nature à rendre plus claire la rédaction du décret à contraindre l’autorité administrative à fixer la durée de conservation des données non identifiantes. Voilà qui facilitera la validation du projet de décret par la Cnil. Le fait, en effet, de préciser que les données collectées seront rendues anonymes permettra à la Cnil – qui en indiquera les modalités – […]
La parole est à M. Ugo Bernalicis.
J’ai salué l’initiative de la collègue Chassaniol et nous voterons ces amendements. J’aimerais que l’on se souvienne de l’étude d’impact, qui indique que les données recueillies ne seront ni identifiantes ni personnelles. Or, lorsqu’on a une connaissance de ces données techniques, on sait que, assez facilement, on peut réussir à identifier les personnes derrière les adresses IP et Mac, les données identifiantes de chaque appareil étant uniques au monde, et à connaître leur LAN – local area network, réseau local – ainsi que leur position géographique approximative. Grâce à ces données, on peut apprendre beaucoup de choses – c’est d’ailleurs assez génial.
Il a raison !
Du reste, grâce à la collecte de données en cache, on réalise des campagnes de publicités qui ciblent plus spécifiquement certaines personnes – je ne m’étendrai pas davantage sur ce sujet. Pour conclure, je me réjouis qu’au bout du compte on ne croie pas sur parole l’étude d’impact du Gouvernement.
Cela s’appelle la démocratie parlementaire.
(Les amendements identiques nos 1626 et 1669, sous-amendés, sont adoptés.)
Sur l’article 33, je suis saisie par le groupe Démocrate (MODEM et indépendants) d’une demande de scrutin public.Le scrutin est annoncé dans l’enceinte de l’Assemblée nationale.La parole est à Mme Mélanie Thomin, pour soutenir l’amendement no 174.
Il est en lien avec celui défendu à l’article 32. Nous nous interrogeons sur les délais proposés pour la conservation des données. Le choix de la durée de cinq ans nous paraît, encore une fois, arbitraire et les arguments avancés tout à l’heure ne parviennent pas à nous convaincre. Nous considérons qu’il ne s’agit pas de répondre aux contraintes de fonctionnement de l’administration, ce qui témoigne de peu de volonté politique, mais qu’il revient à l’administration de se conformer aux délais prescrits. Dès lors, donnons à l’Anssi les moyens d’agir avec efficacité.
Quel est l’avis de la commission ?
Défavorable.
Quel est l’avis du Gouvernement ?
Même avis.
La parole est à M. Ugo Bernalicis.
Nous n’aurons jamais de réponses claires sur la question des délais. Tout à l’heure, M. le ministre délégué a dit que la durée de cinq ans n’était pas suffisante, tandis que M. Latombe a évoqué un cas datant de 2017, ce qui fait six ans, si mes calculs sont bons – si, comme je le crois, nous sommes bien en 2023. Êtes-vous bien certain qu’un délai de cinq ans serait suffisant, monsieur le ministre délégué ?
Oui !
Si ces données sont certes non identifiantes, elles peuvent se révéler importantes, du point de vue de la sécurité nationale, pour retracer une attaque. La durée de deux ans est raisonnable. On doit pouvoir reconstituer sur papier l’architecture de l’attaque qui serait lancée, il est nul besoin de disposer de données à chaque étape, d’autant qu’elles ne sont pas identifiantes. Dès lors, je ne vois aucune raison de les conserver aussi longtemps.Une fois de plus, ces dispositions sont nébuleuses et donnent l’impression qu’elles ont été rédigées sur un coin de table. C’est un peu dommage car ces dispositions sont utiles – du reste, je suis plutôt favorable à l’article 33. Si la durée de conservation des données était de deux ans, ce serait parfait ; nous serions presque d’accord à 100 % avec vous, monsieur le ministre délégué.
La parole est à M. Jérémie Iordanoff, pour soutenir l’amendement no 1272.
C’est un amendement de repli par rapport à l’amendement n° 1275 que j’ai défendu sans prendre le temps de le présenter. Celui-ci visait à limiter l’obligation de transmission des données au seul cas où elle serait demandée par l’Anssi, étant donné que leur volume est très important et que les données de tous seront transmises, même si aucune attaque n’est commise. Nous avons débattu de cet amendement en commission, donc je connais votre avis sur cette question.L’amendement no 1272 vise à préciser par décret la fréquence et les conditions de transmission des données, transmission qui fait peser une charge sur les acteurs concernés. Il ressort des auditions menées que cette transmission doit être précisée par décret.
Quel est l’avis de la commission ?
Cette précision est utile. Avis favorable.
Quel est l’avis du Gouvernement ?
Il ne faut pas surestimer le volume des données traitées, puisque l’Anssi n’analyse que la correspondance entre les noms de domaine et les adresses IP, une fois anonymisées, c’est-à-dire une fois l’adresse IP source extraite.
C’est déjà beaucoup !
Toutefois, le présent amendement est utile afin de faciliter la rédaction du décret. J’émets également un avis favorable sur cet amendement.
Je mets aux voix l’article 33.
(Il est procédé au scrutin.)
Voici le résultat du scrutin : Nombre de votants 58 Nombre de suffrages exprimés 55 Majorité absolue 28 Pour l’adoption 55 Contre 0
(L’article 33, amendé, est adopté.)
La parole est à Mme Anne Le Hénanff, inscrite sur l’article 34.
Cet article renforce les exigences de transparence qui s’appliquent aux éditeurs de logiciels, en contraignant ces derniers à informer l’Anssi et leurs utilisateurs en cas de vulnérabilité significative ou d’incident informatique susceptibles d’affecter un de leurs produits.Le groupe Horizons et apparentés a déposé plusieurs amendements en commission et en séance afin d’apporter des précisions ou d’en demander. Ainsi, nous avons déposé un amendement, retravaillé à l’issue de l’examen du texte en commission, visant à définir l’éditeur de logiciels de manière claire dans le projet de loi. Nous avions également déposé en séance un amendement visant à ce que le type de vulnérabilité et d’incident informatique devant faire l’objet d’un signalement à l’Anssi soit précisé par décret. Aussi sommes-nous satisfaits par l’amendement présenté par Mme la rapporteure qui va dans ce sens.Notre groupe […]
La parole est à M. Philippe Latombe, pour soutenir l’amendement no 1664.
Il s’agit d’un amendement de cohérence puisqu’il vise à introduire à l’article 34 la référence à la sécurité nationale qui figure dans les articles 32, 33 et 35.Pour revenir au débat suscité par les amendements de M. Iordanoff, je précise que le Conseil constitutionnel vise, dans sa décision du 5 février 2021 citée tout à l’heure, les « installations dont l’indisponibilité risquerait de diminuer d’une façon importante – et il en vient ici à la définition de la sécurité nationale – le potentiel de guerre de la nation, son potentiel économique, sa sécurité ou sa capacité de survie et qui, de ce fait, sont tenues de coopérer à la protection de ces installations contre toute menace ».Cette définition est donc suffisamment large pour englober les cas d’attaques cyber tout en étant très précise, davantage en tout cas que celle du code pénal que vous proposiez de retenir, monsieur Iordanoff. […]
Quel est l’avis de la commission ?
Nous partageons l’objectif visé mais, aux termes de l’article 34, il est de la responsabilité des éditeurs de logiciels de déclarer leurs vulnérabilités. Or ceux-ci ne sont pas habilités à apprécier l’atteinte à la sécurité nationale, qui est une prérogative de l’État. En commission, nous avons néanmoins souhaité mieux définir ce qu’est un incident informatique et préciser le caractère significatif des incidents et vulnérabilités visés, par trois amendements que nous allons examiner dans quelques instants.Par ailleurs, j’émettrai un avis favorable à votre amendement no 1673, qui prévoit que le délai fixé par l’Anssi pour informer les utilisateurs professionnels « est déterminé en fonction de l’urgence, des risques pour la sécurité nationale et du temps nécessaire aux éditeurs pour prendre les mesures correctives ».
Quel est l’avis du Gouvernement ?
Il est utile de préciser dans cet article, comme c’est le cas aux articles 32 et 33, que c’est bien la sécurité nationale qui est en jeu. Du reste, je remercie Mme Le Hénanff d’avoir rappelé que nos travaux s’inscrivent dans le cadre de l’examen d’un projet de loi de programmation militaire.Toutefois, à l’instar de Mme la rapporteure pour avis, je propose que vous retiriez cet amendement au profit du no 1673 car il nous semble que c’est à l’Anssi d’estimer ce qui relève ou non de la sécurité nationale, que les éditeurs de logiciels n’ont peut-être pas tout à fait la capacité d’apprécier.
La parole est à M. Philippe Latombe.
Je retire l’amendement au profit du no 1673. Ce qui importe, c’est qu’il soit fait référence à la sécurité nationale puisque, en effet, nous examinons un projet de loi de programmation militaire et que nous modifions le code de la défense.
(L’amendement no 1664 est retiré.)
Sur l’amendement no 176, je suis saisie par le groupe Socialistes et apparentés (membre de l’intergroupe NUPES) d’une demande de scrutin public.Le scrutin est annoncé dans l’enceinte de l’Assemblée nationale.Je suis saisie de trois amendements, nos 838, 994 et 176, pouvant être soumis à une discussion commune.Les amendements nos 838 et 994 sont identiques.L’amendement no 838 de M. Aurélien Saintoul est défendu.La parole est à M. Ugo Bernalicis, pour soutenir l’amendement no 994.
Si les éditeurs de logiciels libres, pardon : de logiciels – libres ou pas : peu importe – ont l’obligation de transmettre à l’Anssi les failles de sécurité qui affectent leurs produits ou les incidents qui peuvent compromettre la sécurité nationale, il serait bon qu’ils puissent être sanctionnés s’ils ne le font pas. Il est en effet probable qu’ils n’auront pas tous envie de coopérer de manière immédiate et qu’ils chercheront à gagner du temps, dans la mesure où le fait de révéler les failles de sécurité d’un de vos logiciels peut nuire à votre réputation d’éditeur et inciter les administrations à ne pas l’utiliser, par exemple.Ainsi, les éditeurs pourraient avoir la tentation capitalistique – c’est une hypothèse – de ne pas dévoiler les failles dans les délais exigés, si bien que la France serait dans la panade du point de vue de la défense de ses intérêts vitaux.En outre, puisque nos […]
La parole est à M. Antoine Léaument.
La question qui se pose ici est celle de savoir si les éditeurs de logiciels transmettront les informations relatives aux vulnérabilités que présentent leurs propres produits, sachant, comme vient de l’expliquer notre collègue Bernalicis, que le public risque alors de se montrer peu enclin à les utiliser.Par conséquent, si l’on ne prévoit aucune sanction pour non-respect de l’obligation de signaler les failles de sécurité, le plus vraisemblable est que ces dernières ne seront pas rendues publiques ni communiquées à l’Anssi. Aussi proposons-nous, par ces amendements, que les éditeurs qui ne rempliraient pas leur obligation en la matière soient passibles d’une sanction financière. Il ne s’agit pas, pour le coup, de punir les entreprises ou je ne sais quoi : il y va de la sécurité nationale.Par ailleurs – j’aborde là une question plus large –, on peut se demander si certains éditeurs de […]
Ah !
N’oublions pas que Snowden a révélé que certaines entreprises participaient à l’espionnage.
Ah bon ?
On pourrait parler aussi d’Apple !
Ou de TikTok, entre autres : je suis d’accord. Si l’on va au bout de ce raisonnement, on peut estimer qu’il serait intéressant d’utiliser des logiciels libres, qui non seulement sont plus sécurisés mais échappent aux logiques capitalistiques, de sorte que leurs concepteurs n’auraient pas de difficultés à déclarer leurs failles de sécurité.
La parole est à Mme Mélanie Thomin, pour soutenir l’amendement no 176.
Cet amendement de bon sens vise à rendre obligatoire la communication à l’Anssi de tout incident informatique au sein d’une entreprise. En effet, on peut considérer qu’en l’absence de sanction, le monde de l’entreprise aura tendance à ne pas respecter l’obligation. Nous proposons donc que l’Anssi puisse sanctionner son non-respect en infligeant à l’entreprise concernée une pénalité d’un montant limité à 1 % du chiffre d’affaires, ce qui est tout à fait raisonnable – nos collègues du groupe LFI proposent un montant plus élevé. Quoi qu’il en soit, le dispositif ainsi consolidé inciterait davantage les entreprises à jouer le jeu.
Quel est l’avis de la commission ?
Je tiens à souligner que nous nous efforçons, depuis le début de notre discussion, de maintenir un équilibre entre, d’une part, la sécurité nationale et, d’autre part, nos libertés fondamentales, notamment la liberté d’agir et d’entreprendre, qui nous incite à limiter les contraintes pesant sur nos entreprises. En l’espèce, je souhaite que nous nous en tenions au dispositif prévu dans le texte, à savoir qu’en cas de non-respect de l’injonction de communiquer les vulnérabilités constatées à l’Anssi, celle-ci pratiquera le fameux name and shame.Au demeurant, aucune entreprise n’a intérêt à les dissimuler : son intérêt commercial est que le produit qu’elle vend fonctionne. Cela étant, le dispositif est au début de son existence : rien ne nous empêche de le faire évoluer par la suite si l’on considère qu’il est insuffisant. En tout état de cause, j’estime, pour l’instant, que nous devons […]
Quel est l’avis du Gouvernement ?
Je suis de l’avis de la rapporteure pour avis : l’article 34 enrichi par les travaux en commission permettra d’atteindre l’objectif poursuivi. Je ne crois pas que les sanctions proposées renforceraient le dispositif, et ce pour deux raisons.Premièrement, compte tenu du pouvoir conféré à l’Anssi de diffuser l’information concernant la vulnérabilité d’un logiciel, l’entreprise s’exposerait à une sanction réputationnelle très lourde.
C’est l’inverse !
Si l’Anssi détecte une vulnérabilité dont elle n’aurait pas été préalablement informée par l’éditeur du logiciel, elle pourra publier et faire connaître cette vulnérabilité.
« Pourra » !
C’est une sanction réputationnelle très lourde. En l’état actuel des choses, en l’absence de fondement législatif, l’Anssi s’exposerait à un contentieux si elle s’autorisait à publier ces vulnérabilités. C’est la raison pour laquelle elle est très réticente à le faire. L’article 34 le lui permettra.Faut-il donner à cette agence des pouvoirs de sanction administrative ? C’est un peu compliqué dans la mesure où, vous l’avez rappelé environ soixante-dix fois depuis le début de notre débat, elle n’est pas une autorité administrative indépendante.
Et alors ?
Elle n’a pas de collège de sanction.
Il y a beaucoup de structures étatiques qui prononcent des sanctions sans être des autorités administratives indépendantes !
Elle n’est donc pas entourée de suffisamment de précautions pour prononcer de telles sanctions. L’équilibre trouvé durant les travaux en commission est le bon. Avis défavorable, donc.
La DGCCRF n’est pas une autorité administrative indépendante et elle inflige des sanctions à tour de bras !
La parole est à M. Mounir Belhamiti.
En matière de communication des anomalies logicielles, des failles informatiques, il existe deux approches.La première, dogmatique, vient d’être défendue du côté gauche de l’Hémicycle.
Oh !
Les tenants de cette approche considèrent qu’il faut adopter une posture anticapitaliste vis-à-vis des éditeurs de logiciels. Elle est dogmatique, et M. Bernalicis l’a démontré lorsqu’il a évoqué, dans un lapsus, les logiciels libres. De très nombreuses failles logicielles, y compris celles qui sont intégrées dans des logiciels d’éditeurs capitalistes, si je puis dire, proviennent en fait de développements de la communauté du logiciel libre. Or on ne peut pas sanctionner, comme vous le proposez, une communauté de développeurs de logiciels libres.La seconde approche, pragmatique, défendue par le ministre délégué, consiste à considérer que les éditeurs de logiciels ont tout intérêt, pour conserver et développer leur clientèle, à communiquer rapidement les failles et anomalies logicielles afin qu’elles soient corrigées et que leurs clients soient assurés de la sécurité de leur système […]
La parole est à M. Antoine Léaument.
Eh bien, nous voilà dans le vif du sujet ! Ce n’est pas dogmatique de défendre la sécurité nationale, c’est patriote, et quand nous disons que le capitalisme peut être un problème pour la sécurité nationale, c’est n’est pas sur la base d’un dogme mais de faits avérés. Je vous ai rappelé que des entreprises capitalistiques mues par des logiques de rentabilité avaient déjà posé des problèmes à la sécurité nationale, et nous pouvons d’ailleurs remercier chaleureusement MM. Assange et Snowden qui, pour avoir révélé un certain nombre de ces problèmes, ont ensuite subi des attaques d’une extrême violence.Vous me reprochez de proposer des sanctions financières tout en plaidant pour le logiciel libre. Ce que j’ai dit c’est que, dans une logique capitaliste, il faut des sanctions financières car les dirigeants de firme ne comprennent que ça : ils ont un portefeuille à la place du cœur, et seules […]
C’est faux ! Ça ne marche pas du tout.
D’ailleurs, dans Microsoft, il y a « micro », c’est un indice…
La parole est à M. Jérémie Iordanoff.
Madame la rapporteure pour avis, vous prétendez vouloir trouver une solution équilibrée entre la sécurité et les libertés individuelles, mais nous regrettons que, lorsque nous faisons des propositions en ce sens, vous ne vous préoccupiez pas de cet équilibre, qu’il s’agisse de la définition du périmètre ou des voies de recours, mais seulement de ne pas nuire aux entreprises.En réalité, ce n’est pas le sujet. La question est que l’on crée une obligation, mais sans sanction, ce qui revient à annuler cette obligation. Pour l’entreprise, ce n’est pas une question de bonne volonté, c’est une question d’intérêts économiques : elle n’a pas intérêt à rendre ses failles publiques. Vous expliquez que l’Anssi pourra le faire, mais il faudrait au minimum que ce soit automatique et qu’il y ait des sanctions. Le groupe Écologiste soutiendra donc ces amendements.
La parole est à Mme Mélanie Thomin.
Madame la rapporteure pour avis, à vous entendre, l’intérêt commercial des entreprises primerait sur la sécurité nationale.
Je n’ai pas dit ça !
C’est d’autant plus grave que nous sommes en train de débattre d’une loi de programmation militaire. (MM. Ugo Bernalicis et Antoine Léaument applaudissent.) Notre réflexion se doit d’être à la hauteur des enjeux. Posons-nous les bonnes questions : les intérêts économiques priment-ils sur les intérêts de notre défense ? Il me semble indispensable de bien faire le distinguo, et vos propos entretiennent une certaine confusion.
La parole est à M. Philippe Latombe.
Je comprends la logique de ces amendements, qui soulèvent plusieurs questions, notamment celle de l’imbrication entre les logiciels libres et ceux des éditeurs commerciaux. Se pose aussi la question de la vitesse de divulgation des failles, dans la mesure où, si on ne dispose pas des correctifs, cette divulgation devient problématique, d’autant que je vous entends lorsque vous dites que l’argument de la réputation ne tient pas face aux risques pour la sécurité nationale que présenterait la révélation de failles pour lesquelles on ne dispose pas de correctif.Cela étant, je pense que nous devons suivre la rapporteure pour avis et considérer que les choses doivent rester en l’état dans la LPM, quitte à compléter ensuite le dispositif au niveau européen, avec la directive NIS 2 (Network and Information Security). On pourrait, par exemple, envisager un système de déclaration commun, sachant […]
La parole est à Mme la rapporteure pour avis.
Madame Thomin, je ne place absolument pas les intérêts commerciaux avant la défense et la sécurité nationale,…
En effet, ce n’est pas ce que Mme la rapporteure pour avis a dit !
…j’ai simplement parlé d’équilibre. Une entreprise n’a aucun intérêt à commercialiser un produit défectueux, c’est du simple bon sens.
Ce n’est pas vrai ! Même Philippe Latombe n’est pas d’accord avec vous !
Nous voulons procéder par étapes, en appliquant d’abord le name and shame et, si ce n’est pas suffisant, en venir aux sanctions. Et puis, comme l’a dit notre collègue Latombe, beaucoup de sujets devront être traités au niveau européen.
Nous voilà bien !
La parole est à M. le ministre délégué.
J’apporte une précision à la représentation nationale avant le vote. Si elle pratique le name and shame, l’Anssi ne le fera pas en dévoilant à tous les vents la nature des failles d’un logiciel pour inviter tout le monde à s’y engouffrer ;…
Heureusement !
…si une entreprise a omis de signaler des failles auprès de l’Anssi comme le prévoit l’article 34 de la loi de programmation militaire, celle-ci rendra simplement publique la vulnérabilité de tel logiciel, sans entrer dans les détails, afin de ne pas donner du grain à moudre à de potentiels assaillants.
(Les amendements identiques nos 838 et 994 ne sont pas adoptés.)
Je mets aux voix l’amendement no 176.
(Il est procédé au scrutin.)
Voici le résultat du scrutin : Nombre de votants 68 Nombre de suffrages exprimés 55 Majorité absolue 28 Pour l’adoption 13 Contre 42
(L’amendement no 176 n’est pas adopté.)
La parole est à Mme Mélanie Thomin, pour soutenir l’amendement no 175.
Il propose une mesure d’efficacité. Le texte indique que, lorsqu’une faille survient dans le logiciel, les utilisateurs professionnels devront en être informés. Nous proposons la suppression du terme « professionnels », d’ailleurs ajouté en commission, car nous considérons que nos réseaux informatiques constituent une chaîne et que tous les utilisateurs, professionnels comme non professionnels, doivent être informés. Les ordinateurs des particuliers peuvent faire l’objet de contaminations et, à l’heure du télétravail, la sécurité des systèmes d’information devient l’affaire de tous, compte tenu de l’interconnexion des différents réseaux de communication. Il est donc dans l’intérêt collectif que tout utilisateur, professionnel ou non professionnel, d’un logiciel présentant une faille de sécurité soit informé de celle-ci.
Quel est l’avis de la commission ?
Si la commission a tenu à préciser que seuls étaient concernés les utilisateurs professionnels, c’est que ce sont précisément eux les acteurs ciblés par les dispositifs que nous instituons dans le cadre de la défense et de la sécurité nationale. Avis défavorable.
Quel est l’avis du Gouvernement ?
Même avis. Certains ont paru s’étonner que le Parlement amende les propositions initiales du Gouvernement.
Perte d’habitude, sans doute !
Mais il ne faut pas jeter la démocratie parlementaire avec l’eau du bain !
Comme hier, en commission des affaires sociales, n’est-ce pas ?
Oui, votre obstruction !
Le Gouvernement présente un projet de loi, le Parlement s’en saisit ; la rapporteure pour avis et les membres de la commission ont mené des auditions pour confronter le texte du Gouvernement à l’épreuve du réel. Cela leur a permis d’en élaborer la rédaction et, en l’occurrence, d’apporter cette restriction aux seuls utilisateurs professionnels.
Ce n’est pas la question !
La parole est à M. Philippe Latombe.
Je m’exprime sur cet amendement qui, s’il était adopté, ferait tomber le suivant.Nous avons voulu, en commission des lois, cibler les utilisateurs professionnels de logiciel, mais la question se pose de leur définition : qu’entend-on par professionnels ? Incluent-ils, par exemple, les groupements hospitaliers de territoire (GHT), qui n’entrent pas nécessairement dans cette catégorie au sens du code de commerce, auquel on peut être susceptible de se référer pour interpréter l’article ?En ce qui concerne néanmoins les particuliers, il existe déjà des dispositifs d’information publique, notamment parce que sont en jeu des données personnelles et que la Cnil est donc systématiquement avertie, que des procédures sont prévues et des sanctions possibles.Dans le domaine de la sécurité nationale, qui nous intéresse ici, il faut être le plus rapide possible et donc privilégier en premier lieu […]
La parole est à M. Philippe Latombe, pour soutenir l’amendement no 1670.
C’est un amendement d’appel, demandant que le Gouvernement précise bien ce que recouvre le terme « professionnels » et qu’on ne s’en tienne pas à la stricte définition du code de commerce.
Quel est l’avis de la commission ?
Je laisserai le ministre répondre sur ce point et formulerai pour ma part une demande de retrait.
Quel est l’avis du Gouvernement ?
Monsieur Lacombe, je vous confirme que la rédaction est suffisamment générale pour couvrir tous les utilisateurs professionnels, qu’il s’agisse d’organisations privées ou publiques. En l’occurrence, les hôpitaux et les collectivités territoriales sont donc bien inclus dans le champ de l’article.
La parole est à M. Ugo Bernalicis.
Il ne faut oublier personne car il y va de la portée de la coercition pouvant peser sur les éditeurs de logiciels. Puisque vous avez refusé les sanctions financières pour défaut de communication d’une vulnérabilité, il faut à tous le moins que les éditeurs en informent les utilisateurs ou, à défaut, l’Anssi.Il ne faudrait donc pas que la rédaction actuelle rate la cible, et c’est la raison pour laquelle, en commission, je faisais partie de la minorité qui aurait préféré que l’on se réfère à tous les utilisateurs. Il n’y a pas toujours de consensus dans la fabrique de la loi, et il arrive que le débat recommence dans l’hémicycle, où le rapport de force n’est pas nécessairement le même qu’en commission – regardons ce qui s’est produit hier en commission des affaires sociales… Il me semble que vous tombez là dans votre propre piège, avec cette définition rabougrie. J’espère qu’il ne nous […]
(L’amendement no 1670 est retiré.)
Sur l’article 34, je suis saisie par le groupe Démocrate (MODEM et indépendants) d’une demande de scrutin public.Le scrutin est annoncé dans l’enceinte de l’Assemblée nationale.La parole est à Mme Emmanuelle Ménard, pour soutenir l’amendement no 847 rectifié.
Mon intervention sera courte, car il s’agit d’un amendement très simple ayant pour objet de contraindre les éditeurs de logiciels à transmettre dans les plus brefs délais les informations nécessaires pour assurer la sécurité des données sensibles. L’amendement vise ainsi à introduire la notion d’immédiateté à l’article 34, en imposant aux éditeurs d’agir « dès que » leurs produits sont affectés ou susceptibles de l’être par une vulnérabilité significative.
Quel est l’avis de la commission ?
Même avis défavorable, ma chère collègue, que pour votre amendement no 1121 qui visait à rendre automatiques les mesures prévues à l’article 32. Il convient en effet de laisser de la flexibilité à l’Anssi et aux éditeurs dans leur réponse aux actes malveillants.
Quel est l’avis du Gouvernement ?
Même avis.
La parole est à Mme Emmanuelle Ménard.
Il me semble que les mots « dès que » laissent de la flexibilité, étant donné qu’ils ne veulent pas dire « à la seconde où ». Cet amendement me paraît de bon sens et contenir une formulation offrant une meilleure réponse aux préoccupations de sécurité vis-à-vis des éditeurs de logiciels.
Je suis saisie de deux amendements identiques, nos 1634 et 1673.La parole est à Mme Clara Chassaniol, pour soutenir l’amendement no 1634.
Il vise à préciser que le délai d’information fixé par l’Anssi est pris selon certains critères, en l’occurrence les risques pour la sécurité nationale, l’urgence et le temps nécessaire pour prendre les mesures correctives. L’objectif est ici d’encadrer la décision de l’Anssi, afin de garantir que le délai d’information soit fixé non pas de manière discrétionnaire selon les éditeurs, mais bien de façon cohérente en fonction de certains critères, en vue d’un égal traitement des éditeurs par l’Anssi en matière d’obligations.
Très bien !
La parole est à M. Philippe Latombe, pour soutenir l’amendement no 1673.
En complétant les propos de notre collègue Chassaniol, je répondrai aussi à l’amendement no 847 rectifié.Nous avons une vraie difficulté de temporalité. S’il faut en effet que l’Anssi ne traite pas les éditeurs de manière discriminatoire, ce qui suppose un encadrement, il faut aussi qu’un correctif soit apporté à chaque vulnérabilité car, dans le cas contraire, des attaquants seraient à même de s’en saisir : c’est ce que Mme Ménard soulevait en proposant l’ajout des mots « dès que ». Or, si nous avons besoin de correctifs, leur développement peut être plus ou moins long, ce qui nécessite de laisser de la souplesse à l’Anssi.Par ailleurs, comme je viens de le dire, il nous faut aussi garantir que les décrets d’application de la loi interdiront tout traitement discriminatoire de la part de l’Anssi. Cette question a déjà été posée, certains éditeurs peuvent avoir des liens plus étroits ou […]
Quel est l’avis de la commission sur ces amendements identiques ?
Il est favorable. Ces amendements s’inscrivent dans la continuité de nos travaux en commission et permettraient d’encadrer la fixation du délai d’information sans nuire à l’opérationnalité de la correction des vulnérabilités.
Quel est l’avis du Gouvernement ?
Je me suis exprimé tout à l’heure sur l’opportunité d’intégrer les risques pour la sécurité nationale parmi les critères d’appréciation, comme d’autres amendements sur d’autres articles ont également visé à le faire.Par ailleurs, je tiens à souligner la pertinence des propos de M. Latombe : il convient de laisser à l’Anssi une marge d’appréciation dans sa prise de décision, plutôt que de la rendre automatique – ce que certains amendements tendent à faire –, afin de garantir, grâce à cette souplesse, l’efficacité du dispositif dont il est ici question et la protection des entités concernées.
La parole est à M. Jérémie Iordanoff.
Nous soutiendrons ces amendements visant à préciser les critères selon lesquels le délai d’information sera fixé.Je souhaite également réagir aux propos de Mme la rapporteure pour avis, selon qui les entreprises n’ont pas intérêt à mettre des produits défectueux sur le marché. Pour avoir un peu travaillé dans le domaine du développement informatique, je puis vous dire qu’une très longue et très coûteuse phase de débogage suit le développement d’un logiciel. De nombreuses entreprises mettent donc sur le marché des produits en sachant pertinemment qu’ils comprennent des failles de sécurité très importantes.
Exactement !
C’est par exemple l’habitude de Microsoft. Pour proposer des logiciels à des prix moins élevés, les éditeurs font pour ainsi dire accomplir le débogage par les utilisateurs, un signalement parvenant automatiquement aux entreprises après chaque dysfonctionnement et leur permettant de prendre connaissance des failles de sécurité. Le délai d’information dont nous parlons pourrait donc être très important, car la phase de débogage peut s’étendre sur un ou deux ans. Je le répète, pour des raisons économiques, les éditeurs n’ont pas toujours intérêt à mettre sur le marché des logiciels sûrs. (Applaudissements sur quelques bancs du groupe LFI-NUPES.)
Même M. Latombe est d’accord !
(Les amendements identiques nos 1634 et 1673 sont adoptés.)
Je suis saisie de deux amendements identiques, nos 839 et 996.La parole est à Mme Martine Etienne, pour soutenir l’amendement no 839.
Nous restons sur le même thème. Ces amendements visent à obliger l’Anssi à enjoindre aux éditeurs de logiciels d’informer leurs utilisateurs en cas de vulnérabilité ou d’incident compromettant la sécurité de leurs systèmes d’information.Collègues, nous avons, tous, certainement, été déjà victimes de fuites de mot de passe, parfois même sans que nous en ayons été informés par les entreprises concernées. Or, aux termes du projet de loi, monsieur le ministre délégué, vous souhaitez qu’il soit simplement possible d’enjoindre aux éditeurs de logiciels de communiquer l’existence d’une faille. En ce qui nous concerne, nous estimons que ces derniers doivent être obligatoirement enjoints de le faire. J’insiste, l’Anssi doit systématiquement – et non éventuellement – rendre public un incident ou une vulnérabilité affectant la sécurité d’un produit lorsque son éditeur n’en informe pas ses […]
Excellent !
La parole est à M. Ugo Bernalicis, pour soutenir l’amendement no 996.
Nous sommes ici dans un cas de figure où une faille de vulnérabilité a été constatée et, je l’espère, communiquée à l’Anssi. Celle-ci doit donc, aux termes des amendements que nous venons d’adopter, fixer un délai à l’éditeur concerné pour qu’il fournisse un correctif et informe ses utilisateurs professionnels de cette faille. Voilà où nous en sommes. Or imaginons que, patatras, l’éditeur du logiciel ne fasse pas ce que lui a demandé l’Anssi : dans ce cas, l’Agence peut, je dis bien peut, c’est-à-dire éventuellement, faire elle-même ce que l’éditeur a refusé. Eh bien non ! Si l’Anssi a demandé à l’éditeur d’informer ses utilisateurs professionnels dans un certain délai, c’est qu’elle le jugeait utile, pertinent et nécessaire.
Logique !
Et si l’éditeur refuse d’agir, l’Anssi doit donc le faire à sa place. C’est d’ailleurs pour cette raison que l’entreprise comprendra qu’il vaut mieux agir elle-même, plutôt que d’être tributaire d’une communication de l’Anssi.J’insiste, la possibilité d’agir à la place de l’éditeur n’est pas suffisante, surtout eu égard à ses capacités de négociation – ce qui nous fait revenir à la discussion précédente –, celles-ci dépendant de la taille de l’entreprise, de ses relations avec l’Anssi, voire avec l’État, ou encore de la présence en son sein de personnes ayant travaillé à l’Anssi par le passé : les choses de la vie, en somme. Voilà pourquoi nous préférerions nous prémunir contre la décision potentiellement arbitraire de publier ou de ne pas publier une vulnérabilité, alors même que l’Anssi – une fois de plus je ne fais que reprendre les termes du texte et des amendements que nous […]
Quel est l’avis de la commission sur ces amendements identiques ?
J’estime pour ma part qu’une publication obligatoire rigidifierait trop le texte. Comme précédemment, il faut laisser un peu de latitude à l’Anssi pour apprécier les vulnérabilités et prendre ses décisions en conséquence. En commission, nous avons adopté un amendement de notre collègue Belhamiti visant à ce que le délai d’information des utilisateurs soit déterminé par l’Anssi. Et nous venons d’adopter les amendements nos 1634 et 1673 qui viennent préciser que ce délai dépend de l’urgence, des risques pour la sécurité nationale – je rappelle à nouveau que nous examinons une LPM – et du temps nécessaire aux éditeurs pour prendre les mesures correctives. Il est préférable d’apprécier concrètement ce qu’il convient de faire, en fonction de l’ampleur de l’incident et de la vulnérabilité. J’émets donc un avis défavorable sur ces amendements identiques.
Quel est l’avis du Gouvernement ?
Même avis.
La parole est à M. Ugo Bernalicis.
Je ne résiste pas, madame la présidente, à la tentation de réagir aux propos de Mme la rapporteure pour avis, selon qui les obligations obligatoires sont tout de même rigides. (Sourires sur les bancs des groupes LFI-NUPES et Écolo-NUPES.) J’en conviens, les obligations facultatives sont plus souples. Je ne savais pas que nous étions en cours de yoga parlementaire ! (Mêmes sourires.) Une chose est sûre : je dois encore travailler ma souplesse.
Souplesse intellectuelle surtout !
Une fois de plus, votre raisonnement ne tient pas. Nous sommes dans le cas où un éditeur, après avoir été enjoint par l’Anssi d’avertir dans certains délais ses utilisateurs professionnels d’une vulnérabilité et de fournir le correctif adapté, ne le fait pas. Or si elle le lui a demandé, c’est que c’était pertinent, ou alors c’est que quelque chose ne tourne pas rond dans ma tête ou dans le raisonnement.
On peut effectivement en discuter !
Si l’Anssi a estimé pertinent d’enjoindre à une entreprise d’informer ses utilisateurs d’une faille et que cette entreprise fait défaut, il faut que cette communication soit obligatoirement faite par l’Agence car, dans le cas contraire, votre dispositif ne serait qu’un pétard mouillé !
Ça, il faut le dire à M. Boyard !
Le dispositif ne servirait à rien ! Dès lors, autant ne rien prévoir du tout, car cela reviendrait au même. Les choses ne relèveraient alors que du dialogue normal entre une administration et ses usagers et il existe déjà un code des relations entre le public et l’administration. J’insiste : pourquoi alourdirions-nous la loi avec des dispositions indiquant que les gens peuvent discuter entre eux ? Ils le peuvent évidemment.Il convient donc de verrouiller les choses formellement. Une marge d’appréciation est déjà laissée à l’Anssi dans le début de l’alinéa 6 : au bout du compte, il faut tout de même prévoir un couperet. Vous avez refusé l’introduction de sanctions financières, monsieur le ministre délégué, au motif que les entreprises font déjà face à un risque réputationnel, mais si ce dernier peut être lui-même sujet à discussion et à négociation, je répète qu’il n’y a plus rien ! […]
La parole est à M. le ministre délégué.
Nous commençons à faire le tour du débat. En réalité, les choses ne sont pas aussi simples que vous le dites. Cela a été évoqué, des questions se posent au sujet des mesures correctives, sachant que des problèmes de coordination entre éditeurs peuvent aussi avoir lieu, ce qui suppose donc que des marges d’appréciation soient laissées à l’Anssi au moment de donner une injonction à une entreprise.
C’est déjà réglé par le début de l’alinéa 6 !
Si ce n’est déjà fait, je vous invite à auditionner les représentants de l’Anssi, car celle-ci fait montre d’une grande diligence, d’une grande réactivité chaque fois qu’elle est informée d’attaques contre les autorités, les OIV – opérateurs d’importance vitale –, les OSE – opérateurs de services essentiels. Ainsi enjoindra-t-elle à un éditeur d’informer sur une vulnérabilité dont elle aurait eu connaissance et qui le nécessiterait,…
Mais si l’éditeur ne le fait pas ?
…sachant que, à défaut, elle pourra exercer cette capacité qui lui est conférée de faire elle-même la publicité de la vulnérabilité en question. J’estime que nous avons ainsi un ensemble cohérent, suffisamment contraignant, car impliquant un risque réputationnel pour les éditeurs, qui seront incités à répondre aux injonctions de l’Anssi, tout en laissant des marges d’appréciation suffisantes à l’Agence pour ne pas aggraver la situation lorsque survient une vulnérabilité.
C’est déjà résolu par le début de l’alinéa 6 !
(Les amendements identiques nos 839 et 996 ne sont pas adoptés.)
La parole est à M. Aurélien Lopez-Liguori, pour soutenir l’amendement no 1613.
L’article 34 vise à permettre à l’Anssi de publier les vulnérabilités d’une entreprise. Il s’agit non seulement d’une méthode contestable, mais qui est, en outre, de nature à mettre en danger une entreprise en l’exposant potentiellement à d’autres attaques. En effet, ce serait une occasion en or pour les hackers : on leur offrirait sur un plateau d’argent une voie d’entrée dans les systèmes d’information. Ils s’en donneraient à cœur joie, puisqu’il leur suffirait de consulter les publications de l’Anssi pour disposer d’une liste d’entreprises vulnérables sur lesquelles concentrer leurs attaques.Si je comprends votre volonté d’inciter les entreprises à combler les failles de leurs systèmes, vous faites en réalité peser une épée de Damoclès au-dessus de leur tête. Le name and shame prôné par Mme la rapporteure pour avis ressemble plus à une méthode de hackers qu’à la réponse qu’un État de […]
Quel est l’avis de la commission ?
Attendre que la vulnérabilité soit résorbée annulerait tout l’intérêt du dispositif,…