Compte rendu intégral des prises de parole, sous la présidence de Présidence de Mme Valérie Rabault.
Tours 401 à 600 sur 662 — page 3 / 4.
C’est le but !
…dont l’objectif est d’informer les utilisateurs de la présence d’une faille dans le logiciel afin d’en limiter les victimes. Il est bien entendu que, parallèlement à cette publication, l’Anssi, en lien avec l’éditeur victime de l’attaque, travaille à combler la faille. Votre amendement conduisant à affaiblir le dispositif, j’émettrai un avis défavorable.
D’où ma proposition en matière de pénalisation !
Quel est l’avis du Gouvernement ?
Tout à l’heure, l’Assemblée a rejeté des amendements qui prévoyaient que l’Anssi publie systématiquement la liste des entreprises présentant des vulnérabilités. Comme Mme la rapporteure pour avis, j’ai alors indiqué que, pour faire échec à la menace, il pouvait parfois être plus habile et intelligent de ne pas dévoiler les failles, ou de ne le faire que partiellement. Conserver une marge d’appréciation me semblait important. En empêchant toute publication tant que les failles ne sont pas comblées, votre amendement risque d’encourager les éditeurs, dont la réputation n’est alors plus compromise, à ne pas mettre tout en œuvre pour y remédier – c’est aussi le revers de la médaille du rejet des amendements précédents. Pour cette raison, j’y suis défavorable.
La parole est à M. Aurélien Lopez-Liguori.
Je comprends votre argument, monsieur le ministre délégué. Il est bien évident que, seul, cet amendement ne permet pas d’inciter les éditeurs à signaler et combler les failles de leurs systèmes, et c’est pour cette raison que j’ai déposé après l’article 36 un amendement tendant à demander un rapport sur la pénalisation des entreprises qui ne répondraient pas aux demandes de l’Anssi. La réponse d’un État de droit à ce type de manquements doit être une sanction, pas le name and shame proposé par Mme la rapporteure pour avis.
La parole est à Mme Anne Le Hénanff, pour soutenir l’amendement no 995.
Dans un souci de clarté et d’identification des acteurs concernés, il convient d’apporter un éclairage sur la notion d’éditeur de logiciel. Dès lors que son activité correspond à la définition suivante, nul ne pourra prétendre se soustraire aux dispositions du présent article : « On entend par éditeur de logiciel toute personne physique ou morale qui conçoit ou développe un produit logiciel ou fait concevoir ou développer un produit logiciel, et le met à disposition d’utilisateurs, à titre onéreux ou gratuit. » Cette définition traduit la jurisprudence rendue en la matière.
Quel est l’avis de la commission ?
La première définition que vous aviez proposée lors des débats en commission n’était pas pleinement satisfaisante. Cette nouvelle rédaction me paraît beaucoup plus robuste et complète : avis favorable.
Quel est l’avis du Gouvernement ?
Même avis.
La parole est à M. Philippe Latombe.
Il était absolument nécessaire de définir la notion d’éditeur de logiciel, et je regrette que nous ayons manqué d’occasions de le faire plus tôt, d’autant que la LPM n’est pas le meilleur véhicule législatif. Cette définition, qui sédimente la jurisprudence en la matière, est le fruit d’un beau travail légistique et sera utile pour d’autres textes, puisqu’elle permettra notamment d’imposer des obligations ou de fournir des moyens aux éditeurs de logiciels et facilitera la transposition dans le droit national de textes européens, comme la directive NIS 2.
La parole est à M. Laurent Jacobelli, pour soutenir l’amendement no 1037.
Le débat montre bien la nécessité de définir ou de préciser les contours de l’article. L’amendement vise à préciser l’alinéa 8 en prévoyant qu’un référentiel définira les critères permettant « l’évaluation objective » – j’insiste sur ce terme – « du caractère significatif » des vulnérabilités et incidents, l’article ne faisant référence, en l’état, qu’à « des standards internationaux communément admis ». Il semble en effet difficile de demander à des entreprises de respecter certains critères de protection sans que ceux-ci soient clairement définis.
Quel est l’avis de la commission ?
L’amendement tend à réécrire un alinéa que j’ai déjà complété en commission : l’exposé des motifs de mon amendement précisait que parmi les standards internationaux figure le CVSS – système standardisé de notation de vulnérabilité.
Ce n’est pas écrit dans le texte !
La rédaction actuelle me paraît équilibrée et suffisamment précise : avis défavorable.
Quel est l’avis du Gouvernement ?
Mme la rapporteure pour avis a rappelé à raison que des précisions avaient d’ores et déjà été apportées en commission. Néanmoins, un élément encore mériterait effectivement d’être précisé : si les critères de vulnérabilité sont effectivement encadrés par des standards internationaux, il n’existe aucune caractérisation communément admise des incidents. L’amendement suivant, déposé par Mme la rapporteure pour avis, vise à préciser que les standards internationaux ne serviront donc de grille d’évaluation que pour les vulnérabilités. Afin d’aboutir à la meilleure rédaction possible de l’article 34, je vous demande donc de bien vouloir retirer votre amendement au bénéfice de l’amendement no 1217 de Mme la rapporteure pour avis.
La parole est à Mme la rapporteure pour avis, pour soutenir l’amendement no 1217.
La notion de standards internationaux n’étant pertinente qu’en matière de vulnérabilités, mon amendement tend, comme l’a indiqué M. le ministre délégué, à préciser qu’ils ne s’appliquent pas aux incidents.
(L’amendement no 1217, accepté par le Gouvernement, est adopté.)
Je mets aux voix l’article 34.
(Il est procédé au scrutin.)
Voici le résultat du scrutin : Nombre de votants 85 Nombre de suffrages exprimés 83 Majorité absolue 42 Pour l’adoption 81 Contre 2
(L’article 34, amendé, est adopté.)
La séance est suspendue.
(La séance, suspendue à onze heures vingt-cinq, est reprise à onze heures quarante.)
La séance est reprise.
La parole est à M. Philippe Latombe.
Lorsque, en commission, nous avons commencé l’examen de l’article 35, nous étions très défavorables à sa rédaction. Nos amendements ont notamment permis de circonscrire son application « aux seules fins de garantir la défense et la sécurité nationale » – précision indispensable, de même que le maintien, pour les agents de l’Anssi recueillant des données auprès des acteurs numériques, de la nécessité d’être assermentés, disposition dont l’article prévoyait initialement la suppression. Ainsi modifié, il est désormais acceptable, conforme à ce qu’il doit être, si bien que nous voterons contre les amendements identiques tendant à le supprimer.En revanche, monsieur le ministre délégué, il ressort de cet article que des traceurs et balises peuvent être placés « sur le système d’information […] d’un opérateur de centre de données affecté par la menace ». Or de plus en plus de centres de […]
La parole est à Mme Anne Le Hénanff.
L’article 35 prévoit de renforcer les capacités de détection des cyberattaques et l’information des victimes par divers moyens : recueil de données sur le réseau d’un opérateur de communications électroniques ou le système d’information d’un fournisseur d’accès, d’un hébergeur, d’un centre de données ; obligation pour les OIV de disposer d’un système de détection des attaques informatiques ; obligation pour les hébergeurs de données de communiquer à l’Anssi certaines informations relatives aux utilisateurs ou systèmes d’information vulnérables, menacés ou attaqués.Étant donné l’octroi à l’Anssi de ces nouvelles prérogatives, il est nécessaire de s’assurer de l’encadrement des dispositifs en cause : c’est pourquoi le groupe Horizons et apparentés se félicite que l’adoption en commission de deux de ses amendements ait garanti, d’une part, que la collecte de données par l’Anssi n’aura lieu […]
La parole est à M. Ugo Bernalicis.
Les nouveaux pouvoirs de l’Anssi ressemblent bizarrement à ce qui se pratique en matière de renseignement : la captation de données par des boîtes noires. Certes, le mécanisme prévu par le texte est plus circonscrit, mais je ne m’en pose pas moins des questions. Sa finalité serait plutôt préventive : on nous explique qu’il ne sera mis en œuvre que tant que durera la menace, et dans le même temps que, l’Anssi ne roulant pas sur l’or, les dispositifs techniques pourraient être installés et analysés par les opérateurs eux-mêmes.Ces opérateurs auront donc à leur main un dispositif technique de captation de leurs propres données, à des fins d’analyse, alors que, pour des raisons de préservation des données personnelles des utilisateurs, ils ne sont théoriquement pas censés réaliser ces captations. Il y a donc plusieurs éléments gênants dans cet article, même si ces dispositions sont prises […]
Je suis saisie de trois amendements identiques, nos 177, 840 et 997, tendant à supprimer l’article 35.La parole est à Mme Mélanie Thomin, pour soutenir l’amendement no 177.
Cet amendement d’appel vise à maintenir les missions de l’Anssi dans leur cadre actuel. Le groupe Socialistes et apparentés a, en effet, pointé plusieurs risques majeurs depuis le début des débats. Ces risques concernent les délais de conservation des données, la capacité de contrôle donnée à l’Arcep, autorité indépendante en laquelle nous plaçons évidemment nos espoirs, et l’absence de précisions concernant le recours au juge administratif suivant la procédure du référé-liberté.Or nous constatons que les garanties que nous vous proposons depuis le début de nos débats ne sont jamais retenues. L’extension des pouvoirs de l’Anssi revêt donc une portée incertaine en termes de capacité et de moyens. Elle pourrait être bénéfique mais, lorsque nous pointons de réels sujets d’inquiétude en matière de droits et de libertés, vous ne faites pas preuve d’esprit de coopération. Nous avons, en […]
La parole est à M. Antoine Léaument, pour soutenir l’amendement no 840.
Celui-ci n’est pas un amendement d’appel, c’est bien un amendement de suppression de l’article ! Nous considérons en effet que l’article 35 élargit dans une trop grande mesure les pouvoirs donnés à l’Anssi et désapprouvons surtout – c’est le point le plus problématique pour nous – le fait que ce soient les opérateurs qui placent des dispositifs de collecte de données puis les transmettent, sur saisie de l’Anssi. Cela nous semble illogique, d’autant plus que d’autres modes de fonctionnement pourraient sans doute être envisagés.Je profite de l’occasion pour vous signaler dès à présent un problème de cohérence dans le texte : à l’alinéa 13, il est indiqué « Ces données ne peuvent être exploitées qu’aux seules fins de caractériser la menace affectant la sécurité de ces systèmes, à l’exclusion de toute autre exploitation. Elles ne peuvent être conservées plus de dix ans. »
Jusqu’à l’amendement no 180 de Mme Thomin !
Je sais bien qu’un amendement à venir pourrait modifier la durée ! Je me permettais simplement de signaler, de façon un peu habile, que l’on en revient à l’incohérence signalée précédemment s’agissant de la conservation des données.
La parole est à M. Ugo Bernalicis, pour soutenir l’amendement no 997.
Alinéa après alinéa, l’article 35 pose problème en de multiples endroits ! Le dispositif est censé être préventif, alors qu’il est circonscrit à l’existence d’une menace, ce qui est contradictoire. Des garanties sont données quant à la durée des mesures – on parle à l’article 32 de deux mois – et quant à la nécessité de les reconduire, mais elles ne correspondent pas à la logique préventive qui est affichée. Les marqueurs techniques devant capter les données ne sont pas précisément définis. On nous indique que les données personnelles seront détruites, car ce ne sont pas celles que l’on recherche mais, encore une fois, comment faire la distinction entre ce qui est personnel et ce qui ne l’est pas ? Ce n’est pas toujours aussi évident qu’on veut bien le croire. Les données seront conservées cinq ans et non pas dix si, comme je l’imagine, l’amendement de Mme Thomin est adopté tout à […]
Quel est l’avis de la commission ?
Il ne me semble pas inutile de rappeler l’objectif de l’article 35, les garanties prévues dès la version originale du texte et celles qui ont été introduites en commission des lois. L’article 35 vise à compléter le dispositif actuel qui permet déjà à l’Anssi, depuis la dernière loi de programmation militaire, de recourir à des marqueurs techniques pour obtenir, pendant une durée limitée, des informations sur les flux entrants et sortants d’une machine contrôlée par un cyberattaquant lorsque cette attaque constitue une menace pour les intérêts du pays. La collecte de ces informations purement technique est utile mais suppose que l’Anssi connaisse en amont les modes opératoires utilisés par les attaquants. Cet article vise ainsi à rendre possible le renforcement des capacités de détection d’attaques à l’encontre des systèmes d’information des autorités publiques et des opérateurs […]
Quel est l’avis du Gouvernement ?
Mme la rapporteure pour avis a bien rappelé l’objectif poursuivi par l’article et les améliorations apportées en commission ; je n’y reviendrai pas. Je voudrais simplement souligner que, comme vous le savez, ce dispositif trouve son origine dans les leçons tirées du dispositif prévu par la loi de programmation militaire précédente. Deux raisons expliquent la rédaction de cet article. D’abord, il était déjà prévu que l’Anssi puisse donner des marqueurs techniques, c’est-à-dire des adresses IP, aux opérateurs de communications électroniques qui sont eux-mêmes opérateurs d’importance vitale, si ces derniers en manifestaient la volonté. Or l’expérience a montré qu’un seul de ces opérateurs était entré dans une démarche de coopération active avec l’Anssi. C’est ainsi qu’est née l’idée de rendre cette coopération obligatoire.Deuxièmement, l’évolution de la menace a conduit à proposer que […]
La parole est à Mme Anne Le Hénanff.
Remettons les choses dans la perspective du projet de loi de programmation militaire. L’évolution des prérogatives accordées à l’Anssi suit l’évolution des menaces. En effet, trois nouveaux terrains de conflictualité ont été largement pris en compte par le projet de LPM : les fonds marins, l’espace et le cyber. Il est donc tout à fait normal, et même rassurant, de savoir que nous adaptons les nouvelles prérogatives de l’Anssi à ces nouveaux terrains de conflictualité.Il est choquant, par ailleurs, de sous-entendre que l’évolution des prérogatives accordées à l’Anssi serait une atteinte à la souveraineté nationale. L’Anssi, en tant que telle, représente justement, en lien avec la Première ministre, une garantie de l’autonomie stratégique de la France, de sa souveraineté numérique et de sa souveraineté nationale. Sans doute est-il nécessaire de le rappeler tant il est choquant, je le […]
La parole est à M. Ugo Bernalicis.
Ce n’est pas ce que j’ai dit, chère collègue.
Si, c’est ce que vous avez dit.
Non, non ! J’ai dit que le fait de confier la gestion de marqueurs fournis par l’Anssi à des opérateurs privés qui ne sont précisément pas l’Anssi peut soulever un problème de souveraineté. Je souhaiterais que ces marqueurs, s’ils sont mis en œuvre, soient tous gérés par l’Anssi et ses services, c’est-à-dire par le service public. Voilà ce que je dis ! Encore une fois, on va à l’économie parce que l’on n’a pas suffisamment de moyens, même s’il n’y a jamais que cinquante objectifs, et l’on préfère passer par les opérateurs privés. Or des individus pourraient s’introduire dans les locaux de ces derniers et découvrir ainsi, grâce aux marqueurs qui y sont exploités, les cibles et les objectifs de l’Anssi.Les explications du ministre délégué sont intéressantes s’agissant des objectifs, des opérateurs d’importance vitale et des balises posées devant les serveurs pour contrer les intrusions. […]
(Les amendements identiques nos 177, 840 et 997 ne sont pas adoptés.)
La parole est à M. Jérémie Iordanoff, pour soutenir l’amendement no 1271.
Avec cet amendement, je reviens une nouvelle fois sur la notion de sécurité nationale. Par dérogation, le droit de l’Union européenne autorise les États membres à utiliser les données de connexion de leurs ressortissants pour préserver la sécurité nationale mais la Cour de justice de l’Union européenne (CJUE) retient une conception très stricte de cette notion.Nous avons eu plusieurs fois le débat mais vous nous avez renvoyés, monsieur le ministre délégué, à la décision du Conseil constitutionnel, sans donner la liste de ce que recouvre cette notion. Il me semble que les hôpitaux et les collectivités locales n’en font pas partie et que cette définition ne correspond toujours pas à ce qui est attendu par l’Anssi. Pour garantir les libertés de nos concitoyens, nous avons besoin d’une définition de ce qu’on entend par sécurité nationale.
Quel est l’avis de la commission ?
Avis défavorable.
Quel est l’avis du Gouvernement ?
Nous avons eu ce débat lors de l’examen des articles précédents. Avis défavorable.
L’amendement no 1047 de M. Frank Giletti est défendu.
(L’amendement no 1047, repoussé par la commission et le Gouvernement, n’est pas adopté.)
Sur l’article 35, je suis saisie par le groupe Renaissance et le groupe Démocrate (MODEM et indépendants) d’une demande de scrutin public.Le scrutin est annoncé dans l’enceinte de l’Assemblée nationale.La parole est à Mme Mélanie Thomin, pour soutenir l’amendement no 178.
La mise en œuvre de marqueurs techniques doit être soumise à un avis conforme de l’Arcep. Cette autorité administrative connaît bien notre infrastructure informatique, elle est par ailleurs un gage de sérieux et d’indépendance pour contrôler le respect de l’État de droit.
Quel est l’avis de la commission ?
Avis défavorable.
Quel est l’avis du Gouvernement ?
Contrairement aux dispositifs visés à l’alinéa 5, les éléments que l’Anssi recueillera sur le réseau d’un OCE – opérateur de communications électroniques –, par ailleurs opérateur d’importance vitale, ne sont pas des données de contenu mais des adresses IP. Lorsque cette possibilité a été donnée en 2018, sur une base volontaire, c’est un contrôle a posteriori de l’Arcep qui a été prévu : le Conseil d’État a alors jugé la disposition suffisante, estimant que le contrôle était proportionné. Son avis n’a pas varié s’agissant de l’article 35 de la LPM, qui impose en outre la coopération entre les OCE et l’Anssi.
La parole est à M. Antoine Léaument.
Une nouvelle fois, j’ai du mal à comprendre pourquoi cet avis de l’Arcep vous pose problème. Certes, il doit être possible de déroger à certains droits, mais uniquement lorsque les intérêts fondamentaux de la nation, la sécurité intérieure sont en jeu. Mélanie Thomin propose simplement que la disposition soit soumise à un avis préalable et conforme de l’Arcep.S’assurer que les droits sont garantis n’est pas une mince affaire. Prenons l’article 66 de la Constitution, que chacun devrait apprendre par cœur : « Nul ne peut être arbitrairement détenu. » Pour qu’un tel droit soit garanti, il faut des moyens matériels. Sans moyens et sans autorité indépendante dans le processus de décision, les droits prévus dans la Constitution et la Déclaration des droits de l’homme et du citoyen ne sont pas effectifs. En ajoutant un acteur supplémentaire dans la prise de décision, l’amendement permet à une […]
La parole est à M. Jérémie Iordanoff, pour soutenir l’amendement no 1276.
Les alinéas 5 à 8 donnent à l’Anssi la possibilité de capturer l’intégralité d’un trafic réseau – et non plus seulement les données techniques – ou de copier la totalité d’un serveur pour y rechercher des informations caractérisant une menace. Si nous proposons de supprimer ce dispositif, c’est pour deux raisons.D’abord, il n’est pas nécessaire de légiférer puisque l’Anssi dispose déjà de larges pouvoirs d’investigation, sous le contrôle de l’autorité judiciaire. C’est en tout cas ce que révèle le Gouvernement dans l’étude d’impact : pour illustrer l’utilité de l’accès de l’Anssi au contenu des machines infectées, il explique que le parquet a ouvert en 2017 une enquête de flagrance, permettant à l’Anssi de procéder à l’analyse d’un serveur. Celle-ci a permis d’identifier non seulement les victimes mais aussi les autres cibles de l’attaquant – elles étaient répertoriées sur le serveur. […]
Quel est l’avis de la commission ?
Avis défavorable.
Quel est l’avis du Gouvernement ?
Vous avez raison : dès lors que de nouvelles prérogatives sont confiées à une autorité, le Gouvernement doit s’assurer qu’elle dispose des moyens nécessaires pour l’exercer. La question est bien identifiée et des discussions sont en cours avec l’Arcep.Je rappelle qu’avec ces alinéas, qu’il est important de conserver, il s’agit non pas d’organiser une forme de surveillance généralisée des flux sur internet, mais d’autoriser les agents de l’Anssi, après avis conforme de l’Arcep, à placer une balise sur des serveurs suspectés de projeter une attaque contre des autorités publiques, des opérateurs d’importance vitale ou des opérateurs de services essentiels, afin de pouvoir identifier précisément les ressorts de cette attaque. Comme vous le savez, les attaques de ce type peuvent se dérouler sur des périodes de temps relativement longues. J’ajoute que si l’Arcep est en désaccord avec les […]
La parole est à M. Jérémie Iordanoff.
Merci pour votre réponse. J’ai bien noté que vous comptiez augmenter les moyens de l’Arcep, ce qui semble nécessaire.Toutefois, je continue à penser que le dispositif n’est pas satisfaisant : copier l’intégralité de serveurs, même en nombre relativement limité, constitue une atteinte manifeste à la vie privée puisqu’il s’agit de données personnelles. Or, on nous l’a dit cent fois pour nous expliquer qu’il ne fallait pas définir plus précisément la notion de sécurité nationale, l’Anssi ne fait pas du renseignement : c’est une agence qui est placée sous l’autorité du pouvoir exécutif, le Premier ministre en l’occurrence. On voit que la procédure contourne l’autorité judiciaire et que le garde-fou que constitue le contrôle de l’Arcep reste assez limité.
La parole est à M. Philippe Gosselin.
Il est toujours compliqué de placer le curseur au bon endroit. Je relève cependant que le ministre délégué a parlé d’augmenter les moyens de l’Arcep, par ailleurs consacrée en tant qu’autorité administrative indépendante. Que le Gouvernement prenne un engagement ferme sur ce point sera de nature à rassurer les uns et les autres.
La parole est à M. Loïc Kervran.
Je tiens à rappeler la spécificité du modèle français, très protecteur car il organise la séparation entre le défensif et l’offensif, entre le civil et le militaire, entre l’Anssi et les services de renseignement. Il diffère en cela des modèles anglo-saxons. Il semble important de dire que, dans le cadre de cette loi de programmation militaire, on ne touche pas à ce qui est une garantie démocratique forte. (Mme Anne Le Hénanff et M. Jean-Louis Thiériot applaudissent.)
Une vraie singularité !
Sur l’amendement no 1631, je suis saisie par le groupe Renaissance d’une demande de scrutin public.Le scrutin est annoncé dans l’enceinte de l’Assemblée nationale.Je suis saisie de deux amendements identiques, nos 1277 et 1614.La parole est à M. Jérémie Iordanoff, pour soutenir l’amendement no 1277.
Certes, le renseignement et la sécurité sont séparés dans le modèle français. La difficulté, ici, réside dans le fait qu’on offre des techniques de renseignement à un organisme chargé de la sécurité. Si ce n’était pas le cas, nous n’en serions pas à demander des contrôles plus forts ! Vous devez entendre que, lorsqu’un organisme, placé sous l’autorité du Premier ministre, fait du renseignement, il y a un problème de séparation des pouvoirs.
Vu surtout comment la séparation est respectée en ce moment !
L’amendement no 1277, de repli, prévoit que le dispositif est mis en œuvre à titre expérimental et que son évaluation, préalable à sa généralisation, fera l’objet d’un rapport. (Mme Cyrielle Chatelain et M. Antoine Léaument applaudissent.)
La parole est à M. Aurélien Lopez-Liguori, pour soutenir l’amendement no 1614.
Après avoir déposé en commission des lois un amendement de suppression de l’article 35, nous revenons en séance dans une démarche constructive. Nous défendons en effet un amendement qui vise à donner un caractère expérimental au dispositif prévoyant d’autoriser l’Anssi, qui dépend, rappelons-le, du secrétariat général de la défense et de la sécurité nationale (SGDSN), lui-même placé sous l’autorité du Premier ministre, à accéder à des données de contenu.Deux problèmes se posent. Le premier est que vos données de contenu, les miennes, celles de vos familles, seront susceptibles d’être recueillies par des opérateurs pour être transmises à un service gouvernemental, sans contrôle judiciaire préalable. Le second tient au rôle attribué à l’Arcep : l’Autorité sera-t-elle capable de contrôler la mise en place du recueil des données ? La réponse est non. C’est elle-même qui l’affirme dans […]
Quel est l’avis de la commission ?
Donner un caractère expérimental au dispositif m’a d’abord paru être une idée très séduisante et j’ai même un temps songé à déposer un amendement similaire. Toutefois, les auditions des différents acteurs concernés m’ont montré que cela risquerait de créer une insécurité juridique, compte tenu des investissements dans les infrastructures qu’un tel projet implique.Nous serons appelés à voter sur des amendements portant sur l’évaluation des mesures contenues dans les articles 32 à 35, qui nous donneront une meilleure vision de leurs impacts.
Quel est l’avis du Gouvernement ?
Il est toujours séduisant d’expérimenter un dispositif avant de le déployer mais, en l’occurrence, l’évolution des compétences de l’Anssi que nous envisageons est le fruit de l’expérience tirée de la précédente de la loi de programmation militaire. Par ailleurs, ces modifications ont un caractère d’urgence car les Jeux olympiques et paralympiques de 2024 (JOP) provoqueront, selon les experts, un très grand nombre de tentatives d’intrusion – plusieurs dizaines de milliards. Toutes ne porteront évidemment pas atteinte à la sécurité nationale, mais certaines nécessiteront la mise en œuvre des dispositifs que vous aurez adoptés. Il est donc bon que l’Anssi, en lien avec l’Arcep et les acteurs concernés, puisse s’y préparer.Par ailleurs, le Gouvernement émettra un avis favorable sur l’amendement proposant une évaluation de la mise en œuvre des mesures prévues aux articles 32 à 35, ce qui […]
La parole est à M. Ugo Bernalicis.
Il est certain qu’à force de couper à la serpe les budgets des autorités administratives indépendantes, on en arrive à de telles situations. L’Arcep n’est du reste pas la seule concernée. Le phénomène est généralisé. La Défenseure des droits, lors de la présentation de son rapport annuel devant la commission des lois, confessait qu’elle n’avait obtenu que 2 des 5 ETPT – équivalents temps plein travaillés – qu’elle demandait, alors même qu’il lui en faudrait 300 à 400 et que ses homologues européens disposent entre cinquante et cent fois plus d’effectifs pour des missions analogues.Tous ces dispositifs supposent une mise en œuvre par l’exécutif : or je n’ai aucune confiance en lui pour qu’il y procède dans le respect des droits fondamentaux. Aucune ! J’ai été marqué par la lecture d’un récent article de Mediapart retraçant la manière dont un adjudant-chef a pu utiliser à Matignon 300 […]
Mais qu’est-ce que vous racontez ?
Les systèmes de garantie dont nous disposerions et dont seraient dépourvus les pays anglo-saxons, c’est du pipeau !
(Les amendements identiques nos 1277 et 1614 ne sont pas adoptés.)
La parole est à M. Jérémie Iordanoff, pour soutenir l’amendement no 1278.
Il importe de circonscrire le champ des données pouvant être collectées par l’Anssi. D’où notre ajout : « Les données collectées ne peuvent en aucun cas porter sur le contenu des correspondances échangées ou des informations consultées sous quelque forme que ce soit, dans le cadre de ces communications. » Restons-en au modèle français et ne glissons pas vers le renseignement, sachant que cette collecte relève de l’exécutif. C’est un amendement de bon sens auquel vous serez, je l’espère, favorables.
Quel est l’avis de la commission ?
Je tiens à rappeler que l’Anssi n’est pas un service de renseignement et n’a pas vocation à valoriser de telles données. La loi prévoit à cet égard la suppression sans délai des données non pertinentes. En outre, ce sont des agents assermentés et spécialement habilités qui interviendront. La responsabilité pénale pourra donc être engagée. Je suis attachée comme vous aux libertés fondamentales. Simplement, il faudrait parfois arrêter d’être fleur bleue.
Nous nous méfions surtout des agissements du Gouvernement !
Nous faisons face à des situations critiques et des menaces protéiformes, comme les réunions de la commission de la défense et des forces armées nous le montrent pratiquement chaque semaine. Nous devons trouver un équilibre. On dit parfois que l’Union européenne est un herbivore dans un monde de carnivores. Peut-être ne faudrait-il pas être trop herbivore et tenir un juste milieu ? (Applaudissements sur les bancs du groupe RE et sur quelques bancs du groupe Dem.)
Très bien !
Nous ne sommes pas fleur bleue avec ce gouvernement. Ceux qui sont fleur bleue, ce sont ceux qui croient à sa bienveillance permanente.
Quel est l’avis du Gouvernement ?
Avis défavorable.
La parole est à M. Jérémie Iordanoff.
Merci pour votre réponse, madame la rapporteure pour avis : vous confirmez que l’Anssi n’a pas besoin de certaines données. Autant qu’elle ne les collecte pas. Il ne faudrait pas être fleur bleue, d’après vous, mais il n’y a nulle naïveté de notre part. Simplement, nous considérons que, si une copie complète doit être faite, il importe de saisir l’autorité judiciaire. Vous nous renvoyez à l’Europe herbivore. Mais que voulez-vous que nous fassions pour être efficaces ? Que l’on supprime la justice !
Pas du tout !
C’est caricatural !
Non, ce n’est pas une caricature.
C’est vous qui êtes une caricature !
Notre droit prévoit l’intervention de l’autorité judiciaire. Pourquoi vouloir vous affranchir de son contrôle ? Nous voulons des raisons. Nous nous accordons tous sur le fait que le contenu des correspondances n’a pas à faire partie des données collectées. Écrivons-le dans la loi ! C’est simple. (Mme Sandra Regol applaudit.)
La parole est à M. Antoine Léaument.
Je ne comptais pas intervenir mais vous êtes allée trop loin, madame la rapporteure pour avis. Vous ne pouvez pas nous dire que nous sommes fleur bleue quand il est question de défense des droits. Nous n’avons confiance ni dans ce gouvernement ni dans cette majorité – mot qu’il faudrait mettre entre guillemets puisque vous êtes minoritaires – pour faire respecter d’une manière ou d’une autre la loi, la Constitution ou les principes fondamentaux qui ont présidé à la construction de notre nation. Hier, en commission des affaires sociales, l’opposition s’est vu refuser ses amendements, ce qui est une atteinte majeure au droit d’amender garanti par la Constitution.
C’est faux ! Arrêtez avec vos fake news !
Quand un Gouvernement s’en prend aux droits, il est normal de n’avoir aucune confiance en lui. Je vous renvoie à l’article 2 de la Déclaration des droits de l’homme et du citoyen dans lequel est inscrite la résistance à l’oppression. Dès lors qu’il y a oppression, tout citoyen a le droit d’y résister.
Quel est le rapport avec cette LPM ?
Cela a à voir. Quand il est question de la garantie des droits, collègues, vous nous trouverez toujours au travers de votre route. Qu’il s’agisse, dans la LPM, des petits droits, sur lesquels posent question les marqueurs techniques que l’Anssi fournira aux opérateurs, ou des grands !
Mais il y a des garanties !
Faisons référence à l’article 68 de la Constitution aux termes duquel « nul ne peut être arbitrairement détenu ».
C’est l’article 66 !
Combien de jeunes gens ont été arbitrairement détenus par votre gouvernement du fait des ordres donnés par M. Darmanin ?
Le problème, c’est que M. Darmanin n’arrête personne !
Recentrez-vous sur la LPM !
Des centaines de jeunes gens ont été arrêtés !
Vous vivez dans une réalité parallèle !
C’est vous qui vivez dans une réalité parallèle ! La manière dont vous avez traité l’opposition à la réforme des retraites, comme la violence que vous avez exercée à l’encontre des citoyens, ne fait que nous renforcer dans notre conviction : nous n’avons pas confiance dans le Gouvernement pour garantir les droits. (Exclamations sur les bancs des groupes Dem, RE et HOR.)
La parole est à M. Jean-Louis Thiériot, pour un rappel au règlement.
Il se fonde sur l’article 54, alinéa 6, auquel je me réfère régulièrement. Je vous propose que l’on revienne à l’ordre du jour qui nous occupe.Il est savoureux d’entendre le citoyen Léaument nous rappeler l’importance de l’État de droit alors qu’il est un grand défenseur de Robespierre qui, dans ses écrits, se disait opposé à la peine de mort et, dans les faits, a envoyé 17 000 personnes à la guillotine. (Applaudissements sur les bancs des groupes RE et Dem.)
Il faut revoir vos chiffres !
La parole est à M. le ministre délégué.
Ce rappel au règlement était utile. (M. Antoine Léaument proteste. – Exclamations sur quelques bancs du groupe RE.)
Monsieur Léaument, seul le ministre délégué a la parole.
Si nous voulons autoriser l’Anssi à collecter des données ciblées, c’est pour éviter que se répètent des cyberattaques comme celle qui a touché, de manière dramatique, l’hôpital de Corbeil-Essonnes, dans le département où se situe votre circonscription, monsieur Léaument, ou celle qu’a subie l’hôpital de Versailles, dans mon propre département. Il se peut que des ennemis de la France, à des fins d’agression, coordonnent de telles attaques afin de compromettre des serveurs et parviennent à les multiplier pour cibler nos institutions publiques, nos OIV et nos OCE, en passant sous les radars de l’Anssi dans l’état actuel des pouvoirs dont elle dispose.
Le problème, ce n’est pas l’objectif, qui peut être louable, c’est de vous donner un blanc-seing !
Il faut distinguer domaine civil et domaine militaire et rester sur ce qui nous occupe aujourd’hui, la loi de programmation militaire.
L’amendement no 179 de Mme Mélanie Thomin est défendu.
(L’amendement no 179, repoussé par la commission et le Gouvernement, n’est pas adopté.)
La parole est à Mme Mélanie Thomin, pour soutenir l’amendement no 180.
Compte tenu du contexte géopolitique que décrivent les chefs d’état-major devant la commission de la défense et des forces armées, je tenais à vous rappeler que personne, dans cet hémicycle, n’avait un comportement de fleur bleue, notamment dans les rangs des oppositions que vous vous plaisez à pointer du doigt, madame la rapporteure pour avis. (Applaudissements sur les bancs des groupes LFI-NUPES et Écolo-NUPES.)Après les tergiversations en commission se pose à nouveau la question de la conservation des données liées à la menace. Pourquoi avoir choisi dix ans pour le délai maximum de conservation ? Madame la rapporteure pour avis, depuis le début de la séance, vos arguments ne nous rassurent pas et nous poussent à nous interroger sur la façon dont vous envisagez l’équilibre entre défense de nos intérêts nationaux et respect de nos libertés fondamentales. En quoi cette durée de dix ans […]
(L’amendement no 180, accepté par la commission et le Gouvernement, est adopté.)
Je mets aux voix l’article 35.
(Il est procédé au scrutin.)
Voici le résultat du scrutin : Nombre de votants 89 Nombre de suffrages exprimés 86 Majorité absolue 44 Pour l’adoption 76 Contre 10
(L’article 35, amendé, est adopté.)
La parole est à M. Philippe Gosselin.
Je souhaite m’exprimer parce que je sais que mon amendement no 406 rectifié connaîtra un sort funeste si l’amendement de suppression de l’article est adopté.L’article 35 bis, introduit en commission à l’initiative de notre collègue Philippe Latombe, que je soutenais, oblige les opérateurs d’importance vitale et les opérateurs de service essentiel à cartographier leurs données sensibles et à recourir à un cloud souverain. Bien sûr, je conçois que cela puisse poser quelques difficultés. Toutefois, la protection des données sensibles est un enjeu majeur, tout comme celui du cloud souverain, que nous soulevons à l’envi depuis des mois, pour ne pas dire des années.La France accuse, en la matière, de vraies lacunes, même s’il existe des situations pires ailleurs, et nous ne sommes pas au bout de nos peines. Certains considèrent que cet article arrive trop tôt et qu’il est urgent d’attendre […]
Ah !
…qui est toujours entre les mains d’une société étrangère bien connue, et dont les données peuvent être récupérées, le cas échéant, en vertu du principe d’extraterritorialité. Disons-le clairement : il n’est pas question de mettre nos industries de défense en difficulté, mais il n’est pas question non plus de laisser nos données sensibles partir je ne sais où ! (Applaudissements sur quelques bancs du groupe LR. – M. Aurélien Lopez-Liguori applaudit également.)
La parole est à M. Aurélien Lopez-Liguori.
L’article 35 bis part d’un constat dramatique en matière de sécurité et de souveraineté. Il n’est pas rare que les autorités publiques ou des entreprises stratégiques aient recours à des entreprises extra-européennes pour le traitement de leurs données sensibles. L’article prévoit donc que les entités vitales pour notre pays, les OIV et les OSE, ne puissent confier le traitement de ces données qu’à des entreprises françaises ou européennes.Cette mesure permettra de mettre fin à l’hébergement des données du Health Data Hub par Microsoft, de la direction générale de la sécurité intérieure (DGSI) par Palantir ou encore de Doctolib par Amazon Web Services (AWS). Il est d’ailleurs aberrant que cet article de bon sens ne soit pas d’ores et déjà inscrit dans le droit. Comment les gouvernements successifs ont pu penser un instant que confier à des entreprises étrangères le traitement de données […]
Il faut conclure.
Pour sécuriser les données de notre pays et écarter tout risque d’ingérence étrangère, nous voterons bien sûr en faveur de l’article 35 bis.
La parole est à M. Philippe Latombe.
L’article 35 bis a été introduit par voie d’amendement en commission des lois, à mon initiative ; il faisait l’objet d’un sous-amendement visant à temporiser son application en allongeant les délais. Nous examinerons tout à l’heure un amendement de suppression de l’article.Permettez-moi de faire la distinction, dans mon propos, entre ce que j’en pense à titre personnel et la position du groupe Démocrate (MODEM et indépendants). Je suis bien sûr totalement en phase avec le contenu de l’amendement que j’avais déposé en commission et j’aimerais, monsieur le ministre délégué, que vous nous précisiez les actions que vous comptez engager en la matière. Car si l’amendement de suppression est adopté, nous devons néanmoins pouvoir disposer d’une prévisibilité. Je comprends que des OIV ou des OSE soient amenés à s’interroger quant aux modalités des dispositions qu’il introduit. Mais le problème […]
La parole est à Mme Anne Le Hénanff.
L’article 35 bis résulte de l’adoption de l’amendement de mon collègue Philippe Latombe en commission. J’avais moi-même déposé un amendement identique – que j’ai ensuite retiré –, car il me semblait pertinent, au vu des données sensibles hébergées par les OIV et les OSE, d’obliger ces opérateurs à identifier leurs données sensibles et à prendre des mesures techniques et opérationnelles de nature à protéger ces dernières.Toutefois, au cours de nos échanges, j’ai compris que le projet de loi de programmation militaire n’était pas le véhicule législatif adapté pour inscrire un tel dispositif, même si nous devrons l’instituer rapidement, compte tenu du contexte actuel dans le domaine cyber. Cette nécessité s’inscrit pleinement dans la démarche du Gouvernement et les missions du ministre délégué Jean-Noël Barrot en matière de souveraineté numérique et de protection des données.C’est pourquoi […]
La parole est à M. Ugo Bernalicis.
L’article que nous avions introduit en commission à l’initiative du collègue Latombe me semblait très bien. Nous étions enfin prêts à reconnaître que la souveraineté numérique et la propriété de nos données devaient entraîner des conséquences opérationnelles et concrètes, ainsi que des garanties pour s’assurer que ce qui s’est produit pour le Health Data Hub ou ce genre de plateformes ne puisse plus se reproduire.Certains considèrent désormais que ce ne serait pas le bon véhicule législatif. Je rappelle toutefois que, dans les articles 32 à 35, tout ne relève pas exclusivement du domaine militaire : sinon, nous aurions écrit bien moins de choses ! D’ailleurs, ces articles 32 à 35 auraient pu faire l’objet d’une loi spécifique sur le numérique plutôt que de figurer dans la LPM. Votre argument ne tient donc pas vraiment la route, mais admettons. Je comprends qu’il y a dû y avoir un […]
C’est le bleuet !
Nous en venons à l’amendement no 1631, visant à supprimer l’article 35 bis. La parole est à M. Mounir Belhamiti.
Je souhaite, pour commencer, féliciter notre collègue Philippe Latombe pour son travail sur la souveraineté numérique, qui dépasse la simple question du cloud souverain, et rappeler que nous partageons largement la nécessité de renforcer la souveraineté de la France dans ce domaine. Toutefois, cet article additionnel arrive trop tôt – je rejoins notre collègue Gosselin sur ce point : preuve en est le grand nombre d’amendements déposés en vue de réécrire l’article qui, en l’état, n’est pas opérant.
Exactement !
Plusieurs arguments permettraient de le démontrer. Cependant, le plus important est de ne pas percuter les négociations en cours au niveau communautaire relatives au schéma européen de certification de cybersécurité pour les services de cloud (EUCS), schéma dont dépend d’ailleurs le référentiel français SecNumCloud, qui est l’un des plus exigeants en la matière. Il est de notre responsabilité de mieux protéger nos données, certes, mais de le faire dans une stratégie globale, avec nos partenaires européens. C’est pourquoi, si je partage, sur le fond, la nécessité d’élargir l’obligation de recourir à des solutions qualifiées, il me semble important de le faire au bon moment, dans le cadre du véhicule législatif approprié.Conserver le présent article reviendrait à fragiliser la position française dans ces négociations européennes et affaiblirait la stratégie cloud de confiance et la […]
C’est faux !
Quel est l’avis de la commission sur cet amendement de suppression ?
Nous partageons tous l’objectif de l’article 35 bis en matière de souveraineté numérique. Je salue l’engagement de mes collègues Philippe Latombe et Anne Le Hénanff sur ce sujet. Néanmoins, nous devons choisir le bon niveau décisionnel : il se situe actuellement plutôt au niveau de l’Union européenne. Soyons attentifs à ne pas nuire aux négociations en cours sur l’EUCS. Je laisse M. le ministre délégué vous apporter une réponse plus précise sur le fond. Avis favorable.
Quel est l’avis du Gouvernement ?
Permettez-moi, à mon tour, de remercier Philippe Latombe de son amendement présenté en commission. Je voudrais dire à la commission et à ses membres que le Gouvernement partage en tout point les objectifs poursuivis. Il est inadmissible que les données sensibles des administrations françaises et des organisations critiques puissent être, en raison de la migration progressive de celles-ci vers le cloud, réquisitionnées par des puissances extra-européennes à des fins d’instruction ou de renseignement.C’est la raison pour laquelle, il y a quelques années, l’État s’est donné une doctrine, celle du cloud de confiance, et s’est doté d’un référentiel, le SecNumCloud, délivré par l’Anssi, qui permet de garantir qu’une solution d’hébergement en nuage est immunisée contre les réquisitions opérées par des puissances extra-européennes dont la législation a une portée extraterritoriale.Ceux qui […]
Ici, nous parlons de la France, pas de l’Europe !
Si, dans son niveau de sécurité le plus élevé, ce schéma retient les mêmes exigences que celles auxquelles nous comptons astreindre nos administrations, voire, ultérieurement, nos organisations critiques – OIV et OSE –, ce sera une grande victoire. En effet, les opérateurs de cloud français et européens qui auront investi pour se conformer à la certification SecNumCloud pourront opérer ailleurs en Europe. Nous aurons aussi la satisfaction de voir l’ensemble des États membres se ranger derrière nos exigences d’immunité face aux législations extraterritoriales. Si, au contraire, nous ne parvenons pas à introduire dans cette certification les mêmes exigences que celles que nous nous sommes imposées, alors, comme souvent lorsque nous devons faire des compromis européens, nous devrons revoir à la baisse nos exigences en matière d’immunité.
Comme à chaque fois avec l’Europe !
Il est donc indispensable que nous allions au terme des discussions européennes et que nous obtenions gain de cause. Nous avons remporté une première victoire : le 9 mai, la Commission a fait apparaître, pour le critère d’immunité face à l’extraterritorialité dans son projet de certification, le niveau de sécurité le plus élevé. Cependant, la bataille n’est pas terminée. Je me rendrai dès ce soir à Luxembourg pour assister, demain, à un conseil « transports, télécommunications et énergie », en vue de convaincre mes homologues du bien-fondé de cette immunité.
Alors, votons !
Si nous adoptions cet article aujourd’hui, certains pays, qui hésitent encore à retenir un niveau de sécurité aussi élevé que le nôtre, s’empresseraient de reprocher à la France d’aller plus vite que la musique et de vouloir imposer trop rapidement des obligations trop contraignantes. Ils s’abriteraient derrière ces arguments pour faire échouer la négociation.
Bien sûr !
C’est l’Europe qui décide, finalement !
Quelle soumission !
Deuxièmement, Bruno Le Maire et moi-même avons expliqué que ces obligations s’imposeraient aux administrations – c’est un fait. Nous avons ajouté que nous souhaitions que les entreprises privées poussent plus loin la sécurisation de leurs données, et qu’il fallait partir, dans un premier temps, sur une base volontaire. Nous avons ajouté avec beaucoup de gravité que si nos entreprises qui détiennent des données sensibles ne se saisissent pas librement de cette offre de sécurisation, il n’est pas exclu qu’à un moment ou à un autre, nous en venions à une norme obligatoire pour protéger notre souveraineté industrielle et notre indépendance. Je réaffirme cette ambition devant vous. (MM. Ugo Bernalicis et Thomas Portes s’exclament.)
Strasbourg n’est pas la capitale de la France !
Merci de laisser parler M. le ministre délégué, chers collègues.
Laissez-moi terminer, c’est important pour éclairer votre vote.Troisièmement, nous avons annoncé que nous ferions paraître, dans les semaines suivant la réunion, la définition des données sensibles que les administrations françaises devront héberger dans des clouds sécurisés.
Voilà !
Vous avez estimé, monsieur Latombe, que le Gouvernement traînait à publier la révision de la circulaire relative au cloud de confiance, qui définit les données sensibles. J’ai le plaisir de vous annoncer que Mme la Première ministre a signé hier cette circulaire révisée : elle mentionne la définition de ces données dans son neuvième paragraphe. Cela nous permettra d’avancer en aidant les administrations à se préparer à la migration de leurs données sensibles vers un cloud de confiance.Pour toutes ces raisons, dont les membres de la commission n’avaient peut-être pas connaissance quand ils ont adopté l’article, je vous propose d’adopter cet amendement de suppression. (Applaudissements sur plusieurs bancs des groupes RE et Dem.)
Très bien !
La parole est à M. Philippe Latombe.