L’Assemblée nationale examine en procédure accélérée un projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne dans le domaine de la sécurité. Ce projet de loi comporte 24 articles répartis en cinq titres, dont le premier transpose la directive UE 2016/1128 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des système d’information dans l’Union européenne.
Adopté en première lecture au Sénat, l’Assemblée a débuté l’examen du texte en procédure accélérée le 31 janvier 2018.
Les 15 articles du Titre I rendent obligatoires l’identification des opérateurs de services numériques essentiels au bon fonctionnement social et économique du pays ; la définition d’une stratégie nationale en matière de sécurité des réseaux et SI ; la désignation d’autorités nationales compétentes, d’un point de contact unique et des Centres de réponses aux incidents de sécurité informatique, et précisent enfin les exigences de sécurité et les modalités de mise en oeuvre, d’exécution et de sanctions auxquelles s’exposent les éventuels récalcitrants.
Transposition de la directive européenne du 6 juillet 2016 visant à garantir la sécurité des réseaux et systèmes d’information
Le projet de loi comporte 24 articles, répartis en cinq titres. Les trois premiers titres ont pour objet de transposer ou mettre en oeuvre des directives européennes. Les titres IV et V sont relatifs, respectivement, à l’application en outre-mer et aux dispositions transitoires.
Le Titre I (articles 1 à 16) transpose notamment la directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union européenne.
Première initiative de l’Union européenne visant à légiférer de manière globale dans le champ de la cybersécurité, la directive du 6 juillet 2016 poursuit un triple objectif :
- établir un cadre communautaire de coopération entre les Etats en matière de cyber-sécurité;
- renforcer leurs capacités de réaction en cas de cyber-attaques et garantir la continuité des activités économiques et sociétales critiques de chaque Etat ;
- instaurer un cadre règlementaire pour mieux protéger la sécurité des réseaux et systèmes d’information des opérateurs de services essentiels et des fournisseurs de services numériques.
En France, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) créée par le décret n° 2009-834 du 7 juillet 2009 assure la fonction d’autorité de défense et de sécurité des systèmes d’information. Compte tenu de son rôle, l’ANSSI est au coeur de la directive européenne.
Principales dispositions relatives à la sécurité des systèmes d’information
L’objectif de la France, précisé dans le dossier législatif du Sénat, « est donc de renforcer la sécurité des systèmes d’informations de ces opérateurs (de services essentiels) et fournisseurs de service numérique, qui ne sont soumis actuellement à aucun dispositif règlementaire ».
Article 5 du projet de loi : Identification des opérateurs de services essentiels
Les Etats membres de l’Union européenne sont tenus d’identifier avant le 9 novembre 2018 les « opérateurs de services essentiels au fonctionnement de la société ou de l’économie et dont la continuité pourrait être gravement affectée par des incidents touchant les réseaux et systèmes d’information (…) » présents sur leur territoire. Chaque Etat doit également désigner une autorité compétente nationale chargée d’identifier ces opérateurs sur la base des critères prévus à l’article 5.
Article 7 : Stratégie nationale en matière de sécurité des réseaux et des systèmes d’information
Chaque Etat doit adopter une stratégie nationale qui définit les objectifs stratégiques et les mesures politiques et règlementaires appropriées pour garantir le niveau de sécurité des réseaux et des systèmes d’information le plus élevé possible.
Articles 8, 9, 10, 11 : Autorités nationales compétentes, opérateurs concernés et représentants des fournisseurs de service numérique
Chaque Etat membre doit désigner : une ou plusieurs autorités compétentes en matière de sécurité des réseaux et des SI ; un point de contact national unique chargé d’assurer la liaison avec les autorités des autres Etats membres ; un ou plusieurs Centres de réponse aux incidents de sécurité informatique (CSIRT), lesquels coopèrent au sein du réseau européen des CSIRT prévu à l’article 12.
Les fournisseurs de services numériques sont visés à l’article 10 du projet de loi : « moteurs de recherche en ligne », service numérique permettant de conclure des contrats en ligne, etc. Ces fournisseurs doivent désigner un représentant auprès de l’ANSSI (article 12).
Article 12, 13, 14 et 15 : Exigences de sécurité et notification d’incidents
Les fournisseurs de service numérique doivent prendre des mesures techniques et organisationnelles pour gérer les risques en matière de cyber-sécurité et pour prévenir les incidents de sécurité. Ils doivent notifier à l’autorité compétente les incidents de sécurité qui ont un impact significatif sur les services qu’ils fournissent.
En cas de manquement aux obligations posées par la directive transposée en droit national, les dirigeants des fournisseurs de service numérique s’exposent à des amendes allant de 50 000 à 100 000 euros.