Amendement n° 63 — ARTICLE 14

Après la deuxième phrase de l’alinéa 1, insérer la phrase suivante :

« Ces mesures peuvent prendre en compte le risque lié à l’origine des produits et composants utilisés, dans le cas où le fabricant est directement ou indirectement contrôlé par un Gouvernement, une autorité publique ou une force armée d’un pays tiers. »

Dans un contexte marqué par l’intensification des cybermenaces et des tensions géopolitiques, la résilience des entités essentielles et importantes repose, en complément de la sécurité des réseaux et des systèmes d’information, sur la sécurité et la maîtrise des équipements matériels (« hardware ») qui les composent, qu’il s’agisse des terminaux ou de leurs composants.

La sécurité de ces systèmes suppose une appréciation globale des risques liés aux équipements et composants qui les constituent, tenant compte à la fois de leur niveau de sécurité technique et des risques d'ingérence étatique. La directive NIS2 reconnaît à cet égard l’importance de la sécurité de la chaîne d’approvisionnement dans l’appréciation du risque cyber.

S’inspirant de l’approche retenue par l’Allemagne dans le cadre de sa transposition de NIS 2 adoptée en 2025, le présent amendement vise à permettre une appréciation fondée sur les risques des équipements et composants numériques utilisés par les entités essentielles et importantes.

Il ouvre ainsi aux entités concernées la possibilité d’intégrer, dans le cadre des mesures de gestion des risques prévues par l’article 14, les conditions de contrôle des fabricants des produits et composants qu’elles utilisent, afin d’identifier ceux susceptibles de présenter un risque pour la sécurité de leurs systèmes d’information, selon une approche proportionnée et fondée sur l’analyse des risques.

C'est une des conditions de la souveraineté que de mieux mesurer les risques liés aux équipements matériels produits par des entreprises de pays tiers.