Amendement n° 182 — ARTICLE 14

Compléter l’alinéa 6 par la phrase suivante :

« Ce décret détermine les modalités d’exclusion du champ d’application du présent article des systèmes d’information que les entités n’utilisent pas dans le cadre de leurs activités ou pour la fourniture de leurs services. »

Les entités concernées par le présent projet de loi sont déjà fortement régulées avec des milliers de systèmes d’information à gérer, dont la plupart ne sont pas des systèmes d’information critiques.
 
Aussi, appliquer l’ensemble des mesures de sécurité de façon indifférenciée à l’ensemble du système d’information de l'entité essentielle ou importante semble disproportionnée et non nécessaire. Cela serait en effet difficilement applicable, ces entités seraient obligées de réaliser des analyses de risque sur chacun d’entre eux.
 
Afin de répondre à l’exigence de proportionnalité prévue à l’alinéa 1 du même article, une clarification est donc souhaitable sur ce point. C’est la raison pour laquelle il est proposé par cet amendement que le décret précise les modalités d’un mécanisme proportionné d’exclusion du champ d’application des réseaux et systèmes d’information dont la défaillance n’aurait pas d’impact sur l’activité des entités régulées et détermine précisément les typologies de systèmes d’information concernés.
 
Dans sa rédaction actuelle, le projet de loi ne prévoit pas, en effet, de graduation en fonction des systèmes d’information mais uniquement en fonction des entités. Une certaine souplesse doit être accordée en fonction des systèmes d’information ; tous n’ont pas le même impact sur la continuité de l’activité, cela avait d’ailleurs été relevé par l’ARCEP lors de son audition devant la commission spéciale.

Amendement travaillé avec la Fédération française des télécoms.