Amendement n° 364 — ARTICLE 14

À la seconde phrase de l’alinéa 6, substituer aux mots : 

« la gravité », 

les mots : 

« l’effet perturbateur important ».

Le présent amendement vise à encadrer l’élaboration du futur référentiel d’exigences techniques et organisationnelles afin que les obligations de cybersécurité soient adaptées à la réalité des risques.
 
Ce référentiel déterminera concrètement les mesures que devront mettre en œuvre plusieurs milliers d’entités. Il est donc essentiel que son niveau d’exigence ne soit pas défini de manière uniforme, mais qu’il tienne compte de l’exposition au risque, de la taille de l’entité, de la probabilité et de la gravité des incidents, ainsi que de l’ampleur des perturbations qu’ils seraient susceptibles de provoquer.
 
L’ajout de la notion d’« effet perturbateur important », tel que proposé dans le présent amendement, permet de mieux apprécier les conséquences réelles d’une défaillance sur les usagers, les territoires et les autres activités essentielles. Il donne ainsi une traduction concrète au principe de proportionnalité, sans remettre en cause l’ambition du projet de loi en matière de cybersécurité.
 
Cette précision assure également la cohérence entre les exigences de résilience applicables aux activités d’importance vitale et les obligations de cybersécurité prévues par le présent projet de loi. Les deux volets doivent poursuivre le même objectif : permettre aux opérateurs de mettre en œuvre des mesures adaptées aux menaces auxquelles ils sont exposés et à l’impact réel qu’aurait une interruption de leurs services.
 
La directive NIS 2 impose bien une appréciation tenant compte notamment de la taille de l’entité, de son exposition au risque, de la probabilité et de la gravité des incidents, y compris de leurs conséquences sociales et économiques.
 
À défaut, l’application uniforme du référentiel pourrait faire peser sur des services locaux des charges financières et opérationnelles disproportionnées au regard des risques encourus. Tel pourrait notamment être le cas de petits réseaux de chaleur et de froid, pour lesquels le coût de ces obligations serait nécessairement répercuté sur les abonnés.

Cet amendement a été travaillé avec la FEDENE.