Amendement n° 380 — ARTICLE 25

Après l’alinéa 1, insérer l’alinéa suivant :

« Pour les très petites entreprises et les petites et moyennes entreprises, telles que définies par la législation européenne, le délai imparti ne peut être inférieur à trois mois, sauf en cas de menace grave et immédiate. »

Cet amendement vise à instaurer un délai minimal de trois mois pour la mise en œuvre des mesures prescrites par l’ANSSI aux très petites, petites et moyennes entreprises, sauf en cas de menace grave et immédiate.

Les petites entreprises ne disposent pas des mêmes moyens humains, techniques et financiers que les grandes entreprises pour répondre aux exigences de cybersécurité. Leur imposer des délais trop courts reviendrait à les placer face à une injonction irréalisable, accentuant le fossé avec les grandes entreprises mieux armées.

Cet amendement vise donc à garantir une application proportionnée et socialement équitable de la loi, en permettant aux petites entreprises de réaliser les mesures demandées dans un délai adapté. L’exception prévue en cas de menace grave et immédiate préserve la capacité d’intervention rapide de l’ANSSI.