Amendement n° 383 — ARTICLE 31

I. – À la seconde phrase de l’alinéa 11, substituer au mot :

« procède »,

les mots :

« peut procéder ».

II. – En conséquence, compléter le même alinéa 11 par la phrase suivante :

« Elle tient compte, pour déterminer le montant total de l’astreinte liquidée, des circonstances de l’espèce, notamment de la taille de l’entité, de ses capacités humaines, techniques et financières, des diligences accomplies pour se conformer à la mesure d’exécution et des difficultés rencontrées dans sa mise en œuvre. »

EXPOSÉ SOMMAIRE

Cet amendement vise à permettre à la commission des sanctions d’adapter la liquidation des astreintes à la situation des entités concernées, en inscrivant explicitement leur taille et leurs capacités parmi les critères d’appréciation.

L’article 31 prévoit que les mesures d’exécution prescrites par l’ANSSI peuvent être assorties d’une astreinte pouvant atteindre 5 000 euros par jour de retard. En cas d’inexécution totale ou partielle ou d’exécution tardive, la commission des sanctions procède à sa liquidation.

Les conséquences d’une telle astreinte diffèrent fortement selon la taille et les moyens de l’entité. Une petite structure ne dispose pas des mêmes équipes spécialisées ni des mêmes capacités financières qu’un grand groupe. Des difficultés techniques ou un manque de compétences peuvent également retarder l’exécution d’une mesure, malgré les démarches engagées pour s’y conformer.

Le présent amendement permet donc à la commission d’apprécier, au cas par cas, l’opportunité de liquider l’astreinte et le montant effectivement dû. Il lui impose de tenir compte notamment de la taille de l’entité, de ses capacités humaines, techniques et financières, de ses diligences et des difficultés rencontrées.

Il s’agit de garantir une application proportionnée des mesures de cybersécurité, sans remettre en cause les obligations de mise en conformité ni la possibilité de recourir à une astreinte pour en assurer l’exécution.