Amendement n° 38 · ART. 4, déposé par M. Molac LIOT +18 cosignataires.
L'essentiel : À partir de 2024, cet amendement voulait conditionner le versement de l’assurance après une cyberattaque, pour les grandes entreprises et ETI, à la mise en place préalable de moyens de protection informatique.
Texte exact de l'amendement
Compléter cet article par l’alinéa suivant : « À partir du 1 er janvier 2024, pour les entreprises de taille intermédiaire et les grandes entreprises mentionnées à l’article 51 de la loi n° 2008‑776 du 4 août 2008 de modernisation de l’économie, le versement d’une somme en application d’une clause assurantielle prévu au présent article ne peut intervenir que si l’entreprise concernée a mis en œuvre des moyens de lutte appropriés contre les cyberattaques, notamment des investissements dans du matériel et des logiciels informatiques adéquats, dans des conditions définies par décret. »
Exposé des motifs de l'auteur·rice
L’objet de cet amendement est d’i nciter les entreprises de taille intermédiaire et les grandes entreprises à se doter des moyens, notamment informatiques, nécessaires à la lutte contre les cyberattaques . Il est nécessaire que les opérateurs économiques privilégient de tels investissements au paiement d’une rançon. Afin de ne pas être totalement impuissantes suite à une attaque, les entreprises doivent s’astreindre à ne plus compter exclusivement sur leurs assurances et se concentrer sur la mise en place de mesures proactives pour défendre leurs données. En ce sens, pour leur donner suffisamment de temps et de marges de manœuvre, il est proposé, uniquement à partir de 2024 , de conditionner le versement du paiement d’une rançon par l’assurance au déploiement de moyens de lutter contre les cyberattaques dans ces entreprises. Les conditions seront précisées par décret. Pour ne pas pénaliser les TPE et les PME , il est proposé de ne pas les soumettre à cette condition.
Texte officiel de l'amendement (open data de l'Assemblée nationale).
Le parcours du texte parent
Ce vote ne portait que sur un amendement (son sort est en haut de la carte) ; voici le parcours du texte entier auquel il se rattache.
- 7 septembre 2022 Dépôt du texte Sénat entrée au Parlement
- 18 octobre 2022 1re lecture Sénat Adopté
- 22 novembre 2022 1re lecture Assemblée Modifié
- 1er décembre 2022 Commission mixte paritaire Accord
- 7 décembre 2022 Lecture des conclusions de la CMP Assemblée Adopté
- 14 décembre 2022 Commission mixte paritaire Adopté
- 19 janvier 2023 Conseil constitutionnel Partiellement conforme
- 24 janvier 2023 Promulgation loi n° 2023-22
Ce que change ce texte
Le texte approuve un rapport annexé sur la modernisation du ministère de l'intérieur et fixe, pour la période 2023-2027, l'évolution des crédits de paiement du ministère et des plafonds des taxes qui lui sont affectées, hors charges de pensions. Il crée dans le code des assurances un chapitre consacré à l'assurance des risques de cyberattaques, qui encadre le versement d'une somme au titre d'une clause couvrant le paiement d'une rançon par l'assuré. Il élargit les possibilités d'enquête sous pseudonyme en autorisant, dans les mêmes conditions d'autorisation que celles déjà prévues, l'acquisition de tout contenu, produit, substance, prélèvement ou service, y compris illicite. Il permet à un officier de police judiciaire d'être autorisé par tout moyen par le procureur de la République ou le juge d'instruction pour certaines saisies, et introduit dans le code des postes et des communications électroniques la notion de communications mobiles critiques à très haut débit. Il crée en outre dans le code pénal une section consacrée à l'outrage sexiste, puni de 3 750 euros d'amende.
Le texte d'ensemble en détail (résumé complet, travaux, votes liés)
Les moyens du texte d'ensembleet leur sort
- 15 milliards d’euros sur cinq ans Adopté
La loi fixe une trajectoire de 15 milliards d’euros de moyens supplémentaires pour le ministère de l’intérieur sur la période 2023-2027.
Validé par le Conseil constitutionnel.
- 8 500 postes de policiers et gendarmes Adopté
Recrutement de 8 500 policiers et gendarmes supplémentaires sur la durée de la programmation.
Validé.
- Transformation numérique et lutte anti-cyber Adopté
Engagement de la transformation numérique du ministère, renforcement de la lutte contre la cybercriminalité et amélioration de l’accompagnement des victimes.
Validé.
- Répression des violences contre les élus et de délits routiers Censuré
L’article 15 aggravait la répression des violences commises contre les élus et de certains délits routiers.
Censuré comme cavalier législatif : le Conseil constitutionnel a jugé cette disposition sans lien, même indirect, avec le texte déposé (article 45 de la Constitution).
- Nouveau régime des menaces de mort Censuré
L’article 26 modifiait la répression des menaces de mort.
Censuré comme cavalier législatif (absence de lien avec le projet initial).
- Enquête sous pseudonyme élargie Censuré
L’article 10 étendait les possibilités d’enquête sous pseudonyme des agents ; une partie de la mesure a été retirée.
Censure partielle : les mots autorisant l’acquisition ou la transmission d’un objet illicite ont été jugés contraires au droit à un procès équitable.
Comprendre les votes
Comment chaque groupe a voté
| Groupe | Pour | Contre | Abstention |
|---|---|---|---|
| La France insoumise - Nouvelle Union Populaire écologique et sociale | 0 | 0 | 13 |
| Gauche démocrate et républicaine - NUPES | 0 | 0 | 2 |
| Écologiste - NUPES | 0 | 0 | 7 |
| Socialistes et apparentés (membre de l’intergroupe NUPES) | 0 | 7 | 0 |
| Libertés, Indépendants, Outre-mer et Territoires | 1 | 0 | 0 |
| Démocrate (MoDem et Indépendants) | 0 | 22 | 0 |
| Renaissance | 0 | 67 | 0 |
| Horizons et apparentés | 0 | 8 | 0 |
| Les Républicains | 0 | 15 | 0 |
| Rassemblement National | 53 | 0 | 0 |
| Non inscrit | 0 | 0 | 1 |
Mises au point de vote 1
Sous son analyse de ce scrutin, l'Assemblée publie une rubrique « Mises au point » où des député·es font consigner la position qu'ils avaient voulu prendre. Elle ne rectifie pas le scrutin : le relevé ci-dessus reste le résultat officiel, et l'Assemblée le publie inchangé dans le même document.
Une autre mise au point émane de député·es qui ne figurent pas dans le relevé nominatif de ce scrutin : aucun vote n'y est enregistré à leur nom.
- Véronique Louwagie LR Vote enregistré aucun Position déclarée voter contre
Lire la rubrique « Mises au point » sur l'analyse officielle du scrutin ↗
Ce qui s'est dit sur cet amendement
Prises de parole lors de la discussion de l'amendement no 38 en séance (Orientation et programmation du ministère de l’intérieur), reprises telles quelles du compte rendu intégral officiel, dans l'ordre où elles ont été prononcées. L'amendement n'est pas toujours défendu par la personne qui l'a déposé.
« Il vise à inciter les entreprises de taille intermédiaire (ETI) et les grandes entreprises à se doter des moyens, notamment informatiques, nécessaires à la lutte contre les cyberattaques. Cet amendement, qui ne s’appliquerait qu’à compter de 2024, a été conçu spécifiquement pour toucher les ETI et les grandes entreprises, afin de ne pas pénaliser les TPE et les PME. Notre collègue Paul Molac tient beaucoup à son adoption. C’est pourquoi il m’a demandé de le défendre. »
« Votre présentation ne reflète pas du tout le contenu de l’amendement, sans quoi j’aurais pu y être favorable. L’amendement vise à conditionner le versement de la somme prévue dans la clause assurantielle au fait que « l’entreprise concernée a mis en ?uvre des moyens de lutte appropriés contre les cyberattaques ». Contrairement à ce que vous indiquez, une TPE ou une PME, n’étant pas forcément en mesure de se doter de moyens de protection contre les cyberattaques, serait pénalisée par l’adoption de cet amendement, là où une grande entreprise disposera des moyens requis. »
« Je m’étonne que M. Naegelen ait cosigné cet amendement qui, sur le plan des libertés économiques, est tout de même surprenant, puisqu’il vise, en fin de compte, à définir dans la loi les conditions d’exécution du contrat d’assurance, ce qui est assez atypique. On pourrait concevoir que la loi prohibe toute clause par laquelle une compagnie d’assurance se dédouanerait de son obligation d’intervention au motif qu’une entreprise ne s’est pas dotée d’un logiciel de protection : j’aurais pu entendre qu’on cherche à réduire les clauses restrictives imposées par les assurances. En revanche, définir le contrat d’assurance dans la loi relève d’une démarche assez originale. »
« Cet amendement est symptomatique en ce qu’il montre que nous n’avons pas pris assez de temps pour discuter de cette question. Il met le doigt sur un enjeu important : les outils qu’il faut mettre en place en matière de prévention. Nous avons en effet mis fin à notre discussion au moment où nous avons considéré que le système assurantiel allait constituer, comme par magie, un outil de prévention pour les entreprises, quelle que soit leur taille. C’est nous mettre le doigt dans l’œil. En effet, de nombreuses petites entreprises ne s’assurent pas car elles n’y voient pas d’intérêt dans la mesure où cela représente un coût supplémentaire. On le voit, le dispositif prévu est incomplet. »
Ce qu'il s'est dit d'autre en séance 12 prises de parole de la discussion, reprises du compte rendu officiel
Premières prises de parole de la discussion de ce texte en séance (Orientation et programmation du ministère de l’intérieur), reprises telles quelles du compte rendu intégral officiel : une par orateur·rice, dans l'ordre du compte rendu, sans sélection éditoriale.
« Il est encore question du délai pour déposer plainte. Monsieur le rapporteur, vous avez dit cet après-midi que votre choix se portait sur soixante-douze heures. »
« Plusieurs agences de presse internationales se sont fait l’écho du fait que deux explosions, causées par deux missiles, se seraient produites à proximité de la frontière ukrainienne, sur le territoire de la Pologne. Le gouvernement polonais tient actuellement une réunion de crise. »
« À ce stade, nous ne disposons pas d’informations supplémentaires par rapport à celles que vous avez données. Je vais relayer votre interrogation pour vous répondre dès que nous en saurons plus. »
« Force est d’admettre que les affaires qui nous occupent deviennent tout d’un coup très relatives au vu des événements en cours. S’agissant du délai de dépôt de plainte, je ne vous referai pas l’article, sans mauvais jeu de mots. »
« Dans la même logique, nous continuons de demander des délais supplémentaires. Nous proposons non pas quinze jours comme cela a été évoqué cet après-midi, mais une semaine. Cela permettrait de laisser le temps nécessaire au dépôt de plainte. »
« On pourrait discuter assez longtemps des bons délais pour pouvoir déposer une plainte. La réalité, c’est que lorsqu’une cyberattaque se produit, il faut parfois plusieurs jours pour réussir à définir son ampleur. »
« L’allongement du délai de quarante-huit à soixante-douze heures que nous défendons se justifie également par des considérations très pratiques. Imaginons, par exemple, que l’attaque survienne un vendredi soir. En règle générale, il est assez difficile de déposer plainte le week-end. »
« Les amendements identiques précédents ont été bien défendus. Il est important que le délai alloué aux entreprises soit porté de quarante-huit à soixante-douze heures, tout simplement parce que, comme chacun le sait, il est compliqué de rassembler les pièces nécessaires au dépôt de plainte et de prés… »
« Quelques remarques d’abord à l’intention, notamment, d’Elsa Faucillon. Un Français âgé de plus de 15 ans sur deux déclarait avoir été victime d’une cyberattaque en 2021. »
« Déposé par mon collègue Philippe Latombe, il vise à préciser que la victime elle-même doit avoir pris connaissance de l’atteinte avant que le délai ne commence à courir, afin de réduire le risque de contentieux. »
« Cet amendement est symptomatique en ce qu’il montre que nous n’avons pas pris assez de temps pour discuter de cette question. Il met le doigt sur un enjeu important : les outils qu’il faut mettre en place en matière de prévention. »
« Cet amendement visait en effet à alourdir les sanctions des cyberattaques contre les hôpitaux car celles-ci visent à désorganiser leur fonctionnement ou, plus grave encore, à mettre sur le marché des données de santé, mais je vous remercie, monsieur le ministre, pour les précisions que vous avez app… »