l'amendement n° 169 de M. Latombe et l'amendement identique suivant après l'article 37 bis du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (première lecture).
Porte sur : Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité
De quoi il s'agit
Sur quoi porte ce vote
Un amendement — une modification proposée à un texte en cours d'examen : Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Il porte le n° 169 (Rect) et insère un article après l'article 37 bis.
Ce que l'amendement propose
La directive (UE) 2022/2555 impose que les organes de direction puissent être tenus responsables des manquements de leur entité (art.
Première phrase de l'exposé, citée telle quelle — son auteur n'y annonce pas son intention en toutes lettres.
Ce qui a été décidé
Adopté — l'amendement a été intégré au texte.
La directive (UE) 2022/2555 impose que les organes de direction puissent être tenus responsables des manquements de leur entité (art. 20, paragraphe 1). Elle exige aussi que les personnes physiques dirigeantes répondent de leur devoir de veiller au respect de ses obligations (art. 32, paragraphe 6). Le texte de la commission ne transpose pas ces dispositions.
Lire l'exposé complet (269 mots)
La directive (UE) 2022/2555 impose que les organes de direction puissent être tenus responsables des manquements de leur entité (art. 20, paragraphe 1). Elle exige aussi que les personnes physiques dirigeantes répondent de leur devoir de veiller au respect de ses obligations (art. 32, paragraphe 6). Le texte de la commission ne transpose pas ces dispositions.
Pour les administrations, le texte exclut en outre toute amende administrative (art. 37). Faute de sanction, les obligations de cybersécurité risquent de rester sans effet dans le secteur public, qui est pourtant l'une des cibles principales des cyberattaques.
Cet amendement ne sanctionne pas les structures. Il rattache les manquements graves au régime de responsabilité financière des gestionnaires publics, jugé par la Cour des comptes depuis l'ordonnance n° 2022-408 du 23 mars 2022. La Cour a montré dans l'arrêt Projet Scribe (n° S-2026-0975, 28 août 2026) qu'elle sait sanctionner les défaillances de gouvernance d'un projet informatique public.
La sanction n'intervient qu'après une mise en demeure restée sans effet. Les responsables connaissent précisément les manquements reprochés, les mesures attendues et le délai, d'au moins trois mois, pour agir. La sanction vise donc l'inaction persistante, non l'imperfection d'un système. Le mécanisme reprend celui des mesures d'exécution de l'article 31, qui ne peuvent frapper les administrations d'une amende.
Contrairement à l'article L. 131-9, l'infraction ne suppose pas de préjudice financier, car le dommage d'un incident cyber se chiffre mal. La gravité de la faute tient compte des moyens dont disposait l'intéressé et des alertes qu'il a adressées : un DSI ou un RSSI qui a signalé le risque sans obtenir les moyens d'y répondre n'est pas visé.
Le texte exact de l'amendement
I. – Après l’article L. 131‑14 du code des juridictions financières, il est inséré un article L. 131‑14‑1 ainsi rédigé :
« Art. L. 131‑14‑1. – Tout justiciable mentionné à l’article L. 131‑1 qui, destinataire d’une mise en demeure notifiée en application du II de l’article 37 ter de la loi n° du relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, s’est abstenu, par une faute grave, de prendre dans le délai imparti les mesures relevant de ses fonctions pour remédier aux manquements constatés, est passible de l’amende prévue à l’article L. 131‑16.
« La gravité de la faute s’apprécie notamment au regard de l’exposition au risque de l’organisme, de la sensibilité des données et des services concernés, des diligences accomplies, des moyens dont disposait l’intéressé, des alertes qu’il a adressées à sa hiérarchie et des conséquences d’un éventuel incident important. »
II. – Lorsque l’autorité nationale de sécurité des systèmes d’information constate, à l’occasion d’un contrôle mentionné au chapitre III du titre II, qu’une administration de l’État, une collectivité territoriale, un groupement de collectivités territoriales ou l’un de leurs établissements publics administratifs méconnaît les obligations prévues aux articles 14 et 17, elle met en demeure l’autorité dirigeante de l’organisme d’y remédier dans un délai qu’elle fixe. Ce délai ne peut être inférieur à trois mois, sauf en cas de manquement grave ou d’urgence.
La mise en demeure précise les manquements constatés, les mesures attendues et les personnes chargées de leur mise en œuvre. Elle est notifiée à l’autorité dirigeante et aux personnes ainsi désignées, qui peuvent présenter leurs observations.
III. – À l’expiration du délai, l’autorité nationale de sécurité des systèmes d’information constate si l’organisme s’est conformé à la mise en demeure. À défaut, elle en informe le ministère public près la Cour des comptes et lui transmet la mise en demeure et ses constats.
C'est la rédaction juridique déposée : elle s'écrit en référence aux alinéas du texte examiné, et ne se lit pas seule.
Ce scrutin portait sur cet amendement et sur d'autres, identiques, déposés par d'autres élus — c'est ce que dit son intitulé. L'Assemblée ne nomme que le premier d'entre eux ; les autres ont le même texte et chacun son exposé sommaire.
23 pour, 11 contre
Et vous, comment auriez-vous voté ?
Chargement…
Qui a voté quoi
| Groupe | Répartition | Pour | Contre | Abst. | Non-votants | Effectif |
|---|---|---|---|---|---|---|
| RNen tête : pour (13 voix exprimées sur 121 membres) | 13 | 0 | 0 | 0 | 121 | |
| EPR | 2 | 2 | 0 | 1 | 90 | |
| LFI-NFPen tête : contre (3 voix exprimées sur 70 membres) | 0 | 2 | 1 | 0 | 70 | |
| SOCen tête : contre (3 voix exprimées sur 68 membres) | 0 | 3 | 0 | 0 | 68 | |
| DR | 0 | 0 | 0 | 0 | 46 | |
| ECOSen tête : pour (4 voix exprimées sur 38 membres) | 4 | 0 | 0 | 0 | 38 | |
| DEMen tête : pour (4 voix exprimées sur 37 membres) | 4 | 0 | 0 | 0 | 37 | |
| HORen tête : contre (4 voix exprimées sur 35 membres) | 0 | 4 | 0 | 1 | 35 | |
| LIOT | 0 | 0 | 0 | 0 | 24 | |
| GDR | 0 | 0 | 0 | 0 | 17 | |
| UDR | 0 | 0 | 0 | 0 | 17 | |
| NI | 0 | 0 | 0 | 0 | 11 |
Élu par élu
| Député·e | Groupe | Circonscription | Vote |
|---|---|---|---|
| Mathilde Hignet | LFI-NFP | Ille-et-Vilaine, 4ᵉ circonscription | Abstention |
1 député·e affiché·e sur les 37 que le compte rendu de ce scrutin mentionne. Un vote « par délégation » est exprimé par un collègue, conformément au règlement.
Sources de ce scrutin
Compte rendu officiel
Le scrutin tel que publié par Assemblée nationale, nom par nom.
assemblee-nationale.fr ↗Scrutin demandé par
Présidente de séance
Identifiant
VTANR5L17V9803
Jeu de données « Scrutins » · AN:SCRUTINS
Un scrutin public n'est pas une loi : celui-ci peut porter sur un amendement, une motion ou l'ensemble d'un texte. La plupart des votes de l'Assemblée ont lieu à main levée et ne donnent lieu à aucun décompte nominatif.