Amendement n° 179 — ARTICLE 64

Compléter cet article par l’alinéa suivant :

« Ce rapport comprend également une évaluation de l’exposition financière au risque cyber, actuelle et projetée, des entités concernées par la présente loi ainsi qu’une appréciation consolidée de cette exposition à l’échelle nationale. » 

L’article 5 bis prévoit que la stratégie nationale de cybersécurité comprend des indicateurs clés de performance aux fins de l’évaluation de sa mise en oeuvre. 

Des indicateurs fondés sur la seule conformité réglementaire ne permettent pas d’apprécier l’exposition réelle aux risques cyber ni d’anticiper les effets d’accumulation à l’échelle sectorielle ou nationale. 

Le présent amendement vise à préciser dans un rapport que ces indicateurs devraient couvrir trois dimensions complémentaires : la quantification financière de l’exposition au risque, actuelle et projetée ; l’efficacité des mesures de maîtrise au regard de l’exposition résiduelle ; et la dynamique des menaces et incidents significatifs. 

S'il est complexe d'ancrer, dès maintenant dans la loi des exigences de mesure objective et financièrement quantifiée du risque cyber, le rapport demandé doit valider une méthode documentée et auditable.  Il contribuera également à la résilience financière et à la souveraineté numérique nationale : il permettrait de conditionner dans l'avenir l'évaluation de la stratégie à des métriques maîtrisées par la puissance publique, indépendantes des seuls référentiels déclaratifs des opérateurs, et permet à l'État de disposer d'une vision consolidée et autonome de l'exposition du pays aux cybermenaces. 

Cette approche, conforme aux référentiels internationaux reconnus en matière de gestion du risque cyber, fournit aux pouvoirs publics des métriques objectives, comparables dans le temps et exploitables pour le pilotage de la stratégie nationale. 

Cet amendement a été travaillé avec Citalid.