Amendement n° 203 — ARTICLE 29

Après l’alinéa 6, insérer l’alinéa suivant :

« À l’égard des entités importantes, les mesures mentionnées aux 1° à 4° ne sont mises en œuvre qu’a posteriori, lorsque l’autorité nationale de sécurité des systèmes d’information dispose d’éléments de preuve, d’indications ou d’informations selon lesquels l’entité ne respecterait pas les obligations qui lui incombent en application du présent titre. Les audits de sécurité mentionnés aux 2° et 2° bis réalisés à leur égard sont des audits ciblés. »

La directive NIS 2 repose sur une distinction claire. Les entités essentielles font l’objet d’une supervision a priori, avec des audits réguliers (article 32). Les entités importantes ne sont contrôlées qu’a posteriori, lorsque l’autorité dispose d’indices d’un manquement, et seulement au moyen d’audits ciblés (article 33). Le directeur général de l’ANSSI l’a rappelé devant la commission spéciale : « contrôle ex ante pour les entités essentielles, ex post pour les entités importantes ». L’article 29 applique pourtant indistinctement à toutes les entités les inspections, les audits réguliers et les scans. Les audits réguliers confiés à un organisme indépendant sont en outre à la charge de l’entité contrôlée.

Cet amendement du groupe Horizons & Indépendants inscrit dans la loi le régime a posteriori prévu par la directive pour les entités importantes, c’est-à-dire les PME et ETI des secteurs critiques et toutes les communautés de communes. Il leur épargne des audits réguliers coûteux que l’Europe n’exige pas. Il ne réduit pas les pouvoirs de l’ANSSI face à un manquement : dès qu’un indice existe, elle peut agir.