Amendement n° 256 — ARTICLE 14

Après la deuxième phrase de l’alinéa 1, insérer la phrase suivante : 

« Pour apprécier ces garanties, les personnes mentionnées au présent alinéa tiennent également compte des facteurs de risque non techniques liés à leurs fournisseurs et prestataires de services directs, notamment de l’éventuelle soumission de ceux-ci, ou des entités qui les contrôlent au sens de l’article L. 233‑3 du code de commerce, à des législations d’États non membres de l’Union européenne permettant un accès non consenti aux données ou aux systèmes d’information, ainsi que du lieu de traitement des données et de fourniture du support technique. »

L'article 14 prévoit déjà que le choix des mesures de sécurité vise à minimiser les dépendances envers des prestataires tiers « ne présentant pas de garanties suffisantes ». Il ne précise pas comment ces garanties s'apprécient.

Cet amendement complète les critères d'appréciation des risques liés aux fournisseurs en s'appuyant sur l'article 21, paragraphe 3, de la directive, qui impose de tenir compte des vulnérabilités propres aux fournisseurs et prestataires de services directs, ainsi que sur l'article 22 et les considérants 90 et 91, qui reconnaissent explicitement la pertinence des facteurs de risque non techniques, notamment l'influence d'un pays tiers, les vulnérabilités cachées, les ruptures d'approvisionnement systémiques et les situations de verrouillage technologique ou de dépendance à un fournisseur. Cet amendement est soutenu par Hexatrust, l’AFNIC et le CESIN.