Amendement n° 311 — ARTICLE 8

À l’alinéa 7, supprimer les mots :

« et les éditeurs de logiciels »

La commission a classé l’ensemble des éditeurs de logiciels parmi les entités essentielles, sans aucun seuil de taille. La directive (UE) 2022/2555 ne range pas les éditeurs de logiciels parmi les secteurs et types d’entités qu’elle couvre : il s’agit d’une surtransposition, au régime le plus lourd, puisqu’une entité essentielle encourt une amende pouvant atteindre dix millions d’euros ou 2 % de son chiffre d’affaires annuel mondial.

Cette mesure frapperait d’abord les éditeurs français. En application de l’article 11, le titre II ne s’applique à cette catégorie que si l’entité est établie sur le territoire national : une jeune entreprise française d’édition de logiciels serait soumise au régime le plus contraignant, tandis qu’un éditeur étranger sans établissement en France y échapperait.

Le problème soulevé en commission[R1] , celui des éditeurs qui tardent à corriger les vulnérabilités de logiciels utilisés notamment par les hôpitaux, est traité au bon niveau par le règlement (UE) 2024/2847 sur la cyberrésilience, d’application directe. Ce règlement impose aux fabricants de produits comportant des éléments numériques, logiciels compris, la gestion des vulnérabilités pendant toute la période d’assistance du produit et, depuis le 11 septembre 2026, le signalement des vulnérabilités activement exploitées et des incidents graves. Les logiciels fournis en ligne relèvent en outre déjà de la directive, au titre des services d’informatique en nuage, à partir de la taille moyenne.

Le présent amendement supprime donc cette catégorie.