Amendement (sans numéro) — ARTICLE 15

Rédiger ainsi cet article :

« Les personnes mentionnées à l’article 14 de la loi n° qui mettent en œuvre les exigences des référentiels mentionnées au sixième alinéa du même article 14 ou qui mettent en œuvre tout autre référentiel reconnu comme équivalent peuvent s’en prévaloir lors d’un contrôle pour démontrer le respect des objectifs mentionnés au même alinéa du même article. Les normes et spécifications techniques européennes et internationales sont privilégiées.

« Les conditions de reconnaissance de référentiels équivalents ainsi que les modalités de concertation des représentants des entités concernées, des ministères coordonnateurs et des associations d’élus sont fixées par un décret en Conseil d’État. »

Amendement de repli

Afin d’assurer la cohérence entre le point 4° de l’article 14 et cet article 15, « les référentiels reconnus comme équivalents » doivent l’être par les mêmes entités que celles ayant élaboré les référentiels cités au point 4° de l’article 14. Par ailleurs, les référentiels reconnus équivalents pouvant être sectoriels, l’implication des ministères coordonnateurs, des associations d’élus ainsi que des représentants des entités concernées est essentielle.

La directive dans son article 25 consacré à la normalisation, précise, qu’afin de favoriser la mise en œuvre convergente de l’article 21 (…) les États membres encouragent (…) le recours à des normes et des spécifications techniques européennes et internationales pour la sécurité des réseaux et des systèmes d’information.

Pour les entités visées par la directive ayant une activité dans un autre pays de l’Union européenne et plus largement dans la perspective de l’évolution de la réglementation européenne et l’avènement probable d’un futur règlement européen, cette proposition d’amendement permet aux acteurs concernés de choisir le référentiel technique d’implémentation de la directive NIS2 publié par l’agence européenne le 26 juin ou des normes internationales telles que l’ISO 27001 comme référentiels reconnus équivalents aux référentiels cités à l’article 14.

L’utilisation d’un label de confiance pour attester de la conformité à des référentiels ne relève pas de la loi. Le recours à des labels pour attester de la conformité à des référentiels n’est qu’un moyen parmi d’autres. De plus, le sujet des labels est aujourd’hui complexe, peu lisible et constitue une source de délais et de coûts importants supplémentaires pour les organisations. Indépendamment du projet de transposition de NIS 2, un moratoire sur le sujet serait nécessaire.

Amendement travaillé avec le Cybercercle.