Amendement n° 65

La directive NIS 2 renforce l’harmonisation européenne en encadrant strictement les possibilités pour les États membres d’étendre son champ d’application. À la différence de la directive NIS 1, un État membre ne peut ainsi soumettre de manière générale une catégorie à ses obligations en dehors des hypothèses prévues par la directive.

La directive NIS 2 prévoit toutefois la possibilité de désigner, indépendamment de leur taille, certaines entités relevant de secteurs critiques ou hautement critiques lorsqu’elles présentent une importance particulièrement pour la sécurité ou la santé publiques. Cette désignation doit être justifiée par l’un des quatre critères transposés à l’article 10 du présent projet de loi.

Cette faculté permet de prendre en compte la situation des éditeurs de logiciels dont la défaillance pourrait avoir des conséquences significatives sur un secteur critique. Elle pourrait notamment trouver à s’appliquer à un éditeur de logiciel de santé occupant une position déterminante dans un secteur dont le fonctionnement repose sur ses services.

Le présent amendement propose donc de ne pas soumettre indistinctement l’ensemble des éditeurs de logiciels au régime des entités essentielles. Il permet leur désignation lorsqu’ils remplissent effectivement les conditions prévues par la directive NIS 2. Cette désignation serait effectuée par voie réglementaire, sous l’autorité du Premier ministre, sur la base de l’expertise des ministères compétents.

Cette approche permet de répondre aux enjeux de cybersécurité propres aux acteurs les plus critères tout en respectant le cadre et le principe de proportionnalité posées par la directive NIS2.