Amendement n° 197

La commission a classé « les éditeurs de logiciels » parmi les entités essentielles, sans aucun critère de taille ni de secteur. Or les annexes I et II de la directive NIS 2 ne comportent aucune catégorie « éditeurs de logiciels ». Les éditeurs y entrent lorsqu’ils relèvent d’un secteur visé, par exemple comme fournisseurs de services gérés ou d’informatique en nuage, et dans le respect des seuils de taille. La sécurité des logiciels eux-mêmes relève du règlement (UE) 2024/2847 sur la cyberrésilience (CRA), que le texte met déjà en œuvre (articles 26 et 37).

En l’état, une jeune entreprise de cinq salariés développant une application serait soumise au régime le plus exigeant, avec un contrôle a priori et des amendes de dix millions d’euros. Aucun autre État membre ne fait ce choix : c’est la définition même de la surtransposition, qui pénalise l’écosystème français que la stratégie nationale entend promouvoir.

Les éditeurs critiques, notamment ceux des logiciels métiers dont dépendent les collectivités, pourront toujours être désignés au cas par cas par le Premier ministre au titre de l’article 10, sur les critères prévus par la directive.