Amendement n° 203

La directive NIS 2 repose sur une distinction claire. Les entités essentielles font l’objet d’une supervision a priori, avec des audits réguliers (article 32). Les entités importantes ne sont contrôlées qu’a posteriori, lorsque l’autorité dispose d’indices d’un manquement, et seulement au moyen d’audits ciblés (article 33). Le directeur général de l’ANSSI l’a rappelé devant la commission spéciale : « contrôle ex ante pour les entités essentielles, ex post pour les entités importantes ». L’article 29 applique pourtant indistinctement à toutes les entités les inspections, les audits réguliers et les scans. Les audits réguliers confiés à un organisme indépendant sont en outre à la charge de l’entité contrôlée.

Cet amendement du groupe Horizons & Indépendants inscrit dans la loi le régime a posteriori prévu par la directive pour les entités importantes, c’est-à-dire les PME et ETI des secteurs critiques et toutes les communautés de communes. Il leur épargne des audits réguliers coûteux que l’Europe n’exige pas. Il ne réduit pas les pouvoirs de l’ANSSI face à un manquement : dès qu’un indice existe, elle peut agir.