Amendement n° 241

L'article 14 impose aux entités de mettre en place « des outils et des procédures pour assurer la défense des réseaux et des systèmes d'information et gérer les incidents » (3°). La veille sur les fuites de données (data breaches), en fait partie : concrètement, elle permet aux entités soumises à NIS2 ou à leurs prestataires à faire de la veille sur les fuites de données (concrètement : surveiller les sites cybercriminels afin d’y repérer toute fuite de données).

Or les entreprises réalisant ces prestations peuvent, dans le cadre de ces activités, se voir accusées de recel. Cette situation de flou juridique freine d’ailleurs le développement d’une offre française ou européenne de prestataires en « threat intelligence ». Les entreprises ayant besoin de recourir vers de tels prestataires se tournent souvent vers des solutions étrangères, ce qui affecte l’objectif d’une résilience souveraine.

Le présent amendement précise que ces veilles entrent dans les mesures exigées et les autorise lorsqu'ils sont accomplis de bonne foi par les entités soumises à l'article 14 ou par leurs prestataires de cybersécurité, dans des conditions strictes : nécessité et proportionnalité, finalité exclusive de cybersécurité, absence d'intrusion dans un système et de réutilisation, respect des données personnelles, transmission à l'ANSSI des informations utiles aux victimes. Il s'inspire de la protection accordée aux personnes de bonne foi signalant une vulnérabilité