Amendement n° 257

Le présent amendement vise à mieux prendre en compte, dans la commande publique, les manquements graves aux obligations de sécurité susceptibles d'affecter la résilience des systèmes et services numériques.

Cette articulation est cohérente avec le règlement (UE) 2016/679, dont l’article 32 impose au responsable du traitement et au sous-traitant de mettre en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque. Ces mesures doivent notamment permettre d'assurer la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et services de traitement, ainsi que de rétablir l'accès aux données dans des délais appropriés en cas d'incident.

Un manquement grave à ces obligations, lorsqu'il fait l'objet d'une sanction définitive, peut ainsi révéler une insuffisance affectant directement la sécurité ou la résilience des services numériques fournis à un acheteur public.

Le dispositif est toutefois limité aux manquements relevant de la sécurité des traitements. Il ne permet donc pas d'assimiler à un risque de résilience tout manquement au règlement général sur la protection des données.

L'amendement s'inscrit par ailleurs dans la continuité de l'article L. 2141-7 du code de la commande publique, qui permet déjà à l'acheteur d'exclure un opérateur ayant fait l'objet, au cours des trois années précédentes, de certaines sanctions en raison d'un manquement grave ou persistant à ses obligations contractuelles.

Enfin, l'exclusion demeure facultative et soumise au mécanisme de rétablissement de la fiabilité prévu à l'article L. 2141-11. L'opérateur peut ainsi démontrer qu'il a pris des mesures correctrices suffisantes pour prévenir la réitération du manquement. Cet amendement a été travaillé par Hexatrust.