Amendement n° 392

L’article 14 transpose l’article 21 de la directive NIS 2 et impose aux entités essentielles et importantes de mettre en place « des outils et des procédures pour assurer la défense des réseaux et des systèmes d’information et gérer les incidents ». Dans le texte adopté par la commission spéciale le 10 septembre 2025, cette obligation pèse aussi sur les administrations de l’État chargées de la sécurité publique, de la défense et de la répression pénale ainsi que sur les juridictions administratives et judiciaires (art. 14, premier alinéa) ; elle se prolonge dans l’obligation de notifier les incidents ayant causé l’extraction de données sensibles (art. 17, III, 1°). Parmi ces outils figure la veille en sources ouvertes, notamment sur les fuites de données, que l’ENISA décrit comme une composante des mesures attendues.

Le présent amendement précise que cette veille entre dans les mesures exigées par la loi, y compris lorsqu’elle porte sur des données publiées à la suite d’une cyberattaque. Il en tire la conséquence pénale : l’entité qui exécute son obligation, directement ou par un prestataire, accomplit un acte autorisé par la loi et ne peut être poursuivie pour recel. Ce dispositif vise les seules entités soumises au titre II, ainsi que les prestataires éventuels qui leurs permettent de remplir leurs obligations