Amendement n° CS78

Par cet amendement d’appel, le groupe parlementaire de la France insoumise souhaite alerter sur les effets de seuil prévus par cet article pour désigner des entités essentielles.

Bien que l’article 10 octroie un pouvoir discrétionnaire au Premier ministre pour désigner des entités essentielles, une définition plus générale permettrait de mieux appréhender la multitude des acteurs relevant de secteurs hautement critiques sans s’attarder sur la taille de ces derniers et ainsi d’améliorer la prévention des risques.

En effet, dans les secteurs hautement critiques – tels que l’énergie, les transports, la santé, la cybersécurité, la défense ou l’alimentation –, de nombreuses structures de petite taille peuvent occuper des fonctions clés, parfois irremplaçables. Il peut s’agir d’entreprises assurant la maintenance d’un composant stratégique, de PME spécialisées dans un savoir-faire technologique de niche, ou encore de fournisseurs uniques au sein de chaînes d’approvisionnement sensibles. Leur disparition ou leur compromission, même ponctuelle, pourrait entraîner des ruptures majeures ou des vulnérabilités systémiques, sans que leur poids économique apparent ne reflète leur importance stratégique.

En maintenant des seuils quantitatifs (effectifs, chiffre d’affaires, bilan), le droit actuel risque donc de laisser hors champ de la réglementation de cybersécurité des entités pourtant critiques, simplement parce qu’elles ne remplissent pas les critères formels. Cette approche peut engendrer des angles morts dans la cartographie des risques, affaiblir la résilience globale de certains secteurs, et créer un faux sentiment de sécurité en concentrant l’effort réglementaire sur les seuls grands acteurs visibles.

À l’inverse, une approche fondée sur la nature des activités exercées et sur la fonction réelle de l’entreprise dans l’écosystème stratégique permettrait une identification plus pertinente et plus ciblée des entités essentielles. Elle renforcerait la logique de sécurité intégrée, tout en donnant aux autorités compétentes la capacité d’adapter leur vigilance aux réalités opérationnelles.

Cet amendement contribue ainsi à une approche qualitative et fonctionnelle de la résilience, mieux adaptée à l’architecture complexe des chaînes critiques contemporaines. Il répond également à la nécessité, maintes fois soulignée par l’ANSSI, de prendre en compte les interdépendances industrielles, les nœuds logistiques sensibles et les externalités technologiques, quels que soient le statut ou la taille des acteurs impliqués.

En somme, il s’agit de garantir que la politique de cybersécurité et de résilience ne laisse aucun maillon critique de côté, et que la protection des infrastructures essentielles repose sur une évaluation fine des rôles et responsabilités, plutôt que sur des indicateurs purement économiques.

L’identification du caractère critique d’une entreprise doit donc reposer sur la nature de ses activités et sa place dans l’écosystème stratégique, non sur des critères financiers ou de taille, qui peuvent conduire à de graves angles morts dans la protection des infrastructures essentielles.