Résilience des infrastructures critiques et renforcement de la cybersécurité (PJL)

I. – Le code de la défense est ainsi modifié :

I. – Le code de la défense est ainsi modifié :

Code de la défense

Art. L. 1333‑1. – Sont soumises aux dispositions de la présente section les matières nucléaires fusibles, fissiles ou fertiles, ainsi que toute matière, à l’exception des minerais, contenant un ou plusieurs éléments fusibles, fissiles ou fertiles dont la liste est précisée par décret en Conseil d’État.

Les conditions particulières d’application de la présente section aux matières nucléaires affectées aux moyens nécessaires à la mise en œuvre de la politique de dissuasion sont définies par décret en Conseil d’État.

Sont également soumises aux dispositions de la présente section, pour ce qui concerne la protection contre les actes de malveillance, les sources de rayonnements ionisants mises en œuvre par les activités nucléaires réalisées dans certains établissements, installations ou ouvrages, relevant de l’article L. 1332‑1, définies par voie réglementaire.

1° Au dernier alinéa de l’article L. 1333‑1, les mots : « certains établissements, installations ou ouvrages, relevant de l’article L. 1332‑1 » sont remplacés par les mots : « certaines infrastructures des opérateurs d’importance vitale mentionnés au 1° du I de l’article L. 1332‑2 » ;

1° Au dernier alinéa de l’article L. 1333‑1, les mots : « certains établissements, installations ou ouvrages, relevant de l’article L. 1332‑1 » sont remplacés par les mots : « certaines infrastructures des opérateurs d’importance vitale mentionnés au 1° du I de l’article L. 1332‑2 » ;

Art. L. 2113‑2. – Dans les cas prévus à l’article L. 1111‑2, des décrets fixent les conditions dans lesquelles les ressortissants étrangers peuvent être admis, sur leur demande écrite, à apporter leur collaboration aux administrations et aux services publics ou aux établissements, aux installations ou aux ouvrages mentionnés aux articles L. 1332‑1 et L. 1332‑2.

2° Au premier alinéa de l’article L. 2113‑2, dans sa rédaction issue de l’article 47 de la loi n° 2023‑703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense, les mots : « établissements, aux installations ou aux ouvrages mentionnés aux articles L. 1332‑1 et L. 1332‑2 » sont remplacés par les mots : « opérateurs d’importance vitale mentionnés au I de l’article L. 1332‑2 » ;

2° À la fin du premier alinéa de l’article L. 2113‑2, les mots : « établissements, aux installations ou aux ouvrages mentionnés aux articles L. 1332‑1 et L. 1332‑2 » sont remplacés par les mots : « opérateurs d’importance vitale mentionnés au I de l’article L. 1332‑2 » ;

La préparation des mesures devant faire l’objet de ces décrets est prévue dans des instructions arrêtées dès le temps de paix, à la diligence des ministres intéressés.

En ce qui concerne l’emploi, comme main‑d’œuvre, des ressortissants alliés ou neutres stationnés en France, des instructions déterminent, dès le temps de paix également, les départements ministériels compétents pour régler la situation de ces étrangers :

1° Vis‑à‑vis des autorités de leur propre pays ;

2° Vis‑à‑vis des lois et autorités françaises et pour fixer les règles de leur utilisation.

Art. L. 2151‑1. – Le service de sécurité nationale est destiné à assurer la continuité de l’action de l’État, des collectivités territoriales, et des organismes qui leur sont rattachés, ainsi que des entreprises et établissements dont les activités contribuent à la sécurité nationale.

Le service de sécurité nationale est applicable au personnel, visé par un plan de continuité ou de rétablissement d’activité, d’un des opérateurs publics et privés ou des gestionnaires d’établissements désignés par l’autorité administrative conformément aux articles L. 1332‑1 et L. 1332‑2.

3° Au deuxième alinéa de l’article L. 2151‑1, les mots : « , visé par un plan de continuité ou de rétablissement d’activité, d’un des opérateurs publics et privés ou des gestionnaires d’établissements désignés par l’autorité administrative conformément aux articles L. 1332‑1 et L. 1332‑2 » sont remplacés par les mots : « identifié dans les documents de planification des opérateurs désignés au titre de l’article L. 1332‑2 visant à garantir la continuité de leur activité » ;

3° Après le mot « personnel », la fin du deuxième alinéa de l’article L. 2151‑1 est ainsi rédigée : « identifié dans les documents de planification des opérateurs désignés au titre de l’article L. 1332‑2 visant à garantir la continuité de leur activité. » ;

Seules les personnes majeures de nationalité française, ressortissantes de l’Union européenne, sans nationalité ou bénéficiant du droit d’asile peuvent être soumises aux obligations du service de sécurité nationale.

Art. L. 2151‑4. – Les employeurs mentionnés au deuxième alinéa de l’article L. 2151‑1 sont tenus d’élaborer des plans de continuité ou de rétablissement d’activité et de notifier aux personnes concernées par ces plans qu’elles sont susceptibles d’être placées sous le régime du service de sécurité nationale.

4° A l’article L. 2151‑4, les mots : « d’élaborer des plans de continuité ou de rétablissement d’activité et de notifier aux personnes concernées par ces plans » sont remplacés par les mots : « de notifier aux personnes concernées » ;

4° À l’article L. 2151‑4, les mots : « d’élaborer des plans de continuité ou de rétablissement d’activité et de notifier aux personnes concernées par ces plans » sont remplacés par les mots : « de notifier aux personnes concernées » ;

Art. L. 2171‑6. – Lors du recours au dispositif de réserve de sécurité nationale, les réservistes sont tenus de rejoindre leur affectation, dans les conditions fixées par les autorités civiles ou militaires dont ils relèvent au titre de leur engagement.

En cas de nécessité inhérente à la poursuite de la production de biens ou de services ou à la continuité du service public, les réservistes employés par un des opérateurs publics et privés ou des gestionnaires d’établissements désignés par l’autorité administrative conformément aux articles L. 1332‑1 et L. 1332‑2 peuvent être dégagés de ces obligations.

5° Au deuxième alinéa de l’article L. 2171‑6, les mots : « publics et privés ou des gestionnaires d’établissements désignés par l’autorité administrative conformément aux articles L. 1332‑1 et L. 1332‑2 » sont remplacés par les mots : « opérateurs d’importance vitale mentionnés au I de l’article L. 1332‑2 » ;

5° Au deuxième alinéa de l’article L. 2171‑6, les mots : « publics et privés ou des gestionnaires d’établissements désignés par l’autorité administrative conformément aux articles L. 1332‑1 et L. 1332‑2 » sont remplacés par les mots : « d’importance vitale mentionnés au I de l’article L. 1332‑2 » ;

Les conditions de convocation des réservistes sont fixées par décret en Conseil d’État. Ce décret détermine notamment le délai minimal de préavis de convocation.

Art. L. 2321‑2‑1. – Aux seules fins de garantir la défense et la sécurité nationale, lorsqu’elle a connaissance d’une menace susceptible de porter atteinte à la sécurité des systèmes d’information des autorités publiques ou des opérateurs mentionnés aux articles L. 1332‑1 et L. 1332‑2 du présent code ou à l’article 5 de la loi n° 2018‑133 du 26 février 2018 portant diverses dispositions d’adaptation au droit de l’Union européenne dans le domaine de la sécurité, l’autorité nationale de sécurité des systèmes d’information peut mettre en œuvre, sur le réseau d’un opérateur de communications électroniques ou sur le système d’information d’une personne mentionnée aux 1 ou 2 du I de l’article 6 de la loi n° 2004‑575 du 21 juin 2004 pour la confiance dans l’économie numérique ou d’un opérateur de centre de données :

6° Au premier et au quatrième alinéa de l’article L. 2321‑2‑1, les mots : « mentionnés aux articles L. 1332‑1 et L. 1332‑2 » sont remplacés par les mots : « d’importance vitale mentionnés au I de l’article L. 1332‑2 » ;

6° Aux premier et quatrième alinéas de l’article L. 2321‑2‑1, les mots : « mentionnés aux articles L. 1332‑1 et L. 1332‑2 » sont remplacés par les mots : « d’importance vitale mentionnés au I de l’article L. 1332‑2 » ;

1° Des dispositifs mettant en œuvre des marqueurs techniques ;

2° Ou, sur avis conforme de l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse, des dispositifs permettant le recueil de données sur le réseau d’un opérateur de communications électroniques ou sur le système d’information d’une personne mentionnée aux mêmes 1 ou 2 ou d’un opérateur de centre de données affecté par la menace.

Ces dispositifs sont mis en œuvre pour une durée et dans une mesure strictement nécessaires à la caractérisation de la menace et aux seules fins de détecter et de caractériser des événements susceptibles d’affecter la sécurité des systèmes d’information des autorités publiques, des opérateurs mentionnés aux articles L. 1332‑1 et L. 1332‑2 du présent code ou à l’article 5 de la loi n° 2018‑133 du 26 février 2018 précitée et des opérateurs publics ou privés participant aux systèmes d’information de ces entités.

Les agents de l’autorité nationale de sécurité des systèmes d’information individuellement désignés et spécialement habilités sont autorisés, aux seules fins de prévenir et de caractériser la menace affectant les systèmes d’information des entités mentionnées au premier alinéa du présent article, à procéder au recueil des données et à l’analyse des seules données techniques pertinentes, à l’exclusion de toute autre exploitation.

Les données directement utiles à la prévention et à la caractérisation des menaces ne peuvent être conservées plus de deux ans. Les autres données recueillies par les dispositifs mentionnés aux 1° et 2° sont détruites dans un délai bref, précisé par voie réglementaire.

Un décret en Conseil d’État, pris après avis de la Commission nationale de l’informatique et des libertés et de l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse, définit les modalités d’application du présent article. Il détermine notamment les informations et les catégories de données conservées en application du 2°.

7° A l’article L. 2321‑3 :

7° L’article L. 2321‑3 est ainsi modifié :

Art. L. 2321‑3. – Pour les besoins de la sécurité des systèmes d’information des autorités publiques, des opérateurs mentionnés aux articles L. 1332‑1 et L. 1332‑2 et des opérateurs mentionnés à l’article 5 de la loi n° 2018‑133 du 26 février 2018 portant diverses dispositions d’adaptation au droit de l’Union européenne dans le domaine de la sécurité, les agents de l’autorité nationale de sécurité des systèmes d’information, habilités par le Premier ministre dans des conditions fixées par décret en Conseil d’État et dont la liste est transmise à l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse, peuvent obtenir des opérateurs de communications électroniques, en application du II bis de l’article L. 34‑1 du code des postes et des communications électroniques et des personnes mentionnées au 2 du I de l’article 6 de la loi n° 2004‑575 du 21 juin 2004 pour la confiance dans l’économie numérique, en application du II du même article 6, l’identité, l’adresse postale et l’adresse électronique d’utilisateurs ou de détenteurs de systèmes d’information vulnérables, menacés ou attaqués, afin de les alerter sur la vulnérabilité ou l’atteinte de leur système.

a) Au premier alinéa, les mots : « mentionnés aux articles L. 1332‑1 et L. 1332‑2 » sont remplacés par les mots : « d’importance vitale mentionnés au I de l’article L. 1332‑2 du présent code » ;

a) Au premier alinéa, les mots : « mentionnés aux articles L. 1332‑1 et L. 1332‑2 » sont remplacés par les mots : « d’importance vitale mentionnés au I de l’article L. 1332‑2 » ;

Lorsque l’autorité nationale de sécurité des systèmes d’information est informée, en application de l’article L. 33‑14 du code des postes et des communications électroniques, de l’existence d’un événement affectant la sécurité des systèmes d’information d’une autorité publique, d’un opérateur mentionné aux articles L. 1332‑1 et L. 1332‑2 du présent code ou à l’article 5 de la loi n° 2018‑133 du 26 février 2018 précitée ou d’un opérateur public ou privé participant aux systèmes d’information d’une des entités mentionnées au présent alinéa, les agents mentionnés au premier alinéa du présent article peuvent obtenir des opérateurs de communications électroniques les données techniques strictement nécessaires à l’analyse de cet événement. Ces données ne peuvent être exploitées qu’aux seules fins de caractériser la menace affectant la sécurité de ces systèmes. Elles ne peuvent être conservées plus de cinq ans.

b) Au deuxième alinéa, les mots : « mentionné aux articles L. 1332‑1 et L. 1332‑2 » sont remplacés par les mots : « d’importance vitale mentionné au I de l’article L. 1332‑2 » ;

b) Au deuxième alinéa, les mots : « mentionné aux articles L. 1332‑1 et L. 1332‑2 » sont remplacés par les mots : « d’importance vitale mentionné au I de l’article L. 1332‑2 » ;

Les surcoûts identifiables et spécifiques des prestations suivantes effectuées à la demande de l’autorité nationale de sécurité des systèmes d’information sont compensés selon des modalités prévues par décret en Conseil d’État :

1° Les prestations assurées par les opérateurs de communications électroniques en application du premier alinéa du présent article, dans les conditions prévues au VI de l’article L. 34‑1 du code des postes et des communications électroniques, et du deuxième alinéa du présent article ;

2° Les prestations assurées par les personnes mentionnées au 2 du I de l’article 6 de la loi n° 2004‑575 du 21 juin 2004 précitée.

Art. L. 4231‑6. – En cas de nécessité inhérente à la poursuite de la production de biens ou de services ou à la continuité du service public, les personnes soumises à l’obligation de disponibilité employées par des opérateurs publics ou privés ou par des gestionnaires d’établissements désignés par l’autorité administrative conformément aux articles L. 1332‑1 et L. 1332‑2 peuvent être dégagées des obligations prévues aux articles L. 4231‑4 et L. 4231‑5, dans des conditions fixées par décret en Conseil d’État.

8° A l’article L. 4231‑6, les mots : « publics et privés ou par des gestionnaires d’établissements désignés par l’autorité administrative conformément aux articles L. 1332‑1 et L. 1332‑2 » sont remplacés par les mots : « opérateurs d’importance vitale mentionnés au I de l’article L. 1332‑2 ».

8° À l’article L. 4231‑6, les mots : « publics ou privés ou par des gestionnaires d’établissements désignés par l’autorité administrative conformément aux articles L. 1332‑1 et L. 1332‑2 » sont remplacés par les mots : « d’importance vitale mentionnés au I de l’article L. 1332‑2 ».

Code pénal

Art. 226‑3. – Est puni de cinq ans d’emprisonnement et de 300 000 € d’amende :

1° La fabrication, l’importation, la détention, l’exposition, l’offre, la location ou la vente d’appareils ou de dispositifs techniques de nature à permettre la réalisation d’opérations pouvant constituer l’infraction prévue par le deuxième alinéa de l’article 226‑15 ou qui, conçus pour la détection à distance des conversations, permettent de réaliser l’infraction prévue par l’article 226‑1 ou ayant pour objet la captation de données informatiques prévue aux articles 706‑102‑1 du code de procédure pénale et L. 853‑2 du code de la sécurité intérieure et figurant sur une liste dressée dans des conditions fixées par décret en Conseil d’État, lorsque ces faits sont commis, y compris par négligence, en l’absence d’autorisation ministérielle dont les conditions d’octroi sont fixées par ce même décret ou sans respecter les conditions fixées par cette autorisation ;

2° Le fait de réaliser une publicité en faveur d’un appareil ou d’un dispositif technique susceptible de permettre la réalisation des infractions prévues par l’article 226‑1 et le deuxième alinéa de l’article 226‑15 lorsque cette publicité constitue une incitation à commettre cette infraction ou ayant pour objet la captation de données informatiques prévue aux articles 706‑102‑1 du code de procédure pénale et L. 853‑2 du code de la sécurité intérieure lorsque cette publicité constitue une incitation à en faire un usage frauduleux.

Le présent article n’est pas applicable à la détention ou à l’acquisition par les opérateurs mentionnés à l’article L. 1332‑1 du code de la défense, ainsi désignés en vertu de leur activité d’exploitant d’un réseau de communications électroniques ouvert au public, des appareils soumis à une autorisation du Premier ministre en application de la section 7 du chapitre II du titre Ier du livre II du code des postes et des communications électroniques.

II. – Au dernier alinéa de l’article 226‑3 du code pénal, les mots : « mentionnés à l’article L. 1332‑1 » sont remplacés par les mots : « d’importance vitale mentionnés au 1° du I de l’article L. 1332‑2 ».

II. – Au dernier alinéa de l’article 226‑3 du code pénal, les mots : « mentionnés à l’article L. 1332‑1 » sont remplacés par les mots : « d’importance vitale mentionnés au 1° du I de l’article L. 1332‑2 ».

III. – Le code des postes et des communications électroniques est ainsi modifié :

III. – Le code des postes et des communications électroniques est ainsi modifié :

Code des postes et des communications électroniques

Art. L. 33‑1. – I. – L’établissement et l’exploitation des réseaux ouverts au public et la fourniture au public de services de communications électroniques sont libres sous réserve du respect de règles portant sur :

a) Les conditions de permanence, de qualité, de disponibilité, de sécurité et d’intégrité du réseau et du service qui incluent des obligations de notification à l’autorité compétente des incidents de sécurité ayant eu un impact significatif sur leur fonctionnement ;

b) Les conditions de confidentialité et de neutralité au regard des messages transmis et des informations liées aux communications ;

c) Les normes et spécifications du réseau et du service ;

d) Les prescriptions exigées par la protection de la santé et de l’environnement et par les objectifs d’aménagement du territoire et d’urbanisme, comportant, le cas échéant, les conditions d’occupation du domaine public, les garanties financières ou techniques nécessaires à la bonne exécution des travaux d’infrastructures, les modalités de partage des infrastructures et des réseaux radioélectriques ouverts au public et d’itinérance locale ;

e) Les prescriptions exigées par l’ordre public, la défense nationale et la sécurité publique, notamment celles qui sont nécessaires à la mise en œuvre des interceptions justifiées par les nécessités de la sécurité publique, ainsi que les garanties d’une juste rémunération des prestations assurées à ce titre et celles qui sont nécessaires pour répondre, conformément aux orientations fixées par l’autorité nationale de défense des systèmes d’informations, aux menaces et aux atteintes à la sécurité des systèmes d’information des autorités publiques et des opérateurs mentionnés aux articles L. 1332‑1 et L. 1332‑2 du code de la défense ;

1° Au e du I de l’article L. 33‑1, les mots : « mentionnés aux articles L. 1332‑1 et L. 1332‑2 » sont remplacés par les mots : « d’importance vitale mentionnés au I de l’article L. 1332‑2 » ;

1° Au e du I de l’article L. 33‑1, les mots : « mentionnés aux articles L. 1332‑1 et L. 1332‑2 » sont remplacés par les mots : « d’importance vitale mentionnés au I de l’article L. 1332‑2 » ;

f) L’acheminement gratuit des communications d’urgence. A ce titre, les opérateurs mettent en œuvre toute mesure permettant de garantir la continuité de l’acheminement de ces communications. Ils sont chargés de mettre en place une supervision technique permettant d’assurer, dans les meilleurs délais, une remontée d’alerte dans les conditions définies par décret. Ils fournissent également gratuitement aux services d’urgence l’information relative à la localisation de l’appelant ;

f bis) L’acheminement gratuit des communications des pouvoirs publics pour alerter la population située dans les zones géographiques potentiellement affectées soit par un cas d’urgence, un accident, un sinistre ou une catastrophe au sens de l’article L. 112‑1 du code de la sécurité intérieure, soit par une menace ou une agression au sens des articles L. 1111‑1 et L. 1111‑2 du code de la défense, imminents ou en cours, l’État contribuant aux frais d’équipement en matériels et logiciels acquis spécifiquement pour l’exécution de cette mission ;

f ter) L’acheminement gratuit d’informations d’intérêt général à destination des utilisateurs finals ;

g) Le financement du service universel et, le cas échéant, la fourniture du service universel et des services complémentaires au service universel, dans les conditions prévues aux articles L. 35‑2 à L. 35‑5 ;

h) La fourniture des informations prévues à l’article L. 34 ;

i) L’interconnexion et l’accès, dans les conditions prévues aux articles L. 34‑8 et L. 38 ;

j) Les conditions nécessaires pour assurer l’équivalence de traitement des opérateurs internationaux conformément aux dispositions du III du présent article ;

k) Les conditions nécessaires pour assurer l’interopérabilité des services ;

l) Les obligations qui s’imposent à l’opérateur pour permettre son contrôle par l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse et celles qui sont nécessaires pour l’application des articles L. 33‑12‑1 et L. 37‑1 ;

m) (Abrogé)

n) L’information des utilisateurs, dans la mesure où cette information est nécessaire à la mise en œuvre des dispositions du présent code ou des décisions prises en application de celui‑ci ;

n bis) Les informations devant figurer dans le contrat conclu avec un utilisateur professionnel, à la demande de ce dernier, et comprenant celles mentionnées à l’article L. 121‑83 du code de la consommation relatives aux prestations qu’il a souscrites ;

n ter) L’obligation de mettre à disposition des utilisateurs professionnels les informations mentionnées à l’article L. 121‑83‑1 du code de la consommation, selon les modalités prévues à ce même article ;

o) Un accès des utilisateurs finals handicapés à des services de communications électroniques à un tarif abordable et aux services d’urgence, équivalent à celui dont bénéficie la majorité des utilisateurs finals ;

p) (1) Un accès des utilisateurs finals sourds, malentendants, sourdaveugles et aphasiques à une offre de services de communications électroniques proposée sans surcoût pour l’utilisateur final et incluant, pour les appels passés et reçus, la fourniture d’un service de traduction simultanée écrite et visuelle défini au IV de l’article 105 de la loi n° 2016‑1321 du 7 octobre 2016 pour une République numérique, dans la limite d’un usage raisonnable, dans des conditions définies par décret et dans le respect des conditions de qualité définies par l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse.

Cette offre répond également, pour les appels passés et reçus, aux exigences d’accessibilité prévues à l’article L. 412‑13 du code de la consommation.

Elle garantit les conditions de neutralité et de confidentialité mentionnées au b du présent I ainsi que la prévention de la violation des données à caractère personnel mentionnée à l’article 83 de la loi n° 78‑17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

q) La neutralité de l’internet, qui consiste à garantir l’accès à l’internet ouvert régi par le règlement (UE) 2015/2120 du Parlement européen et du Conseil du 25 novembre 2015 établissant des mesures relatives à l’accès à un internet ouvert et aux prix de détail pour les communications à l’intérieur de l’Union européenne réglementées et modifiant la directive 2002/22/ CE et le règlement (UE) n° 531/2012 ;

Les fournisseurs de services de communications interpersonnelles non‑fondés sur la numérotation ne sont concernés que par les règles énoncées aux a, b, c, e, f bis, g, k, l, n, n bis, n ter et o du présent I.

Un décret fixe les modalités d’application du présent article, notamment les informations visées aux n bis et n ter, et précise, en tant que de besoin, selon les différentes catégories de réseaux et de services, les règles mentionnées aux a à q.

II. – Les opérateurs réalisant un chiffre d’affaires annuel sur le marché des communications électroniques supérieur à un seuil fixé par arrêté des ministres chargés des communications électroniques et de l’économie sont tenus d’individualiser sur le plan comptable leur activité.

En outre, lorsqu’ils disposent dans un secteur d’activité autre que les communications électroniques d’un monopole ou d’une position dominante appréciée après avis de l’Autorité de la concurrence, et que les infrastructures utilisées peuvent être séparées physiquement, ils sont tenus, dans l’intérêt d’un bon exercice de la concurrence, d’individualiser cette activité sur le plan juridique.

III. – Sous réserve des engagements internationaux souscrits par la France, le ministre chargé des communications électroniques et l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse veillent à ce que soit assurée l’égalité de traitement des opérateurs acheminant du trafic international au départ ou à destination de réseaux ouverts au public français, notamment dans les conditions d’accès aux réseaux français et étrangers.

Sous la même réserve, ils veillent également à ce que les opérateurs des pays tiers à l’Union européenne assurent aux opérateurs au sens du 15° de l’article L. 32 ayant une activité en France des droits comparables, notamment en matière d’interconnexion et d’accès à ceux dont ils bénéficient sur le territoire national, en application du présent code.

IV. – Les installations mentionnées au 2° de l’article L. 33 doivent respecter les règles mentionnées aux i et l du I.

V. – Les opérateurs de services de communications électroniques sont tenus de permettre l’accès par les autorités judiciaires, les services de la police et de la gendarmerie nationale, les services d’incendie et de secours et les services d’aide médicale d’urgence, agissant dans le cadre de missions judiciaires ou d’interventions de secours, à leurs listes d’abonnés et d’utilisateurs, complète, non expurgée et mise à jour.

VI.‑Les opérateurs n’apportent aucune limitation technique ou contractuelle à un service d’accès à internet, qui aurait pour objet ou effet d’interdire à un utilisateur de ce service qui en fait la demande :

1° D’accéder, depuis un point d’accès à internet, à des données enregistrées sur un équipement connecté à internet, par l’intermédiaire du service d’accès auquel il a souscrit ou de donner à des tiers accès à ces données ;

2° D’accéder au réseau local hertzien de son choix fourni par des tiers ou de permettre l’accès d’autres utilisateurs finals au réseau de ces opérateurs par l’intermédiaire de réseaux locaux hertziens.

VII.‑1° Les dispositions du e du I sont applicables en Polynésie française, dans les îles Wallis et Futuna et en Nouvelle‑Calédonie dans leur rédaction résultant de l’ordonnance n° 2021‑650 du 26 mai 2021 portant transposition de la directive (UE) 2018/1972 du Parlement européen et du Conseil du 11 décembre 2018 établissant le code des communications électroniques européen et relative aux mesures d’adaptation des pouvoirs de l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse ;

2° Les dispositions du f bis du I sont applicables en Polynésie française et dans les îles Wallis et Futuna dans leur rédaction résultant de l’ordonnance n° 2021‑650 du 26 mai 2021 précitée ;

3° Les dispositions du f bis du I sont applicables en Nouvelle‑Calédonie dans leur rédaction résultant de l’ordonnance n° 2021‑650 du 26 mai 2021 précitée, sous réserve des compétences exercées par cette collectivité en application du statut qui la régit.

Art. L. 33‑14. – Pour les besoins de la sécurité et de la défense des systèmes d’information, les opérateurs, mentionnés à l’article L. 1332‑1 du code de la défense, ainsi désignés en vertu de leur activité d’exploitant d’un réseau de communications électroniques ouvert au public, recourent, sur les réseaux de communications électroniques qu’ils exploitent, à des dispositifs mettant en œuvre des marqueurs techniques fournis par l’autorité nationale de sécurité des systèmes d’information aux seules fins de détecter des événements susceptibles d’affecter la sécurité des systèmes d’information de leurs abonnés. Ces dispositifs sont mis en œuvre pour répondre aux demandes de l’autorité nationale de sécurité des systèmes d’information.

2° Au premier alinéa de l’article L. 33‑14 et au deuxième alinéa du I de l’article L. 34‑11, les mots : « mentionnés à l’article L. 1332‑1 » sont remplacés par les mots : « d’importance vitale mentionnés au 1° du I de l’article L. 1332‑2 ».

2° Au premier alinéa de l’article L. 33‑14 et au deuxième alinéa du I de l’article L. 34‑11, les mots : « mentionnés à l’article L. 1332‑1 » sont remplacés par les mots : « d’importance vitale mentionnés au 1° du I de l’article L. 1332‑2 ».

Lorsqu’elle a connaissance d’une menace susceptible de porter atteinte à la sécurité des systèmes d’information, l’autorité nationale de sécurité des systèmes d’information demande aux opérateurs de communications électroniques d’exploiter les marqueurs techniques qu’elle fournit.

Par dérogation au II de l’article L. 34‑1, les opérateurs mentionnés au premier alinéa du présent article sont autorisés à conserver, pour une durée maximale de six mois, les données techniques strictement nécessaires à la caractérisation d’un évènement détecté par les dispositifs mentionnés au même premier alinéa. Les données recueillies dans le cadre de l’exploitation de ces dispositifs autres que celles directement utiles à la prévention et à la caractérisation des menaces sont immédiatement détruites.

Lorsque sont détectés des événements susceptibles d’affecter la sécurité des systèmes d’information, les opérateurs mentionnés audit premier alinéa en informent sans délai l’autorité nationale de sécurité des systèmes d’information.

A la demande de l’autorité nationale de sécurité des systèmes d’information, les opérateurs mentionnés au même premier alinéa informent leurs abonnés de la vulnérabilité de leurs systèmes d’information ou des atteintes qu’ils ont subies.

Les modalités d’application du présent article sont précisées par décret en Conseil d’État. Celui‑ci détermine notamment les catégories de données pouvant être conservées par les opérateurs mentionnés au premier alinéa, les modalités de compensation des surcoûts identifiables et spécifiques des prestations assurées à ce titre par les opérateurs, à la demande de l’autorité nationale de sécurité des systèmes d’information, ainsi que les garanties d’une juste rémunération pour la mise en place des dispositifs mentionnés au même premier alinéa.

Art. L. 34‑11. – I.‑Est soumise à une autorisation du Premier ministre, dans le but de préserver les intérêts de la défense et de la sécurité nationale, l’exploitation sur le territoire national des appareils, à savoir tous dispositifs matériels ou logiciels, permettant de connecter les terminaux des utilisateurs finaux au réseau radioélectrique mobile, à l’exception des réseaux de quatrième génération et des générations antérieures, qui, par leurs fonctions, présentent un risque pour la permanence, l’intégrité, la sécurité, la disponibilité du réseau, ou pour la confidentialité des messages transmis et des informations liées aux communications, à l’exclusion des appareils installés chez les utilisateurs finaux ou dédiés exclusivement à un réseau indépendant, des appareils électroniques passifs ou non configurables et des dispositifs matériels informatiques non spécialisés incorporés aux appareils.

L’autorisation mentionnée au premier alinéa du présent I n’est requise que pour l’exploitation, directe ou par l’intermédiaire de tiers fournisseurs, d’appareils par les opérateurs mentionnés à l’article L. 1332‑1 du code de la défense, ainsi désignés en vertu de leur activité d’exploitant d’un réseau de communications électroniques ouvert au public.

La liste des appareils dont l’exploitation est soumise à l’autorisation mentionnée au premier alinéa du présent I est fixée par arrêté du Premier ministre, pris après avis de l’Autorité de régulation des communications électroniques et des postes. Cette liste énumère les différents appareils concernés en référence à la terminologie utilisée dans les standards internationaux associés aux réseaux radioélectriques mobiles de cinquième génération et des générations ultérieures.

II.‑L’autorisation d’exploitation d’un appareil peut être octroyée après examen d’un dossier de demande d’autorisation remis par l’opérateur. Le dossier précise les modèles et les versions des appareils pour lesquels l’autorisation est sollicitée.

L’autorisation est octroyée, le cas échéant sous conditions, pour une durée maximale de huit ans. Le renouvellement de l’autorisation fait l’objet d’un dossier de demande de renouvellement, qui est remis au moins deux mois avant l’expiration de l’autorisation en vigueur.

Les modalités d’octroi de l’autorisation, les conditions dont elle peut être assortie ainsi que la composition du dossier de demande d’autorisation et du dossier de demande de renouvellement sont fixées par décret en Conseil d’État, pris après avis de l’Autorité de régulation des communications électroniques et des postes et de la Commission supérieure du numérique et des postes, qui se prononcent dans un délai d’un mois à compter de leur saisine.

Code de la santé publique

Art. L. 1333‑9. – I.‑Les activités nucléaires susceptibles d’occasionner une faible exposition aux rayonnements ionisants, et répondant à des caractéristiques fixées par voie réglementaire, sont exemptées de l’obligation de déclaration, d’enregistrement ou d’autorisation prévue à l’article L. 1333‑8.

II.‑Les activités nucléaires exercées dans une installation nucléaire de base relevant du régime prévu à l’article L. 593‑1 du code de l’environnement ne sont pas soumises aux dispositions de l’article L. 1333‑8.

Ces activités nucléaires sont toutefois soumises, sauf disposition contraire, à la réglementation générale applicable aux activités nucléaires pour la protection des intérêts mentionnés à l’article L. 1333‑7.

Les actes réglementaires ou individuels pris en application du régime des installations nucléaires de base assurent la prise en compte des obligations prévues par le présent chapitre. Ils tiennent compte de l’autorisation délivrée au titre de l’article L. 1333‑2 du code de la défense, lorsque l’activité nucléaire bénéficie de moyens et mesures de protection pris en application de la section 1 du chapitre III du titre III du livre III de la première partie du code de la défense, auquel cas le contrôle de ces moyens et mesures ne relève pas du présent chapitre.

Toutefois, les actes réglementaires et individuels mentionnés ci‑dessus ne concernent pas la protection contre les actes de malveillance :

1° Dans les emprises placées sous l’autorité du ministre de la défense ;

2° Dans certains établissements, installations ou ouvrages relevant de l’article L. 1332‑1 du code de la défense déterminés par voie réglementaire ;

IV. – Au 2° du II et au 2° du VI de l’article L. 1333‑9 du code de la santé publique, les mots : « certains établissements, installations ou ouvrages relevant de l’article L. 1332‑1 » sont remplacés par les mots : « certaines infrastructures des opérateurs d’importance vitale mentionnés au 1° du I de l’article L. 1332‑2 ».

IV. – Aux 2° des II et VI de l’article L. 1333‑9 du code de la santé publique, les mots : « certains établissements, installations ou ouvrages relevant de l’article L. 1332‑1 » sont remplacés par les mots : « certaines infrastructures des opérateurs d’importance vitale mentionnés au 1° du I de l’article L. 1332‑2 ».

3° Pour les sources de rayonnements ionisants qui sont également des matières nucléaires soumises à autorisation en application de l’article L. 1333‑2 du code de la défense.

Dans les cas relevant du 2° et du 3° ne relevant pas également du 1°, la prise en compte des obligations en matière de protection contre les actes de malveillance est assurée par le régime d’autorisation prévu au L. 1333‑2 du code de la défense.

III.‑Les activités nucléaires définies dans la nomenclature prévue à l’article L. 511‑2 du code de l’environnement ou relevant en elles‑mêmes de l’application de l’article L. 162‑1 du code minier ne sont pas soumises aux dispositions de l’article L. 1333‑8.

Ces activités nucléaires sont toutefois soumises, sauf disposition contraire, à la réglementation générale applicable aux activités nucléaires pour la protection des intérêts mentionnés à l’article L. 1333‑7.

Les actes réglementaires ou individuels pris en application des régimes mentionnés au premier alinéa du présent III assurent la prise en compte des obligations prévues par le présent chapitre, à l’exception de celles relatives à la protection contre les actes de malveillance.

Au titre de la protection contre les actes de malveillance, certaines de ces activités nucléaires sont soumises à une autorisation délivrée par l’Autorité de sûreté nucléaire et de radioprotection dans les conditions prévues à l’article L. 1333‑8. Cette autorisation tient compte de celle délivrée au titre de l’article L. 1333‑2 du code de la défense, lorsque l’activité nucléaire bénéficie de moyens et mesures de protection pris en application de la section 1 du chapitre III du titre III du livre III de la première partie du code de la défense, auquel cas le contrôle de ces moyens et mesures ne relève pas du présent chapitre.

Toutefois, l’alinéa précédent ne s’applique pas :

1° Dans les emprises placées sous l’autorité du ministre de la défense ;

2° Dans certains établissements, installations ou ouvrages relevant de l’article L. 1332‑1 du code de la défense définis par voie réglementaire ;

3° Pour les sources de rayonnements ionisants qui sont également des matières nucléaires soumises à autorisation en application de l’article L. 1333‑2 du code de la défense.

Dans les cas 2° et 3° ne relevant pas également du 1°, la prise en compte des obligations en matière de protection contre les actes de malveillance est assurée par le régime d’autorisation prévu au L. 1333‑2 du code de la défense.

IV.‑Les activités nucléaires exercées dans les installations et activités nucléaires intéressant la défense mentionnées à l’article L. 1333‑15 du code de la défense ne sont pas soumises aux dispositions de l’article L. 1333‑8.

Ces activités nucléaires peuvent faire l’objet de dispositions réglementaires particulières adaptant la réglementation générale applicable aux activités nucléaires pour la protection des intérêts mentionnés à l’article L. 1333‑7.

Les actes réglementaires ou individuels pris en application des régimes applicables à ces installations et activités assurent la prise en compte des obligations prévues par le présent chapitre.

V.‑L’autorisation mentionnée à l’article L. 1333‑8 tient compte de celle délivrée au titre de l’article L. 1333‑2 du code de la défense, lorsque l’activité nucléaire bénéficie de moyens et mesures de protection pris en application de la section 1 du chapitre III du titre III du livre III de la première partie du code de la défense, auquel cas le contrôle de ces moyens et mesures ne relève pas du présent chapitre.

VI.‑Le régime mentionné à l’article L. 1333‑8 ne porte pas sur les obligations en matière de protection contre les actes de malveillance dans les cas suivants :

1° Dans les emprises et pour les transports de substances radioactives placés sous l’autorité du ministre de la défense à destination ou en provenance de ces emprises ;

2° Dans certains établissements, installations ou ouvrages relevant de l’article L. 1332‑1 du code de la défense définis par voie réglementaire ;

3° Pour les sources de rayonnements ionisants qui sont également des matières nucléaires soumises à autorisation en application de l’article L. 1333‑2 du code de la défense ;

4° Pour les transports de substances radioactives soumis au régime défini à l’article L. 1333‑2 du code de la défense.

Ces activités nucléaires peuvent faire l’objet de dispositions réglementaires particulières adaptant la réglementation générale applicable aux activités nucléaires en matière de protection contre les actes de malveillance.

Dans les cas 2°, 3° et 4° ne relevant pas également du 1°, la prise en compte des obligations en matière de protection contre les actes de malveillance est assurée par le régime d’autorisation prévu au L. 1333‑2 du code de la défense.

.

V. – Le code de la sécurité intérieure est ainsi modifié :

V. – Le code de la sécurité intérieure est ainsi modifié :

Code de la sécurité intérieure

Art. L. 223‑2. – Aux fins de prévention d’actes de terrorisme, le représentant de l’État dans le département et, à Paris, le préfet de police peuvent prescrire la mise en œuvre, dans un délai qu’ils fixent, de systèmes de vidéoprotection, aux personnes suivantes :

1° Les exploitants des établissements, installations ou ouvrages mentionnés aux articles L. 1332‑1 et L. 1332‑2 du code de la défense ;

1° Au 1° de l’article L. 223‑2, les mots : « exploitants des établissements, installations ou ouvrages mentionnés aux articles L. 1332‑1 et L. 1332‑2 » sont remplacés par les mots : « opérateurs d’importance vitale mentionnés au I de l’article L. 1332‑2 » ;

1° Au 1° de l’article L. 223‑2, les mots : « exploitants des établissements, installations ou ouvrages mentionnés aux articles L. 1332‑1 et L. 1332‑2 » sont remplacés par les mots : « opérateurs d’importance vitale mentionnés au I de l’article L. 1332‑2 » ;

2° Les gestionnaires d’infrastructures, les autorités et personnes exploitant des transports collectifs, relevant de l’activité de transports terrestres régie par l’article L. 1000‑1 du code des transports ;

3° Les exploitants d’aéroports qui, n’étant pas mentionnés aux deux alinéas précédents, sont ouverts au trafic international.

Art. L. 223‑8. – Aux fins de prévention d’actes de terrorisme, de protection des abords des établissements, installations ou ouvrages mentionnés aux articles L. 1332‑1 et L. 1332‑2 du code de la défense ou de protection des intérêts fondamentaux de la Nation, le représentant de l’État dans le département ou, à Paris, le préfet de police, peut demander à une commune la mise en œuvre de systèmes de vidéoprotection. Le conseil municipal doit en délibérer dans un délai de trois mois.

2° Au premier alinéa de l’article L. 223‑8, les mots : « établissements, installations ou ouvrages mentionnés aux articles L. 1332‑1 et L. 1332‑2 » sont remplacés par les mots : « infrastructures des opérateurs d’importance vitale mentionnés au I de l’article L. 1332‑2 ».

2° À la première phrase du premier alinéa de l’article L. 223‑8, les mots : « établissements, installations ou ouvrages mentionnés aux articles L. 1332‑1 et L. 1332‑2 » sont remplacés par les mots : « infrastructures des opérateurs d’importance vitale mentionnés au I de l’article L. 1332‑2 ».

Les conditions de financement du fonctionnement et de la maintenance du système de vidéoprotection font l’objet d’une convention conclue entre la commune de son lieu d’implantation et le représentant de l’État dans le département ou, à Paris, le préfet de police.

Les articles L. 223‑3 et L. 223‑5 sont applicables.

Loi n° 2006‑961 du 1 août 2006 relative au droit d’auteur et aux droits voisins dans la société de l’information .

Art. 15. – L’importation, le transfert depuis un État membre de la Union européenne, la fourniture ou l’édition de logiciels susceptibles de traiter des œuvres protégées et intégrant des mesures techniques permettant le contrôle à distance direct ou indirect d’une ou plusieurs fonctionnalités ou l’accès à des données à caractère personnel sont soumis à une déclaration préalable auprès du service de l’État chargé de la sécurité des systèmes d’information. Le fournisseur, l’éditeur ou la personne procédant à l’importation ou au transfert depuis un État membre de l’Union européenne est tenu, à la demande de ce service, de transmettre à celui‑ci les spécifications et le code source des logiciels concernés, le code source des bibliothèques utilisées lorsque celui‑ci est disponible, ainsi que l’ensemble des outils et méthodes permettant l’obtention de ces logiciels à partir des codes source fournis. Le service de l’État chargé de la sécurité des systèmes d’information peut, si ces logiciels s’appuient sur des bibliothèques et composants logiciels créés, importés ou conçus par une tierce partie, demander à celle‑ci la fourniture des mêmes éléments. Un décret en Conseil d’État fixe les conditions dans lesquelles sont souscrites ces déclarations et transmises les informations techniques visées ci‑dessus.

Les logiciels visés au premier alinéa ne peuvent être utilisés dans des systèmes de traitement automatisé de données dont la mise en œuvre est nécessaire à la sauvegarde des droits afférents aux œuvres protégées que lorsqu’ils sont opérés dans le respect des dispositions de la loi n° 78‑17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et dans des conditions ne portant notamment pas atteinte aux secrets protégés par la loi, ni à l’ordre public.

L’État est autorisé à déterminer les conditions dans lesquelles les logiciels visés au premier alinéa peuvent être utilisés dans les systèmes de traitement automatisé de données des administrations de l’État, des collectivités territoriales et des opérateurs publics ou privés gérant des installations d’importance vitale au sens des articles L. 1332‑1 à L. 1332‑7 du code de la défense.

VI. – Au troisième alinéa de l’article 15 de la loi n° 2006‑961 du 1er août 2006 relative au droit d’auteur et aux droits voisins dans la société de l’information, les mots : « publics ou privés gérant des installations d’importance vitale au sens des articles L. 1332‑1 à L. 1332‑7 » sont remplacés par les mots : « d’importance vitale mentionnés au I de l’article L. 1332‑2 ».

VI. – Au troisième alinéa de l’article 15 de la loi n° 2006‑961 du 1er août 2006 relative au droit d’auteur et aux droits voisins dans la société de l’information, les mots : « publics ou privés gérant des installations d’importance vitale au sens des articles L. 1332‑1 à L. 1332‑7 » sont remplacés par les mots : « d’importance vitale mentionnés au I de l’article L. 1332‑2 ».

Un décret en Conseil d’État fixe les conditions d’application du présent article ainsi que la nature des systèmes de traitement automatisé de données auxquels elles s’appliquent.

I. – La sixième partie du code de la défense est ainsi modifiée :

I. – La sixième partie du code de la défense est ainsi modifiée :

1° Le chapitre Ier du titre II du livre II est complété par un article L. 6221‑2 ainsi rédigé :

1° Le chapitre Ier du titre II du livre II est complété par un article L. 6221‑2 ainsi rédigé :

« Art. L. 6221‑2. – En l’absence d’adaptation, les références faites, par des dispositions du présent code applicables à Saint‑Barthélemy, à des dispositions qui n’y sont pas applicables sont remplacées par les références aux dispositions ayant le même objet applicables localement. » ;

« Art. L. 6221‑2. – En l’absence d’adaptation, les références faites, par des dispositions du présent code applicables à Saint‑Barthélemy, à des dispositions qui n’y sont pas applicables sont remplacées par les références aux dispositions ayant le même objet applicables localement. » ;

2° Au chapitre II du titre II du livre II, il est inséré un article L. 6222‑1 ainsi rédigé :

2° Au chapitre II du même titre II, il est ajouté un article L. 6222‑1 ainsi rédigé :

« Art. L. 6222‑1. – La sous‑section 2 de la section 1 du chapitre II du titre III du livre III de la partie 1 n’est pas applicable à Saint‑Barthélemy. » ;

« Art. L. 6222‑1. – La sous‑section 2 de la section 1 du chapitre II du titre III du livre III de la première partie n’est pas applicable à Saint‑Barthélemy. » ;

3° Le chapitre II du titre IV du livre II est complété par un article L. 6242‑2 ainsi rédigé :

3° Le chapitre II du titre IV du livre II est complété par un article L. 6242‑2 ainsi rédigé :

« Art. L. 6242‑2. – La sous‑section 2 de la section 1 du chapitre II du titre III du livre III de la partie 1 n’est pas applicable à Saint‑Pierre‑et‑Miquelon. » ;

« Art. L. 6242‑2. – La sous‑section 2 de la section 1 du chapitre II du titre III du livre III de la première partie n’est pas applicable à Saint‑Pierre‑et‑Miquelon. » ;

4° Le chapitre II du titre Ier du livre III est complété par un article L. 6312‑3 ainsi rédigé :

4° Le chapitre II du titre Ier du livre III est complété par un article L. 6312‑3 ainsi rédigé :

« Art. L. 6312‑3. – La sous‑section 2 de la section 1 du chapitre II du titre III du livre III de la partie 1 n’est pas applicable dans les îles Wallis et Futuna, en Polynésie française, en Nouvelle‑Calédonie et dans les Terres australes et antarctiques françaises. »

« Art. L. 6312‑3. – La sous‑section 2 de la section 1 du chapitre II du titre III du livre III de la première partie n’est pas applicable dans les îles Wallis et Futuna, en Polynésie française, en Nouvelle‑Calédonie et dans les Terres australes et antarctiques françaises. »

Code pénal

Art. 711‑1. – Sous réserve des adaptations prévues au présent titre, les livres Ier à V du présent code sont applicables, dans leur rédaction résultant de la loi n° 2024‑582 du 24 juin 2024 améliorant l’efficacité des dispositifs de saisie et de confiscation des avoirs criminels, en Nouvelle‑Calédonie, en Polynésie française et dans les îles Wallis et Futuna.

II. – A l’article 711‑1 du code pénal, les mots : « loi n° 2024‑247 du 21 mars 2024 renforçant la sécurité et la protection des maires et des élus locaux » sont remplacés par les mots : « loi n° ….. du ….. relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité ».

II. – L’article 711‑1 du code pénal est ainsi rédigé :

« Art. 711‑1. – Sous réserve des adaptations prévues au présent titre, les livres Ier à V du présent code sont applicables, dans leur rédaction résultant de la loi n°       du       relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, en Nouvelle‑Calédonie, en Polynésie française et dans les îles Wallis et Futuna. »

III. – Le chapitre II du titre Ier du livre II du code des postes et des communications électroniques est ainsi modifié :

III. – Le chapitre II du titre Ier du livre II du code des postes et des communications électroniques est ainsi modifié :

1° Au 1° du VII de l’article L. 33‑1, les mots : « l’ordonnance n° 2021‑650 du 26 mai 2021 portant transposition de la directive (UE) 2018/1972 du Parlement européen et du Conseil du 11 décembre 2018 établissant le code des communications électroniques européen et relative aux mesures d’adaptation des pouvoirs de l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse » sont remplacés par les mots : « la loi n° ….. du ….. relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité » ;

1° Après le mot « résultant », la fin du 1° du VII de l’article L. 33‑1 est ainsi rédigée : « de la loi n°       du        relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité. » ;

Code des postes et des communications électroniques

Art. L. 33‑15. – L’article L. 33‑14 est applicable dans les îles Wallis et Futuna, en Polynésie française et en Nouvelle‑Calédonie dans sa rédaction résultant de la loi n n° 2023‑703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense.

2° A l’article L. 33‑15, les mots : « loi n° 2023‑703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense » sont remplacés par les mots : « loi n° ….. du ….. relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité » ;

2° Après le mot « résultant », la fin de l’article L. 33‑15 est ainsi rédigée : « de la loi n°       du        relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité. » ;

Art. L. 34‑14. – La présente section est applicable dans les îles Wallis et Futuna.

3° L’article L. 34‑14 est complété par les mots : « dans sa rédaction résultant de la loi n° ….. du ….. relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité ».

3° L’article L. 34‑14 est complété par les mots : « dans sa rédaction résultant de la loi n°   du   relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité ».

Code de la sécurité intérieure

Art. L. 285‑1. – Sont applicables en Polynésie française, dans leur rédaction résultant de la loi n° 2023‑703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense, les dispositions suivantes :

IV. – Au premier alinéa des articles L. 285‑1, L. 286‑1, L. 287‑1 et L. 288‑1 du code de la sécurité intérieure, les mots : « loi n° 2023‑703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense » sont remplacés par les mots : « loi n° ….. du ….. relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité ».

IV. – Au premier alinéa des articles L. 285‑1, L. 286‑1, L. 287‑1 et L. 288‑1 du code de la sécurité intérieure, les mots : « loi n° 2023‑703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense » sont remplacés par les mots : « loi n°   du   relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité ».

Le présent titre entre en vigueur à une date fixée par décret en Conseil d’État, et au plus tard un an après la promulgation de la présente loi.

Amdt COM‑95

Les opérateurs d’importance vitale désignés avant la date d’entrée en vigueur des dispositions du titre Ier de la présente loi sont regardés comme désignés en application du I de l’article L. 1332‑2 du code de la défense dans sa rédaction résultant du chapitre Ier de la présente loi à la date de son entrée en vigueur.

Les opérateurs d’importance vitale désignés avant la date d’entrée en vigueur du titre Ier de la présente loi sont regardés comme désignés en application du I de l’article L. 1332‑2 du code de la défense dans sa rédaction résultant du chapitre Ier de la présente loi à la date de son entrée en vigueur.

Ces opérateurs restent soumis aux obligations qui leurs sont applicables avant la date d’entrée en vigueur de la présente loi jusqu’à l’accomplissement des obligations prévues aux articles L. 1332‑2 à L. 1332‑5 et à l’article L. 1332‑11 du code de la défense dans leur rédaction résultant de la présente loi.

Ces opérateurs restent soumis aux obligations qui leurs sont applicables avant la date d’entrée en vigueur du titre Ier de la présente loi jusqu’à l’accomplissement des obligations prévues aux articles L. 1332‑2 à L. 1332‑5 et à l’article L. 1332‑11 du code de la défense dans leur rédaction résultant de la présente loi.

Amdt COM‑95

L’autorité nationale de sécurité des systèmes d’information est chargée de la mise en œuvre de la politique du Gouvernement en matière de sécurité des systèmes d’information régie par le présent titre et de son contrôle.

L’autorité nationale de sécurité des systèmes d’information mentionnée à l’article L. 2321‑1 du code de la défense est chargée de la mise en œuvre de la politique du Gouvernement en matière de sécurité des systèmes d’information régie par le présent titre et de son contrôle.

Amdt COM‑96

Le Premier ministre peut désigner un organisme autre que l’autorité nationale de sécurité des systèmes d’information mentionnée au premier alinéa pour exercer à l’égard de certaines entités, à raison de leur activité dans le domaine de la défense, certaines des responsabilités de cette autorité prévues par le présent titre.

Le Premier ministre peut désigner un organisme autre que l’autorité nationale de sécurité des systèmes d’information mentionnée au premier alinéa pour exercer à l’égard de certaines entités, à raison de leur activité dans le domaine de la défense, certaines des responsabilités de cette autorité prévues par le présent titre.

Les missions de l’autorité nationale et des organismes désignés par le Premier ministre ainsi que leurs conditions d’exercice sont précisées par décret en Conseil d’État.

Les missions de l’autorité nationale et des organismes désignés par le Premier ministre ainsi que leurs conditions d’exercice sont précisées par décret en Conseil d’État. Ces missions comprennent notamment l’accompagnement et le soutien au développement de la filière cybersécurité en coordination avec les ministères compétents.

Amdt COM‑58

Au sens du présent titre, on entend par :

Au sens du présent titre, on entend par :

1° Bureau d’enregistrement : une entité fournissant des services d’enregistrement de noms de domaine ;

1° Bureau d’enregistrement : une entité fournissant des services d’enregistrement de noms de domaine ;

2° Office d’enregistrement : une entité à laquelle un domaine de premier niveau spécifique a été délégué et qui est responsable de l’administration de ce domaine, y compris de l’enregistrement des noms de domaine en relevant et de son fonctionnement technique, notamment l’exploitation de ses serveurs de noms, la maintenance de ses bases de données et la distribution de ses fichiers de zone sur les serveurs de noms, que ces opérations soient effectuées par l’entité elle‑même ou qu’elles soient sous‑traitées, mais à l’exclusion des situations où les noms de domaine de premier niveau sont utilisés par un registre uniquement pour son propre usage ;

2° Office d’enregistrement : une entité à laquelle un domaine de premier niveau spécifique a été délégué et qui est responsable de l’administration de ce domaine, y compris de l’enregistrement des noms de domaine en relevant et de son fonctionnement technique, notamment l’exploitation de ses serveurs de noms, la maintenance de ses bases de données et la distribution de ses fichiers de zone sur les serveurs de noms, que ces opérations soient effectuées par l’entité elle‑même ou qu’elles soient sous‑traitées, mais à l’exclusion des situations où les noms de domaine de premier niveau sont utilisés par un registre uniquement pour son propre usage ;

2° bis (nouveau) Incident : un événement compromettant la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données stockées, transmises ou faisant l’objet d’un traitement, ou des services que les réseaux et systèmes d’information offrent ou rendent accessibles ;

Amdt COM‑98

3° Prestataire de services de confiance : un prestataire de services de confiance au sens du paragraphe 19 de l’article 3 du règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE ;

3° Prestataire de services de confiance : un prestataire de services de confiance au sens du paragraphe 19 de l’article 3 du règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE ;

4° Prestataire de service de confiance qualifié : un prestataire de services de confiance au sens du paragraphe 20 de l’article 3 du règlement (UE) n° 910/2014 mentionné ci‑dessus ;

4° Prestataire de service de confiance qualifié : un prestataire de services de confiance au sens du paragraphe 20 de l’article 3 du règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 précité ;

5° Représentant : une personne physique ou morale établie dans l’Union qui est expressément désignée pour agir pour le compte d’un fournisseur de services de système de nom de domaine, d’un registre de noms de domaine de premier niveau, d’une entité fournissant des services d’enregistrement de noms de domaine, d’un fournisseur d’informatique en nuage, d’un fournisseur de services de centre de données, d’un fournisseur de réseau de diffusion de contenu, d’un fournisseur de services gérés, d’un fournisseur de services de sécurité gérés ou d’un fournisseur de places de marché en ligne, de moteurs de recherche en ligne ou de plateformes de services de réseaux sociaux non établi dans l’Union, qui peut être contactée par une autorité compétente ou un centre de veille, d’alerte et de réponse aux attaques informatiques (CERT) à la place de l’entité elle‑même concernant les obligations incombant à ladite entité en vertu de la présente loi ;

5° Représentant : une personne physique ou morale établie dans l’Union qui est expressément désignée pour agir pour le compte d’un fournisseur de services de système de nom de domaine, d’un registre de noms de domaine de premier niveau, d’une entité fournissant des services d’enregistrement de noms de domaine, d’un fournisseur d’informatique en nuage, d’un fournisseur de services de centre de données, d’un fournisseur de réseau de diffusion de contenu, d’un fournisseur de services gérés, d’un fournisseur de services de sécurité gérés ou d’un fournisseur de places de marché en ligne, de moteurs de recherche en ligne ou de plateformes de services de réseaux sociaux non établi dans l’Union, qui peut être contactée par une autorité compétente ou un centre de veille, d’alerte et de réponse aux attaques informatiques (CERT) à la place de l’entité elle‑même concernant les obligations incombant à ladite entité en application de la présente loi ;

6° Service de centre de données : un service qui englobe les structures, ou groupes de structures, dédiées à l’hébergement, l’interconnexion et l’exploitation centralisées des équipements informatiques et de réseau fournissant des services de stockage, de traitement et de transport des données, ainsi que l’ensemble des installations et infrastructures de distribution d’électricité et de contrôle environnemental ;

6° Service de centre de données : un service qui englobe les structures, ou groupes de structures, dédiées à l’hébergement, l’interconnexion et l’exploitation centralisées des équipements informatiques et de réseau fournissant des services de stockage, de traitement et de transport des données, ainsi que l’ensemble des installations et infrastructures de distribution d’électricité et de contrôle environnemental ;

7° Système d’information : l’ensemble des infrastructures et services logiciels informatiques permettant de collecter, traiter, transmettre et stocker sous forme numérique des données.

7° Système d’information : l’ensemble des infrastructures et services logiciels informatiques permettant de collecter, traiter, transmettre et stocker sous forme numérique des données ;

8° (nouveau) Vulnérabilité : une faiblesse, susceptibilité ou faille de produits ou services des technologies de l’information et de la communication, ou d’origine humaine, qui peut être exploitée par une cybermenace.

Amdt COM‑99

La liste des secteurs d’activité critiques et hautement critiques pour le fonctionnement de l’économie et de la société mentionnés dans la présente section est fixée par décret en Conseil d’État.

I. – Sont considérés au titre de la présente section comme des secteurs hautement critiques pour le fonctionnement de l’économie et de la société les secteurs :

Amdt COM‑100

1° De l’énergie ;

Amdt COM‑100

2° Des transports ;

Amdt COM‑100

3° Des banques ;

Amdt COM‑100

4° Des infrastructures des marchés financiers ;

Amdt COM‑100

5° De la santé ;

Amdt COM‑100

6° De l’eau potable ;

Amdt COM‑100

7° Des eaux usées ;

Amdt COM‑100

8° De l’infrastructure numérique ;

Amdt COM‑100

9° De la gestion des services des technologies de l’information et de la communication ;

Amdt COM‑100

10° De l’espace.

Amdt COM‑100

II. – Sont considérés au titre de la présente section comme des secteurs critiques pour le fonctionnement de l’économie et de la société les secteurs :

Amdt COM‑100

1° Des services postaux et d’expédition ;

Amdt COM‑100

2° De la gestion des déchets ;

Amdt COM‑100

3° De la fabrication, de la production et de la distribution de produits chimiques ;

Amdt COM‑100

4° De la production, de la transformation et de la distribution des denrées alimentaires ;

Amdt COM‑100

5° De la fabrication de certains biens, équipements et produits ;

Amdt COM‑100

6° Des fournisseurs de certains services numériques ;

Amdt COM‑100

7° De la recherche.

Amdt COM‑100

III. – Un décret en Conseil d’État précise les modalités d’application du présent article. Il détermine les sous‑secteurs et les types d’entités relevant des secteurs mentionnés aux I et II.

Amdt COM‑100

Sont des entités essentielles :

Sont des entités essentielles :

1° Les entreprises appartenant à un des secteurs d’activité hautement critiques qui emploient au moins 250 personnes ou dont le chiffre d’affaires annuel excède 50 millions d’euros et dont le total du bilan annuel excède 43 millions d’euros ;

1° Les entreprises appartenant à un des secteurs d’activité hautement critiques qui emploient au moins 250 personnes ou dont le chiffre d’affaires annuel excède 50 millions d’euros et dont le total du bilan annuel excède 43 millions d’euros ;

2° Les établissements publics à caractère industriel et commercial, à l’exception du Commissariat à l’énergie atomique et aux énergies alternatives pour ses seules activités dans le domaine de la défense, ainsi que les régies dotées de la seule autonomie financière chargées d’un service public industriel et commercial créées en application du 2° de l’article L. 2221‑4 du code général des collectivités territoriales, appartenant à un des secteurs d’activité hautement critiques, qui emploient au moins 250 personnes ou dont les produits d’exploitation excèdent 50 millions d’euros et le total du bilan annuel excède 43 millions d’euros. Le critère d’emploi est calculé selon les modalités prévues par le I de l’article L. 130‑1 du code de la sécurité sociale, les critères financiers sont appréciés au niveau de la personne morale ou de la régie concernée ;

2° Les établissements publics à caractère industriel et commercial, à l’exception du Commissariat à l’énergie atomique et aux énergies alternatives pour ses seules activités dans le domaine de la défense, ainsi que les régies dotées de la seule autonomie financière chargées d’un service public industriel et commercial créées en application du 2° de l’article L. 2221‑4 du code général des collectivités territoriales, appartenant à un des secteurs d’activité hautement critiques, qui emploient au moins 250 personnes ou dont les produits d’exploitation excèdent 50 millions d’euros et le total du bilan annuel excède 43 millions d’euros. Le critère d’emploi est calculé selon les modalités prévues au I de l’article L. 130‑1 du code de la sécurité sociale, les critères financiers sont appréciés au niveau de la personne morale ou de la régie concernée ;

3° Les opérateurs de communications électroniques qui emploient au moins 50 personnes ou dont le chiffre d’affaires annuel et le total du bilan annuel excèdent chacun 10 millions d’euros ;

3° Les opérateurs de communications électroniques qui emploient au moins 50 personnes ou dont le chiffre d’affaires annuel et le total du bilan annuel excèdent chacun 10 millions d’euros ;

4° Les prestataires de service de confiance qualifiés ;

4° Les prestataires de service de confiance qualifiés ;

5° Les offices d’enregistrement ;

5° Les offices d’enregistrement ;

6° Les fournisseurs de services de système de noms de domaine ;

6° Les fournisseurs de services de système de noms de domaine ;

7° Les administrations suivantes :

7° Les administrations suivantes :

a) Les administrations de l’État et leurs établissements publics administratifs, à l’exception des administrations de l’État qui exercent leurs activités dans les domaines de la sécurité publique, de la défense et de la sécurité nationale, de la répression pénale et des missions diplomatiques et consulaires françaises pour leurs réseaux et systèmes d’information ainsi que de leurs établissements publics administratifs qui exercent leurs activités dans les mêmes domaines ou qui sont désignés entité importante par arrêté du Premier ministre. Le Premier ministre désigne par arrêté les établissements publics administratifs de l’État qui, compte tenu du faible impact économique et social de leur activité, ne sont pas soumis à la présente loi, dans des conditions précisées par décret en Conseil d’État ;

a) Les administrations de l’État et leurs établissements publics administratifs, à l’exception des administrations de l’État qui exercent leurs activités dans les domaines de la sécurité publique, de la défense et de la sécurité nationale, de la répression pénale et des missions diplomatiques et consulaires françaises pour leurs réseaux et systèmes d’information ainsi que de leurs établissements publics administratifs qui exercent leurs activités dans les mêmes domaines ou qui sont désignés entité importante par arrêté du Premier ministre. Le Premier ministre désigne par arrêté les établissements publics administratifs de l’État qui, compte tenu du faible impact économique et social de leur activité, ne sont pas soumis à la présente loi, dans des conditions précisées par décret en Conseil d’État ;

b) Les régions, les départements, les communes d’une population supérieure à 30 000 habitants, leurs établissements publics administratifs dont les activités s’inscrivent dans un des secteurs d’activité hautement critiques ou critiques ;

b) Les régions, les départements, les communes d’une population supérieure à 30 000 habitants, leurs établissements publics administratifs dont les activités s’inscrivent dans un des secteurs d’activité hautement critiques ou critiques ;

c) Les centres de gestion mentionnés à l’article L. 452‑1 du code général de la fonction publique ;

c) Les centres de gestion mentionnés à l’article L. 452‑1 du code général de la fonction publique ;

d) Les services départementaux d’incendie et de secours mentionnés à l’article L. 1424‑1 du code général des collectivités territoriales ;

d) Les services départementaux d’incendie et de secours mentionnés à l’article L. 1424‑1 du code général des collectivités territoriales ;

e) Les communautés urbaines, les communautés d’agglomération et les métropoles, leurs établissements publics administratifs dont les activités s’inscrivent dans un des secteurs d’activité hautement critiques ou critiques ;

e) Les communautés urbaines, les communautés d’agglomération et les métropoles, leurs établissements publics administratifs dont les activités s’inscrivent dans un des secteurs d’activité hautement critiques ou critiques ;

f) Les syndicats mentionnés aux articles L. 5212‑1, L. 5711‑1 et L. 5721‑2 du code général des collectivités territoriales dont les activités s’inscrivent dans un des secteurs d’activité hautement critiques ou critiques et dont la population est supérieure à 30 000 habitants ;

f) Les syndicats mentionnés aux articles L. 5212‑1, L. 5711‑1 et L. 5721‑2 du même code dont les activités s’inscrivent dans un des secteurs d’activité hautement critiques ou critiques et dont la population est supérieure à 30 000 habitants ;

g) Les institutions et organismes interdépartementaux mentionnés à l’article L. 5421‑1 du code général des collectivités territoriales dont les activités s’inscrivent dans un des secteurs d’activité hautement critiques ou critiques ;

g) Les institutions et organismes interdépartementaux mentionnés à l’article L. 5421‑1 dudit code dont les activités s’inscrivent dans un des secteurs d’activité hautement critiques ou critiques ;

h) Et les autres organismes et personnes de droit public ou de droit privé chargés d’une mission de service public administratif, mentionnés au 1° de l’article L. 100‑3 du code des relations entre le public et l’administration, à compétence nationale, à l’exception de ceux qui sont désignés entité importante par arrêté du Premier ministre. Le Premier ministre désigne par arrêté les organismes et personnes morales qui, compte tenu du faible impact économique et social de leur activité, ne sont pas soumis à la présente loi, dans des conditions précisées par décret en Conseil d’État ;

h) Et les autres organismes et personnes de droit public ou de droit privé chargés d’une mission de service public administratif, mentionnés au 1° de l’article L. 100‑3 du code des relations entre le public et l’administration, à compétence nationale, à l’exception de ceux qui sont désignés entité importante par arrêté du Premier ministre. Le Premier ministre désigne par arrêté les organismes et personnes morales qui, compte tenu du faible impact économique et social de leur activité, ne sont pas soumis à la présente loi, dans des conditions précisées par décret en Conseil d’État ;

Code de la défense

Art. L. 1332‑2. – Les obligations prescrites par le présent chapitre peuvent être étendues à des établissements mentionnés à l’article L. 511‑1 du code de l’environnement ou comprenant une installation nucléaire de base visée à l’article L. 593‑1 du code de l’environnement quand la destruction ou l’avarie de certaines installations de ces établissements peut présenter un danger grave pour la population. Ces établissements sont désignés par l’autorité administrative.

8° Les opérateurs d’importance vitale en tant qu’ils exercent une activité qualifiée de service essentiel en application du deuxième alinéa du 1° du I de l’article L. 1332‑2 du code de la défense ;

8° Les opérateurs d’importance vitale en tant qu’ils exercent une activité qualifiée de service essentiel en application du second alinéa du 1° du I de l’article L. 1332‑2 du code de la défense ;

9° Les opérateurs de services essentiels désignés en application des dispositions de l’article 5 de la loi n° 2018‑133 du 26 février 2018 portant diverses dispositions d’adaptation au droit de l’Union européenne dans le domaine de la sécurité avant l’entrée en vigueur de la présente loi ;

9° Les opérateurs de services essentiels désignés en application de l’article 5 de la loi n° 2018‑133 du 26 février 2018 portant diverses dispositions d’adaptation au droit de l’Union européenne dans le domaine de la sécurité avant l’entrée en vigueur de la présente loi ;

10° Les établissements d’enseignement menant des activités de recherche désignés par arrêté du Premier ministre dans des conditions précisées par décret en Conseil d’État, qui remplissent l’un des critères mentionnés à l’article 10.

10° Les établissements d’enseignement menant des activités de recherche, désignés par arrêté du Premier ministre dans des conditions précisées par décret en Conseil d’État, qui remplissent l’un des critères mentionnés à l’article 10.

Sont des entités importantes :

Sont des entités importantes :

1° Les entreprises appartenant à un des secteurs d’activité hautement critiques ou critiques qui ne sont pas des entités essentielles et qui emploient au moins 50 personnes ou dont le chiffre d’affaires et le total du bilan annuel excèdent chacun 10 millions d’euros ;

1° Les entreprises appartenant à un des secteurs d’activité hautement critiques ou critiques qui ne sont pas des entités essentielles et qui emploient au moins 50 personnes ou dont le chiffre d’affaires et le total du bilan annuel excèdent chacun 10 millions d’euros ;

2° Les opérateurs de communications électroniques qui ne sont pas des entités essentielles ;

2° Les opérateurs de communications électroniques qui ne sont pas des entités essentielles ;

3° Les prestataires de services de confiance qui ne sont pas des entités essentielles ;

3° Les prestataires de services de confiance qui ne sont pas des entités essentielles ;

4° Les communautés de communes et leurs établissements publics administratifs dont les activités s’inscrivent dans un des secteurs d’activité hautement critiques ou critiques ;

4° Les communautés de communes et leurs établissements publics administratifs dont les activités s’inscrivent dans un des secteurs d’activité hautement critiques ou critiques ;

5° Les établissements d’enseignement menant des activités de recherche qui ne sont pas des entités essentielles. Le Premier ministre désigne par arrêté les établissements qui, compte tenu du faible impact économique et social de leur activité, ne sont pas soumis à la présente loi, dans les conditions précisées par décret en Conseil d’État ;

5° Les établissements d’enseignement menant des activités de recherche qui ne sont pas des entités essentielles. Le Premier ministre désigne par arrêté les établissements qui, compte tenu du faible impact économique et social de leur activité, ne sont pas soumis à la présente loi, dans des conditions précisées par décret en Conseil d’État ;

6° Les établissement publics administratifs de l’État expressément désignés en tant qu’entités importantes par arrêté du Premier ministre dans des conditions fixées par décret en Conseil d’État ;

6° Les établissement publics administratifs de l’État expressément désignés en tant qu’entités importantes par arrêté du Premier ministre dans des conditions fixées par décret en Conseil d’État ;

7° Les autres organismes et personnes de droit public ou de droit privé chargés d’une mission de service public administratif, mentionnés au 1° de l’article L. 100‑3 du code des relations entre le public et l’administration, à compétence nationale, expressément désignés en tant qu’entités importantes par arrêté du Premier ministre dans les conditions précisées par décret en Conseil d’État ;

7° Les autres organismes et personnes de droit public ou de droit privé chargés d’une mission de service public administratif, mentionnés au 1° de l’article L. 100‑3 du code des relations entre le public et l’administration, à compétence nationale, expressément désignés en tant qu’entités importantes par arrêté du Premier ministre dans des conditions précisées par décret en Conseil d’État ;

8° Les établissements publics à caractère industriel et commercial et les régies dotées de la seule autonomie financière chargées d’un service public industriel et commercial créées en application du 2° de l’article L. 2221‑4 du code général des collectivités territoriales, relevant des secteurs d’activité hautement critiques ou critiques, qui emploient au moins 50 personnes ou dont le produit d’exploitation et le total du bilan annuel excèdent chacun 10 millions d’euros et qui ne sont pas entités essentielles. Le critère d’emploi est calculé selon les modalités prévues par le I de l’article L. 130‑1 du code de la sécurité sociale, les critères financiers sont appréciés au niveau de la personne morale ou de la régie concernée.

8° Les établissements publics à caractère industriel et commercial et les régies dotées de la seule autonomie financière chargées d’un service public industriel et commercial créées en application du 2° de l’article L. 2221‑4 du code général des collectivités territoriales, relevant des secteurs d’activité hautement critiques ou critiques, qui emploient au moins 50 personnes ou dont le produit d’exploitation et le total du bilan annuel excèdent chacun 10 millions d’euros et qui ne sont pas entités essentielles. Le critère d’emploi est calculé selon les modalités prévues au I de l’article L. 130‑1 du code de la sécurité sociale, les critères financiers sont appréciés au niveau de la personne morale ou de la régie concernée.

Outre les entités mentionnées aux articles 8 et 9, le Premier ministre peut désigner par arrêté comme entité essentielle ou comme entité importante une entité exerçant une activité relevant d’un secteur d’activité hautement critique ou critique, quelle que soit sa taille, sous réserve de justifier cette désignation au regard de l’un des critères suivants :

Outre les entités mentionnées aux articles 8 et 9, le Premier ministre peut désigner par arrêté comme entité essentielle ou comme entité importante une entité exerçant une activité relevant d’un secteur d’activité hautement critique ou critique, quelle que soit sa taille, sous réserve de justifier cette désignation au regard de l’un des critères suivants :

1° L’entité est le seul prestataire sur le territoire national d’un service qui est essentiel au maintien du fonctionnement de la société et d’activités économiques critiques ;

1° L’entité est le seul prestataire sur le territoire national d’un service qui est essentiel au maintien du fonctionnement de la société et d’activités économiques critiques ;

2° Une perturbation du service fourni par l’entité pourrait avoir un impact important sur la sécurité publique, la sûreté publique ou la santé publique ;

2° Une perturbation du service fourni par l’entité pourrait avoir un impact important sur la sécurité publique, la sûreté publique ou la santé publique ;

3° Une perturbation du service fourni par l’entité pourrait induire un risque systémique important, en particulier pour les secteurs où cette perturbation pourrait avoir un impact transfrontière ;

3° Une perturbation du service fourni par l’entité pourrait induire un risque systémique important, en particulier pour les secteurs où cette perturbation pourrait avoir un impact transfrontière ;

4° L’entité est critique en raison de son importance spécifique au niveau national ou local pour le secteur ou le type de service concerné, ou pour d’autres secteurs interdépendants sur le territoire national.

4° L’entité est critique en raison de son importance spécifique au niveau national ou local pour le secteur ou le type de service concerné, ou pour d’autres secteurs interdépendants sur le territoire national.

I. – Les entités essentielles et les entités importantes sont régies par les dispositions du présent titre lorsque, selon le cas :

I. – Les entités essentielles et les entités importantes sont régies par les dispositions du présent titre lorsque, selon le cas :

1° Elles sont établies sur le territoire national ;

1° Elles sont établies sur le territoire national ;

2° S’agissant des opérateurs de communications électroniques, ils fournissent leurs services sur le territoire national ;

2° S’agissant des opérateurs de communications électroniques, ils fournissent leurs services sur le territoire national ;

3° S’agissant des fournisseurs de services de système de noms de domaine, des offices d’enregistrement, des fournisseurs de services d’informatique en nuage, des fournisseurs de services de centres de données, des fournisseurs de réseaux de diffusion de contenu, des fournisseurs de services gérés, des fournisseurs de services de sécurité gérés, ainsi que des fournisseurs de places de marché en ligne, de moteurs de recherche en ligne ou de plateformes de services de réseaux sociaux :

3° S’agissant des fournisseurs de services de système de noms de domaine, des offices d’enregistrement, des fournisseurs de services d’informatique en nuage, des fournisseurs de services de centres de données, des fournisseurs de réseaux de diffusion de contenu, des fournisseurs de services gérés, des fournisseurs de services de sécurité gérés, ainsi que des fournisseurs de places de marché en ligne, de moteurs de recherche en ligne ou de plateformes de services de réseaux sociaux :

a) Ils ont leur établissement principal sur le territoire national ;

a) Ils ont leur établissement principal sur le territoire national ;

b) Ou, s’ils sont établis hors de l’Union européenne mais offrent leurs services sur le territoire national, ils ont désigné un représentant établi sur le territoire national.

b) Ou, s’ils sont établis hors de l’Union européenne mais offrent leurs services sur le territoire national, ils ont désigné un représentant établi sur le territoire national.

Toutefois, les conditions d’établissement sur le territoire national ne s’appliquent pas aux administrations et établissements publics.

Toutefois, les conditions d’établissement sur le territoire national ne s’appliquent pas aux administrations et établissements publics.

II. – Les obligations du présent titre applicables aux bureaux d’enregistrement et agents agissant pour le compte de ces derniers concernent :

II. – Les obligations du présent titre applicables aux bureaux d’enregistrement et agents agissant pour le compte de ces derniers concernent :

1° Ceux qui ont leur établissement principal sur le territoire national ;

1° Ceux qui ont leur établissement principal sur le territoire national ;

2° Ou ceux qui ont désigné un représentant établi sur le territoire national, s’ils sont établis hors de l’Union européenne mais offrent leurs services sur le territoire national.

2° Ou ceux qui ont désigné un représentant établi sur le territoire national, s’ils sont établis hors de l’Union européenne mais offrent leurs services sur le territoire national.

III. – Pour l’application des dispositions des I et II, l’établissement principal s’entend du lieu où sont principalement prises les décisions relatives aux mesures de gestion des risques en matière de cybersécurité ou, à défaut, le lieu où les opérations de cybersécurité sont effectuées ou, à défaut, l’établissement comptant le plus grand nombre de salariés dans l’Union européenne.

III. – Pour l’application des I et II, l’établissement principal s’entend du lieu où sont principalement prises les décisions relatives aux mesures de gestion des risques en matière de cybersécurité ou, à défaut, le lieu où les opérations de cybersécurité sont effectuées ou, à défaut, l’établissement comptant le plus grand nombre de salariés dans l’Union européenne.

L’autorité nationale de sécurité des systèmes d’information établit et met à jour la liste des entités essentielles, des entités importantes et des bureaux d’enregistrement sur la base des informations que ces entités et bureaux d’enregistrement lui communiquent.

L’autorité nationale de sécurité des systèmes d’information établit et met à jour au moins tous les deux ans la liste des entités essentielles, des entités importantes et des bureaux d’enregistrement sur la base des informations que ces entités et bureaux d’enregistrement lui communiquent.

Amdt COM‑101

Les informations à transmettre, leurs modalités de communication et les délais dans lesquels les modifications doivent être transmises sont définis par décret en Conseil d’État.

Les informations à transmettre, leurs modalités de communication et les délais dans lesquels les modifications doivent être transmises sont définis par décret en Conseil d’État pris après avis de la commission nationale de l’informatique et des libertés.

Amdt COM‑20

Les dispositions pertinentes de la présente loi, y compris celles relatives à la supervision, ne sont pas applicables aux entités essentielles et importantes qui sont soumises, en application d’un acte juridique de l’Union européenne, à des exigences sectorielles de sécurité et de notification d’incidents ayant un effet au moins équivalent aux obligations résultant des articles 14 et 17. Pour être équivalentes, les exigences de notification des incidents doivent également prévoir un accès immédiat aux notifications d’incidents par l’autorité nationale de sécurité des systèmes d’information.

Les dispositions de la présente loi, y compris celles relatives à la supervision, ne sont pas applicables aux entités essentielles et importantes qui sont soumises, en application d’un acte juridique de l’Union européenne, à des exigences sectorielles de sécurité et de notification d’incidents ayant un effet au moins équivalent aux obligations résultant des articles 14 et 17. Pour être équivalentes, les exigences de notification des incidents doivent également prévoir un accès immédiat aux notifications d’incidents par l’autorité nationale de sécurité des systèmes d’information.

Les entités essentielles, les entités importantes, les administrations de l’État et leurs établissements publics administratifs qui exercent leurs activités dans les domaines de la sécurité publique, de la défense et de la sécurité nationale ainsi que de la répression pénale, les missions diplomatiques et consulaires françaises pour leurs réseaux et systèmes d’information, le Commissariat à l’énergie atomique et aux énergies alternatives pour ses activités dans le domaine de la défense ainsi que les juridictions administratives et judiciaires prennent les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information qu’elles utilisent dans le cadre de leurs activités ou de la fourniture de leurs services, ainsi que pour éliminer ou réduire les conséquences que les incidents ont sur les destinataires de leurs services et sur d’autres services. Ces mesures garantissent, pour leurs réseaux et leurs systèmes d’information, un niveau de sécurité adapté et proportionné au risque existant. Elles visent à :

Les entités essentielles, les entités importantes, les administrations de l’État et leurs établissements publics administratifs qui exercent leurs activités dans les domaines de la sécurité publique, de la défense et de la sécurité nationale ainsi que de la répression pénale, les missions diplomatiques et consulaires françaises pour leurs réseaux et systèmes d’information, le Commissariat à l’énergie atomique et aux énergies alternatives pour ses activités dans le domaine de la défense ainsi que les juridictions administratives et judiciaires prennent les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information qu’elles utilisent dans le cadre de leurs activités ou de la fourniture de leurs services, ainsi que pour éliminer ou réduire les conséquences que les incidents ont sur les destinataires de leurs services et sur d’autres services. Ces mesures garantissent, pour leurs réseaux et leurs systèmes d’information, un niveau de sécurité adapté et proportionné au risque existant. Elles visent à :

1° Mettre en place un pilotage de la sécurité des réseaux et systèmes d’information adaptée, comprenant notamment la formation à la cybersécurité des membres des organes de direction et des personnes exposées aux risques ;

1° Prévoir que les organes de direction approuvent et supervisent les mesures de pilotage de la sécurité des réseaux et systèmes d’information, leurs membres ainsi que les personnes exposées aux risques devant être formés à la cybersécurité ;

Amdt COM‑102

2° Assurer la protection des réseaux et systèmes d’information, y compris en cas de recours à la sous‑traitance ;

2° Assurer la protection des réseaux et systèmes d’information, y compris en cas de recours à la sous‑traitance ;

3° Mettre en place des outils et des procédures pour assurer la défense des réseaux et systèmes d’information et gérer les incidents ;

3° Mettre en place des outils et des procédures pour assurer la défense des réseaux et systèmes d’information et gérer les incidents ;

4° Garantir la résilience des activités.

4° Garantir la résilience des activités.

Un décret en Conseil d’État fixe les objectifs auxquels doivent se conformer les personnes mentionnées au premier alinéa afin que les mesures adoptées pour la gestion des risques satisfassent aux 1° à 4°. Ce décret détermine également les conditions d’élaboration, de modification et de publication d’un référentiel d’exigences techniques et organisationnelles qui sont adaptées aux différentes personnes mentionnées au premier alinéa.

Un décret en Conseil d’État fixe les objectifs auxquels doivent se conformer les personnes mentionnées au premier alinéa afin que les mesures adoptées pour la gestion des risques satisfassent aux 1° à 4°. Ce décret détermine également les conditions d’élaboration, de modification et de publication d’un référentiel d’exigences techniques et organisationnelles qui sont adaptées aux différentes personnes mentionnées au premier alinéa, en fonction de leur degré d’exposition aux risques, de leur taille, de la probabilité de survenance d’incidents et de leur gravité, y compris leurs conséquences économiques et sociales.

Amdt COM‑103

Ce référentiel peut prescrire le recours à des produits, des services ou des processus certifiés au titre du règlement (UE) n° 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) n° 526/2013.

Ce référentiel peut prescrire le recours à des produits, des services ou des processus certifiés au titre du règlement (UE) n° 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) n° 526/2013.

Par dérogation aux deux alinéas précédents, les fournisseurs de services de systèmes de noms de domaine, les offices d’enregistrement, les fournisseurs de services d’informatique en nuage, les fournisseurs de services de centres de données, les fournisseurs de réseaux de diffusion de contenu, les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés, ainsi que les fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux, et les prestataires de services de confiance mettent en œuvre les exigences techniques et méthodologiques qui leur sont propres.

Par dérogation aux sixième et septième alinéas du présent article, les fournisseurs de services de systèmes de noms de domaine, les offices d’enregistrement, les fournisseurs de services d’informatique en nuage, les fournisseurs de services de centres de données, les fournisseurs de réseaux de diffusion de contenu, les fournisseurs de services gérés, les fournisseurs de services de sécurité gérés, ainsi que les fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux, et les prestataires de services de confiance mettent en œuvre les exigences techniques et méthodologiques qui leur sont propres.

Ces mesures techniques, opérationnelles et organisationnelles sont mises en œuvre aux frais des personnes concernées.

Ces mesures techniques, opérationnelles et organisationnelles sont mises en œuvre aux frais des personnes concernées.

Les personnes mentionnées à l’article 14 qui mettent en œuvre les exigences du référentiel mentionné au sixième alinéa du même article peuvent s’en prévaloir auprès de l’autorité nationale de sécurité des systèmes d’information lors d’un contrôle pour démontrer le respect des objectifs mentionnés au même alinéa.

Les personnes mentionnées à l’article 14 qui mettent en œuvre les exigences du référentiel mentionné au sixième alinéa du même article 14 ou qui mettent en œuvre tout autre référentiel reconnu comme équivalent par l’autorité nationale de sécurité des systèmes d’information, peuvent s’en prévaloir auprès de celle‑ci lors d’un contrôle pour démontrer le respect des objectifs mentionnés au même sixième alinéa.

Amdt COM‑104

Dans le cas contraire, ces personnes sont tenues de démontrer que les mesures qu’elles mettent en œuvre permettent de se conformer à ces objectifs.

Dans le cas contraire, ces personnes sont tenues de démontrer que les mesures qu’elles mettent en œuvre permettent de se conformer à ces objectifs.

Les opérateurs mentionnés à l’article L. 1332‑2 du code de la défense identifient, tiennent à jour et communiquent à l’autorité nationale de sécurité des systèmes d’information la liste de leurs systèmes d’information d’importance vitale mentionnés au 2° de l’article L. 1332‑1 du même code selon les modalités fixées par le Premier ministre.

Les opérateurs mentionnés à l’article L. 1332‑2 du code de la défense identifient, tiennent à jour et communiquent à l’autorité nationale de sécurité des systèmes d’information la liste de leurs systèmes d’information d’importance vitale mentionnés au 2° de l’article L. 1332‑1 du même code selon des modalités fixées par le Premier ministre.

Ces opérateurs mettent en œuvre sur leurs systèmes d’information d’importance vitale les exigences du référentiel mentionné à l’article 14 ainsi que les exigences spécifiques à ces systèmes d’information fixées par le Premier ministre.

Ces opérateurs mettent en œuvre sur leurs systèmes d’information d’importance vitale les exigences du référentiel mentionné à l’article 14 de la présente loi ainsi que les exigences spécifiques à ces systèmes d’information fixées par le Premier ministre.

Les administrations qui sont entités essentielles ou importantes ainsi que les administrations de l’État et leurs établissements publics administratifs qui exercent leurs activités dans les domaines de la sécurité publique, de la défense et de la sécurité nationale, de la répression pénale, ou des missions diplomatiques et consulaires françaises et de leurs réseaux et systèmes d’information, le Commissariat à l’énergie atomique et aux énergies alternatives pour ses activités dans le domaine de la défense ainsi que les juridictions administratives et judiciaires mettent en œuvre les exigences du référentiel mentionné à l’article 14 ainsi que les exigences spécifiques fixées par le Premier ministre à l’égard des systèmes d’information permettant des échanges d’informations par voie électronique avec le public et d’autres administrations.

Les administrations qui sont entités essentielles ou importantes ainsi que les administrations de l’État et leurs établissements publics administratifs qui exercent leurs activités dans les domaines de la sécurité publique, de la défense et de la sécurité nationale, de la répression pénale, ou des missions diplomatiques et consulaires françaises pour leurs réseaux et systèmes d’information, le Commissariat à l’énergie atomique et aux énergies alternatives pour ses activités dans le domaine de la défense ainsi que les juridictions administratives et judiciaires mettent en œuvre les exigences du référentiel mentionné au même article 14 ainsi que les exigences spécifiques fixées par le Premier ministre à l’égard des systèmes d’information permettant des échanges d’informations par voie électronique avec le public et d’autres administrations.

Amdt COM‑105

Les exigences spécifiques mentionnées aux alinéas qui précédent peuvent prescrire le recours à des dispositifs matériels ou logiciels ou à des prestataires de services certifiés, qualifiés ou agréés ou prévoir que le recours à des dispositifs matériels ou logiciels ou à des prestataires de services certifiés, qualifiés ou agréés emporte présomption de conformité à l’exigence de sécurité concernée. Ces exigences peuvent également prescrire des audits de sécurité réguliers réalisés par des organismes indépendants. Les personnes mentionnées au présent article appliquent ces exigences à leurs frais.

Les exigences spécifiques mentionnées aux premier à troisième alinéas du présent article peuvent prescrire le recours à des dispositifs matériels ou logiciels ou à des prestataires de services certifiés, qualifiés ou agréés ou prévoir que le recours à des dispositifs matériels ou logiciels ou à des prestataires de services certifiés, qualifiés ou agréés emporte présomption de conformité à l’exigence de sécurité concernée. Ces exigences peuvent également prescrire des audits de sécurité réguliers réalisés par des organismes indépendants. Les personnes mentionnées au présent article appliquent ces exigences à leurs frais.

Les personnes mentionnées à l’article 14 notifient sans retard injustifié à l’autorité nationale de sécurité des systèmes d’information tout incident ayant un impact important sur la fourniture de leurs services.

Les personnes mentionnées à l’article 14 notifient sans retard injustifié à l’autorité nationale de sécurité des systèmes d’information tout incident ayant un impact important sur la fourniture de leurs services.

Un incident est considéré comme important si :

Amdt COM‑106

1° Il a causé ou est susceptible de causer une perturbation opérationnelle grave des services ou des pertes financières pour la personne concernée ;

Amdt COM‑106

2° Il a affecté ou est susceptible d’affecter d’autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables.

Amdt COM‑106

Les personnes mentionnées à l’article 14 soumettent à l’autorité nationale de sécurité des systèmes d’information :

a) Sans retard injustifié et au plus tard dans les vingt‑quatre heures après avoir eu connaissance de l’incident important, une notification initiale qui, le cas échéant indique si l’incident important est susceptible d’avoir été causé par des actes illicites ou malveillants ou s’il pourrait avoir un impact en dehors du territoire national ;

Amdt COM‑106

b) Sans retard injustifié et au plus tard dans les soixante‑douze heures après avoir eu connaissance de l’incident important, une notification intermédiaire qui, le cas échéant, met à jour les informations mentionnées au a, et fournit une évaluation initiale de l’incident important, y compris de sa gravité et de son impact, ainsi que des indicateurs de compromission lorsqu’ils sont disponibles. Par dérogation, les entités mentionnées au 4° de l’article 8 et au 3° de l’article 9 procèdent à cette notification sans retard injustifié et au plus tard dans les vingt‑quatre heures après avoir eu connaissance de l’incident important ayant un impact sur la fourniture de leurs services de confiance ;

Amdt COM‑106

c) À la demande de l’autorité nationale de sécurité des systèmes d’information, un rapport sur les mises à jour pertinentes de la situation ;

Amdt COM‑106

d) Au plus tard un mois après la notification intermédiaire mentionnée au b, un rapport final, sous réserve que l’incident soit traité ;

Amdt COM‑106

e) Dans le cas contraire, un rapport d’avancement, au plus tard un mois après la notification intermédiaire mentionnée au même b, devant être complété par un rapport final dans un délai d’un mois après le traitement de l’incident.

Amdt COM‑106

L’autorité nationale de sécurité des systèmes d’information fournit, sans retard injustifié et si possible dans les vingt‑quatre heures suivant la réception de la première notification reçue, une réponse à la personne émettrice de la notification.

Amdt COM‑106

Pour prévenir un incident concernant une entité essentielle ou une entité importante ou pour faire face à un incident en cours ou lorsque la divulgation de l’incident est dans l’intérêt public, l’autorité nationale de sécurité des systèmes d’information peut, après avoir consulté l’entité essentielle ou importante concernée, exiger de celle‑ci qu’elle informe le public de l’incident ou le faire elle‑même.

Pour prévenir un incident concernant une entité essentielle ou une entité importante ou pour faire face à un incident en cours ou lorsque la divulgation de l’incident est dans l’intérêt public, l’autorité nationale de sécurité des systèmes d’information peut, après avoir consulté l’entité essentielle ou importante concernée, exiger de celle‑ci qu’elle informe le public de l’incident ou le faire elle‑même.

Les entités essentielles et importantes notifient sans délai aux destinataires de leurs services :

Le cas échéant, les entités essentielles et importantes notifient sans retard injustifié :

Amdt COM‑106

1° Les incidents critiques susceptibles de nuire à la fourniture de ces services ;

– les incidents importants susceptibles de nuire à la fourniture de ces services ;