Débat — Sénat, séance du 4 février 2025

Interventions

Extraits reproduits sans modification, tels que la source officielle les publie. PoliTrust n’en corrige ni l’orthographe ni la formulation.

• Olivier Cadic

  Merci, oui c'est bien d'avoir un numéro unique vous savez parce que quand on doit savoir déjà dans quelle région se trouve qu'il y un numéro et comme il se trouve que toutes les régions n'ont pas justement un C-C-Cyrte, voilà et la décision de faire des CESIRT régionaux n'a pas été non plus, il n'y pas eu de consultation préalable et donc faut voilà, on se retrouve dans la question de pilotage, on se retrouve avec ce qu'on a, mais on avait besoin justement depuis longtemps d'un numéro d'appel unique qui peut réorienter vers éventuellement un CESIRT régional si la solution peut être là. Monsieur.

• Olivier Cadic

  Merci beaucoup, c'est attends, monsieur le Canvet, rapporteur.

• Patrick Chaize

  Merci Monsieur le Président, merci à toutes et à tous. Alors beaucoup de choses ont déjà été dites. Je m'excuse par avance des redites, mais des fois c'est peut-être bien de pouvoir insister sur certains points. Donc comme égalité de rapporteur à changer l'examen du titre 2 du projet de loi, mon intervention sera centrée sur la transposition de la directive du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'union plus connue sous le nom de directive Nice 2. Avec cette directive, il ne s'agit plus seulement de sécuriser des infrastructures critiques, mais aussi d'assurer la résilience des entités critiques en tant qu'organisation et de l'ensemble de leurs systèmes d'information. Et de fait, cette résilience est indispensable s'agissant des collectivités territoriales, car celles-ci sont de plus en plus victimes de cyberattaques avec 187 incidents les concernant traités par l'ANSSI entre janvier 2022 et juin 2023. Alors que l'imposition des règles aux collectivités est laissée au libre choix des États membres de la directive, la France qui a apporté cette nécessité lors des négociations européennes a fait le choix de les intégrer dans ces nouvelles exigences au regard de la multiplication des attaques affectant les services publics locaux et leur faible sécurisation. Le projet de loi prévoit ainsi que près de 1500 collectivités territoriales, groupements de collectivités et organismes placés sous leurs tutelles dont l'ensemble des régions et des départements, près de mille communautés de communes et 300 communes de plus de 30 mille habitants devront se conformer au cas législatif résultant de la transposition de la directive 12. 2. En particulier, l'ensemble de ces collectivités devront elles-mêmes évaluer si elles sont soumises à la directive, si elles sont entités essentielles ou importantes et devront s'enregistrer auprès de l'ANSSI et lui notifier tout incident de cyber sécurité. Alors plusieurs questions avec déjà des réponses partielles mais sur lesquelles je voudrais néanmoins insister. Partagez-vous le constat selon lesquels les collectivités territoriales sont aujourd'hui souvent vulnérables face aux menaces cyber. Alors vous l'avez évoqué, beaucoup se disent inquiètent, considèrent le sujet très important, mais peu sont finalement conscientes et même armées. Et quand vous dites globalement qu'il y des inquiétudes fortes, des conséquences dramatiques, mais que finalement les évolutions budgétaires, tout cas les budgets qui sont alloués ne sont pas au rendez-vous, n'y a-t-il pas une incohérence et comment peut-on faire ou pourrait-on faire pour corriger ces incohérences Deuxième question, considérez-vous que les obligations mises à la charge des collectivités par le projet de loi soient proportionnées, c'est à dire adapté aux moyens et à la maturité des acteurs. Vous en avez aussi en partie répondu, mais je pense qu'il est important qu'on revienne sur ce point. Pensez-vous que les collectivités que vous représentez sont suffisamment informées des changements à venir seront-elles en mesure de s'y conformer rapidement et comment faire pour pouvoir faire évoluer justement ce ce niveau de de d'information. Enfin pensez-vous que l'agence nationale de la sécurité des systèmes d'information est suffisamment bien identifiée par les collectivités territoriales comme un interlocuteur de confiance dans le domaine de la cybersécurité. Car les entités régulées par la directive NIS 2 devront s'enregistrer auprès de l'ANSSI, je vous l'ai dit, mais aussi lui signaler tous les incidents significatifs de cybersécurité. Donc la relation collectivité ainsi doit être fluide. Voilà pour mes questions monsieur le président.

• Ludovic Haye

  Aujourd'hui une politique et vous l'avez dit je crois que c'est vraiment le le point commun de toutes interventions, c'est de dire qu'une politique claire et efficace au niveau national n'empêche en rien une articulation agile au niveau territorial je dis ça parce qu'aucune collectivité vous le savez comme moi ne ressemble à une autre aussi bien dans le fond que dans la forme par leur taille par leur implantation géographique mais aussi dans la dans la dans le fond, puisqu'il y a des collectivités qui sont spécialisées dans la délivrance de papiers d'identité, d'autres dans l'instruction de permis de conduire ou encore spécialisées dans le volet social. Donc ça en fait des communes et des collectivités différentes qui n'ont pas forcément les mêmes besoins et les mêmes données à protéger simplement je vais aller à l'essentiel cette directive ne doit pas constituer je l'ai déjà dit dernière fois une épée de damoclès supplémentaire sur la tête des communes qui en est qui en a déjà plusieurs sur d'autres sujets je crois que c'est extrêmement important surtout que mettre de toute façon les communes au pas avec une sanction en filigrane n'a jamais été vraiment une solution un gage d'efficacité le deuxième point qui est important, c'est qu'aujourd'hui, ça, c'est très important. Mettre un coefficient de proportionnalité entre l'argent investi et le niveau de sécurité atteint pour moi est utopique. C'est tout à fait le contraire. Moi, j'essaye d'aller dans les communes pour leur dire qu'on peut aujourd'hui se protéger de manière efficace sans investir trop. Et je crois qu'il ne faut pas non plus qu'on aille dans une course en avant, dans une fuite en avant où les communes vont devoir faire des des études préalables, et caetera. Elles n'en ont d'ailleurs déjà pas les moyens au risque de de pouvoir ne pas aller au bout du du système. Faisons attention aussi que ce qui peut apparaître comme un investissement au départ peut se transformer en de du fonctionnement dans les années au fil du temps sachant que c'est un peu ce qui pose problème aux communes dans leur budget communaux. Enfin, ce que je voulais vous dire in fine, en tout dernier, c'est que les actions qui de bon sens qui peuvent être mises en place au niveau des communes, parfois, c'est simplement de l'identification de données critiques. Quelles sont les l'identité quelle est l'identité quelle est l'information qui est critique dans cette collectivité territoriale et quelle est leur politique de restauration en cas de problème avec ces 2 questions là on arrive quand même pas mal à les rassurer et à pouvoir agir efficacement en cas de de problème. Et enfin, au niveau RH, vous l'avez dit, mais je crois que c'est utopique malheureusement pour certaines communes de pouvoir s'offrir les services d'un spécialiste cyber alors qu'elles n'ont déjà pas la possibilité de se prendre une secrétaire générale de mairie à plein temps. Donc là aussi, il faudra qu'on soit très vigilant. La solution pourrait être de tout transférer à l'EPCI. Là, je crois qu'il faut aussi être très vigilant parce qu'on créerait une fracture numérique supplémentaire. Merci beaucoup.

• Olivier Cadic

  Oui, continuez sur les départements s'il vous plaît.

• Hugues Saury

  Merci. Merci à vous. Merci.

• Olivier Cadic

  Merci beaucoup pour pour réflexion, votre pragmatisme aussi. Monsieur le vice-président du la grande de la métropole.

• Olivier Cadic

  Merci beaucoup ma chère collègue. Madame, pardon, le sénatrice, Vanina Paoli-Cage.

• Olivier Cadic

  C'est nous qui vous remercions pour vos propos clairs et puis là vous avez tenu le temps donc je vais passer donc vraiment je vous remercie beaucoup donc je vais passer la parole à madame Constance Nébula et après

• Olivier Cadic

  Je vous remercie monsieur le maire pour votre présentation, je remercie chacun chacune et chacun d'entre vous parce que on sent de la passion et vraiment de l'investissement collectif, c'est ça fait vraiment plaisir et puis merci d'avoir cité si souvent qui est un acteur essentiel de la cyber protection des entreprises mais aussi des particuliers. J'en profite pour citer le lancement du 17 cyber qui est une, voilà, qui est une nouveauté depuis le mois de décembre et que l'on doit aussi à cyber malveillance. Donc je vais commencer par laisser la parole à notre rapporteur Patrick Chaise qui commencera.