Débat — Sénat, séance du 4 février 2025

Interventions

Extraits reproduits sans modification, tels que la source officielle les publie. PoliTrust n’en corrige ni l’orthographe ni la formulation.

• Patrick Chaize

  J'ai une requête pour revenir sur l'aspect financement parce que moi j'entends que effectivement c'est une dépense de fonctionnement qui augmente, mais est-ce que cette dépense de fonctionnement n'est pas finalement de façon détournée une dépense d'investissement Dans le sens où la protection qui est qui est donnée est quand même donc une garantie de se protéger demain. Donc là là est-ce qu'il y est-ce qu'il y a pas une question à se poser.

• Vanina Paoli-Gagin

  Oui, merci beaucoup monsieur le président. Mesdames, messieurs, merci beaucoup. Je suis sénateur de l'Aube. J'ai 3 petites questions. La première, elle recoupe un peu celle qui a été posée par une de mes collègues. C'est sur les infrastructures et les outils en fait. Est-ce que vous pensez qu'on gagnerait à orienter un peu la commande publique des collectivités vers des outils et des infras peut-être moins vulnérables, plus open source et plus européens. Ça c'est ma première question. La deuxième, c'est sur les RH. Dans l'Aube, nous avons créé une université qui s'appelle l'université technologie 3 qui forme à la sécurité globale et nous avons lancé un institut pour cyber qui a pour vocation de proposer des formations en continu, en alternance professionnelle et qui forment déjà notamment des forces de l'ordre sur ces enjeux de sécurité cyber. Donc je voulais vous dire qu'on est très ouvert à à toute demande de formation qui pourrait émaner des des collectivités. Et et enfin, moins, j'aurais souhaité savoir si vous aviez avancé la réflexion sur le financement, puisqu'on voit bien qu'on a un problème de financement. Est-ce que vous avez eu à chaque niveau d'organisation regroupant les collectivités, des discussions avec France assureurs, parce que finalement ce dont on parle, c'est un risque. Et donc en général, quand il y a un risque, on se tourne vers les structures d'assurance des risques. Et donc je je voulais savoir si vous pensez qui serait de bonne à loi de faire contribuer les assureurs activement au financement de ces finalement coûts induits par ces transpositions qui vont augmenter le niveau de sécurité. Je vous remercie.

• Olivier Cadic

  Merci monsieur le rapporteur. Est-ce que ça vous dérange pas si on prend les 2 autres questions des rapporteurs comme ça, voilà effectivement je pense aussi monsieur le rapporteur.

• Olivier Cadic

  Merci ma chère collègue. Il y a encore 3 demandes de questions. Donc la liste s'allonge, vais peut-être l'arrêter là parce qu'après on va manquer. Oui oui non mais vous êtes, voilà c'est ça. Donc j'ai Ludovic et ensuite vous-même donc ça s'allonge mais il faudra vous, comment dire, vous mettre d'accord pour vous compléter dans les réponses, voilà, ce que je veux dire. Donc Ludovic.

• Hugues Saury

  Merci monsieur le président mesdames et messieurs donc Luc Sauri, je suis sénateur du Loiret, je suis membre de la commission des affaires étrangères et de la défense au sénat et c'est à ce titre que donc je m'étais proposé d'être rapporteur de la direct du titre premier, donc plus spécifiquement de la transposition de la directive REC, je vais pas vous faire la même introduction que mon collègue pour vous laisser plus de temps pour répondre mais j'ai quelques questions également à vous à vous poser. Quel bilan tirez-vous du dispositif actuel de sécurité des activités d'importance vitale pour les collectivités territoriales Vous, quelques-uns d'entre vous ont donné des statistiques mais je serais intéressant, intéressé de savoir dans chacune de vos organisations quelle est la proportion des entités que vous considérez être robustes par rapport par rapport à la dans vos différentes associations, quelle est la la proportion de régions, de communes, de départements que vous considérez comme étant engagé dans une politique de défense cyber et considéré comme robuste par rapport à ce risque. Comment évaluez-vous la philosophie générale de la directive REC et du titre premier du projet de loi notamment leur priorité donnée à la résilience sur la simple protection. Quel regard portez-vous sur les définitions inscrites à l'article premier du projet de loi, activité d'importance vitale, infrastructures critiques, points d'importance vitale et systèmes d'information d'importance vitale. Selon vous les obligations prévues dans le titre premier plan de résilience opérateur et particulier, notifications d'incident, exigences spécifiques pour les entités critiques européennes sont-elles pertinentes et proportionnées Comment jugez-vous les mécanismes de contrôle ? d'astreinte et de sanctions prévus en cas d'obstruction qui pourront aussi s'appliquer aux collectivités territoriales Puis enfin le conseil national d'évaluation des normes a émis un avis défavorable sur ce projet de loi au regard des coûts non compensés qu'il engendrera. Vous avez chacun vous avez insisté sur le fait qu'évidemment il y avait des, il y aurait des coûts induits. Pourriez-vous nous nous indiquer quelles mesures pourraient être prises par l'état pour accompagner les collectivités, leurs groupements ou leurs établissements qui seront désignés OIV dans la mise en oeuvre de leurs obligations Je vous remercie.

• Catherine Morin-Desailly

  Merci monsieur le président. Je suis sénatrice de Seine-Maritime et Conseil régional de Normandie. Donc je suis extrêmement sensible à ce que mes collègues, voilà, fassent, ont, comment dirais-je, ? expliqué à propos la position de de région de France et et je partage complètement les les remarques que vous avez formulées, la transposition de ce texte met clairement en en lumière, en réalité, les carences d'un État qui est tout sauf stratège. Je rappelle qu'on a eu quand même 4 ministres du numérique en en peu de temps et qu'aucun d'entre eux n'avait une vision panoramique et transversale du du du sujet. C'est bien ça le le le problème. Il y a 10 ans dans un premier rapport au Sénat, nous établissions le fait qu'il fallait absolument un haut commissariat au numérique et même dans la loi pour une république numérique, nous avions amendé le texte dans ce ce sens-là. Donc ce sera peut-être l'occasion, la transposition de la directive ministre 2, de redire qu'il faut absolument qu'on change complètement de de de stratégie. Dans le cadre de cette stratégie énoncée, est-ce que l'ensemble des collectivités que vous représentez, est-ce que vous vous sentez suffisamment accompagné, éclairé sur certains choix stratégiques aussi qu'il convient d'avoir et de bons réflexes en réalité pour se prémunir des cyberattaques. Cyberattaques, c'est bien sûr les infrastructures ? techniques, physiques. Ce sont aussi dans le cadre du l'informatique en nuage. Ce sont aussi les logiciels de traitement, les data centers. C'est toute une chaîne en fait qu'il faut sécuriser. Est-ce que, par exemple, sur le choix de logiciels, ce qui va contribuer à gérer ce que sont les données sensibles que vous avez aussi à traiter, qui ont à protéger, quel, voilà, de quel éclairage bénéficiez-vous Est-ce que vous pensez que vos collectivités, soit séparées, soit réunies, disposent de circulaires clairs sur ces sujets. Est-ce que vous vous sentez accompagné aussi par, alors on a évoqué l'ANSSI, mais il y bien sûr la CNIL aussi qui accompagne, comment dirais, les collectivités sur ces sujets. J'aurais bien aimé disposer de votre éclairage. Les cyberattaques ont concerné bien sûr vos collectivités, nos collectivités, mais également les les établissements de santé, mais pas pas que. Des lycées, ? il n'y a pas si longtemps que ça aussi, subissent des cyberattaques. Voilà, dans, vous avez chacun des niveaux de, à votre niveau, les établissements scolaires en responsabilité, lycées, collèges, écoles. Il y a des choix technologiques aussi à opérer quand vous équipez les les les élèves, les établissements, des choix à la fois de ce de de d'outils, mais également de logiciels de traitement. Encore une fois, comment ça se passe, par exemple, avec l'éducation nationale Il y a-t-il les commissions dédiées avec des directives claires Avez-vous en face de vous des personnels qui vous semblent formés et compétents sur ces sujets Car la formation des formateurs est obligatoire. Je dois dire, je me suis presque étranglée quand j'ai découvert que ma propre région, c'était elle qui finançait des dispositifs pour prévenir ? les excès des écros et du coup des cyberattaques à travers les les les écrans et que ce n'était pas l'éducation nationale qui faisait ce travail-là. Voilà, ces questions assez simples, mais qui rentrent quand même dans le champ, la réflexion sur la cybersécurité.

• Olivier Cadic

  Non vous c'était vraiment très intéressant je pense que vous aviez tous bien répondu et surtout bien partagé vos préoccupations. Je crois que vraiment tout le monde était de très haut niveau et c'est vraiment, c'était un vrai plaisir, c'est de vous écouter toutes et tous. C'était très bien.

• Olivier Cadic

  Mes chers collègues rapporteurs, est-ce que vous acceptez j'ai, les, que les collègues posent leurs questions en complément ou directement, parce comme ça ça va éviter, vous allez avoir un exercice de collectivité sénatoriale. Donc Michael Valet d'abord et puis ensuite.

• Ludovic Haye

  Merci monsieur le président, mes chers collègues, mesdames et messieurs, d'abord de nous consacrer de votre temps pour nous remonter effectivement les informations du territoire, chose que nous obtenons aussi dans nos fonctions de sénateurs et de sénatrices. Un point qui n'a pas été évoqué depuis le début, c'est de revenir à ce qu'on appelle la politique de gestion du risque. Ça on n'en a peut-être pas assez parlé c'est-à-dire qu'on peut pas non plus à travers cette directive demander aux collectivités territoriales plus que le prix de l'attaque elle-même si elle venait à à venir à un de ces jours.

• Olivier Cadic

  de fluidité. Monsieur Geoffroy Boulard, nous avions présenté avant que vous n'arriviez, donc nous savons tous qui vous êtes, bienvenue.