Débat — Sénat, séance du 11 février 2025

Interventions

Extraits reproduits sans modification, tels que la source officielle les publie. PoliTrust n’en corrige ni l’orthographe ni la formulation.

• Olivier Cadic

  Si les collègues ont des questions, j'ai juste Michel Gréhom qui s'est qui m'a fait signe.

• Olivier Cadic

  Merci beaucoup monsieur Raspié pour l'AMF.

• Michel Canévet

  Merci monsieur le président, mesdames et messieurs les intervenants, chers collègues, effectivement avons une table ronde plus spécifiquement dédiée à DORA ce matin, cet après-midi. Donc j'aimerais bien tout d'abord que vous puissiez nous indiquer les principaux risques que vous avez identifiés concernant le secteur financier qui a déjà, je dirais, une appétence aux questions de cybersécurité de manière approfondie tout simplement parce que c'est important pour eux. Ce que l'on constate à l'examen du texte, c'est que finalement il y a encore un certain nombre de normes qui n'ont pas été publiées. Avez-vous des indications sur les changements ces normes Et d'ailleurs, ne trouvez-vous pas que ces normes sont trop précises et donc apportent trop de contraintes à l'ensemble des institutions financières telles que cela génère aussi des coûts pour l'ensemble des acteurs et des contraintes administratives bien entendu qui vont impacter l'activité de chacun, c'est-à-dire les entreprises mais aussi les superviseurs. Voilà. Et puis de façon synthétique peut-être, nous avons 3 sujets de de préoccupation. Tout d'abord le fait qu'il y ait plusieurs directives ou règlements qui soient inclus dans le projet de loi résilience et donc les entreprises notamment du secteur financier pourraient être astreintes au respect à la fois de Nice 2 et de DORA. Comment voyez-vous les choses Comment peut-on faire pour éviter qu'il y ait ? une complexification pour ces entreprises par l'obligation de respect de 2 réglementations dites européennes. Deuxième point d'interrogation qui concerne les sociétés de financement puisque dans la directive européenne, elles ne sont pas incluses et la France ferait le choix ? de les inclure. Trouvez-vous cela pertinent Certes, un délai a été accordé pour un an, même un an d'ailleurs, enfin le dispositif est applicable normalement depuis le 17 janvier d'ailleurs. Mais pour un an jusqu'en janvier 2026, est-ce que vous trouvez que cela est suffisant Est-ce est-ce que vous trouvez que ces obligations sont proportionnées pour ces acteurs dits des sociétés de financement Et puis troisième et dernière préoccupation qui nous est apparue au fil des auditions, c'est la question du reporting par l'ensemble des acteurs des incidents qui surviennent, qui appellent à ce qu'il y ait une organisation de supervision en face qui soit adaptée, c'est-à-dire qui soit en capacité à tout moment puisqu'il est demandé quasiment à l'instant t de pouvoir faire le reporting des incidents qui sont identifiés. L'ANSSI est organisée pour pouvoir fonctionner en temps permanent, Ce n'est sans doute pas le cas ni de la CPR ni de l'autorité des marchés financiers. Quelles dispositions entendez-vous mettre en oeuvre pour assurer la continuité du du service 24 heures sur 24 et 365 jours sur 305. Merci.

• Olivier Cadic

  Merci beaucoup. Donc pour rappel, nous devons clore cette première table ronde 15 heures 30 et donc je dois savoir qui souhaite commencer pour 10 minutes, 10, 12 minutes pour répondre à ces questions. Donc monsieur Erveau pour l'ACPR.

• Olivier Cadic

  Au projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité se poursuit aujourd'hui par une première table ronde avec les autorités de régulation financière. L'autorité des marchés financiers, ici représentée par monsieur Sébastien Raspilier, secrétaire général qui est accompagné de monsieur Philippe Sourlas, secrétaire général adjoint en charge de la direction de la gestion d'actifs et de madame Laure Tertrais, directrice de cabinet auprès de la présidente madame Marianne Barbar-Layami. L'autorité de contrôle prudentiel et de résolution pour laquelle s'exprimera monsieur Frédéric Ervo, secrétaire général adjoint, qui est accompagné de madame Véronique Ben Saïd-Cohen, ? conseillère parlementaire auprès du gouverneur, de monsieur Alexandre Garcia, expert en régulation prudentielle bancaire et politique de stabilité financière et monsieur Gabriel Preguissa, chargé de mission. Je vous remercie d'avoir répondu à notre invitation, car vous pourrez ainsi nous éclairer sur le troisième des 3 volets de ce projet de loi, à savoir la transposition de la directive qui concerne la résilience opérationnelle numérique du secteur financier dite d'Aura. Ce titre 3 du projet de loi entre dans le champ de compétence de notre collègue et coordonnateur Michel Canévette, par ailleurs membre de la commission des finances du Sénat. Nos auditions avaient jusque-là porté sur les 2 premiers titres du projet de loi, lesquelles concernent pour le premier, la transposition de la directive sur la résilience des entités critiques dite Trec et pour le titre 2, la directive concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'union dite NIS 2. Pour autant ces sujets ne sont pas sans lien puisque certaines questions ont pu être soulevées lors de précédentes auditions sur les recoupements ou redondances pouvant exister entre ces 3 directives. Mes collègues corapporteurs sur le titre un et 2 respectivement Hugues Sori qui va nous rejoindre et Patrick Chaise pourront vous demander des précisions lors de la séquence des questions réponses. Mesdames, messieurs, avant de vous céder la parole, je rappelle à tous que cette audition fait l'objet d'une captation vidéo qui est retransmise sur le site internet du Sénat, puis consultable en vidéo à la demande. Compte tenu de l'expérience des premières auditions passées, je vous propose pour ouvrir cette table ronde que chaque rapporteur donc présente, pose ses questions comme ça vous pourrez intégrer dans votre déclaration une une réponse qui fait qu'on a remarqué que quand on faisait les déclarations liminaires puis les réponses, on on décalait, ça donnait moins de temps pour éventuellement pour nos collègues de pour poser des questions complémentaires. Donc si vous ne voulez bien, on va commencer donc les questions de nos rapporteurs et ensuite je vous donnerai la parole à tour de rôle. Monsieur Michel Calévette.

• Olivier Cadic

  Monsieur Aklimeluli.

• Olivier Cadic

  Il nous reste très peu de temps mais Catherine Morin de Sailly.

• Patrick Chaize

  Oui, merci monsieur le président. Merci mes chers collègues. Mesdames et messieurs. Alors, plus particulièrement, je suis chargé de la partie Nice 2, donc la transposition du titre 2. Néanmoins, si cette position est est principalement consacrée à la directive d'ORA, les infrastructures de marchés financiers et secteurs bancaires sont également concernées par la directive Nice 2 en tant que secteur hautement critique. Avec cette directive, c'est un changement majeur de paradigme qui est à l'oeuvre. Il ne s'agit plus seulement de sécuriser des infrastructures critiques, mais d'assurer la résilience des entités critiques. Autrement dit, la couverture est beaucoup plus large. Alors j'aurais 3 questions. Première question, pensez-vous que les entreprises du secteur bancaire et financier sont suffisamment informées des changements à venir au titre de Nice 2 Ma deuxième question concerne l'ANSSI plus particulièrement, pensez-vous que l'ANSSI est suffisamment bien identifié par le monde financier comme un interlocuteur de confiance dans le domaine de la cybersécurité Et enfin, ma troisième question concerne l'articulation des dispositions des directives Nice 2 et DORA. Et dans le cas du projet de loi qui transpose entre les titres 2 et 3, est-ce que vous, c'est cette articulation vous paraît adéquate Avez-vous, le cas échéant, identifier des difficultés ? Voilà pour les questions simples.

• Olivier Cadic

  Madame Hélène, vous voulez répondre directement Très bien. La même question si c'est oui.