Amendement n° 255 Sans sort

Compléter l’alinéa 7 par la phrase suivante : « Ce plan comprend des outils et des modèles destinés à aider les employeurs, en particulier les petites et moyennes entreprises et les collectivités territoriales qui ne sont pas des entités essentielles ou importantes, à intégrer les risques résultant d’incidents affectant leurs réseaux et systèmes d’information dans l’évaluation des risques prévue à l’article L. 4121‑3 du code du travail ; »

L'article 7, paragraphe 2, point i), de la directive (UE) 2022/2555 impose aux États membres une politique de renforcement de la cyberrésilience et de la cyberhygiène des petites et moyennes entreprises, en particulier celles exclues de son champ. Le texte de la commission ne la prévoit pas. Le DUERP est obligatoire pour tout employeur dès le premier salarié, dans le secteur privé comme dans le secteur public. C'est donc un vecteur déjà existant pour atteindre les structures que NIS2 ne couvre pas, sans créer de nouvelle obligation. L'amendement confie au plan de sensibilisation, piloté par Cybermalveillance.gouv.fr, la production d'outils et de modèles. Les employeurs pourront ainsi évaluer les conséquences d'un incident cyber sur leurs salariés : risques psychosociaux, travail en mode dégradé, exposition des données personnelles, sécurité des installations. Cet amendement est soutenu par Hexatrust et l’AFNIC.