Amendement n° CS362 Rejeté

I. – À l’alinéa 3, supprimer les mots :  « ou est susceptible de causer ». II. – À l’alinéa 4, supprimer les mots :  « ou est susceptible d’affecter ».

Les alinéas 3 et 4 de l’article 17 imposent la notification à l’ANSSI de tout incident, qu’il entraîne ou non une perturbation opérationnelle ou des dommages matériels, corporels ou moraux. Si l’objectif de couvrir l’ensemble des incidents significatifs est compréhensible, la rédaction actuelle reste éloignée des réalités opérationnelles auxquelles sont confrontées les entités importantes et essentielles en cas de crise cyber. En pratique, tout incident déclenche immédiatement une réponse interne visant prioritairement le rétablissement du service. Or, à ce stade, les entités ne disposent pas des moyens d’évaluer avec précision l’impact réel de l’incident ni d’anticiper d’éventuelles conséquences sur des tiers. La définition retenue apparaît donc trop large, disproportionnée et génératrice d’insécurité juridique. Le présent amendement propose de limiter l’obligation de notification aux seuls incidents dont l’impact opérationnel est avéré et incontestable.