Vanina Paoli-Gagin : Résilience des infrastructures critiques et renforcement de la cybersécurité

11 mars 2025

Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité - Dossier législatif

Monsieur le Président,

Madame la Ministre,

Monsieur le Président de la Commission spéciale,

Messieurs les Rapporteurs, dont je salue le travail,

Mes chers Collègues,

Au début du mois, le secrétaire américain à la Défense, Pete Hegseth, a ordonné la suspension des opérations cyber concernant la Russie. Cette démarche participe du processus de rapprochement mené par l'administration Trump. Afin de conclure une paix factice, c'est-à-dire de concéder la victoire à Poutine, les États-Unis sont en train de redonner des marges de manœuvre à la Russie – même si de récents événements ont l'air d'être en cours en Arabie Saoudite – et espérons-le, aboutiront à une solution favorable.

Mais depuis la nouvelle invasion russe de l'Ukraine, le 24 février 2022, une guerre de haute intensité est en cours sur notre continent. Offensive et contre-offensive, guerre de tranchées, guerre des drones, tous les moyens sont employés dans cette lutte.

Aujourd'hui, à l'heure de la trahison de Trump, on constate à regret que les troupes russes avancent plus rapidement. 2000 km nous séparent de Kiev, ce serait une erreur d'en conclure que ce conflit ne nous concerne pas directement. Des sabotages sont menés partout en Europe et les opérations dans le champ informationnel se multiplient : faux cercueils recouverts de drapeaux français près de la tour Eiffel, étoiles de David taguées dans Paris pour faire pression sur l'opinion publique.

Et les avancées de l'IA vont conduire à une intensification, une sophistication des possibilités d'attaque, voire d'infiltration de nos narratifs, comme NewsGuard vient de nous le révéler très récemment. Sans l'avoir déclaré, prenant bien soin de rester sous le seuil de la conflictualité ouverte, la Russie mène une guerre contre notre pays, contre nos intérêts jusque sur notre territoire.

Dans son combat, le Kremlin encourage la pègre à mener contre nous des attaques cyber lorsqu'il ne les lance pas lui-même. Il y a un an, jour pour jour, c'est le réseau interministériel de l'État qui a été visé et le fonctionnement des différents ministères affecté. Trois mois plus tard, une autre attaque visait plusieurs sites du gouvernement. Puis c’était, cela a été dit par les collègues de l'université de la Sorbonne, récemment l'université de Rennes, et puis hier La Poste, des sites de régions, de municipalités.

Si les effets des attaques sont souvent plus limités que ceux d'un bombardement, elles peuvent par ricochet, ça a été rappelé par Madame la Ministre, comme dans les hôpitaux, entraîner des morts. Le numérique, mes chers Collègues, on le voit, occupe une place de plus en plus centrale, voire stratégique dans nos sociétés et dans le déploiement des services tant publics que privés. La protection des réseaux devient donc de plus en plus vitale.

La France et ses partenaires européens doivent réagir pour défendre efficacement leurs concitoyens. Plusieurs directives européennes, REC, NIS 2, DORA, ont ainsi été adoptées pour identifier plus clairement les infrastructures et services essentiels au bon fonctionnement de nos sociétés. Cette désignation se décline en différents niveaux de priorité, ça a été rappelé, auxquels s'appliquent différents régimes de protection.

Il s'agit à la fois d'une mise à jour et de l'instauration d'un cadre européen harmonisé. Comme toujours, cela a été dit aussi, nous devrons veiller à ne pas céder à la tentation de surtransposition pour ne pas nuire tout simplement à la compétitivité de nos acteurs. À titre personnel, j'ai même été tentée par la seule application de la norme ISO 27001 qui adresse finalement tous ces enjeux.

À l'instar du système retenu par nos amis belges, c'eût été, je pense, plus conforme à notre souhait d'un vrai choc de simplification et peut-être cela aurait pu éviter un forum shopping intracommunautaire qui risque de se faire jour.

J'en reviens à notre texte qui prévoit l'instauration de sanctions pour violation de ces dispositions. Sans doute seront-elles rares, puisque tous les acteurs concernés ont un intérêt direct à assurer leur propre sécurité. Elles sont néanmoins indispensables pour protéger nos concitoyens, tant contre l'indigence fautive que contre la malveillance caractérisée.

Ce texte technique ne fera sans doute pas la une des journaux. Il est pourtant, mes chers Collègues, d'une importance capitale. De sa bonne mise en œuvre dépendent la sauvegarde de notre activité économique et, in fine, la sécurité de nos entreprises, de nos collectivités territoriales, de nos services publics et de nos concitoyens.

Ce cadre devra bien entendu s'adapter aux évolutions technologiques et être réévalué assez régulièrement pour être pertinent. Avant de conclure, je voudrais réaffirmer ici, mes chers Collègues, que la réglementation ne suffira pas. Une réelle sécurité implique la souveraineté.

Aujourd'hui, la plupart des infrastructures et outils numériques que nous utilisons sont conçus aux États-Unis et fabriqués en Chine. C'était déjà problématique avant Trump II et cela est devenu extrêmement critique. Tous les Européens s'accordent à dire qu'ils ne peuvent plus dépendre des États-Unis pour leur armement.

Le numérique, je vous pose la question, n'est-il pas aussi stratégique ? Si. Et au premier chef, selon moi.

C'est même la reine des armes, voire l'arme fatale. Qu'on songe aux antennes 5G, voire aux grues chinoises employées dans les ports américains, Washington avait, rappelons-le, alerté quant à la vulnérabilité des matériels et logiciels qui sont conçus par des puissances hostiles.

À l'heure où les Européens n'ont plus d'autres vrais amis qu'eux-mêmes, il est grand temps de bâtir une industrie numérique. Et je vise ici l'industrie tant infra - les câbles, les satellites, le cloud - que logiciels, civils comme militaires.

Les rapports Draghi et Letta nous montrent la voie. Hâtons-nous, mes chers Collègues, de la suivre le plus rapidement possible. L'industrie européenne devra bien sûr respecter une logique de rentabilité, mais aussi intégrer le fait que la souveraineté, comme la liberté – notre liberté chérie – ont un prix qui mérite d'être payé.

Je vous remercie.