Intervention de Marie Lebec

Dans sa rédaction actuelle, l'article 18 met sur un même plan toutes les prestations de conseil. Or l'enjeu de sécurité informatique n'est pas le même selon que l'on manie ou non des données sensibles. Cela soulève une question de proportionnalité, principe auquel le Gouvernement est attaché.

Par ailleurs, le concept de haut niveau de sécurité lui-même n'est pas suffisamment spécifique. Celui de la sensibilité des données traitées, présent dans la circulaire sur le cloud de juin 2023, offre une meilleure clé de lecture et respecte le cadre international dans lequel s'inscrit la France.

Un périmètre trop large risquerait de peser lourdement sur le marché des prestations d'audit et de sécurité des systèmes d'information et, plus largement, sur celui du conseil en cybersécurité, qui pourrait se retrouver engorgé de demandes si les enjeux de protection étaient de niveau variables. C'est pourquoi la proposition d'amendement visant à redéfinir le champ de l'article 18, le rendant applicable aux seuls cabinets de conseil qui traitent des données sensibles, nous semble bienvenue car elle permet à l'administration de s'assurer de la protection de ses données dans les cas qui le justifient sans créer d'obligation trop générale.