Interventions sur "ANSSI"

...blics, les hôpitaux et les collectivités territoriales sont attaqués. Lille a ainsi subi une cyberattaque il y a quelques semaines, dont nous devrions sortir dans plusieurs mois. Internet sert aussi à faire pression. C'est également un outil de paralysie et de guerre. Cette évolution de la situation sur le front des cyberattaques justifie le renforcement des compétences et des interventions de l'Anssi. Mais ces prérogatives nouvelles sont loin d'être anodines, dès lors qu'elles touchent aux droits humains et aux libertés fondamentales. Il importe d'apporter, par des amendements, des garanties légales et de transparence. Les pouvoirs nouveaux qui seraient donnés à l'Anssi doivent pouvoir être évalués et communiqués de la manière la plus transparente possible. Nous donnerons un accord global su...

...dial. Le groupe Horizons et apparentés est conscient que le cyberespace est un champ de bataille à part entière et que la France doit s'armer pour répondre à cette nouvelle forme de guerre. La sécurité des systèmes d'information est un enjeu stratégique majeur, justifiant à lui seul les quatre articles du chapitre V. Ces articles ont pour objectif de renforcer les prérogatives et les moyens de l'Anssi, agence ô combien essentielle dans la protection de nos systèmes d'information depuis sa création. Notre groupe se réjouit que, grâce à ces dispositions, l'Anssi puisse accroître sa connaissance des modes opératoires des cyberattaquants pour mieux remédier aux effets de leurs attaques et alerter plus efficacement les victimes des incidents ou des menaces pensant sur leurs systèmes d'information. ...

... victimes. Cette question ne fait pas débat. Mais nous devons aussi faire preuve de discernement, car nous ne voulons pas d'une société de surveillance généralisée. Nous assistons, avec ce texte, à une extension non négligeable des moyens d'intrusion de l'État dans la vie privée de nos concitoyens. Les techniques de renseignement qu'institue ce texte sont placées entre les mains d'une autorité, l'Anssi, qui est tout sauf indépendante puisqu'elle est placée sous l'autorité directe de la Première ministre. En outre, elle agit dans un cadre préventif duquel l'autorité judiciaire a totalement été écartée. C'est, encore une fois, une conception très « Ve République » de la séparation des pouvoirs ! Dans ce contexte, on est en droit d'attendre des précisions quant aux finalités des procédés envisagé...

...és et des victimes de cyberattaques. Mais l'enjeu sécuritaire soulève trois interrogations. Quel est le degré de sécurité souhaitable ? Quels seraient les moyens les plus efficaces pour l'atteindre ? Jusqu'à quel point est-il acceptable que les moyens déployés pour l'atteindre touchent nos libertés individuelles ? Les réponses apportées par l'article 32 ne vont pas dans le bon sens. Permettre à l'Anssi d'obliger les fournisseurs d'accès à internet à bloquer les sites web sans passer par une décision de justice est un contournement du pouvoir judiciaire. Nous avions observé le même phénomène lors de l'examen de la Lopmi, qui instaurait au travers de l'extension des amendes délictuelles forfaitaires un principe de saisine du juge uniquement a posteriori et en cas de contestation. La même l...

Dans sa rédaction actuelle, l'article 32 permet à l'Anssi d'imposer des mesures de filtrage des noms de domaine en cas de menace susceptible de porter atteinte à la sécurité nationale. Lors de son audition, la Cnil nous a alertés sur le caractère indéterminé de la notion de « sécurité nationale ». Compte tenu de l'impact de ces mesures sur la liberté de communication, il faut absolument clarifier les finalités en vue desquelles l'Anssi peut agir. Il n...

... rédaction ne permet pas nécessairement de couvrir certaines cibles privilégiées des cyberattaquants, comme les collectivités territoriales et les hôpitaux. D'autre part, cet amendement reprend une définition figurant dans le code de la sécurité intérieure et une rédaction qui concerne, à ce stade, les services de renseignement. Ce mélange de genres, malvenu, peut ouvrir la voie à un amalgame, l'Anssi étant un service de cyberdéfense et de cybersécurité, et non un service de renseignement. Elle n'a pas vocation à suivre des personnes et à identifier des auteurs, mais uniquement des victimes. La rédaction actuelle, faisant référence aux menaces susceptibles de porter atteinte à la sécurité nationale, me convient davantage. Au sujet de la Cnil, d'autres amendements ont pour objet de l'inclure ...

...ntaux de la nation, même si j'ignorais que les hôpitaux n'en faisaient pas partie, compte tenu du caractère sensible des cyberattaques pour ces établissements – ou pour les collectivités territoriales. Sur ce sujet nous gagnerions à dresser une liste détaillée, afin de ne pas aller vers l'arbitraire. Ça me fait sourire d'entendre qu'il ne faut pas faire référence aux services de renseignement. L'Anssi n'en est pas un, mais j'ose espérer qu'en cas de cyberattaque ces derniers sont prévenus et qu'un canal d'information, reliant ces deux acteurs, existe, d'autant que chacun est directement rattaché au Premier ministre – comme la CNCTR. L'Anssi étant placée sous l'autorité du Premier ministre, nous sommes en droit d'exiger un certain nombre de garanties dès lors que ces données, on l'imagine, peu...

...on que nous puissions l'intégrer aux autres articles, ce qui conférerait une cohérence et une colonne vertébrale à l'ensemble des articles permettant une interprétation de cette notion, que pourrait préciser le Conseil constitutionnel grâce à une réserve d'interprétation. Faire référence au renseignement, dans le cadre de la LPM, au sujet des vulnérabilités informatiques n'est pas de bon aloi, l'Anssi n'étant pas un service de renseignement. Le groupe Démocrate votera contre cet amendement dans la mesure où la référence à la sécurité nationale paraît suffire, mais il souhaite intégrer cette notion aux articles 33, 34 et 35 également.

Cet amendement précise que le délai fixé par l'Anssi pour les mesures affectant les titulaires de noms de domaine qui sont de bonne foi doit prendre en considération leur nature et leurs contraintes opérationnelles. Il vise ainsi à apporter davantage de proportionnalité au dispositif sans nuire à son intérêt opérationnel, et rappelle que l'Anssi mettra en œuvre un dialogue constructif avec les victimes.

Vous confondez l'Anssi et les services de renseignement, lesquels n'ont aucunement besoin de l'Anssi pour agir. Nous devons trouver une réponse à ces nouveaux phénomènes, les noms de domaine étant souvent le premier moyen, pour les attaquants, de s'infiltrer dans des machines.

Cet amendement a pour objet d'intégrer les moteurs de recherche dans la liste des opérateurs concernés par l'article 32. L'Anssi nous rétorque que cela est inutile, car les moteurs de recherche, ne faisant que du Google bombing, ne relèvent pas de la sécurité nationale dans la mesure où il ne s'agit que d'atteintes aux individus. Or, lorsque l'on interroge l'ensemble des entreprises travaillant dans le domaine de la cybersécurité, y compris des bugs bounties – prime aux bogues –, ils considèrent que les proc...

La question a été soulevée lors des auditions que j'ai menées. L'intégration des moteurs de recherche dans le périmètre de cet article n'est techniquement pas utile. L'Anssi ne cherche pas le déréférencement du contenu, mais le blocage immédiat de la menace en agissant à la source, à savoir le nom de domaine. Le but est d'empêcher le code malveillant des logiciels d'entrer en contact avec les systèmes d'information, ce qui ne passe pas, pour l'instant, par les moteurs de recherche. L'inscription des moteurs de recherche dans l'article constitue donc un élargissement...

Cet amendement, allant de pair avec l'amendement CL43 qui propose une échéance de « deux jours francs et ouvrés », permet à l'Anssi et aux opérateurs de négocier le délai imparti. Il faut laisser un peu de souplesse pour leur permettre de trouver une solution car, si les délais peuvent parfois être réduits à vingt-quatre heures, c'est parfois impossible, aux dires mêmes des opérateurs. Nous instaurerions donc un délai maximal de deux jours ouvrés et francs, tout en laissant à l'Anssi et aux opérateurs une capacité de négocia...

...droits devant le magistrat et à ce dernier de trancher. On voit bien comment le contrôle a posteriori des arrêtés d'interdiction de manifester prend forme : quand ce dernier est pris trois heures avant la manifestation, il est plus compliqué de faire valoir l'État de droit. La question des délais appelle toute notre vigilance car il y va non seulement de l'opérabilité des techniques de l'Anssi, mais aussi du respect des droits fondamentaux.

...bjectif des mesures est d'assurer la sécurité nationale face aux cyberattaquants, ce qui implique de la réactivité. Mon amendement CL87, dans la recherche d'un équilibre entre l'impératif opérationnel des mesures et le soin d'éviter une charge trop lourde aux acteurs, prévoit plutôt un délai de deux jours ouvrés. Il faut effectivement une garantie contre d'éventuelles décisions arbitraires de l'Anssi – ce à quoi je ne crois pas –, tout en garantissant un délai de réponse raisonnable.

Nous sommes dans le cadre d'une loi de programmation militaire. Idéalement, l'Anssi devrait pouvoir agir dans l'heure, mais l'amendement CL87 vise à ce que soient prises en compte les contraintes techniques, logistiques et humaines liées à l'opérateur – lequel n'aura pas le temps d'agir en une heure – tout en respectant les droits fondamentaux. Nous souscrivons donc à l'amendement proposé par la rapporteure pour avis.