Nous sommes réunis ce matin pour examiner le projet de loi portant diverses dispositions d'adaptation au droit de l'Union européenne dans le domaine de la sécurité, qui a été adopté par le Sénat en première lecture le 19 décembre.

Je profite de l'occasion pour adresser tous mes voeux aux membres de la Commission et au personnel qui nous entoure au quotidien.

Le texte que nous examinons aujourd'hui vise à transposer une série de prescriptions européennes. C'est un ensemble relativement hétérogène puisqu'il s'agit de transcrire dans notre droit deux directives de 2016 et de 2017, et de tirer les conséquences d'une décision de 2011. Ces dispositions peuvent être rassemblées sous le thème de la sécurité.

Il s'agit d'abord de transposer la directive (UE) 20161148 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d'information dans l'Union, autrement dit à lutter contre la cybercriminalité au niveau européen et à garantir un niveau de sécurité élevé des réseaux et systèmes d'information des opérateurs de services dits essentiels – sur lesquels je reviendrai dans un instant.

Il s'agit ensuite de transposer la directive modifiant la directive 11042011UE relative au contrôle de l'acquisition et de la détention d'armes en mettant en place un système de contrôle de l'acquisition et de la détention des armes à feu, ce qui se traduit par un durcissement de la législation autour de ce socle commun.

Il s'agit enfin de tirer les conséquences de la décision européenne relative au fonctionnement du système mondial de radionavigation par satellite issu du programme GALILEO.

Ce projet de loi est assez intéressant, pour peu que l'on accepte de « payer un droit d'entrée » pour en comprendre les subtilités techniques… Mais c'est aussi un exercice relativement contraint, comme à chaque fois qu'il s'agit de transposer le droit européen : il faut échapper au double écueil de la surtransposition, que nous essayons de plus en plus systématiquement d'éviter, et d'une sous-transposition répréhensible au regard de nos engagements européens.

Ce texte a été examiné par le Sénat en première lecture, qui l'a amendé sur un plan technique et de façon constructive ; c'est la raison pour laquelle nous vous proposerons de conserver la plupart des modifications qu'il a introduites. Je voudrais vous en présenter la substance avant de reprendre brièvement les quelques sujets qui me semblent appeler un commentaire.

Pour ce qui concerne la lutte contre la cybercriminalité, il est de notoriété publique que la sécurité des réseaux informatiques et de l'information a pris un poids de plus en plus déterminant sur la société et sur l'économie. Nous sommes engagés dans une démarche pionnière qui vise à doter les États membres d'un dispositif commun afin de mieux résister aux assauts des organisations cybercriminelles et surtout de mieux collaborer. Pour ce faire, leur sont imposés un certain nombre d'exigences minimales communes, des mécanismes de prévention et de détection des incidents et de remédiation dans la mesure du possible.

Ainsi que je le disais tout à l'heure, l'exercice est limité dans la mesure où il existe déjà des exigences sectorielles au niveau européen, et car la France s'est dotée d'un dispositif normatif applicable aux organes d'importance vitale. En outre le projet de loi renvoie sur des points techniques à des dispositions réglementaires.

Concrètement, le but est d'imposer aux opérateurs dits « opérateurs de services essentiels à la société », dont la liste sera dressée par le Premier ministre, comme aux fournisseurs de services numériques – places de marché en ligne, moteurs de recherche en ligne, services d'informatique en nuage (cloud) – qui devront quant à eux se faire connaître auprès de l'Agence nationale de la sécurité des systèmes d'informations (ANSSI), de prendre des mesures de sécurité et de se doter ainsi, au niveau européen, d'un socle commun de protection. Les incidents, lorsqu'ils surviennent, devront être déclarés aux autorités administratives compétentes, qui pourront rendre ces informations publiques. Les opérateurs sont invités à se soumettre à des contrôles, par des organes compétents, sur pièce et sur place, à leurs frais. Enfin, un certain nombre de sanctions sont prévues.

Seront concernés, pour faire simple, les fournisseurs de services numériques et les grandes entreprises de transport, de santé, d'industrie, d'énergie, d'alimentation, etc., ainsi que les grands services publics.

Le titre II, qui rassemble les dispositions relatives au contrôle de l'acquisition et de la détention d'armes, est directement lié à la lutte contre le terrorisme et s'inscrit dans le processus d'après-2015. Le but est d'harmoniser les règles au niveau européen.

Notre système de classification et de réglementation des armes reposait, jusqu'à présent, sur une structure en quatre catégories : les armes de catégorie A, interdites ; les armes de catégorie B, soumises à autorisation ; les armes de catégorie C, soumises à déclaration ; les armes de catégorie D, réparties en deux sous-catégories, les armes dites D1 soumises à enregistrement et les D2 dont l'acquisition et la détention sont libres. Cette classification est remaniée, en procédant au surclassement d'armes de catégorie B en catégorie A : leur acquisition devient interdite, à quelques dérogations près sur lesquelles nous reviendrons. Parallèlement, du fait de cette refonte de la classification, les armes qui appartenaient à la catégorie D1, autrement dit les armes soumises à enregistrement, intègrent la catégorie C.

Enfin, la directive n'assimile plus les reproductions d'armes historiques aux armes anciennes. Elle invite à prendre en considération les techniques modernes, dès lors qu'elles recourent à des techniques modernes susceptibles d'en améliorer la durabilité et la précision, ainsi que les armes neutralisées.

Sur le fond, plusieurs dispositions sont prévues. Le contrôle administratif sur les courtiers sera renforcé et leur régime juridique aligné sur celui des armuriers ; la livraison des armes à domicile est interdite et les transactions considérées suspectes seront signalées, une fois le refus signifié.

Le titre III regroupe les dispositions relatives au service public réglementé GALILEO. Le système européen de navigation par satellite a mis du temps à se mettre en place, mais il est devenu opérationnel et actif ; il impose désormais une forme de régulation. Ce système a vocation à être équivalent aux systèmes américain GPS, russe GLONASS (глобальная навигационная спутниковая система, « système global de navigation satellitaire ») et chinois COMPASS (Beidou 北斗).

GALILEO diffuse trois catégories de signaux : un signal libre de radionavigation par satellite utilisé par les particuliers que nous sommes ; un signal commercial qu'il était prévu, au départ, de rendre payant pour les opérateurs, mais dont la gratuité sera manifestement maintenue dans les années à venir ; enfin un système robuste et sécurisé, crypté, qui exige une réglementation particulière.

Pour ce dernier système, le projet de loi met en place un mécanisme d'autorisation préalable d'accès, de fabrication de récepteurs et de réception ; il impose, tout à fait logiquement, une déclaration des transferts à l'intérieur de l'Union européenne ; est enfin prévu un dispositif de sanction au cas où les deux prescriptions ne seraient pas respectées.

J'en viens à quelques commentaires sur ce projet de loi, pour éclairer nos débats,

S'agissant de GALILEO, nous sommes dans une situation complètement contrainte qui ne pose aucune difficulté particulière : le système d'autorisation, de déclaration et de sanction se nourrit de sa propre cohérence.

Pour ce qui est de la sécurité des réseaux et des systèmes d'information, les discussions qui se sont déroulées au fil des auditions, puis en commission et en séance publique au Sénat, ont mis en lumière la nécessité d'établir une distinction entre les opérateurs de services essentiels et leurs réseaux. Il arrive qu'un même opérateur ait différents réseaux dans sa structure, qui ne nécessitent pas tous le même degré de protection.

Ainsi, lorsque la SNCF – on m'a donné cet exemple pendant les auditions – déploie un réseau numérique pour gérer ses aiguillages, on comprend qu'il s'agit de quelque chose de vital, dans la mesure où une attaque pourrait avoir pour effet de provoquer des effets mortels ; lorsqu'il s'agit de gérer la billetterie, on a affaire à un service essentiel dans la mesure où une attaque pourrait perturber considérablement la fluidité des transports dans le pays ; mais une campagne promotionnelle sur un site internet relève d'une activité tout à fait normale, qui ne nécessite pas le même degré de protection.

Pour ce qui est des armes enfin, je reviendrai sur trois points qui ne manqueront pas de faire l'objet de débats.

Une préoccupation a pu s'exprimer au sujet des armes de chasse ; je voudrais rassurer les plus inquiets. La nouvelle législation ne changera absolument rien : les armes de chasse appartenaient à la catégorie D1 et faisaient l'objet d'un enregistrement ; désormais, elles devront faire l'objet d'une déclaration. Or les règles de la déclaration sont pratiquement les mêmes que celles de l'enregistrement. Quant à l'exigence du certificat médical, elle ne tient plus dès lors qu'on est en possession d'un permis de chasse.

Pour ce qui est du transport et de la possibilité de transporter librement les armes de chasse, le code de la sécurité intérieure, dans son article R. 315-2, répond aux inquiétudes exprimées : il dispose que le permis de chasse vaut titre de transport, dès lors qu'on se trouve sur une zone de chasse et en période de chasse. Il en va de même pour les tireurs sportifs.

Les armes de collection et les armes historiques, enfin, restent d'acquisition libre. Leur reproduction, en revanche, entre désormais dans le cadre de la directive, mais seulement dans le cas où leur précision et leur durabilité ont pu être améliorées par des techniques modernes.

Certains collectionneurs ont fait part de leurs inquiétudes à l'égard de ce projet ; vous pourrez les rassurer sans délai dans vos circonscriptions, puisque l'article R. 315-3 du code de la sécurité intérieure prévoit que « la justification de la participation à une reconstitution historique » est un motif légitime de port et de transport d'armes. Il n'y aura donc aucun souci pour organiser une reconstitution de la bataille d'Austerlitz ou du Débarquement.

Nous en venons à la discussion générale.

Je tiens d'abord à saluer le travail du rapporteur dans la conduite des auditions comme dans la restitution, qu'il vient de faire, d'un texte plutôt complexe au premier abord… Cela méritait d'être souligné.

Il s'agit d'adapter au droit français trois textes, dont la directive concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d'information dans l'Union. La France en est d'ailleurs l'instigatrice, car nous sommes en avance dans ce domaine sur nos partenaires européens ; sans doute est-ce dû au fait que nous disposons déjà d'une agence dédiée, l'ANSSI, qui mène très bien sa mission. Nous avons eu l'occasion d'en entendre les responsables il y a quelques jours.

Pour ce qui est du renforcement du contrôle de l'acquisition et de la détention d'armes à feu, avec la suppression de la catégorie D1 des armes à feu et le durcissement du régime d'acquisition en détention de certaines armes, nous sommes plusieurs, dont mon collègue Pierre Cordier, à nous interroger. Vous avez en partie répondu à certaines inquiétudes ; nous y reviendrons à l'occasion des amendements, notamment à l'égard des collectionneurs.

Le transport des armes de collection sera effectivement possible dès lors que l'on participe à une reconstitution, mais il existe d'autres types de manifestations : il arrive que ces collectionneurs soient présents lors de commémorations patriotiques ; dans ce cas, le problème reste entier et plusieurs de nos amendements gardent toute leur pertinence.

Quant à la directive relative aux modalités d'accès aux services réglementés et au système mondial de radionavigation par satellite issu du programme GALILEO, elle ne nous pose a priori pas de difficulté particulière.

Au total, sans préjuger de ce que donnera le débat, le groupe Les Républicains est plutôt globalement favorable à ce texte, au cas des collectionneurs près, que nous aurons l'occasion d'aborder lorsque nous examinerons les amendements.

Le projet de loi soumis à notre discussion a pour objet la transposition de deux textes européens qui concernent des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d'information dans l'Union ainsi qu'un contrôle accru de l'acquisition et de la détention d'armes. Il tire également les conséquences de la décision relative aux modalités d'accès au service public réglementé offert par le système mondial de radionavigation par satellite issu du programme GALILEO.

Ce projet de loi est une réponse à la nécessité d'harmoniser les dispositifs de sécurité avec nos voisins et partenaires européens face aux menaces d'une criminalité sans limite et sans frontières.

D'une manière générale, ce texte n'appelle pas, du fait de son objet même, beaucoup de commentaires, compte tenu de l'obligation de transposition qui est faite aux parlements nationaux et dans la mesure où nous en partageons les orientations substantielles.

Cela étant, nous devons veiller à ce que le projet de loi soumis à notre discussion ne procède pas à des surtranspositions sans motifs légitimes et justifiés, d'autant plus que cette problématique est l'une de nos priorités, comme en attestent les travaux de la mission d'information sur les moyens de lutter contre les surtranspositions des directives européennes menés par nos collègues Alice Thourot et Jean-Luc Warsmann.

Le titre Ier de ce projet de loi a pour but de renforcer la cybersécurité et transpose la directive européenne Network and Information Security, dite NIS. Cela me donne l'opportunité de saluer le travail de l'ANSSI, agence nationale de la sécurité des systèmes d'information, dont ce texte s'inspire, ainsi que la qualité du travail qui a donné lieu à la réglementation issue de la loi de programmation militaire de 2013.

Il renforce les obligations visant deux catégories de structures : les opérateurs économiques essentiels et les fournisseurs de services numériques qui, selon leur caractère plus ou moins stratégique, se verront imposer des obligations et des contrôles contraignants en matière de sécurité informatique, pouvant donner lieu à des sanctions en cas de manquement.

Ces structures devront aussi signaler aux autorités nationales compétentes en matière de cybersécurité les incidents de sécurité dont elles sont les victimes.

Le titre II introduit des dispositions relatives au contrôle de l'acquisition et de la détention d'armes qui ont pour finalité le renforcement de la sécurité publique ; elles ne concernent que l'encadrement des régimes légaux déjà existants.

Le droit applicable aux armes étant par nature principalement réglementaire, six dispositions seulement touchent à la loi.

Trois d'entre elles portent sur la classification des armes. Des armes soumises à autorisation seront dorénavant interdites ; la catégorie D1 disparaît ; les reproductions d'armes historiques ne sont plus libres d'acquisition et de détention, mais des dérogations sont prévues pour les tireurs sportifs et les personnels de la sécurité privée.

À lire certains amendements, je constate que nous avons tous été interpellés par les représentants des associations de collectionneurs qui s'inquiètent du devenir de leurs collections et de leurs prérogatives. Leurs craintes me paraissent en grande partie infondées, car les modifications opérées par la directive ne changent rien pour eux : en l'état actuel du droit, les collectionneurs ne peuvent collectionner que des armes des catégories C et D ; les armes A et B leur sont déjà interdites. Il serait malvenu, me semble-t-il, qu'à l'occasion d'une réforme visant à réduire la circulation des armes, nous autorisions l'acquisition de celles qui ne pouvaient pas l'être auparavant.

S'il est vrai qu'en 2012, le législateur avait conféré une forme de protection législative aux armes historiques et à leurs reproductions, qui restaient libres d'acquisition et de détention, la directive n'associe plus les reproductions d'armes historiques aux armes anciennes : elle invite à prendre en considération « les techniques modernes susceptibles d'améliorer la durabilité et la précision » de ces reproductions, et donc leur potentielle dangerosité. Il y va de notre sécurité à tous.

On me permettra au passage de déplorer la formulation de certains amendements reprenant des rédactions proposées par les associations de collectionneurs, où il est fait état « d'abus d'autorité des services des douanes, de la police ou de la gendarmerie » dans le contrôle des armes de collection. La question de la sécurité de tous doit demeurer notre priorité ; nous ne pouvons pas nous scandaliser du fait que les forces de l'ordre fassent leur travail. Mais peut-être serait-il envisageable, dans certains cas, notamment lors de reconstitutions historiques ou de commémorations patriotiques, de pouvoir mieux informer les collectionneurs de leurs droits.

Les autres dispositions, auxquelles je souscris, modifient le code de la sécurité intérieure afin de mieux encadrer la vente des armes, de leurs composants essentiels et des munitions. Pour commencer, l'ensemble des professionnels sera soumis à un contrôle portant sur leur honorabilité et leurs compétences, y compris les courtiers d'armes de catégorie C. Seront ensuite supprimées les dispositions du droit national généralisant la possibilité de livraison au domicile de l'acquéreur, en cas de vente entre particuliers, des armes de toutes catégories, achetées à distance, sans garantie de contrôle effectif de l'identité de l'acquéreur et de son titre de détention. Enfin, un armurier ou un courtier aura désormais la possibilité, s'il pressent une transaction suspecte, de refuser de vendre sans commettre l'infraction de refus de vente ; ils devront également signaler ces transactions aux autorités de l'État.

L'ensemble de ces dispositions me semble répondre à l'objectif de sécurité.

Le titre III, qui permet la mise en oeuvre des dispositions relatives au système européen de navigation par satellite, n'appelle pas de commentaires particuliers de ma part, si ce n'est pour souligner que, grâce à ces mesures, la France pourra sortir de la dépendance des systèmes satellitaires étrangers.

Le titre IV concerne les dispositions applicables à l'outre-mer et le titre V les dispositions transitoires, et notamment la date d'entrée en vigueur de ce texte ; ils n'appellent aucun commentaire de ma part et n'ont d'ailleurs fait l'objet d'aucun amendement, si ce n'est des amendements rédactionnels.

En conclusion, ce projet de loi renforce notre sécurité et celle de nos partenaires européens ; la cybersécurité, longtemps perçue comme une affaire de spécialistes, est devenue l'affaire de tous ; le durcissement du régime pour certaines armes est une affaire de bon sens. C'est pourquoi le groupe La République en Marche lui apporte son entier soutien.

Je salue d'abord, au nom du groupe UDI, Agir et Indépendants, le travail réalisé par notre rapporteur.

Je me concentrerai sur le sujet des armes. Nous avions voté et conçu de manière transpartisane ce qui est devenu la loi du 6 mars 2012. Il est toujours difficile de légiférer sur les armes. L'idée était d'être le plus sévère possible vis-à-vis de la délinquance, et le plus souple possible vis-à-vis de nos concitoyens honnêtes, chasseurs, tireurs sportifs et collectionneurs.

Or, on sent chez eux une inquiétude. Vous avez commencé à la lever, mais nous devons être très pédagogues vis-à-vis des collectionneurs. Nous sommes harcelés de sollicitations par des associations visiblement de bonne foi. L'avis du Conseil d'État apporte déjà une première réponse. Mais pouvez-vous être plus précis sur l'acquisition et la détention, et surtout sur le transport ? J'ai dans mon département une association, Ardennes 44, qui regroupe des collectionneurs d'armes américaines de la Libération ; elle se rend très régulièrement dans des manifestations pour participer à des reconstitutions, mais sans que celles-ci en soient forcément l'objet principal. Ces personnes-là sont inquiètes. Vous avez certainement matière à les rassurer, mais nous devons être très clairs sur le sujet. Nous aurions mal travaillé si, à l'issue de nos débats, l'inquiétude subsistait à propos de ce type d'activités.

Un projet de loi qui met en parallèle la question de l'achat d'armes et celle de la protection des données me semble bien difficile… J'avoue bien volontiers ne pas être experte en systèmes d'information et, finalement, vis-à-vis de leur sécurité, je me retrouve dans la même situation que tant de nos concitoyens : l'expectative.

Nous ne pouvons pas discuter de ce texte sans avoir en mémoire la manière dont la communauté internationale a accueilli Edward Snowden au lendemain de ses révélations sur les pratiques de la National Security Agency (NSA), mais aussi celles de la CIA. Aujourd'hui, nous savons qu'aucune directive européenne ne pourra rien y faire : un peu d'ingéniosité informatique suffit souvent à s'insinuer dans les systèmes les plus complexes.

Du reste, les États ne s'y sont pas trompés : ils recrutent sur des exercices de code qui visent justement à évaluer les niveaux dans ce domaine. Évidemment, il faut soutenir toutes les initiatives qui accroissent la sécurité de nos réseaux sans se faire d'illusion, et donc travailler à une société qui refuse de telles pratiques.

Encore faudrait-il pour cela donner l'exemple, et l'exemple devrait aller avec la précision de l'obligation formelle de protection des groupes gérant des données dans le domaine automobile, informatique ou téléphonique. Les articles 11, 12 et 13 vous paraissent-ils suffisamment exigeants à cet égard ?

Je rejoins assez l'appréciation de nos collègues sur la complexité de ce texte, comme sur sa technicité.

Sur le fond, la directive « NIS » impose aux entreprises européennes d'améliorer leur capacité à résister aux cyberattaques. Pour ce faire, elle établit des normes de cybersécurité communes, elle renforce la coopération entre les différents pays de l'Union européenne ; l'objectif est bien de créer un cyber-environnement fiable au sein de l'Union européenne, en vue de soutenir le marché intérieur. C'est ce à quoi nous appelons depuis très longtemps.

Mais la directive prévoit des obligations supplémentaires, non seulement pour les États membres, mais aussi pour les particuliers responsables d'infrastructures critiques. Dans les secteurs dits essentiels, définis comme tels par chaque État, les entreprises seront tenues de prendre des mesures de sécurité adéquates afin de garantir la continuité et la sécurité de leurs réseaux et de l'information.

Elle introduit par ailleurs une obligation de notification : à compter de mai 2018, ces entreprises seront également tenues de notifier les cyber-incidents sérieux aux autorités nationales. Ce faisant, le texte institue un cadre de sécurité pour améliorer la fiabilité et la résilience des réseaux et systèmes d'information, assorti à un contrôle par l'autorité administrative, lequel peut aboutir à des sanctions.

L'article 5 définit la notion d'opérateur de services essentiels et confie au Premier ministre la responsabilité de désigner ces opérateurs. Les secteurs concernés seront l'énergie, les transports, les banques et les infrastructures ; le Gouvernement prévoit d'en ajouter d'autres comme le tourisme, l'agroalimentaire, les assurances, les affaires sociales et la construction automobile.

Cela étant, plusieurs questions se posent. La notion d'incident grave a-t-elle fait l'objet d'une définition opérationnelle, par analogie et par secteur d'activité ? Il serait intéressant de le préciser, de façon que nous puissions mieux comprendre ce domaine complexe.

S'agissant de la directive 2017853, relative au contrôle des acquisitions et de la détention d'armes, j'ai eu précédemment l'occasion d'être rapporteure à plusieurs reprises sur cette question. Elle apporte des précisions sur les armureries et sur la vente par correspondance, mais elle ne traite que des personnes qui s'inscrivent dans un cadre légal ; elle ne s'attaque pas du tout à la problématique du trafic. C'était pourtant l'élément essentiel sur lequel nous avions insisté précédemment, à la commission des Lois comme à la commission des Affaires européennes. Que fait-on du trafic lié au reconditionnement d'armes provenant des pays des Balkans ? On les retrouve sur le marché, voire dans les mains des terroristes. Or ce texte n'aborde pas du tout ce sujet.

Enfin, le projet crée un régime d'autorisations spécifiques pour le service public réglementé offert par le service GALILEO. Développé par l'Union européenne, ce programme inclut un segment spatial dont le déploiement doit s'achever vers 2020. L'accès à ce service est limité à certains acteurs autorisés par le Gouvernement.

Ce sont à la fois la définition des secteurs concernés par le périmètre des opérateurs tenus par des obligations en matière de cybersécurité et l'ajout de dispositions sur le trafic illicite dans le cadre européen en matière de réglementation d'armes qui posent question à notre groupe. Les deux problèmes mériteraient en tout cas un débat approfondi. Peut-être nos débats d'aujourd'hui, préparatoires à la séance publique, pourront-ils apporter des compléments.

Se pose enfin la question des agences de cybersécurité. L'ANSSI dépend des services du Premier ministre. Quelle est sa position par rapport à la Commission nationale de l'informatique et des libertés (CNIL) ? L'ANSSI a 500 salariés, la CNIL n'en a que 200 ; elles interviennent par moments sur des sujets communs. Mais qu'en sera-t-il à l'avenir ? Ce point n'est pas traité.

On ne se sait pas grand-chose non plus des exigences opérationnelles formulées auprès des opérateurs, alors qu'elles sont d'une importance vitale, et entre les opérateurs à contrôler.

Sur la procédure, je formulerai seulement un regret, celui de voir ce texte, très complexe et très technique, et qui n'aborde pas tous les éléments présents dans la directive, examiné en procédure accélérée. C'est dommage. Car nous pourrions aller plus loin sur les différents sujets soulevés, comme la lutte contre le trafic ou la définition des opérateurs.

Au Sénat, peu d'amendements ont été adoptés, hormis ceux du rapporteur. Il a posé, entre autres, la question de la constitutionnalité du régime des sanctions contre les opérateurs et entreprises concernés.

Pour toutes ces raisons, le groupe Nouvelle Gauche s'abstiendra. Mais nous comptons vraiment sur ce débat et sur vos réponses, monsieur le rapporteur, pour améliorer ce texte.

Je vais essayer de ne pas redire ce que tous les précédents collègues ont déjà dit, afin d'être efficace et d'aller à l'essentiel.

Je partage bon nombre des propos qui ont été tenus, mais, à nos yeux, ce projet de loi qui vise à transposer les règles européennes en matière de cybersécurité et d'armes arrive un peu sur le tard – peut-être est-ce pour cela d'ailleurs qu'il fait l'objet d'une procédure accélérée ?

J'ai entendu tout à l'heure que la France était plutôt à l'origine de cette directive européenne. C'est bien dommage que l'on attende le terme du délai pour la transposer, surtout en matière de cybersécurité et d'infrastructures critiques. À un moment donné, il se pose un problème de cohérence : on ne peut pas vendre le numérique à tous les coins de rue et attendre la dernière minute pour transposer les règles s'appliquant à la cybersécurité… Car nous avons attendu l'échéance du 9 mai 2018, autrement dit la date limite pour la transposition des mesures contenues dans la directive.

Pour nous, ce texte omet de traiter la question de la préservation de la souveraineté des données européennes et françaises. Pour notre groupe, les problèmes de cybersécurité des infrastructures vitales et critiques doivent s'accompagner également d'une réflexion matérielle et géographique, eu égard au caractère essentiellement filaire de l'internet européen et mondial.

Cette réponse à la question de la cybersécurité des infrastructures françaises doit passer par une approche spatialisante des infrastructures de télécom, afin que les points de fuite, via le tapping, soient repérés. Ainsi, certains types de données stratégiques seraient préservés de ces chemins vulnérables. Qui plus est, la multiplication des chemins de transit serait encouragée, plutôt que de laisser se former des goulets d'étranglement.

En effet, alors même que les États prétendent réduire et mieux encadrer la cybersurveillance de masse, celle-ci est toujours physiquement possible dans les infrastructures centralisées du système. Ces points de fuite propices à l'espionnage de données restent des problématiques majeures, comme en témoignent les documents révélés dans le cadre de l'affaire Snowden.

Enfin, le groupe La France insoumise regrette que le champ d'application de cette directive soit finalement réduit. Il faut au contraire élargir le champ de la loi pour que soient pris en compte tous les services essentiels. Même s'il faut contraindre tous les grands opérateurs, comme les sociétés d'autoroute, par exemple, il faut aussi s'assurer qu'un hôpital local soit concerné par la protection des données et qu'il se conforme aux règles de sécurité vis-à-vis des cyberattaques. Mais ce dernier doit alors bénéficier d'une compensation financière sous la forme d'une aide de l'État.

On imagine mal qu'on puisse avoir, dans un certain nombre de services publics essentiels, ces cyberattaques et le vol d'un certain nombre de données sensibles. Aussi notre groupe parlementaire vous proposera-t-il un certain nombre d'amendements pour aller plus loin dans ce texte de transposition. Mais, globalement, nous en partageons l'objectif.

Le texte qui nous est proposé est d'une importance insoupçonnée par beaucoup. Au-delà des articles sur les armes à feu, il contient des dispositions qui concernent les mesures permettant d'assurer un niveau élevé et commun de sécurité des réseaux et des systèmes d'information dans l'Union.

Je développerai deux points principaux.

Premièrement, la cybersécurité. Une partie du destin de la France et de l'Europe se joue dans l'espace numérique. C'est le cas pour notre économie et pour notre industrie, mais aussi pour notre sécurité collective. D'une manière générale, il s'agit d'un enjeu essentiel de souveraineté pour l'Europe.

Le second point se résume en un mot : « commun ». Je vous renvoie aux propos qu'a tenus le Président de la République dans son discours de la Sorbonne : « Ce qui manque le plus à l'Europe aujourd'hui, c'est une culture stratégique commune. » Les menaces désormais réelles de cybercriminalité ou de cyberattaques nécessitent une protection forte et un niveau de sécurité élevé. Pris séparément, les pays de l'Union peuvent adopter des réglementations divergentes qui pourraient laisser des failles ; l'Europe doit jouer son rôle fédérateur en ce domaine afin que la réglementation soit commune. D'où la nécessité d'un front commun sur ce sujet.

L'intérêt et l'importance de ce texte sont donc évidents : nous devons transposer le plus fidèlement possible la directive 20161148 du 6 juillet 2016, dite directive NIS, en adaptant notre droit interne sans surtransposer – et avant le 9 mai 2018. C'est effectivement un peu tard, mais c'est ainsi.

Le Sénat a réalisé, en procédure accélérée, un travail important et de grande qualité que je veux saluer. Le groupe MODEM et apparentés votera donc favorablement le texte présenté ; je me limiterai à trois remarques.

À l'article 6, je m'interroge sur l'opportunité de l'amendement du rapporteur. Pour l'heure, nous persistons à penser – à moins qu'il ne nous convainque du contraire – qu'il contraint plus qu'il n'autorise le décret à s'adapter aux nécessités réelles. Auquel cas il s'agirait d'une surtransposition, ce qui nous pose problème.

S'agissant de l'article 11, la rédaction adoptée par le Sénat, qui oblige tout fournisseur de service numérique offrant ses services sur le territoire national et qui n'a désigné aucun représentant dans un autre État membre de l'Union européenne à désigner un représentant établi sur le territoire national auprès de l'autorité nationale de sécurité, nous semble de bons sens. Nous sommes très attachés à son maintien.

Plus anecdotiquement enfin, sur la détention d'armes à feu, nous souhaitons que les collectionneurs d'armes anciennes et historiques puissent continuer à s'adonner à leur passion. La rédaction adoptée par le Sénat nous laisse un peu dans l'expectative. Cela étant, les propositions d'amendements que les associations appellent de leurs voeux vont à l'encontre de la directive, ce que nous ne souhaitons pas. Une de ces revendications a été reprise dans un amendement déposé par le groupe Les Républicains ; nous souhaiterions avoir un éclairage sur ce point, afin de pouvoir rassurer tous ceux qui peuvent nous écouter.

À ces quelques points près, nous sommes en phase avec le texte et les amendements du rapporteur. Le groupe MODEM le soutiendra.

Quelques remarques pour répondre aux principales préoccupations de nos collègues, que je comprends bien.

En ce qui concerne les collectionneurs, je rappelle que la détention des armes historiques reste inchangée : elle demeure libre. Seules passent en catégorie C les armes reproduites selon des techniques modernes pouvant en améliorer la précision et la durabilité. Quant aux armes de catégories A et B, il faut rappeler qu'elles étaient d'ores et déjà interdites aux collectionneurs : la transposition de la directive ne saurait en aucun cas ouvrir des facilités qui n'existaient pas jusqu'alors.

J'en viens à la question du caractère suffisamment strict ou non des articles 11 à 13 : j'ai pour ma part le sentiment qu'ils sont relativement « serrés ». À la demande de l'ANSSI, du Sénat et d'un certain nombre de personnes auditionnées, la précaution a été prise de mentionner les mesures devant intervenir dans chaque domaine – j'y reviendrai dans un instant.

Pour ce qui est de « l'incident significatif », permettez-moi de vous renvoyer au texte et au 1) de l'article 6 de la directive « NIS ». Est notamment considéré comme tel un incident touchant un nombre important d'utilisateurs, qui a des conséquences sur le fonctionnement de la société, les fonctions économiques ou la sûreté publique, qui concerne un opérateur ayant des parts de marché conséquentes ou une portée géographique significative. Tous les critères sont mentionnés dans la directive et ne me paraissent pas faire l'objet de difficultés particulières.

Je comprends et partage les préoccupations relatives aux trafics d'armes, mais nous sommes là en dehors de la directive à transposer.

Il est vrai que l'on peut sans doute regretter le recours à la procédure accélérée, mais je suppose qu'elle est liée à l'étroitesse de notre marge de manoeuvre : nous ne pouvons ni surtransposer ni sous-transposer et, en tout état de cause, nous devons agir dans les délais impartis.

J'en viens à la remarque, fondée, du groupe MODEM sur l'article 6. Il s'agit d'un amendement de cohérence avec ce que le Sénat a souhaité pour l'article 12. L'article 6 vise à pallier un risque d'inconstitutionnalité très légitimement soulevé au Sénat. À la suite des questionnements qui ont vu le jour en amont, et comme le Sénat l'a fait à l'article 12, je vous propose de préciser les mesures appropriées, afin de respecter le principe de légalité des délits et des peines.

Je comprends très bien les interrogations de notre collègue du groupe La France insoumise sur la protection des données personnelles. C'est essentiel dans la société dans laquelle nous vivons. Une fois encore, néanmoins, nous sommes là hors du champ de la directive, qui nous demande de transposer un nombre très réduit d'éléments.

Pour ce qui est des hôpitaux, je peux vous rassurer, ils sont mentionnés par l'annexe II de la directive au titre des opérateurs de services essentiels.

La question des acteurs d'une taille un peu moins significative est également légitime, mais il faut considérer le dispositif dans sa dynamique : dans un premier temps, un dispositif pour préserver les opérateurs d'importance vitale a été créé à l'initiative de la France, comme le corapporteur d'application l'a rappelé à juste titre ; nous sommes maintenant en train de le transposer aux opérateurs de services essentiels. Il est probable que ceux de dimension plus réduite seront ensuite appelés, dans un troisième temps, à adopter eux aussi des mesures.

Il faut prendre ce texte pour ce qu'il est : une législation pionnière, qui fait oeuvre pédagogique. On peut s'émouvoir de la faiblesse des sanctions prévues, mais l'idée est de sensibiliser un certain nombre d'opérateurs à la nécessité impérieuse de se doter d'équipements de protection pour faire face aux risques de cybercriminalité.

Nous en venons à l'examen des articles du projet de loi.

Je saisis l'occasion offerte par l'examen de l'article 1er, que nous allons voter, pour revenir sur les notions de surtransposition et de sous-transposition. Je comprends bien que la sous-transposition ne soit pas possible, vu l'état actuel de notre Constitution et la hiérarchie des normes, mais je m'étonne que l'on puisse s'indigner d'une surtransposition. D'ailleurs, cela n'existe pas : il y a les textes européens, mais aussi une Assemblée nationale souveraine, qui peut voter ce qu'elle souhaite dans n'importe quel texte. Je tenais à cette mise au point. Sinon, autant dire que tous les amendements qui ont été déposés doivent être rejetés : vous nous fournirez alors un texte, on se verra cinq minutes, on votera et on repartira vers d'autres occupations… Il faut quand même garder une place pour un débat souverain dans notre pays. Avec mon groupe, je m'inscris en faux contre l'argument de la surtransposition.

Je voudrais rassurer M. Bernalicis sur notre intention d'avoir des échanges nourris et de traiter avec la plus grande considération les amendements déposés par le groupe La France insoumise.

Cet amendement, que j'ai déjà un peu dévoilé tout à l'heure, vise à renforcer la lutte contre les cyberattaques en protégeant spécifiquement un certain nombre de services à nos yeux fondamentaux – et je suis sûr que vous partagerez ce constat.

Imaginez, au cours d'une opération à coeur ouvert, que les ordinateurs ne fonctionnent plus et provoquent un dysfonctionnement d'un appareil permettant de maintenir le rythme cardiaque. Ce serait pour le moins regrettable…

Imaginez qu'une agence de Pôle emploi soit piratée et que l'intégralité de sa base de données soit effacée ou, plus insidieusement, partiellement modifiée, ce qui ne permettrait plus aux ayants droit de bénéficier de leur dû.

Imaginez enfin que nos logiciels Eliasse ou Eloi soient piratés et que tous les amendements déposés par le groupe La France insoumise passent sous la signature de députés de La République en Marche et que vous les votiez par inadvertance !

Plus sérieusement, nous considérons qu'il faut davantage protéger un certain nombre de services essentiels dans les domaines social, éducatif, économique, environnemental, sanitaire, médico-sociaux et culturels. Il nous semble donc nécessaire d'aller au-delà du projet de loi : l'amendement propose d'inclure explicitement ces domaines fondamentaux pour le bien-être collectif, dans le strict respect de la répartition des compétences entre l'exécutif et le législatif.

On a le poil qui se hérisse d'effroi avec certains de vos exemples. (Sourires.)

Je reviens sur une réponse que je vous ai déjà faite, et qui montre que nous traitons vos amendements avec la plus grande considération : les hôpitaux entrent d'ores et déjà dans le cadre prévu par la directive. Dans son annexe II, tous les secteurs concernés sont mentionnés, l'énergie, les transports, les banques, les infrastructures de marchés financiers, le secteur de la santé, avec les hôpitaux et les cliniques, mais aussi l'eau potable et les infrastructures numériques. Par ailleurs, le Gouvernement s'est engagé à élargir ultérieurement le champ d'application du texte. Par conséquent, j'émets un avis défavorable.

Notre liste a le mérite de l'exhaustivité et de figurer non pas dans une annexe, mais directement dans le projet de loi. Elle nous semble plus précise et plus englobante. Si les hôpitaux sont mentionnés par la directive, très bien, mais je ne crois pas que Pôle emploi entre dans un des domaines que vous avez cités, à moins de leur donner des définitions extrêmement larges et de considérer que tout est dans l'annexe – mais je ne crois pas que ce soit le cas. Par conséquent, je maintiens mon amendement, en espérant un vote favorable.

L'amendement demande la production d'un rapport évaluant les coûts supplémentaires pour les opérateurs privés à but non lucratif, en particulier les organisations non gouvernementales (ONG) considérées comme des opérateurs au sens de l'article 5. Il s'agit de combler une lacune de l'étude d'impact, qui n'évalue pas précisément le coût pour les acteurs entrant dans le champ établi par le Premier ministre, quel que soit leur statut.

Ce faisant, nous relayons les inquiétudes légitimes d'ONG qui pourraient être qualifiées d'opérateurs de services essentiels, comme les Restaurants du Coeur, dans la mesure où ils fournissent des repas à beaucoup d'hommes et de femmes démunis, ou des associations auxquelles est confiée la gestion du service public de l'accueil des demandeurs et demandeuses d'asile. Ces exemples nous obligent à nous interroger sur l'impact budgétaire de ce texte, alors que l'équilibre financier de telles structures est déjà très fragile. Notre amendement permettra de répondre à des questions sensibles.

Avis défavorable. Le coût sera précisé dans la fiche d'impact qui accompagnera les textes réglementaires d'application, mais il existe déjà des fourchettes permettant de savoir où l'on va : pour les opérateurs d'importance vitale, les montants sont compris entre un et deux millions d'euros jusqu'à présent. On sera donc en deçà, puisque le degré d'exigence sera moindre. Il faut aussi prendre en compte la logique globale : il s'agit de se préserver des coûts colossaux qui peuvent être causés par la cybercriminalité – 250 millions d'euros pour Saint-Gobain, par exemple. La culture est en train de changer chez les opérateurs : ils s'aperçoivent que les coûts sont dérisoires par rapport à ceux des attaques.

Nous sommes d'accord, mais l'amendement CL19 concerne des ONG. Dans la perspective d'une compensation financière pour ces acteurs, via une aide de l'État, il faudrait que le Parlement sache précisément où l'on en est. Ces structures n'ont souvent pas les moyens financiers de se protéger. C'est tout l'intérêt de ce rapport.

L'amendement CL18 tend à instaurer une obligation d'informer le Parlement en cas d'incidents affectant les réseaux et les systèmes d'information nécessaires à la fourniture des services essentiels et ayant un impact significatif sur la continuité de ces derniers. Pour notre groupe, il est fondamental que le Parlement puisse être informé de l'état de la menace « cyber » en France, dans un cadre respectueux de l'équilibre des pouvoirs. Nous proposons une obligation d'information, avec l'encadrement de l'ANSSI pour assurer la confidentialité des données, afin de permettre aux commissions parlementaires compétentes d'être réactives face aux différents types de menaces et à leur évolution, en lien avec le Gouvernement.

Je vous rejoins pour ce qui concerne l'information des parlementaires : nous sommes également sensibles au fait qu'une démocratie vivante suppose un Parlement actif, tenu au courant des difficultés qu'un certain nombre de secteurs peuvent rencontrer. En revanche, une information systématique, à chaque attaque de cybercriminalité, me paraît complètement disproportionnée, d'autant que nous avons la faculté d'auditionner l'ANSSI autant que de besoin. En cas de récurrence évidente d'incidents, nous ne manquerions pas de le faire, madame la présidente.

Nous n'avions pas la prétention de demander que 100 % des cyberattaques nous soient signalées : nous visons les cyberattaques affectant un service essentiel et ayant un impact significatif sur sa continuité. Ces éléments seraient probablement de notoriété publique, mais il ne vous a pas échappé qu'une attaque sur les données d'un « transporteur » ayant recours à des véhicules de tourisme, si je puis dire, car je ne voudrais pas citer de nom, a mis du temps à être connue du grand public, ce qui peut poser un problème. Les données personnelles ne sont pas une marchandise comme les autres. Il nous semble important que le Parlement soit informé des faits les plus significatifs. On peut auditionner l'ANSSI, et c'est tant mieux, mais ce que nous vous proposons est un peu différent.

Mon amendement CL25 est rédactionnel.

Afin d'assurer la sécurité des réseaux et des systèmes d'information, l'amendement CL15 vise à augmenter le montant de l'amende susceptible d'être prononcée. Il s'agit de la rendre plus efficace et réellement dissuasive. Compte tenu de leur poids économique, des opérateurs numériques tels que Google, Apple, Facebook ou Amazon, les GAFA, peuvent facilement « absorber » des montants aussi dérisoires que ceux proposés dans le texte. La législation risquerait donc d'être inutile à leur égard, tandis qu'elle pèserait plus lourdement sur les petites et moyennes entreprises.

Quant à l'amendement CL17, il vise à élargir le champ des personnes morales susceptibles d'être frappées d'une amende.

On peut comprendre les préoccupations liées à la faiblesse des amendes, mais ce sujet doit être abordé sous un double prisme. Ce texte, pionnier, a d'abord une vocation pédagogique : il incite les entreprises à adopter un seuil minimal de protection. Ensuite, nous sommes dans la transposition d'une directive et il existe déjà des sanctions pénales qui peuvent s'appliquer aux opérateurs d'importance vitale : celles pour les opérateurs de services essentiels ont été fixées en conséquence, car on ne peut pas imaginer une disproportion par rapport à l'étage supérieur. Avis défavorable.

Nous proposons de porter les sanctions jusqu'à 4 % du chiffre d'affaires, mais cela ne veut pas dire qu'elles atteindront systématiquement un tel niveau. Il faut pouvoir proportionner la réponse. On peut entendre l'argument touchant à la pédagogie quand il s'agit des petites entreprises, mais je pense que les grands groupes sont à peu près au courant de la cybercriminalité, puisqu'ils subissent régulièrement des cyberattaques. Je le répète : les données personnelles ne sont pas des données comme les autres. Elles font partie de notre identité individuelle. Nous sommes tous sur les réseaux sociaux, nous avons tous un smartphone et des comptes chez Google ou d'autres. Ce n'est donc pas une mince affaire. Il est déterminant de s'assurer que la sanction sera conséquente en cas de manquement, notamment vis-à-vis des GAFA.

Nous proposons de déterminer par arrêté ministériel les secteurs de service numérique pouvant être exclus du champ d'application du présent article, indépendamment de la taille des entreprises. Exempter automatiquement toutes celles de moins de cinquante salariés et réalisant un chiffre d'affaires de moins de 10 millions d'euros de l'obligation de désigner un représentant ou une représentante auprès de l'ANSSI paraît totalement inadapté à la réalité du numérique et aux enjeux de la cybersécurité. Les critères choisis ne nous semblent pas pertinents en matière de risques et de sécurité. Notre amendement vise à ce que l'on identifie plutôt des domaines non vulnérables, non sensibles ou non stratégiques qui seraient exclus du champ d'application. Il ne faut pas penser les enjeux du numérique en reprenant de vieilles grilles de lecture, inopérantes et de facto inefficaces.

Je suis sensible à cette argumentation. Ce que vous proposez viendra probablement dans un avenir relativement proche ; mais pour l'heure, il s'agit de transposer une directive dont l'article 16 prévoit notamment que les entreprises de moins de cinquante salariés et réalisant moins de 10 millions d'euros de chiffre d'affaires ne sont pas concernées… Par conséquent, avis défavorable.

Permettez-moi de faire une observation générale. L'article 11 conditionne la possibilité d'engager des poursuites pénales contre les personnes morales. Ce n'est pas seulement une question technique, comme le montre le cas de Ryanair, dont il a beaucoup été question. Il est très difficile de poursuivre cette société en France, car elle n'y a pas de représentant légal. J'ai lu avec attention les commentaires du rapporteur du Sénat, dont chacun sait à quel point les travaux sont précis, rigoureux, et combien ils nous apportent, mais j'ai le sentiment que la difficulté n'est pas réglée. Je le dis avec humilité, car je n'ai pas pu creuser suffisamment le sujet. J'ai cependant noté qu'un fournisseur de services, notamment américain, qui n'a pas déclaré de représentant dans notre pays et qui n'a pas de filiale dans un État européen pourra assez facilement échapper à d'éventuelles poursuites. Je pose la question, car je n'ai pas de réponse. Des obligations non sanctionnées n'ayant pas beaucoup de portée, le rapporteur peut-il nous éclairer sur ce point ? Je crains qu'il n'y ait une difficulté pour certains fournisseurs de services.

Vous soulevez une question essentielle, qui a fait l'objet de discussions approfondies en amont, lors du débat au Sénat, avec les ministères, mais aussi avec la Commission européenne. Dans l'immédiat, je souscris à la proposition retenue par le Sénat : tout fournisseur doit procéder à la désignation d'un représentant établi sur le territoire national auprès de l'ANSSI. On remédie ainsi à l'insécurité qui pouvait résulter de la rédaction initiale. Le Gouvernement a été sensible à la question et a souscrit, pour le moment, à cette proposition.

Je voudrais réagir, monsieur de rapporteur, à ce que vous m'avez dit à propos des seuils. Ce n'est pas parce que la directive prévoit qu'elle ne s'applique pas aux entreprises de moins de cinquante salariés et réalisant moins de 10 millions d'euros de chiffre d'affaires que l'on ne peut rien décider en ce qui les concerne. Ce n'est pas contradictoire. La directive ne dit pas que nous n'avons pas le droit d'appliquer des normes à ces entreprises. Je ne comprends donc pas bien l'argument. Vous pouvez nous dire que vous êtes contre la surtransposition, mais c'est une autre affaire.

Par ailleurs, nous souhaitons que les poursuites ne visent pas seulement les dirigeants, mais aussi les entreprises. C'est le sens d'un prochain amendement.

Cet amendement, comme le CL13 à l'article suivant, s'inscrit dans la même logique que les précédents. Ainsi que l'a indiqué mon collègue Ugo Bernalicis, il s'agit d'élargir le cadre des amendes infligées en cas de manquement.

Même avis défavorable.

Cet amendement concerne les chasseurs et les chasseuses de failles qui contribuent quotidiennement à renforcer la cybersécurité, à la différence des sociétés en conseil informatique, celles-ci intervenant de manière conjoncturelle quand un risque est pressenti. On ira dans le sens d'une meilleure sécurité en offrant une prime, une sorte de bug bounty, à celles et ceux qui détectent des dysfonctionnements dans les systèmes informatiques, au-delà même de certains opérateurs qui relèvent du code de la défense et sont dans l'immédiat visés par l'amendement.

C'est une façon innovante d'encourager et de mettre à contribution les nombreux et nombreuses bénévoles qui pourraient contribuer, chaque jour, à rendre notre système plus fort. Ces acteurs ont des formations différentes et connaissent d'autres techniques, parfois moins académiques et plus créatives – je sais à quel point la majorité adore libérer les énergies et la créativité. (Sourires.) Nous serons ainsi plus réactifs et réactives sur le terrain.

Avec cet amendement, les chasseurs et les chasseuses de failles pourront bénéficier d'un statut juridique qui les protégera et les encouragera à participer à la construction de dispositifs informatiques plus robustes, alors qu'ils et elles naviguent pour l'instant entre la légalité et l'illégalité. Leurs compétences seront utilisées non pour déconstruire, mais pour consolider les dispositifs actuels.

Avis défavorable. Une fois encore, cet argument très intéressant mériterait probablement d'être étudié, mais dans un autre contexte. Je rappelle qu'en vertu d'une décision du Conseil constitutionnel datant de 2015, les amendements déposés sur un projet de loi visant à transposer une directive européenne doivent, pour présenter un lien direct avec le texte, concerner la transposition de directives communautaires en lien avec la matière. Or ce n'est pas le cas avec vos amendements. En sortant du cadre strict de la transposition, nous excédons nos compétences. C'est donc partie remise même s'il était utile que le débat puisse avoir lieu.

Je ne comprends plus. L'idée est qu'il pourrait exister des hackers bienveillants, les chasseurs de failles. Comme tous les autres hackers, ils se livrent à des attaques, mais dans le but de détecter, au bout du compte, et de combler les brèches. Vous ne pouvez pas soutenir qu'il n'y a pas de lien avec la cybersécurité – le lien est même très direct. Il s'agit de trouver les failles, avec ceux qui savent le faire, en recourant à des techniques parfois similaires à celles des pirates. Notre amendement instaure une sorte de prime afin de créer un système participatif, communautaire ou contributif – peu importe le terme – en matière de cybersécurité. Vous ne pouvez donc pas nous dire que cela n'entre pas dans le cadre du sujet. Sinon, il y aurait beaucoup de hors sujet…

Nous allons peut-être en rajouter une petite couche : nous allons clairement dans le sens du texte – il n'est pas question ici, pour le coup, d'opposition idéologique à ce que vous proposez au prétexte qu'il s'agirait d'une régression, d'une atteinte à l'intérêt général, etc. Il s'agit vraiment d'essayer d'avancer ensemble dans un domaine que la majorité elle-même, elle l'a assez dit sur tous les tons et sur tous les plateaux de télévision, considère comme important. Nous pourrions nous montrer inventifs et faire ce que font d'autres États. On sait qu'en matière de cybersécurité, ce sont souvent les initiatives individuelles qui permettent d'avancer et qui sont ensuite utilisées pour servir le bien commun.

L'amendement CL10, dans la suite logique du précédent qui visait à définir un statut et à faire en sorte que les chasseurs et les chasseuses de failles participent à la cybersécurité collective, pose le problème des primes de dysfonctionnement, appelées bug bounty, et de la prise au sérieux du travail réalisé. Nous insistons donc sur la nécessité de prendre en compte ce débat qui est complètement dans le sujet – et je dirai même : qu'est-ce qui pourrait être plus dans le sujet ?

Ma réponse repose sur les mêmes arguments que précédemment. Sur le fond, nous sommes d'accord : il faut réfléchir à un statut pour les chasseurs de failles ; mais nous avons un problème de forme. Le Conseil constitutionnel, dans son communiqué de presse au sujet de sa décision n° 2015-719 DC du 13 août 2015, précise que, « s'agissant d'une loi ayant pour objet de transposer des directives communautaires en matière pénale, des dispositions ayant pour objet de transposer des directives européennes relatives à la matière pénale autres que celles figurant dans le projet de loi initial présentent un lien direct avec le texte déposé. En revanche, des dispositions pénales n'ayant pas pour objet de transposer une directive européenne ne présentent pas un tel lien ». Votre amendement est donc hors sujet.

Le rapporteur vient de l'expliquer très clairement : c'est juste une question de forme juridique, ce qui ne signifie pas que les questions que vous soulevez ne soient pas intéressantes – elles sont même pour moi primordiales. En effet, ceux qui chassent les failles sont aujourd'hui parfois attaqués voire condamnés pour des actes qui, s'ils ne relèvent tout de même pas du salut public – il ne faut pas exagérer –, n'en participent pas moins à notre sécurité. Il faudra donc trouver, à un moment ou à un autre, une manière d'intégrer ces questions dans un texte qui ne soit pas une transposition de normes de l'Union européenne mais bien le fruit de nos propres travaux.

Regretter l'absence de liberté du législateur est une chose, mais vous ne pouvez pas tirer prétexte de la transposition de directives de l'Union européenne pour nous expliquer à quel point vous rejetez l'idée même de la construction européenne, tout en voulant faire de chaque texte émanant de l'Union une tribune pour avancer vos propositions.

La décision du Conseil constitutionnel protège le législateur national. Quand on transpose un texte émanant de l'Union européenne, c'est ce texte-là qu'on transpose ; si l'on décide d'aller au-delà de ce qui est expressément prévu, alors c'est un texte de droit national et non plus un texte transposé du droit européen. Il faut bien comprendre cette logique de protection constitutionnelle, vis-à-vis de ce que d'autres ont appelé la surtransposition des directives européennes.

Sur le fond, votre amendement est intéressant même si, à mon avis, vous allez parfois un peu trop loin. La question est ici celle de la citoyenneté numérique ; dès lors, avant d'agiter la revendication d'un statut ou d'un droit, il faut s'interroger sur les notions d'engagement et de devoir.

Vous comprendrez mieux bientôt, cher collègue, quelles sont nos positions sur l'Union européenne, et elles ne sont pas aussi caricaturales que vous le croyez. Nous essayons pour notre part de construire autre chose. Et vous noterez que depuis le début de la discussion, nous votons les articles parce que nous pensons que ce texte comporte des éléments positifs. Ensuite, mais vous ne l'avez peut-être pas lu, l'amendement demande un rapport. Dernier point, ce que nous proposons ne relève pas du droit pénal : nous demandons un statut. Encore une fois, il ne s'agit pas d'une question idéologique. Argumentez sur ce que nous proposons !

Nous souhaitons que le Parlement soit informé des points faibles des réseaux matériels français et européens concernant le risque d'espionnage et de fuite de données. La représentation nationale et les citoyens doivent pouvoir apprécier les efforts faits par les services de l'État en matière de préservation matérielle et physique de la souveraineté des données. L'espionnage est une réalité : le lanceur d'alerte Edward Snowden en a fait la démonstration en révélant l'existence de différents programmes d'espionnage de masse exécutés sur de grands câbles internet sous-marin mondiaux transitant notamment par le Royaume-Uni. Il faudrait adopter une approche multiscalaire de la cybersécurité, à savoir à la fois nationale et européenne, afin que nous puissions vraiment protéger nos données.

On nous reproche de nous servir de l'examen de ce texte comme d'une tribune. Ce n'est pas le cas – à moins de considérer que nos amendements relèvent de la fonction tribunitienne et ainsi servent l'intérêt général… Nous n'avons rien contre les directives européennes en soi – du reste, nous avons voté tous les articles depuis le début de la discussion. Il n'y a donc aucune incohérence de notre part. Et lorsque nous proposerons une autre Europe, nous aurons prévu les règles de cybersécurité, ne vous inquiétez pas !

Cet amendement propose de revenir à la rédaction initiale du texte. La notion de dangerosité avérée, que les sénateurs ont introduite pour répondre aux craintes de certains collectionneurs, est connue en droit mais nous paraît aller à l'encontre des préconisations de la directive qui, pour sa part, fait référence à des armes reconstituées pour lesquelles on a eu recours « aux techniques modernes susceptibles d'améliorer leur durabilité et leur précision ». Cette formulation me paraît meilleure. Les collectionneurs ne doivent pas nourrir d'inquiétude particulière puisque le Gouvernement a déjà envoyé des signes forts destinés à les rassurer.

L'amendement CL1 vise à clarifier la situation des collectionneurs en insérant, à l'alinéa 3, les mots : « ou de collection », après le mot « sportives ». On répondrait ainsi à l'inquiétude des collectionneurs et aux arguments du rapporteur, d'autant que l'amendement est conforme tout à la fois à la directive européenne et à l'avis du Conseil d'État. L'ajout proposé paraît donc raisonnable.

Cela ne coûterait pas grand-chose d'ajouter les mots « ou de collection », comme vient de l'indiquer notre collègue. Même si l'on prend en compte ce que nous a dit le rapporteur, les reconstitutions ne sont pas seules concernées : il y a également les commémorations et bien d'autres manifestations. Nous défendrons par ailleurs un amendement sur le transport puisque le rapporteur n'a pas répondu aux attentes de Jean-Luc Warsmann sur ce sujet très important.

La question n'est pas celle, ici, de la reconstitution ou du transport des armes, mais celle du surclassement d'armes de catégorie B en catégorie A qui, de toute façon, dans l'état antérieur aux dispositions envisagées, étaient inaccessibles aux collectionneurs. En outre, dans la mesure où il s'agit de durcir la législation et non de l'assouplir, il y a aucune raison d'ouvrir aux collectionneurs la possibilité d'acquérir des armes qu'ils ne pouvaient acquérir jusqu'à présent. Avis défavorable.

Je souhaite que le rapporteur, à la suite de ses échanges avec le Gouvernement, précise l'état des réflexions de ce dernier sur la création, ou non, d'une carte des collectionneurs. Au début de l'année 2012, nous avons fait adopter la loi du 6 mars 2012 renvoyant à un décret pour créer une carte des collectionneurs, par analogie avec ce qui existe pour les tireurs sportifs notamment. Je comprends que, pendant le mandat du président François Hollande, ce décret n'ait pas été pris ; je comprends aussi que la question reste pendante dans les milieux concernés. Je pensais avoir déposé un amendement d'appel en ce sens mais je ne le vois pas dans la liasse électronique ; peut-être est-ce dû à une mauvaise manipulation informatique de ma part. Bref, où en est-on de la possibilité, d'ores et déjà prévue par la loi, de création d'une carte de collectionneurs ?

Vous apportez vous-même la réponse à votre question, cher collègue : le décret n'a pas été pris. Quant à l'amendement auquel vous faites référence, je n'en ai pas eu connaissance. Mais nous sommes ici en dehors du cadre de la transposition de la directive.

Précisément, monsieur le rapporteur, nous ne sommes pas là pour retranscrire servilement une directive – d'ailleurs je rappelle qu'une directive n'est pas un règlement –, et qu'on peut donc tout naturellement s'interroger sur les modalités de sa transposition.

Ensuite, pour nous autres législateurs, votre réponse n'est pas satisfaisante. Le décret n'a pas été pris par le Gouvernement. D'où ma question : en tant que rapporteur de la commission des Lois, l'appelez-vous à prendre ce décret ou, au contraire, pensez-vous que la carte de collectionneurs ne doit pas être créée ? Auquel cas il vous appartiendrait de présenter un amendement visant à supprimer, dans la loi du 6 mars 2012, la disposition correspondante… Bref, nous sommes bel et bien au coeur du sujet et même de l'amendement que vous venez de faire adopter relatif aux collectionneurs.

Nous demanderons en séance publique au Gouvernement de respecter les prescriptions édictées par la loi.

Je retiens donc que la Commission, même si nous ne votons pas sur ce point, est favorable à la création d'une carte de collectionneurs et qu'elle appelle le ministre de l'intérieur à prendre ce décret, madame la présidente.

Le rapporteur vient d'indiquer ce qu'il vient d'indiquer… La Commission en tant que telle ne s'est pas prononcée sur cette question parce qu'elle n'a pas à le faire.

Nous pouvons féliciter M. Guillaume Larrivé d'être parvenu à poser une question sur un amendement qu'il n'a pas déposé… Notre collègue aura tout loisir d'interroger le Gouvernement sur la création éventuelle de cette carte mais il ne nous appartient pas, en tant que commissaires, de répondre en lieu et place du ministre.

La France a signé, dans le cadre de l'Organisation des Nations unies (ONU), un protocole contre la fabrication et le trafic illicites d'armes à feu, que nous ne pouvons pas ratifier parce que notre législation ne comporte pas de référence à la tentative de se procurer illégalement des armes. Si nous introduisons cette infraction dans notre droit national, nous pourrons ratifier ce protocole et respecter nos engagements internationaux.

M. Guillaume Larrivé a très bien expliqué, à propos de la création d'une carte des collectionneurs, qu'une loi a été promulguée le 6 mars 2012. Ce sera donc très bien de le rappeler en séance : à quoi bon voter des lois si les décrets d'application ne sont jamais publiés ? C'est peut-être d'ailleurs la plus belle réforme à mener : faire en sorte que les décrets d'application soient pris rapidement après la promulgation d'une loi.

De nombreuses propositions ont été faites en ce sens dans la perspective de la prochaine réforme constitutionnelle.

L'amendement CL2 est défendu.

Nos collègues ne devraient pas rester insensibles à ces amendements : le retrait des armes de chasse de la catégorie D pour ne laisser au sein de cette dernière que les armes de collection est une belle opportunité. La mémoire est un devoir et de nombreux collectionneurs et restaurateurs bénévoles donnent un certain relief à nos commémorations. Il faut respecter leur travail, et leur crainte de voir les conditions de détention de ces armes et de ces véhicules devenir beaucoup plus contraignantes paraît légitime.

Mme Jacqueline Gourault, ministre auprès du ministre de l'Intérieur, avait assuré que la détention d'armes de reproduction qui ne seraient pas plus efficaces ni plus dangereuses que les armes réelles, ne serait pas plus contraignante qu'auparavant. Or le texte ne le garantit pas vraiment, hélas ! C'est pourquoi j'apporte un fervent soutien à ces deux amendements, tout comme j'étais favorable aux précédents, malheureusement rejetés. Rassurer les collectionneurs sur leur marge de manoeuvre dans les années à venir serait une très bonne chose.

L'amendement CL5 est défendu.

Ces deux amendements identiques concernent le transport légitime des matériels et armes historiques. C'est bien de donner le droit aux collectionneurs de participer aux commémorations avec leurs armes, mais s'ils ne peuvent pas les transporter, ce sera compliqué… Nous proposons une disposition grâce à laquelle ils ne seront pas dans l'illégalité entre le moment où ils partent de chez eux et celui où ils arrivent sur le lieu de la commémoration.

Par principe, le transport des armes en France est interdit. Je reviens sur les précisions que j'ai apportées tout à l'heure sur le code de la sécurité intérieure, qui permet aux titulaires d'un permis de chasse, tout comme aux sportifs, de transporter leurs armes. J'ai de même, à l'instant, rappelé que la participation aux reconstitutions historiques est un motif légitime d'autorisation du port et du transport d'armes. Il n'y a donc pas lieu de s'inquiéter outre mesure en la matière.

Je reviens sur un propos tenu au cours de la discussion générale et que j'approuve totalement : l'exposé sommaire de l'amendement CL5 contient des mots qui ne sont pas acceptables, en particulier quand il est question de « l'abus d'autorité de la part de nombreux services des douanes, de la police ou de la gendarmerie ». C'est assez violent. Je préfère l'exposé sommaire de l'amendement CL22 qui ne reprend pas cette expression d'« abus d'autorité ».

Le présent amendement a trait à l'indépendance du système GALILEO par rapport à d'autres puissances – enjeu de gouvernance numérique à nos yeux. Le 25 octobre 2011, un article présentait GALILEO comme un service qui renverrait le GPS américain au magasin des antiquités : alors que la précision de ce dernier est de 20 mètres, celle de GALILEO sera de 4 mètres, voire 10 centimètres pour les services payants. En outre, le système européen offrira une continuité du signal inconnue du GPS ouvert au civil. Certes, la construction du programme a pris du retard, mais il nous paraît impensable que l'État puisse accepter une interopérabilité de GALILEO avec le GPS américain. Les informations manquent quant à la volonté du Gouvernement et de l'Union européenne de promouvoir ou non l'interopérabilité, au niveau mondial, des systèmes globaux de navigation par satellite. Nous souhaitons donc connaître en détail les intentions du Gouvernement.

Je reprends à mon compte la pratique constante de la commission des Lois consistant à ne pas voter les demandes de rapport. Reste que, sur le fond, l'interopérabilité des systèmes de navigation par satellite est un sujet intéressant. Elle est déjà pratiquée avec les radiobalises. Le lieu qui me paraît toutefois le plus adapté pour discuter de la question reste l'Office parlementaire d'évaluation des choix scientifiques et technologiques (OPECST) ; c'est pourquoi je vous invite à vous rapprocher de son président, notre collègue Cédric Villani, pour lui faire part de vos préoccupations.

Nous en avons terminé avec l'examen de ce projet de loi qui sera examiné en séance publique le 31 janvier prochain.

Avant de lever la séance je vais donner la parole à M. Jean-Michel Clément. Je vous rappelle que j'ai proposé, lors de notre réunion du mercredi 15 novembre 2017, à l'ensemble des membres de la commission des Lois qui siègent dans des organismes extra-parlementaires de venir devant nous, quand ils le souhaitent, pour nous présenter l'activité de ces organismes et le rôle qui est le leur. Notre collègue a accepté de le faire aujourd'hui au titre de la Commission nationale de contrôle des techniques de renseignement.

/Cette présentation ne fait pas l'objet d'un compte rendu écrit. Les débats sont accessibles sur le portail vidéo du site de l'Assemblée nationale à l'adresse suivante : http://videos.assemblee-nationale.fr/video.5403296_5a5f08f6c5e3c.commission-des-lois--adaptation-au-droit-de-l-ue-dans-le-domaine-de-la-securite-17-janvier-2018).

(disponible uniquement en vidéo)

(disponible uniquement en vidéo)