Cyber-attaques, armes et Galileo : une loi pour transposer trois directives

L’objet de ce texte est de transposer deux directives, sur la cybersécurité (directive « NIS ») et sur les armes, et de tirer les conclusions d’une décision du Parlement européen et du Conseil relative à Galileo (concurrent du système GPS).

Transposer la directive NIS contre les cyber-attaques

La directive NIS vise à se prémunir des cyber-attaques visant certaines entreprises stratégiques. Cette directive, qui doit être transposée d’ici au 9 mai 2018, est la première initiative de l’Union européenne sur la cyber-sécurité. De récentes cyber-attaques ont montré la vulnérabilité des entreprises, et plus largement de nos sociétés. Ainsi, Saint-Gobain a évalué ses pertes financières liées à la cyber-attaque NotPetya à 250 millions d’euros pour 2017.

La directive instaure des obligations pour les « opérateurs essentiels », catégorie distincte des « opérateurs vitaux » qui sont déjà soumis à des obligations depuis la loi n° 2013-1168 relative à la programmation. Les opérateurs essentiels offrent « des services essentiels au fonctionnement de la société ou de l’économie », services qui sont susceptibles d’être gravement affectés par des incidents touchant les réseaux. Ces opérateurs seront désignés par le premier ministre, dans une liste qui sera réactualisée au moins tous les deux ans. Ils devront appliquer des règles de sécurité informatique élaborées par l’Agence nationale de la sécurité des systèmes d’information (ANSSI), concernant la gouvernance, la protection, la défense et la résilience de leurs réseaux.

Ces opérateurs essentiels devront déclarer tout incident à l’autorité administrative, qui, en cas de nécessité, pourra informer les autres États européens ou rendre l’attaque publique. Le premier ministre pourra soumettre ces opérateurs, à leurs frais, à des opérations de contrôle. Ces contrôles seront effectués, sur pièce et sur place, par l’ANSSI ou par des prestataires de service qualifiés, soumis à des obligations de confidentialité. Les amendes en cas de non-respect (de 75 000 à 125 000 €) restent mesurées au vu de l’importance économique de certains de ces opérateurs. Il s’agit surtout d’imposer un premier cadre légal.

Autres opérateurs visés, les grands fournisseurs de service numérique, les moteurs de recherche, les plateformes de marchés et les opérateurs de cloud, dès lors qu’ils emploient au moins cinquante salariés et ont plus de 10 millions d’euros de chiffre d’affaires. Ils seront soumis à des obligations comparables à celles des opérateurs essentiels. Pour les opérateurs étrangers, il faudra en outre désigner un représentant établi sur le territoire national auprès de l’ANSSI, ce qui n’était pas prévu par la directive.

Le renforcement du contrôle sur les armes

Le titre II du projet de loi modifie plusieurs articles du code de la sécurité intérieure pour transposer la directive 2017/853 du 17 mai 2017 sur les armes à feu « civiles ». Les mesures prévues par la directive relèvent pour l’essentiel du domaine réglementaire (renforcement des règles de marquage et d’enregistrement, règles sur les fichiers, règles de stockage des armes, contrôle des armes tirant des munitions à blanc). Toutefois, certaines modifications sont de nature législative.

Pour rappel, notre système de classification des armes repose sur quatre catégories d’armes :

• catégorie A, armes interdites ;
• catégorie B, soumises à autorisation ;
• catégorie C, soumises à déclaration ;
• catégorie D, réparties en deux sous-catégories, la D1 qui comprend les armes soumises à enregistrement et la D2 qui regroupe celles dont l’acquisition et la détention sont libres.

La catégorie D1 va disparaître et sera fusionnée avec la catégorie C. Cela concerne la plupart des armes de chasse. Les régimes C et D1 avaient déjà été rapprochés par la loi du 3 juin 2016 (qui a conditionné la détention d’armes de catégorie D1 à l’absence de mention de certaines infractions sur le bulletin n° 2 du casier judiciaire).

Autre modification prévue par la directive : le passage en catégorie A de certaines armes semi-automatiques. À la suite de ce surclassement, le projet de loi instaure de nouvelles dérogations pour permettre leur possession pour le tir sportif et la sécurité privée.

La question des armes historiques, qui sont dorénavant distinguées des armes anciennes, a fait l’objet d’un lobbying important des associations de collectionneurs. Le Sénat avait maintenu leur classement en catégorie D (sauf pour celles présentant une dangerosité avérée et qui auraient figuré sur une liste dressée par décret en Conseil d’État). L’Assemblée nationale, plus proche de la position gouvernementale, a souhaité que ce classement ne relève que du pouvoir réglementaire.

Pour répondre aux inquiétudes des possesseurs d’armes de collection, l’Assemblée a rappelé au gouvernement la nécessité de mettre en place la « carte de collectionneur » prévue par la loi du 6 mars 2012, mais dont le décret n’a toujours pas été publié (la ministre l’a promis pour septembre). Par ailleurs, le législateur a refusé la possibilité, ouverte par la directive, de dérogation, qui aurait permis l’accès des collectionneurs à certaines armes de catégorie A.

Concernant la vente, l’article 18 prévoit l’extension aux courtiers du régime légal applicable aux armuriers (notamment un agrément préalable). Il interdira également la livraison au domicile d’armes achetées par correspondance : les ventes entre particuliers devront faire l’objet d’une vérification par un professionnel. Par ailleurs, armuriers et courtiers pourront dorénavant refuser une vente considérée comme suspecte.

Enfin, par amendement du rapporteur, l’Assemblée a pris l’initiative d’étendre le délit d’acquisition ou de cession illégale d’armes de catégorie C aux tentatives de ce délit. Cette évolution permettra à la France de ratifier sans réserve le Protocole des Nations unies contre la fabrication et le trafic illicites d’armes à feu, qui fait l’objet d’un projet de loi qui vient d’être déposé.

L’encadrement du système réglementé et sécurisé de Galiléo

Le titre III transpose en droit français les obligations prévues par la décision n° 1104/2011/UE du 25 octobre 2011 relative à Galileo. Le système européen Galileo, en cours de déploiement, diffusera trois catégories de signaux : un signal libre de radionavigation à destination des particuliers ; un signal commercial pour permettre le développement d’application ; un système réglementé et sécurisé pour un usage restreint (« service public réservé » [SPR]), réservé aux seuls utilisateurs autorisés par les États.

C’est le SPR qui fait l’objet de ce projet de loi : celui-ci crée un mécanisme d’autorisation préalable par le secrétariat général de la défense et de la sécurité nationale pour l’accès, la fabrication de récepteurs et la réception du SPR. L’article 22 impose une déclaration des transferts à l’intérieur de l’Union européenne et prévoit un dispositif de sanctions pénales en cas de non-respect des différentes obligations.