Hors collection - Quels droits face aux innovations numériques ? - 1re - 141

CHAPITRE 2 - UNE

DÉLINQUANCE BASÉE SUR DES CYBERATTAQUES

141

l'opérateur pour assurer un niveau de service suffisant, compte tenu de la disponibilité de moyens
alternatifs pour la fourniture du service et (vii) le cas échéant, des facteurs sectoriels.
La définition de FSN proposée par la directive NIS si elle apparaît de premier abord comme tautologique puisqu'il s'agirait de la « personne morale qui fournit un service numérique » prend toute sa
substance par renvoi à la directive UE 2015/1535 pour la définition de service numérique. Un
service numérique consiste en « tout service de la société de l'information, c'est-à-dire tout service
presté normalement contre rémunération, à distance, par voie électronique et à la demande individuelle d'un destinataire de services ». Ces services numériques peuvent être les services proposés par
les places de marché, les moteurs de recherche en ligne ou les services d'informatique en nuage.
Cette définition est reprise à l'article 10 de la loi de transposition.
En revanche, la directive ne s'applique pas aux fournisseurs de réseaux et services de communications
électroniques ou aux prestataires de services de confiance qui sont soumis à des obligations de sécurité
spécifiques.

§2. Des obligations de sécurité lourdement sanctionnées
257. Obligations visant à garantir l'intégrité des réseaux et des systèmes d'information : les OSE -
S'agissant des OSE, le Premier ministre est compétent pour fixer les règles de sécurité nécessaires à la
protection de ces réseaux et systèmes d'information dans quatre domaines :
- la gouvernance de la sécurité ;
- la protection ;
- la défense des réseaux et systèmes d'information ;
- la résilience des activités.
Il est essentiel également pour tout OSE, une fois désigné comme tel, d'identifier un représentant
auprès de l'ANSSI. Ces opérateurs peuvent être soumis à des contrôles de l'ANSSI destinés à vérifier
le respect de ces obligations prévues ainsi que le niveau de sécurité des réseaux et systèmes d'information nécessaires à la fourniture de services essentiels (L. nº 2018-133, 26 févr. 2018 portant diverses
dispositions d'adaptation au droit de l'Union européenne dans le domaine de la sécurité, art. 8). Le
coût de ces contrôles est à la charge de l'OSE. Il est également possible que l'audit de contrôle soit
réalisé par un prestataire qualifié (PASSI). Celui-ci ne doit avoir notamment aucun lien juridique au
sens des articles L. 233-1 et suivants du Code de commerce avec l'OSE qu'il contrôle. L'OSE pourra
retenir un prestataire qualifié parmi la liste des prestataires qualifiés par l'ANSSI dont le nom figure
sur une liste publiée sur le site Internet de l'ANSSI.
Les sanctions auxquelles s'exposent les dirigeants des OSE mentionnées à l'article 5 sont des amendes
de 100 000 euros en cas de non-conformité aux mesures de sécurité, et 125 000 euros s'ils font obstacle
aux contrôles mentionnés à l'article 8.
258. Obligations visant à garantir l'intégrité des réseaux et des systèmes d'information : les FSN -
Pour les FSN, l'article 11 de la loi de transposition instaure une obligation au FSN établi hors de
l'Union européenne de désigner un représentant sur le territoire national (auprès de l'ANSSI) dès
l'instant où il y offre ses services, sauf à avoir d'ores et déjà désigné un représentant dans un autre
État membre. Aussi, aux termes de l'article 12 de la loi de transposition, les FSN doivent s'assurer de
la continuité de leurs services en identifiant les risques pesant sur la sécurité de leurs réseaux et
systèmes d'information et en prenant les mesures techniques et organisationnelles utiles pour gérer
ces risques, éviter les incidents ou a minima en minimiser l'impact. Ils peuvent, tout comme les

Hors collection - Quels droits face aux innovations numériques ? - 1re

Table des matières de la publication Hors collection - Quels droits face aux innovations numériques ? - 1re