Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité
Sur le projet de loi
| Dépôt du projet de loi : | 14 octobre 2024 |
|---|---|
| Nombre d'étapes : | 5 étapes |
| Articles au dépôt : | 62 articles |
| Nombre d'amendements déposés : | 1151 amendements |
| Amendements adoptés : | 345 amendements |
Document parlementaire • 0
Commentaire • 0
Texte du document
Le chapitre II du titre III du livre III de la première partie du code de la défense est ainsi rédigé :
« CHAPITRE II
« Résilience des activités d'importance vitale
« Section 1
« Dispositions générales relatives aux activités d'importance vitale
« Art. L. 1332-1. – Pour l'application du présent chapitre, on entend par :
« 1° Activités d'importance vitale : les activités indispensables au fonctionnement de l'économie ou de la société ainsi qu'à la défense ou à la sécurité de la Nation ;
« 2° Infrastructure critique : tout ou partie d'un bien, d'une installation, d'un équipement, d'un réseau ou d'un système nécessaire à l'exercice d'une activité d'importance vitale ou dont une perturbation pourrait mettre gravement en cause la santé de la population ou l'environnement ;
« Parmi les infrastructures critiques, sont distingués :
« a) Les points d'importance vitale, c'est-à-dire les installations les plus sensibles, notamment celles qui sont difficilement substituables ;
« b) Les systèmes d'information d'importance vitale, c'est-à-dire les systèmes d'information nécessaires à l'exercice d'une activité d'importance vitale ou à la gestion, à l'utilisation ou à la protection d'une ou de plusieurs infrastructures critiques ;
« 3° Incident : un événement qui perturbe ou est susceptible de perturber de manière importante l'exercice d'une activité d'importance vitale ;
« 4° Résilience : la capacité d'un opérateur à prévenir tout type d'incident, à s'en protéger et à y résister, afin d'assurer la continuité de la ou des activités d'importance vitale qu'il exerce.
« Art. L. 1332-2. – (Non modifié) I. – Sont désignés opérateurs d'importance vitale par l'autorité administrative :
« 1° Les opérateurs publics ou privés exerçant, au moyen d'une ou de plusieurs infrastructures critiques situées sur le territoire national, une activité d'importance vitale.
« L'autorité administrative précise, le cas échéant, dans l'acte de désignation de l'opérateur d'importance vitale, l'activité ou la liste des activités d'importance vitale exercées par l'opérateur qui constituent des services essentiels au fonctionnement du marché intérieur de l'Union européenne définis par le règlement délégué (UE) 2023/2450 de la Commission du 25 juillet 2023 complétant la directive (UE) 2022/2557 du Parlement européen et du Conseil en établissant une liste de services essentiels et qui, à ce titre, justifient que cet opérateur soit regardé comme une entité critique au sens de cette directive ;
« 2° Les opérateurs publics ou privés, les gestionnaires, les propriétaires ou les exploitants d'établissements mentionnés à l'article L. 511-1 du code de l'environnement ou comprenant une installation nucléaire de base mentionnée à l'article L. 593-2 du même code, lorsque la destruction ou l'avarie d'une ou de plusieurs installations de ces établissements peut présenter un danger d'une particulière gravité pour la population ou l'environnement.
« II. – Ces opérateurs mettent en œuvre, à leurs frais, les obligations leur incombant prévues au présent chapitre.
« Lorsqu'un opérateur d'importance vitale exerce une activité d'importance vitale ou gère une infrastructure critique pour le compte d'une personne publique, cette dernière en est informée par l'autorité administrative.
« Sous-section 1
« Dispositions applicables aux opérateurs d'importance vitale
« Art. L. 1332-3. – (Non modifié) Les opérateurs d'importance vitale réalisent une analyse des risques de toute nature, y compris à caractère terroriste, qui pourraient perturber l'exercice de leurs activités d'importance vitale ou la sécurité de leurs infrastructures critiques, notamment des points d'importance vitale désignés par l'autorité administrative.
« Cette analyse est réalisée dans un délai de neuf mois à compter de la désignation prévue au I de l'article L. 1332-2 et est réévaluée au moins tous les quatre ans.
« Sur le fondement de cette analyse, les opérateurs d'importance vitale adoptent des mesures proportionnées de résilience, techniques, opérationnelles et organisationnelles, afin d'assurer la continuité des activités d'importance vitale qu'ils exercent et de sauvegarder leurs infrastructures critiques.
« L'analyse des risques ainsi que les mesures de résilience sont détaillées dans un document dénommé “plan de résilience opérateur” élaboré par l'opérateur, dans un délai de dix mois à compter de la désignation prévue au même I, et approuvé par l'autorité administrative.
« Lorsque, en application d'accords internationaux régulièrement ratifiés ou approuvés, de lois ou de règlements, l'opérateur a déjà décrit dans un document particulier tout ou partie des mesures prévues au troisième alinéa du présent article, l'autorité administrative peut décider que ce document tient lieu, pour tout ou partie, du “plan de résilience opérateur”.
« En cas de refus de l'opérateur d'élaborer ce plan, de le modifier afin de le rendre conforme aux exigences prévues au présent article ou de le mettre en œuvre, l'autorité administrative met en demeure l'opérateur de le réaliser, de le modifier ou de le mettre en œuvre dans un délai qu'elle fixe et qui ne peut être inférieur à un mois.
« L'autorité administrative peut assortir cette mise en demeure d'une astreinte d'un montant maximal de 5 000 euros par jour de retard à compter de l'expiration du délai imparti par la mise en demeure.
« L'astreinte peut également être prononcée à tout moment, après l'expiration du délai imparti par la mise en demeure, s'il n'y a pas été satisfait, après que l'intéressé a été invité à présenter ses observations.
« Les opérateurs mentionnés au 2° du I de l'article L. 1332-2 mettent en œuvre ces mesures de résilience sous réserve des dispositions du titre Ier et du chapitre III du titre IX du livre V du code de l'environnement.
« Un décret en Conseil d'État précise la nature des mesures de résilience pour chaque catégorie d'opérateur d'importance vitale mentionnée au I de l'article L. 1332-2 du présent code.
« Art. L. 1332-4. – Les opérateurs d'importance vitale réalisent, dans un délai de neuf mois à compter de la désignation prévue au I de l'article L. 1332-2, une analyse de leurs dépendances à l'égard de tiers, y compris ceux situés en dehors du territoire national, pour l'exercice de leurs activités d'importance vitale. Celle-ci comprend notamment une analyse des éventuelles vulnérabilités de leurs chaînes d'approvisionnement et de leurs sous-traitants. L'analyse des dépendances à l'égard des sous-traitants est réalisée dans un délai fixé par voie réglementaire. Les mesures de résilience adoptées par les opérateurs d'importance vitale tiennent compte de cette analyse. Cette analyse évalue spécifiquement les risques liés à la dépendance envers des fournisseurs de solutions logicielles et matérielles propriétaires, notamment en termes de continuité de service, de coût à long terme et de capacité d'audit indépendant.
« Les opérateurs d'importance vitale prennent les mesures nécessaires pour garantir l'application du présent chapitre.
« Art. L. 1332-5. – Chaque opérateur pour lequel un ou plusieurs points d'importance vitale sont désignés en application du présent chapitre réalise pour chacun d'eux un document dénommé “plan particulier de résilience” détaillant les mesures de protection et de résilience le concernant.
« Ces mesures comportent notamment des dispositifs et des dispositions efficaces de surveillance, d'alarme, de protection matérielle et de conditions d'accès. Le plan est approuvé par l'autorité administrative.
« Lorsque, en application d'accords internationaux régulièrement ratifiés ou approuvés, de lois ou de règlements, un point d'importance vitale fait déjà l'objet de mesures de protection suffisantes décrites dans un document particulier, l'autorité administrative peut décider que ce document tient lieu de “plan particulier de résilience”.
« En cas de refus de l'opérateur d'élaborer ce plan, de le modifier afin de le rendre conforme aux exigences prévues aux trois premiers alinéas ou de le mettre en œuvre, l'autorité administrative met en demeure l'opérateur de le réaliser, de le modifier ou de le mettre en œuvre dans un délai qu'elle fixe et qui ne peut être inférieur à un mois.
« L'autorité administrative peut assortir cette mise en demeure d'une astreinte d'un montant maximal de 5 000 euros par jour de retard à compter de l'expiration du délai imparti par la mise en demeure.
« L'astreinte peut également être prononcée à tout moment, après l'expiration du délai imparti par la mise en demeure, s'il n'y a pas été satisfait, après que l'opérateur concerné a été invité à présenter ses observations.
« Art. L. 1332-6. – Avant d'accorder une autorisation d'accès physique ou à distance à ses infrastructures critiques, lorsqu'il estime nécessaire de s'assurer que le comportement de la personne devant faire l'objet de l'autorisation d'accès n'est pas de nature à porter atteinte à l'exercice d'une activité d'importance vitale ou à la sécurité d'une infrastructure critique, l'opérateur d'importance vitale peut demander l'avis de l'autorité administrative compétente à la suite d'une enquête administrative conduite dans les conditions prévues à l'article L. 114-1 du code de la sécurité intérieure, selon des modalités fixées par un décret en Conseil d'État pris après avis de la Commission nationale de l'informatique et des libertés.
« Il peut également solliciter cet avis avant le recrutement ou l'affectation d'une personne à un poste pour l'exercice duquel il est nécessaire d'avoir accès aux infrastructures critiques ou qui implique l'occupation de fonctions sensibles.
« Les fonctions sensibles sont celles qui sont indispensables à la réalisation d'une activité d'importance vitale ou dont l'occupation expose l'opérateur à des vulnérabilités. Elles sont énumérées par l'opérateur dans le plan de résilience prévu au quatrième alinéa de l'article L. 1332-3 du présent code en tenant compte, le cas échéant, de critères déterminés par l'autorité administrative en fonction du secteur d'activité de l'opérateur.
« Les cas dans lesquels les accès physiques ou à distance peuvent justifier la demande d'avis sont précisés par l'opérateur dans le plan de résilience prévu au même quatrième alinéa et, le cas échéant, dans le plan particulier de résilience prévu à l'article L. 1332-5 en tenant compte des vulnérabilités à des actes de malveillance.
« La personne concernée est informée de l'enquête administrative dont elle fait l'objet.
« En cas d'avis défavorable de l'autorité administrative, l'opérateur d'importance vitale est tenu de refuser l'autorisation s'il est une personne morale de droit privé. Un avis défavorable ne peut être émis que s'il ressort de l'enquête administrative que le comportement de la personne ayant fait l'objet de l'enquête est de nature à porter atteinte à l'exercice d'une activité d'importance vitale ou à la sécurité d'une infrastructure critique.
« Art. L. 1332-7. – (Non modifié) Les opérateurs d'importance vitale désignés au titre du 1° du I de l'article L. 1332-2 notifient à l'autorité administrative, au plus tard vingt-quatre heures après en avoir pris connaissance, tout incident susceptible de compromettre la continuité de leurs activités d'importance vitale, dans des conditions fixées par décret en Conseil d'État.
« L'autorité administrative informe le public de cet incident lorsqu'elle estime qu'il est dans l'intérêt général de le faire.
« Sous-section 2
« Dispositions applicables aux entités critiques d'importance européenne particulière
« Art. L. 1332-8. – Les opérateurs d'importance vitale qui fournissent les services essentiels ou des services essentiels similaires à ou dans au moins six États membres en informent l'autorité administrative au plus tard en même temps que la présentation pour approbation du plan de résilience prévu au quatrième alinéa de l'article L. 1332-3.
« Ces opérateurs sont identifiés comme entités critiques d'importance européenne particulière dans les conditions prévues à l'article 17 de la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil.
« Les opérateurs qui exercent des activités dans les domaines de la sécurité nationale, de la sécurité publique, de la défense, du nucléaire ou de la répression pénale ou qui fournissent des services exclusivement destinés aux entités de l'administration publique exerçant dans ces domaines peuvent être dispensés par l'autorité administrative de tout ou partie des obligations mentionnées à la présente sous-section, dans des conditions prévues par décret en Conseil d'État.
« Art. L. 1332-9. – (Non modifié) Lorsque l'opérateur a été désigné par la Commission européenne comme entité critique d'importance européenne particulière, il peut, sur demande motivée de la Commission européenne ou d'un ou de plusieurs des États membres auxquels ou dans lesquels le service essentiel est fourni et avec l'accord de l'autorité administrative compétente, faire l'objet d'une mission de conseil au titre de laquelle il doit garantir l'accès aux informations, aux systèmes et aux installations relatifs à la fourniture de ses services essentiels qui sont nécessaires à l'exécution de cette mission de conseil, dans le respect des secrets protégés par la loi.
« Sur le fondement des conclusions de la mission de conseil, l'opérateur se voit communiquer par la Commission européenne un avis sur le respect de ses obligations et, le cas échéant, sur les mesures qui peuvent être prises pour améliorer sa résilience.
« Sous-section 3
« Dispositifs techniques concourant à la protection des installations d'importance vitale
« Art. L. 1332-10. – (Non modifié) À des fins de protection des établissements, des installations et des ouvrages d'importance vitale mentionnés au I de l'article L. 1332-2, les services de l'État concourant à la défense nationale, à la sûreté de l'État et à la sécurité intérieure peuvent procéder, au moyen de caméras installées sur des aéronefs, à la captation, à l'enregistrement et à la transmission d'images dans les conditions définies aux articles L. 2364-2 à L. 2364-4.
« Sous-section 4
« Dispositions applicables aux systèmes d'information
« Art. L. 1332-11. – I. – Pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d'information qu'ils utilisent dans le cadre de leurs activités ou de la fourniture de leurs services, les opérateurs d'importance vitale mettent en œuvre les obligations prévues aux articles 14 à 16 et 17 de la loi n° du relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité.
« Les opérateurs d'importance vitale ne sont pas tenus de mettre en œuvre les obligations prévues aux articles 14 et 15 de la même loi lorsqu'ils sont soumis, en application d'un acte juridique de l'Union européenne, à des exigences sectorielles de sécurité des réseaux et des systèmes d'information qu'ils utilisent dans le cadre de leurs activités ou de la fourniture de leurs services ayant un effet au moins équivalent.
« II. – Pour répondre aux crises majeures menaçant ou affectant la sécurité des systèmes d'information, le Premier ministre peut décider des mesures que les opérateurs mentionnés au I de l'article L. 1332-2 du présent code doivent mettre en œuvre.
« Section 2
« Contrôles et sanctions administratives
« Sous-section 1
« Habilitation et contrôles
« Art. L. 1332-12. – (Non modifié) Sont habilités à rechercher et à constater les manquements aux prescriptions du présent chapitre, à l'exception de l'article L. 1332-11, ainsi qu'aux dispositions réglementaires prises pour son application, en vue de la saisine de la commission prévue à l'article L. 1332-15, les agents de l'État spécialement désignés et assermentés à cette fin dans des conditions précisées par décret en Conseil d'État.
« Art. L. 1332-13. – (Non modifié) Les agents mentionnés à l'article L. 1332-12 ont accès, pour l'exercice de leurs missions, aux locaux des opérateurs d'importance vitale. Ils peuvent pénétrer dans les lieux à usage professionnel ou dans les lieux d'exécution d'une prestation de services.
« Ils peuvent accéder à tout document nécessaire à l'accomplissement de leur mission auprès des administrations publiques, des établissements et des organismes placés sous le contrôle de l'État et des collectivités territoriales ainsi que dans les entreprises ou les services concédés par l'État, les régions, les départements et les communes.
« Ils peuvent recueillir, sur place ou sur convocation, tout renseignement, toute justification ou tout document nécessaire aux contrôles. À ce titre, ils peuvent exiger la communication de documents de toute nature propres à faciliter l'accomplissement de leur mission. Ils peuvent les obtenir ou en prendre copie, par tout moyen et sur tout support, ou procéder à la saisie de ces documents en quelques mains qu'ils se trouvent.
« Ils peuvent procéder, sur convocation ou sur place, aux auditions de toute personne susceptible d'apporter des éléments utiles à leurs constatations. Ils en dressent procès-verbal. Les personnes entendues procèdent elles-mêmes à sa lecture, peuvent y faire consigner leurs observations et y apposent leur signature. En cas de refus de signer le procès-verbal, mention en est faite sur celui-ci.
« Ils sont astreints au secret professionnel pour les faits, les actes ou les renseignements dont ils ont pu avoir connaissance en raison de leurs fonctions, dans les conditions prévues à l'article 226-13 du code pénal. Le secret professionnel ne peut leur être opposé.
« Les manquements sont constatés par des procès-verbaux, qui font foi jusqu'à preuve contraire. Il est dressé procès-verbal des vérifications et des visites menées en application du présent article.
« Art. L. 1332-14. – (Non modifié) Il est interdit de faire obstacle à l'exercice des fonctions des agents habilités. L'opérateur contrôlé est tenu de coopérer avec l'autorité administrative. Les agents mentionnés à l'article L. 1332-12 peuvent constater toute action de l'opérateur d'importance vitale de nature à faire obstacle au contrôle.
« Le fait pour quiconque de faire obstacle aux demandes de l'autorité compétente nécessaires à la recherche des manquements et à la mise en œuvre de ses pouvoirs de contrôle prévus à la présente sous-section, notamment en fournissant des renseignements incomplets ou inexacts ou en communiquant des pièces incomplètes ou dénaturées, est puni d'une amende administrative prononcée par la commission des sanctions mentionnée à l'article L. 1332-15 dont le montant, proportionné à la gravité du manquement, ne peut excéder dix millions d'euros ou, lorsqu'il s'agit d'une entreprise, 2 % du chiffre d'affaires annuel mondial hors taxes de l'exercice précédent, le montant le plus élevé étant retenu.
« Le présent article ne s'applique pas à l'État et à ses établissements publics administratifs qui font l'objet d'un contrôle.
« Sous-section 2
« Sanctions
« Art. L. 1332-15. – (Non modifié) Tout manquement au présent chapitre peut donner lieu aux sanctions prévues à l'article L. 1332-17, prononcées par une commission des sanctions instituée à cet effet auprès du Premier ministre.
« Cette commission est saisie par l'autorité administrative des manquements constatés lors des contrôles effectués en application de l'article L. 1332-13. Cette autorité notifie à l'opérateur concerné les griefs susceptibles d'être retenus à son encontre.
« La commission des sanctions reçoit les rapports et les procès-verbaux des contrôles.
« Art. L. 1332-16. – La commission des sanctions mentionnée à l'article L. 1332-15 est composée :
« 1° D'un membre du Conseil d'État, président, désigné par le vice-président du Conseil d'État, d'un membre de la Cour de cassation désigné par le premier président de la Cour de cassation, d'un membre de la Cour des comptes désigné par le premier président de la Cour des comptes ;
« 2° Et de trois personnalités qualifiées nommées par le Premier ministre en raison de leurs compétences dans le domaine de la sécurité des activités d'importance vitale.
« Un suppléant est désigné dans les mêmes conditions pour les membres mentionnés au 1° du présent article.
« Les membres de la commission des sanctions exercent leurs fonctions en toute impartialité. Dans l'exercice de leurs attributions, ils ne reçoivent ni ne sollicitent d'instruction d'aucune autorité.
« Le président de la commission désigne un rapporteur parmi ses membres. Celui-ci ne peut recevoir aucune instruction.
« La procédure devant la commission des sanctions est contradictoire. Celle-ci statue par décision motivée. Aucune sanction ne peut être prononcée sans que l'opérateur concerné ou son représentant ait été entendu ou, à défaut, dûment convoqué. La commission peut auditionner toute personne qu'elle juge utile.
« La commission statue à la majorité des membres présents. En cas de partage égal des voix, celle du président est prépondérante.
« Le président et les membres de la commission mentionnés au 1° ainsi que leurs suppléants respectifs sont nommés par décret.
« Le mandat du président, des membres de la commission mentionnés au même 1° ainsi que de leurs suppléants respectifs est de cinq ans non renouvelable. Les membres sont tenus au secret professionnel.
« Art. L. 1332-17. – (Non modifié) I. – En cas de manquement aux obligations découlant de l'application du présent chapitre, la commission des sanctions peut prononcer à l'encontre des opérateurs d'importance vitale, à l'exception des administrations de l'État et de ses établissements publics administratifs, des collectivités territoriales, de leurs groupements et de leurs établissements publics administratifs, une amende administrative dont le montant, proportionné à la gravité du manquement, ne peut excéder dix millions d'euros ou, lorsqu'il s'agit d'une entreprise, 2 % du chiffre d'affaires annuel mondial hors taxes de l'exercice précédent, le montant le plus élevé étant retenu.
« Lorsque la commission des sanctions envisage également de prononcer la sanction prévue au deuxième alinéa de l'article L. 1332-14, le montant cumulé ne peut excéder le montant maximal prévu au premier alinéa du présent I.
« II. – En cas de manquement constaté aux obligations mentionnées à l'article 26 de la loi n° du relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, la commission des sanctions, dans la composition prévue à l'article 36 de la même loi, peut prononcer les sanctions prévues aux articles 28 et 37 de ladite loi.
« Art. L. 1332-18. – La commission des sanctions peut ordonner la publication, la diffusion ou l'affichage de la sanction pécuniaire ou d'un extrait de celle-ci, selon les modalités qu'elle précise. Les frais sont supportés par la personne sanctionnée.
« Le produit des sanctions pécuniaires est versé au Trésor public et recouvré comme les créances de l'État étrangères à l'impôt et au domaine.
« Les recours formés contre les décisions de la commission des sanctions sont des recours de pleine juridiction.
« Art. L. 1332-19. – (Non modifié) Les conditions d'application de la présente sous-section, notamment les règles de fonctionnement de la commission et les modalités de récusation de ses membres, sont définies par décret en Conseil d'État.
« Section 3
« Marchés publics et contrats de concession relatifs à la sécurité des activités d'importance vitale
« Art. L. 1332-20. – (Non modifié) Les marchés publics des opérateurs d'importance vitale mentionnés au I de l'article L. 1332-2 sont soumis aux règles définies au titre II du livre V de la deuxième partie du code de la commande publique lorsque :
« 1° Ces marchés publics concernent la conception, la qualification, la fabrication, la modification, la maintenance ou le retrait des structures, des équipements, des systèmes, du matériel, des composants ou des logiciels qui sont nécessaires à la protection des infrastructures critiques de l'opérateur ou dont le détournement de l'usage porterait atteinte aux intérêts essentiels de l'État ;
« 2° Et que cette protection ou la prévention de ce détournement d'usage ne peuvent être garanties par d'autres moyens.
« Art. L. 1332-21. – (Non modifié) Les contrats de concession conclus par les opérateurs d'importance vitale mentionnés au I de l'article L. 1332-2 sont soumis aux règles définies au titre II du livre II de la troisième partie du code de la commande publique lorsque :
« 1° Ces contrats de concession concernent la conception, la qualification, la fabrication, la modification, la maintenance ou le retrait des structures, des équipements, des systèmes, du matériel, des composants ou des logiciels qui sont nécessaires à la protection des infrastructures critiques de l'opérateur ou dont le détournement de l'usage porterait atteinte aux intérêts essentiels de l'État ;
« 2° Et cette protection ou la prévention de ce détournement d'usage ne peuvent être garanties par d'autres moyens.
« Art. L. 1332-22. – (Non modifié) Les opérateurs d'importance vitale qui passent un marché ou un contrat de concession en application des articles L. 1332-20 et L. 1332-21 en informent l'autorité administrative dans des conditions et des délais précisés par décret. »
Chapitre II
Dispositions diverses
I. – Le code de la défense est ainsi modifié :
1° Au dernier alinéa de l'article L. 1333-1, les mots : « certains établissements, installations ou ouvrages, relevant de l'article L. 1332-1 » sont remplacés par les mots : « certaines infrastructures des opérateurs d'importance vitale mentionnés au 1° du I de l'article L. 1332-2 » ;
1° bis (nouveau) Au second alinéa de l'article L. 1411-2, les mots : « protection mentionnés à l'article L. 1332-3 » sont remplacés par les mots : « résilience mentionnés à l'article L. 1332-5 » ;
2° À la fin du premier alinéa de l'article L. 2113-2, les mots : « établissements, aux installations ou aux ouvrages mentionnés aux articles L. 1332-1 et L. 1332-2 » sont remplacés par les mots : « opérateurs d'importance vitale mentionnés au I de l'article L. 1332-2 » ;
3° Après le mot « personnel », la fin du deuxième alinéa de l'article L. 2151-1 est ainsi rédigée : « identifié dans les documents de planification des opérateurs désignés au titre de l'article L. 1332-2 visant à garantir la continuité de leur activité. » ;
4° À l'article L. 2151-4, les mots : « d'élaborer des plans de continuité ou de rétablissement d'activité et de notifier aux personnes concernées par ces plans » sont remplacés par les mots : « de notifier aux personnes concernées » ;
5° Au deuxième alinéa de l'article L. 2171-6, les mots : « publics et privés ou des gestionnaires d'établissements désignés par l'autorité administrative conformément aux articles L. 1332-1 et L. 1332-2 » sont remplacés par les mots : « d'importance vitale mentionnés au I de l'article L. 1332-2 » ;
6° Aux premier et quatrième alinéas de l'article L. 2321-2-1, les mots : « mentionnés aux articles L. 1332-1 et L. 1332-2 » sont remplacés par les mots : « d'importance vitale mentionnés au I de l'article L. 1332-2 » ;
7° L'article L. 2321-3 est ainsi modifié :
a) Au premier alinéa, les mots : « mentionnés aux articles L. 1332-1 et L. 1332-2 » sont remplacés par les mots : « d'importance vitale mentionnés au I de l'article L. 1332-2 » ;
b) À la première phrase du deuxième alinéa, les mots : « mentionné aux articles L. 1332-1 et L. 1332-2 » sont remplacés par les mots : « d'importance vitale mentionné au I de l'article L. 1332-2 » ;
8° À l'article L. 4231-6, les mots : « publics ou privés ou par des gestionnaires d'établissements désignés par l'autorité administrative conformément aux articles L. 1332-1 et L. 1332-2 » sont remplacés par les mots : « d'importance vitale mentionnés au I de l'article L. 1332-2 ».
II. – (Non modifié) Au dernier alinéa de l'article 226-3 du code pénal, les mots : « mentionnés à l'article L. 1332-1 » sont remplacés par les mots : « d'importance vitale mentionnés au 1° du I de l'article L. 1332-2 ».
III. – (Non modifié) Le code des postes et des communications électroniques est ainsi modifié :
1° Au e du I de l'article L. 33-1, les mots : « mentionnés aux articles L. 1332-1 et L. 1332-2 » sont remplacés par les mots : « d'importance vitale mentionnés au I de l'article L. 1332-2 » ;
2° Au premier alinéa de l'article L. 33-14, les mots : « , mentionnés à l'article L. 1332-1 » sont remplacés par les mots : « d'importance vitale mentionnés au 1° du I de l'article L. 1332-2 » ;
3° Au deuxième alinéa du I de l'article L. 34-11, les mots : « mentionnés à l'article L. 1332-1 » sont remplacés par les mots : « d'importance vitale mentionnés au 1° du I de l'article L. 1332-2 ».
IV. – (Non modifié) Aux 2° des II et VI de l'article L. 1333-9 du code de la santé publique, les mots : « certains établissements, installations ou ouvrages relevant de l'article L. 1332-1 » sont remplacés par les mots : « certaines infrastructures des opérateurs d'importance vitale mentionnés au 1° du I de l'article L. 1332-2 ».
V. – (Non modifié) Le code de la sécurité intérieure est ainsi modifié :
1° Au 1° de l'article L. 223-2, les mots : « exploitants des établissements, installations ou ouvrages mentionnés aux articles L. 1332-1 et L. 1332-2 » sont remplacés par les mots : « opérateurs d'importance vitale mentionnés au I de l'article L. 1332-2 » ;
2° À la première phrase du premier alinéa de l'article L. 223-8, les mots : « établissements, installations ou ouvrages mentionnés aux articles L. 1332-1 et L. 1332-2 » sont remplacés par les mots : « infrastructures des opérateurs d'importance vitale mentionnés au I de l'article L. 1332-2 ».
VI. – (Non modifié) Au troisième alinéa de l'article 15 de la loi n° 2006-961 du 1er août 2006 relative au droit d'auteur et aux droits voisins dans la société de l'information, les mots : « publics ou privés gérant des installations d'importance vitale au sens des articles L. 1332-1 à L. 1332-7 » sont remplacés par les mots : « d'importance vitale mentionnés au I de l'article L. 1332-2 ».
I. – (Non modifié) La sixième partie du code de la défense est ainsi modifiée :
1° Le chapitre Ier du titre II du livre II est complété par un article L. 6221-2 ainsi rédigé :
« Art. L. 6221-2. – En l'absence d'adaptation, les références faites, par des dispositions du présent code applicables à Saint-Barthélemy, à des dispositions qui n'y sont pas applicables sont remplacées par les références aux dispositions ayant le même objet applicables localement. » ;
2° Au chapitre II du même titre II, il est ajouté un article L. 6222-1 ainsi rédigé :
« Art. L. 6222-1. – La sous-section 2 de la section 1 du chapitre II du titre III du livre III de la première partie n'est pas applicable à Saint-Barthélemy. » ;
3° Le chapitre II du titre IV du livre II est complété par un article L. 6242-2 ainsi rédigé :
« Art. L. 6242-2. – La sous-section 2 de la section 1 du chapitre II du titre III du livre III de la première partie n'est pas applicable à Saint-Pierre-et-Miquelon. » ;
4° Le chapitre II du titre Ier du livre III est complété par un article L. 6312-3 ainsi rédigé :
« Art. L. 6312-3. – La sous-section 2 de la section 1 du chapitre II du titre III du livre III de la première partie n'est pas applicable dans les îles Wallis et Futuna, en Polynésie française, en Nouvelle-Calédonie et dans les Terres australes et antarctiques françaises. »
II. – (Non modifié) L'article 711-1 du code pénal est ainsi rédigé :
« Art. 711-1. – Sous réserve des adaptations prévues au présent titre, les livres Ier à V du présent code sont applicables, dans leur rédaction résultant de la loi n° du relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, en Nouvelle-Calédonie, en Polynésie française et dans les îles Wallis et Futuna. »
III. – (Non modifié) Le chapitre II du titre Ier du livre II du code des postes et des communications électroniques est ainsi modifié :
1° Après le mot « résultant », la fin du 1° du VII de l'article L. 33-1 est ainsi rédigée : « de la loi n° du relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité. » ;
2° Après le mot « résultant », la fin de l'article L. 33-15 est ainsi rédigée : « de la loi n° du relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité. » ;
3° L'article L. 34-14 est complété par les mots : « dans sa rédaction résultant de la loi n° du relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité ».
IV. – Au premier alinéa des articles L. 285-1, L. 286-1, L. 287-1 et L. 288-1 du code de la sécurité intérieure, les mots : « n° 2025-532 du 13 juin 2025 visant à sortir la France du piège du narcotrafic » sont remplacés par les mots : « n° du relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité ».
Chapitre III
Dispositions transitoires
- Article L642-7 du Code de commerce
- Tribunal administratif de Limoges, 2ème chambre, 17 décembre 2024, n° 2201456
- Conseil d'État, 4ème chambre jugeant seule, 29 octobre 2024, n° 494990
- Tribunal administratif de Bordeaux, 4 février 2025, n° 2407129