LOI n° 2018-133 du 26 février 2018 portant diverses dispositions d'adaptation au droit de l'Union européenne dans le domaine de la sécurité

Le projet de loi portant diverses dispositions d'adaptation au droit de l'Union européenne dans le domaine de la sécurité a pour objet de transposer deux directives : la directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d'information dans l'Union (Titre I er ) et la directive (UE) 2017/853 du Parlement européen et du Conseil du 17 mai 2017 modifiant la directive 91/477/CEE du Conseil relative au contrôle de l'acquisition et de la détention d'armes (Titre II).

Ce projet de loi permet par ailleurs de tirer les conséquences de la décision n°1104/2011/UE, en instaurant un mécanisme de sanction pour tout manquement aux obligations de protection du service public réglementé offert par le système mondial de radionavigation par satellite issu du programme GALILEO (Titre III).

Titre I er

Transposition de la directive 2016/1148

Le titre I er , qui transpose dans le droit français la directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union, instaure de nouvelles obligations en matière de cyber-sécurité pour les opérateurs de services essentiels au fonctionnement de l’économie et de la société et les fournisseurs de services numériques.

Le premier chapitre regroupe les dispositions communes à l’ensemble de ce titre. L’ article 1 er définit les notions de « réseaux et systèmes d’information » et de « sécurité des réseaux et systèmes d’information ».

L’ article 2 précise le champ d’application du titre I er et son articulation avec d’autres régimes visant à garantir la sécurité des systèmes d’information. Il reprend, d’une part, les deux catégories d’exclusions communes prévues par la directive et précise, d’autre part, que les dispositions de ce titre ne sont pas applicables aux réseaux et systèmes d’informations soumis, en application d’actes sectoriels du droit de l’Union européenne, à des exigences en matière de sécurité et de notification d’incidents d’effet au moins équivalent.

L’ article 3 impose aux prestataires de services habilités à effectuer des contrôles en application du titre I er , les mêmes obligations de confidentialité que celles applicables aux services de l’Etat. Il exige également la préservation des intérêts économiques des opérateurs de service essentiel et fournisseurs de services numériques lors de l’information du public par l’Etat des éventuels incidents de sécurité.

L’ article 4 renvoie à un décret en Conseil d’Etat la définition des modalités d’application du titre I er et l’établissement de la liste des services essentiels au fonctionnement de la société ou de l’économie, qui déterminera le champ d’application du dispositif pour les opérateurs fournissant de tels services.

Le Chapitre II est consacré à la sécurité des réseaux et systèmes d’information des opérateurs de service essentiel au fonctionnement de la société ou de l’économie. L’article 5 définit la notion d’opérateurs de service essentiels. Il confie au Premier ministre la responsabilité de désigner ces opérateurs et d’en actualiser la liste à intervalles réguliers. Il précise également que les systèmes d’information des opérateurs d’importance vitale mentionnés à l’article L. 1332-6-1 du code de la défense ne sont pas soumis aux dispositions de ce chapitre.

L’ article 6 confie au Premier ministre le soin d’édicter les règles de sécurité nécessaires à la protection de ces réseaux et systèmes d’information et prévoit que les opérateurs de services essentiels seront tenus d’appliquer ces règles à leurs frais.

L’ article 7 impose aux opérateurs de services essentiels de déclarer leurs incidents de sécurité à l’autorité nationale de sécurité des systèmes d'information. Il permet par ailleurs, en tant que de besoin, à l’autorité compétente de rendre publiques les informations ainsi recueillies et de les communiquer aux autorités d’autres Etats membres concernés par l’incident.

L’ article 8 prévoit la possibilité de soumettre ces opérateurs à des contrôles sur pièce et sur place par l’autorité nationale de sécurité des systèmes d’information ou des prestataires de services habilités à cet effet. Les opérateurs devront, le cas échéant, corriger tout manquement constaté lors de ces contrôles dans le délai imparti par une mise en demeure.

L’ article 9 parachève ce chapitre en instaurant des dispositions pénales pour sanctionner le non-respect des obligations ainsi fixées.

Le chapitre III est relatif au régime de sécurité applicable aux réseaux et systèmes d’information des fournisseurs de services numériques. L’ article 10 définit les notions de service numérique et de fournisseur de service numérique.

L’ article 11 définit quant à lui le champ d’application de ce régime conformément aux termes de la directive et reprend en particulier l’exclusion des microentreprises et petites entreprises dont il précise les seuils.

L’ article 12 impose à ces fournisseurs d’identifier les risques auxquels est exposée la sécurité de leurs réseaux et systèmes d’information et de prendre les mesures utiles pour gérer ces risques, éviter les incidents de nature à porter atteinte à la sécurité de leurs réseaux et systèmes d’information et en réduire l’impact.

L’ article 13 leur impose également une obligation de déclaration d’incident auprès de l’autorité nationale de sécurité des systèmes d’information dès lors qu’ils ont connaissance du caractère significatif de cet incident. Ces informations pourront être rendues publiques et communiquées en tant que de besoin aux autorités d’autres Etats membres concernés par l’incident. Cet article prévoit encore lorsque cela est nécessaire la mise en place d’une coopération avec les autorités des autres Etats membres concernés.

L’ article 14 prévoit la possibilité pour le Premier ministre de soumettre un fournisseur qui aurait méconnu l’une de ses obligations, à des contrôles sur place et sur pièce qui s’effectueront à ses frais. Ces fournisseurs devront, le cas échéant, corriger tout manquement constaté lors de ces contrôles à l’expiration du délai imparti par une mise en demeure.

Enfin, l’article 15 clôture ce chapitre III en instaurant des sanctions pénales en cas de non-respect par les dirigeants de ces entreprises des obligations ainsi fixées.

Titre II

Transposition de la directive 2017/853

La grande majorité des dispositions prévues par la directive 2017/853 relève du domaine réglementaire. Des adaptations de la législation nationale sont néanmoins nécessaires.

La transposition de cette directive conduit à cet égard à modifier ou inscrire plusieurs dispositions dans la partie législative du code de la sécurité intérieure et du code de la défense. Elle ne retient que les mesures indispensables à cette transposition, exerçant, là où cela est nécessaire, le choix entre des options de transposition ouvertes aux Etats membres.

La directive du 18 juin 1991 avait été conçue initialement pour harmoniser le marché intérieur des armes civiles. La nouvelle directive modificative du 17 mai 2017, s’inscrit quant à elle, dans le prolongement de la directive 2008/51/CE du Parlement européen et du Conseil du 21 mai 2008, dans une logique de renforcement des mesures de sécurité.

La directive du 17 mai 2017, publiée au Journal officiel de l’Union européenne le 24 mai 2017, est entrée en vigueur le 13 juin 2017. La quasi-totalité de ses dispositions doit être transposée en droit national avant le 14 septembre 2018, conformément à son article 2.

L’ article 16 tire les conséquences de la suppression de la catégorie D des armes à feu, mentionnée dans la partie II de l’annexe I de la directive du 18 juin 1991 modifiée par la directive du 17 mai 2017. Il s’agit, en droit interne, des armes classées en catégorie D (1°), c’est‑à-dire les armes soumises à enregistrement.

Ces armes de catégorie D soumises à enregistrement étant mentionnées à plusieurs reprises dans la loi, celle-ci doit être modifiée, pour tirer les conséquences de la disparition de cette catégorie.

La directive du 17 mai 2017 n’associe plus les reproductions d’armes historiques aux armes anciennes. Elle invite à prendre en considération les techniques modernes susceptibles d’améliorer la durabilité et la précision de ces reproductions d’armes historiques. En conséquence, le classement, opéré par la loi, de ces armes en catégorie D ne peut plus être systématique. Celles-ci feront l’objet d’un classement réglementaire en fonction de leurs caractéristiques techniques.

L’ article 17 tire les conséquences de la suppression de la catégorie D mentionnée à l’article 16 du présent projet de loi et prend par ailleurs en compte le surclassement opéré par la directive de certaines armes à feu semi-automatiques - classées en droit interne en catégorie B (soumise à autorisation) - en catégorie A (interdite à l’acquisition et à la détention par les particuliers).

Des dérogations sont toutefois rendues possibles par la directive, au bénéfice de certaines catégories de détenteurs : les tireurs sportifs, certains services de sécurité privée et les collectionneurs d’armes. Le choix a été fait de limiter aux seuls tireurs sportifs et à certains services de sécurité privée, la possibilité de détenir ces armes nouvellement classées en catégorie A. Un décret en Conseil d’Etat précisera le champ de ces dérogations.

L’ article 18 modifie l’article L. 313-2 du code de la sécurité intérieure afin de tirer les conséquences de la directive du 17 mai 2017 laquelle soumet l’ensemble des professionnels à un contrôle portant sur leur honorabilité et leurs compétences professionnelles. Ce sont principalement les courtiers d’armes de catégorie C qui sont concernés, la loi ne prévoyant, pour eux, aucun contrôle d’honorabilité ni de compétence professionnelle. La transposition de la directive nécessite donc de soumettre cette profession à un contrôle administratif.

Le droit national généralise la possibilité de livraison au domicile de l’acquéreur des armes de toutes catégories, achetées à distance, sans garantie de contrôle effectif de l’identité de l’acquéreur et de son titre de détention. Cette dernière possibilité est supprimée, s’agissant des ventes entre particuliers, pour respecter les termes de la directive, selon laquelle les Etats membres veillent à ce que, dans le cadre, d’une vente à distance, l’identité et l’autorisation d’acquisition de l’acheteur fassent l’objet d’une vérification avant la livraison ou, au plus tard, lors de la livraison. Cette dernière exigence n’est effective, en droit interne, que pour les ventes réalisées par les professionnels : la dérogation à l’interdiction de livraison à domicile est donc supprimée s’agissant des ventes entre particuliers.

Enfin, les armuriers et les courtiers pourront refuser de conclure des transactions visant à acquérir des armes, des munitions ou leurs éléments qu’ils peuvent raisonnablement considérer comme suspectes. Ils devront signaler de telles transactions aux autorités de l’Etat.

Les articles 19 et 20 tirent les conséquences de la suppression de la catégorie D mentionnée dans la partie II de l’annexe I de la directive du 18 juin 1991 modifiée, ainsi que du surclassement de certaines armes qui étaient auparavant classées en catégorie B.

L’ article 21 modifie le code de la défense afin de tirer les conséquences de la disparition de la catégorie D dans ce code.

Titre III

Mise en œuvre de la décision n°1104/2011/UE

Le titre III transpose en droit français les obligations prévues par la décision n° 1104/2011/UE du Parlement européen et du Conseil du 25 octobre 2011 relative aux modalités d’accès au service public réglementé offert par le système mondial de radionavigation par satellite issu du programme Galileo. Le service public réglementé (SPR) de Galileo est un service réservé aux utilisateurs autorisés par les gouvernements, pour les applications sensibles qui exigent un contrôle d’accès efficace et un niveau élevé de continuité du service.

L’ article 22 introduit dans le code de la défense un chapitre relatif au service public réglementé de radionavigation par satellite issu du programme européen Galileo qui définit les activités liées à ce service qui font l’objet d’un contrôle par l’autorité administrative et instaure un régime de sanctions en cas de manquement aux obligations fixées par ces nouvelles dispositions.

L’article L. 2323-1 soumet à un régime d’autorisation l’accès au service public réglementé, le développement ou la fabrication de récepteurs ou de modules de sécurité conçus pour ce service et l’exportation d’équipements, de technologie ou de logiciels conçus pour ce service et prévoit les cas dans lesquels l’autorisation, qui peut être assortie de conditions ou de restrictions, peut être abrogée, retirée, modifiée ou suspendue. Afin de permettre à l’autorité administrative de vérifier que les destinataires d’équipements, de technologie ou de logiciels concernés sont eux-mêmes autorisés à accéder au service public réglementé, l’article L. 2323‑2 met en place un régime de déclaration pour les transferts effectués depuis la France vers les autres Etats membres de l’Union européenne.

L’article L. 2323-3 renvoie à un décret en Conseil d’Etat la définition des modalités d’application des régimes d’autorisation et de déclaration ainsi créés. Il précise, en outre, l’articulation de ce dispositif avec les dispositions du code de la défense applicables aux importations, exportations et transferts des matériels de guerre et assimilés et celles du règlement n° 428/2009 du Conseil du 5 mai 2009 instituant un régime communautaire de contrôle des exportations, des transferts, du courtage et du transit de biens à double usage.

Les articles L. 2323-4 à L. 2323-6 définissent les sanctions pénales encourues en cas de manquement aux obligations définies par ce nouveau chapitre ou de tentative de commission de ces infractions, qui pourront être assorties de peines complémentaires, tant pour les personnes physiques que pour les personnes morales.

Titre IV

Dispositions applicables à l’outre-mer

L’ article 23 rend la loi applicable sur l’ensemble du territoire de la République en procédant aux modifications nécessaires des articles du code de la sécurité intérieure et du code de la défense suivant la technique du « compteur Lifou ».

Par ailleurs, pour les collectivités régies par le principe de spécialité législative, cet article prévoit les grilles de lecture nécessaires pour l’application des dispositions comportant des références au droit communautaire.

Titre V

Dispositions transitoires

L’ article 24 introduit des dispositions relatives à l’entrée en vigueur des différents articles des chapitres I er et III du titre I et du titre II afin de gérer la période transitoire entre le vote de la loi et la publication de ses décrets d’application. Le projet de loi précise que leur entrée en vigueur interviendra, selon les cas, aux dates que prévoiront ces décrets, et au plus tard aux dates limites de transposition fixée par chaque directive.