La loi n°2023-703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 contient des dispositions relatives à la responsabilité des éditeurs de logiciels en cas de vulnérabilité significative affectant un de leurs produits ou en cas d’incident informatique compromettant la sécurité de leurs systèmes d’information et susceptible d’affecter un de leurs produis, dont une obligation de notification des vulnérabilités et incidents significatifs à l’ANSSI (1).
L’article 66 de cette loi introduit ainsi un nouvel article L.2321-4-1 dans le Code de la défense au sein du chapitre 1er « Responsabilités » du titre III « Sécurité des systèmes d’information ».
L’obligation de notification concerne tous les éditeurs de logiciels qui fournissent ce produit :
- sur le territoire français ;
- à des sociétés ayant leur siège social sur le territoire français ;
- ou à des sociétés contrôlées, au sens de l’article L.233-3 du Code de commerce, par des sociétés ayant leur siège social sur le territoire français.
Aux termes de l’article L.2321-4-1, un éditeur de logiciel est « toute personne physique ou morale qui conçoit ou développe un produit logiciel ou fait concevoir ou développer un produit logiciel et qui le met à la disposition d’utilisateurs, à titre onéreux ou gratuit ».
Un décret du 10 mai 2024 définissant les modalités d’application de cet article est entré en vigueur le 1er juin 2024.
L'obligation de notification des vulnérabilités et incidents significatifs à l’ANSSI
Vulnérabilités et incidents significatifs : les éditeurs tenus de les signaler
La loi de programmation militaire prévoit l’obligation pour les éditeurs de logiciels de notifier à l’ANSSI les vulnérabilités significatives affectant un de leurs produits et les incidents informatiques qui compromettent la sécurité de leurs systèmes d’information et qui sont susceptibles d’affecter significativement un de leurs produits. L’analyse des causes de la vulnérabilité ou de l’incident ainsi que de ses conséquences doit également lui être notifié.
En vertu de l’article L.2321-4-1 du Code de la défense, un incident informatique est « Tout évènement compromettant la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données stockées, transmises ou faisant l’objet d’un traitement ou des services que les réseaux et les systèmes d’information offrent ou rendent accessibles ».
Les critères d’appréciation du caractère significatif
Vulnérabilités et incidents significatifs : les éditeurs tenus de les signaler
Il incombe à l’éditeur d’apprécier le caractère significatif de la vulnérabilité et de l’incident dès qu’il en a connaissance. Si la vulnérabilité ou l’incident lui a été notifié par l’ANSSI, l’éditeur dispose d’un délai qui ne peut pas être inférieur à 48h pour apprécier le caractère significatif.
Le nouvel article R.2321-1-16, I, du Code de la défense prévoit une liste de critères d’appréciation :
- le nombre d’utilisateurs concernés par la vulnérabilité ou l’incident affectant le produit ;
- le nombre de produits intégrant le produit affecté ;
- l’impact technique, potentiel ou actuel, de la vulnérabilité ou de l’incident sur le fonctionnement attendu du produit. Selon les fonctionnalités du produit, cet impact est évalué au regard de critères de sécurité tels que la disponibilité, l’intégrité, la confidentialité ou la traçabilité ;
- le type de produit au regard de ses usages et de l’environnement dans lequel il est déployé ;
- l’exploitation imminente ou avérée de la vulnérabilité ;
- l’existence d’une preuve technique d’exploitabilité ou d’un code d’exploitation.
Cette liste n’est en aucun cas exhaustive.
Si, après analyse, l’éditeur détermine que la vulnérabilité ou l’incident en cause revêt un caractère significatif, alors il doit le notifier à l’ANSSI.
La notification doit comporter les informations utiles à la compréhension de la vulnérabilité ou de l’incident en cause (C. défense, nouvel art. R.2321-1-16, II).
D’un point de vue pratique, l’éditeur de logiciel doit compléter un formulaire de déclaration mis à disposition sur le site internet de l’ANSSI et adresser à cette dernière toute information complémentaire au fur et à mesure de son analyse ou en réponse aux demandes d’informations supplémentaires de l’ANSSI (C. défense, nouvel art. R.2321-1-16, III).
L’éditeur de logiciel met en œuvre, le cas échéant, les mesures utiles requises afin de sécuriser la vulnérabilité ou l’incident en cause (C. défense, nouvel art. R.2321-1-16, III).
L’obligation d’information des utilisateurs du produit affecté
Vulnérabilités et incidents significatifs : les éditeurs tenus de les signaler
L’article L.2321-4-1 du Code de la défense prévoit également une obligation d’information des utilisateurs des vulnérabilités et incidents significatifs.
Le délai pour informer les utilisateurs est déterminé par l’ANSSI, après analyse conjointe de la vulnérabilité ou de l’incident avec l’éditeur, et tient compte de l’urgence, des risques pour la défense et la sécurité nationale et du temps nécessaire aux éditeurs pour prendre les mesures correctives.
L’ANSSI notifie à l’éditeur le délai dans lequel il doit informer ses utilisateurs, ce délai ne pouvant, être inférieur à 10 jours ouvrables, sauf en cas de risque pour la défense et la sécurité nationale requérant une information des utilisateurs sans délai (C. défense, nouvel art. R.2321-1-17, I).
L’information des utilisateurs du produit affecté est faite par un message d’information comprenant, le cas échéant, toute recommandation que ces derniers peuvent appliquer. L’éditeur doit rendre compte à l’ANSSI de l’envoi de ce message et donc du respect de son obligation d’information (C. défense, nouvel art. R.2321-1-17, II).
Les pouvoirs de l’ANSSI en cas de non-respect de l’obligation d’information des utilisateurs
Vulnérabilités et incidents significatifs : les éditeurs tenus de les signaler
En cas de non-respect par l’éditeur de logiciel de l’obligation d’information, l’ANSSI peut l’enjoindre de procéder à cette information (C. défense, art. L.2321-4-1, al. 5).
- L’injonction doit (C. défense, nouvel art. R.2321-1-18) :
- • être motivée ;
- • préciser le délai imparti aux éditeurs de logiciels, qui ne peut être inférieur à 10 jours, ainsi que les mesures requises pour s’y conformer ;
- • être notifiée à l’éditeur par lettre recommandée avec avis de réception ;
- • informer l’éditeur que l’ANSSI peut informer les utilisateurs ou rendre public la vulnérabilité ou l’incident ainsi que l’injonction si celle-ci n’a pas été mise en œuvre.
L’éditeur a la faculté de présenter des observations dans le délai imparti.
L’ANSSI peut également informer les utilisateurs ou rendre publics la vulnérabilité ou l’incident (C. défense, art. L.2321-4-1, al. 5) sur le site du centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (C. défense, nouvel art. R.2321-1-19, 1°).
Elle peut également rendre publique sur son site Internet, lorsque celle-ci a été partiellement ou totalement inexécutée (C. défense, nouvel art. R.2321-1-19, 2°).
Jennifer Knight
Avocate, Responsable d’activité au sein du Pôle Informatique et Droit
Raphaël Liotier
Avocat, Directeur d’activité au sein du pôle Contentieux numérique
Pour en apprendre davantage
À l'aube d'une ère où l'intelligence artificielle (IA) est en passe de devenir un compagnon quotidien...
La cobotique juridique #2 : L’art de l’invite. Comment réussir les prestations juridiques entre 20 et 80% de la version finale...