Intervention de Catherine Morin-Desailly

Les textes européens traitant du numérique se sont multipliés ces dernières années dans des domaines comme le traitement des réseaux, la régulation des marchés et des services numériques (DMA et DSA), le Data Act, ou les divers textes relatifs à la cybersécurité - dont je souligne qu'ils sont interdépendants face à une cybermenace elle-même protéiforme quand elle attaque des sites stratégiques ou des infrastructures essentielles. Ces attaques sont physiques et empruntent également le canal des réseaux, des adresses mails et ne sont pas sans lien avec la contrefaçon et la cybercriminalité.

L'adoption de tous ces textes européens était nécessaire mais ceux-ci se sont succédés de façon assez rapide et sans qu'on voie toujours très bien le lien entre eux, comme nous l'avions déjà fait observer avec Florence Blatrix Contat quand nous avons examiné le Data Act. Il fallait donc faire apparaître l'articulation entre ces textes. À cet effet, nous avons entendu les acteurs représentant les grandes entreprises et les grandes infrastructures. Ils étaient satisfaits de pouvoir enfin disposer de réglementations adaptées mais regrettaient un peu « l'avalanche » de dispositions complexes à mettre en oeuvre et qui nécessitaient de disposer de compétences à cet effet. C'est pourquoi, dans le plan boussole numérique pour 2030 qui a été évoqué lors de l'examen des crédits du programme pour une « Europe numérique », nous avions signalé l'urgence à travailler sur la montée en compétences numériques de tous et à former suffisamment d'informaticiens, de développeurs, etc., pour pouvoir répondre à la demande. D'où l'idée, dans le cadre de la présente réserve européenne, d'avoir recours à des prestataires privés.

Je pense que nous nous sommes maintenant dotés d'un arsenal certes perfectible mais qui a le mérite d'exister : le défi réside à présent dans une véritable acculturation de ces sujets, certaines collectivités territoriales ou administrations n'étant pas toujours informées des bonnes pratiques ni des risques liés à l'utilisation de tel ou tel logiciel. C'est un sujet majeur dans un monde où la cybermenace n'a jamais été aussi importante. J'insiste, comme Audrey Linkenheld, sur notre préconisation qui concerne les entreprises privées susceptibles de faire partie de la réserve européenne destinée à intervenir en situation de crise informatique grave : il faut vraiment garantir que ces entreprises soient certifiées et répondent à des exigences précises, à l'instar des entreprises de l'informatique en nuage qui doivent obtenir la qualification SecNumCloud. Il faut mettre en place un référentiel commun auquel doivent se conformer les opérateurs et développer une politique industrielle efficace dans le cadre du projet boussole numérique 2030 afin de pouvoir disposer d'un groupe suffisant d'entreprises sur notre continent ; nous en sommes encore loin à ce jour, ce qui implique de faire appel à des entreprises extra-européennes.