relative à la sécurisation des marchés publics numériques

L’entrée en vigueur de cette proposition de loi entraînera des surcoûts importants pour les collectivités.

A défaut d’enveloppe dédiée ou de compensation de la part de l’État, il convient de prévoir une disposition spécifique, surtout dans un contexte de difficultés budgétaires pour certaines collectivités.

Le Sénat avait prévu une dérogation en cas de risque de surcoût important. Afin de sécuriser cette dérogation, les critères seraient également renvoyés à un décret.

Le passage à des solutions cloud souveraines ou équivalentes représente un coût non négligeable pour les collectivités assujetties, qui se décline en plusieurs postes :

• Surcoût de migration des systèmes existants vers des offres conformes
• Prime de prix des solutions souveraines par rapport aux offres des hyperscalers, estimée entre 20 et 40 % selon les solutions
• Coût d'expertise juridique et technique pour la qualification des données « sensibles »
• Coût de formation et d'organisation des équipes informatiques
• Frais éventuels de résiliation anticipée de contrats en cours.

I. – Après l’alinéa 11, insérer l’alinéa suivant : 

« Lorsque, à la date d’entrée en vigueur de la loi n°       du       relative à la sécurisation des marchés publics numériques, une administration mentionnée au I justifie d’un risque de surcoût important, cette administration peut déroger au même I, dans des conditions et selon des critères définis par décret en Conseil d’État. »

II. – En conséquence, à la première phrase de l’alinéa 12, substituer aux mots :

« au premier alinéa »

les mots :

« aux premier et second alinéas ».

Cet amendement vise à simplifier la rédaction de l’alinéa 12, en s’en tenant à une délibération motivée pour prendre une décision de dérogation.

En effet, les délibérations sont publiques.

I. – À la fin de la première phrase de l’alinéa 12, supprimer les mots : 

« motivée et rendue publique. »

II. – En conséquence, au début de la seconde phrase de l’alinéa 12, supprimer les mots : 

« Elle est ». 

III. – En conséquence, à la même seconde phrase du même alinéa 12, après le mot : 

« délibération »

insérer le mot : 

« motivée ».

Le décret en Conseil d'État prévu à l'article 31 de la loi SREN – qui devait préciser dans un délai de 6 mois les critères de sécurité et de protection, y compris les seuils de détention du capital – n’a pas été publié à jour.

En commission, le rapporteur a fait état d’une publication prochaine de décret.

Il semble toutefois complexe d’envisager une extension de l’article 31 aux collectivités alors même que le texte d’application est toujours en attente, au risque de générer de l’insécurité juridique.

Il est donc proposé par cet amendement de conditionner l’entrée en vigueur de la présente proposition de loi à la publication dudit décret.

En outre, afin de sécuriser les contrats ne pouvant pas être résiliés sans indemnités importantes, il est prévu une application uniquement aux nouveaux contrats.

L’entrée en vigueur interviendrait au plus tôt six mois après promulgation. A cette date, les collectivités ayant déjà engagé un recours à l’informatique en nuage pourraient conserver cette solution pendant dix-huit mois.

Au total, l’entrée en vigueur complète serait ainsi de 24 mois, ce qui laisse le temps aux collectivités assujetties de migrer leurs systèmes.

Ces délais permettent de tenir compte des durées de passation des marchés, qui s’étalent sur plusieurs années.

Rétablir l’alinéa 14 dans la rédaction suivante : 

« III. – Le II s’applique aux contrats conclus à compter d’une date fixée par le décret prévu au V de l’article 31 de la loi précitée, et au plus tôt le premier jour du sixième mois suivant la promulgation de la présente loi. »

L’entrée en vigueur de cette proposition de loi entraînera des surcoûts importants pour les collectivités.

À défaut d’enveloppe dédiée ou de compensation de la part de l’État, il convient de prévoir une disposition spécifique, surtout dans un contexte de difficultés budgétaires pour certaines collectivités.

Le Sénat avait prévu une dérogation en cas de risque de surcoût important. Afin de sécuriser cette dérogation, les critères seraient également renvoyés à un décret.

Le passage à des solutions cloud souveraines ou équivalentes représente un coût non négligeable pour les collectivités assujetties, qui se décline en plusieurs postes :

• Surcoût de migration des systèmes existants vers des offres conformes
• Prime de prix des solutions souveraines par rapport aux offres des hyperscalers, estimée entre 20 et 40 % selon les solutions
• Coût d’expertise juridique et technique pour la qualification des données « sensibles »
• Coût de formation et d’organisation des équipes informatiques
• Frais éventuels de résiliation anticipée de contrats en cours.

I. – Après l’alinéa 11, insérer l’alinéa suivant : 

« Lorsque, à la date d’entrée en vigueur de la loi n°       du       relative à la sécurisation des marchés publics numériques, une administration mentionnée au I justifie d’un risque de surcoût important, cette administration peut déroger au même I, dans des conditions et selon des critères définis par décret en Conseil d’État. »

II. – En conséquence, à la première phrase de l’alinéa 12, substituer aux mots :

« au premier alinéa »

les mots :

« aux premier et second alinéas ».

La définition des « données sensibles » applicable aux collectivités territoriales, distincte de celle applicable à l’État a le mérite d’être inscrite dans la loi, cependant, elle reste floue et nécessite des précisions.

Par cet amendement, il est demandé de travailler avec les collectivités à un document (circulaire, vade-mecum ou autre) précisant la définition de ces données sensibles afin de sécuriser juridiquement l’application de la présente loi.

Compléter l’alinéa 10 par la phrase suivante : 

« Un décret après avis de la Commission nationale de l’informatique et des libertés précise les données concernées. »

Le présent amendement propose de faire passer la durée de dérogation de 18 à 24 mois, afin de laisser le temps aux collectivités assujetties de migrer leurs systèmes.

Ce délai permet de tenir davantage compte des durées de passation des marchés, qui s’étalent sur plusieurs années.

À l’alinéa 11, substituer au mot :

« dix-huit »

le mot :

« vingt-quatre ».

Le décret en Conseil d’État prévu à l’article 31 de la loi SREN – qui devait préciser dans un délai de 6 mois les critères de sécurité et de protection, y compris les seuils de détention du capital – n’a pas été publié à jour.

En commission, le rapporteur a fait état d’une publication prochaine de décret.

Il semble toutefois complexe d’envisager une extension de l’article 31 aux collectivités alors même que le texte d’application est toujours en attente, au risque de générer de l’insécurité juridique.

Il est donc proposé par cet amendement de conditionner l’entrée en vigueur de la présente proposition de loi à la publication dudit décret.

En outre, afin de sécuriser les contrats ne pouvant pas être résiliés sans indemnités importantes, il est prévu une application uniquement aux nouveaux contrats.

L’entrée en vigueur interviendrait au plus tôt six mois après promulgation. A cette date, les collectivités ayant déjà engagé un recours à l’informatique en nuage pourraient conserver cette solution pendant dix-huit mois.

Au total, l’entrée en vigueur complète serait ainsi de 24 mois, ce qui laisse le temps aux collectivités assujetties de migrer leurs systèmes.

Ces délais permettent de tenir compte des durées de passation des marchés, qui s’étalent sur plusieurs années.

Rétablir l’alinéa 14 dans la rédaction suivante : 

« III. – Le II s’applique aux contrats conclus à compter d’une date fixée par le décret prévu au V de l’article 31 de la loi précitée, et au plus tôt le premier jour du sixième mois suivant la promulgation de la présente loi. »

Le présent amendement propose de faire passer la durée de dérogation de 18 à 24 mois, afin de laisser le temps aux collectivités assujetties de migrer leurs systèmes.

Ce délai permet de tenir davantage compte des durées de passation des marchés, qui s’étalent sur plusieurs années.

À l’alinéa 11, substituer au mot :

« dix-huit »

le mot :

« vingt-quatre ».

La définition des « données sensibles » applicable aux collectivités territoriales, distincte de celle applicable à l'État a le mérite d’être inscrite dans la loi, cependant, elle reste floue et nécessite des précisions.

Par cet amendement, il est demandé de travailler avec les collectivités à un document (circulaire, vade-mecum ou autre) précisant la définition de ces données sensibles afin de sécuriser juridiquement l’application de la présente loi.

Compléter l’alinéa 10 par la phrase suivante : 

« Un décret après avis de la Commission nationale de l’informatique et des libertés précise les données concernées. »

Cet amendement vise à simplifier la rédaction de l’alinéa 12, en s’en tenant à une délibération motivée pour prendre une décision de dérogation.

En effet, les délibérations sont publiques.

I. – À la fin de la première phrase de l’alinéa 12, supprimer les mots : 

« motivée et rendue publique. »

II. – En conséquence, au début de la seconde phrase de l’alinéa 12, supprimer les mots : 

« Elle est ». 

III. – En conséquence, à la même seconde phrase du même alinéa 12, après le mot : 

« délibération »

insérer le mot : 

« motivée ».