Amendement N° CL107 (Adopté)

L’article 18 impose aux cabinets de conseil souhaitant participer à la passation d’un contrat de la commande publique de systématiquement produire les conclusions d’un audit de sécurité, attestant d’un niveau minimal de sécurité, réalisé conformément à un référentiel de sécurité établi par l’autorité nationale de la sécurité des systèmes d’information (ANSSI). Cette disposition vise à renforcer la protection des données de l’administration.

Toutefois, en l’état de sa rédaction, l’article 18 n’est pas compatible avec les principes issus des directives 2014/24/UE et 2014/25/UE relatives aux marchés publics.

En effet, l’article 58 de la directive 2014/24/UE (et, par renvoi, l’article 80 de la directive 2014/25/UE) prévoit que toutes les conditions de participation imposées aux opérateurs économiques doivent être limitées « à celles qui sont propres à garantir qu’un candidat ou un soumissionnaire dispose de la capacité juridique et financière ainsi que des compétences techniques et professionnelles nécessaires pour exécuter le marché à attribuer. Toutes les conditions sont liées et proportionnées à l’objet du marché ».

Ce lien nécessaire entre conditions de participation et objet du marché, comme l’exigence de proportionnalité, ont encore été récemment rappelés par le Conseil d’État (CE, 12 avril 2023, Office national des forêts, req. n° 466740).

Or, en visant l’ensemble des marchés pour lesquels un prestataire de conseil est susceptible de déposer une candidature, l’article 18 de la proposition de loi inclut nécessairement des marchés n’exigeant aucunement que soit spécifiquement garantie la sécurité des systèmes d’information.

S’il est incontestable que certains marchés exigent un haut niveau de sécurité des systèmes d’information, il convient de réserver à ceux-là la production des conclusions d’un audit de sécurité.

Par ailleurs, l’annexe XII de la directive 2014/24/UE liste, notamment, les éléments acceptés au titre de la preuve des capacités techniques des opérateurs techniques. À cet égard, est entre autres visé comme moyen de preuve, le contrôle effectué « par un organisme officiel compétent du pays dans lequel le fournisseur ou le prestataire de services est établi » – si bien qu’il est indispensable que soient acceptées les conclusions d’audit réalisé par un prestataire qualifié conformément à un référentiel établi non seulement par l’ANSSI, mais également tout document équivalent d’un autre État membre de l’Union européenne.