Projet de loi sur la résilience des entités critiques et portant modification de la loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale Texte des amendements Amendement 1 – Lorsqu’un acte est cité, son intitulé tel que publié officiellement est reproduit. Motivation de l’amendement Cet amendement tient compte des observations d’ordre légistique émises par le Conseil d’État. Partant, à travers le texte du projet de loi, les titres suivants ont fait l’objet d’amendements : - - règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques ; loi modifiée du 23 décembre 1998 portant création d’une commission de surveillance du secteur financier. Amendement 2 – Lorsqu’un article se réfère à une disposition figurant dans le dispositif et, le cas échéant, dans ses annexes, il est omis de rappeler qu’il s’agit du « présent » acte, article, paragraphe, point, alinéa ou groupement d’articles. Motivation de l’amendement Le texte du projet de loi est amendé à plusieurs endroits afin de tenir compte de cette observation d’ordre légistique émise par le Conseil d’État. Amendement 3 – Lorsqu’il est renvoyé à un premier alinéa dans le corps du dispositif, il est renvoyé à l’ « alinéa 1er » et non pas au « premier alinéa ». Ceci vaut également pour les alinéas subséquents. Motivation de l’amendement Cet amendement tient compte des observations d’ordre légistique émises par le Conseil d’État. 1 Amendement 4 – Lorsqu’il est renvoyé à une subdivision, le numéro du point auquel il est renvoyé est suivi par un exposant « ° ». Motivation de l’amendement Cet amendement tient compte des observations d’ordre légistique émises par le Conseil d’État. Amendement 5 – Le renvoi à la directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2) a été remplacé par un renvoi à la législation nationale transposant cette directive. Motivation de l’amendement Étant donné que les directives n’ont pas d’effet direct en droit national, ces renvois sont à remplacer par des renvois à la législation nationale transposant les directives visées.1 Alors que le texte portant transposition de la directive (UE) 2022/2555 est toujours en état de projet de loi, il est prévu de suivre la recommandation du Conseil d’État émise dans son avis 61.799 et de veiller à ce que les projets de loi transposant les directives (UE) 2022/2555 et 2022/25572 entrent en vigueur de manière concomitante. Amendement 6 – Les termes de « État membre » sont complétés par les termes « de l’Union européenne ». Motivation de l’amendement Cet amendement tient compte des observations d’ordre légistique émises par le Conseil d’État dans son avis n° 61.799 relatif au projet de loi n° 8364 concernant des mesures destinées à assurer un niveau élevé de cybersécurité. Amendement 7 – L’intitulé du projet de loi est modifié comme suit : « Projet de loi sur la résilience des entités critiques et portant modification de portant transposition de la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil, et modifiant : 1° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État ; Voir avis du Conseil d’État n° 61.799. Directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil, ci-après « directive CER ». 1 2 2 2° la loi modifiée du 23 juillet 2016 portant création d’un Haut-Commissariat à la Protection nationale » Motivation de l’amendement concernant l’intitulé du projet de loi D’une part, l’intitulé est modifié afin de tenir compte des observations d’ordre légistique du Conseil d’État. En effet, toute référence à des directives européennes est à omettre dans l’intitulé des lois qui contiennent des dispositions autonomes. D’autre part, vu qu’il est proposé de supprimer l’article 20 du projet de loi (voir amendement n° 27), la référence à la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État est devenue superfétatoire. Amendement 8 – L’intitulé du chapitre 1er est modifié comme suit : « Chapitre 1er – Définition et cChamp d’application et définitions » Motivation de l’amendement concernant l’intitulé du chapitre 1er L’intitulé est modifié afin de tenir compte du fait que les dispositions relatives au champ d’application de la loi en projet précèdent les définitions. Amendement 9 – Un nouvel alinéa et ajouté à l’article 1er, paragraphe 2 : « Les actes juridiques sectoriels de l’Union européenne ayant un effet au moins équivalent à la présente loi sont fixés par règlement grand-ducal. » Motivation de l’amendement concernant l’article 1er, paragraphe 2 Un nouvel alinéa est ajouté au paragraphe 2 en réponse à l’opposition formelle émise par le Conseil d’État. Dans son avis du 23 janvier 2024, le Conseil d’État estime que le paragraphe 2, source d’insécurité juridique, n’a pas sa place dans le projet de loi. En effet, elle ne prévoit aucun mécanisme permettant de dire quelle disposition, européenne ou nationale, aura la priorité et s’appliquera par voie de conséquence. De ce fait, un nouvel alinéa a été ajouté au paragraphe 2 afin d’assurer que les dispositions d’actes juridiques sectoriels de l’Union européenne ayant au moins un effet équivalent au projet de loi sont connues. 3 Amendement 10 – L’article 1er, paragraphe 3, est supprimé. Motivation de l’amendement concernant l’article 1er D’après le Conseil d’État, la disposition proposée n’a aucune plus-value juridique. Il en est donc fait abstraction. Amendement 11 – L’article 3, alinéa 1er, est modifié comme suit : « La Commission de surveillance du secteur financier est l’autorité compétente chargée de veiller à l’application correcte de la présente loi pour le secteur bancaire et le secteur des infrastructures des marchés financiers, figurant aux points 3° et 4° du tableau de l’annexe, ainsi que le secteur des infrastructures numériques, figurant au point 8° du tableau de l’annexe, pour les activités qui tombent sous la surveillance de la Commission de surveillance du secteur financier. » Motivation de l’amendement concernant l’article 3, alinéa 1er L’alinéa 1er est modifié afin de remédier aux fautes d’orthographe. Amendement 12 – L’article 7, paragraphe 1er, est modifié comme suit : «
(1)Les autorités compétentes recensent les entités critiques, et leurs infrastructures critiques afférentes, pour les secteurs et sous-secteurs figurant à l’annexe, dans leurs champs de compétences respectifs. La désignation d’une entité critique, et de ses infrastructures critiques, fait l’objet d’un arrêté grand-ducal. » Motivation de l’amendement concernant l’article 7, paragraphe 1er D’une part, la référence aux « infrastructures critiques » des entités critiques a été rajoutée au paragraphe 1er, alinéas 1er et 2, suite à la récente modification du Code pénal. En effet, d’après l’article 509-4, alinéa 2 du Code pénal, « Sera puni […], celui qui aura commis les infractions visées aux articles 509-1 à 509-3 contre un système d’information d’une infrastructure critique ou qui, par la commission de ces infractions, aura causé un préjudice grave à un tel système d’information. » Il est ainsi nécessaire de savoir, lorsqu’une entité critique est recensée, quelles de ses infrastructures sont critiques. Afin de clarifier ce point, le texte sous projet se propose donc de recenser les infrastructures critiques simultanément au recensement des entités critiques. D’autre part, le Conseil d’État recommande dans son avis de clarifier que chaque autorité compétente recense et désigne les entités critiques relevant de son champ d’intervention respectif. Ainsi, les termes « dans leurs champs de compétences respectifs » sont ajoutés à la fin de l’alinéa 1er. 4 Amendement 13 – L’article 7, paragraphe 4, alinéa 1er, est modifié comme suit : «
(4)Les autorités compétentes dressent une liste des entités critiques recensées et désignées en vertu du paragraphe 2 et veillent à ce que ces entités critiques reçoivent notification de ce qu’elles ont été désignées en tant qu’entités critiques et informent ces entités critiques de ce qu’elles ont été désignées en tant qu’entité critique dans un délai d’un mois à compter de cette désignation. Les autorités compétentes informent ces entités critiques des obligations qui leur incombent en vertu des chapitres 4 et 5 et de la date à partir de laquelle ces obligations leur sont applicables, sans préjudice de l’article
- Les autorités compétentes informent les entités critiques des secteurs figurant aux points 3° et 4° du tableau de l’annexe qu’elles ne sont soumises à aucune des obligations prévues aux chapitres 4 et
- De même, les autorités compétentes informent les entités critiques du secteur figurant au point 8° du tableau de l’annexe qu’elles ne sont soumises à aucune des obligations prévues aux chapitres 4 et 5, pour les activités qui tombent sous la surveillance de la Commission de surveillance du secteur financier. » Motivation de l’amendement concernant l’article 7, paragraphe 4 Le paragraphe 4 de l’article 7 est modifié au vu de l’avis du Conseil d’État qui suggère de remplacer, au niveau de la première phrase, les termes « et veillent à ce que ces entités critiques reçoivent notification de ce qu’elles ont été désignées en tant qu’entités critiques » par les termes « et informent ces entités critiques de ce qu’elles ont été désignées en tant qu’entité critique ». Amendement 14 – L’article 8 est modifié comme suit : « L’article 10 et les chapitres 4, 5 et 6 ne s’appliquent ni aux entités critiques recensées dans les secteurs figurant aux points 3° et 4° du tableau de l’annexe, ni aux entités critiques recensées dans le secteur figurant au point 8° du tableau de l’annexe, pour les activités qui tombent sous la surveillance de la Commission de surveillance du secteur financier, ni aux entités critiques recensées dans le secteur de l’administration publique qui exercent des activités dans le domaine de la défense. » Motivation de l’amendement concernant l’article 8 Initialement, les auteurs du projet de loi avaient fait le choix de ne pas reprendre l’option donnée par la directive d’exclure les secteurs de la sécurité nationale, de la sécurité publique et de la défense du champ d’application du projet de loi vu que déjà aujourd’hui, certaines entités de ces secteurs ont été recensées comme critiques. Or, suite à un échange avec la Direction de la défense, il s’est avéré que le secteur de la défense est d’ores et déjà soumis à une régulation distincte et spécialisée au niveau de l’Organisation du traité de l’Atlantique nord (OTAN). Imposer à ce secteur de devoir respecter en outre les exigences de la loi sous projet reviendrait à faire double emploi avec les obligations imposées par l’OTAN. De plus, soumettre le secteur de la défense à la loi sous projet reviendrait à le soumettre à des 5 obligations de rapportage additionnelles qui pourraient compromettre la confidentialité des opérations militaires et la confiance de leurs partenaires internationaux. Cependant, puisque la loi sous projet vise à être exhaustive dans le recensement des entités critiques sises sur le territoire luxembourgeois, il a été opté de ne pas exclure totalement les entités de l’administration publique qui exercent leurs activités dans le domaine de la défense du champ d’application du texte de loi. Ainsi, ces entités seront recensées et désignées en tant qu’entités critiques, mais elles seront soumises à des règles internationales qui leur sont propres. Amendement 15 – L’article 10, première phrase, est modifié comme suit : « Chaque fois que cela est approprié, l’es autorités compétentes se consultent avec les autorités compétentes des autres États membres de l’Union européenne au sujet des entités critiques aux fins d’assurer l’application cohérente de la présente loi. » Motivation de l’amendement concernant l’article 10, première phrase En raison de la seule compétence du Haut-Commissariat à la Protection nationale, les termes sont ajustés au singulier. En effet, la Commission de surveillance du secteur financier, en raison de l’exclusion prévue à l’article 8, n’est pas concernée par l’article
- Selon l’article 8 du projet de loi, l’article 10 ne s’applique pas aux entités critiques recensées dans les secteurs figurant aux points 3° et 4° du tableau de l’annexe, ni aux entités critiques recensées dans le secteur figurant au point 8° du tableau de l’annexe, pour les activités qui tombent sous la surveillance de la Commission de surveillance du secteur financier. Amendement 16 – L’article 11, paragraphe 1er, est modifié comme suit : «
(1)Sans préjudice de l’article 7, paragraphe 4, deuxième alinéa 2, les entités critiques procèdent à une évaluation des risques dans un délai de neuf mois suivant la réception de la notification visée à l’article 7, paragraphe 4, et ensuite, selon les besoins, mais selon les besoins par la suite et au moins tous les quatre ans, sur la base de l’évaluation des risques visée à l’article 6 et d’autres sources d’informations pertinentes, afin d’évaluer tous les risques pertinents qui pourraient perturber la fourniture de leurs services essentiels, (ci-après dénommée « évaluation des risques d’entité critique »). Motivation de l’amendement concernant l’article 11, paragraphe 1er Dans son avis, le Conseil d’État recommande d’écrire que « […], les entités critiques procèdent à une évaluation des risques dans un délai de neuf mois suivant la réception de la notification visée à l’article 7, paragraphe 4, et ensuite, selon les besoins, mais au moins tous les quatre ans, […] ». Ainsi, ce paragraphe a été modifié. 6 En outre, la nouvelle formulation tient compte des observations d’ordre légistique du Conseil d’État. Amendement 17 – L’article 12 est modifié comme suit : «
(1)Les entités critiques prennent des mesures techniques, des mesures de sécurité et des mesures organisationnelles appropriées et proportionnées pour garantir leur résilience, sur la base des informations pertinentes fournies par l’es autorités compétentes concernant l’évaluation des risques visée à l’article 6 et les résultats de l’évaluation des risques d’entité critique, y compris des mesures nécessaires pour : […]
(2)Les entités critiques mettent en place et appliquent un plan de résilience ou un ou plusieurs documents équivalents, qui décrivent les mesures prises en application du paragraphe 1er. Lorsque les entités critiques ont élaboré des documents ou pris des mesures en vertu d’obligations prévues dans d’autres actes juridiques qui sont pertinents pour les mesures visées au paragraphe 1er, elles peuvent utiliser ces documents et mesures pour satisfaire aux exigences énoncées dans le présent article. Dans l’exercice de ses fonctions de supervision, l’autorité compétente peut déclarer que des mesures existantes de renforcement de la résilience prises par une entité critique qui portent, de manière appropriée et proportionnée, sur les mesures techniques, les mesures de sécurité et les mesures organisationnelles visées au paragraphe 1er respectent, en tout ou en partie, les obligations prévues par le présent article.
(3)Chaque entité critique désigne un agent de liaison ou une personne ayant une fonction équivalente en tant que point de contact avec l’es autorités compétentes. » Motivation de l’amendement concernant l’article 12 En raison de la seule compétence du Haut-Commissariat à la Protection nationale, les termes aux paragraphes 1er et 3 sont ajustés au singulier (voir amendement n° 15). Suite à la proposition du Conseil d’État de reprendre le principe qui figure à l’article 13, paragraphe 2, deuxième phrase, de la directive CER, afin de mettre le texte du projet de loi en conformité avec celui du commentaire des articles qui prévoit que « [à] l’instar de ce qui est prévu pour l’évaluation des risques effectuée par les entités critiques et pour éviter les doubles emplois, l’article 12 permet aux entités critiques d’utiliser les mesures prises en vertu d’autres actes juridiques, afin de satisfaire aux exigences [de l’article 12] », une nouvelle phrase a été ajoutée au paragraphe 2 reprenant ce principe. Amendement 18 – L’article 13 est modifié comme suit : «
(1)La Police grand-ducale est chargée de procéder procède, sur demande de l’entité critique et dans le seul but d’évaluer un risque potentiel pour la sécurité de l’entité concernée, à des vérifications des antécédents et en est le responsable du traitement tel que défini par le règlement 7 (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE. Elle procède, sur demande des entités critiques et dans le seul but d’évaluer un risque potentiel pour la sécurité de l’entité concernée, à des vérifications des antécédents des personnes : 1° qui occupent des fonctions sensibles au sein de l’entité critique ou au bénéfice de celle-ci, notamment en ce qui concerne la résilience de l’entité critique ; 2° qui occupent la fonction de responsable du système informatique ou du système de contrôle de l’entité critique ; ou 3° dont le recrutement est envisagé à des postes répondant aux critères énoncés aux points 1° ou à 2°. Par rapport aux données qu’elle traite dans ce contexte, la Police grand-ducale est le responsable du traitement tel que défini par la loi du 1er août 2018 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale. Préalablement à l’introduction de la demande visée au paragraphe 1er de vérification des antécédents, les catégories de personnes tenues de faire l’objet d’une vérification des antécédents désignées dans le cadre des mesures prévues à l’article 12, sont approuvées par l’autorité compétente. feront l’objet d’un avis favorable par l’autorité compétente. Une copie de cette approbation est cet avis sera transmise à la Police grand-ducale.
(2)Cette demande contient les éléments suivants : 1° l’identité de la personne visée au paragraphe 1er : noms et prénoms, date et lieu de naissance, résidence, nationalité, numéro d’identification national et numéro de la pièce d’identité ainsi qu’une photographie récente ; 2° la nature du contrat de travail ou de la relation juridique liant la personne visée au paragraphe 1er à l’entité critique ; 3° la déclaration écrite ou électronique de la personne visée au paragraphe 1er, contenant l’autorisation de procéder à une vérification des antécédents et de demander toute information relative à la demande disponible et directement accessible aux autorités compétentes nationales, ou tout document équivalent auprès des autorités des pays de résidence des cinq dernières années ou dont il a la nationalité ; 8 4° une liste des lieux de résidence des cinq dernières années et un certificat de résidence datant de moins de trois mois ; 5° un extrait du casier judiciaire des pays énoncés au point 3°où la personne visée au paragraphe 1er a résidé les cinq dernières années ou dont elle a la nationalité, à l’exception du Luxembourg, datant de moins de trois mois ; 6° l’accord de la personne visée au paragraphe 1er, que le bulletin N° 2 du casier judiciaire puisse être délivré directement à la Police grand-ducale ; 7° la signature de la personne visée au paragraphe 1er ; 8° le cachet et la signature de l’entité dont relève la personne visée au paragraphe 1er, précédés d’une attestation de ladite entité certifiant le bien-fondé et les motifs de la demande ; 9° une documentation concernant les emplois et, les études et les interruptions au cours des cinq dernières années ; 10° une photocopie de la carte d’identité ou du passeport en cours de validité ; 11° un questionnaire biographique dûment rempli. La Police grand-ducale, dans le cadre de ses recherches : 1° consulte les fichiers qui lui sont légalement accessibles, pour autant que cette consultation soit pertinente quant à la finalité recherchée ; 2° adresse une demande motivée au procureur général d’État en vue de l’obtention d’un extrait du casier judiciaire de l’autorité compétente de l’État membre de l’Union européenne dont la personne a la nationalité ou de l’autorité compétente de l’État membre de l’Union européenne dans lequel la personne a résidé au cours des cinq dernières années si la personne visée à l’article 13, paragraphe 1er, possède la nationalité d’un pays étranger ou réside dans un pays étranger et sous condition de disposer de l’accord écrit ou électronique de cette personne ; 3° consulte tout employeur de la personne concernée ou tout établissement d’éducation fréquenté par la personne concernée afin de vérifier l’authenticité des informations fournies. 9
(3)La Police grand-ducale procède à la vérification des antécédents sur une période de cinq ans précédant la demande. Lorsque la personne visée au paragraphe 1er est âgée de moins de vingttrois ans au moment de l’introduction de la demande, la Police grand-ducale est autorisée à consulter le registre spécial prévu par l’article 15 de la loi modifiée du 10 août 1992 relative à la protection de la jeunesse. Toute demande incomplète est retournée à l’entité critique requérante et non traitée.
(4)Au terme de la vérification, la Police grand-ducale émet, en application de l’alinéa 2, un avis relatif au risque potentiel que la personne visée au paragraphe 1er représente pour la sécurité de l’entité critique. La vérification des antécédents est considérée comme échouée s’il ressort des informations recueillies que la personne visée au paragraphe 1er a : 1° commis ou tenté de commettre une des infractions contre la sûreté de l’État visées aux articles 101 à 135-17 du Code pénal ; 2° commis ou tenté de commettre une des infractions de faux en écriture et d’usage de faux en écriture visées aux articles 194 à 197 du Code pénal ; 3° commis ou tenté de commettre une des infractions de corruption visées aux articles 246 à 250 du Code pénal ; 4° commis ou tenté de commettre une des infractions d’escroquerie et de tromperie visées aux article 496 à 501 du Code pénal ; 5° fait des fausses déclarations en relation avec la demande de vérification des antécédents. La Police grand-ducale transmet cet avis motivé au ministre ayant la Protection nationale dans ses attributions, ci-après dénommé « ministre ».
(3)Au terme de la vérification, la Police grand-ducale émet, en application de l’article 14, paragraphe 3, un avis qu’elle transmet à l’entité critique requérante. La Police grand-ducale ne communique pas à l’entité requérante les informations personnelles qu’elle a recueillies dans le cadre de la vérification des antécédents.
(4)Les vérifications des antécédents ont une durée de validité de 5 ans. Une demande de renouvellement pour une vérification des antécédents est à introduire au plus tôt six mois et au plus tard quatre mois avant la fin de validité de la vérification des antécédents actuelle. La décision de renouvellement de la vérification des antécédents prend effet à la fin de validité de la décision antérieure. 10 Motivation de l’amendement concernant l’article 13 L’article 13 a subi plusieurs modifications afin de tenir compte des remarques du Conseil d’État et de clarifier la procédure des vérifications des antécédents. Le nouveau paragraphe 1er, alinéas 1er et 2, initialement le paragraphe 1er, alinéa 1er, reprend la compétence de la Police grand-ducale pour procéder aux vérifications des antécédents de certaines catégories de personnes citées aux points 1° à 3°. Le paragraphe initial est divisé en deux alinéas et a été reformulé de façon à tenir compte de la proposition de texte du Conseil d’État. En sus, le Conseil d’État propose d’intégrer le point 3° au paragraphe 4 initial au niveau duquel il est précisé que les vérifications des antécédents ont une durée de validité de cinq ans et qu’à l’expiration de la durée de validité, une nouvelle vérification des antécédents doit être réalisée. Or, ces points 1°, 2° et 3° sont des critères alternatifs qui permettent de définir les catégories de personnes pour lesquelles une vérification des antécédents pourra être demandée. Afin clarifier que les points 1° à 3° ne représentent pas des critères cumulatifs, le terme « ou » a été rajouté après le point 2° de ce nouveau paragraphe
- En outre, le terme « à » au point 3° du paragraphe 1er a été remplacé par le terme « ou » afin de reprendre la même terminologie que celle dans la directive CER. Alors que le texte de l’alinéa 3 du paragraphe 1er reprend en majeure partie le texte de l’ancien paragraphe 1er, dernier alinéa, les termes « feront l’objet d’un avis favorable par l’autorité compétente » ont été remplacés par les termes « seront approuvées par l’autorité compétente ». Ainsi, les auteurs du texte ont voulu répondre à l’opposition formelle formulée par le Conseil d’État qui s’interroge sur la nature de l’intervention de l’autorité compétente. En ce qui concerne le paragraphe 2, alinéa 1er, point 3°, les termes à partir de « et de demander […] » ont été supprimés en réponse à l’opposition formelle émise par le Conseil d’État. Le Conseil d’État estime que cette disposition ouvre, dans une matière réservée à la loi, l’accès à un nombre indéterminé d’informations dont les contours sont insuffisamment précis et demande de mieux circonscrire les informations auxquelles la Police grand-ducale pourra accéder. Les termes du point 5° du paragraphe 2, alinéa 1er, sont ajustés et précisés en raison de la suppression de la dernière partie du point 3°. La références aux « interruptions » est supprimée du point 9° conformément à la suggestion du Conseil d’État. En effet, le Conseil d’État s’est demandé quelle pourrait être la documentation concernant les interruptions au cours des cinq dernières années. Le Conseil d’État estime que cet aspect du parcours d’une personne peut être intégré au questionnaire biographique figurant au point 11°. Un nouvel alinéa 2 est ajouté au paragraphe
- Cet alinéa reprend, en son point 1°, dans une terminologie modifiée, la dernière partie de la disposition supprimée du point 3° de l’alinéa 1 er (« et de demander […] »). Afin de donner suite à l’opposition formelle exprimée par le Conseil d’État à l’occasion du point 3°, la nouvelle formulation limite la recherche de la Police grandducale aux fichiers qui lui sont légalement accessibles. Notons que cette nouvelle formulation 11 s’inspire fortement de l’article 17, paragraphe 2, alinéa 2, de la loi du 7 août 2023 sur l’organisation de l’Armée luxembourgeoise. Les points 2° et 3° du paragraphe 2, nouvel alinéa 2, ont été repris de l’article 14, paragraphes 1er et 2, du texte initial. En effet, il a été jugé plus cohérent de regrouper dans un alinéa toutes les recherches que la Police grand-ducale peut entreprendre dans le cadre de la vérification d’antécédents. En outre, le libellé du point 2° a été changé, afin de tenir compte d’une opposition formelle du Conseil d’État à l’occasion de l’article 14, paragraphe 1er. En effet, le Conseil d’État s’est interrogé sur l’intérêt qu’il y a de disposer du casier judiciaire d’une personne afin de procéder à son identification. En réponse à cette opposition formelle, la première partie de ce paragraphe n’a pas été reprise (« Dans le cadre de l’établissement de l’identité de la personne […] ») et ce paragraphe a été ajouté en tant que point 2° dans l’alinéa 2 du paragraphe
- Cependant, le texte du projet de loi maintient la possibilité pour la Police grand-ducale de demander au procureur général d’État le casier judiciaire d’un autre État membre de l’Union européenne, afin de transposer en droit luxembourgeois l’article 14, paragraphe 3, alinéa 2, de la directive CER qui prescrit l’utilisation du système européen d’information sur les casiers judiciaires (ECRIS) dans le cadre des vérifications d’antécédents. Or, puisque ledit système ne renseigne que sur les casiers judiciaires d’États membres de l’Union européenne tout en faisant abstraction des pays tiers, les auteurs du projet de loi estiment nécessaire de maintenir l’article 13, paragraphe 2, point 5°. En ce qui concerne le point 3° du paragraphe 2, nouvel alinéa 2, la terminologie a été adaptée conformément à la reformulation préconisée par le Conseil d’État. Le nouveau paragraphe 3 reprend l’article 13, paragraphe 2, alinéas 2 et 3, du texte initial. Le terme « grand-ducale » a été ajouté après « Police » à titre de précision. Un nouveau paragraphe 4 a été ajouté, reprenant le principe de l’article 13, paragraphe 3, du texte initial. Or, la terminologie a été modifiée afin de préciser que l’avis rendu par la Police grandducale concernera le risque potentiel que la personne visée à l’article 13, paragraphe 1er, représente pour la sécurité de l’entité critique. Le nouveau paragraphe 4 de l’article 13, est repris de l’article 14, paragraphe 4, du texte initial et reproduit les critères d’échec à la vérification des antécédents. Des critères d’échec à la vérification des antécédents supplémentaires ont été ajoutés, notamment les points 2° et 4° afin de couvrir tous les risques que la personne visée à l’article 13, paragraphe 1er, pourrait représenter pour la sécurité de l’entité critique. Cet avis de la Police grand-ducale sera transmis au ministre ayant la Protection nationale dans ses attributions. 12 Amendement 19 – L’article 14 est remplacé comme suit : «
(1)Le ministre émet une décision relative au risque potentiel que la personne visée à l’article 13, paragraphe 1er, représente pour la sécurité de l’entité critique, en prenant en considération l’avis de la Police grand-ducale.
(2)Le ministre notifie la décision motivée relative à la vérification des antécédents à la personne visée à l’article 13, paragraphe 1er.
(3)Le ministre transmet la décision à l’entité critique requérante sans lui communiquer les informations personnelles qu’elle a reçues dans l’avis de la Police grand-ducale. L’entité critique requérante est tenue de suivre la décision du ministre.
(4)La personne visée à l’article 13, paragraphe 1er, qui a échoué à la vérification des antécédents peut, sur demande écrite et dans un délai de trente jours à partir de la date de notification de la décision, à adresser au ministre, solliciter l’accès au dossier sur lequel est fondée sa décision. Elle peut, à cette fin, consulter toutes les pièces du dossier constitué par le ministre dans le cadre de la prise de décision relative à la vérification des antécédents. La demande introduite auprès du ministre n’interrompt pas les délais de recours devant les juridictions administratives.
(5)La décision du ministre visée au paragraphe 1er a une durée de validité de cinq ans. Une demande de renouvellement pour une vérification des antécédents est à introduire par l’entité critique au plus tôt six mois et au plus tard quatre mois avant la fin de validité de la décision du ministre. La décision de renouvellement de la vérification des antécédents prend effet à la fin de validité de la décision antérieure. » Art. 14.
(1)Dans le cadre de l’établissement de l’identité de la personne visée à l’article 13, paragraphe 1er, la Police grand-ducale consulte les autorités policières étrangères. Si la personne visée à l’article 13, paragraphe 1er, possède la nationalité d’un pays étranger ou réside dans un pays étranger et sous condition de disposer de l’accord écrit ou électronique de cette personne, la Police grand-ducale peut adresser une demande motivée au procureur général d’État en vue de l’obtention d’un extrait du casier judiciaire de l’autorité compétente de l’État membre dont la personne a la nationalité ou de l’autorité compétente de l’État membre dans lequel la personne a résidé au cours des cinq dernières années.
(2)La Police grand-ducale peut également consulter tout employeur ou tout établissement d’éducation antérieur ou actuel afin de vérifier l’authenticité des informations fournies.
(3)La Police grand-ducale peut demander à la personne visée à l’article 13, paragraphe 1er, toute précision qu’elle juge utile par rapport aux éléments fournis dans sa demande. 13
(4)La Police grand-ducale indique dans son avis si la personne visée à l’article 13, paragraphe 1era : 1° commis ou tenté de commettre une des infractions contre la sûreté de l’État visées aux articles 101 à 135-17 du Code pénal ; 2° commis ou tenté de commettre une des infractions de corruption visées aux articles 246 à 250 du Code pénal ; 3° fait des fausses déclarations en relation avec la demande de vérification des antécédents. Motivation de l’amendement concernant la modification de l’article 14 Les éléments prévus par l’article 14, paragraphes 1er et 2, ont été repris dans l’article 13, paragraphe 2, alinéa 2. L’article 14, paragraphe 3, n’ajoute, selon le Conseil d’État, rien à la substance du dispositif et a donc été omis. Dans son avis, le Conseil d’État constate que le texte initial de l’article 13, paragraphe 3, reste muet sur la suite de la procédure de vérification des antécédents. En l’absence d’autres précisions, le Conseil d’État estime qu’il appartiendra à l’entité critique de prendre la décision. Devra-t-elle suivre l’avis de la Police grand-ducale ? Qu’adviendra-t-il si elle passe outre à un avis négatif de la Police grand-ducale ? Y aura-t-il des sanctions dans ce cas ? De ce fait, un nouvel paragraphe 1er a été ajouté à l’article 14 pour faire face à l’absence de procédure au terme de la vérification des antécédents effectuée par la Police grand-ducale. En effet, en prenant en considération l’avis de la Police grand-ducale, il appartiendra au ministre ayant la Protection nationale dans ses attributions d’émettre une décision relative au risque potentiel que la personne visée à l’article 13, paragraphe 1er, représente pour la sécurité de l’entité critique. Le ministre ayant la Protection nationale dans ses attributions notifiera ensuite sa décision motivée à la personne faisant l’objet de la vérification des antécédents (paragraphe 2). Ledit ministre transmettra également sa décision à l’entité requérante, sans lui communiquer les données personnelles qu’il a reçues dans l’avis de la Police grand-ducale. L’entité critique requérante est tenue de suivre la décision du ministre (paragraphe 3). Le nouveau paragraphe 4, inspiré de l’article 17, paragraphe 8, de la loi du 7 août 2023 sur l’organisation de l’Armée luxembourgeoise, porte sur le recours dont disposera la personne concernée contre les décisions qui sont prises à son encontre et de l’accès au dossier qui a été constitué dans le cadre de la vérification des antécédents, en réponse à l’opposition formelle émise par le Conseil d’État pour contrariété au principe de sécurité juridique et aux principes constitutionnels d’accès au juge et de recours effectif. 14 Le texte du paragraphe 5 est repris du paragraphe 4 de l’article 13 du texte initial. Les termes « par l’entité critique » ont été ajoutés afin de préciser par qui la demande de renouvellement pourra être faite. Amendement 20 – L’article 15, paragraphe 2, est modifié comme suit : «
(2)Les données à caractère personnel en relation avec les vérifications des antécédents sont conservées pendant une année à partir de la notification de l’avis à l’entité critique.sont détruites six mois après une décision ayant acquis force de chose décidée ou jugée. » Motivation de l’amendement concernant l’article 15, paragraphe 2 L’article 15, paragraphe 2, a été modifié en réponse à l’opposition formelle émise par le Conseil d’État. Le Conseil d’État s’est interrogé sur les raisons qui justifieraient une conservation générale des données à caractère personnel d’un an. Il a été décidé de ne conserver les données à caractère personnel que pour une durée de six mois. Cette durée est inspirée de l’article 17, paragraphe 9, de la loi du 7 août 2023 sur l’organisation de l’Armée luxembourgeoise et est, d’un côté, suffisamment courte en termes de protection des données à caractère personnel, et d’un autre côté, suffisamment longue pour permettre à la Police grand-ducale de l’appliquer correctement. Amendement 21 – Un nouveau paragraphe 3 est ajouté à l’article 15 : «
(3)Lors de l’effacement des données à caractère personnel par la Police grand-ducale et dans un but de retraçage et de protection des preuves, une fiche succincte sera conservée pendant un délai de cinq ans. Celle-ci contient les informations suivantes : 1° le nom, prénom, date et lieu de naissance ainsi que le numéro d’identification national et les nationalités de la personne visée à l’article 13, paragraphe 1er ; 2° la mention d’avis « positif » ou « négatif » ; 3° la date d’émission de l’avis. » Motivation de l’amendement concernant l’article 15, paragraphe 3 En réponse à l’opposition formelle émise par le Conseil d’État, un nouveau paragraphe, inspiré de l’article 15, paragraphe 3, du projet de règlement grand-ducal portant exécution du projet de loi n° 7475,3 a été ajouté afin de permettre à la Police grand-ducale de retracer les vérifications des antécédents déjà effectuées. Ceci permettra à la Police grand-ducale de ne pas être confronté à un nombre indéterminé de demandes de vérifications des antécédents introduites par une même entité critique concernant une même personne. Projet de règlement grand-ducal relatif à la sûreté de l’aviation civile et aux conditions d’accès à l’aéroport de Luxembourg. 3 15 Amendement 22 – L’article 16, paragraphes 3 et 4, est modifié comme suit : «
(3)Sur la base des informations fournies par une entité critique dans une notification visée au paragraphe 1er, l’autorité compétente concernée, par l’intermédiaire du point de contact unique, informe le point de contact unique des autres États membres de l’Union européenne affectés lorsque l’incident a ou pourrait avoir un impact important sur les entités critiques et sur la continuité de la fourniture de services essentiels à ou dans un ou plusieurs autres États membres de l’Union européenne. Le point de contact unique qui envoie et reçoit des informations en vertu du premier de l’alinéa 1er traite ces informations de manière à en respecter la confidentialité et à préserver la sécurité et les intérêts commerciaux de l’entité critique concernée.
(4)Dès que possible après la réception d’une notification visée au paragraphe 1er, l’autorité compétente concernée fournit à l’entité critique concernée des informations de suivi pertinentes, y compris des informations qui pourraient aider ladite entité critique à réagir efficacement à l’incident en question. L’es autorités compétentes informent le public lorsqu’ils elle estiment qu’il serait dans l’intérêt général de le faire. » Motivation de l’amendement concernant l’article 16, paragraphes 3 et 4 En raison de la seule compétence du Haut-Commissariat à la Protection nationale, les termes sont ajustés au singulier (voir amendement n° 15). Amendement 23 – A l’article 18, les termes se référant aux autorités compétentes sont ajustés au singulier. Motivation de l’amendement concernant l’article 18 En raison de la seule compétence du Haut-Commissariat à la Protection nationale, les termes sont ajustés au singulier (voir amendement n° 15). Amendement 24 – L’article 18, paragraphe 1er, alinéa 2, est modifié comme suit : « Les inspections sur place prévues à l’alinéa 1er, au point 1°, se font entre huit heures et dix-sept heures, moyennant préavis d’au moins deux semaines, par un agent du groupe de traitement ou du groupe d’indemnité A1 ou A2 de l’autorité compétente. Ces inspections pourront se dérouler en dehors de cette plage horaire, en cas d’accord de l’entité critique. » Motivation de l’amendement concernant l’article 18, paragraphe 1er, alinéa 2 L’alinéa est modifié afin de tenir compte des observations d’ordre légistique du Conseil d’État. En effet, il y a lieu d’indiquer avec précision et de manière correcte les textes auxquels il est renvoyé. 16 Amendement 25 – A l’article 19, paragraphes 1er à 3, les termes se référant aux autorités compétentes sont ajustés au singulier. Motivation de l’amendement concernant l’article 19, paragraphes 2 et 3 En raison de la seule compétence du Haut-Commissariat à la Protection nationale, les termes sont ajustés au singulier (voir amendement n° 15). Amendement 26 – L’article 19, paragraphe 1er, est modifié comme suit : «
(1)Lorsque l’autorité compétente concernée constate une violation des obligations prévues par les articles 11, paragraphes 1er et 2, alinéa 1er, 12, paragraphes 1er à 3, 14, paragraphe 3, 14, paragraphe 3, 16, paragraphes 1er et 2, 17, paragraphe 2, et 18, paragraphe 2, alinéas 1er et 2, elle peut frapper l’entité critique concernée d’une ou de plusieurs des sanctions suivantes : 1° un avertissement ; 2° un blâme ; 3° une amende administrative, dont le montant est proportionné à la gravité du manquement, à la situation de l’intéressé, à l’ampleur du dommage et aux avantages qui en sont tirés sans pouvoir excéder 250 000 euros. » Motivation de l’amendement concernant l’article 19, paragraphe 1er Les passages des articles visés, qui comportent des obligations dont l’autorité compétente peut sanctionner le non-respect, ont été précisés, en réponse à l’opposition formelle émise par le Conseil d’État. De plus, l’article 14, paragraphe 3, a été ajouté afin d’assurer que la présente loi soit appliquée en pratique, et de permettre à l’autorité compétente de sanctionner l’entité critique si elle ne suit pas la décision du ministre ayant la Protection nationale dans le cadre des vérifications des antécédents. Amendement 27 – L’article 20 est supprimé. Motivation de l’amendement concernant l’article 20 En raison de l’opposition formelle du Conseil d’État, l’article 20 est supprimé. En effet, selon le Conseil d’État, en application de la législation en vigueur, le Haut-Commissariat à la Protection nationale peut d’ores et déjà limiter le versement de la prime d’astreinte aux agents assurant l’opérationnalité du Centre national de crise. Or, le Conseil d’État s’est interrogé sur les raisons qui justifieraient une limitation de l’octroi d’une prime d’astreinte aux seuls agents qui assurent l’opérationnalité du Centre national de crise. En effet, le Conseil d’État voit mal le HautCommissariat à la Protection nationale verser la prime aux seuls agents assurant l’opérationnalité du Centre national de crise et soumettre d’autres agents à une obligation de permanence sans les 17 faire bénéficier de la prime. Le Conseil d’État est d’avis qu’une telle approche constituerait une rupture flagrante de l’égalité de traitement entre les personnels concernés. Les articles subséquents sont renumérotés. Amendement 28 – Après les guillemets fermants de l’article 21, point 3°, lettre
- a)(nouvel article 20, point 3°, lettre a)) est inséré un point-virgule. Motivation de l’amendement concernant l’article 21, point 3°, lettre a), du projet de loi (nouvel article 20, point 3°, lettre a)) Puisque la lettre
- a)est suivie d’une lettre b), il s’agit d’ajouter un point-virgule. Amendement 29 – L’article 21, point 3°, lettre
- b)(nouvel article 20, point 3°, lettre b)) est modifié comme suit : «
- b)Aux paragraphes 1ter, lettre g), 1quater, lettres
- a)et b), première phrase, et 3, les termes « infrastructures critiques » sont remplacés par ceux de « entités critiques » ; » Motivation de l’amendement concernant l’article 21, point 3°, lettre b), du projet de loi (nouvel article 20, point 3°, lettre b)) La lettre
- b)est modifiée afin de tenir compte des observations d’ordre légistique du Conseil d’État. Amendement 30 – Dans l’annexe, au cas où un règlement européen a fait l’objet de modifications, les termes « tel que modifié » sont insérés après l’intitulé. Motivation de l’amendement concernant l’annexe du projet de loi L’annexe est modifiée afin de tenir compte des observations d’ordre légistique du Conseil d’État. Amendement 31 – Dans l’annexe, au point 2., lettre a), deuxième tiret, le terme « modifiée » est inséré entre la nature et la date de l’acte en question. Le même vaut pour le point 4., premier tiret. Motivation de l’amendement concernant le point 2., lettre a), deuxième tiret, ainsi que le point 4., premier tiret de l’annexe du projet de loi L’annexe est modifiée afin de tenir compte des observations d’ordre légistique du Conseil d’État. Le terme « modifiée » est inséré étant donné que l’acte en question a déjà fait l’objet de modifications depuis son entrée en vigueur. 18 Amendement 32 – Dans l’annexe, au point 5., un nouveau tiret est inséré entre le deuxième et le troisième tiret : « Laboratoires nationaux de référence désignés en vertu de l’article 10 de la loi modifiée du 1 er août 2018 sur la déclaration obligatoire de certaines maladies dans le cadre de la protection de la santé publique » Motivation de l’amendement concernant le point 5., nouveau troisième tiret Un nouveau tiret est inséré afin de remédier à un oubli lors du dépôt du projet de loi. En effet, le laboratoire national de référence joue un rôle critique dans notre société en ce qu’il constitue une ressource dont dépendent d’autres infrastructures critiques telles que certains hôpitaux avec leurs laboratoires hospitaliers. Vu que ce laboratoire ne tombe dans aucune des catégories prévues par le texte de la directive CER, la loi sous projet se propose d’ajouter une catégorie supplémentaire afin de combler cette lacune. 19