La Commission européenne présente aujourd’hui sa nouvelle stratégie en matière de cybersécurité. Celle-ci vise à proposer une refonte du cadre réglementaire en vigueur en Europe, ainsi qu’un réseau de centres opérationnels interconnectés visant à protéger l’Europe des cyberattaques.
Le sujet du numérique est au centre des préoccupations de la Commission européenne cette semaine. Après avoir présenté hier sa nouvelle proposition en matière de régulation des plateformes, la Commission annonce aujourd’hui ses plans en matière de cybersécurité européenne. Dans une tribune publiée par Ouest France,
les commissaires européens Thierry Breton et Margarítis Schinás
reviennent sur les ambitions de ce nouveau plan d’action : « il est
urgent pour l’Europe de renforcer ses moyens technologiques,
opérationnels et politiques lui permettant de faire face à une
cyberattaque d’ampleur, qui toucherait simultanément plusieurs pays de
l’Union. Nos objectifs sont clairs : détecter, défendre, dissuader ».
Un nouveau cadre
La stratégie de la Commission passe tout d’abord par deux propositions de directives.
Il s’agit tout d’abord d’une refonte de la directive NIS/SRI (Network and Information Security, ou Sécurité des réseaux et des systèmes d'information, en français) : ce texte, adopté par les institutions européennes en 2016, définit les obligations qui s’appliquent pour les « opérateurs de services essentiels » définis dans la directive. La commission souhaite donc proposer une refonte de cette directive, une directive NIS2 ou SRI2 dans sa version française, qui « renforce les exigences de sécurité imposées aux entreprises, traite de la sécurité des chaînes d'approvisionnement et des relations avec les fournisseurs, rationalise les obligations de déclaration, introduit des mesures de surveillance plus strictes pour les autorités nationales, renforce les exigences relatives à l'application de la législation et vise à harmoniser les régimes de sanctions dans tous les Etats membres ». La nouvelle version de la directive proposée par la Commission entend également se doter d’un pouvoir de sanction administrative pour punir les entreprises qui ne se conforment pas aux dispositions prévues par le texte.
Une seconde directive relative à la résilience des entités critiques, directive CER, viendra compléter le dispositif. Cette directive est une refonte de la directive de 2008 sur les infrastructures critiques européennes.
La nouvelle version proposée par la Commission vise à élargir le champ
d’application de cette directive à de nouveaux secteurs d’activités :
« l'énergie, les transports, les services bancaires, les infrastructures
de marchés financiers, la santé, l'eau potable, les eaux usées, les
infrastructures numériques, l'administration publique et l'espace ».
Cette nouvelle directive prévoit également que les Etats membres
adoptent « une stratégie nationale visant à garantir la résilience des
entités critiques ».
Réorganiser les troupes
En marge de ces deux textes, la Commission veut mettre en œuvre « un réseau de centres des opérations de sécurité (…) capable de détecter les signes d'une cyberattaque suffisamment tôt et de permettre une action proactive, avant que des dommages ne soient causés ». C’est ce que la Commission désigne en parlant de « bouclier de cybersécurité européen » et que la tribune de Thierry Breton et Margarítis Schinás décrit comme « une sorte de réseau de gardes-frontières cyber ».
La proposition met également l’accent sur le développement de la coopération en matière de cybersécurité entre les Etats membres, au travers de la mise en œuvre d’une « unité conjointe de cyber » qui sera mise en œuvre en début d’année prochaine. Cette unité aura pour rôle de favoriser la coopération et l’échange de renseignement sur les sujets cyber entre les différents Etats membres.
Au niveau européen, l’Enisa est l’organisme chargé de veiller à la sécurité des institutions européennes et d’accompagner les Etats membres en matière de politique de cybersécurité. L’Europe a également annoncé récemment la mise en œuvre du réseau CyClone, un réseaux d’agences de cybersécurité européennes pour la préparation et la gestion des crises cyber par les Etats membres.
Dans la tribune publiée dans la presse, les commissaires européens font part de leur volonté « d’aller plus loin », notamment en améliorant la capacité d’attribution des cyberattaques. Cet été, la Commission européenne avait désigné et sanctionné plusieurs organisations et individus accusés d’avoir été impliqués dans les cyberattaques WannaCry et NotPetya. Les commissaires européens évoquent également dans leur tribune la question d’éventuelles capacités offensives : « nous devrons – et c’est délicat – nous poser la question du développement de capacités opérationnelles, défensives et offensives en matière de cyberdéfense », un sujet qui restait pour l’instant plutôt le pré carré des Etats.
Les éléments ne relevant pas de textes réglementaires, telle que la mise en œuvre de l’unité conjointe cyber et du réseau de SOC, seront mis en œuvre dans les prochains mois. Les deux directives proposées devront être amendées et adoptées par le parlement européen et le Conseil de l’UE, avant d’être transposées dans le droit national par les Etats membres dans un délai de 18 mois.
Le Conseil européen a finalement choisi la capitale de la Roumanie pour accueillir le futur centre européen dédié à la...