La Commission européenne veut renforcer la cybersécurité de l’Union

La Commission européenne vient de lever le voile sur une proposition de version révisée du Cybersecurity Act.

« L’Europe fait face à des attaques quotidiennes cyber et hybrides contre des services essentiels et des institutions démocratiques, menées par des groupes étatiques et criminels sophistiqués », observe le communiqué de presse l’annonçant.

Pour Henna Virkkunen, vice-présidente exécutive pour la souveraineté technologique, la sécurité et la démocratie, « les menaces de cybersécurité ne sont pas seulement des défis techniques. Ce sont des risques stratégiques pour notre démocratie, notre économie et notre mode de vie ».

Et cela, relève le communiqué de presse, car « dans le paysage géopolitique actuel, la sécurité de la chaîne d’approvisionnement ne concerne plus seulement la sécurité technique des produits ou des services, mais aussi les risques liés à un fournisseur, en particulier les dépendances et les interférences étrangères ».

Dans ce contexte, l’objectif affiché est simple : « améliorer la sécurité des chaînes d’approvisionnement des technologies de l’information et de la communication (TIC) de l’UE ».

Les équipementiers réseau ne sont ouvertement nommés ni désignés. Mais ils ne sont pas oubliés, la révision visant notamment « réseaux de télécommunications mobiles européens » et les « fournisseurs de pays tiers à haut risque ».

Concrètement, cela passera par un cadre européen de certification de cybersécurité qui doit « apporter plus de clarté et des procédures plus simples, permettant d’élaborer des systèmes de certification dans les 12 mois par défaut ».

Ces systèmes seront « gérés par l’Enisa » et doivent devenir « un outil pratique et volontaire pour les entreprises » afin de leur permettre « de démontrer leur conformité à la législation de l’UE, réduisant ainsi le fardeau et les coûts ».

La Commission y voit notamment un « un atout concurrentiel pour les entreprises de l’UE », outre les objectifs de sécurité et de résilience.

Le Cybersecurity Act révisé doit encore être validé par le Parlement européen et le Conseil de l’UE. S’il l’est, il entraînera des modifications de la directive NIS2.