02019R0881 — FR — 07.06.2019 — 000.002

Ce texte constitue seulement un outil de documentation et n’a aucun effet juridique. Les institutions de l'Union déclinent toute responsabilité quant à son contenu. Les versions faisant foi des actes concernés, y compris leurs préambules, sont celles qui ont été publiées au Journal officiel de l’Union européenne et sont disponibles sur EUR-Lex. Ces textes officiels peuvent être consultés directement en cliquant sur les liens qui figurent dans ce document

►B RÈGLEMENT (UE) 2019/881 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 17 avril 2019 relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) no 526/2013 (règlement sur la cybersécurité) (Texte présentant de l'intérêt pour l'EEE) (JO L 151 du 7.6.2019, p. 15)





Rectifié par:









▼B

RÈGLEMENT (UE) 2019/881 DU PARLEMENT EUROPÉEN ET DU CONSEIL

du 17 avril 2019

relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) no 526/2013 (règlement sur la cybersécurité)

(Texte présentant de l'intérêt pour l'EEE)







TITRE I

DISPOSITIONS GÉNÉRALES

Article premier

Objet et champ d’application

1. En vue d’assurer le bon fonctionnement du marché intérieur tout en cherchant à atteindre un niveau élevé de cybersécurité, de cyber-résilience et de confiance au sein de l’Union, le présent règlement fixe: a) les objectifs, les tâches et les questions organisationnelles concernant l’ENISA (l’Agence de l’Union européenne pour la cybersécurité); et b) un cadre pour la mise en place de schémas européens de certification de cybersécurité dans le but de garantir un niveau adéquat de cybersécurité des produits TIC, services TIC et processus TIC dans l’Union, ainsi que dans le but d’éviter la fragmentation du marché intérieur pour ce qui est des schémas de certification dans l’Union.

Le cadre visé au premier alinéa, point b), s’applique sans préjudice des dispositions spécifiques d’autres actes juridiques de l’Union en matière de certification volontaire ou obligatoire.

2. Le présent règlement est sans préjudice des compétences des États membres en ce qui concerne les activités relatives à la sécurité publique, à la défense et à la sécurité nationale, et les activités de l’État dans des domaines du droit pénal.

Article 2

Définitions

Aux fins du présent règlement, on entend par:

1) «cybersécurité», les actions nécessaires pour protéger les réseaux et les systèmes d’information, les utilisateurs de ces systèmes et les autres personnes exposées aux cybermenaces;

2) «réseau et système d’information», un réseau et système d’information au sens de l’article 4, point 1), de la directive (UE) 2016/1148;

3) «stratégie nationale en matière de sécurité des réseaux et des systèmes d’information», une stratégie nationale en matière de sécurité des réseaux et des systèmes d’information au sens de l’article 4, point 3), de la directive (UE) 2016/1148;

4) «opérateur de services essentiels», un opérateur de services essentiels au sens de l’article 4, point 4), de la directive (UE) 2016/1148;

5) «fournisseur de service numérique», un fournisseur de service numérique au sens de l’article 4, point 6), de la directive (UE) 2016/1148;

6) «incident», un incident au sens de l’article 4, point 7), de la directive (UE) 2016/1148;

7) «gestion d’incident», la gestion d’incident au sens de l’article 4, point 8), de la directive (UE) 2016/1148;

8) «cybermenace», toute circonstance, tout événement ou toute action potentiels susceptibles de nuire ou de porter autrement atteinte aux réseaux et systèmes d’information, aux utilisateurs de tels systèmes et à d’autres personnes, ou encore de provoquer des interruptions de ces réseaux et systèmes;

9) «schéma européen de certification de cybersécurité», un ensemble complet de règles, d’exigences techniques, de normes et de procédures qui sont établies à l’échelon de l’Union et qui s’appliquent à la certification ou à l’évaluation de la conformité de produits TIC, services TIC ou processus TIC spécifiques;

10) «schéma national de certification de cybersécurité», un ensemble complet de règles, d’exigences techniques, de normes et de procédures élaborées et adoptées par une autorité publique nationale et qui s’appliquent à la certification ou à l’évaluation de la conformité des produits TIC, services TIC et processus TIC relevant de ce schéma spécifique;

11) «certificat de cybersécurité européen», un document délivré par un organisme compétent attestant qu’un produit TIC, service TIC ou processus TIC donné a été évalué en ce qui concerne sa conformité aux exigences de sécurité spécifiques fixées dans un schéma européen de certification de cybersécurité;

12) «produit TIC», un élément ou un groupe d’éléments appartenant à un réseau ou à un schéma d’information;

13) «service TIC», un service consistant intégralement ou principalement à transmettre, stocker, récupérer ou traiter des informations au moyen de réseaux et de systèmes d’information;

14) «processus TIC», un ensemble d’activités exécutées pour concevoir, développer ou fournir un produit TIC ou service TIC ou en assurer la maintenance;

15) «accréditation», l’accréditation au sens de l’article 2, point 10), du règlement (CE) no 765/2008;

16) «organisme national d’accréditation», un organisme national d’accréditation au sens de l’article 2, point 11), du règlement (CE) no 765/2008;

17) «évaluation de la conformité», une évaluation de la conformité au sens de l’article 2, point 12), du règlement (CE) no 765/2008;

18) «organisme d’évaluation de la conformité», un organisme d’évaluation de la conformité au sens de l’article 2, point 13), du règlement (CE) no 765/2008;

19) «norme», une norme au sens de l’article 2, point 1), du règlement (UE) no 1025/2012;

20) «spécification technique», un document qui établit les exigences techniques auxquelles un produit TIC, service TIC ou processus TIC doit répondre ou des procédures d’évaluation de la conformité afférentes à un produit TIC, service TIC ou processus TIC;

21) «niveau d’assurance», le fondement permettant de garantir qu’un produit TIC, service TIC ou processus TIC satisfait aux exigences de sécurité d’un schéma européen de certification de cybersécurité spécifique, indique le niveau auquel un produit TIC, service TIC ou processus TIC a été évalué mais, en tant que tel, ne mesure pas la sécurité du produit TIC, service TIC ou processus TIC concerné;

22) «autoévaluation de la conformité», une action effectuée par un fabricant ou un fournisseur de produits TIC, services TIC ou processus TIC, qui évalue si ces produits TIC, services TIC ou processus TIC satisfont aux exigences fixées dans un schéma européen de certification de cybersécurité spécifique.







TITRE II

ENISA (L’AGENCE DE L’UNION EUROPÉENNE POUR LA CYBERSÉCURITÉ)







CHAPITRE I

Mandat et objectifs

Article 3

Mandat

1. L’ENISA exécute les tâches qui lui sont assignées par le présent règlement dans le but de parvenir à un niveau commun élevé de cybersécurité dans l’ensemble de l’Union, y compris en aidant activement les États membres et les institutions, organes et organismes de l’Union à améliorer la cybersécurité. L’ENISA sert de point de référence pour les conseils et compétences en matière de cybersécurité pour les institutions, organes et organismes de l’Union ainsi que pour les autres parties prenantes concernées de l’Union.

L’ENISA contribue à réduire la fragmentation du marché intérieur en s’acquittant des tâches qui lui sont assignées en vertu du présent règlement.

2. L’ENISA exécute les tâches qui lui sont assignées par des actes juridiques de l’Union établissant des mesures destinées à rapprocher les dispositions législatives, réglementaires et administratives des États membres relatives à la cybersécurité.

3. Dans l’accomplissement de ses tâches, l’ENISA agit de façon indépendante tout en évitant la duplication des activités des États membres et en tenant compte des compétences existantes des États membres.

4. L’ENISA développe ses ressources propres, y compris les capacités et les aptitudes techniques et humaines, nécessaires pour exécuter les tâches qui lui sont assignées en vertu du présent règlement.

Article 4

Objectifs

1. L’ENISA est un centre de compétences en matière de cybersécurité du fait de son indépendance, de la qualité scientifique et technique des conseils et de l’assistance qu’elle dispense, des informations qu’elle fournit, de la transparence de ses procédures de fonctionnement, des modes de fonctionnement et de sa diligence à exécuter ses tâches.

2. L’ENISA assiste les institutions, organes et organismes de l’Union, ainsi que les États membres, dans l’élaboration et la mise en œuvre des politiques de l’Union liées à la cybersécurité, y compris les politiques sectorielles concernant la cybersécurité.

3. L’ENISA soutient le renforcement des capacités et contribue à l’état de préparation au sein de l’Union en aidant les institutions, organes et organismes de l’Union, ainsi que les États membres et les parties prenantes des secteurs public et privé, à accroître la protection de leurs réseaux et systèmes d’information, à développer et à améliorer les capacités de cyber-résilience et de cyber-réaction, et à développer des aptitudes et des compétences dans le domaine de la cybersécurité.

4. L’ENISA favorise la coopération, notamment le partage d’informations et la coordination au niveau de l’Union, entre les États membres, les institutions, organes et organismes de l’Union et les parties prenantes concernées des secteurs public et privé en ce qui concerne les questions liées à la cybersécurité.

5. L’ENISA contribue à renforcer les capacités dans le domaine de la cybersécurité au niveau de l’Union afin de soutenir les actions des États membres pour prévenir les cybermenaces et réagir à celles-ci, notamment en cas d’incidents transfrontières.

6. L’ENISA favorise le recours à la certification européenne de cybersécurité en vue d’éviter la fragmentation du marché intérieur. L’ENISA contribue à l’établissement et au maintien d’un cadre européen de certification de cybersécurité, conformément au titre III du présent règlement, en vue de rendre plus transparente la cybersécurité des produits TIC, services TIC et processus TIC et, partant, de rehausser la confiance dans le marché intérieur numérique et la compétitivité de ce dernier.

7. L’ENISA promeut un niveau élevé de sensibilisation des citoyens, des organisations et des entreprises aux questions liées à la cybersécurité, y compris en matière d’hygiène informatique et d’habileté numérique.







CHAPITRE II

Tâches

Article 5

Élaboration et mise en œuvre de la politique et du droit de l’Union

L’ENISA contribue à l’élaboration et à la mise en œuvre de la politique et du droit de l’Union:

1) en apportant son concours et en fournissant des conseils concernant l’élaboration et la révision de la politique et du droit de l’Union dans le domaine de la cybersécurité, et concernant les initiatives politiques et législatives sectorielles mettant en jeu des questions liées à la cybersécurité, notamment en fournissant des avis et des analyses indépendants, ainsi qu’en effectuant des travaux préparatoires;

2) en aidant les États membres à mettre en œuvre la politique et le droit de l’Union en matière de cybersécurité de manière cohérente, notamment en ce qui concerne la directive (UE) 2016/1148, y compris en délivrant des avis et des lignes directrices, et en fournissant des conseils et des meilleures pratiques sur des thèmes tels que la gestion des risques, le signalement des incidents et le partage d’informations, ainsi qu’en facilitant l’échange de meilleures pratiques entre les autorités compétentes à cet égard;

3) en aidant les États membres et les institutions, organes et organismes de l’Union à élaborer et à promouvoir des politiques en matière de cybersécurité visant à soutenir la disponibilité ou l’intégrité générales du noyau public de l’internet ouvert;

4) en contribuant, par ses compétences et son concours, aux travaux du groupe de coopération institué en application de l’article 11 de la directive (UE) 2016/1148;

5) en soutenant: a) l’élaboration et la mise en œuvre de la politique de l’Union dans le domaine de l’identification électronique et des services de confiance, en particulier en fournissant des conseils et en délivrant des lignes directrices techniques, ainsi qu’en facilitant l’échange de meilleures pratiques entre les autorités compétentes; b) la promotion d’une amélioration du niveau de sécurité des communications électroniques, y compris en fournissant des conseils et des compétences, ainsi qu’en facilitant l’échange de meilleures pratiques entre les autorités compétentes; c) les États membres dans la mise en œuvre d’aspects spécifiques en matière de cybersécurité des politiques et du droit de l’Union concernant la protection des données et la vie privée, y compris en fournissant des avis au comité européen de la protection des données à sa demande;

6) en soutenant le réexamen périodique des activités liées aux politiques de l’Union, par la préparation d’un rapport annuel sur l’état d’avancement de la mise en œuvre du cadre juridique applicable en ce qui concerne: a) les informations sur les notifications d’incidents des États membres transmises par les points de contact uniques au groupe de coopération conformément à l’article 10, paragraphe 3, de la directive (UE) 2016/1148; b) les résumés des notifications d’atteinte à la sécurité ou de perte d’intégrité reçues des prestataires de services de confiance et transmises à l’ENISA par les organes de contrôle, conformément à l’article 19, paragraphe 3, du règlement (UE) no 910/2014 du Parlement européen et du Conseil ( 1 ); c) les notifications d’incidents de sécurité transmises par les fournisseurs de réseaux de communications publics ou de services de communications électroniques accessibles au public, fournies à l’ENISA par les autorités compétentes, conformément à l’article 40 de la directive (UE) 2018/1972.

Article 6

Renforcement des capacités

1. L’ENISA assiste: a) les États membres dans leurs efforts pour améliorer la prévention, la détection et l’analyse des cybermenaces et incidents, ainsi que la capacité d’y réagir, en leur fournissant des connaissances et des compétences; b) les États membres et les institutions, organes et organismes de l’Union pour établir et mettre en œuvre, sur une base volontaire, des politiques en matière de divulgation des vulnérabilités; c) les institutions, organes et organismes de l’Union dans leurs efforts pour améliorer la prévention, la détection et l’analyse des cybermenaces et incidents, et pour améliorer leur capacité à y réagir, notamment en apportant un soutien adapté à la CERT-UE; d) les États membres dans la mise en place de CSIRT nationaux, lorsqu’ils le demandent conformément à l’article 9, paragraphe 5, de la directive (UE) 2016/1148; e) les États membres dans l’élaboration de stratégies nationales en matière de sécurité des réseaux et des systèmes d’information, lorsqu’ils le demandent conformément à l’article 7, paragraphe 2, de la directive (UE) 2016/1148, et favorise la diffusion de ces stratégies et prend note de l’avancement de leur mise en œuvre dans toute l’Union afin de promouvoir les meilleures pratiques; f) les institutions de l’Union dans l’élaboration et la révision des stratégies de l’Union en matière de cybersécurité, la promotion de leur diffusion et le suivi de l’avancement de leur mise en œuvre; g) les CSIRT nationaux et de l’Union dans le relèvement du niveau de leurs capacités, y compris en favorisant le dialogue et les échanges d’informations, pour faire en sorte que chaque CSIRT, eu égard à l’état de l’art, possède un socle commun de capacités minimales et fonctionne selon les meilleures pratiques; h) les États membres en organisant régulièrement les exercices de cybersécurité au niveau de l’Union visés à l’article 7, paragraphe 5, au moins tous les deux ans, et en formulant des recommandations en vue d’actions sur la base de l’évaluation de ces exercices et des enseignements qui en ont été tirés; i) les organismes publics concernés en proposant des formations sur la cybersécurité, le cas échéant en coopération avec des parties prenantes; j) le groupe de coopération pour ce qui est de l’échange de meilleures pratiques, notamment en ce qui concerne l’identification, par les États membres, des opérateurs de services essentiels, conformément à l’article 11, paragraphe 3, point l), de la directive (UE) 2016/1148, y compris au regard des dépendances transfrontières, en matière de risques et d’incidents.

2. L’ENISA soutient le partage d’informations au sein des secteurs et entre ceux-ci, en particulier dans les secteurs énumérés à l’annexe II de la directive (UE) 2016/1148, en fournissant des meilleures pratiques et des orientations sur les outils disponibles, les procédures, ainsi que la manière de traiter les questions de réglementation liées au partage d’informations.

Article 7

Coopération opérationnelle au niveau de l’Union

1. L’ENISA apporte son soutien à la coopération opérationnelle entre les États membres, les institutions, organes et organismes de l’Union, et entre les parties prenantes.

2. L’ENISA coopère sur le plan opérationnel et crée des synergies avec les institutions, organes et organismes de l’Union, y compris la CERT-UE, avec les services traitant de la cybercriminalité et avec les autorités de contrôle responsables de la protection de la vie privée et des données à caractère personnel, en vue de traiter des questions d’intérêt commun, y compris: a) en échangeant savoir-faire et meilleures pratiques; b) en fournissant des conseils et des lignes directrices sur des questions pertinentes liées à la cybersécurité; c) en établissant les modalités pratiques de l’exécution de tâches spécifiques, après consultation de la Commission.

3. L’ENISA assure le secrétariat du réseau des CSIRT, conformément à l’article 12, paragraphe 2, de la directive (UE) 2016/1148 et, à ce titre, elle soutient activement le partage d’informations et la coopération entre les membres de ce réseau.

4. L’ENISA soutient les États membres en ce qui concerne la coopération opérationnelle au sein du réseau des CSIRT: a) en prodiguant des conseils sur la façon d’améliorer leur capacité à prévenir et à détecter les incidents ainsi qu’à y réagir et, à la demande d’un ou de plusieurs États membres, en prodiguant des conseils concernant une cybermenace spécifique; b) en prêtant son assistance, à la demande d’un ou de plusieurs États membres, dans l’évaluation des incidents ayant un impact significatif ou substantiel, en les faisant bénéficier de compétences et en facilitant la gestion technique de tels incidents, en particulier en soutenant le partage volontaire d’informations et de solutions techniques pertinentes entre États membres; c) en analysant les vulnérabilités et les incidents à l’aide des informations publiquement disponibles ou des informations fournies volontairement par les États membres à cet effet; et d) à la demande d’un ou de plusieurs États membres, en apportant un soutien en rapport avec les enquêtes techniques ex post sur les incidents ayant un impact significatif ou substantiel au sens de la directive (UE) 2016/1148.

Dans l’accomplissement de ces tâches, l’ENISA mène avec la CERT-UE une coopération structurée afin de tirer avantage des synergies et d’éviter une duplication des activités.

5. L’ENISA organise régulièrement des exercices de cybersécurité à l’échelle de l’Union, et aide, à leur demande, les États membres et les institutions, organes et organismes de l’Union à organiser des exercices de cybersécurité. De tels exercices de cybersécurité à l’échelle de l’Union peuvent comporter des aspects techniques, opérationnels ou stratégiques. Tous les deux ans, l’ENISA organise un exercice global à grande échelle.

Le cas échéant, l’ENISA contribue également à des exercices de cybersécurité sectoriels, qu’elle aide à organiser, en collaboration avec des organisations compétentes qui peuvent participer également à des exercices de cybersécurité à l’échelle de l’Union.

6. L’ENISA prépare à intervalles réguliers, en coopération étroite avec les États membres, un rapport approfondi de situation technique en matière de cybersécurité de l’Union européenne sur les incidents et cybermenaces dans l’Union, sur la base d’informations publiquement disponibles, de ses propres analyses et des rapports que lui communiquent notamment les CSIRT des États membres ou les points de contact uniques institués par la directive (UE) 2016/1148, sur une base volontaire dans les deux cas, l’EC3 et la CERT-UE.

7. L’ENISA contribue à l’élaboration d’une réaction concertée au niveau de l’Union et des États membres en cas d’incidents ou de crises transfrontières de cybersécurité majeurs, principalement: a) en agrégeant et en analysant des rapports provenant de sources nationales qui sont dans le domaine public ou qui sont partagés sur une base volontaire en vue de contribuer à former une appréciation commune de la situation; b) en assurant une circulation efficace de l’information et en proposant des mécanismes de remontée des décisions entre le réseau des CSIRT et les décideurs techniques et politiques au niveau de l’Union; c) à la demande, en facilitant la gestion technique de tels incidents ou crises, en particulier en favorisant le partage volontaire de solutions techniques entre les États membres; d) en soutenant les institutions, organes et organismes de l’Union et, à leur demande, les États membres dans la communication publique relative à tels incidents ou crises; e) en mettant à l’épreuve les plans de coopération destinés à réagir à de tels incidents ou crises au niveau de l’Union et en aidant les États membres, à leur demande, à mettre de tels plans à l’épreuve au niveau national.

Article 8

Marché, certification de cybersécurité et normalisation

1. L’ENISA soutient et favorise l’élaboration et la mise en œuvre de la politique de l’Union en matière de certification de cybersécurité des produits TIC, services TIC et processus TIC, telle qu’elle est établie au titre III du présent règlement: a) en surveillant, en permanence, les évolutions dans les domaines connexes de la normalisation et en recommandant des spécifications techniques d’utilisation appropriées dans le développement des schémas européens de certification de cybersécurité en application de l’article 54, paragraphe 1, point c), dans les cas où il n’existe aucune norme; b) en préparant des schémas européens de certification de cybersécurité candidats (ci-après dénommés «schémas candidats») pour des produits TIC, services TIC et processus TIC, conformément à l’article 49; c) en évaluant les schémas européens de certification de cybersécurité, conformément à l’article 49, paragraphe 8; d) en participant aux examens par les pairs, conformément à l’article 59, paragraphe 4; e) en aidant la Commission à assurer le secrétariat du GECC, conformément à l’article 62, paragraphe 5.

2. L’ENISA assure le secrétariat du groupe des parties prenantes pour la certification de cybersécurité, conformément à l’article 22, paragraphe 4.

3. L’ENISA compile et publie des lignes directrices et met au point des bonnes pratiques en ce qui concerne les exigences de cybersécurité de produits TIC, services TIC et processus TIC, en coopération avec les autorités nationales de certification de cybersécurité et les entreprises du secteur d’une façon formelle, structurée et transparente.

4. L’ENISA contribue à un renforcement des capacités en matière de processus d’évaluation et de certification, en compilant et en délivrant des lignes directrices ainsi qu’en fournissant un soutien aux États membres, à leur demande.

5. L’ENISA facilite l’établissement et l’adoption de normes européennes et internationales en matière de gestion des risques et de sécurité des produits TIC, services TIC et processus TIC.

6. L’ENISA formule, en collaboration avec les États membres et les entreprises du secteur, des avis et des lignes directrices concernant les domaines techniques liés aux exigences de sécurité qui s’imposent aux opérateurs de services essentiels et aux fournisseurs de services numériques, et concernant les normes existantes, y compris les normes nationales des États membres, en application de l’article 19, paragraphe 2, de la directive (UE) 2016/1148.

7. L’ENISA effectue et diffuse, à intervalles réguliers, des analyses des principales tendances du marché de la cybersécurité, tant du côté de la demande que du côté de l’offre, en vue de stimuler le marché de la cybersécurité dans l’Union.

Article 9

Connaissance et information

L’ENISA:

a) analyse les technologies émergentes et fournit des évaluations thématiques sur les incidences escomptées des innovations technologiques en matière de cybersécurité, du point de vue sociétal, juridique, économique et réglementaire;

b) produit des analyses stratégiques à long terme des cybermenaces et des incidents afin d’identifier les tendances émergentes et de contribuer à prévenir les incidents;

c) en coopération avec des experts des autorités des États membres et les parties prenantes concernées, fournit des avis, des orientations et des meilleures pratiques en matière de sécurité des réseaux et des systèmes d’information, en particulier pour la sécurité des infrastructures sur lesquelles s’appuient les secteurs énumérés à l’annexe II de la directive (UE) 2016/1148 et de celles utilisées par les fournisseurs des services numériques énumérés à l’annexe III de ladite directive;

d) par l’intermédiaire d’un portail spécialisé, regroupe, organise et met à la disposition du public des informations sur la cybersécurité, fournies par les institutions, organes et organismes de l’Union et des informations sur la cybersécurité fournies, sur une base volontaire, par les États membres et les parties prenantes des secteurs public et privé;

e) collecte et analyse des informations du domaine public sur les incidents importants, et rédige des rapports en vue de fournir des orientations aux citoyens, organisations et entreprises dans toute l’Union.

Article 10

Sensibilisation et éducation

L’ENISA:

a) sensibilise le public aux risques liés à la cybersécurité et fournit, à l’intention des citoyens, des organisations et des entreprises, des orientations sur les bonnes pratiques à adopter par les utilisateurs individuels, y compris en matière d’hygiène informatique et d’habileté numérique;

b) en coopération avec les États membres, ainsi que les institutions, organes et organismes de l’Union et les entreprises du secteur, organise à intervalles réguliers des campagnes d’information afin de renforcer la cybersécurité et d’en accroître la visibilité dans l’Union, et encourage un large débat public;

c) aide les États membres dans leurs efforts visant à mieux faire connaître la cybersécurité et à promouvoir l’éducation à la cybersécurité;

d) encourage une coordination plus étroite et l’échange de meilleures pratiques entre les États membres en matière de sensibilisation et d’éducation à la cybersécurité.

Article 11

Recherche et innovation

En ce qui concerne la recherche et l’innovation, l’ENISA:

a) conseille les institutions, organes et organismes de l’Union et les États membres sur les besoins et les priorités en matière de recherche dans le domaine de la cybersécurité, afin que des réponses efficaces puissent être apportées aux risques et aux cybermenaces actuels et émergents, y compris en ce qui concerne les technologies de l’information et de la communication nouvelles et émergentes, et afin que les technologies de prévention des risques soient utilisées de manière efficace;

b) participe, lorsque la Commission lui a conféré les pouvoirs correspondants, à la phase de mise en œuvre des programmes de financement de la recherche et de l’innovation, ou est bénéficiaire de ces programmes;

c) contribue au programme stratégique de recherche et d’innovation au niveau de l’Union dans le domaine de la cybersécurité.

Article 12

Coopération internationale

L’ENISA contribue aux efforts de l’Union pour coopérer avec les pays tiers et les organisations internationales, ainsi qu’au sein des cadres internationaux de coopération pertinents, afin de promouvoir une coopération internationale sur les problèmes de cybersécurité:

a) le cas échéant, en s’impliquant en tant qu’observateur dans l’organisation d’exercices internationaux, ainsi qu’en analysant les résultats de ces exercices et en en rendant compte au conseil d’administration;

b) à la demande de la Commission, en facilitant l’échange de meilleures pratiques;

c) à la demande de la Commission, en lui faisant bénéficier de ses compétences;

d) en fournissant des conseils et un soutien à la Commission sur les questions relatives aux accords de reconnaissance mutuelle des certificats de cybersécurité avec des pays tiers, en collaboration avec le GECC institué en vertu de l’article 62.







CHAPITRE III

Organisation de l’ENISA

Article 13

Structure de l’ENISA

La structure administrative et de gestion de l’ENISA comprend:

a) un conseil d’administration;

b) un conseil exécutif;

c) un directeur exécutif;

d) un groupe consultatif de l’ENISA;

e) un réseau des agents de liaison nationaux.







Section 1

Conseil d’administration

Article 14

Composition du conseil d’administration

1. Le conseil d’administration est composé d’un membre nommé par chaque État membre, et de deux membres nommés par la Commission. Tous les membres disposent du droit de vote.

2. Chaque membre du conseil d’administration dispose d’un suppléant. Ce suppléant représente le membre en son absence.

3. Les membres du conseil d’administration et leurs suppléants sont nommés sur la base de leurs connaissances dans le domaine de la cybersécurité, compte tenu de leurs aptitudes managériales, administratives et budgétaires pertinentes. La Commission et les États membres s’efforcent de limiter le roulement de leurs représentants au sein du conseil d’administration, afin de garantir la continuité des travaux du conseil d’administration. La Commission et les États membres visent à atteindre une représentation hommes-femmes équilibrée au sein du conseil d’administration.

4. La durée du mandat des membres du conseil d’administration et de leurs suppléants est de quatre ans. Ce mandat est renouvelable.

Article 15

Fonctions du conseil d’administration

1. Le conseil d’administration: a) fixe l’orientation générale du fonctionnement de l’ENISA et veille à ce que l’ENISA fonctionne conformément aux règles et principes fixés dans le présent règlement; il assure aussi la cohérence des travaux de l’ENISA avec les activités menées par les États membres ainsi qu’au niveau de l’Union; b) adopte le projet de document unique de programmation de l’ENISA visé à l’article 24, avant de le soumettre pour avis à la Commission; c) adopte le document unique de programmation de l’ENISA, en tenant compte de l’avis de la Commission; d) supervise la mise en œuvre de la programmation annuelle et pluriannuelle contenue dans le document unique de programmation; e) adopte le budget annuel de l’ENISA et exerce d’autres fonctions en ce qui concerne le budget de l’ENISA conformément au chapitre IV; f) évalue et adopte le rapport annuel consolidé sur les activités de l’ENISA, y compris les comptes et une description de la manière dont l’ENISA a atteint ses indicateurs de performance, et transmet, au plus tard le 1er juillet de l’année suivante, le rapport annuel et l’évaluation de ce rapport au Parlement européen, au Conseil, à la Commission et à la Cour des comptes; elle publie le rapport annuel; g) adopte les règles financières applicables à l’ENISA, conformément à l’article 32; h) adopte une stratégie antifraude qui est proportionnée aux risques de fraude compte tenu de l’analyse coûts-bénéfices des mesures à mettre en œuvre; i) adopte des règles en matière de prévention et de gestion des conflits d’intérêts concernant ses membres; j) assure le suivi approprié des conclusions et des recommandations découlant des enquêtes de l’Office européen de lutte antifraude (OLAF) et des divers rapports d’audit et évaluations internes et externes; k) adopte son règlement intérieur, y compris les règles relatives aux décisions provisoires sur la délégation de tâches spécifiques, en vertu de l’article 19, paragraphe 7; l) exerce, à l’égard du personnel de l’ENISA, les compétences qui sont dévolues par le statut des fonctionnaires de l’Union européenne (ci-après dénommé «statut des fonctionnaires») et le régime applicable aux autres agents de l’Union européenne (ci-après dénommé «régime applicable aux autres agents»), fixés par le règlement (CEE, Euratom, CECA) no 259/68 du Conseil ( 2 ), à l’autorité investie du pouvoir de nomination et à l’autorité habilitée à conclure les contrats d’engagement (ci-après dénommées «compétences de l’autorité investie du pouvoir de nomination») conformément au paragraphe 2 du présent article; m) arrête les règles d’exécution du statut des fonctionnaires et du régime applicable aux autres agents conformément à la procédure prévue à l’article 110 du statut des fonctionnaires; n) nomme le directeur exécutif et, le cas échéant, proroge son mandat ou le démet de ses fonctions conformément à l’article 36; o) nomme un comptable, qui peut être le comptable de la Commission et qui est totalement indépendant dans l’exercice de ses fonctions; p) prend toutes les décisions relatives à la mise en place des structures internes de l’ENISA et, le cas échéant, à leur modification, en tenant compte des besoins liés à l’activité de l’ENISA et en respectant le principe d’une gestion budgétaire saine; q) autorise la conclusion d’arrangements de travail conformément à l’article 7; r) autorise l’élaboration ou la conclusion d’arrangements de travail conformément à l’article 42.

2. Conformément à l’article 110 du statut des fonctionnaires, le conseil d’administration adopte une décision fondée sur l’article 2, paragraphe 1, du statut des fonctionnaires et sur l’article 6 du régime applicable aux autres agents, déléguant au directeur exécutif les compétences correspondantes dévolues à l’autorité investie du pouvoir de nomination et définissant les conditions dans lesquelles cette délégation de compétences peut être suspendue. Le directeur exécutif peut sous-déléguer ces compétences.

3. Lorsque des circonstances exceptionnelles l’exigent, le conseil d’administration peut adopter une décision en vue de suspendre temporairement la délégation au directeur exécutif des compétences dévolues à l’autorité investie du pouvoir de nomination ainsi que les compétences dévolues à l’autorité investie du pouvoir de nomination sous-déléguées par le directeur exécutif, pour les exercer lui-même ou les déléguer à l’un de ses membres ou à un membre du personnel autre que le directeur exécutif.

Article 16

Présidence du conseil d’administration

Le conseil d’administration élit un président et un vice-président parmi ses membres, à la majorité des deux tiers des membres. La durée de leur mandat est de quatre ans; ce mandat est renouvelable une fois. Cependant, si le président ou le vice-président perd sa qualité de membre du conseil d’administration à un moment quelconque de son mandat, ledit mandat expire automatiquement à la même date. Le vice-président remplace le président d’office lorsque celui-ci n’est pas en mesure d’assumer ses fonctions.

Article 17

Réunions du conseil d’administration

1. Les réunions du conseil d’administration sont convoquées par son président.

2. Le conseil d’administration tient une réunion ordinaire au moins deux fois par an. Il tient aussi des réunions extraordinaires à l’initiative de son président, à la demande de la Commission ou à la demande d’au moins un tiers de ses membres.

3. Le directeur exécutif participe aux réunions du conseil d’administration mais ne dispose pas du droit de vote.

4. Sur invitation du président, des membres du groupe consultatif de l’ENISA peuvent participer aux réunions du conseil d’administration, mais ne disposent pas du droit de vote.

5. Les membres du conseil d’administration et leurs suppléants peuvent, dans le respect du règlement intérieur du conseil d’administration, être assistés au cours des réunions du conseil d’administration par des conseillers ou des experts.

6. L’ENISA assure le secrétariat du conseil d’administration.

Article 18

Règles de vote du conseil d’administration

1. Les décisions du conseil d’administration sont prises à la majorité de ses membres.

2. Une majorité des deux tiers des membres du conseil d’administration est nécessaire pour adopter le document unique de programmation et le budget annuel, et pour nommer le directeur exécutif, proroger son mandat ou le révoquer.

3. Chaque membre dispose d’une voix. En l’absence d’un membre, son suppléant peut exercer le droit de vote du membre.

4. Le président du conseil d’administration prend part au vote.

5. Le directeur exécutif ne prend pas part au vote.

6. Le règlement intérieur du conseil d’administration fixe les modalités détaillées du vote, notamment les conditions dans lesquelles un membre peut agir au nom d’un autre membre.







Section 2

Conseil exécutif

Article 19

Conseil exécutif

1. Le conseil d’administration est assisté d’un conseil exécutif.

2. Le conseil exécutif: a) prépare les décisions qui doivent être adoptées par le conseil d’administration; b) assure, avec le conseil d’administration, le suivi approprié des conclusions et des recommandations découlant des enquêtes de l’OLAF ainsi que des divers rapports d’audit et des évaluations internes ou externes; c) sans préjudice des tâches du directeur exécutif énoncées à l’article 20, assiste et conseille le directeur exécutif dans la mise en œuvre des décisions du conseil d’administration relatives à des questions administratives et budgétaires, conformément à l’article 20.

3. Le conseil exécutif est composé de cinq membres. Les membres du conseil exécutif sont nommés parmi les membres du conseil d’administration. Un des membres est le président du conseil d’administration, qui peut également présider le conseil exécutif, et un autre membre est un des représentants de la Commission. Les nominations des membres du conseil exécutif visent à assurer une représentation hommes-femmes équilibrée au sein du conseil exécutif. Le directeur exécutif participe aux réunions du conseil exécutif, mais ne dispose pas du droit de vote.

4. La durée du mandat des membres du conseil exécutif est de quatre ans. Ce mandat est renouvelable.

5. Le conseil exécutif se réunit au moins une fois par trimestre. Le président du conseil exécutif convoque des réunions supplémentaires à la demande de ses membres.

6. Le conseil d’administration établit le règlement intérieur du conseil exécutif.

7. Lorsque l’urgence le requiert, le conseil exécutif peut prendre certaines décisions provisoires au nom du conseil d’administration, en particulier sur des questions de gestion administrative, comme la suspension de la délégation des compétences dévolues à l’autorité investie du pouvoir de nomination, et sur des questions budgétaires. De telles décisions provisoires sont notifiées sans retard indu. Le conseil d’administration décide ensuite s’il approuve ou s’il rejette la décision provisoire trois mois au plus tard après la prise de décision. Le conseil exécutif ne prend pas de décisions au nom du conseil d’administration qui doivent être approuvées par une majorité des deux tiers des membres du conseil d’administration.







Section 3

Directeur exécutif

Article 20

Tâches du directeur exécutif

1. L’ENISA est gérée par son directeur exécutif, qui est indépendant dans l’exécution de ses tâches. Le directeur exécutif rend compte de ses activités au conseil d’administration.

2. Le directeur exécutif fait rapport au Parlement européen sur l’exécution de ses tâches, lorsqu’il y est invité. Le Conseil peut inviter le directeur exécutif à lui faire rapport sur l’exécution de ses tâches.

3. Le directeur exécutif est chargé: a) d’assurer l’administration courante de l’ENISA; b) de mettre en œuvre les décisions adoptées par le conseil d’administration; c) de préparer le projet de document unique de programmation et de le soumettre au conseil d’administration pour approbation, avant qu’il ne soit soumis à la Commission; d) de mettre en œuvre le document unique de programmation et d’en faire rapport au conseil d’administration; e) de préparer le rapport annuel consolidé sur les activités de l’ENISA, y compris la mise en œuvre du programme de travail annuel de l’ENISA, et de le présenter au conseil d’administration pour évaluation et adoption; f) de préparer un plan d’action faisant suite aux conclusions des évaluations rétrospectives et de faire rapport tous les deux ans à la Commission sur les progrès accomplis; g) de préparer un plan d’action donnant suite aux conclusions des rapports d’audit internes ou externes, ainsi qu’aux enquêtes de l’OLAF, et de présenter des rapports semestriels à la Commission et des rapports réguliers au conseil d’administration sur les progrès accomplis; h) de préparer le projet de règles financières applicables à l’ENISA visé à l’article 32; i) de préparer le projet d’état prévisionnel des recettes et dépenses de l’ENISA et d’exécuter son budget; j) de protéger les intérêts financiers de l’Union par l’application de mesures préventives contre la fraude, la corruption et d’autres activités illégales, par des contrôles efficaces et, si des irrégularités sont constatées, par le recouvrement des montants indûment payés et, le cas échéant, par des sanctions administratives et financières effectives, proportionnées et dissuasives; k) de préparer une stratégie antifraude pour l’ENISA et de la présenter au conseil d’administration pour approbation; l) d’établir et de maintenir le contact avec le secteur des entreprises et les organisations de consommateurs afin d’assurer un dialogue régulier avec les parties prenantes concernées; m) d’avoir un échange de vues et d’informations régulier avec les institutions, organes et organismes de l’Union sur leurs activités en matière de cybersécurité, pour assurer la cohérence dans l’élaboration et dans la mise en œuvre de la politique de l’Union; n) d’exécuter les autres tâches qui sont assignées au directeur exécutif par le présent règlement.

4. En tant que de besoin et dans le cadre des objectifs et tâches de l’ENISA, le directeur exécutif peut créer des groupes de travail ad hoc composés d’experts, y compris des experts des autorités compétentes des États membres. Le directeur exécutif en informe le conseil d’administration au préalable. Les procédures concernant en particulier la composition des groupes de travail, la nomination par le directeur exécutif des experts qui composent les groupes de travail et le fonctionnement de ces groupes sont précisées dans les règles internes de fonctionnement de l’ENISA.

5. Lorsque cela s’avère nécessaire, à l’effet d’exécuter les tâches de l’ENISA de manière efficiente et efficace et sur la base d’une analyse coûts-bénéfices appropriée, le directeur exécutif peut décider d’établir un ou plusieurs bureaux locaux dans un ou plusieurs États membres. Avant de prendre une décision sur l’établissement d’un bureau local, le directeur exécutif demande l’avis des États membres concernés, notamment l’État membre dans lequel est situé le siège de l’ENISA, et obtient le consentement préalable de la Commission et du conseil d’administration. En cas de désaccord, au cours de la procédure de consultation, entre le directeur exécutif et les États membres concernés, la question est soumise au Conseil pour discussion. Les effectifs agrégés de l’ensemble des bureaux locaux sont maintenus au minimum et ne dépassent pas 40 % des effectifs totaux de l’ENISA en place dans l’État membre où se situe le siège de l’ENISA. Les effectifs de chaque bureau local ne dépassent pas 10 % des effectifs totaux de l’ENISA en place dans l’État membre où se situe le siège de l’ENISA.

La décision établissant un bureau local précise la portée des activités confiées à ce bureau local de manière à éviter des coûts inutiles et une duplication des fonctions administratives de l’ENISA.







Section 4

Groupe consultatif de l’ENISA, groupe des parties prenantes pour la certification de cybersécurité et réseau des agents de liaison nationaux

Article 21

Groupe consultatif de l’ENISA

1. Le conseil d’administration crée de manière transparente, sur proposition du directeur exécutif, le groupe consultatif de l’ENISA composé d’experts reconnus représentant les parties prenantes concernées, telles que les entreprises du secteur des TIC, les fournisseurs de réseaux ou de services de communications électroniques accessibles au public, les PME, les opérateurs de services essentiels, les organisations de consommateurs, les experts universitaires en matière de cybersécurité, les représentants des autorités compétentes qui ont fait l’objet d’une notification conformément à la directive (UE) 2018/1972, les organisations européennes de normalisation ainsi que les autorités chargées de l’application de la loi et les autorités de contrôle de la protection des données. Le conseil d’administration s’efforce d’assurer un équilibre approprié entre les hommes et les femmes et un équilibre géographique, ainsi qu’un équilibre entre les différents groupes de parties prenantes.

2. Les procédures applicables au groupe consultatif de l’ENISA, notamment en ce qui concerne sa composition, la proposition du directeur exécutif visée au paragraphe 1, le nombre de membres et leur nomination, ainsi que le fonctionnement du groupe consultatif de l’ENISA sont précisées dans les règles internes de fonctionnement de l’ENISA et sont rendues publiques.

3. Le groupe consultatif de l’ENISA est présidé par le directeur exécutif ou par toute personne qu’il désigne à cet effet au cas par cas.

4. La durée du mandat des membres du groupe consultatif de l’ENISA est de deux ans et demi. Les membres du conseil d’administration ne peuvent pas être membres du groupe consultatif de l’ENISA. Des experts de la Commission et des États membres sont autorisés à assister aux réunions et à prendre part aux travaux du groupe consultatif de l’ENISA. Des représentants d’autres organismes jugés intéressants par le directeur exécutif, qui ne sont pas membres du groupe consultatif de l’ENISA, peuvent être invités à assister aux réunions du groupe consultatif de l’ENISA et à prendre part à ses travaux.

5. Le groupe consultatif de l’ENISA conseille l’ENISA en ce qui concerne l’exécution des tâches de celle-ci, excepté l’application des dispositions du titre III du présent règlement. Il conseille en particulier le directeur exécutif pour ce qui est de l’élaboration d’une proposition de programme de travail annuel pour l’ENISA et de la communication à assurer avec les parties prenantes concernées sur les questions liées au programme de travail annuel.

6. Le groupe consultatif de l’ENISA informe régulièrement le conseil d’administration de ses activités.

Article 22

Groupe des parties prenantes pour la certification de cybersécurité

1. Il est établi un groupe des parties prenantes pour la certification de cybersécurité.

2. Le groupe des parties prenantes pour la certification de cybersécurité se compose de membres sélectionnés parmi des experts reconnus représentant les parties prenantes concernées. La Commission, à la suite d’un appel transparent et ouvert, sélectionne, sur la base d’une proposition de l’ENISA, les membres du groupe des parties prenantes pour la certification de cybersécurité en assurant un équilibre entre les différents groupes de parties prenantes ainsi qu’un équilibre approprié entre les hommes et les femmes et un équilibre géographique.

3. Le groupe des parties prenantes pour la certification de cybersécurité est chargé: a) de conseiller la Commission sur des questions stratégiques relatives au cadre européen de certification de cybersécurité; b) sur demande, de conseiller l’ENISA sur des questions générales et stratégiques concernant les tâches de l’ENISA relatives au marché, à la certification de cybersécurité et à la normalisation; c) d’aider la Commission à préparer le programme de travail glissant de l’Union visé à l’article 47; d) de rendre un avis sur le programme de travail glissant de l’Union conformément à l’article 47, paragraphe 4; et e) en cas d’urgence, de donner un avis à la Commission et au GECC sur la nécessité de disposer de schémas de certification supplémentaires qui ne sont pas compris dans le programme de travail glissant de l’Union, comme indiqué aux articles 47 et 48.

4. Le groupe des parties prenantes pour la certification de cybersécurité est coprésidé par les représentants de la Commission et de l’ENISA, et son secrétariat est assuré par l’ENISA.

Article 23

Réseau des agents de liaison nationaux

1. Le conseil d’administration crée, sur proposition du directeur exécutif, un réseau des agents de liaison nationaux composé de représentants de tous les États membres (les agents de liaison nationaux). Chaque État membre nomme un représentant au sein du réseau des agents de liaison nationaux. Les réunions du réseau des agents de liaison nationaux peuvent se tenir dans différentes configurations d’experts.

2. Le réseau des agents de liaison nationaux facilite en particulier l’échange d’informations entre l’ENISA et les États membres et aide l’ENISA à faire connaître ses activités et à diffuser les résultats de ses travaux et ses recommandations auprès des parties prenantes concernées dans l’ensemble de l’Union.

3. Les agents de liaison nationaux servent de point de contact au niveau national pour faciliter la coopération entre l’ENISA et les experts nationaux dans le cadre de la mise en œuvre du programme de travail annuel de l’ENISA.

4. Si les agents de liaison nationaux coopèrent étroitement avec les représentants du conseil d’administration de leurs États membres respectifs, le réseau des agents de liaison nationaux en lui-même ne doit pas dupliquer le travail du conseil d’administration ou d’autres instances de l’Union.

5. Les fonctions et les procédures du réseau des agents de liaison nationaux sont précisées dans les règles internes de fonctionnement de l’ENISA et sont rendues publiques.







Section 5

Fonctionnement

Article 24

Document unique de programmation

1. L’ENISA opère conformément à un document unique de programmation qui décrit sa programmation annuelle et pluriannuelle, et qui contient l’ensemble de ses activités planifiées.

2. o 1271/2013 de la Commission ( Le directeur exécutif établit chaque année un projet de document unique de programmation contenant sa programmation annuelle et pluriannuelle, ainsi que la planification des ressources financières et humaines correspondantes, conformément à l’article 32 du règlement délégué (UE) n1271/2013 de la Commission ( 3 ), et tenant compte des lignes directrices fixées par la Commission.

3. Le conseil d’administration adopte, au plus tard le 30 novembre de chaque année, le document unique de programmation visé au paragraphe 1 et le transmet au Parlement européen, au Conseil et à la Commission au plus tard le 31 janvier de l’année suivante, ainsi que toute version de ce document actualisée ultérieurement.

4. Le document unique de programmation devient définitif après l’adoption définitive du budget général de l’Union et il est adapté en tant que de besoin.

5. Le programme de travail annuel expose des objectifs détaillés et les résultats escomptés, notamment des indicateurs de performance. Il contient en outre une description des actions à financer et une indication des ressources financières et humaines allouées à chaque action, conformément aux principes d’établissement du budget par activités et de la gestion fondée sur les activités. Le programme de travail annuel s’inscrit dans la logique du programme de travail pluriannuel visé au paragraphe 7. Il indique clairement les tâches qui ont été ajoutées, modifiées ou supprimées par rapport à l’exercice précédent.

6. Le conseil d’administration modifie le programme de travail annuel adopté lorsqu’une nouvelle tâche est assignée à l’ENISA. Toute modification substantielle du programme de travail annuel est soumise à une procédure d’adoption identique à celle applicable au programme de travail annuel initial. Le conseil d’administration peut déléguer au directeur exécutif le pouvoir d’apporter des modifications non substantielles au programme de travail annuel.

7. Le programme de travail pluriannuel expose la programmation stratégique globale comprenant les objectifs, les résultats escomptés et les indicateurs de performance. Il définit également la programmation des ressources, notamment le budget pluriannuel et les effectifs.

8. La programmation des ressources est actualisée chaque année. La programmation stratégique est actualisée en tant que de besoin, notamment pour tenir compte, si nécessaire, des résultats de l’évaluation visée à l’article 67.

Article 25

Déclaration d’intérêts

1. Les membres du conseil d’administration, le directeur exécutif et les fonctionnaires détachés par les États membres à titre temporaire font chacun une déclaration d’engagements et une déclaration indiquant l’absence ou la présence de tout intérêt direct ou indirect qui pourrait être considéré comme préjudiciable à leur indépendance. Les déclarations sont exactes et complètes, faites par écrit sur une base annuelle et actualisées si nécessaire.

2. Les membres du conseil d’administration, le directeur exécutif et les experts externes participant aux groupes de travail ad hoc déclarent chacun de manière exacte et complète, au plus tard au début de chaque réunion, les intérêts qui pourraient être considérés comme préjudiciables à leur indépendance eu égard aux points inscrits à l’ordre du jour, et s’abstiennent de prendre part aux discussions et de voter sur ces points.

3. L’ENISA fixe, dans ses règles internes de fonctionnement, les modalités pratiques concernant les règles relatives aux déclarations d’intérêt visées aux paragraphes 1 et 2.

Article 26

Transparence

1. L’ENISA exerce ses activités avec un niveau élevé de transparence et conformément à l’article 28.

2. L’ENISA veille à ce que le public et toute partie intéressée reçoivent une information appropriée, objective, fiable et facilement accessible, notamment en ce qui concerne le résultat de ses travaux. Elle rend également publiques les déclarations d’intérêt faites conformément à l’article 25.

3. Le conseil d’administration peut, sur proposition du directeur exécutif, autoriser des parties intéressées à participer en tant qu’observateurs à certaines activités de l’ENISA.

4. L’ENISA fixe, dans ses règles internes de fonctionnement, les modalités pratiques d’application des règles de transparence visées aux paragraphes 1 et 2.

Article 27

Confidentialité

1. Sans préjudice de l’article 28, l’ENISA ne divulgue pas à des tiers les informations qu’elle traite ou qu’elle reçoit et pour lesquelles une demande motivée de traitement confidentiel a été faite.

2. Les membres du conseil d’administration, le directeur exécutif, les membres du groupe consultatif de l’ENISA, les experts externes participant aux groupes de travail ad hoc et les membres du personnel de l’ENISA, y compris les fonctionnaires détachés par les États membres à titre temporaire, respectent les obligations de confidentialité prévues à l’article 339 du traité sur le fonctionnement de l’Union européenne, même après la cessation de leurs fonctions.

3. L’ENISA fixe, dans ses règles internes de fonctionnement, les modalités pratiques d’application des règles de confidentialité visées aux paragraphes 1 et 2.

4. Si l’exécution des tâches de l’ENISA l’exige, le conseil d’administration décide d’autoriser l’ENISA à traiter des informations classifiées. Dans ce cas, l’ENISA, en accord avec les services de la Commission, adopte des règles de sécurité respectant les principes de sécurité énoncés dans les décisions (UE, Euratom) 2015/443 ( 4 ) et 2015/444 ( 5 ) de la Commission. Ces règles de sécurité comprennent des dispositions relatives à l’échange, au traitement et à l’archivage des informations classifiées.

Article 28

Accès aux documents

1. Le règlement (CE) n o 1049/2001 s’applique aux documents détenus par l’ENISA.

2. Le conseil d’administration adopte les modalités d’application du règlement (CE) n o 1049/2001 au plus tard le 28 décembre 2019.

3. Les décisions prises par l’ENISA en application de l’article 8 du règlement (CE) n o 1049/2001 peuvent faire l’objet d’une plainte auprès du Médiateur européen au titre de l’article 228 du traité sur le fonctionnement de l’Union européenne, ou d’un recours devant la Cour de justice de l’Union européenne au titre de l’article 263 du traité sur le fonctionnement de l’Union européenne.







CHAPITRE IV

Établissement et structure du budget de l’ENISA

Article 29

Établissement du budget de l’ENISA

1. Chaque année, le directeur exécutif établit un projet d’état prévisionnel des recettes et des dépenses de l’ENISA pour l’exercice budgétaire suivant et le transmet au conseil d’administration avec un projet de tableau des effectifs. Les recettes et les dépenses sont équilibrées.

2. Le conseil d’administration établit chaque année, sur la base du projet d’état prévisionnel, un état prévisionnel des recettes et des dépenses de l’ENISA pour l’exercice budgétaire suivant.

3. Le conseil d’administration transmet, au plus tard le 31 janvier de chaque année, l’état prévisionnel, qui fait partie du projet de document unique de programmation, à la Commission et aux pays tiers avec lesquels l’Union a conclu des accords tels qu’ils sont visés à l’article 42, paragraphe 2.

4. Sur la base de l’état prévisionnel, la Commission inscrit dans le projet de budget général de l’Union les prévisions qu’elle estime nécessaires en ce qui concerne le tableau des effectifs et le montant de la contribution à la charge du budget général de l’Union, qu’elle soumet au Parlement européen et au Conseil conformément à l’article 314 du traité sur le fonctionnement de l’Union européenne.

5. Le Parlement européen et le Conseil autorisent les crédits au titre de la contribution de l’Union destinée à l’ENISA.

6. Le Parlement européen et le Conseil adoptent le tableau des effectifs de l’ENISA.

7. Le conseil d’administration adopte le budget de l’ENISA en même temps que le document unique de programmation. Le budget de l’ENISA devient définitif après l’adoption définitive du budget général de l’Union. En tant que de besoin, le conseil d’administration ajuste le budget de l’ENISA et le document unique de programmation conformément au budget général de l’Union.

Article 30

Structure du budget de l’ENISA

1. Sans préjudice d’autres ressources, les recettes de l’ENISA sont constituées: a) d’une contribution provenant du budget général de l’Union; b) de recettes allouées à des postes de dépense spécifiques conformément à ses règles financières visées à l’article 32; c) d’un financement de l’Union sous la forme de conventions de délégation ou de subventions ad hoc, conformément à ses règles financières visées à l’article 32 et aux dispositions des instruments pertinents appuyant les politiques de l’Union; d) de contributions de pays tiers participant aux travaux de l’ENISA conformément à l’article 42; e) de toute contribution volontaire des États membres en espèces ou en nature.

Les États membres qui apportent des contributions volontaires en vertu du premier alinéa, point e), ne peuvent prétendre à aucun droit ou service spécifique du fait de celles-ci.

2. Les dépenses de l’ENISA comprennent la rémunération du personnel, l’assistance administrative et technique, les dépenses d’infrastructure et de fonctionnement et les dépenses résultant de contrats avec des tiers.

Article 31

Exécution du budget de l’ENISA

1. Le directeur exécutif est responsable de l’exécution du budget de l’ENISA.

2. L’auditeur interne de la Commission exerce à l’égard de l’ENISA les mêmes pouvoirs que ceux qui lui sont attribués à l’égard des services de la Commission.

3. Le comptable de l’ENISA transmet les comptes provisoires pour l’exercice (exercice N) au comptable de la Commission et à la Cour des comptes au plus tard le 1 er mars de l’exercice suivant (exercice N + 1).

4. À la réception des observations formulées par la Cour des comptes sur les comptes provisoires de l’ENISA en vertu de l’article 246 du règlement (UE, Euratom) 2018/1046 du Parlement européen et du Conseil ( 6 ), le comptable de l’ENISA établit les comptes définitifs de l’ENISA sous sa propre responsabilité et les soumet au conseil d’administration pour avis.

5. Le conseil d’administration rend un avis sur les comptes définitifs de l’ENISA.

6. Au plus tard le 31 mars de l’année N + 1, le directeur exécutif transmet le rapport sur la gestion budgétaire et financière au Parlement européen, au Conseil, à la Commission et à la Cour des comptes.

7. Au plus tard le 1 er juillet de l’année N + 1, le comptable de l’ENISA transmet les comptes définitifs de l’ENISA, accompagnés de l’avis du conseil d’administration, au Parlement européen, au Conseil, au comptable de la Commission et à la Cour des comptes.

8. À la même date que celle de la transmission des comptes définitifs de l’ENISA, le comptable de l’ENISA transmet également à la Cour des comptes une lettre de déclaration concernant ces comptes définitifs, avec copie au comptable de la Commission.

9. Au plus tard le 15 novembre de l’année N + 1, le directeur exécutif publie les comptes définitifs de l’ENISA au Journal officiel de l’Union européenne .

10. Au plus tard le 30 septembre de l’année N + 1, le directeur exécutif adresse à la Cour des comptes une réponse aux observations de celle-ci, et adresse également une copie de cette réponse au conseil d’administration et à la Commission.

11. Le directeur exécutif soumet au Parlement européen, à la demande de celui-ci, toute information nécessaire au bon déroulement de la procédure de décharge pour l’exercice budgétaire en question, conformément à l’article 261, paragraphe 3, du règlement (UE, Euratom) 2018/1046.

12. Le Parlement européen, statuant sur recommandation du Conseil et avant le 15 mai de l’année N + 2, donne décharge au directeur exécutif sur l’exécution du budget de l’exercice N.

Article 32

Règles financières

Les règles financières applicables à l’ENISA sont arrêtées par le conseil d’administration, après consultation de la Commission. Elles ne peuvent s’écarter du règlement délégué (UE) no 1271/2013 que si le fonctionnement de l’ENISA le nécessite spécifiquement et moyennant l’accord préalable de la Commission.

Article 33

Lutte contre la fraude

1. o 883/2013 du Parlement européen et du Conseil ( Afin de faciliter la lutte contre la fraude, la corruption et d’autres activités illégales au titre du règlement (UE, Euratom) n883/2013 du Parlement européen et du Conseil ( 7 ), l’ENISA adhère, au plus tard le 28 décembre 2019, à l’accord interinstitutionnel du 25 mai 1999 entre le Parlement européen, le Conseil de l’Union européenne et la Commission des Communautés européennes relatif aux enquêtes internes effectuées par l’Office européen de lutte antifraude (OLAF) ( 8 ). L’ENISA adopte les dispositions appropriées applicables à tout le personnel de l’ENISA, en utilisant le modèle figurant à l’annexe dudit accord.

2. La Cour des comptes dispose d’un pouvoir d’audit, sur pièces et sur place, à l’égard de tous les bénéficiaires de subventions, contractants et sous-traitants qui ont reçu des fonds de l’Union en provenance de l’ENISA.

3. o 883/2013 et le règlement (Euratom, CE) n o 2185/96 du Conseil ( L’OLAF peut effectuer des enquêtes, y compris des contrôles et vérifications sur place, conformément aux dispositions et procédures prévues par le règlement (UE, Euratom) n883/2013 et le règlement (Euratom, CE) n2185/96 du Conseil ( 9 ), en vue d’établir l’existence éventuelle d’une fraude, d’un acte de corruption ou de toute autre activité illégale portant atteinte aux intérêts financiers de l’Union, en lien avec une subvention ou un contrat financés par l’ENISA.

4. Sans préjudice des paragraphes 1, 2 et 3, les accords de coopération conclus avec des pays tiers ou des organisations internationales, les contrats, les conventions de subvention et les décisions de subvention de l’ENISA contiennent des dispositions habilitant expressément la Cour des comptes et l’OLAF à procéder à ces audits et à ces enquêtes, conformément à leurs compétences respectives.







CHAPITRE V

Personnel

Article 34

Dispositions générales

Le statut des fonctionnaires et le régime applicable aux autres agents, ainsi que les règles arrêtées d’un commun accord entre les institutions de l’Union visant à exécuter le statut des fonctionnaires et le régime applicable aux autres agents, s’appliquent au personnel de l’ENISA.

Article 35

Privilèges et immunités

Le protocole no 7 sur les privilèges et immunités de l’Union européenne, annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, s’applique à l’ENISA ainsi qu’à son personnel.

Article 36

Directeur exécutif

1. Le directeur exécutif est engagé en tant qu’agent temporaire de l’ENISA conformément à l’article 2, point a), du régime applicable aux autres agents.

2. Le directeur exécutif est nommé par le conseil d’administration sur la base d’une liste de candidats proposés par la Commission, à la suite d’une procédure de sélection ouverte et transparente.

3. Aux fins de la conclusion du contrat de travail du directeur exécutif, l’ENISA est représentée par le président du conseil d’administration.

4. Avant d’être nommé, le candidat retenu par le conseil d’administration est invité à faire une déclaration devant la commission concernée du Parlement européen et à répondre aux questions des députés.

5. Le mandat du directeur exécutif est de cinq ans. Au terme de cette période, la Commission procède à une évaluation du travail accompli par le directeur exécutif et des tâches et défis futurs de l’ENISA.

6. Le conseil d’administration statue sur la nomination, la prorogation du mandat et la révocation du directeur exécutif conformément à l’article 18, paragraphe 2.

7. Le conseil d’administration, sur proposition de la Commission tenant compte de l’évaluation visée au paragraphe 5, peut proroger une fois le mandat du directeur exécutif pour une durée de cinq ans.

8. Le conseil d’administration informe le Parlement européen de son intention de proroger le mandat du directeur exécutif. Dans les trois mois précédant cette prorogation, le directeur exécutif fait, s’il y est invité, une déclaration devant la commission concernée du Parlement européen et répond aux questions des députés.

9. Un directeur exécutif dont le mandat a été prorogé ne peut pas participer à une nouvelle procédure de sélection pour le même poste.

10. Le directeur exécutif ne peut être démis de ses fonctions que sur décision du conseil d’administration, statuant sur proposition de la Commission.

Article 37

Experts nationaux détachés et personnel autre

1. L’ENISA peut avoir recours à des experts nationaux détachés ou à d’autres personnes qu’elle n’emploie pas. Le statut des fonctionnaires et le régime applicable aux autres agents ne s’appliquent pas à ces personnes.

2. Le conseil d’administration adopte une décision établissant le régime applicable aux experts nationaux détachés auprès de l’ENISA.







CHAPITRE VI

Dispositions générales concernant l’ENISA

Article 38

Statut juridique de l’ENISA

1. L’ENISA est un organisme de l’Union et elle est dotée de la personnalité juridique.

2. Dans chaque État membre, l’ENISA jouit de la capacité juridique la plus étendue accordée aux personnes morales en droit national. Elle peut notamment acquérir ou aliéner des biens mobiliers et immobiliers et ester en justice.

3. L’ENISA est représentée par le directeur exécutif.

Article 39

Responsabilité de l’ENISA

1. La responsabilité contractuelle de l’ENISA est régie par le droit applicable au contrat en question.

2. La Cour de justice de l’Union européenne est compétente pour statuer en vertu de toute clause compromissoire contenue dans un contrat conclu par l’ENISA.

3. En cas de responsabilité non contractuelle, l’ENISA répare tout dommage causé par ses services ou par son personnel dans l’exercice de leurs fonctions, conformément aux principes généraux communs aux législations des États membres.

4. La Cour de justice de l’Union européenne est compétente pour traiter de tout litige relatif à la réparation d’un dommage visé au paragraphe 3.

5. La responsabilité personnelle du personnel de l’ENISA envers l’ENISA est régie par les dispositions pertinentes applicables au personnel de l’ENISA.

Article 40

Régime linguistique

1. o 1 du Conseil ( Le règlement n1 du Conseil ( 10 ) s’applique à l’ENISA. Les États membres et les autres organismes désignés par les États membres peuvent s’adresser à l’ENISA et recevoir une réponse dans la langue officielle des institutions de l’Union qu’ils choisissent.

2. Les services de traduction nécessaires au fonctionnement de l’ENISA sont assurés par le Centre de traduction des organes de l’Union européenne.

Article 41

Protection des données à caractère personnel

1. Les opérations de traitement de données à caractère personnel effectuées par l’ENISA sont soumises au règlement (UE) 2018/1725.

2. Le conseil d’administration adopte les dispositions d’application visées à l’article 45, paragraphe 3, du règlement (UE) 2018/1725. Le conseil d’administration peut adopter des mesures supplémentaires nécessaires pour l’application du règlement (UE) 2018/1725 par l’ENISA.

Article 42

Coopération avec des pays tiers et des organisations internationales

1. Dans la mesure nécessaire pour atteindre les objectifs énoncés dans le présent règlement, l’ENISA peut coopérer avec les autorités compétentes de pays tiers ou avec des organisations internationales. À cet effet, l’ENISA peut établir des arrangements de travail avec les autorités de pays tiers et des organisations internationales, sous réserve de l’accord préalable de la Commission. Ces arrangements de travail ne créent pas d’obligations juridiques à l’égard de l’Union ou de ses États membres.

2. L’ENISA est ouverte à la participation des pays tiers qui ont conclu des accords en ce sens avec l’Union. Conformément aux dispositions pertinentes de tels accords, des arrangements de travail sont élaborés pour préciser notamment la nature, l’étendue et les modalités de la participation de ces pays tiers aux travaux de l’ENISA, et contiennent des dispositions relatives à la participation aux initiatives prises par l’ENISA, aux contributions financières et au personnel. En ce qui concerne les questions relatives au personnel, lesdits arrangements de travail respectent le statut des fonctionnaires et le régime applicable aux autres agents.

3. Le conseil d’administration adopte une stratégie en ce qui concerne les relations avec les pays tiers et les organisations internationales sur les questions relevant de la compétence de l’ENISA. La Commission veille à ce que l’ENISA fonctionne dans les limites de son mandat et du cadre institutionnel existant en concluant des arrangements de travail appropriés avec le directeur exécutif.

Article 43

Règles de sécurité en matière de protection des informations sensibles non classifiées et des informations classifiées

Après consultation de la Commission, l’ENISA adopte des règles de sécurité en appliquant les principes de sécurité énoncés dans les règles de sécurité de la Commission visant à protéger les informations sensibles non classifiées et les ICUE, énoncées dans les décisions (UE, Euratom) 2015/443 et (UE, Euratom) 2015/444. Les règles de sécurité de l’ENISA couvrent les dispositions relatives à l’échange, au traitement et au stockage de ces informations.

Article 44

Accord de siège et conditions de fonctionnement

1. Les dispositions requises pour l’implantation de l’ENISA dans l’État membre du siège et les prestations à fournir par cet État membre, ainsi que les règles particulières qui sont applicables dans ledit État membre au directeur exécutif, aux membres du conseil d’administration, au personnel de l’ENISA et aux membres de leurs familles sont arrêtées dans un accord de siège conclu entre l’ENISA et l’État membre du siège, après approbation par le conseil d’administration.

2. L’État membre du siège de l’ENISA offre les meilleures conditions possibles pour assurer le bon fonctionnement de l’ENISA, en tenant compte de l’accessibilité de l’emplacement, de l’existence de services d’éducation appropriés pour les enfants des membres du personnel et d’un accès adéquat au marché du travail, à la sécurité sociale et aux soins médicaux pour les enfants et les conjoints des membres du personnel.

Article 45

Contrôle administratif

Les activités de l’ENISA sont soumises au contrôle du Médiateur européen, conformément à l’article 228 du traité sur le fonctionnement de l’Union européenne.







TITRE III

CADRE DE CERTIFICATION DE CYBERSÉCURITÉ

Article 46

Cadre européen de certification de cybersécurité

1. Le cadre européen de certification de cybersécurité est établi afin d’améliorer les conditions de fonctionnement du marché intérieur en renforçant le niveau de cybersécurité au sein de l’Union et en permettant de disposer, au niveau de l’Union, d’une approche harmonisée en ce qui concerne les schémas européens de certification de cybersécurité, en vue de créer un marché unique numérique pour les produits TIC, services TIC et processus TIC.

2. Le cadre européen de certification de cybersécurité prévoit un mécanisme visant à établir des schémas européens de certification de cybersécurité et à attester que les produits TIC, services TIC et processus TIC qui ont été évalués conformément à ces schémas satisfont à des exigences de sécurité définies, dans le but de protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données stockées, transmises ou traitées ou des fonctions ou services qui sont offerts par ces produits, services et processus ou accessibles par leur intermédiaire tout au long de leur cycle de vie.

Article 47

Le programme de travail glissant de l’Union pour la certification européenne de cybersécurité

1. La Commission publie un programme de travail glissant de l’Union pour la certification européenne de cybersécurité (ci-après dénommé «programme de travail glissant de l’Union») qui recense les priorités stratégiques pour les futurs schémas européens de certification de cybersécurité.

2. Le programme de travail glissant de l’Union inclut notamment une liste de produits TIC, services TIC et processus TIC ou de catégories de ceux-ci qui sont susceptibles de bénéficier d’une inclusion dans le champ d’application d’un schéma européen de certification de cybersécurité.

3. L’inclusion de produits TIC, services TIC et processus TIC spécifiques ou de catégories spécifiques de ceux-ci dans le programme de travail glissant de l’Union doit se justifier sur la base de l’un ou de plusieurs des motifs suivants: a) la disponibilité et le développement de schémas nationaux de certification de cybersécurité couvrant toute catégorie spécifique de produits TIC, services TIC ou processus TIC et, en particulier, en ce qui concerne le risque de fragmentation; b) le droit ou la politique applicable de l’Union ou d’un État membre; c) la demande du marché; d) l’évolution de la situation en ce qui concerne les cybermenaces; e) une demande de préparation d’un schéma candidat spécifique par le GECC.

4. La Commission tient dûment compte des avis du GECC et du groupe des parties prenantes pour la certification de cybersécurité sur le projet de programme de travail glissant de l’Union.

5. Le premier programme de travail glissant de l’Union est publié au plus tard le 28 juin 2020. Le programme de travail glissant de l’Union est mis à jour au moins tous les trois ans, et plus souvent si nécessaire.

Article 48

Demande de schéma européen de certification de cybersécurité

1. La Commission peut demander à l’ENISA de préparer un schéma candidat ou de réexaminer un schéma européen de certification de cybersécurité existant sur la base du programme de travail glissant de l’Union.

2. Dans des cas dûment justifiés, la Commission ou le GECC peut demander à l’ENISA de préparer un schéma candidat ou de réexaminer un schéma européen de certification de cybersécurité existant qui n’est pas inclus dans le programme de travail glissant de l’Union. Le programme de travail glissant de l’Union est mis à jour en conséquence.

Article 49

Préparation, adoption et réexamen d’un schéma européen de certification de cybersécurité

1. À la suite d’une demande formulée par la Commission en vertu de l’article 48, l’ENISA prépare un schéma candidat qui satisfait aux exigences énoncées aux articles 51, 52 et 54.

2. À la suite d’une demande formulée par le GECC en vertu de l’article 48, paragraphe 2, l’ENISA peut préparer un schéma candidat qui satisfait aux exigences énoncées aux articles 51, 52 et 54. Si l’ENISA rejette une telle demande, elle doit motiver son refus. Toute décision de rejeter une telle demande est prise par le conseil d’administration.

3. Lors de la préparation d’un schéma candidat, l’ENISA consulte toutes les parties prenantes concernées au moyen d’un processus de consultation formel, ouvert, transparent et inclusif.

4. Pour chaque schéma candidat, l’ENISA crée un groupe de travail ad hoc, conformément à l’article 20, paragraphe 4, afin qu’il lui fournisse des conseils et des compétences spécifiques.

5. L’ENISA coopère étroitement avec le GECC. Celui-ci fournit aide et expertise à l’ENISA dans le cadre de la préparation du schéma candidat et adopte un avis sur le schéma candidat.

6. L’ENISA tient le plus grand compte de l’avis du GECC avant de transmettre à la Commission le schéma candidat préparé conformément aux paragraphes 3, 4 et 5. L’avis du GECC n’est pas contraignant pour l’ENISA, et l’absence d’un tel avis n’empêche pas l’ENISA de transmettre le schéma candidat à la Commission.

7. La Commission, se fondant sur le schéma candidat préparé par l’ENISA, peut adopter des actes d’exécution prévoyant un schéma européen de certification de cybersécurité pour les produits TIC, services TIC et processus TIC qui satisfont aux exigences des articles 51, 52 et 54. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 66, paragraphe 2.

8. L’ENISA procède au moins tous les cinq ans à une évaluation de chacun des schémas européens de certification de cybersécurité adoptés, en tenant compte des informations reçues en retour des parties intéressées. Si nécessaire, la Commission ou le GECC peut demander à l’ENISA de lancer le processus d’élaboration d’un schéma candidat révisé, conformément à l’article 48 et au présent article.

Article 50

Site internet sur les schémas européens de certification de cybersécurité

1. L’ENISA tient à jour un site internet dédié qui fournit des informations sur les schémas européens de certification de cybersécurité, les certificats de cybersécurité européens et les déclarations de conformité de l’Union européenne, et leur assure une publicité, y compris des informations relatives aux schémas européens de certification de cybersécurité qui ne sont plus valables, aux certificats de cybersécurité européens qui ont été retirés ou ont expiré et aux déclarations de conformité de l’Union européenne, ainsi qu’au répertoire de liens vers des informations relatives à la cybersécurité fournies conformément à l’article 55.

2. Le cas échéant, le site internet visé au paragraphe 1 indique également les schémas nationaux de certification de cybersécurité qui ont été remplacés par un schéma européen de certification de cybersécurité.

Article 51

Objectifs de sécurité des schémas européens de certification de cybersécurité

Un schéma européen de certification de cybersécurité est conçu de façon à réaliser, selon le cas, au moins les objectifs de sécurité suivants:

a) protéger les données stockées, transmises ou traitées de toute autre façon contre le stockage, le traitement, l’accès ou la diffusion accidentels ou non autorisés au cours de l’ensemble du cycle de vie du produit TIC, service TIC ou processus TIC;

b) protéger les données stockées, transmises ou traitées de toute autre façon contre la destruction accidentelle ou non autorisée, la perte ou l’altération, ou l’absence de disponibilité, au cours de l’ensemble du cycle de vie du produit TIC, service TIC ou processus TIC;

c) faire en sorte que les personnes autorisées, les programmes ou les machines ne puissent accéder qu’aux données, services ou fonctions concernés par leurs droits d’accès;

d) identifier et documenter les dépendances et vulnérabilités connues;

e) garder une trace des données, fonctions ou services qui ont été consultés, utilisés ou traités de toute autre façon, du moment où ils l’ont été et par qui;

f) faire en sorte qu’il soit possible de vérifier quels données, services ou fonctions ont été consultés, utilisés ou traités de toute autre façon, à quel moment et par qui;

g) vérifier que les produits TIC, services TIC et processus TIC ne contiennent pas de vulnérabilités connues;

h) rétablir la disponibilité des données, services et fonctions ainsi que l’accès à ceux-ci dans les plus brefs délais en cas d’incident physique ou technique;

i) faire en sorte que les produits TIC, services TIC et processus TIC soient sécurisés par défaut et dès la conception;

j) faire en sorte que les produits TIC, services TIC et processus TIC soient dotés de logiciels et de matériel à jour et sans vulnérabilités connues du public, et de mécanismes permettant d’assurer les mises à jour en toute sécurité.

Article 52

Niveaux d’assurance des schémas européens de certification de cybersécurité

1. Un schéma européen de certification de cybersécurité peut préciser un ou plusieurs des niveaux d’assurance suivants pour les produits TIC, services TIC et processus TIC: «élémentaire», «substantiel» ou «élevé». Le niveau d’assurance correspond au niveau de risque associé à l’utilisation prévue du produit TIC, service TIC ou processus TIC, en termes de probabilité et de répercussions d’un incident.

2. Les certificats de cybersécurité européens et les déclarations de conformité de l’Union européenne mentionnent tout niveau d’assurance précisé dans le schéma européen de certification de cybersécurité dans le cadre duquel le certificat de cybersécurité européen ou la déclaration de conformité de l’Union européenne a été délivré(e).

3. Les exigences de sécurité correspondant à chaque niveau d’assurance sont fournies dans le schéma européen de certification de cybersécurité concerné, y compris les fonctionnalités de sécurité correspondantes ainsi que la rigueur et l’ampleur correspondantes de l’évaluation à laquelle le produit TIC, service TIC ou processus TIC doit être soumis.

4. Le certificat ou la déclaration de conformité de l’Union européenne fait référence aux spécifications techniques, aux normes et aux procédures connexes, y compris les contrôles techniques, l’objectif étant de réduire le risque d’incidents de cybersécurité ou de les prévenir.

5. Un certificat de cybersécurité européen ou une déclaration de conformité de l’Union européenne qui se réfère au niveau d’assurance dit «élémentaire» offre l’assurance que les produits TIC, services TIC et processus TIC pour lesquels ce certificatif ou cette déclaration de conformité de l’Union européenne est délivré(e) satisfont aux exigences de sécurité correspondantes, y compris les fonctionnalités de sécurité, et qu’ils ont été évalués à un niveau qui vise à minimiser les risques élémentaires connus d’incidents et de cyberattaques. Les activités d’évaluation à entreprendre comprennent au moins un examen de la documentation technique. Lorsqu’un tel examen n’est pas approprié, des activités d’évaluation de substitution ayant un effet équivalent sont entreprises.

6. Un certificat de cybersécurité européen qui se réfère au niveau d’assurance dit «substantiel» offre l’assurance que les produits TIC, services TIC et processus TIC pour lesquels ce certificat est délivré satisfont aux exigences de sécurité correspondantes, y compris des fonctionnalités de sécurité, et qu’ils ont été évalués à un niveau qui vise à minimiser les risques liés à la cybersécurité connus, et le risque d’incidents et de cyberattaques émanant d’acteurs aux aptitudes et aux ressources limitées. Les activités d’évaluation à entreprendre comprennent au moins: un examen visant à démontrer l’absence de vulnérabilités connues du public et des vérifications tendant à démontrer que les produits TIC, services TIC ou processus TIC mettent correctement en œuvre les fonctionnalités de sécurité nécessaires. Lorsque de telles activités d’évaluation ne sont pas appropriées, des activités d’évaluation de substitution ayant un effet équivalent sont entreprises.

7. Un certificat de cybersécurité européen qui se réfère au niveau d’assurance dit «élevé» offre l’assurance que les produits TIC, services TIC et processus TIC pour lesquels ce certificat est délivré satisfont aux exigences de sécurité correspondantes, y compris des fonctionnalités de sécurité, et qu’ils ont été évalués à un niveau qui vise à minimiser le risque que des cyberattaques de pointe soient menées par des acteurs aux aptitudes solides et aux ressources importantes. Les activités d’évaluation à entreprendre comprennent au moins: un examen démontrant l’absence de vulnérabilités connues du public, des vérifications tendant à démontrer que les produits TIC, services TIC ou processus TIC mettent correctement en œuvre les fonctionnalités de sécurité nécessaires, au niveau de l’état de l’art; et une évaluation de leur résistance à des attaques menées par des acteurs compétents, au moyen de tests de pénétration. Lorsque de telles activités d’évaluation ne sont pas appropriées, des activités d’évaluation de substitution ayant un effet équivalent sont entreprises.

8. Un schéma européen de certification de cybersécurité peut préciser plusieurs niveaux d’évaluation en fonction de la rigueur et de l’ampleur de la méthode d’évaluation utilisée. Chaque niveau d’évaluation correspond à l’un des niveaux d’assurance et il est défini par une combinaison appropriée de composantes d’assurance.

Article 53

Autoévaluation de la conformité

1. Un schéma européen de certification de cybersécurité peut permettre la réalisation d’une autoévaluation de la conformité sous la seule responsabilité du fabricant ou du fournisseur de produits TIC, services TIC ou processus TIC. L’autoévaluation de la conformité n’est autorisée que pour les produits TIC, services TIC et processus TIC qui présentent un risque faible schéma correspondant au niveau d’assurance dit «élémentaire».

2. Le fabricant ou le fournisseur de produits TIC, services TIC ou processus TIC peut délivrer une déclaration de conformité de l’Union européenne indiquant que le respect des exigences énoncées dans le schéma a été démontré. En délivrant une telle déclaration, le fabricant ou fournisseur de produits TIC, services TIC ou processus TIC assume la responsabilité du respect par le produit TIC, service TIC ou processus TIC des exigences fixées dans ce schéma.

3. Le fabricant ou fournisseur de produits TIC, services TIC ou processus TIC garde à la disposition de l’autorité nationale de certification de cybersécurité visée à l’article 58 la déclaration de conformité de l’Union européenne, la documentation technique et toutes les autres informations pertinentes relatives à la conformité des produits TIC ou services TIC avec le schéma pendant la durée prévue dans le schéma européen de certification de cybersécurité correspondant. Une copie de la déclaration de conformité de l’Union européenne est transmise à l’autorité nationale de certification de cybersécurité et à l’ENISA.

4. La délivrance d’une déclaration de conformité de l’Union européenne est volontaire, sauf disposition contraire du droit de l’Union ou du droit d’un État membre.

5. Les déclarations de conformité de l’Union européenne sont reconnues dans tous les États membres.

Article 54

Éléments des schémas européens de certification de cybersécurité

1. Un schéma européen de certification de cybersécurité comprend au moins les éléments suivants: a) l’objet et le champ d’application du schéma de certification, notamment le type ou les catégories de produits TIC, services TIC et processus TIC couverts; b) une description claire de la finalité du schéma et de la façon dont les normes, les méthodes d’évaluation et les niveaux d’assurance sélectionnés correspondent aux besoins des utilisateurs auxquels le schéma est destiné; c) des références aux normes internationales, européennes ou nationales appliquées dans le cadre de l’évaluation ou, lorsque de telles normes n’existent pas ou ne sont pas appropriées, à des spécifications techniques qui satisfont aux exigences énoncées à l’annexe II du règlement (UE) no 1025/2012 ou, lorsque de telles spécifications ne sont pas disponibles, à des spécifications techniques ou d’autres exigences de cybersécurité définies dans le schéma européen de certification de cybersécurité; d) le cas échéant, un ou plusieurs niveaux d’assurance; e) une mention indiquant si l’autoévaluation de la conformité est autorisée dans le cadre du schéma; f) le cas échéant, des exigences spécifiques ou supplémentaires auxquelles sont soumis les organismes d’évaluation de la conformité aux fins de garantir qu’ils disposent des compétences techniques nécessaires pour évaluer les exigences de cybersécurité; g) les critères et méthodes d’évaluation spécifiques qui doivent être utilisés, notamment les types d’évaluation, afin de démontrer que les objectifs de sécurité visés à l’article 51 sont atteints; h) le cas échéant, les informations nécessaires à la certification qu’un demandeur doit fournir aux organismes d’évaluation de la conformité ou mettre à leur disposition d’une autre façon; i) lorsque le schéma prévoit des marques ou des labels, les conditions dans lesquelles ces marques ou labels peuvent être utilisés; j) les règles relatives au contrôle du respect par les produits TIC, services TIC et processus TIC des exigences liées aux certificats de cybersécurité européens ou aux déclarations de conformité de l’Union européenne, notamment les mécanismes permettant de démontrer le respect constant des exigences de cybersécurité qui ont été définies; k) le cas échéant, les conditions permettant de délivrer, de maintenir, de prolonger et de renouveler les certificats européen de cybersécurité, ainsi que les conditions auxquelles il est possible d’étendre ou de réduire leur champ d’application; l) les règles relatives aux conséquences pour les produits TIC, services TIC et processus TIC qui ont été certifiés ou pour lesquels une déclaration de conformité de l’Union européenne a été délivrée, mais qui ne respectent pas les exigences du schéma; m) les règles relatives aux modalités de signalement et de traitement des vulnérabilités de cybersécurité non détectées précédemment dans des produits TIC, services TIC et processus TIC; n) le cas échéant, les règles relatives à la conservation des archives par les organismes d’évaluation de la conformité; o) l’identification des schémas nationaux ou internationaux de certification de cybersécurité couvrant le même type ou les mêmes catégories de produits TIC, services TIC et processus TIC, d’exigences de sécurité, de critères et méthodes d’évaluation et de niveaux d’assurance; p) le contenu et le format des certificats de cybersécurité européens et des déclarations de conformité de l’Union européenne à délivrer; q) la période de disponibilité de la déclaration de conformité de l’Union européenne, de la documentation technique et de toutes les autres informations pertinentes qui doivent être mises à disposition par le fabricant ou le fournisseur de produits TIC, services TIC ou processus TIC; r) la durée maximale de validité des certificats de cybersécurité européens délivrés dans le cadre du schéma; s) la politique de divulgation concernant les certificats de cybersécurité européens délivrés, modifiés ou retirés dans le cadre du schéma; t) les conditions de reconnaissance mutuelle des schémas de certification avec les pays tiers; u) le cas échéant, les règles relatives à tout mécanisme d’évaluation par les pairs établi par le schéma pour les autorités ou organismes qui délivrent des certificats de cybersécurité européens pour le niveau d’assurance dit «élevé» en vertu de l’article 56, paragraphe 6. Un tel mécanisme est sans préjudice de l’examen par les pairs prévu à l’article 59; v) le format et les procédures que les fabricants ou les fournisseurs de produits TIC, services TIC ou processus TIC doivent appliquer pour fournir et mettre à jour les informations supplémentaires en matière de cybersécurité conformément à l’article 55.

2. Les exigences du schéma européen de certification de cybersécurité qui ont été définies sont cohérentes avec toute exigence légale applicable, notamment les exigences découlant de dispositions harmonisées du droit de l’Union.

3. Lorsqu’un acte juridique spécifique de l’Union le prévoit, un certificat ou une déclaration de conformité de l’Union européenne délivré(e) dans le cadre d’un schéma européen de certification de cybersécurité peut être utilisé(e) pour démontrer la présomption de conformité aux exigences de cet acte juridique.

4. En l’absence de dispositions harmonisées du droit de l’Union, le droit d’un État membre peut aussi prévoir qu’un schéma européen de certification de cybersécurité peut être utilisé pour établir la présomption de conformité aux exigences légales.

Article 55

Informations supplémentaires en matière de cybersécurité pour les produits TIC, services TIC et processus TIC certifiés

1. Le fabricant ou le fournisseur de produits TIC, services TIC ou processus TIC certifiés ou de produits TIC, services TIC et processus TIC pour lesquels une déclaration de conformité de l’Union européenne a été délivrée met les informations supplémentaires en matière de cybersécurité qui suivent à la disposition du public: a) des orientations et des recommandations pour aider les utilisateurs finaux à assurer, de façon sécurisée, la configuration, l’installation, le déploiement, le fonctionnement et la maintenance des produits TIC ou services TIC; b) la période pendant laquelle une assistance en matière de sécurité sera offerte aux utilisateurs finaux, en particulier en ce qui concerne la disponibilité de mises à jour liées à la cybersécurité; c) les informations de contact du fabricant ou du fournisseur et les méthodes acceptées pour recevoir des informations concernant des vulnérabilités de la part d’utilisateurs finaux et de chercheurs dans le domaine de la sécurité; d) une mention relative aux répertoires en ligne recensant les vulnérabilités publiquement divulguées liées au produit TIC, service TIC ou processus TIC ainsi que tout conseil pertinent en matière de cybersécurité.

2. Les informations visées au paragraphe 1 sont disponibles sous forme électronique et restent disponibles et actualisées en tant que de besoin au moins jusqu’à l’expiration du certificat de cybersécurité européen ou de la déclaration de conformité de l’Union européenne correspondant(e).

Article 56

Certification de cybersécurité

1. Les produits TIC, services TIC et processus TIC qui ont été certifiés dans le cadre d’un schéma européen de certification de cybersécurité adopté en vertu de l’article 49 sont présumés respecter les exigences de ce schéma.

2. La certification de cybersécurité est volontaire, sauf disposition contraire du droit de l’Union ou du droit d’un État membre.

3. La Commission évalue régulièrement l’efficacité et l’utilisation des schémas européens de certification de cybersécurité adoptés ainsi que la question de savoir si un schéma européen de certification de cybersécurité spécifique doit être rendu obligatoire, au moyen de dispositions pertinentes du droit de l’Union, pour garantir un niveau adéquat de cybersécurité des produits TIC, services TIC et processus TIC dans l’Union et améliorer le fonctionnement du marché intérieur. La première de ces évaluations est effectuée le 31 décembre 2023 au plus tard, et les évaluations suivantes sont effectuées au moins tous les deux ans par la suite. Sur la base des résultats de ces évaluations, la Commission recense les produits TIC, services TIC et processus TIC couverts par un schéma de certification existant qui doivent relever d’un schéma de certification obligatoire.

La Commission met l’accent en priorité sur les secteurs dont la liste figure à l’annexe II de la directive (UE) 2016/1148 qui sont évalués au plus tard deux ans après l’adoption du premier schéma européen de certification de cybersécurité.

Lorsqu’elle prépare l’évaluation, la Commission:

a) tient compte de l’incidence des mesures, du point de vue des coûts, sur les fabricants ou fournisseurs de ces produits TIC, services TIC ou processus TIC et sur les utilisateurs, ainsi que des avantages sociétaux ou économiques résultant du renforcement escompté du niveau de sécurité des produits TIC, services TIC ou processus TIC ciblés;

b) tient compte de l’existence et de la mise en œuvre du droit des États membres et des pays tiers concernés;

c) engage un processus de consultation ouvert, transparent et inclusif avec toutes les parties prenantes concernées et les États membres;

d) prend en considération les délais de mise en œuvre ainsi que les mesures et périodes transitoires, en ce qui concerne, en particulier, l’incidence éventuelle de la mesure sur les fabricants ou les fournisseurs de produits TIC, services TIC ou processus TIC, y compris les PME;

e) propose la façon la plus rapide et la plus efficace de mettre en œuvre la transition des schémas de certification volontaires vers les schémas de certification obligatoires.

4. Les organismes d’évaluation de la conformité visés à l’article 60 délivrent des certificats de cybersécurité européens au titre du présent article attestant du niveau d’assurance dit «élémentaire» ou «substantiel» sur la base des critères figurant dans le schéma européen de certification de cybersécurité adopté par la Commission conformément à l’article 49.

5. Par dérogation au paragraphe 4, dans des cas dûment justifiés, un schéma européen de certification de cybersécurité peut prévoir que seul un organisme public peut délivrer des certificats de cybersécurité européens dans le cadre dudit schéma. Cet organisme est l’une des entités suivantes: a) une autorité nationale de certification de cybersécurité visée à l’article 58, paragraphe 1; ou b) un organisme public accrédité en tant qu’organisme d’évaluation de la conformité conformément à l’article 60, paragraphe 1.

6. Lorsqu’un schéma européen de certification de cybersécurité adopté au titre de l’article 49 exige un niveau d’assurance dit «élevé», le certificat de cybersécurité européen dans le cadre de ce schéma ne doit être délivré que par une autorité nationale de certification de cybersécurité ou, dans les cas suivants, par un organisme d’évaluatio