ANNEXE

Étapes en vue de la création de l’unité conjointe de cybersécurité

La présente annexe décrit plus en détail les actions clés et les actions de soutien nécessaires pour mettre en place l’unité conjointe de cybersécurité et la rendre opérationnelle.

1. Étape 1 — Analyse des aspects organisationnels de l’unité conjointe de cybersécurité et recensement des capacités opérationnelles de l’Union disponibles

ACTIONS CLÉS

Les participants ayant un rôle opérationnel à l’unité conjointe de cybersécurité, réunis au sein d’un groupe de travail mis en place par la Commission et assistés par l’ENISA, devraient recueillir des informations sur les capacités opérationnelles existantes, et notamment dresser une liste des professionnels reconnus disponibles avec une indication de leur expertise pertinente, des outils, fonctions et actifs disponibles pour gérer les incidents, des portefeuilles de formations et d’exercices disponibles et des produits d’analyse d’informations et de renseignement existants. Sur la base de ces informations, les participants ayant un rôle opérationnel devraient établir une liste des capacités opérationnelles de l’Union disponibles et prêtes à être déployées en cas d’incidents ou de crises de cybersécurité, notamment par l’intermédiaire d’équipes de réaction rapide de l’Union en matière de cybersécurité.

Le groupe de travail devrait lancer une analyse des aspects organisationnels de l’unité conjointe de cybersécurité et des rôles et responsabilités des participants ayant un rôle opérationnel au sein de cette plateforme.

Afin d’obtenir une vue d’ensemble des capacités et de convenir des procédures, les actions clés et, dans la mesure du possible, les actions de soutien menées dans le cadre de l’étape 1 devraient être achevées le 31 décembre 2021 au plus tard [6 mois après l’adoption].

2. Étape 2 — Préparation des plans de réaction aux incidents et aux crises et déploiement d’activités conjointes de préparation

ACTIONS CLÉS

Les participants ayant un rôle opérationnel réunis au sein du groupe de travail, en concertation avec les participants ayant un rôle de soutien, devraient élaborer le plan de l’UE concernant la réaction aux incidents et aux crises de cybersécurité sur la base des plans nationaux de réaction aux incidents et aux crises de cybersécurité. Le plan de l’UE concernant la réaction aux incidents et aux crises de cybersécurité devrait inclure des objectifs en matière de préparation de l’Union, des procédures déterminées et des canaux d’échange d’informations sécurisés, y compris les modalités de traitement des informations, ainsi que des critères d’activation du mécanisme d’assistance mutuelle sur la base d’une classification des incidents (taxonomie) convenue et de la liste des capacités de l’Union disponibles.

À la fin de l’étape 2, le groupe de travail devrait conclure son analyse des aspects organisationnels de l’unité conjointe de cybersécurité et des rôles et responsabilités des participants ayant un rôle opérationnel au sein de cette plateforme. Le groupe de travail devrait présenter les résultats de son analyse à la Commission et au haut représentant. La Commission et le haut représentant devraient partager cette analyse avec le Conseil. La Commission et le haut représentant devraient collaborer, dans le respect de leurs compétences respectives, afin d’élaborer un rapport conjoint sur la base de cette analyse et inviter le Conseil à approuver ce rapport sous la forme de conclusions du Conseil.

ACTIONS DE SOUTIEN

Le plan de l’UE concernant la réaction aux incidents et aux crises de cybersécurité devrait s’appuyer sur les principaux éléments des plans nationaux de réaction aux incidents et aux crises de cybersécurité. Conformément à la proposition de la Commission de directive concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, abrogeant la directive (UE) 2016/1148 (1), chaque État membre devrait adopter un plan national de réaction aux incidents et aux crises de cybersécurité. Les plans nationaux, qui peuvent éventuellement faire l’objet d’un examen par les pairs, devraient définir des objectifs et des modalités pour la gestion des incidents et des crises de cybersécurité majeurs. Les plans nationaux devraient aborder, en particulier, les points suivants:

a) les objectifs des mesures et activités nationales de préparation;

b) les rôles et responsabilités des autorités nationales compétentes au niveau national;

c) les procédures de gestion de crise et les canaux d’échange d’informations au niveau national;

d) le recensement des mesures de préparation, y compris les exercices et les activités de formation;

e) l’identification des infrastructures et parties prenantes des secteurs public et privé impliquées;

f) les procédures et modalités nationales entre les autorités et organismes nationaux compétents, y compris ceux qui sont responsables de toutes les cybercommunautés, pour garantir, d’une part, la participation effective des États membres à la gestion coordonnée des incidents et des crises de cybersécurité majeurs au niveau de l’Union et, d’autre part, leur soutien à cette gestion.

Sur la base des contributions fournies par les États membres et les institutions, organes et agences de l’Union, les participants ayant un rôle opérationnel devraient exécuter les actions de soutien suivantes dans le cadre de l’unité conjointe de cybersécurité:

a) établir le premier rapport intégré de situation de l’Union en s’appuyant sur les plans nationaux de réaction aux incidents et aux crises de cybersécurité;

b) mettre en place des capacités de communication et des outils sécurisés de partage d’informations;

c) faciliter l’adoption de protocoles relatifs à l’assistance mutuelle parmi les participants;

d) organiser des exercices et des formations intercommunautaires pour les experts figurant sur la liste des capacités opérationnelles de l’Union disponibles;

e) élaborer un plan pluriannuel de coordination des exercices.

Le cas échéant, les participants ayant un rôle opérationnel devraient consulter les participants ayant un rôle de soutien. L’ENISA, avec le soutien de la Commission, d’Europol et de la CERT-UE, devrait permettre le partage d’informations en mettant en place des capacités de communication et des outils sécurisés de partage d’informations.

Afin de garantir que les plans nécessaires sont élaborés et que les activités conjointes commencent à être déployées, les actions clés et, dans la mesure du possible, les actions de soutien menées dans le cadre de l’étape 2 devraient être achevées le 30 juin 2022 au plus tard [6 mois après la fin de l’étape 1].

3. Étape 3 — Rendre l’unité conjointe de cybersécurité opérationnelle

ACTIONS CLÉS

Après l’approbation par le Conseil des conclusions de la Commission sur le rapport élaboré dans le cadre de l’étape 2, les participants ayant un rôle opérationnel devraient coordonner le déploiement d’équipes de réaction rapide de l’Union en matière de cybersécurité au sein de l’unité conjointe de cybersécurité et mettre en place une plateforme physique permettant aux équipes de mener des activités techniques et opérationnelles. Sur la base des travaux préparatoires réalisés dans le cadre de l’étape 2, les participants devraient finaliser le plan de l’UE concernant la réaction aux incidents et aux crises de cybersécurité. Les participants ayant un rôle opérationnel devraient veiller à ce que les experts et les capacités figurant sur la liste des capacités opérationnelles de l’Union disponibles soient prêts à contribuer aux activités des équipes de réaction rapide de l’Union en matière de cybersécurité.

Afin de mettre en œuvre le plan de l’UE concernant la réaction aux incidents et aux crises de cybersécurité, les participants devraient établir un programme de travail annuel.

ACTIONS DE SOUTIEN

La communauté de cyberdiplomatie peut s’appuyer sur l’unité conjointe de cybersécurité pour coordonner les actions de communication publique. La plateforme peut permettre aux participants de contribuer à l’imputation de la responsabilité politique ainsi qu’à l’imputation de responsabilités au titre du cadre de la justice pénale utilisé par les services de police et judiciaires. Elle peut en outre faciliter la relance et permettre des synergies structurées avec les capacités nationales et transfrontières de surveillance et de détection.

Afin de rendre l’unité conjointe de cybersécurité opérationnelle, les actions clés et, dans la mesure du possible, les actions de soutien menées dans le cadre de l’étape 3 devraient être achevées le 31 décembre 2022 au plus tard [6 mois après la fin de l’étape 2].

4. Étape 4 — Étendre la coopération au sein de l’unité conjointe de cybersécurité aux entités du secteur privé et rendre compte des progrès accomplis

ACTION CLÉ

Les participants à l’unité conjointe de cybersécurité devraient élaborer un rapport d’activité sur les progrès accomplis dans la mise en œuvre des quatre étapes énoncées dans la recommandation, qui décrit les réalisations et les défis rencontrés. Ce rapport devrait inclure des informations statistiques sur les activités de coopération opérationnelle menées tout au long des quatre étapes. Le rapport devrait être présenté à la Commission et au haut représentant.

ACTIONS DE SOUTIEN

Afin d’étendre les capacités et les informations dont disposent les équipes de réaction rapide de l’Union en matière de cybersécurité, les participants devraient veiller à ce que l’unité conjointe de cybersécurité contribue à la conclusion d’accords de partage d’informations et de coopération opérationnelle entre les participants et les entités du secteur privé fournissant, entre autres, des services de renseignement sur les menaces et de réaction aux incidents. Ils devraient également veiller, entre autres, à ce que l’unité conjointe de cybersécurité encourage un dialogue régulier et des activités de partage d’informations sur les menaces et les vulnérabilités avec les utilisateurs de solutions de cybersécurité, principalement celles relevant du champ d’application de la directive SRI ou recueillies par les centres d’échange et d’analyse d’informations (ISAC) au niveau de l’Union.

Les États membres devraient aider les entités actives sur leur territoire, en particulier celles relevant du champ d’application de la directive SRI, à avoir accès aux dialogues entre les secteurs public et privé et les ISAC au niveau de l’Union, et à y contribuer.

Afin de garantir une participation adéquate du secteur privé, les actions clés et, dans la mesure du possible, les actions de soutien menées dans le cadre de l’étape 4 devraient être achevées le 30 juin 2023 au plus tard [6 mois après la fin de l’étape 3].

COMMENT MOBILISER RAPIDEMENT LES CAPACITÉS OPÉRATIONNELLES DE L’UNION? QUI MET À DISPOSITION LES CAPACITÉS: Participants ayant un rôle opérationnel QUI GÈRE LES CAPACITÉS: Participants, au sein de l’unité conjointe de cybersécurité, conformément aux rôles et responsabilités convenus Étape Objectif Tâche Action clé Action de soutien Étape 1 — Recenser 31 décembre 2021 au plus tard [6 mois après l’adoption] PRÉPARATION Recenser les capacités Les participants ayant un rôle opérationnel établissent une liste des capacités opérationnelles de l’Union disponibles. Étape 2 — Préparer 30 juin 2022 au plus tard [6 mois après la fin de l’étape 1] PRÉPARATION Définir des procédures et modalités pertinentes pour activer les capacités en cas de besoin Les participants ayant un rôle opérationnel élaborent le plan de l’UE concernant la réaction aux incidents et aux crises de cybersécurité (cadre de l’UE pour la réaction aux crises de cybersécurité en vertu du plan d’action) sur la base des plans nationaux adoptés. Les participants ayant un rôle opérationnel élaborent des rapports intégrés de situation en matière de cybersécurité de l’Union sur la base du rapport de situation technique en matière de cybersécurité de l’Union. PRÉPARATION Capacités en matière d’exercices Les participants organisent des exercices et formations conjoints (intercommunautaires). Les participants travaillent sur un plan pluriannuel de coordination des exercices. CONNAISSANCE DE LA SITUATION Mettre en place des outils pour partager les informations et les demandes de soutien Les participants mettent en place un partage d’informations sécurisé et rapide L’UCC EST OPÉRATIONNELLE Sur la base des travaux préparatoires menés par les participants dans le cadre d’un groupe de travail que la Commission mettra en place Étape 3 —Déployer 31 décembre 2022 au plus tard [6 mois après la fin de l’étape 2] PRÉPARATION Adopter des procédures, modalités et protocoles d’accord pertinents pour activer les capacités en cas de besoin Les participants ayant un rôle opérationnel finalisent le plan de l’UE concernant la réaction aux incidents et aux crises de cybersécurité et déterminent sa mise en œuvre au moyen de programmes de travail annuels. Les participants soutiennent la mise en place de capacités nationales et transfrontières de surveillance et de détection, y compris la mise en place des COS RÉACTION COORDONNÉE Déployer des capacités en cas de besoin Les participants ayant un rôle opérationnel coordonnent les équipes opérationnelles de réaction rapide de l’Union en matière de cybersécurité par l’intermédiaire de la plateforme virtuelle et physique de l’UCC à Bruxelles. Les participants coordonnent les actions de communication publique et contribuent à l’imputation de la responsabilité politique ainsi qu’à l’imputation de responsabilités dans le cadre de la justice pénale Étape 4 — Étendre et rendre compte 30 juin 2023 au plus tard [6 mois après la fin de l’étape 3] CONNAISSANCE DE LA SITUATION Garantir l’évolutivité en associant le secteur privé afin de répondre aux besoins émergents Les participants présentent un rapport d’activité sur les progrès accomplis, qui décrit les réalisations et les défis rencontrés et qui s’appuie sur des informations statistiques. Les participants concluent des accords de partage d’informations, ainsi que des accords de coopération opérationnelle avec des fournisseurs de services de cybersécurité. RÉACTION COORDONNÉE Les participants concluent des accords de partage d’informations avec des utilisateurs de services de cybersécurité, principalement des entités relevant du champ d’application de la directive SRI et les ISAC au niveau de l’Union.

(1) COM(2020) 823 final, 2020/0359 (COD), Bruxelles, le 16.12.2020.