Résumé de l’avis du contrôleur européen de la protection des données sur la proposition de règlement du Parlement européen et du Conseil relatif aux exigences horizontales en matière de cybersécurité pour les produits comportant des éléments numériques et modifiant le règlement (UE) 2019/1020

(2022/C 452/07)

(Le texte complet de l'avis en anglais, français et allemand est disponible sur le site Internet du CEPD https://edps.europa.eu)

Le 15 septembre 2022, la Commission européenne a publié une proposition de règlement du Parlement européen et du Conseil relatif aux exigences horizontales en matière de cybersécurité pour les produits comportant des éléments numériques et modifiant le règlement (UE) 2019/1020 (1) (ci-après la «proposition»).

Le CEPD se félicite de la proposition et soutient pleinement son objectif général d’améliorer le fonctionnement du marché intérieur en établissant un cadre juridique uniforme pour les exigences essentielles de cybersécurité pour la mise sur le marché de l’Union de produits comportant des éléments numériques.

Le CEPD rappelle que l’article 5, paragraphe 1, point f), du RGPD pose la sécurité comme l’un des grands principes relatifs au traitement des données à caractère personnel. L’article 32 du RGPD définit plus précisément l’obligation – applicable tant aux responsables du traitement qu’aux sous-traitants – de garantir un niveau de sécurité approprié. Par conséquent, le CEPD se félicite que les principes de sécurité et de minimisation des données soient déjà intégrés dans les exigences essentielles de cybersécurité énumérées à l’annexe I de la proposition. En outre, le CEPD recommande vivement d’inclure le principe de protection des données dès la conception et par défaut dans les exigences essentielles de cybersécurité des produits comportant des éléments numériques.

Le considérant 17 prévoit des dispositions de gouvernance très importantes qui ne sont pas reflétées dans la partie opérationnelle de la proposition. Par conséquent, le CEPD recommande de préciser dans la partie opérationnelle de la proposition tous les aspects liés à la création de synergies à la fois sur la normalisation et la certification en matière de cybersécurité, ainsi que les synergies entre cette proposition et la législation de l’Union sur la protection des données dans le domaine de la surveillance du marché et de l’application. En outre, le CEPD considère qu’il est nécessaire de préciser que la proposition ne vise pas à affecter l’application de la législation de l’Union en vigueur régissant le traitement des données à caractère personnel, y compris les missions et les pouvoirs des autorités de contrôle compétentes pour contrôler le respect de ces instruments.

Le CEPD se félicite que cette disposition reconnaisse que le traitement des données à caractère personnel est une fonction critique et sensible et pourrait, à ce titre, exiger que les produits critiques correspondants comportant des éléments numériques obtiennent un certificat européen de cybersécurité dans le cadre d’un système européen de certification de cybersécurité. En même temps, le CEPD recommande de préciser dans un considérant de la proposition que l’obtention d’une certification européenne de cybersécurité en vertu de la proposition ne garantit pas la conformité avec le RGPD.

Enfin, le CEPD se félicite des sanctions proposées, qui sont similaires à celles du RGPD en cas de violation de l’article 32 du RGPD sur la sécurité du traitement, avec une amende maximale de 2,5 % du chiffre d’affaires annuel mondial. En conséquence, la proposition pourrait servir d’autre forme de protection pour les individus qui résident dans les États membres de l’UE, en conjonction avec les dispositions du RGPD.

1. INTRODUCTION

1. Le 15 septembre 2022, la Commission européenne a publié une proposition de règlement du Parlement européen et du Conseil relatif aux exigences horizontales en matière de cybersécurité pour les produits comportant des éléments numériques et modifiant le règlement (UE) 2019/1020.

2. L’objectif de la proposition est d’améliorer le fonctionnement du marché intérieur en établissant un cadre juridique uniforme pour les exigences essentielles en matière de cybersécurité pour la mise sur le marché de l’Union de produits comportant des éléments numériques ( 2 ) . En particulier, la proposition vise à établir les conditions limites pour le développement de produits sûrs comportant des éléments numériques en garantissant que les produits matériels et logiciels mis sur le marché présentent moins de vulnérabilités et que les fabricants prennent la sécurité au sérieux tout au long du cycle de vie d’un produit. Elle vise également à créer les conditions permettant aux utilisateurs de tenir compte de la cybersécurité lorsqu’ils choisissent et utilisent des produits comportant des éléments numériques ( 3 )

3. À cette fin, la proposition prévoit ce qui suit ( 4 ) — des règles pour la mise sur le marché de produits comportant des éléments numériques afin de garantir la cybersécurité de ces produits; — des exigences essentielles pour la conception, le développement et la production de produits comportant des éléments numériques, et des obligations pour les opérateurs économiques en ce qui concerne la cybersécurité de ces produits; — des exigences essentielles pour les processus de traitement des vulnérabilités mis en place par les fabricants afin de garantir la cybersécurité des produits comportant des éléments numériques tout au long de leur cycle de vie, et des obligations pour les opérateurs économiques en ce qui concerne ces processus; — des règles relatives à la surveillance du marché et à l’application des règles et exigences susmentionnées.

4. Le cadre européen comprend plusieurs textes législatifs horizontaux qui couvrent certains aspects liés à la cybersécurité sous différents angles (produits, services, gestion de crise et infractions). En 2013, la directive relative aux attaques contre les systèmes d’information ( 5 ) , harmonisant l’incrimination et les sanctions pour un certain nombre d’infractions dirigées contre les systèmes d’information, est entrée en vigueur. En août 2016, la directive (UE) 2016/1148 ( 6 ) relative à la sécurité des réseaux et des systèmes d’information (directive NIS) est entrée en vigueur en tant que premier texte législatif de l’UE sur la cybersécurité. Sa révision, qui a donné naissance à la directive NIS2, relève le niveau d’ambition commun de l’UE en matière de cybersécurité des services TIC. En 2019, la loi européenne sur la cybersécurité ( 7 ) est entrée en vigueur; elle vise à renforcer la sécurité des produits TIC, des services TIC et des processus TIC en introduisant un cadre européen volontaire de certification de la cybersécurité.

5. Le présent avis est émis par le CEPD en réponse à une demande de consultation présentée par la Commission européenne le 15 septembre 2022, en vertu de l’article 42, paragraphe 1, du RPDUE. Le CEPD se félicite de la référence faite à cette consultation au considérant 71 de la proposition. À cet égard, le CEPD note également avec satisfaction qu’il a déjà été préalablement consulté de manière informelle, conformément au considérant 60 du RPDUE.

3. CONCLUSIONS

31. À la lumière des considérations qui précèdent, le CEPD émet les recommandations suivantes: (1) inclure le principe de protection des données dès la conception et par défaut dans les exigences essentielles de cybersécurité des produits comportant des éléments numériques; (2) expliquer dans le préambule l’importance des produits comportant des éléments numériques qui effectuent des opérations cryptographiques, y compris le cryptage au repos et en transit et la pseudonymisation, qui sont nécessaires pour une sécurité de l’information, une cybersécurité, une protection des données et une vie privée efficaces; (3) ajouter à l’annexe II les produits matériels et immatériels comportant des éléments numériques qui effectuent des opérations cryptographiques; (4) supprimer le règlement (UE) 2017/745 (8) de la liste des législations exclues de l’application de la proposition; (5) préciser expressément dans la proposition quels sont les éléments des exigences essentielles visées par l’article 3, paragraphe 3, point e), de la directive 2014/53/UE (9) relative aux données à caractère personnel et à la vie privée; (6) préciser dans la partie opérationnelle de la proposition tous les aspects pratiques liés à la création de synergies à la fois sur la normalisation et la certification en matière de cybersécurité, ainsi que les synergies entre cette proposition et la législation de l’Union sur la protection des données dans le domaine de la surveillance du marché et de l’application; (7) préciser que la proposition ne vise pas à affecter l’application de la législation de l’Union en vigueur régissant le traitement des données à caractère personnel, y compris les missions et les pouvoirs des autorités de contrôle compétentes pour contrôler le respect de ces instruments; (8) ajouter des définitions pertinentes des termes «logiciel libre», «logiciel ouvert» et «logiciel libre et ouvert»; (9) préciser dans le considérant de la proposition que l’obtention d’une certification européenne de cybersécurité en vertu de la proposition ne garantit pas la conformité avec le RGPD.

Bruxelles, le 9 novembre 2022. Wojciech Rafał WIEWIÓROWSKI

(1) COM/2022/454 final.

(2) Considérant 1 de la proposition.

(3) Considérant 2 de la proposition.

(4) Article 1 de la proposition.

(5) Directive 2013/40/UE du Parlement européen et du Conseil du 12 août 2013 relative aux attaques contre les systèmes d’information et remplaçant la décision-cadre 2005/222/JAI du Conseil (JO L 218 du 14.8.2013, p. 8).

(6) Directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union (JO L 194 du 19.7.2016, p. 1).

(7) Règlement (UE) 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) no 526/2013 (règlement sur la cybersécurité) (JO L 151 du 7.6.2019, p. 15).

(8) Règlement (UE) 2017/745 du Parlement européen et du Conseil du 5 avril 2017 relatif aux dispositifs médicaux, modifiant la directive 2001/83/CE, le règlement (CE) no 178/2002 et le règlement (CE) no 1223/2009 et abrogeant les directives du Conseil 90/385/CEE et 93/42/CEE (JO L 117 du 5.5.2017, p. 1).

(9) Directive 2014/53/UE du Parlement européen et du Conseil du 16 avril 2014 relative au rapprochement des législations des États membres concernant la mise à disposition sur le marché d'équipements hertziens et abrogeant la directive 1999/5/CE (JO L 153 du 22.5.2014, p. 62).