COMMISSION EUROPÉENNE Bruxelles, le 4.10.2017 COM(2017) 477 final 2017/0225(COD) NOTE

This language version reflects the corrections done to the original EN version transmitted under COM(2017) 477 final of 13.9.2017 and retransmitted (with corrections) under COM(2017) 477 final/2 of 4.10.2017 Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL relatif à l’ENISA, Agence de l’Union européenne pour la cybersécurité, et abrogeant le règlement (UE) no 526/2013, et relatif à la certification des technologies de l’information et des communications en matière de cybersécurité (règlement sur la cybersécurité) (Texte présentant de l’intérêt pour l’EEE) {SWD(2017) 500 final}

{SWD(2017) 501 final}

{SWD(2017) 502 final}



EXPOSÉ DES MOTIFS 1.CONTEXTE DE LA PROPOSITION •Justification et objectifs de la proposition L’Union européenne a pris un certain nombre de mesures pour être plus résiliente et mieux préparée en ce qui concerne la cybersécurité. Au titre de sa première stratégie de cybersécurité adoptée en 2013, l’UE a défini des objectifs stratégiques et des actions concrètes pour parvenir à la résilience, faire reculer la cybercriminalité, développer une politique et des moyens de cyberdéfense, développer les ressources industrielles et technologiques correspondantes et instaurer une politique internationale de l’UE cohérente en matière de cyberespace. Dans ce domaine, des événements importants se sont produits depuis lors, notamment le commencement du deuxième mandat de l’Agence européenne chargée de la sécurité des réseaux et de l’information (ENISA) et l’adoption de la directive sur la sécurité des réseaux et des systèmes d’information (directive SRI), qui constitue la base de la présente proposition. De plus, en 2016, la Commission européenne a adopté une communication intitulée «Renforcer le système européen de cyberrésilience et promouvoir la compétitivité et l’innovation dans le secteur européen de la cybersécurité» dans laquelle elle annonçait de nouvelles mesures pour intensifier la coopération, l’échange d’informations et le partage des connaissances et pour accroître la résilience et améliorer la préparation de l’UE, compte tenu également de l’éventualité d’incidents de grande ampleur et de la possibilité d’une crise paneuropéenne en matière de cybersécurité. À cet égard, la Commission a annoncé qu’elle procéderait à l’évaluation et au réexamen du règlement (UE) n° 526/2013 du Parlement européen et du Conseil concernant l’ENISA et abrogeant le règlement (CE) n° 460/2004 (règlement ENISA). Le processus d’évaluation pourrait conduire à une éventuelle réforme de l’Agence et à un renforcement de ses capacités et de ses moyens pour apporter un soutien durable aux États membres. Il s’agirait donc de donner à l’Agence un rôle plus opérationnel et plus central pour ce qui est de parvenir à la résilience en matière de cybersécurité et de reconnaître, dans son nouveau mandat, les nouvelles responsabilités de l’Agence en vertu de la directive SRI. La directive SRI, en imposant des exigences de sécurité comme obligations légales aux principaux acteurs économiques, notamment aux opérateurs fournissant des services essentiels (opérateurs de services essentiels – OSE) et aux fournisseurs de certains services numériques clés (fournisseurs de services numériques – FSN), constitue une première étape capitale en vue de promouvoir une culture de gestion des risques. Les exigences de sécurité étant considérées comme essentielles pour préserver les avantages procurés par la numérisation en cours de la société, et compte tenu de la multiplication des dispositifs connectés (Internet des objets – IdO), la Commission, dans sa communication de 2016, a également avancé l’idée d’instaurer un cadre concernant la certification de sécurité des produits et services TIC afin de susciter davantage la confiance et d’accroître la sécurité dans le marché unique numérique. La certification de cybersécurité en matière de TIC revêt une importance particulière vu l’utilisation accrue de technologies qui exigent un niveau élevé de cybersécurité, comme les voitures connectées et automatisées, la santé électronique ou les systèmes de contrôle-commande industriels (IACS). Ces mesures et annonces politiques ont également été étayées par les conclusions du Conseil de 2016, dans lesquelles il a été reconnu que «les cybermenaces et les vulnérabilités continuent d’évoluer et de s’aggraver, ce qui nécessitera de poursuivre et d’intensifier la coopération, en particulier pour répondre aux cyberincidents transfrontières majeurs». Le Conseil y a réaffirmé que le règlement ENISA constitue l’un des «éléments essentiels d’un cadre de cyberrésilience de l’UE» et invité la Commission à prendre de nouvelles mesures pour traiter la question de la certification au niveau européen. L’instauration d’un système de certification exigerait la mise en place d’un système approprié de gouvernance au niveau de l’UE et, notamment, une solide expertise fournie par une agence de l’UE indépendante. À cet égard, dans la présente proposition, l’ENISA est désignée comme l’organisme, au niveau de l’UE, naturellement compétent en matière de cybersécurité, qui devrait remplir la fonction consistant à rassembler les organismes nationaux compétents dans ce domaine et à en coordonner les travaux. Dans sa communication sur l’examen à mi-parcours de la mise en œuvre de la stratégie pour le marché unique numérique de mai 2017, la Commission a encore précisé qu’elle réviserait le mandat de l’ENISA avant septembre 2017. Il s’agit de définir son rôle dans le nouvel écosystème de la cybersécurité et d’élaborer des mesures concernant les normes, la certification et l’étiquetage en matière de cybersécurité afin de sécuriser davantage les systèmes fondés sur les TIC, notamment les objets connectés. Dans ses conclusions de juin 2017, le Conseil européen a salué l’intention de la Commission de réexaminer en septembre la stratégie de cybersécurité et de proposer avant la fin de 2017 de nouvelles actions ciblées. Le règlement proposé prévoit un ensemble complet de mesures s’inspirant d’actions antérieures et fixe des objectifs précis se renforçant mutuellement: ·développer les moyens et la préparation des États membres et des entreprises; ·améliorer la coopération et la coordination entre les États membres et les institutions, organes et organismes de l’UE; ·accroître les moyens au niveau de l’UE pour compléter l’action des États membres, notamment en cas de crise transfrontière; ·davantage sensibiliser les particuliers et les entreprises aux questions de cybersécurité; ·accroître globalement la transparence de l’assurance de la cybersécurité des produits et services TIC pour susciter une plus grande confiance dans le marché unique numérique et l’innovation numérique; et ·éviter la multiplication des systèmes de certification dans l’UE, ainsi que des exigences de sécurité et des critères d’évaluation dans les différents États membres et secteurs d’activité. La partie suivante du présent exposé des motifs fournit une justification plus détaillée de l’initiative relativement aux actions proposées pour l’ENISA et à la certification de cybersécurité.





ENISA L’ENISA fait office de centre d’expertise chargé de renforcer la sécurité des réseaux et de l’information dans l’Union et d’aider les États membres à se doter de moyens. L’ENISA a été instituée en 2004 en vue de contribuer à la réalisation de l’objectif global consistant à assurer un niveau élevé de sécurité des réseaux et de l’information au sein de l’UE. En 2013, le règlement (UE) n° 526/2013 a défini le nouveau mandat de l’Agence pour une période de sept ans, jusqu’en 2020. L’Agence a ses bureaux en Grèce, notamment son siège administratif à Heraklion (Crète) et son centre opérationnel à Athènes. En comparaison des autres organes de l’UE, l’ENISA est une petite agence dotée d’un budget peu élevé et d’un effectif réduit. Son mandat est à durée déterminée. L’ENISA apporte son soutien aux institutions européennes, aux États membres et aux entreprises en traitant les problèmes de sécurité des réseaux et de l'information, en y réagissant et, surtout, en les prévenant. Pour ce faire, elle exerce une série d’activités dans les cinq domaines définis dans sa stratégie: ·Expertise: fournir des informations et une expertise sur des questions essentielles en matière de sécurité des réseaux et de l’information. ·Politiques: contribuer à l’élaboration des politiques et à leur mise en œuvre dans l’Union. ·Moyens: aider à se doter de moyens dans toute l’Union (p. ex. par des formations, recommandations, activités de sensibilisation). ·Communauté: promouvoir la communauté de la sécurité des réseaux et de l’information [p. ex. soutien aux équipes d’intervention en cas d’urgence informatique (CERT), coordination d’exercices paneuropéens de cybersécurité]. ·Facilitation (p. ex. collaboration avec les parties intéressées et relations internationales). Au cours des négociations relatives à la directive SRI, les colégislateurs de l’UE ont décidé de confier des missions importantes à l’ENISA en vue de la mise en œuvre de cette directive. En particulier, l’Agence assure le secrétariat du réseau des CSIRT (mis en place pour promouvoir une coopération rapide et effective, au niveau opérationnel, entre les États membres en cas d’incidents de cybersécurité spécifiques et pour échanger des informations sur les risques) et elle est aussi appelée à assister le groupe de coopération dans l’exécution de ses tâches. En outre, la directive exige de l’ENISA qu’elle assiste les États membres et la Commission en fournissant son expertise et ses conseils et en facilitant l’échange de bonnes pratiques. Conformément au règlement ENISA, la Commission a procédé à une évaluation de l’Agence, qui comprenait une étude indépendante ainsi qu’une consultation publique. L’évaluation a consisté à déterminer la pertinence, l’incidence, l’efficacité, l’efficience, la cohérence et la valeur ajoutée européenne de l’Agence en ce qui concerne son fonctionnement, sa gouvernance, sa structure organisationnelle interne et ses méthodes de travail au cours de la période 2013-2016. Le fonctionnement global de l’ENISA a été jugé satisfaisant par une majorité de participants (74 %) à la consultation publique. Une majorité de participants a également estimé que l’ENISA atteignait ses différents objectifs (au moins 63 % pour chacun des objectifs). Les services et produits de l’ENISA sont régulièrement (chaque mois ou plus souvent) utilisés par près de la moitié des participants (46 %) et sont appréciés parce qu’ils proviennent d’un organisme au niveau de l’UE (83 %) et pour leur qualité (62 %). Toutefois, une grande majorité (88 %) de participants a estimé que les instruments et mécanismes actuellement disponibles au niveau de l’UE n’étaient pas suffisants ou que partiellement adaptés pour traiter les problèmes que pose la cybersécurité aujourd’hui. Dans leur grande majorité (98 %), les participants ont déclaré qu’il fallait un organisme de l’UE pour répondre à ces besoins, et 99 % d’entre eux ont estimé que l’ENISA était l’organisation appropriée à cette fin. En outre, 67,5 % des participants étaient d’avis que l’ENISA pourrait jouer un rôle dans l’établissement d’un cadre harmonisé pour la certification de sécurité des produits et services informatiques. L’évaluation globale (basée non seulement sur la consultation publique, mais aussi sur plusieurs entretiens individuels, enquêtes ciblées et ateliers supplémentaires) a permis de tirer les conclusions suivantes: ·Les objectifs de l’ENISA restent pertinents aujourd’hui. Dans un contexte de progrès technologiques rapides et de menaces changeantes et vu les risques croissants pour la cybersécurité au niveau mondial, le besoin se fait clairement sentir, dans l’UE, de promouvoir et de développer davantage l’expertise technique de haut niveau en la matière. Il faut se doter de moyens, dans les États membres, pour appréhender les menaces et y répondre, et les parties intéressées doivent coopérer dans tous les champs thématiques et toutes les institutions. ·Malgré son budget limité, l’Agence a été efficiente, du point de vue opérationnel, dans l’utilisation de ses ressources et dans l’accomplissement de ses missions. Le dédoublement de l’implantation entre Athènes et Heraklion a, cependant, engendré des coûts administratifs supplémentaires. ·Du point de vue de l’efficacité, l’ENISA a partiellement atteint ses objectifs. L’Agence a contribué avec succès à améliorer la sécurité des réseaux et de l’information en Europe en aidant à se doter de moyens dans les 28 États membres, en intensifiant la coopération entre les États membres et les parties intéressées par la sécurité des réseaux et de l’information, et en fournissant une expertise, la possibilité de nouer des relations et un soutien à l’élaboration de politiques. Globalement, l’ENISA s’est consacrée avec diligence à la réalisation de son programme de travail et s’est comportée en partenaire de confiance pour ses interlocuteurs, dans un domaine dont on n’a pris conscience que récemment qu’il avait une telle dimension transfrontière.

·L’ENISA est parvenue à avoir une influence, au moins relative, dans le vaste domaine de la sécurité des réseaux et de l’information, mais elle n’a pas vraiment réussi à se forger une réputation solide et à acquérir assez de visibilité pour être reconnue comme «le» centre d’expertise en Europe. Cela s’explique par le large mandat de l’ENISA, laquelle n’a pas été dotée de ressources suffisantes en proportion. De plus, l’ENISA reste la seule agence de l’UE dont le mandat est à durée déterminée, ce qui limite sa capacité à élaborer une vision à long terme et à apporter un soutien durable aux parties intéressées. Cela contredit aussi les dispositions de la directive SRI, en vertu de laquelle l’ENISA se voit confier des missions sans date de fin. Enfin, il est ressorti de l’évaluation que cette efficacité limitée peut s’expliquer en partie par le recours important à des experts externes plutôt qu’aux experts internes, et par les difficultés à recruter et retenir du personnel spécialisé. ·Enfin, et surtout, il a été conclu de l’évaluation que la valeur ajoutée de l’ENISA réside d’abord dans la capacité de l’Agence à intensifier la coopération entre les États membres principalement, et en particulier avec les communautés de la sécurité des réseaux et de l’information correspondantes (notamment entre les CSIRT). Il n’y a aucune autre entité au niveau de l’UE qui prenne en charge autant de parties intéressées par la sécurité des réseaux et de l’information. Toutefois, du fait de la nécessité de hiérarchiser les activités de l’Agence de façon stricte, le programme de travail de l’ENISA est largement dicté par les besoins des États membres. En conséquence, il ne répond pas suffisamment à ceux des autres parties intéressées, en particulier des entreprises. Cela a aussi incité l’Agence à satisfaire les besoins des principales parties intéressées, l’empêchant ainsi d’avoir une plus grande influence. Aussi la valeur ajoutée procurée par l’Agence varie-t-elle en fonction des besoins des parties intéressées et de la mesure dans laquelle l’Agence a pu y répondre (p. ex. grands États membres par opposition aux petits États membres; États membres par opposition aux entreprises). En somme, les résultats de la consultation des parties intéressées et de l’évaluation ont fait apparaître que les ressources et le mandat de l’ENISA doivent être adaptés de sorte qu’elle puisse jouer un rôle adéquat dans la résolution des problèmes actuels et futurs. Ce constat étant établi, il est ici proposé de revoir le mandat actuel de l’ENISA et de définir un ensemble renouvelé de missions et de fonctions en vue de soutenir, de façon efficace et efficiente, les efforts déployés par les États membres, les institutions de l’UE et d’autres parties intéressées pour assurer la sécurité du cyberespace dans l’Union européenne. Le nouveau mandat proposé vise à donner un rôle plus important et plus central à l’Agence qui, en particulier, est appelée à aider aussi les États membres à mettre en œuvre la directive SRI et à réagir plus activement aux menaces particulières (capacité opérationnelle), et à devenir un centre d’expertise apportant un soutien aux États membres et à la Commission en matière de certification de cybersécurité. En vertu de la présente proposition: ·Il serait accordé un mandat permanent à l’ENISA qui verrait ainsi sa stabilité assurée à l’avenir. Le mandat, les objectifs et les missions feraient toujours l’objet d’un réexamen périodique. ·Le mandat proposé définit plus précisément le rôle de l’ENISA en tant qu’agence de l’UE pour la cybersécurité et comme point de référence dans l’écosystème de cybersécurité de l’UE, œuvrant en étroite coopération avec tous les autres organismes compétents dudit écosystème. ·L’organisation et la gouvernance de l’Agence, qui ont été jugées satisfaisantes lors de l’évaluation, seraient légèrement revues, en particulier pour faire en sorte que les besoins de la communauté des parties intéressées, au sens large, soient mieux pris en compte dans les travaux de l’Agence. ·Le mandat suggéré prévoit des domaines d’action bien délimités. Sont renforcés les domaines où l’Agence apporte une valeur ajoutée avérée, et sont ajoutés les nouveaux domaines où un soutien s’impose vu les priorités et instruments politiques nouveaux, en particulier la directive SRI, le réexamen de la stratégie de cybersécurité de l’UE, le prochain plan de l’UE en matière de cybersécurité pour la coopération en cas de crise et la certification de sécurité en matière de TIC: ·Élaboration et mise en œuvre de la politique de l’UE: l’ENISA serait chargée de contribuer de façon proactive à l’élaboration de la politique dans le domaine de la sécurité des réseaux et de l’information, ainsi qu’à d’autres initiatives politiques dans différents secteurs (p. ex. énergie, transports, finance) présentant des aspects de cybersécurité. À cette fin, elle aurait une fonction consultative importante, qu’elle pourrait remplir en émettant des avis indépendants et en réalisant des travaux préparatoires à l’élaboration et à l’actualisation de la politique et de la législation. L’ENISA aurait aussi une fonction de soutien de la politique et de la législation de l’UE dans les domaines des communications électroniques, de l’identification électronique et des services de confiance en vue de promouvoir un niveau de cybersécurité plus élevé. En phase de mise en œuvre, notamment dans le cadre du groupe de coopération SRI, l’ENISA aiderait les États membres à définir une approche cohérente de l’application de la directive SRI à travers les frontières et dans tous les secteurs, ainsi que d’autres politiques et législations pertinentes. Afin de permettre le réexamen périodique des politiques et législations dans le domaine de la cybersécurité, l’ENISA fournirait aussi des rapports réguliers sur l’avancement de la mise en œuvre du cadre juridique de l’UE. ·Dotation de moyens: l’ENISA devrait contribuer à perfectionner les moyens et les compétences dont disposent les autorités publiques nationales et de l’UE, y compris en matière de réponse aux incidents et de supervision des mesures réglementaires relatives à la cybersécurité. Il serait également demandé à l’Agence de contribuer à la mise en place de centres d’échange et d’analyse d’informations (ISAC) dans divers secteurs, en proposant de bonnes pratiques et des orientations sur les outils et procédures disponibles et en traitant de façon adéquate les questions réglementaires relatives à l’échange d’informations. ·Partage des connaissances et informations, sensibilisation: l’ENISA deviendrait le pôle d’information de l’UE. Cela impliquerait de promouvoir l’échange de bonnes pratiques et d’initiatives dans toute l’UE en mettant en commun les informations sur la cybersécurité provenant des institutions, organes et organismes nationaux et de l’UE. L’Agence fournirait aussi des conseils, des orientations et de bonnes pratiques sur la sécurité des infrastructures critiques. De plus, au lendemain de cyberincidents transfrontières significatifs, l’ENISA établirait des rapports afin de donner des orientations aux entreprises et aux particuliers dans toute l’UE. Cette partie du travail impliquerait également d’organiser régulièrement des activités de sensibilisation en coordination avec les autorités des États membres. ·Missions relatives au marché (normalisation, certification de cybersécurité): l’ENISA remplirait un certain nombre de fonctions afin de soutenir spécifiquement le marché intérieur et constituer un «observatoire du marché» de la cybersécurité, en analysant les tendances pertinentes sur ledit marché pour mieux faire correspondre l’offre et la demande, et en contribuant à l’élaboration de la politique de l’UE dans les domaines de la normalisation et de la certification de cybersécurité en matière de TIC. En ce qui concerne plus particulièrement la normalisation, elle faciliterait l’instauration et l’adoption de normes de cybersécurité. L’ENISA accomplirait aussi les missions prévues au titre du futur cadre de certification (voir ci-après). ·Recherche et innovation: l’ENISA apporterait son expertise en conseillant les autorités nationales et de l’UE sur la fixation des priorités de recherche et développement, y compris dans le cadre du partenariat public-privé contractuel sur la cybersécurité (PPPc). Les conseils de l’ENISA sur la recherche seraient mis à profit par le nouveau Centre européen de recherche et de compétences en matière de cybersécurité au titre du prochain cadre financier pluriannuel. L’ENISA prendrait également part, lorsque la Commission le lui demanderait, à la réalisation des programmes européens de financement de la recherche et de l’innovation. ·Coopération opérationnelle et gestion des crises: cette partie du travail consisterait à renforcer les moyens opérationnels de prévention existants, notamment par la mise à niveau des exercices de cybersécurité paneuropéens (Cyber Europe) en les organisant tous les ans, et à remplir une fonction de soutien à la coopération opérationnelle, en tant que secrétariat du réseau des CSIRT (conformément aux dispositions de la directive SRI), en assurant, entre autres, le bon fonctionnement de l’infrastructure informatique et des moyens de communication dudit réseau. Dans ce contexte, il serait nécessaire d’instaurer une coopération structurée avec la CERT-UE, le Centre européen de lutte contre la cybercriminalité (EC3) et d’autres organismes compétents de l’UE. De plus, cette coopération structurée avec la CERT-UE, à proximité géographique immédiate, permettrait d’assurer une fonction d’assistance technique en cas d’incidents significatifs et de soutien à leur analyse. Les États membres qui en feraient la demande bénéficieraient d’une assistance pour gérer les incidents et d’un soutien pour l’analyse des vulnérabilités, artefacts et incidents afin de renforcer leur propre capacité de prévention et de réaction. ·L’ENISA jouerait aussi un rôle dans le plan de l’UE en matière de cybersécurité présenté comme élément du présent paquet législatif et constituant la recommandation de la Commission aux États membres pour la coordination, au niveau de l’UE, des réactions aux incidents et crises de cybersécurité transfrontières majeurs. L’ENISA faciliterait la coopération entre les différents États membres en matière d’intervention en cas d’urgence en analysant et en agrégeant les rapports de situation nationaux établis à partir des informations fournies à l’Agence, sur une base volontaire, par les États membres et d’autres entités. ·Certification de cybersécurité des produits et services TIC Pour susciter la confiance dans les produits et services TIC et en assurer la sécurité, leurs caractéristiques de sécurité doivent être définies dès les premières phases de conception technique et de développement (sécurité dès la conception). De plus, les clients et utilisateurs doivent pouvoir vérifier le niveau d’assurance de la sécurité des produits et services qu’ils acquièrent ou achètent. La certification, qui consiste en l’évaluation formelle des produits, services et processus par un organisme indépendant et agréé, selon un ensemble défini de critères ou de normes, et en la délivrance d’un certificat attestant la conformité, contribue grandement à susciter davantage la confiance dans les produits et services et en accroître la sécurité. Si les évaluations de sécurité relèvent assurément de la technique, la certification a pour finalité d’informer et de rassurer les acheteurs et utilisateurs en ce qui concerne les propriétés des produits et services TIC en matière de sécurité. Comme indiqué plus haut, cela vaut en particulier pour les nouveaux systèmes qui utilisent abondamment les technologies numériques et nécessitent un niveau de sécurité élevé, tels que les voitures connectées et automatisées, la santé électronique, les systèmes de contrôle-commande industriels (IACS) ou les réseaux intelligents. Actuellement, la certification de cybersécurité des produits et services TIC dans l’UE offre un paysage assez contrasté. Plusieurs initiatives internationales ont été prises, comme les Critères communs (CC) d’évaluation de la sécurité des technologies de l’information (norme ISO 15408) qui constituent une norme internationale d’évaluation de la sécurité informatique. Elle repose sur une évaluation par des tiers et prévoit sept niveaux d’assurance de l’évaluation (EAL). Les CC et la Méthodologie commune d’évaluation de la sécurité des technologies de l’information (CEM), qui les accompagne, forment la base technique d’un accord international, l’Accord de reconnaissance des critères communs (CCRA), qui garantit que les certificats CC sont reconnus par tous ses signataires. Toutefois, selon la version actuelle du CCRA, seules les évaluations jusqu’à EAL 2 sont mutuellement reconnues. De plus, l’accord n’a été signé que par 13 États membres.

Les autorités de certification de 12 États membres ont conclu un accord de reconnaissance mutuelle concernant les certificats délivrés conformément à l’accord sur la base des CC. En outre, plusieurs initiatives en matière de certification des TIC existent déjà, ou sont à l’étude, dans des États membres. Aussi importantes soient-elles, ces initiatives risquent de morceler le marché et de créer des problèmes d’interopérabilité. Par conséquent, il n’est pas exclu qu’une entreprise, pour pouvoir proposer ses produits sur plusieurs marchés, doive se soumettre à de multiples procédures dans différents États membres. Par exemple, un fabricant de compteurs intelligents qui souhaite vendre ses produits dans trois États membres, disons le Royaume-Uni, la France et l’Allemagne, doit aujourd’hui se conformer à trois systèmes de certification différents: la CPA (Commercial Product Assurance) au Royaume-Uni, la Certification de Sécurité de Premier Niveau (CSPN) en France et un profil de protection spécifique basé sur les CC en Allemagne. Cette situation entraîne des coûts élevés et une charge administrative considérable pour les entreprises exerçant leur activité dans plusieurs États membres. Si le coût de la certification peut varier de façon significative en fonction du produit/service concerné, du niveau d’assurance de l’évaluation recherché et/ou d’autres éléments, il est en général assez important pour les entreprises. Le certificat «Passerelle pour compteur intelligent» du BSI, par exemple, coûte plus d’un million d’euros (niveau d’essai et d’assurance le plus élevé, concerne non seulement un produit, mais aussi l’ensemble de l’infrastructure environnante). Le coût de la certification des compteurs intelligents au Royaume-Uni est d’environ 150 000 euros. En France, le coût est du même ordre qu’au Royaume -Uni, de 150 000 euros au moins. Les principaux acteurs publics et privés ont reconnu que, faute de système de certification de cybersécurité à l’échelle de l’UE, les entreprises doivent, dans de nombreux cas, se faire certifier dans chaque État membre, ce qui entraîne un morcellement du marché. Qui plus est, faute de législation européenne sur l’harmonisation des produits et services TIC, les différences de normes et de pratiques de certification de cybersécurité entre les États membres risquent de créer, dans les faits, 28 marchés de la sécurité distincts au sein de l’UE, chacun ayant ses propres exigences techniques, méthodes d’essai et procédures de certification. Si aucune mesure appropriée n’est prise au niveau de l’UE, ces approches nationales divergentes sont susceptibles de compromettre gravement la réalisation du marché unique numérique et d’en ralentir ou annuler les effets positifs en termes de croissance et d’emploi. Compte tenu de la situation exposée ci-dessus, le règlement proposé vise à instaurer un Cadre européen de certification de cybersécurité (le «Cadre») des produits et services TIC, et précise les fonctions et missions essentielles de l’ENISA dans ce domaine. La présente proposition définit le cadre global des règles régissant les systèmes européens de certification de cybersécurité. Elle ne vise pas à instaurer des systèmes de certification immédiatement opérationnels, mais plutôt à créer un système (cadre) pour l’instauration de systèmes de certification spécifiques à certains produits/services TIC (les «systèmes européens de certification de cybersécurité»). La création de systèmes européens de certification de cybersécurité conformément au Cadre permettra de faire en sorte que les certificats délivrés en vertu de ces systèmes soient valables et reconnus dans tous les États membres et de remédier ainsi au morcellement actuel du marché. La finalité générale d’un système européen de certification de cybersécurité est d’attester que les produits et services TIC qui ont été certifiés conformément au système satisfont à des exigences de cybersécurité précises. Il pourrait s’agir, par exemple, de leur capacité à protéger les données (stockées, transmises ou traitées d’une autre façon) contre le stockage, le traitement, l’accès, la diffusion, la destruction, la perte ou l'altération accidentels ou non autorisés. En ce qui concerne les exigences techniques et procédures d’évaluation auxquelles les produits doivent satisfaire, les responsables des systèmes européens de certification de cybersécurité utiliseraient les normes existantes et n’élaboreraient pas de normes techniques eux-mêmes. Par exemple, la certification UE de produits comme les cartes à puce, qui sont aujourd’hui mises à l’essai selon des normes CC internationales dans le cadre du système multilatéral SOG-IS (décrit plus haut), équivaudrait à rendre ce système valable dans toute l’UE. En plus de décrire un ensemble précis d’objectifs de sécurité à prendre en compte dans la conception d’un système européen de certification de cybersécurité spécifique, la proposition prévoit ce que devrait être le contenu minimal de tels systèmes. Ceux-ci devront définir, entre autres choses, un certain nombre d’éléments spécifiques établissant le champ d’application et l’objet de la certification de cybersécurité. Cela comprend notamment l’indication des catégories de produits et services couverts, la description détaillée des exigences de cybersécurité (par exemple par référence aux normes ou spécifications techniques pertinentes), les critères et méthodes d’évaluation spécifiques, et le niveau d’assurance qu’ils entendent garantir (c.-à-d. élémentaire, substantiel ou élevé). Les systèmes européens de certification de cybersécurité seront préparés par l’ENISA, avec l’aide et les conseils d’experts du Groupe européen de certification de cybersécurité (voir ci-après) et en étroite coopération avec lui, et seront adoptés par la Commission au moyen d’actes d’exécution. Lorsque le besoin d’un système de certification de sécurité se fera sentir, la Commission demandera à l’ENISA de préparer un système spécifique à certains produits ou services TIC. L’ENISA s’y attellera en étroite coopération avec les autorités nationales de contrôle de la certification représentées au sein du Groupe. Les États membres et le Groupe peuvent aussi proposer à la Commission de demander à l’ENISA de préparer un système particulier. La certification peut constituer un processus très onéreux, et donc entraîner un prix élevé pour les clients et les consommateurs. De plus, le besoin de certification peut varier considérablement en fonction du contexte d’utilisation spécifique des produits et services et de la rapidité des progrès technologiques. Le recours à la certification européenne de cybersécurité devrait donc rester facultatif, à moins qu’il n’en soit prévu autrement dans une législation de l’Union définissant les exigences de sécurité de certains produits et services TIC. Afin d’assurer l’harmonisation et d’éviter le morcellement, les systèmes et procédures nationaux de certification de cybersécurité des produits et services TIC couverts par un système européen de certification de cybersécurité cesseront de s’appliquer à partir de la date fixée dans l’acte d’exécution portant adoption du système européen. De plus, les États membres devraient s’abstenir d’instaurer de nouveaux systèmes nationaux de certification de cybersécurité des produits et services TIC couverts par un système européen de certification de cybersécurité existant. Une fois qu’un système européen de certification de cybersécurité aura été adopté, les fabricants de produits TIC ou les fournisseurs de services TIC pourront soumettre une demande de certification de leurs produits ou services à l’organisme d’évaluation de la conformité de leur choix. Les organismes d’évaluation de la conformité devront être agréés par un organisme d’accréditation s’ils satisfont à certaines exigences spécifiées. L’accréditation sera accordée pour une durée maximale de cinq ans et pourra être renouvelée dans les mêmes conditions pourvu que l’organisme d’évaluation de la conformité satisfasse aux exigences. Elle sera révoquée si les conditions de l’accréditation ne sont pas ou plus remplies ou si des mesures prises par l’organisme d’évaluation de la conformité enfreignent le présent règlement. En vertu de la proposition, les fonctions de suivi, de contrôle et d’exécution incombent aux États membres. Ceux-ci devront prévoir une autorité de contrôle de la certification, laquelle aura pour mission de contrôler que les organismes d’évaluation de la conformité, ainsi que les certificats délivrés par ceux qui sont établis sur son territoire, satisfont aux exigences du présent règlement et des systèmes européens de certification de cybersécurité pertinents. Les autorités nationales de contrôle de la certification seront compétentes pour traiter les plaintes déposées par des personnes physiques ou morales concernant les certificats délivrés par les organismes d’évaluation de la conformité établis sur leur territoire. Dans la mesure appropriée, elles examineront l’objet de la plainte et informeront le plaignant de l’avancement et des résultats de leur examen dans un délai raisonnable. De plus, elles coopéreront avec d’autres autorités de contrôle de la certification ou d’autres autorités publiques, par exemple en s’échangeant des informations sur l’éventuelle non-conformité de produits et services TIC aux exigences du présent règlement ou aux systèmes européens de certification de cybersécurité correspondants. Enfin, la proposition consiste à instituer le Groupe européen de certification de cybersécurité (le «Groupe») composé d’autorités nationales de contrôle de la certification de tous les États membres. Il a pour mission principale de conseiller la Commission sur des questions concernant la politique de certification de cybersécurité et de travailler avec l’ENISA à l’élaboration de projets de systèmes européens de certification de cybersécurité. L’ENISA aidera la Commission à assurer le secrétariat du Groupe et tiendra à jour un recueil public des systèmes approuvés en vertu du Cadre européen de certification de cybersécurité. L’ENISA coopérerait aussi avec les organismes de normalisation afin de veiller à l’adéquation des normes utilisées dans les systèmes approuvés et de recenser les domaines nécessitant des normes de cybersécurité. Le Cadre européen de certification de cybersécurité procurera divers avantages aux particuliers et aux entreprises. En particulier: ·Avec la création de systèmes de certification de cybersécurité de produits ou services spécifiques à l’échelle de l’UE, un guichet unique sera mis à la disposition des entreprises pour la certification de cybersécurité dans l’UE. Ces entreprises pourront ainsi ne faire certifier leurs produits qu’une seule fois et obtenir un certificat valable dans tous les États membres. Elles ne seront plus tenues de faire recertifier leurs produits par différents organismes nationaux de certification. Cela réduira considérablement les coûts des entreprises, facilitera les opérations transfrontières et, en fin de compte, limitera ou évitera le morcellement du marché intérieur des produits concernés. ·Le Cadre établit la primauté des systèmes européens de certification de cybersécurité sur les systèmes nationaux: en vertu de cette règle, l’adoption d’un système européen de certification de cybersécurité aura pour effet de remplacer tous les systèmes nationaux applicables parallèlement aux mêmes produits ou services TIC à un niveau d’assurance donné. Cela contribuera à une plus grande clarté en limitant la multiplication de systèmes nationaux de certification de cybersécurité qui, aujourd’hui, font double emploi ou sont parfois contradictoires. ·La proposition vient en soutien et en complément de la mise en œuvre de la directive SRI en fournissant aux entreprises visées par celle-ci un moyen très pratique de prouver qu’elles satisfont aux exigences SRI dans l’ensemble de l’Union. Lors de l’élaboration de nouveaux systèmes de certification de cybersécurité, la Commission et l’ENISA veilleront en particulier à ce que les exigences SRI soient reprises dans lesdits systèmes. ·La proposition soutiendra et facilitera l’élaboration d’une politique européenne de cybersécurité en harmonisant les conditions et exigences fondamentales de la certification de cybersécurité des produits et services TIC dans l’UE. Les systèmes européens de certification de cybersécurité feront référence à des normes ou des critères d’évaluation et méthodes d’essai communs. Cela contribuera grandement, quoique indirectement, à l’adoption de solutions de sécurité communes dans l’UE et, ainsi, à la levée des obstacles au marché intérieur également. ·Le Cadre est conçu de façon à garantir la souplesse nécessaire aux systèmes de certification de cybersécurité. En fonction des besoins de cybersécurité spécifiques, un produit ou service peut être certifié à un niveau de sécurité plus ou moins élevé. Les systèmes européens de certification de cybersécurité seront conçus en tenant compte de cette souplesse et offriront donc plusieurs niveaux d’assurance (c.-à-d. élémentaire, substantiel ou élevé) de façon à pouvoir être utilisés à diverses fins ou dans différents contextes. ·Tous les éléments ci-dessus feront que les entreprises voient davantage la certification comme un moyen efficace de communiquer le niveau d’assurance de la cybersécurité de leurs produits ou services TIC. Dans la mesure où la certification de cybersécurité devient moins onéreuse, plus efficace et commercialement attrayante, les entreprises seront plus enclines à certifier leurs produits concernant les risques en la matière et contribueront ainsi à la diffusion de bonnes pratiques lors de la conception des produits et services TIC (cybersécurité dès la conception).

•Cohérence avec les dispositions existantes dans le domaine d’action En vertu de la directive SRI, les opérateurs des secteurs d’activité vitaux pour l’économie et la société, comme l’énergie, les transports, l’eau, les banques, les infrastructures des marchés financiers, les soins de santé et les infrastructures numériques ainsi que les fournisseurs de services numériques (moteurs de recherche, services d’informatique en nuage et places de marché en ligne) sont tenus de prendre des mesures pour gérer correctement les risques pour la sécurité. Les nouvelles règles de la présente proposition sont conformes aux dispositions de la directive SRI et les complètent afin de perfectionner encore la cyberrésilience de l’UE par un renforcement des moyens, de la coopération, de la gestion des risques et de la sensibilisation. De plus, les règles relatives à la certification de cybersécurité fournissent aux entreprises visées par la directive SRI un outil indispensable qui leur permettra de certifier leurs produits et services TIC concernant les risques en la matière sur la base de systèmes valables et reconnus dans toute l’UE. Elles compléteront aussi les exigences de sécurité énoncées dans le règlement eIDAS et la directive sur les équipements radioélectriques. •Cohérence avec les autres politiques de l’Union Le règlement (UE) n° 2016/679 (règlement général sur la protection des données ou «RGPD») contient des dispositions en vue de la mise en place de mécanismes de certification ainsi que de labels et de marques en matière de protection des données afin de démontrer que les opérations de traitement effectuées par les responsables du traitement et les sous-traitants respectent ledit règlement. Le présent règlement est sans préjudice de la certification des opérations de traitement de données, y compris lorsque ces opérations sont intégrées dans des produits et services, en vertu du RGPD. Le règlement proposé garantira la compatibilité avec le règlement (CE) n° 765/2008 sur les prescriptions relatives à l’accréditation et à la surveillance du marché en renvoyant aux règles de ce cadre sur les organismes nationaux d’accréditation et les organismes d’évaluation de la conformité. En ce qui concerne les autorités de contrôle, le règlement proposé exigera des États membres qu’ils désignent des autorités nationales de contrôle de la certification chargées du contrôle, du suivi et de l’application des règles. Ces organismes seront distincts des organismes d’évaluation de la conformité, comme prévu par le règlement (CE) n° 765/2008. 2.BASE JURIDIQUE, SUBSIDIARITÉ ET PROPORTIONNALITÉ •Base juridique La base juridique de l’action de l’UE est l’article 114 du traité sur le fonctionnement de l’Union européenne (TFUE), qui concerne le rapprochement des législations des États membres aux fins de la réalisation des objectifs énoncés à l’article 26 TFUE, à savoir le fonctionnement du marché intérieur. La base juridique du marché intérieur, sur laquelle repose le règlement instituant l’ENISA, a été confirmée par la Cour de justice (dans l’affaire C-217/04 Royaume-Uni contre Parlement européen et Conseil), puis par le règlement de 2013 qui définit le mandat actuel de l’Agence. En outre, les activités ayant pour objectif d’intensifier la coopération et la coordination entre les États membres et celles visant à accroître les moyens au niveau de l’UE pour compléter l’action des États membres relèveraient de la «coopération opérationnelle». Celle-ci est expressément définie par la directive SRI (dont la base juridique est l’article 114 TFUE) comme un objectif à atteindre dans le cadre du réseau des CSIRT dont «[l]’ENISA assure le secrétariat et soutient activement la coopération» (article 12, paragraphe 2). En particulier, l’article 12, paragraphe 3, point f), précise les autres formes de coopération opérationnelle constituant des tâches du réseau des CSIRT, notamment en rapport avec: i) les catégories de risques et d’incidents; ii) les alertes précoces; iii) l’assistance mutuelle; et iv) les principes et modalités d’une coordination lorsque les États membres réagissent à des risques et incidents transfrontaliers. ·La multiplicité actuelle des systèmes de certification des produits et services TIC s’explique aussi par l’absence de réel cadre commun juridiquement contraignant pour les États membres. Cela empêche de créer un marché intérieur des produits et services TIC et nuit à la compétitivité des entreprises européennes dans ce secteur. La présente proposition vise à remédier au morcellement actuel du marché intérieur et à lever les obstacles qui s’opposent à celui-ci en fournissant un cadre commun pour l’instauration de systèmes de certification de cybersécurité valables dans toute l’UE. Subsidiarité (en cas de compétence non exclusive) Le principe de subsidiarité suppose d’évaluer la nécessité et la valeur ajoutée de l’action de l’UE. Le respect dudit principe dans ce domaine a déjà été reconnu lors de l’adoption de l’actuel règlement ENISA. La cybersécurité est un sujet présentant un intérêt commun pour l’Union. Les interdépendances entre les réseaux et systèmes d’information sont telles que les acteurs à titre individuel (publics et privés, y compris les particuliers) sont très souvent incapables, isolément, de réagir aux menaces et de gérer les risques et les éventuelles conséquences de cyberincidents. D’une part, compte tenu des interdépendances entre les États membres, notamment en matière d’exploitation des infrastructures critiques (énergie, transports, eau, pour n’en citer que quelques-unes), l’intervention des pouvoirs publics au niveau européen est non seulement profitable, mais aussi nécessaire. D’autre part, l’intervention de l’UE peut avoir un effet positif d’entraînement dû à l’échange de bonnes pratiques entre les États membres avec, pour résultat, une cybersécurité accrue de l’Union. En résumé, dans le contexte actuel et vu les scénarios futurs, il semble que, pour accroître la cyberrésilience collective de l’Union, les actions individuelles des États membres de l’UE et une approche parcellaire de la cybersécurité ne soient pas suffisantes. Une action de l’UE est également jugée nécessaire pour remédier à la multiplicité des systèmes de certification de cybersécurité actuels. Elle permettrait aux fabricants de bénéficier pleinement d’un marché intérieur et de réaliser des économies substantielles sur les coûts d’expérimentation et de reconception. L’accord de reconnaissance mutuelle (ARM) du Groupe des hauts fonctionnaires pour la sécurité des systèmes d’information (SOG-IS), par exemple, a donné des résultats importants à cet égard, mais il présente aussi de sérieuses lacunes qui le rendent inapte à fournir des solutions durables pour tirer pleinement parti du marché intérieur. La valeur ajoutée d’une action au niveau de l’UE, notamment afin d’intensifier la coopération entre les États membres mais aussi entre les communautés de la sécurité des réseaux et de l’information, a été reconnue dans les conclusions du Conseil de 2016 et transparaît clairement dans l’évaluation de l’ENISA.

•Proportionnalité Les mesures proposées n’excèdent pas ce qui est nécessaire pour atteindre les objectifs politiques envisagés. De plus, la portée de l’intervention de l’UE n’interdit aucune mesure nationale relative à des questions touchant à la sûreté de l’État. L’action de l’UE est donc justifiée pour des raisons de subsidiarité et de proportionnalité. •Choix de l’instrument La présente proposition prévoit le réexamen du règlement (UE) n° 526/2013 qui définit le mandat actuel et les missions de l’ENISA. De plus, étant donné le rôle important de l’ENISA dans la mise en place et la gestion d’un Cadre européen de certification de cybersécurité, mieux vaut établir le nouveau mandat de l’ENISA et ledit Cadre en vertu d’un seul instrument juridique, en l’occurrence un règlement. 3.RÉSULTATS DES ÉVALUATIONS EX POST, DES CONSULTATIONS DES PARTIES INTÉRESSÉES ET DES ANALYSES D’IMPACT Évaluations ex post/bilans de qualité de la législation existante La Commission, conformément à la feuille de route de l’évaluation, a apprécié la pertinence, l’incidence, l’efficacité, l’efficience, la cohérence et la valeur ajoutée de l’Agence en ce qui concerne son fonctionnement, sa gouvernance, sa structure organisationnelle interne et ses méthodes de travail au cours de la période 2013-2016. Les principales conclusions peuvent être résumées comme suit (pour plus de détails, consulter le document de travail des services de la Commission sur le sujet, qui accompagne l’analyse d’impact). ·Pertinence: compte tenu de l’évolution des technologies et des menaces et du besoin pressant d’accroître la cybersécurité dans l’UE, les objectifs de l’ENISA se sont avérés pertinents. De fait, les États membres et les organismes de l’UE comptent sur la grande expertise de l’Agence en matière de cybersécurité. De plus, il faut se doter de moyens, dans les États membres, pour mieux appréhender les menaces et y répondre, et les parties intéressées doivent coopérer dans tous les champs thématiques et toutes les institutions. La cybersécurité reste une priorité politique absolue de l’UE à laquelle l’ENISA est censée répondre. Toutefois, le fait que l’ENISA ait été créée en tant qu’agence de l’UE avec un mandat à durée déterminée: i) ne permet aucune planification à long terme et empêche d’apporter un soutien durable aux États membres et aux institutions de l’UE; ii) peut créer un vide juridique car les dispositions de la directive SRI confiant des missions à l’ENISA sont de nature permanente; iii) n’est pas compatible avec une vision intégrant l’ENISA dans un écosystème européen de cybersécurité renforcé. ·Efficacité: l’ENISA a globalement atteint ses objectifs et accompli ses missions. Elle a contribué à accroître la sécurité des réseaux et de l’information en Europe par ses principales activités (dotation de moyens, fourniture d’expertise, création de communautés et soutien aux politiques). Concernant chacune d’elles, des possibilités d’amélioration ont cependant été recensées. Il est ressorti de l’évaluation que l’ENISA a effectivement permis de créer de solides relations de confiance avec certaines parties intéressées, notamment les États membres et la communauté des CSIRT. Les interventions concernant la dotation de moyens ont été jugées efficaces, en particulier pour les États membres ayant le moins de ressources. L’action en faveur d’une coopération étendue a été l’une des plus remarquables et les parties intéressées s’accordent à dire que l’ENISA a joué un rôle fédérateur utile. Néanmoins, l’ENISA a eu du mal à exercer son influence dans le vaste domaine de la sécurité des réseaux et de l’information. Cela tient aussi au fait qu’elle disposait de ressources humaines et financières assez limitées pour s’acquitter d’un mandat très large. Il a également été conclu de l’évaluation que l’ENISA avait en partie atteint l’objectif de fournir une expertise, cela étant lié aux problèmes pour recruter des experts (voir aussi ci-après la partie «Efficience»). ·Efficience: malgré son budget limité – l’un des moins élevés de tous les organes de l’UE –, l’Agence a été capable de poursuivre les objectifs fixés, en se montrant globalement efficiente dans l’utilisation de ses ressources. Il est ressorti de l’évaluation que les processus étaient généralement efficients et que le partage clair des responsabilités au sein de l’organisation a permis une exécution satisfaisante des tâches. L’un des principaux problèmes de l’Agence en matière d’efficience tient aux difficultés rencontrées par l’ENISA pour recruter et retenir des experts hautement qualifiés. D’après les conclusions, cela peut s’expliquer par une combinaison de facteurs: la difficulté du secteur public, en général, à concurrencer le secteur privé lorsqu’il s’agit d’embaucher des experts hautement spécialisés; le type de contrats (à durée déterminée) que l’Agence pouvait surtout proposer; et le degré d’attractivité relativement faible de l’ENISA dû à sa localisation et, notamment, aux problèmes rencontrés par les conjoints pour trouver du travail. Le dédoublement de l’implantation entre Athènes et Heraklion a exigé des efforts de coordination et engendré des coûts administratifs supplémentaires, mais le déménagement à Athènes, en 2013, du centre opérationnel a permis d’accroître l’efficacité opérationnelle de l’Agence. ·Cohérence: la cohérence entre les activités de l’ENISA et les politiques et activités des parties intéressées a été généralement assurée, aux niveaux national et de l’UE, mais une approche plus coordonnée de la cybersécurité est nécessaire au niveau de l’UE. Les possibilités de coopération entre l’ENISA et d’autres organismes de l’UE n’ont pas été pleinement exploitées. L’évolution de l’environnement juridique et politique de l’UE rend le mandat actuel de l’Agence moins cohérent. ·Valeur ajoutée européenne: la valeur ajoutée de l’ENISA réside d’abord dans la capacité de l’Agence à intensifier la coopération entre les États membres principalement, mais aussi avec les communautés de la sécurité des réseaux et de l’information correspondantes. Il n’y a aucune autre entité au niveau de l’UE qui favorise la coopération d’autant de parties intéressées par la sécurité des réseaux et de l’information. La valeur ajoutée procurée par l’Agence varie en fonction des besoins et des ressources des parties intéressées (p. ex. grands États membres par opposition aux petits États membres; États membres par opposition aux entreprises) et de la nécessité de l’Agence de hiérarchiser ses activités selon le programme de travail. Il est ressorti de l’évaluation qu’une éventuelle disparition de l’ENISA constituerait une occasion manquée pour tous les États membres. Il serait dès lors impossible d’assurer la création de communautés et une coopération aussi poussée de tous les États membres en matière de cybersécurité. Sans une agence de l’UE centralisée, la situation serait plus diverse et des formes de coopération bilatérale ou régionale feraient leur apparition pour combler le vide laissé par l’ENISA. En ce qui concerne plus particulièrement le fonctionnement de l’ENISA jusqu’à maintenant et à l’avenir, les grandes tendances qui se dégagent de la consultation de 2017 sont les suivantes: ·Le fonctionnement global de l’ENISA au cours de la période 2013-2016 a été jugé satisfaisant par une majorité de participants (74 %). Une majorité de participants a également estimé que l’ENISA atteignait ses différents objectifs (au moins 63 % pour chacun des objectifs). Les services et produits de l’ENISA sont régulièrement (chaque mois ou plus souvent) utilisés par près de la moitié des participants (46 %) et sont appréciés parce qu’ils proviennent d’un organisme au niveau de l’UE (83 %) et pour leur qualité (62 %). ·Les participants ont recensé un certain nombre de lacunes et de problèmes concernant l’avenir de la cybersécurité dans l’UE, parmi lesquels les cinq principaux (sur une liste de 16) étaient: la coopération de tous les États membres; la capacité à prévenir et détecter les cyberattaques de grande ampleur et à y réagir; la coopération entre les États membres en ce qui concerne la cybersécurité; la coopération et l’échange d’informations entre les différentes parties intéressées, y compris entre secteur public et secteur privé; la protection des infrastructures critiques contre les cyberattaques. ·Une grande majorité (88 %) de participants a estimé que les instruments et mécanismes actuellement disponibles au niveau de l’UE n’étaient pas suffisants ou que partiellement adaptés pour traiter ces problèmes. Dans leur grande majorité (98 %), les participants ont déclaré qu’il fallait un organisme de l’UE pour répondre à ces besoins, et 99 % d’entre eux ont estimé que l’ENISA était l’organisation appropriée à cette fin. Consultation des parties intéressées ·La Commission a organisé, du 12 avril au 5 juillet 2016, une consultation publique sur le réexamen de l’ENISA et a reçu 421 contributions. D’après les résultats, 67,5 % des participants étaient d’avis que l’ENISA pourrait jouer un rôle dans l’établissement d’un cadre harmonisé pour la certification de sécurité des produits et services informatiques.

Les résultats de la consultation de 2016 concernant le PPPc sur la cybersécurité révèlent, à la partie consacrée à la certification, que: ·50,4 % des participants (121 sur 240) ne savent pas si les systèmes nationaux de certification sont mutuellement reconnus dans tous les États membres de l’UE. 25,8 % (62 sur 240) ont répondu «Non» tandis que 23,8 % (57 sur 240) ont répondu «Oui». ·37,9 % des participants (91 sur 240) pensent que les systèmes de certification existants ne répondent pas aux besoins des entreprises en Europe. Par ailleurs, 17,5 % (42 sur 240), principalement des entreprises multinationales présentes sur le marché européen, étaient d’avis contraire. ·49,6 % des participants (119 sur 240) déclarent qu’il n’est pas facile de démontrer l’équivalence entre les normes, les systèmes de certification et les étiquettes. 37,9 % (91 sur 240) ont répondu «Je ne sais pas» tandis que 12,5 % (30 sur 240) ont répondu «Oui». Obtention et utilisation d’expertise La Commission s’est appuyée sur les conseils d’experts externes suivants: ·étude sur l’évaluation de l’ENISA (Ramboll/Carsa 2017; SMART n° 2016/0077), ·étude sur la certification et l’étiquetage de sécurité en matière de TIC – collecte de données et analyse d’impact (PriceWaterhouseCoopers 2017; SMART n° 2016/0029). Analyse d’impact ·Dans le rapport d’analyse d’impact de cette initiative, sont recensés les principaux problèmes à traiter: ·multiplicité des politiques et approches en matière de cybersécurité dans les États membres; ·dispersion des ressources et multiplicité des approches de la cybersécurité dans les institutions, organes et organismes de l’UE; et ·insuffisance de la sensibilisation et de l’information des particuliers et des entreprises, associée à la multiplication des systèmes de certification nationaux et sectoriels. Dans le rapport, sont examinées les possibilités suivantes concernant le mandat de l’ENISA: ·le maintien du statu quo, c’est-à-dire renouvellement d’un mandat toujours limité dans le temps (scénario de référence); ·l’expiration du mandat actuel de l’ENISA sans renouvellement et disparition de l’ENISA (aucune intervention); ·une «ENISA réformée»; et ·une agence de l’UE pour la cybersécurité disposant de moyens opérationnels complets.

Dans le rapport, sont examinées les possibilités suivantes concernant la certification de sécurité: ·aucune intervention (scénario de référence); ·des mesures non législatives (non contraignantes); ·un acte législatif de l’UE portant création d’un système obligatoire pour tous les États membres et fondé sur le système SOG-IS; et ·un cadre européen général de certification de cybersécurité en matière de TIC. L’analyse a permis de conclure qu’une «ENISA réformée», combinée à un cadre européen général de certification de cybersécurité en matière de TIC, est l’option privilégiée. L’option privilégiée a été jugée la plus susceptible de permettre à l’UE d’atteindre les objectifs suivants: accroître les moyens de cybersécurité, la préparation, la coopération et la transparence; et éviter le morcellement du marché. Elle a également été jugée la plus conforme aux priorités de la stratégie de cybersécurité de l’UE et des politiques qui s’y rapportent (p. ex. directive SRI), et à la stratégie pour le marché unique numérique. En outre, il est ressorti du processus de consultation que l’option privilégiée bénéficie du soutien de la majorité des parties intéressées. De plus, l’analyse d’impact a montré que l’option privilégiée permettrait d’atteindre les objectifs fixés grâce à une utilisation raisonnable des ressources. Le comité d’examen de la réglementation de la Commission a rendu, le 24 juillet, un premier avis défavorable puis, le 25 août 2017, un avis favorable sur une nouvelle version. Le rapport d’analyse d’impact modifié fournissait de nouveaux éléments justificatifs, les conclusions finales de l’évaluation de l’ENISA et des explications supplémentaires sur les options stratégiques et leur incidence. L’annexe 1 du rapport d’analyse d’impact final indique succinctement comment ont été prises en compte les observations du comité dans son second avis. Le rapport a notamment été mis à jour de façon à décrire plus en détail la situation en matière de cybersécurité dans l’UE, y compris les mesures figurant dans la communication conjointe «Resilience, Deterrence and Defence: Building strong cybersecurity for the EU», [JOIN(2017) 450] et présentant un intérêt particulier pour l’ENISA: le plan de l’UE en matière de cybersécurité et le Centre européen de recherche et de compétences en matière de cybersécurité auquel l’Agence fournirait ses conseils sur les besoins de recherche de l’UE. Le rapport explique comment la réforme de l’Agence, notamment ses nouvelles missions, les meilleures conditions d’emploi et la coopération structurelle avec les organismes de l’UE actifs dans ce domaine, rendraient l’ENISA plus attrayante comme employeur et permettraient de traiter les problèmes liés au recrutement d’experts. L’annexe 6 du rapport fournit aussi une estimation révisée des coûts associés aux options stratégiques concernant l’ENISA. S’agissant de la certification, le rapport a été revu de façon à fournir une explication plus détaillée de l’option privilégiée, y compris par une présentation graphique, ainsi que des estimations des coûts liés au nouveau cadre de certification pour les États membres et la Commission. Le choix de l’ENISA comme principal intervenant en la matière a été justifié avec plus de clarté par son expertise dans le domaine et par le fait que c’est la seule agence pour la cybersécurité au niveau de l’UE. Enfin, les parties sur la certification ont été revues afin d’en éclaircir certains aspects comme la différence avec le système SOG-IS actuel et les avantages procurés par les différentes options stratégiques, et de préciser que le type de produit ou service TIC couvert par un système européen de certification sera défini dans le système approuvé même. Réglementation affûtée et simplification Sans objet. Incidence sur les droits fondamentaux La cybersécurité est essentielle pour protéger la vie privée et les données à caractère personnel des individus conformément aux articles 7 et 8 de la Charte des droits fondamentaux de l’UE. Or, en cas de cyberincidents, le respect de la vie privée et la protection de nos données à caractère personnel sont incontestablement compromis. La cybersécurité est donc une condition nécessaire au respect de la vie privée et à la confidentialité de nos données à caractère personnel. Dans cette perspective, la présente proposition, en visant à renforcer la cybersécurité en Europe, constitue un complément important de la législation protégeant actuellement le droit fondamental au respect de la vie privée et des données à caractère personnel. La cybersécurité est également essentielle pour préserver la confidentialité de nos communications électroniques et donc à l’exercice de la liberté d’expression et d’information et d’autres droits apparentés tels que la liberté de pensée, de conscience et de religion. 4.INCIDENCE BUDGÉTAIRE Voir la fiche financière. 5.AUTRES ÉLÉMENTS •Plans de mise en œuvre et modalités de suivi, d’évaluation et d’information La Commission contrôlera l’application du règlement et présentera, tous les cinq ans, un rapport sur son évaluation au Parlement européen, au Conseil et au Comité économique et social européen. Ces rapports seront publics et rendront compte en détail de l’application et de l’exécution effectives du présent règlement.

•Explication détaillée des différentes dispositions de la proposition Le titre I du règlement contient les dispositions générales: l’objet (article 1er), les définitions (article 2), y compris les références aux définitions applicables tirées d’autres instruments de l’UE comme la directive (UE) 2016/1148 du Parlement européen et du Conseil concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union (directive SRI), le règlement (CE) n° 765/2008 du Parlement européen et du Conseil fixant les prescriptions relatives à l’accréditation et à la surveillance du marché pour la commercialisation des produits et abrogeant le règlement (CEE) n° 339/93 du Conseil, et le règlement (UE) n° 1025/2012 du Parlement européen et du Conseil relatif à la normalisation européenne. Le titre II du règlement contient les principales dispositions relatives à l’ENISA, agence de l’UE pour la cybersécurité. Le chapitre I sous ce titre définit le mandat (article 3), les objectifs (article 4) et les missions (articles 5 à 11) de l’Agence. Le chapitre II précise l’organisation de l’ENISA et comprend des dispositions sur sa structure (article 12). Il indique la composition, les règles de vote et les fonctions du conseil d’administration (section 1, articles 13 à 17) et du conseil exécutif (section 2, article 18) et les fonctions du directeur exécutif (section 3, article 19). Il comprend aussi des dispositions sur la composition et le rôle du groupe permanent des parties prenantes (section 4, article 20). Enfin, la section 5 de ce chapitre détaille les règles de fonctionnement de l’Agence, notamment en ce qui concerne la programmation de ses opérations, les conflits d’intérêts, la transparence, la confidentialité et l’accès aux documents (articles 21 à 25). Le chapitre III concerne l’établissement et la structure du budget de l’Agence (articles 26 et 27) ainsi que les règles régissant sa mise en œuvre (articles 28 et 29). Il comprend aussi les dispositions visant à faciliter la lutte contre la fraude, la corruption et les autres activités illicites (article 30). Le chapitre IV porte sur la dotation en personnel de l’Agence. Il comprend des dispositions générales sur le statut et le régime applicable au personnel, et des règles régissant les privilèges et immunités (articles 31 et 32). Il détaille également les règles d’embauche et de nomination du directeur exécutif de l’Agence (article 33). Enfin, il comprend des dispositions régissant le recours à des experts nationaux détachés ou à tout autre personnel non employé par l’Agence (article 34). En dernier lieu, le chapitre V contient les dispositions générales relatives à l’Agence. Il définit le statut juridique (article 35) et comprend des dispositions concernant les questions de responsabilité, de régime linguistique et de protection des données à caractère personnel (articles 36 à 38) ainsi que les règles de sécurité en matière de protection des informations classifiées et des informations sensibles non classifiées (article 40). Il décrit les règles régissant la coopération de l’Agence avec des pays tiers et les organisations internationales (article 39). Enfin, il contient aussi des dispositions concernant le siège de l’Agence et ses conditions de fonctionnement, ainsi que le contrôle administratif exercé par le médiateur (articles 41 et 42). Le titre III du règlement instaure le Cadre européen de certification de cybersécurité (le «Cadre») des produits et services TIC en tant qu’entité relevant de la lex generalis (article 1er). Il établit la finalité générale des systèmes européens de certification de cybersécurité, c’est-à-dire garantir que les produits et services TIC satisfont à des exigences de cybersécurité spécifiées concernant leur capacité à résister, à un niveau d’assurance donné, à une action qui compromet la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données stockées, transmises ou traitées ou des fonctions ou services associés (article 43). De plus, il énumère les objectifs de sécurité que les systèmes européens de certification de cybersécurité doivent poursuivre (article 45), comme par exemple protéger les données contre l’accès, la diffusion, la destruction ou l'altération accidentels ou non autorisés, et précise le contenu (c.-à-d. les éléments) des systèmes européens de certification de cybersécurité, comme la spécification détaillée de leur champ d’application, les objectifs de sécurité, les critères d’évaluation, etc. (article 47). Le titre III définit aussi les principaux effets juridiques des systèmes européens de certification de cybersécurité, à savoir: i) l’obligation de mettre en œuvre le système au niveau national et le caractère facultatif de la certification; ii) l’invalidation des systèmes nationaux de certification de cybersécurité des mêmes produits et services (articles 48 et 49). Ce titre précise la procédure d’adoption des systèmes européens de certification de cybersécurité et les rôles respectifs de la Commission, de l’ENISA et du Groupe européen de certification de cybersécurité (le «Groupe») (article 44). Enfin, ce titre établit les dispositions régissant les organismes d’évaluation de la conformité, notamment leurs exigences, pouvoirs et missions, les autorités nationales de contrôle de la certification ainsi que les sanctions. Le Groupe est également institué en tant qu’organisme essentiel, composé de représentants des autorités nationales de contrôle de la certification, dont la principale fonction est de travailler avec l’ENISA à la préparation de systèmes européens de certification de cybersécurité et de conseiller la Commission sur des questions générales ou particulières concernant la politique en la matière. Le titre IV du règlement comprend les dispositions finales concernant l’exercice de la délégation, les exigences en matière d’évaluation, l’abrogation et la succession, ainsi que l’entrée en vigueur.



2017/0225 (COD) Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL relatif à l’ENISA, Agence de l’Union européenne pour la cybersécurité, et abrogeant le règlement (UE) no 526/2013, et relatif à la certification des technologies de l’information et des communications en matière de cybersécurité (règlement sur la cybersécurité) (Texte présentant de l’intérêt pour l’EEE) LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L’UNION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 114, vu la proposition de la Commission européenne, après transmission du projet d’acte législatif aux parlements nationaux, vu l’avis du Comité économique et social européen, vu l’avis du Comité des régions, statuant conformément à la procédure législative ordinaire, considérant ce qui suit: (1)Les réseaux et systèmes d’information et les réseaux et services de télécommunications remplissent une fonction essentielle pour la société et sont devenus le nerf de la croissance économique. Les technologies de l’information et des communications sont le fondement des systèmes complexes qui rendent possibles les activités sociales; elles permettent à nos économies de fonctionner dans des secteurs clés comme la santé, l’énergie, la finance et les transports, et soutiennent en particulier le fonctionnement du marché intérieur. (2)L’utilisation des réseaux et des systèmes d’information par les particuliers, les entreprises et les pouvoirs publics s’est généralisée dans l’Union tout entière. La numérisation et la connectivité caractérisent un nombre toujours croissant de produits et de services; avec l’avènement de l’internet des objets (IdO), ce sont des millions, sinon des milliards, de dispositifs numériques connectés qui devraient être mis en service dans l’UE au cours de la prochaine décennie. Alors qu’un nombre croissant de dispositifs sont connectés à l’internet, leur conception n’intègre pas suffisamment les impératifs de sécurité et de résilience, de sorte que la cybersécurité est insuffisante. Dans ce contexte, le recours limité à la certification entraîne un manque d’information des utilisateurs, qu’il s’agisse de particuliers ou d’organisations, sur les caractéristiques des produits et services TIC en matière de cybersécurité, sapant ainsi la confiance dans les solutions numériques. (3)Une numérisation et une connectivité accrues entraînent une augmentation des risques en matière de cybersécurité, ce qui rend ainsi l’ensemble de la société plus vulnérable aux cybermenaces et exacerbe les dangers auxquels sont confrontés les individus, notamment les personnes vulnérables telles que les enfants. Afin d’atténuer ce risque pour la société, il convient de prendre toutes les mesures nécessaires pour améliorer la cybersécurité dans l’Union afin de mieux protéger les réseaux et systèmes d’information, les réseaux de télécommunication, les produits, services et appareils numériques utilisés par les particuliers, les pouvoirs publics et les entreprises — depuis les PME jusqu’aux opérateurs d’infrastructures critiques — contre les cybermenaces. (4)Les cyberattaques sont en augmentation; une économie et une société connectées, qui sont plus vulnérables aux cybermenaces et aux cyberattaques, ont donc besoin de dispositifs de défense renforcés. Cependant, alors que les cyberattaques sont souvent de nature transnationale, les réponses apportées par les autorités chargées de la cybersécurité et les compétences en matière de répression sont surtout nationales. Des incidents de cybersécurité majeurs pourraient perturber la fourniture de services essentiels dans l’ensemble de l’UE. Il est donc indispensable de mettre sur pied une capacité de réaction et de gestion des crises à l’échelon de l’UE, sur la base de politiques spécifiques et d’instruments élargis aux fins de la solidarité européenne et de l’assistance mutuelle. En outre, il est important pour les décideurs, les entreprises et les utilisateurs que la situation en matière de cybersécurité et de résilience dans l’Union soit régulièrement évaluée à partir de données de l’Union fiables et d’une anticipation systématique des évolutions, défis et menaces futurs tant au niveau de l’Union qu’au niveau mondial. (5)Compte tenu de l’augmentation des enjeux auxquels l’Union est confrontée dans le domaine de la cybersécurité, il est nécessaire de disposer d’une panoplie de mesures qui développent les actions déjà menées par l’Union et promeuvent des objectifs se renforçant mutuellement. Ces objectifs sont notamment la nécessité de continuer à renforcer les capacités et l’état de préparation des États membres et des entreprises, ainsi que d’améliorer la coopération et la coordination entre les États membres et les institutions, organes et organismes de l’UE. En outre, étant donné la nature universelle des cybermenaces, il est nécessaire d’augmenter, au niveau de l’Union, les capacités susceptibles de compléter l’action des États membres, notamment dans les cas d’incidents et crises transfrontières de cybersécurité majeurs. Des efforts supplémentaires sont également requis pour sensibiliser davantage les particuliers et les entreprises aux questions de cybersécurité. En outre, une information transparente sur le niveau de sécurité qui caractérise les produits et services TIC permettrait de renforcer la confiance dans le marché unique numérique. Une certification mise en œuvre à l’échelle de l’UE, prévoyant des exigences et des critères d’évaluation communs en matière de cybersécurité dans l’ensemble des marchés nationaux et des secteurs, peut faciliter cette transparence. (6)En 2004, le Parlement européen et le Conseil ont adopté le règlement (CE) no 460/2004 instituant l’ENISA en vue de contribuer à la réalisation des objectifs visant à assurer un niveau élevé de sécurité des réseaux et de l’information au sein de l’Union et à favoriser l’émergence d’une culture de la sécurité des réseaux et de l’information dans l’intérêt des citoyens, des consommateurs, des entreprises et des administrations publiques. En 2008, le Parlement européen et le Conseil ont adopté le règlement (CE) no 1007/2008 prolongeant le mandat de l’Agence jusqu’en mars 2012. Le règlement (CE) no 580/2011 a prolongé le mandat de l’Agence une nouvelle fois jusqu’au 13 septembre 2013. En 2013, le Parlement européen et le Conseil ont adopté le règlement (UE) no 526/2013 concernant l’ENISA et abrogeant le règlement (CE) no 460/2004, qui a prolongé le mandat de l’Agence jusqu’en juin 2020. (7)L’Union a déjà pris d’importantes mesures pour garantir la cybersécurité et renforcer la confiance dans les technologies numériques. En 2013, l’UE s’est dotée d’une stratégie de cybersécurité afin d’orienter la politique qu’elle entendait mener en réaction aux menaces et aux risques qui pèsent sur la cybersécurité. Dans le cadre de ses efforts pour mieux protéger les Européens en ligne, l’Union a adopté en 2016 le premier acte législatif dans le domaine de la cybersécurité, la directive (UE) 2016/1148 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union (la «directive SRI»). La directive SRI a instauré des exigences concernant les capacités nationales dans le domaine de la cybersécurité, établi le premier mécanisme destiné à améliorer la coopération stratégique et opérationnelle entre les États membres, et introduit des obligations concernant les mesures de sécurité et la notification des incidents dans différents secteurs qui revêtent une importance vitale pour l’économie et la société, tels que l’énergie, les transports, l’eau, les banques, les infrastructures des marchés financiers, les soins de santé, les infrastructures numériques ainsi que les fournisseurs de services numériques fondamentaux (moteurs de recherche, services d’informatique en nuage et places de marché en ligne). L’ENISA s’est vu attribuer un rôle essentiel d’appui à la mise en œuvre de cette directive. En outre, lutter efficacement contre la cybercriminalité est l’une des principales priorités du programme européen en matière de sécurité et contribue à l’objectif global consistant à atteindre un niveau élevé de cybersécurité. (8)Il est reconnu que, depuis l’adoption de la stratégie de cybersécurité de l’UE en 2013 et la dernière révision du mandat de l’Agence, le cadre d’action général a considérablement évolué, compte tenu notamment d’un environnement mondial plus incertain et moins sûr. Dans ce contexte, et dans le cadre de la nouvelle politique de cybersécurité de l’Union, il est nécessaire de réviser le mandat de l’ENISA pour définir son rôle dans le nouvel écosystème de la cybersécurité et faire en sorte qu’elle contribue efficacement à la réponse apportée par l’Union aux défis en matière de cybersécurité qui résultent de cette transformation radicale de la nature des menaces. L’évaluation de l’Agence a en effet conclu à une insuffisance du mandat actuel à cet égard. (9)L’Agence établie par le présent règlement devrait succéder à l’ENISA telle qu’instituée par le règlement (UE) no 526/2013. L’Agence devrait remplir les missions qui lui sont confiées par le présent règlement et par les actes législatifs de l’Union dans le domaine de la cybersécurité notamment en fournissant une expertise et des conseils et en jouant le rôle de centre d’information et de connaissance au niveau de l’Union. Elle devrait promouvoir l’échange des meilleures pratiques entre les États membres et les parties prenantes du secteur privé en proposant des mesures à la Commission européenne et aux États membres, en jouant le rôle de point de référence pour les initiatives politiques sectorielles au niveau de l’Union en ce qui concerne la cybersécurité, en favorisant la coopération opérationnelle entre les États membres et entre ceux-ci et les institutions, organes et organismes de l’Union. (10)Dans le cadre de la décision 2004/97/CE, Euratom adoptée lors de la réunion du Conseil européen du 13 décembre 2003, les représentants des États membres ont décidé que l’Agence aurait son siège dans une ville en Grèce que le gouvernement grec déterminerait. L’État membre d’accueil de l’Agence devrait offrir les meilleures conditions possibles pour un fonctionnement harmonieux et efficace de l’Agence. Il est impératif, pour l’accomplissement correct et efficace de ses missions, pour le recrutement et la fidélisation du personnel et pour une plus grande efficacité des activités de mise en réseau, que l’Agence soit établie dans un lieu approprié, offrant, entre autres, des liaisons de transport et des aménagements appropriés pour les conjoints et enfants accompagnant les membres du personnel de l’Agence. Les dispositions nécessaires devraient être arrêtées dans un accord conclu, après approbation du conseil d’administration de l’Agence, entre l’Agence et l’État membre d’accueil. (11)Étant donné l’aggravation des défis en matière de cybersécurité auxquels l’Union est confrontée, il faudrait augmenter les ressources financières et humaines allouées à l’Agence pour tenir compte du renforcement de son rôle et de ses missions, ainsi que de sa position critique parmi les organisations qui défendent l’écosystème numérique européen. (12)L’Agence devrait acquérir et maintenir un niveau élevé d’expertise et servir de point de référence, en instaurant la confiance dans le marché intérieur du fait de son indépendance, de la qualité des conseils fournis et des informations diffusées, de la transparence de ses procédures et modes de fonctionnement, et de sa diligence à exécuter ses missions. L’Agence devrait contribuer de manière dynamique aux efforts consentis aux niveaux national et de l’Union, tout en s’acquittant de ses missions en totale coopération avec les institutions, organes et organismes de l’Union et les États membres. De plus, l’Agence devrait s’appuyer sur les informations fournies par le secteur privé et travailler en coopération avec celui-ci, ainsi qu’avec d’autres parties prenantes. Un ensemble de missions devrait déterminer la manière dont l’Agence doit atteindre ses objectifs tout en lui laissant une certaine souplesse de fonctionnement. (13)L’Agence devrait assister la Commission sous la forme de conseils, d’avis et d’analyses sur toutes les questions européennes liées à l’élaboration, l’actualisation et la révision des politiques et de la législation dans le domaine de la cybersécurité, y compris la protection des infrastructures critiques et la cyberrésilience. L’Agence devrait être un point de référence, par ses conseils et son expertise, pour les initiatives politiques et législatives sectorielles au niveau de l’Union dans tous les cas où la cybersécurité est en jeu.

(14)La mission fondamentale de l’Agence consiste à promouvoir la mise en œuvre cohérente du cadre législatif applicable, et notamment la mise en œuvre effective de la directive SRI, essentielle pour renforcer la cyberrésilience. Compte tenu de l’évolution rapide de l’éventail des menaces en matière de cybersécurité, il est clair que les États membres ont besoin de s’appuyer sur une approche plus globale, transsectorielle, du développement de la cyberrésilience. (15)L’Agence devrait assister les États membres et les institutions, organes et organismes de l’Union dans leurs efforts pour mettre en place et développer les capacités et la préparation requises pour prévenir et détecter les problèmes et incidents de cybersécurité et y réagir, et en ce qui concerne la sécurité des réseaux et des systèmes d’information. L’Agence devrait notamment soutenir le développement et l’amélioration des CSIRT nationaux, afin qu’ils atteignent un niveau de maturité commun élevé dans l’ensemble de l’Union. L’Agence devrait également contribuer à l’élaboration et à la mise à jour des stratégies de l’Union et des États membres en matière de sécurité des réseaux et systèmes d’information, notamment en matière de cybersécurité, promouvoir leur diffusion et suivre l’avancement de leur mise en œuvre. L’Agence devrait enfin proposer des formations et du matériel pédagogique aux organismes publics et, le cas échéant, «former les formateurs» en vue d’aider les États membres à mettre en place leurs propres capacités de formation. (16)L’Agence devrait aider le groupe de coopération établi par la directive SRI à accomplir ses tâches, notamment en le faisant bénéficier de ses conseils et de son expertise, et en facilitant l’échange de bonnes pratiques en matière de risques et d’incidents, en particulier en ce qui concerne l’identification des opérateurs de services essentiels par les États membres, y compris au regard des dépendances transfrontalières. (17)Afin de stimuler la coopération entre le secteur public et le secteur privé et au sein de ce dernier, notamment pour favoriser la protection des infrastructures critiques, l’Agence devrait faciliter la mise en place de centres sectoriels d’échange et d’analyse d’informations (ISAC), en proposant des bonnes pratiques et des orientations sur les outils disponibles, des procédures, et en fournissant des orientations sur la manière de traiter les questions de réglementation liées au partage d’informations. (18)L’Agence devrait agréger et analyser les rapports nationaux émanant des CSIRT et des CERT-UE, en établissant des règles, un langage et une terminologie communs pour l’échange d’informations. L’Agence devrait également assurer la participation du secteur privé, dans le cadre de la directive SRI, qui a fixé les bases d’un échange volontaire d’informations techniques à l’échelon opérationnel avec la création du réseau des CSIRT. (19)L’Agence devrait contribuer à l’élaboration d’une réaction au niveau de l’UE en cas d’incidents ou de crises transfrontières de cybersécurité majeurs. Cette fonction devrait comprendre la collecte d’informations pertinentes et un rôle de facilitateur entre le réseau des CSIRT et la communauté technique ainsi que les décideurs chargés de la gestion des crises. En outre, l’Agence pourrait soutenir le traitement des incidents sur le plan technique, en facilitant l’échange de solutions techniques pertinentes entre les États membres et en contribuant à l’élaboration des communications au public. L’Agence devrait soutenir le processus en testant les modalités de cette coopération grâce à des exercices de cybersécurité annuels. (20)Pour s’acquitter de ses missions opérationnelles, l’Agence devrait recourir à l’expertise disponible de la CERT-UE, grâce à une coopération structurée, dans un contexte de proximité physique. La coopération structurée facilitera les synergies nécessaires et le renforcement des compétences de l’ENISA. Le cas échéant, des accords spécifiques entre les deux organisations devraient être conclus afin de définir les modalités pratiques de la mise en œuvre de cette coopération. (21)Dans le cadre de ses missions opérationnelles, l’Agence devrait être en mesure de fournir un appui aux États membres, par exemple sous la forme de conseils ou d’assistance technique, ou encore en assurant l’analyse des menaces et incidents. La recommandation de la Commission sur la coordination des réactions aux incidents et crises de cybersécurité majeurs invite les États membres à coopérer de bonne foi et à partager dans les meilleurs délais, entre eux et avec l’ENISA, les informations relatives aux crises et incidents de cybersécurité majeurs. Ces informations devraient apporter une aide supplémentaire à l’ENISA pour l’accomplissement de ses missions opérationnelles. (22)Dans le cadre de la coopération technique régulière menée pour étayer l’appréciation de la situation au niveau de l’Union, l’Agence devrait, à intervalle régulier, préparer le rapport de situation technique sur les incidents et menaces de cybersécurité dans l’UE, sur la base d’informations du domaine public, de sa propre analyse et de rapports que lui communiquent les CSIRT des États membres (sur une base volontaire) ou les points de contact uniques au titre de la directive SRI, le Centre européen de lutte contre la cybercriminalité (EC3) au sein d’Europol, la CERT-UE et, le cas échéant, le Centre de l’UE pour l’analyse des renseignements (INTCEN) au sein du Service européen pour l’action extérieure (SEAE). Le rapport devrait être mis à la disposition des instances compétentes du Conseil, de la Commission, de la haute représentante de l’Union pour les affaires étrangères et la politique de sécurité et du réseau des CSIRT. (23)Les enquêtes techniques ex post sur les incidents ayant un impact significatif dans plusieurs États membres, lancées ou soutenues par l’Agence sur demande des États membres concernés ou avec leur accord, devraient être axées sur la prévention des incidents futurs et être exécutées sans préjudice de toute action judiciaire ou administrative visant à déterminer des fautes ou des responsabilités. (24)Les États membres concernés devraient fournir à l’Agence les renseignements et l’assistance requis aux fins de l’enquête, sans préjudice de l’article 346 du traité sur le fonctionnement de l’Union européenne ou d’autres raisons d’ordre public. (25)Les États membres peuvent inviter les entreprises concernées par l’incident à coopérer en fournissant les renseignements et l’assistance nécessaires à l’Agence, sans préjudice de leur droit de protéger les informations commercialement sensibles. (26)Pour mieux comprendre les défis dans le domaine de la cybersécurité et en vue de fournir aux États membres et aux institutions de l’Union des conseils stratégiques à long terme, l’Agence devrait analyser les risques actuels et émergents. À cet effet, l’Agence devrait, en coopération avec les États membres et, le cas échéant, avec des instituts de statistique et d’autres organismes, recueillir des informations pertinentes sur les technologies émergentes, les soumettre à des analyses et fournir des évaluations thématiques spécifiques sur les effets sociétaux, juridiques, économiques et réglementaires à attendre des innovations technologiques sur la sécurité des réseaux et de l’information, et notamment sur la cybersécurité. L’Agence devrait en outre aider les États membres et les institutions, organes et organismes de l’Union à déceler les tendances nouvelles et à prévenir les problèmes liés à la cybersécurité, en procédant à l’analyse des menaces et incidents. (27)Afin de renforcer la résilience de l’Union, l’Agence devrait développer l’excellence en matière de sécurité des infrastructures internet et des infrastructures critiques en fournissant des conseils, des orientations ou des bonnes pratiques. En vue de faciliter l’accès à des informations mieux structurées sur les risques de cybersécurité et les solutions possibles, l’Agence devrait mettre sur pied et gérer le «pôle d’information» de l’Union, un portail servant de guichet unique pour l’obtention d’informations sur la cybersécurité en provenance des institutions, organes et organismes de l’UE et nationaux. (28)L’Agence devrait contribuer à sensibiliser le public aux risques liés à la cybersécurité et fournir, à l’intention des particuliers et des organisations, des orientations sur les bonnes pratiques à adopter par les utilisateurs. L’Agence devrait également contribuer à promouvoir les meilleures pratiques et solutions pour les particuliers et les organisations en collectant et en analysant des informations du domaine public sur les incidents significatifs, et en rédigeant des rapports en vue de fournir des orientations aux entreprises et aux particuliers, et d’améliorer le niveau global de préparation et de résilience. L’Agence devrait en outre organiser, en coopération avec les membres et les institutions, organes et organismes de l’Union, des campagnes d’information régulières et des campagnes publiques d’éducation s’adressant aux utilisateurs finaux, en vue de promouvoir une navigation en ligne plus sûre pour tous et de sensibiliser aux dangers potentiels du cyberespace, y compris la cybercriminalité notamment sous forme de hameçonnages, réseaux zombies, fraudes financières et bancaires, et de donner des conseils de base en matière d’authentification et de protection des données. L’Agence devrait jouer un rôle central dans l’accélération de la sensibilisation des utilisateurs finaux à la sécurité des appareils. (29)Afin de soutenir les entreprises actives dans le secteur de la cybersécurité, ainsi que les utilisateurs qui recourent aux solutions de cybersécurité, l’Agence devrait mettre sur pied et gérer un «observatoire du marché» en procédant à des analyses régulières des principales tendances observées sur le marché de la cybersécurité, tant du côté de la demande que du côté de l’offre, et en diffusant ses observations. (30)Pour réaliser pleinement ses objectifs, l’Agence devrait se concerter avec les institutions, organes et organismes compétents, notamment la CERT-UE, le Centre européen de lutte contre la cybercriminalité (EC3) au sein d’Europol, l’Agence européenne de défense (EDA), l’Agence européenne pour la gestion opérationnelle des systèmes d’information à grande échelle (eu-LISA), l’Agence européenne de la sécurité aérienne (AESA) et toute autre agence de l’UE jouant un rôle en matière de cybersécurité. Elle devrait aussi coopérer avec les autorités chargées de la protection des données en vue de procéder à des échanges de savoir-faire et de bonnes pratiques et de leur fournir des conseils sur les aspects liés à la cybersécurité susceptibles d’avoir une incidence sur leurs activités. Les représentants des autorités répressives et des autorités chargées de la protection des données aux échelons national et de l’Union devraient pouvoir être représentés au sein du groupe permanent des parties prenantes de l’Agence. Dans ses relations avec les organismes chargés de l’application de la loi concernant les questions de sécurité des réseaux et de l’information susceptibles d’avoir une incidence sur leurs activités, l’Agence devrait utiliser les canaux d’information existants et les réseaux établis. (31)L’Agence, en tant que membre du réseau des CSIRT chargé en outre d’en assurer le secrétariat, devrait soutenir les CSIRT des États membres et la CERT-UE dans leur coopération opérationnelle ainsi que dans toutes les tâches pertinentes du réseau des CSIRT, telles que définies par la directive SRI. En outre, l’Agence devrait promouvoir et soutenir la coopération entre les CSIRT concernés en cas d’incidents, d’attaques ou de perturbations sur les réseaux ou infrastructures dont les CSIRT assurent la gestion ou la protection et impliquant, ou susceptibles d’impliquer, au moins deux CERT, tout en tenant dûment compte des procédures opératoires standard du réseau des CSIRT. (32)Afin que l’Union soit mieux préparée pour réagir aux incidents de cybersécurité, l’Agence devrait organiser des exercices annuels de cybersécurité au niveau de l’Union et aider les États membres et les institutions, organes et organismes de l’UE à organiser des exercices s’ils en font la demande. (33)L’Agence devrait continuer à développer et maintenir son expertise en matière de certification de cybersécurité en vue de soutenir la politique de l’Union dans ce domaine. L’Agence devrait promouvoir le recours à la certification de cybersécurité dans l’Union, notamment en contribuant à l’établissement et au maintien d’un cadre de certification de cybersécurité au niveau de l’Union, en vue de rendre plus transparente l’assurance de la cybersécurité des produits et services TIC et, partant, de rehausser la confiance dans le marché intérieur numérique.

(34)Des politiques de cybersécurité efficaces devraient reposer sur des méthodes d’évaluation des risques bien élaborées, dans le secteur public comme dans le secteur privé. Les méthodes d’évaluation des risques sont utilisées à différents niveaux et il n’existe pas de pratiques communes en ce qui concerne leur application efficace. La promotion et le développement des meilleures pratiques en matière d’évaluation des risques et de solutions interopérables de gestion des risques dans les organisations des secteurs public et privé relèveront le niveau de cybersécurité dans l’Union. À cette fin, l’Agence devrait favoriser la coopération entre parties prenantes au niveau de l’Union, en contribuant à leurs efforts concernant l’établissement et l’adoption de normes européennes et internationales en matière de gestion des risques et de sécurité mesurable des produits, systèmes, réseaux et services électroniques, lesquels, conjointement avec les logiciels, constituent les réseaux et systèmes d’information. (35)L’Agence devrait encourager les États membres et les fournisseurs de services à renforcer leurs normes de sécurité générales, de manière que tous les utilisateurs d’internet puissent prendre les mesures nécessaires pour garantir leur propre cybersécurité. En particulier, les fournisseurs de services et les fabricants de produits devraient retirer ou recycler les produits et services qui ne satisfont pas aux normes de cybersécurité. En coopération avec les autorités compétentes, l’ENISA peut diffuser des informations sur le niveau de cybersécurité des produits et services offerts sur le marché intérieur, et émettre des alertes visant des fournisseurs et des fabricants et les contraignant à améliorer la sécurité de leurs produits et services, y compris leur cybersécurité. (36)L’Agence devrait prendre pleinement en compte les activités en cours en matière de recherche, de développement et d’évaluation technologique, et plus particulièrement celles menées dans le cadre des différentes initiatives de recherche de l’Union, pour fournir des conseils aux institutions, organes et organismes de l’Union et, le cas échéant, à leur demande, aux États membres sur les besoins en matière de recherche dans le domaine de la sécurité des réseaux et de l’information, et en particulier de la cybersécurité. (37)Les problèmes de cybersécurité sont des enjeux mondiaux. Il est nécessaire de renforcer la coopération internationale pour améliorer les normes de sécurité, y compris en définissant des normes de comportement communes, et le partage des informations, en encourageant une collaboration internationale plus prompte en réponse aux problèmes de sécurité des réseaux et de l’information ainsi qu’une approche globale commune de ces problèmes. À cette fin, l’Agence devrait aider l’Union à poursuivre son engagement et sa coopération avec les pays tiers et les organisations internationales en mettant, le cas échéant, les compétences et l’analyse nécessaires au service des institutions, organes et organismes de l’Union concernés. (38)L’Agence devrait être en mesure de réagir aux demandes de conseil et d’assistance ad hoc qui sont formulées par les États membres et les institutions, organes et organismes de l’UE et qui relèvent des objectifs de l’Agence. (39)Il convient de mettre en œuvre certains principes en ce qui concerne la gouvernance de l’Agence afin de se conformer à la déclaration conjointe et à l’approche commune adoptées par le groupe de travail interinstitutionnel sur les agences décentralisées de l’Union en juillet 2012, le but de cette déclaration et de cette approche étant de rationaliser les activités des agences et d’améliorer leur efficacité. La déclaration conjointe et l’approche commune devraient également se refléter, le cas échéant, dans les programmes de travail, les évaluations, ainsi que les pratiques en matière d’établissement des rapports et les pratiques administratives de l’Agence. (40)Le conseil d’administration, composé de représentants des États membres et de la Commission, devrait fixer l’orientation générale du fonctionnement de l’Agence et veiller à ce qu’elle exécute ses missions conformément au présent règlement. Le conseil d’administration devrait être doté des pouvoirs nécessaires pour établir le budget, vérifier son exécution, adopter les règles financières appropriées, instaurer des procédures de travail transparentes pour la prise de décisions par l’Agence, adopter le document unique de programmation de l’Agence, adopter son propre règlement intérieur, nommer le directeur exécutif et statuer sur la prolongation du mandat du directeur exécutif et sur l’expiration dudit mandat. (41)Pour assurer le fonctionnement approprié et efficace de l’Agence, la Commissio