Renforcer le système européen de cyber-résilience et promouvoir la compétitivité et l'innovation dans le secteur européen de la cybersécurité

COMMUNICATION DE LA COMMISSION AU PARLEMENT EUROPÉEN, AU CONSEIL, AU COMITÉ ÉCONOMIQUE ET SOCIAL EUROPÉEN ET AU COMITÉ DES RÉGIONS

1. Introduction/contexte

Chaque jour, des incidents liés à la cybersécurité causent d’importants dommages économiques aux entreprises européennes et à l’économie au sens large. De tels incidents ébranlent la confiance des citoyens et des entreprises dans la société numérique. Vol de secrets commerciaux, de données commerciales et de données à caractère personnel, interruption de services, y compris de ceux qui sont essentiels, et interruption d'infrastructures se traduisent par des pertes économiques de l’ordre de centaines de milliards d’euros par an. Ils peuvent également avoir des répercussions sur les droits fondamentaux des citoyens et sur la société dans son ensemble.

La stratégie de cybersécurité de l’Union européenne pour 2013 (ci-après «stratégie de cybersécurité de l'UE») et sa composante principale, la directive sur la sécurité des réseaux et de l’information (SRI) qui doit être adoptée prochainement, forment, avec la directive 2013/40/UE relative aux attaques visant les systèmes d’information, le noyau dur des mesures prises à ce jour par l’Union européenne pour répondre à ces défis en matière de cybersécurité. L’UE a également à sa disposition des entités spécialisées telles que l’Agence européenne chargée de la sécurité des réseaux et de l’information (ENISA), le Centre européen de lutte contre la cybercriminalité (EC3) au sein d’Europol et l’équipe d’intervention en cas d’urgence informatique de l'UE (CERT-UE). Récemment, plusieurs initiatives sectorielles ont également été lancées (par exemple, dans le domaine de l’énergie et des transports) afin de renforcer la cybersécurité dans différents secteurs cruciaux.

En dépit de ces résultats positifs, l’UE reste vulnérable en cas de cyberincident, ce qui pourrait nuire au marché unique numérique et à la vie économique et sociale dans son ensemble. Des cyberincidents peuvent aussi avoir des répercussions au-delà du secteur économique. En cas de menaces hybrides, les cyberattaques peuvent être utilisées en coordination avec d’autres activités pour déstabiliser un pays ou contester les institutions politiques.

Dans ce contexte, gérer des cyberincidents de grande ampleur impliquant plusieurs États membres simultanément pourrait s'avérer difficile pour l’UE. En s'appuyant sur les communications concernant la lutte contre les menaces hybrides, d'une part, et la mise en œuvre du programme européen en matière de sécurité, d'autre part, la Commission étudie les moyens de faire face à l’évolution de la situation en matière de cybersécurité et de déterminer quelles mesures supplémentaires peuvent être nécessaires pour améliorer la résilience et la réponse de l'UE en cas d’incident dans ce domaine.

La Commission s’intéresse en outre aux capacités sectorielles en matière de cybersécurité dans l’UE. Même si l'on ne maîtrise pas l’ensemble de la chaîne de valeur des technologies numériques en Europe, il faut au moins préserver et développer certaines capacités indispensables. La fourniture de produits et de services apportant le plus haut niveau de cybersécurité est une opportunité majeure pour le secteur de la cybersécurité en Europe et pourrait constituer un avantage concurrentiel important; Le marché mondial de la cybersécurité devrait figurer parmi les segments à croissance très rapide du secteur des TIC. Pour faire de l’UE un acteur de premier plan dans ce domaine, il faut s'appuyer sur une solide culture de la sécurité des données, y compris les données à caractère personnel, et une réaction efficace aux incidents. Cela sera perçu comme un argument fort pour investir dans l’UE, et contribuera dès lors à la réalisation des objectifs ambitieux du marché unique numérique en matière de création de croissance et d'emplois.

Un engagement ferme est nécessaire pour réaliser les objectifs mentionnés ci-dessus, notamment:

i) en intensifiant la coopération en vue d'améliorer la préparation aux cyberincidents et leur gestion

Les mécanismes de coopération existants et convenus doivent être renforcés pour accroître la résilience et la préparation de l’UE, notamment face à une éventuelle crise paneuropéenne en matière de cybersécurité. Ces mécanismes de coopération doivent être complets, c'est-à-dire couvrir le cycle de vie d’un incident, de la prévention jusqu’aux poursuites. Une coopération efficace entre les États membres et la mise en œuvre pratique des exigences de sécurité pour les exploitants les plus importants requerront également des solutions techniques robustes de la part du secteur de la cybersécurité.

Garantir, dans le même temps, la résilience des cyberinfrastructures critiques dans l’ensemble de l’UE exigera des efforts soutenus pour trouver des synergies intersectorielles et intégrer les exigences en matière de cybersécurité dans toutes les politiques pertinentes de l’UE. La Commission réfléchira à la nécessité d'une mise à jour prochaine de la stratégie de cybersécurité de l’UE de 2013;

ii) en résolvant les problèmes majeurs auxquels est confronté le marché unique européen de la cybersécurité

La stratégie pour un marché unique numérique reconnaît qu’il subsiste des failles spécifiques dans le secteur en rapide mutation des technologies et des solutions pour la sécurité des réseaux en ligne. Des études de marché montrent, parallèlement, que le marché intérieur de l’UE reste fragmenté sur le plan géographique en ce qui concerne l’offre de produits et de services dans le domaine de la cybersécurité. La présente communication définit un certain nombre de mesures axées sur le marché pour résoudre ces problèmes et pallier les défaillances du marché unique;

iii) en favorisant la création de capacités industrielles dans le domaine de la cybersécurité

Dans la stratégie de cybersécurité de l’UE et dans la stratégie pour le marché unique numérique, la Commission s’est engagée à favoriser une augmentation de l’offre de produits et de services par le secteur de la cybersécurité de l’UE. Par conséquent, la Commission va également adopter une décision ouvrant la voie à un accord contractuel concernant un partenariat public-privé (PPP) sur la cybersécurité avec comme objectif de promouvoir un programme européen de recherche et d’innovation de pointe sur la cybersécurité en vue d'accroître la compétitivité.

2. Amener la coopération, les connaissances et les capacités au niveau supérieur

La stratégie de cybersécurité de l’UE et, en particulier, la prochaine directive SRI, ouvriront la voie à l’amélioration de la coopération entre les États membres au niveau de l’UE. La mise en œuvre rapide et efficace de la directive sera essentielle compte tenu de l'importance croissante du numérique dans la vie économique et sociale (compte tenu également de l’informatique en nuage, de l’internet des objets et de la communication de machine à machine), de l’interconnexion transfrontalière accrue et de l'évolution rapide des menaces sur les systèmes informatiques. Dans ce contexte, l’UE doit se préparer à l’éventualité d’une crise de grande ampleur dans le domaine de la cybersécurité, y compris, par exemple, des attaques simultanées majeures sur des systèmes d’information critiques dans plusieurs États membres.

La coopération au niveau de l'UE est dès lors indispensable pour gérer des cyberincidents à plus petite échelle mais susceptibles de se multiplier, ainsi qu’une éventuelle cyberattaque à grande échelle dans plusieurs États membres. L’UE doit intégrer la dimension cybernétique dans les mécanismes actuels de gestion des crises. Elle doit aussi faire en sorte que les secteurs et les États membres coopèrent efficacement et disposent de mécanismes rapides d’échange d’informations afin de répondre à de tels incidents et de les contenir. Ces mécanismes devraient de surcroît fonctionner comme un système cohérent, contribuant ainsi à la lutte contre le terrorisme, le crime organisé et la cybercriminalité. Cela permettrait aussi de renforcer la capacité de l’UE à coordonner son action avec ses partenaires internationaux pour répondre efficacement aux menaces et incidents à l'échelle mondiale.

2.1. Tirer le meilleur parti des mécanismes de coopération en matière de SRI et s’orienter vers l’ENISA 2.0

Les équipes de réaction aux incidents touchant la sécurité informatique (CSIRT) chargées de réagir rapidement en cas de cybermenaces et de cyberincidents sont une composante essentielle des capacités nationales que requiert la directive SRI. Elles formeront le réseau des CSIRT dans le but de promouvoir une véritable coopération opérationnelle en matière d'incidents spécifiques liés à la cybersécurité et de partager des informations sur les risques. La directive créera en outre un groupe de coopération dont le rôle sera de soutenir et de faciliter la coopération stratégique entre les États membres et d'instaurer des relations de confiance entre eux.