FR Journal officiel de l’Union européenne C 255/98

Avis du Comité économique et social européen sur la communication de la «Commission au Conseil, au Parlement européen, au Comité économique et social européen et au Comité des régions relative à la protection des infrastructures d'information critiques “Protéger l'Europe des cyberattaques et des perturbations de grande envergure: améliorer l'état de préparation, la sécurité et la résilience”»

COM(2009) 149 final

(2010/C 255/18)

Rapporteur: M. McDONOGH

Le 30 mars 2009, la Commission européenne a décidé, conformément à l'article 262 du traité instituant la Communauté européenne, de consulter le Comité économique et social européen sur la

Communication de la Commission au Parlement européen, au Conseil, au Comité économique et social européen et au Comité des régions relative à la protection des infrastructures d'information critiques. «Protéger l'Europe des cyberattaques et des perturbations de grande envergure: améliorer l'état de préparation, la sécurité et la résilience»

COM(2009) 149 final.

La section spécialisée «Transport, énergie, infrastructures, société de l'information», chargée de préparer les travaux du Comité en la matière, a adopté son avis le 12 novembre 2009 (rapporteur: M. McDonogh).

Lors de sa 458e session plénière des 16 et 17 décembre 2009 (séance du 16 décembre 2009), le Comité économique et social européen a adopté le présent avis par 179 voix pour et 4 abstentions.

1. Conclusions et recommandations

1.1 Le Comité se félicite de la communication de la Commission relative au plan d'action pour la protection des infrastructures d'information critiques (IIC) en Europe. Le Comité partage la préoccupation de la Commission au sujet de la vulnérabilité de l'Europe face à des cyberattaques de grande envergure, des défaillances techniques, des attaques d'origine humaine et des catastrophes naturelles, ainsi qu'au sujet des dommages majeurs qui pourraient frapper son économie et le bien-être de ses citoyens. Le Comité s'accorde avec la Commission sur la nécessité d'une action urgente pour améliorer la coordination et la coopération au sein de l'UE et faire ainsi face à ce problème crucial. Le Comité convient également de la nécessité de mettre rapidement en place le cadre global d'une politique de protection des IIC.

1.2 Le Comité prend acte des conclusions de la conférence ministérielle consacrée à la protection des infrastructures d'information critiques (PIIC) et s'alarme de la faible préparation de l'Europe à répondre à des cyberattaques de grande envergure ou à des défaillances des IIC, du fait des approches souvent disparates et mal coordonnées des différents États membres en la matière. L'histoire de l'internet et un manque de réflexion à l'échelle des grands systèmes en matière de sécurité et de résilience des infrastructures de l'information sont à l'origine de la situation grave que nous connaissons. En tout état de cause, puisque la nécessité d'agir est maintenant reconnue, le Comité exhorte la Commission à le faire énergiquement et sans tarder pour remédier à ce problème.

1.3 Le Comité soutient le plan d'action de haut niveau articulé autour de cinq axes qu'esquisse la communication. Il félicite la Commission de ses travaux. Il est en effet extrêmement difficile de concevoir une approche intégrée, multipartite et multiniveaux pour renforcer la sécurité et la résilience des IIC, notamment face à un éventail aussi large de parties intéressés et à la complexité des infrastructures européennes de l'information. Le Comité reconnaît le soutien et la contribution de l'Agence européenne chargée de la sécurité des réseaux et de l'information (ENISA) pour atteindre les objectifs fixés par cette communication.

1.4 Le Comité constate la faiblesse des actions menées par les parties intéressées en vue d'appliquer la résolution du Conseil 2007/C 68/01 relative à la sécurité et la résilience des infrastructures TIC (1). Cette difficulté à concevoir des politiques efficaces de protection des infrastructures européennes d'information les plus cruciales ne rend service qu'à ceux qui veulent les attaquer à des fins lucratives ou pour des raisons politiques. Dans ces conditions, le Comité souhaite que la Commission affirme plus clairement la nécessité d'un leadership fort pour rassembler toutes les parties intéressées et pour mettre en œuvre des mesures efficaces afin de protéger l'Europe des menaces éventuelles sur ses infrastructures d'information critiques. Le Comité est d'avis que le plan d'action esquissé par la communication ne pourra donner les résultats voulus que si la responsabilité de sa mise en œuvre revient à une instance de réglementation appropriée.

1.5 Le Comité attire l'attention de la Commission sur ses précédents avis dans lesquels il soulignait la nécessité d'une société de l'information sûre, et exprimait ses préoccupations quant à la sécurité de l'internet et la protection des infrastructures critiques.

2. Recommandations

2.1 L'Union européenne devrait charger une instance de réglementation appropriée, comprenant des membres de l’Agence européenne des Droits Fondamentaux, de protéger efficacement les infrastructures d'information dans l'ensemble de l'Union.

2.2 Chaque État membre devrait élaborer une stratégie nationale, mettre en place un cadre politique et juridique solide, des procédures nationales holistiques de gestion des risques ainsi que des mécanismes et des mesures de préparation adéquats. À cet égard, chaque État membre devrait constituer une équipe d'intervention en cas d'urgence informatique (CERT - Computer Emergency Response Team) et l'affilier au groupe des CERT gouvernementaux européens (EGC) (2).

2.3 La Commission devrait accélérer ses travaux visant à établir un partenariat public privé européen pour la résilience (EP3R) et les combiner avec ceux de l'Agence européenne chargée de la sécurité des réseaux et de l'information (ENISA) et ceux du groupe des CERT gouvernementaux européens (EGC).

2.4 La politique de protection des infrastructures d'information critiques (PIIC) doit se fonder à tous les échelons sur les meilleures pratiques de la gestion des risques. Il convient notamment de chiffrer les coûts liés à d'éventuelles défaillances de sécurité et de résilience et d'en informer les parties prenantes concernées.

2.5 Il convient d'infliger des sanctions pécuniaires et autres aux parties intéressées qui ne s'acquittent pas de leurs responsabilités en matière de politique de PIIC. Ces sanctions doivent être proportionnelles aux risques et aux coûts des défaillances engendrées par leur négligence.

2.6 La responsabilité de la sécurité et de la résilience des IIC devrait reposer plus fortement sur les acteurs importants – les gouvernements, les fournisseurs d'infrastructures et de technologies - et ces derniers ne devraient pas se défausser de leur responsabilité en la transférant à des entreprises ou à des particuliers.

La sécurité et la résilience doivent être impérativement prises en compte dans la conception de tous les systèmes des technologies de l'information et de la communication (TIC) mis en place dans l'Union. L'Union devrait encourager les parties prenantes dans la PIIC à s'employer sans relâche à améliorer certains domaines liés à la résilience- par exemple l'administration des réseaux, la gestion des risques et la continuité de l'activité.

2.7.1 L'élaboration et le contrôle des meilleures pratiques et des normes devraient constituer un élément essentiel de toute politique de prévention des défaillances, ainsi que des mesures de réaction à une situation donnée et de la récupération des IIC.

2.7.2 Priorité doit être donnée à l'installation des technologies IPv6 (le plus récent des protocoles pour les adresses internet) et DNSSEC (série de renforcements de la sécurité du système d’adressage par domaines) dans tout l'internet de l'ensemble de l'Union afin d'en renforcer la sécurité.

2.8 Le Comité encourage les parties intéressées, tant de droit privé que public, à coopérer régulièrement afin de tester leur niveau de préparation et leurs mesures de réaction, et ce à l'aide d'exercices. Le Comité s'associe pleinement à la suggestion formulée par la Commission dans sa communication de lancer le premier exercice paneuropéen en 2010.

2.9 Il convient de stimuler en Europe une industrie forte de la sécurité de l'information pour faire jeu égal avec les compétences d'une industrie nord-américaine qui dispose de très grands moyens financiers. Il y a lieu d'augmenter sensiblement les investissements dans la recherche et le développement relatifs aux questions de PIIC.

2.10 Il convient d'accroître les ressources financières affectées au développement des compétences et aux programmes pour la connaissance et la sensibilisation dans le domaine de la cybersécurité.

2.11 Il convient d'instituer des agences d'information et de soutien dans chaque État membre pour permettre aux PME et aux citoyens de saisir et de remplir leurs obligations dans le cadre d'une politique de PIIC.

2.12 Dans l'intérêt de sa sécurité, l'UE devrait avancer sa position sur l'avenir de la gouvernance de l'internet (3); cette dernière requiert une approche plus multilatérale qui respecte les priorités nationales des États-Unis mais reflète aussi les intérêts de l'Union européenne. L’action de l'Union en la matière devrait comprendre une réflexion approfondie à propos des interactions entre sécurité cybernétique et respect des libertés publiques et privées.

3. Contexte

Menaces de cyberattaques de grande envergure sur les infrastructures d'information critiques.

3.1.1 Les infrastructures d'information critiques (IIC) comprennent les TIC qui constituent les plateformes d'information et de communication sous-jacentes à l'offre de biens et services essentiels, y compris des fonctions vitales pour la société comme les fournitures d'énergie, d'eau, de transports, de services bancaires, de services de santé et de première urgence.

3.1.2 Les IIC se caractérisent par un haut degré d'intégration de systèmes complexes, par une interdépendance avec d'autres infrastructures (par exemple l'électricité), ainsi que par des interconnexions transfrontalières. De ce fait, ces infrastructures complexes sont exposées à de nombreux risques, qui peuvent dégénérer en des défaillances de systèmes dont les incidences seraient catastrophiques pour les fonctions vitales de la société dans de nombreux États membres. Ces risques peuvent provenir d'erreurs humaines, de défaillances techniques, d'attaques intentionnelles (aux motivations criminelles ou politiques) et de catastrophes naturelles. L’étude des risques montre les failles de tels systèmes, et par là même révèle la possibilité de prise de contrôle avec pratiques, intentionnelles ou non, attentatoires aux libertés tant publiques que privées. La Commission est tenue de veiller au respect des droits fondamentaux dans l’élaboration du droit communautaire.

3.1.3 Les gouvernements et les fournisseurs de services vitaux ne divulguent pas les défaillances de sécurité et de résilience dont ils sont victimes, à moins que les événements ne les y contraignent. Quoi qu'il en soit, de nombreux exemples de menaces sur les infrastructures critiques du fait de défaillances de sécurité et de résilience ont défrayé la chronique:

— des cyberattaques de grande envergure ont été lancées contre l'Estonie, la Lituanie et la Géorgie en 2007 et en 2008;

— des ruptures de câbles transcontinentaux sous-marins se sont produites en Méditerranée et dans le Golfe persique en 2008 et ont entravé le trafic internet dans de nombreux pays;

— en avril 2009, les services nationaux de sécurité ont annoncé que des «cyber espions» avaient pénétré le réseau électrique américain et y avaient laissé des programmes de logiciels qui pourraient être utilisés pour perturber le système;

— en juillet, les États-Unis et la Corée du Sud ont dû faire face à des attaques très remarquées par déni de service (menée par 100 000 à 200 000 machines zombies) qui ont touché de nombreux sites internet gouvernementaux.

3.1.4 Ce problème est fortement aggravé par les intentions malveillantes d'organisations criminelles et l'utilisation de la guerre cybernétique pour des raisons politiques.

— En exploitant les systèmes d'exploitation des ordinateurs personnels connectés sur l'internet, des organisations criminelles ont créé des réseaux de machines zombies – des ordinateurs personnels mis en réseau par des logiciels malveillants en un seul ordinateur virtuel qu'elles maîtrisent (comme des «zombies» ou des «drones»). Ces réseaux de machines zombies sont utilisés à toutes sortes de fins criminelles, et des terroristes ou des gouvernements en guerre cybernétique en louent l'usage à des organisations criminelles pour mener des cyberattaques. On estime qu'un de ces réseaux, dénommé «Conficker», maîtrise ainsi plus de 5 millions d'ordinateurs personnels.

3.1.5 Le coût économique d'une défaillance des IIC peut se révéler extrêmement élevé. Le Forum économique mondial a estimé que la probabilité d'une défaillance grave des IIC dans les dix prochaines années était de 10 à 20 %, que son coût potentiel, sur le plan mondial, avoisinerait 250 milliards de dollars, et qu'il provoquerait des milliers de morts.

Problèmes de préparation, de sécurité et de résilience.

3.2.1 L'internet est le socle qui supporte la plupart des IIC européennes. L'architecture de l'internet se fonde sur l'interconnexion de millions d'ordinateurs dont les fonctions de traitement, de communication et de contrôle se répartissent à travers le monde. Cette architecture décentralisée est la clé de la stabilité et de la résilience de l'internet: elle permet une récupération rapide des flux de trafic lorsqu'un problème se produit. Cependant, des cyberattaques de grande envergure peuvent être lancées de ses nœuds de bordure, comme dans le cas des réseaux de machines zombies, par n'importe quel voyou, à qui il suffit d'être mal intentionné et de disposer de quelques connaissances de base.

3.2.2 Les réseaux mondiaux de communication et les IIC requièrent un haut degré d'interconnexion transfrontalière. Ainsi, un faible niveau de sécurité et de résilience des réseaux dans un pays pourrait accroître la vulnérabilité et les risques des IIC dans tous les autres pays avec lesquels il est interconnecté. Cette interdépendance internationale oblige l'UE à concevoir une politique intégrée de gestion de la sécurité et de la résilience des IIC pour toute l'Union.

3.2.3 La plupart des parties prenantes et de nombreux États membres n'ont que peu conscience et connaissent mal les risques inhérents aux IIC. Très peu de pays ont élaboré des politiques complètes de gestion de ces risques.

3.2.4 Les réformes proposées du cadre réglementaire relatif aux réseaux et services de communications électroniques renforceront les obligations des opérateurs de réseaux visant à s'assurer qu'ils appliquent les mesures adéquates pour définir les risques, garantir la continuité des services et signaler les failles de sécurité (4).

3.2.5 La grande majorité des technologies qui appuient la plateforme des IIC est fournie par le secteur privé et la garantie d'une collaboration correcte pour assurer une protection efficace des IIC dépend largement d'un haut degré de compétence, de confiance, de transparence et de communication entre toutes les parties intéressées – à savoir les gouvernements, les sociétés commerciales et les consommateurs.

3.2.6 Une approche multipartite, multiniveaux et internationale est indispensable.

3.3 Le plan d'action en cinq axes

La Commission propose un plan d'action articulé autour des cinq axes suivants:

1. préparation et prévention: garantir un état de préparation à tous les niveaux;

2. détection et réaction: fournir des mécanismes d'alerte rapide adéquats;

3. atténuation et récupération: renforcer les mécanismes de défense des infrastructures d'information critiques dans l'UE;

4. coopération internationale: promouvoir les priorités de l'UE sur le plan international;

5. critères pour secteur des TIC: soutenir la mise en œuvre de la directive concernant le recensement et la désignation des infrastructures d'information critiques (5).

Des objectifs spécifiques sont définis pour chacune de ces actions avec des délais d'exécution courant pour certains jusqu'à la fin de 2011.

4. Observations

4.1 Il sera très difficile de concevoir et de mettre en œuvre une stratégie efficace de protection des IIC sur la base de l'approche préconisée par la communication, fondée sur la coopération, le volontariat et fortement consultative. Au regard de la gravité et de l'urgence de ce défi, le Comité recommande à la Commission d'examiner les politiques menées au Royaume-Uni et aux États-Unis, qui ont investi une autorité de règlementation adéquate de cette responsabilité et des pouvoirs afférents.

4.2 Le Comité approuve la résolution 58/199 de l’Assemblée générale des Nations Unies qui appelle à la création d’une culture mondiale de la cybersécurité et à la protection des infrastructures essentielles de l’information. Au regard de l'interdépendance des pays en matière de sécurité et de résilience des IIC – et selon l'adage: «une chaîne est aussi solide que son maillon le plus faible», il est alarmant que seuls neuf États membres aient institué des CERT (Computer Emergency response teams – centre de réponse rapide informatique) et rejoint le groupe des CERT gouvernementaux européens (EGC - European Government CERTs). La constitution de ces groupes doit être placée en haut de l'agenda intergouvernemental.

4.3 Est partie prenante de la cybersécurité de l'UE tout citoyen dont la vie peut dépendre de ces services vitaux. Ces mêmes citoyens sont responsables de la protection, au mieux de leurs possibilités, de leur connexion à internet contre des attaques. Une plus grande responsabilité encore incombe aux fournisseurs de services et de technologies de TIC qui pourvoient les IIC. Une information suffisante et adéquate de toutes les parties intéressées constitue un élément crucial de la cybersécurité. Il est donc fondamental pour l'Europe de disposer d'un grand nombre d'experts qualifiés dans le domaine de la sécurité et de la résilience des TIC.

4.4 Le Comité recommande à chaque État membre de disposer d'un organisme chargé d'informer, de former et de soutenir le secteur des PME pour les questions concernant la cybersécurité. Les grandes entreprises peuvent facilement obtenir l'expertise dont elles ont besoin, alors que les PME ont besoin d'y être aidées.

4.5 Puisque les fournisseurs d'IIC sont issus dans une large mesure du secteur privé, il est essentiel d'encourager un haut degré de confiance et de coopération avec et entre les entreprises responsables de ces infrastructures. Il convient de féliciter la Commission de l'initiative EP3R qu'elle a lancée en juin et d'encourager cette dernière. Cependant, le Comité estime qu'il convient de renforcer cette initiative par une règlementation obligeant les parties prenantes qui ne font pas face à leurs responsabilités à coopérer.

4.6 La gestion des risques est une discipline qui a pour objet de contribuer à résoudre les problèmes dont traite la communication. La Commission devrait insister sur le respect des bonnes pratiques de la gestion des risques là où son plan d'action le nécessite. Il convient notamment de quantifier les risques et leurs coûts pour chaque échelon des IIC. Lorsque l'on connaît la probabilité et le coût potentiel liés à un risque, il est bien plus aisé de motiver les parties prenantes à agir. Il est aussi plus simple d'engager alors leur responsabilité financière en cas de non-respect de leurs obligations.

4.7 Les acteurs les plus importants tentent de limiter leur responsabilité en usant de leur position de force sur le marché pour contraindre leurs clients ou leurs fournisseurs à accepter des conditions qui dégagent la grande entreprise de ses responsabilités, par exemple au moyen d'accords de licence sur des logiciels ou d'accords d'interconnexion ISP qui limitent leurs obligations en matière de sécurité. Ces accords devraient être réputés illégaux et la responsabilité devrait reposer sur l'acteur le plus important.

4.8 La sécurité et la résilience pourraient et devraient être prises en compte dans chaque réseau de TIC. Il convient d'étudier prioritairement la topologie des architectures de réseaux dans les États membres et au niveau de l'ensemble de l'UE, en vue de détecter les concentrations inacceptables de trafic de communications et donc les points où les risques de défaillance du réseau sont les plus élevés. La concentration du trafic internet, notamment sur un nombre très restreint de points d'échange Internet (Internet Exchange Points - IXP) dans certains États membres, constitue un risque inacceptable.

4.9 Le Comité renvoie également la Commission aux dispositions de son avis sur la communication COM(2008) 313 final «Faire progresser l'internet - plan d’action pour le déploiement du protocole internet IP version 6 (IPv6) en Europe» (6) qui soulignent les avantages en matière de sécurité de l'adoption du IPv6 sur l'ensemble de l'internet de l'UE. Le Comité recommande également que les technologies DNSSEC soient mises en place là où cela est possible afin d'élever le niveau de sécurité de l'internet.

4.10 Pour leur politique de sécurité dans le cyberespace, les États-Unis prévoient des dépenses budgétaires de 40 milliards de dollars en 2009 et 2010 en matière de cybersécurité. Cela encouragera également les entreprises de sécurité à devenir des leaders mondiaux. Ils injectent ainsi des moyens financiers immenses dans le secteur de la sécurité; de ce fait de nombreuses sociétés de technologie de la sécurité de l'information, y compris européennes, vont concentrer leurs efforts sur le marché américain. Il est hautement souhaitable que l'Europe dispose de sa propre industrie et des connaissances et des techniques lui permettant de concurrencer sur un pied d'égalité les sociétés américaines, et que l'attention et les efforts de l'industrie de la sécurité se portent sur les besoins des infrastructures européennes. Le Comité demande à la Commission de réfléchir à la manière de contrebalancer le stimulus financier majeur que les États-Unis ont mis en place.

4.11 Le Comité approuve la récente communication de la Commission sur l'avenir de la gouvernance de l'internet (3). Il estime que l'Union européenne doit influencer plus directement les politiques et les pratiques de l'ICANN (Internet Corporation for Assigned Names and Numbers, - Société pour l'attribution des noms de domaine et des numéros sur internet) et de l'IANA (Internet Assigned Numbers Authority - autorité d'internet chargée d'attribuer des numéros d'adresse) et que le contrôle unilatéral qu'exercent actuellement les États-Unis devrait faire place à des accords établissant une obligation de rendre compte multilatérale et internationale.

Bruxelles, le 16 décembre 2009. Le Président du Comité économique et social européen Mario SEPI

(1) Voir: COM(2006) 251 final.

(2) Voir: http://www.egc-group.org.

(3) COM(2009) 277 final.

(4) Voir les articles 13 bis et 13 ter dans COM(2007)697 (final) – propositions d'amendement de la directive 2002/21/CE.

(5) Voir la directive du Conseil no 2008/114/CE.

(6) JO C 175 du 28.7.2009, p. 92.