COMMISSION EUROPÉENNE Bruxelles, le 13.9.2017 SWD(2017) 501 final EMPTY DOCUMENT DE TRAVAIL DES SERVICES DE LA COMMISSION



RÉSUMÉ DE L'ANALYSE D'IMPACT

accompagnant le document: Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL relatif à l’ENISA, Agence de l'Union européenne pour la cybersécurité, et abrogeant le règlement (UE) n° 526/2013, et relatif à la certification des technologies de l’information et des communications en matière de cybersécurité (règlement sur la cybersécurité)

{COM(2017) 477 final}

{SWD(2017) 500 final}

{SWD(2017) 502 final}



A.Nécessité d’une action Quel est le problème et en quoi est-ce un problème? Les technologies numériques et l’internet constituent l’épine dorsale de la société et de l’économie européennes. Des secteurs économiques essentiels tels que les transports, l’énergie, la santé ou les services financiers dépendent de plus en plus des systèmes informatiques en réseaux pour l’exercice de leur activité principale. L’internet des objets relie les objets et les personnes par le biais de réseaux de communication. Cette nouvelle réalité crée des possibilités sans précédent, mais aussi des vulnérabilités. De fait, les incidents informatiques se multiplient. Leur complexité, leur fréquence et l’«amplitude» de leur impact - ils touchent tant l’accès aux services essentiels que les processus démocratiques - sont appelées à s’accroître encore. Dans ce contexte, les problèmes suivants, qui sont corrélés, ont été recensés: •multiplicité des politiques et des approches en matière de cybersécurité dans les États membres; •dispersion des ressources et des approches de la cybersécurité au sein des institutions, organes et organismes de l’UE; •sensibilisation insuffisante des particuliers et des entreprises à l’égard des cybermenaces et défaut d’information concernant les propriétés en matière de sécurité des produits et services TIC à la vente, associée à la multiplication des systèmes de certification nationaux et sectoriels. Ces problèmes se répercutent de manière générale sur la cyberrésilience de l’UE, et sur le fonctionnement efficace du marché intérieur. Quels sont les objectifs à atteindre? Les objectifs spécifiques de l'initiative sont les suivants: 1.développer les capacités et la préparation des États membres et des entreprises, notamment en ce qui concerne les infrastructures critiques; 2.améliorer la coopération et la coordination entre les États membres et les institutions, organes et organismes de l’UE; 3.accroître les moyens au niveau de l’UE pour compléter l’action des États membres, notamment en cas de crise transfrontière; 4.davantage sensibiliser les particuliers et les entreprises aux questions de cybersécurité; 5.accroître globalement la transparence de l’assurance de la cybersécurité des produits et services TIC pour susciter une plus grande confiance dans le marché unique numérique et l’innovation numérique; 6.éviter la multiplication des systèmes de certification dans l’UE, ainsi que des exigences de sécurité et des critères d’évaluation dans les différents États membres et secteurs d’activité. Quelle est la valeur ajoutée de l’action au niveau de l’Union? Étant donné que la numérisation et l’interconnexion de l’économie et de la société sont des phénomènes de portée mondiale, la dimension de la problématique s’étend bien au-delà du territoire d’un seul État membre. Une intervention au niveau de l’Union est, par conséquent, nécessaire. Dans le contexte actuel, et au vu des perspectives à venir, il s’avère que des mesures prises individuellement par les États membres et une approche fragmentée de la cybersécurité, compte tenu notamment de sa forte dimension transnationale, ne sauraient accroître la cyberrésilience collective de l’Union.

B.Solutions Quelles sont les différentes options pour atteindre les objectifs? Y a-t-il une option privilégiée? La présente analyse d’impact explore un ensemble concret d’options stratégiques concernant l’avenir de l’Agence européenne chargée de la sécurité des réseaux et de l’information (ENISA) et la certification de sécurité dans le domaine des TIC. L’avenir de l’ENISA Option 0 - Scénario de référence - C’est l’option qui maintient le statu quo. Le mandat de l’ENISA serait prorogé; les objectifs et les missions de l’Agence resteraient, pour l’essentiel, inchangés, mais elle intégrerait les missions qui lui seraient confiées ultérieurement par la législation de l’UE (par exemple, la directive SRI). Option 1 - Expiration du mandat de l’ENISA (cessation de l’ENISA). Cette option entraînerait la cessation de l’ENISA au terme de son mandat (juin 2020) et, éventuellement, une redistribution de ses compétences/activités au niveau de l’UE et/ou au niveau national. Option 2 - «Réforme» de l’ENISA. Cette option s’appuie sur le mandat actuel de l’ENISA et prévoit l’adoption de modifications ponctuelles suivant l’évolution du paysage de la cybersécurité. L’Agence se verrait accorder un statut permanent, reposant sur les piliers suivants: soutien à l’élaboration et à la mise en œuvre de la politique de l’UE; renforcement des capacités; connaissances et information; missions liées au marché; recherche et innovation; coopération opérationnelle et gestion des crises. Option 3 - Une agence de l’UE pour la cybersécurité disposant de moyens opérationnels complets Cette option prévoit une réforme de l’ENISA qui entraînerait le regroupement de trois fonctions principales: 1) fonction liée aux politiques/fonction de consultation; 2) centre d’information et d’expertise; et 3) équipe d'intervention en cas d'urgence informatique (CERT). Dans une large mesure, cette option supposerait une modification du champ d’application du mandat identique à celle de l’option 2. Cependant, des missions supplémentaires seraient confiées à l’Agence en matière de réaction aux incidents et de gestion des crises, de sorte qu’elle couvrirait le cycle de vie de la cybersécurité dans son intégralité, et s’occuperait tant de la prévention et de la détection des cyberincidents que de la réaction à ces incidents. Certification Option 0 - Scénario de référence - Pas d'intervention Dans le cadre de cette option, la Commission maintiendrait le statu quo et n’entreprendrait aucune action politique ou législative. Option 1 - Mesures non législatives (non contraignantes) Avec cette option, la Commission utiliserait des instruments de politique non contraignants (par exemple, communications interprétatives, soutien à des initiatives d’autorégulation à l’échelle de l’Union et activités de normalisation) en vue d’améliorer la transparence et de réduire la dispersion des efforts. Option 2 - Un acte législatif de l’UE pour étendre l’accord du SOG-IS à tous les États membres. Avec cette option, la Commission proposerait un acte législatif pour étendre, d’un point de vue juridique, l’accord du SOG-IS à tous les États membres. Option 3 - Un cadre européen général de certification de sécurité en matière de TIC. Cette option implique la mise en place d’un cadre européen de certification de sécurité en matière de TIC (comprenant un groupe d’experts composé d’autorités nationales) en partant, dans la mesure du possible, des systèmes de certification de sécurité existants en matière de TIC. En substance, le cadre devrait permettre l’établissement de systèmes européens de certification qui seraient reconnus par tous les États membres. L’option privilégiée est une combinaison de l’option 2 pour l’ENISA et de l’option 3 pour la certification. Quelles sont les différentes parties prenantes? Qui soutient quelle option? La grande majorité des parties prenantes de toutes catégories (États membres, industrie, institutions de l’Union européenne, communauté scientifique) ayant participé à la consultation semblent favorables à l’option privilégiée car elles sont partisanes du renforcement de l’ENISA et de la création d’un cadre européen de certification de sécurité en matière de TIC. Un consensus se dégage, en particulier, sur la nécessité de doter l’Union (au minimum) d’une agence qui fonctionne bien, dotée d’un statut permanent, disposant de moyens suffisants et d’un mandat lui permettant de faire face aux défis actuels et futurs en matière de cybersécurité. En outre, les parties prenantes approuvent globalement la création d’un cadre européen facultatif et évolutif. Du côté de l’industrie, la solution prônée pour la certification est soutenue par des entreprises qui sont déjà soumises à des exigences en matière de certification, et qui tireraient avantage d’un mécanisme à l’échelle de l’Union européenne fondé sur la reconnaissance mutuelle des certificats. Cette solution recueille également l’adhésion des PME, qui sont les entreprises qui pâtissent déjà, ou pâtiraient, le plus d’avoir à suivre différentes procédures de certification d’un État membre à l’autre. Certains États membres, en particulier ceux qui disposent du moins de ressources, et certains représentants de l’industrie et des institutions de l’UE ont également exprimé des avis positifs concernant l’option 3 pour l’ENISA. C. Incidence de l’option privilégiée.