COMMISSION EUROPÉENNE Bruxelles, le 16.12.2020 COM(2020) 823 final 2020/0359(COD) Proposition de DIRECTIVE DU PARLEMENT EUROPÉEN ET DU CONSEIL concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, abrogeant la directive (UE) 2016/1148 (Texte présentant de l’intérêt pour l’EEE) {SEC(2020) 430 final} - {SWD(2020) 344 final} - {SWD(2020) 345 final}



EXPOSÉ DES MOTIFS 1.CONTEXTE DE LA PROPOSITION •Justification et objectifs de la proposition La présente proposition fait partie d’un ensemble de mesures destinées à améliorer la résilience et les capacités de réaction aux incidents des entités publiques et privées, des autorités compétentes et de l’Union dans son ensemble dans le domaine de la cybersécurité et de la protection des infrastructures critiques. Elle est conforme aux priorités de la Commission consistant à adapter l’Europe à l’ère du numérique et bâtir une économie au service des personnes et parée pour l’avenir. La cybersécurité est l’une des priorités de la réponse de la Commission à la crise de la COVID-19. Cet ensemble de mesures comprend une nouvelle stratégie de cybersécurité, dans le but de renforcer l’autonomie stratégique de l’Union afin d’améliorer sa résilience et la réaction collective et de construire un internet ouvert et mondial. Enfin, l’ensemble de mesures contient une proposition de directive concernant la résilience des opérateurs critiques de services essentiels, qui a pour objectif d’atténuer les menaces physiques qui pèsent sur eux. La présente proposition capitalise sur la directive (UE) 2016/1148 relative à la sécurité des réseaux et des systèmes d’information (ci-après la «directive SRI»), qu’elle annule, et qui était le premier acte législatif adopté à l’échelle de l’Union européenne dans le domaine de la cybersécurité et prévoyait des mesures juridiques pour renforcer le niveau général de cybersécurité dans l’Union. La directive SRI 1) a contribué à améliorer les capacités nationales en matière de cybersécurité en exigeant des États membres qu’ils adoptent une stratégie de cybersécurité nationale et qu’ils désignent les autorités compétentes; 2) a accru la coopération entre les États membres au niveau de l’Union en créant différents forums facilitant l’échange d’informations stratégiques et opérationnelles; et 3) a amélioré la cyber-résilience des entités publiques et privées de sept secteurs spécifiques (l’énergie, les transports, la banque, les infrastructures des marchés financiers, les soins de santé, la fourniture et la distribution d’eau potable et les infrastructures numériques) et/ou qui fournissent trois types de services numériques (les places de marché en ligne, les moteurs de recherche en ligne et les services d’informatique en nuage) en exigeant des États membres qu’ils veillent à ce que les opérateurs de services essentiels et les fournisseurs de services numériques mettent en place des exigences en matière de cybersécurité et signalent les incidents. La présente proposition modernise le cadre juridique existant en tenant compte de l’utilisation croissante de supports et formats numériques dans le marché intérieur ces dernières années et de l’évolution du paysage des menaces qui pèsent sur la cybersécurité, deux tendances qui se sont encore amplifiées depuis le début de la pandémie de COVID-19. Elle comble également plusieurs lacunes qui empêchaient d’exploiter pleinement le potentiel de la directive SRI. Malgré ses accomplissements notables, la directive SRI, qui a ouvert la voie à une évolution importante des mentalités en ce qui concerne l’approche institutionnelle et réglementaire de la cybersécurité dans de nombreux États membres, a également montré ses limites. La transformation numérique de la société (intensifiée par la crise de la COVID-19) a étendu le paysage des menaces et fait naître de nouveaux défis qui nécessitent des réponses adaptées et novatrices. Le nombre de cyberattaques continue d’augmenter, les attaques, toujours plus sophistiquées, provenant d’un large éventail de sources à l’intérieur et à l’extérieur de l’Union. L’évaluation du fonctionnement de la directive SRI, réalisée aux fins de l’analyse d’impact, a relevé les problèmes suivants: 1) le faible niveau de cyber-résilience des entreprises établies dans l’Union; 2) un degré de résilience variable en fonction des États membres et des secteurs concernés; et 3) le faible niveau de prise de conscience conjointe de la situation et l’absence de réponse conjointe à la crise. Par exemple, dans un État membre, certains grands hôpitaux ne relèvent pas du champ d’application de la directive SRI et ne sont donc pas tenus de mettre en œuvre les mesures de sécurité qui en découlent, tandis que dans un autre État membre, la quasi-totalité des fournisseurs de soins de santé du pays sont couverts par les exigences en matière de sécurité des réseaux et des systèmes d’information. Puisqu’il s’agit d’une initiative relevant du programme pour une réglementation affûtée et performante (REFIT), cette proposition a pour objectif de réduire la charge réglementaire pesant sur les autorités compétentes ainsi que les coûts de mise en conformité pour les entités publiques et privées. Plus particulièrement, il convient pour ce faire de supprimer l’obligation faite aux autorités compétentes d’identifier les opérateurs de services essentiels, et de relever le niveau d’harmonisation des exigences en matière de sécurité et de signalement afin de faciliter aux entités qui fournissent des services transfrontières la tâche de mise en conformité réglementaire. Dans le même temps, un certain nombre de nouvelles tâches seront confiées aux autorités compétentes, notamment la supervision d’entités de secteurs qui ne sont pas encore couverts par la directive SRI. •Cohérence avec les dispositions existantes dans le domaine d’action La présente proposition fait partie d’un ensemble plus large d’instruments juridiques existants et d’initiatives imminentes à l’échelle de l’Union ayant pour objectif d’accroître la résilience des entités publiques et privées face aux menaces. Dans le domaine de la cybersécurité, il s’agit notamment de la directive (UE) 2018/1972 établissant le code des communications électroniques européen (dont les dispositions en matière de sécurité seront remplacées par les dispositions de la présente proposition) et de la proposition de règlement sur la résilience opérationnelle numérique du secteur financier [COM(2020) 595 final], ce dernier règlement constituant la lex specialis de la directive proposée une fois les deux actes entrés en vigueur. Dans le domaine de la sécurité physique, la proposition complète la proposition de directive sur la résilience des entités critiques, qui révise la directive 2008/114/CE du Conseil concernant le recensement et la désignation des infrastructures critiques européennes ainsi que l’évaluation de la nécessité d’améliorer leur protection (ci-après la «directive sur les ICE»), qui créée un processus à l’échelle de l’Union pour recenser et désigner les infrastructures critiques européennes et définit une approche pour l’amélioration de leur protection. En juillet 2020, la Commission a adopté la stratégie de l’UE pour l’union de la sécurité, qui reconnaissait l’interconnexion et l’interdépendance croissantes entre les infrastructures physiques et les infrastructures numériques. Elle soulignait la nécessité d’une approche visant à améliorer la cohérence et la concordance entre la directive sur les ICE et la directive (UE) 2016/1148 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union. Cette proposition s’aligne donc étroitement sur la proposition de directive sur la résilience des entités critiques, qui a pour objectif d’améliorer la résilience des entités critiques face aux menaces physiques dans un grand nombre de secteurs. Elle vise à garantir que les autorités compétentes en vertu des deux actes adoptent des mesures complémentaires et échangent des informations autant que de besoin concernant la cyber-résilience et la résilience en dehors du cyberespace et que les opérateurs particulièrement critiques dans les secteurs considérés comme «essentiels» au titre de la présente proposition sont également soumis à des obligations d’amélioration de la résilience plus générales, axées sur les risques non liés au cyberespace. •Cohérence avec les autres politiques de l’Union Comme indiqué dans la communication intitulée «Façonner l’avenir numérique de l’Europe», il est essentiel que l’Europe exploite pleinement les avantages de l’ère numérique et renforce son industrie et sa capacité d’innovation dans des limites sûres et éthiques. La stratégie européenne pour les données définit quatre piliers – la protection des données, les droits fondamentaux, la sûreté et la cybersécurité – comme des conditions préalables essentielles pour une société à laquelle les données confèrent les moyens dont elle a besoin. Dans une résolution en date du 12 mars 2019, le Parlement européen a invité «[…] la Commission à étudier la nécessité d’élargir le champ d’application de la directive SRI à de nouveaux secteurs et services d’importance critique qui ne sont pas couverts par une législation spécifique». Le Conseil, dans ses conclusions du 9 juin 2020, a salué «[…] les projets de la Commission visant à garantir des règles cohérentes pour les opérateurs du marché et à faciliter un échange d’informations sécurisé, fiable et approprié sur les menaces ainsi que sur les incidents, y compris grâce au réexamen de la directive sur la sécurité des réseaux et des systèmes d’information (directive SRI), afin de rechercher des solutions permettant d’améliorer la cyberrésilience et de réagir plus efficacement aux cyberattaques, en particulier celles ciblant des activités essentielles pour l’économie et la société, tout en respectant les compétences des États membres, y compris la responsabilité qui est la leur en matière de sécurité nationale». De plus, l’acte juridique proposé est sans préjudice de l’application des règles de concurrence prévues par le traité sur le fonctionnement de l’Union européenne (TFUE).

Puisqu’une partie significative des menaces qui pèsent sur la cybersécurité trouvent leur origine en dehors de l’Union, une approche cohérente de la coopération internationale s’impose. Cette directive constitue un modèle de référence à promouvoir dans le cadre de la coopération de l’Union avec des pays tiers, notamment lors de la fourniture d’une assistance technique externe. 2.BASE JURIDIQUE, SUBSIDIARITÉ ET PROPORTIONNALITÉ •Base juridique La base juridique de la directive SRI est l’article 114 du traité sur le fonctionnement de l’Union européenne, dont l’objectif est la création et le fonctionnement du marché intérieur en renforçant les mesures relatives au rapprochement des règles nationales. Comme l’a jugé la Cour de justice de l’Union européenne dans son arrêt dans l’affaire C-58/08, Vodafone e.a., il est justifié de recourir à l’article 114 TFUE en cas de divergences entre les réglementations nationales qui ont une incidence directe sur le fonctionnement du marché intérieur. De même, la Cour a estimé que lorsqu’un acte fondé sur l’article 114 TFUE avait déjà éliminé tout obstacle aux échanges dans le domaine qu’il harmonise, le législateur de l’Union ne saurait être privé de la possibilité d’adapter cet acte à toute modification des circonstances ou à toute évolution des connaissances eu égard à la tâche qui lui incombe de veiller à la protection des intérêts généraux reconnus par le traité. Enfin, la Cour a jugé que les mesures relatives au rapprochement visées par l’article 114 TFUE étaient conçues pour laisser, en fonction du contexte général et des circonstances spécifiques de la matière à harmoniser, une marge d’appréciation quant à la technique de rapprochement la plus appropriée afin d’aboutir au résultat souhaité. L’acte juridique proposé éliminerait les obstacles au marché intérieur et améliorerait la création et le fonctionnement de celui-ci pour les entités essentielles et importantes, en créant des règles claires d’application générale relatives au champ d’application de la directive SRI et en harmonisant les règles applicables dans le domaine de la gestion des risques et du signalement des incidents de cybersécurité. Les disparités actuelles dans ce domaine, tant au niveau législatif qu’au niveau de la surveillance, à l’échelle nationale comme à l’échelle de l’Union sont des obstacles au marché intérieur car les entités qui exercent une activité transfrontalière sont confrontées à des exigences réglementaires différentes et pouvant se chevaucher (ou à une application de ces exigences qui diffère ou se chevauche), au détriment de l’exercice de leur liberté d’établissement et de prestation des services. Des règles différentes ont également une incidence négative sur les conditions de concurrence sur le marché intérieur lorsqu’il s’agit d’entités du même type de différents États membres. •Subsidiarité (en cas de compétence non exclusive) La résilience en matière de cybersécurité dans l’ensemble de l’Union ne peut être effective si elle est appréhendée de manière disparate sous l’effet de cloisonnements nationaux ou régionaux. La directive SRI a partiellement comblé cette lacune en établissant un cadre pour la sécurité des réseaux et des systèmes d’information au niveau national et au niveau de l’Union. Cependant, ses transpositions et mise en œuvre ont également mis en lumière les insuffisances intrinsèques et les limites de certaines dispositions ou approches, comme la délimitation peu claire du champ d’application de la directive, qui a entraîné d’importantes différences en ce qui concerne le degré et l’ampleur de l’intervention de l’Union, de fait, au niveau des États membres. De plus, avec la crise de la COVID-19, l’économie européenne dépend plus que jamais des réseaux et systèmes d’information et les secteurs et les services sont de plus en plus interconnectés. Une intervention de l’UE allant au-delà des mesures actuelles de la directive SRI se justifie principalement par: i) la nature de plus en plus transfrontalière des menaces et défis pour les SRI; ii) le potentiel de l’action de l’Union d’amélioration et de facilitation des politiques nationales efficaces et coordonnées; et iii) la contribution de mesures stratégiques concertées et collaboratives à la protection efficace des données et de la vie privée. •Proportionnalité Les règles proposées dans la présente directive ne vont pas au-delà de ce qui est nécessaire pour réaliser les objectifs spécifiques de manière satisfaisante. L’alignement et la rationalisation envisagés des mesures de sécurité et des obligations de signalement sont liés aux demandes d’amélioration du cadre actuel formulées par les États membres et les entreprises. La présente proposition tient compte des pratiques qui existent déjà dans les États membres. Un niveau de protection amélioré obtenu grâce à des mesures et obligations rationalisées et coordonnées est proportionné aux risques de plus en plus élevés rencontrés, notamment ceux comportant un élément transfrontalier; ces mesures et obligations sont raisonnables et correspondent de manière générale à l’intérêt des entités concernées consistant à assurer la continuité et la qualité de leurs services. Les coûts permettant d’assurer la coopération systématique entre les États membres sont peu élevés si on les compare aux pertes et dommages économiques et sociaux causés par les incidents de cybersécurité. De plus, les consultations des parties intéressées organisées dans le cadre de la révision de la directive SRI, y compris les résultats de la consultation publique ouverte et des enquêtes ciblées, ont montré que la révision de la directive SRI de la manière envisagée ci-dessus était favorablement perçue. •Choix de l’instrument Cette proposition renforcera la rationalisation des obligations incombant aux entreprises et garantira un niveau plus élevé d’harmonisation de ces obligations. Dans le même temps, elle a pour objectif de donner aux États membres la flexibilité nécessaire pour tenir compte des spécificités nationales (comme la possibilité de recenser des entités essentielles ou importantes supplémentaires, allant au-delà du niveau de référence défini par l’acte juridique). Le futur instrument juridique devrait donc prendre la forme d’une directive puisque cet instrument juridique permet de réaliser une harmonisation améliorée ciblée et laisse un certain degré de flexibilité aux autorités compétentes. 3.RÉSULTATS DES ÉVALUATIONS EX POST, DES CONSULTATIONS DES PARTIES INTÉRESSÉES ET DES ANALYSES D’IMPACT •Évaluations ex post/bilans de qualité de la législation existante La Commission a réalisé une évaluation du fonctionnement de la directive SRI. Elle en a analysé la pertinence, la valeur ajoutée pour l’Union européenne, la cohérence, l’efficacité et l’efficience. Les principales conclusions de cette analyse sont les suivantes: ·Le champ d’application de la directive SRI est trop limité en ce qui concerne les secteurs couverts, principalement en raison: i) de l’adoption croissante, ces dernières années, du format numérique et d’un degré accru d’interconnexion, ii) du fait que le champ d’application de la directive SRI ne reflète plus la totalité des secteurs numériques qui fournissent des services essentiels à l’économie et à la société dans son ensemble. ·La directive SRI n’est pas suffisamment claire en ce qui concerne la latitude des opérateurs de services essentiels et ses dispositions manquent de clarté quant à la compétence nationale sur les fournisseurs de services numériques. Cela a conduit à une situation dans laquelle certains types d’entités n’ont pas été recensés dans tous les États membres et n’ont donc pas été tenus de mettre en place des mesures de sécurité ni de signaler les incidents. ·La directive SRI laissait un large pouvoir d’appréciation aux États membres dans leur définition des exigences en matière de sécurité et de signalement des incidents applicables aux opérateurs de services essentiels (ci-après les «OSE»). L’évaluation montre que, dans certains cas, les États membres ont mis en place ces exigences de manières considérablement différentes, créant ainsi une charge supplémentaire pour les entreprises actives dans plusieurs États membres. ·Le système de surveillance et d’application de la directive SRI n’est pas efficace: par exemple, les États membres se sont montrés très réticents à appliquer des sanctions aux entités qui n’avaient pas mis en place les exigences en matière de sécurité ou qui n’ont pas signalé les incidents. Cela peut avoir des conséquences négatives pour la cyber-résilience des entités à titre individuel.

·Les ressources humaines et financières que les États membres ont affectées à l’accomplissement de leurs tâches (comme le recensement ou la surveillance des OSE) et, par conséquent, les différents niveaux de maturité du traitement des risques liés à la cybersécurité varient considérablement; des variations qui exacerbent encore les différences en matière de cyber-résilience entre les États membres. ·Les États membres ne partagent pas de manière systématique les informations entre eux, ce qui a des conséquences négatives sur, notamment, l’efficacité des mesures de cybersécurité et le niveau de prise de conscience conjointe de la situation au niveau de l’Union. Il en va de même pour le partage d’informations entre entités privées, ainsi que pour les liens entre les structures de coopération au niveau de l’Union et les entités privées. •Consultations des parties intéressées La Commission a consulté un large éventail de parties intéressées. Les États membres et les parties intéressées ont été invités à participer à la consultation publique ouverte ainsi qu’aux enquêtes et aux ateliers organisés par le cabinet Wavestone, le think tank CEPS et l’organisme de recherche politique ICF, auxquels la Commission avait commandé une étude visant à étayer le processus de révision de la directive SRI. Les parties intéressées consultées incluaient les autorités compétentes, les organismes de l’Union chargés de la cybersécurité, les opérateurs de services essentiels, les fournisseurs de service numérique, les entités fournissant des services ne relevant pas de la directive SRI actuelle, les associations professionnelles, les associations de consommateurs et les citoyens. De plus, la Commission est restée en permanence en contact avec les autorités compétentes chargées de la mise en œuvre de la directive SRI. Le groupe de coopération a largement couvert les différents aspects transversaux et sectoriels de la mise en œuvre. Enfin, au cours de ses «visites SRI» dans les pays en 2019 et en 2020, la Commission a interrogé 154 entités publiques et privées ainsi que 117 autorités compétentes. •Obtention et utilisation d’expertise La Commission a confié à un consortium formé du cabinet Wavestone, du think tank CEPS et de l’organisme de recherche politique ICF la mission de l’aider dans son processus de révision de la directive SRI. Le consortium missionné ne s’est pas contenté de se rapprocher des parties intéressées directement touchées par la directive SRI à l’aide d’enquêtes ciblées et d’ateliers: il a également consulté un large éventail d’experts dans le domaine de la cybersécurité, comme des chercheurs en cybersécurité et des professionnels du secteur de la cybersécurité. •Analyse d’impact La présente proposition s’accompagne d’une analyse d’impact, qui a été soumise au comité d’examen de la réglementation (CER) le 23 octobre 2020, qui a rendu un avis positif assorti de commentaires le 20 novembre 2020. Le CER a recommandé que des améliorations soient apportées dans certains domaines, et ce afin de: 1) mieux tenir compte du rôle joué par les retombées transfrontières dans l’analyse des problèmes; 2) mieux expliquer ce en quoi consisterait une réussite pour cette initiative si elle aboutissait; 3) davantage justifier la liste des options stratégiques; 4) donner davantage de détails concernant les coûts des mesures proposées. L’analyse d’impact a été corrigée pour tenir compte de ces points ainsi que des commentaires plus détaillés formulés par le CER. Elle comprend désormais des explications plus détaillées sur le rôle joué par les retombées transfrontières dans le domaine de la cybersécurité, un aperçu plus clair de la manière dont la réussite peut être mesurée, une explication plus détaillée de la conception et de la logique sous-tendant les différentes options stratégiques et les actions envisagées dans le cadre de ces options, une explication plus détaillée des aspects analysés en lien avec la portée sectorielle de la directive SRI et davantage de précisions concernant les coûts. La Commission a envisagé un certain nombre d’options stratégiques pour améliorer le cadre juridique dans le domaine de la cyber-résilience et de la réaction aux incidents: ·«Ne rien changer»: la directive SRI ne serait pas modifiée et aucune autre mesure de nature non législative ne serait adoptée afin de résoudre les problèmes constatés lors de l’évaluation de la directive SRI. ·Option nº 1: il n’y aurait aucun changement au niveau législatif. La Commission formulerait des recommandations et des lignes directrices (par exemple concernant le recensement des opérateurs de services essentiels, les exigences en matière de sécurité, les procédures de notification des incidents et la surveillance), après avoir consulté le groupe de coopération, l’agence de l’Union européenne pour la cybersécurité (agence européenne chargée de la sécurité des réseaux et de l’information, ENISA) et, le cas échéant, le réseau des équipes d’intervention en cas d’urgence informatique (CSIRT). ·Option nº 2: cette option comprend des modifications ciblées de la directive SRI, notamment une extension de son champ d’application et plusieurs autres modifications qui auraient pour objectif de garantir des solutions immédiates aux problèmes constatés, d’apporter plus de clarté et de renforcer l’harmonisation (par exemple des dispositions visant à harmoniser les seuils de recensement). La directive SRI conserverait cependant ses principaux piliers, son approche et sa motivation. ·Option nº 3: ce scénario implique des modifications systémiques et structurelles de la directive SRI (au moyen d’une nouvelle directive) et prévoit un changement d’approche plus fondamental, consistant à couvrir un segment plus large des économies de l’Union, à l’aide d’une surveillance plus ciblée visant les acteurs clés et essentiels. Il rationaliserait également les obligations imposées aux entreprises et garantirait un niveau plus élevé d’harmonisation de ces obligations, créerait un cadre plus efficace pour les aspects opérationnels et établirait une base claire pour renforcer le partage des responsabilités et la reddition de compte des différentes parties intéressées concernant les mesures de cybersécurité. L’analyse d’impact a conclu que l’option privilégiée était l’option 3 (c’est-à-dire les modifications systémiques et structurelles du cadre des SRI). En matière d’efficacité, l’option privilégiée déterminerait clairement le champ d’application de la directive SRI, étendu à une fraction plus représentative des économies et des sociétés de l’Union, ainsi que la rationalisation des exigences, assorti d’un cadre plus défini pour la surveillance et l’application qui aurait pour objectif d’accroître le niveau de conformité. Elle impliquerait également des mesures visant à améliorer les approches de conceptions des politiques au niveau des États membres et à en modifier le paradigme, à promouvoir de nouveaux cadres pour la gestion des risques liés aux relations avec les fournisseurs et la divulgation coordonnée des vulnérabilités. Dans le même temps, l’option stratégique privilégiée créée une base claire pour les responsabilités et les obligations de rendre compte partagées et envisage des mécanismes dont l’objectif est de renforcer la confiance entre les États membres, tant au niveau des autorités qu’au niveau du secteur, de favoriser le partage d’informations et de garantir une approche plus opérationnelle, comme les mécanismes d’assistance mutuelle et d’évaluation par les pairs. Cette option créerait également un cadre de gestion de crise au niveau de l’Union, tirant parti du réseau opérationnel de l’Union récemment lancé, et garantirait un dialogue renforcé avec l’ENISA dans le cadre de son mandat actuel, permettant ainsi d’avoir une vue d’ensemble précise de l’état de la cybersécurité dans l’Union. En ce qui concerne l’efficience, même si l’option privilégiée entraînait des coûts de conformité et d’application supplémentaires pour les entreprises et les États membres, elle conduirait également à des compromis et des synergies efficaces, le meilleur potentiel de toutes les options stratégiques étant analysé pour garantir un niveau accru et cohérent de cyber-résilience des entités clés dans l’ensemble de l’Union, ce qui engendrerait à terme des économies tant pour les entreprises que pour la société. Cette option stratégique entraînerait une certaine charge administrative supplémentaire et des coûts de mise en conformité supplémentaires pour les autorités des États membres. Cependant, en définitive, sur le moyen et le long terme, elle donnerait également lieu à des bénéfices considérables grâce à l’amélioration de la coopération entre les États membres, notamment au niveau opérationnel, et facilitant, grâce aux mécanismes d’assistance mutuelle et d’évaluation par les pairs, une meilleure vue d’ensemble des entreprises clés et de meilleures interactions avec celles-ci, et une amélioration générale des capacités de cybersécurité au niveau national et régional. L’option stratégique privilégiée garantirait également dans une large mesure la cohérence avec d’autres actes législatifs, initiatives ou mesures politiques, notamment une lex specialis sectorielle. Les lacunes qui persistent actuellement en ce qui concerne la préparation des États membres comme des entreprises et des autres organisations en matière de cybersécurité seraient comblées, produisant des gains d’efficacité ainsi qu’une réduction des coûts supplémentaires générés par les incidents de cybersécurité. ·Pour les entités essentielles et importantes, le relèvement du niveau de préparation à la cybersécurité pourrait aboutir à une atténuation des éventuelles pertes de revenu dues aux perturbations, notamment à l’espionnage industriel, et pourrait réduire les dépenses considérables résultant de l’atténuation ad hoc des menaces. Il est probable que ces bénéfices l’emportent sur les coûts d’investissement nécessaires. La réduction de la fragmentation du marché intérieur égaliserait les conditions de concurrence entre les opérateurs. ·En ce qui concerne les États membres, cette option pourrait réduire encore le risque d’une augmentation des dépenses budgétaires consacrées à l’atténuation ad hoc des risques et des coûts supplémentaires entraînés par les cas d’urgence liés aux incidents de cybersécurité. ·En ce qui concerne les citoyens, la réponse aux incidents de cybersécurité devrait entraîner une réduction des pertes de revenus dues aux perturbations économiques.

Les niveaux renforcés de cybersécurité dans les États membres et de la capacité des entreprises et des autorités à réagir rapidement à un incident et à en mitiger les conséquences conduiront très probablement à accroître la confiance généralement accordée par les citoyens à l’économie numérique, ce qui pourrait avoir une incidence positive sur la croissance et sur les investissements. L’amélioration du niveau global de cybersécurité devrait mener à une meilleure sécurité générale et à un fonctionnement harmonieux et ininterrompu des services essentiels, qui sont cruciaux pour la société. Cette initiative pourrait également contribuer à d’autres incidences sociales, comme la baisse du niveau de cybercriminalité et du terrorisme et une meilleure protection civile. Le relèvement du niveau de préparation des entreprises et des autres organisations face aux défis posés par le cyberespace pourrait permettre d’éviter d’éventuelles pertes financières dues à des cyberattaques, et empêcher ainsi de devoir licencier des salariés. Le relèvement du niveau global de cybersécurité pourrait aussi conduire à la prévention de risques ou dommages environnementaux en cas d’attaque visant un service essentiel. Cela serait tout particulièrement valable pour les secteurs de l’énergie, de la fourniture et de la distribution d’eau et des transports. En renforçant les capacités en matière de cybersécurité, cette initiative pourrait conduire à un recours accru aux infrastructures et services de technologies de l’information et de la communication (TIC) de dernière génération, qui sont également plus durables d’un point de vue environnemental, et au remplacement d’anciennes infrastructures inefficaces et moins sûres. Cette option vise également à contribuer à la réduction du nombre de cyber-incidents coûteux, libérant ainsi des ressources pour réaliser des investissements durables. •Réglementation affûtée et simplification Cette proposition prévoit une exclusion générale des microentités et des entités de petite taille du champ d’application de la directive SRI et l’application d’un régime de surveillance ex post allégé à un grand nombre des nouvelles entités visées par le champ d’application révisé (dites «entités importantes»). Ces mesures ont pour objectif de minimiser et d’équilibrer la charge pesant sur les entreprises et les administrations publiques. De plus, cette proposition remplace le système complexe de recensement des opérateurs de services essentiels par une obligation d’application générale, et introduit un niveau plus élevé d’harmonisation des obligations de sécurité et de signalement, ce qui permettrait de réduire la charge de mise en conformité, notamment pour les entités fournissant des services transfrontaliers. Elle réduit au minimum les coûts de mise en conformité pour les PME puisque les entités sont tenues d’adopter uniquement les mesures nécessaires pour garantir un niveau de sécurité des réseaux et des systèmes d’information adapté au risque existant. •Droits fondamentaux L’Union européenne a la volonté de respecter des normes élevées de protection des droits fondamentaux. Tous les accords de partage volontaire d’informations entre les visées par la présente directive devraient être exécutés dans des environnements de confiance, dans le strict respect des règles de l’Union en matière de protection des données, notamment le règlement (UE) 2016/679 du Parlement européen et du Conseil. 4.INCIDENCE BUDGÉTAIRE Voir la fiche financière 5.AUTRES ÉLÉMENTS •Plans de mise en œuvre et modalités de suivi, d’évaluation et d’information La présente proposition prévoit un plan général de suivi et d’évaluation des incidences sur les objectifs spécifiques. La Commission sera ainsi tenue de procéder à un réexamen au minimum [54 mois] après la date d’entrée en vigueur, et de rendre compte de ses principales conclusions au Parlement européen et au Conseil. Ce réexamen sera réalisé conformément aux lignes directrices de la Commission pour une meilleure réglementation. •Explication détaillée de certaines dispositions de la proposition Cette proposition s’articule autour de plusieurs grands domaines d’action, qui sont interconnectés et ont pour objet de relever le niveau de cybersécurité dans l’Union. Objet et champ d’application (article 1er et article 2) Plus particulièrement, cette directive: a) fait obligation aux États membres d’adopter une stratégie nationale de cybersécurité, de désigner des autorités nationales compétentes, des points de contact uniques et des équipes de réponse aux incidents de sécurité informatique (CSIRT); b) dispose que les États membres définissent les obligations en matière de gestion et de signalement des risques de cybersécurité qui incombent aux entités appelées «entités essentielles» à l’annexe I et «entités importantes» à l’annexe II; c) dispose que les États membres définissent les obligations relatives au partage d’informations en matière de cybersécurité. Elle s’applique à certaines entités essentielles publiques ou privées actives dans les secteurs énumérés à l’annexe I (énergie; transports; secteur bancaire; infrastructures des marchés financiers; santé; eau potable; eaux usées; infrastructure numérique; administration publique et espace) et à certaines entités importantes actives dans les secteurs énumérés à l’annexe II (services postaux et de courrier; gestion des déchets; fabrication, production et distribution de produits chimiques; production, transformation et distribution des denrées alimentaires; fabrication et fournisseurs numériques). Les microentités et les entités de petite taille au sens de la recommandation 2003/361/CE de la Commission du 6 mai 2003 sont exclues du champ d’application de la directive, à l’exception des fournisseurs de réseaux de communications électroniques ou de services de communications électroniques accessibles au public, des prestataires de services de confiance, des registres des noms de domaines de premier niveau (top level domain(s), TLD) et de l’administration publique de ces types de domaines, ainsi que de certaines autres entités, comme le fournisseur exclusif d’un service dans un État membre. Cadres nationaux de cybersécurité (articles 5 à 11)

Les États membres sont tenus d’adopter une stratégie nationale en matière de cybersécurité qui définit les objectifs stratégiques et les mesures politiques et réglementaires appropriées, en vue de parvenir à un niveau élevé de cybersécurité et de le maintenir. La directive créé également un cadre pour la divulgation coordonnée des vulnérabilités et impose aux États membres de désigner des CSIRT qui agiront en tant qu’intermédiaires de confiance et faciliteront les interactions entre les entités effectuant le signalement et les fabricants ou les fournisseurs de produits TIC et de services TIC. L’ENISA est tenue de produire et de tenir à jour un registre européen des vulnérabilités recensant les vulnérabilités constatées. Les États membres sont tenus de mettre en place des cadres nationaux de gestion de crise dans le domaine de la cybersécurité, notamment en désignant les autorités nationales compétentes chargées de gérer les incidents et crises de grande ampleur en matière de cybersécurité. Les États membres sont également tenus de désigner une ou plusieurs autorités nationales compétentes en matière de cybersécurité, auxquelles seront confiées des missions de surveillance au titre de la présente directive ainsi qu’un point de contact national unique pour toutes les questions de cybersécurité, qui exercera une fonction de liaison pour assurer la coopération transfrontalière entre les autorités compétentes des États membres. Les États membres sont également tenus de désigner des CSIRT. Coopération (articles 12 à 16) La directive crée un groupe de coopération afin de soutenir et faciliter la coopération stratégique et l’échange d’informations entre les États membres et de renforcer la confiance. Elle établit également un réseau des CSIRT afin de contribuer au renforcement de la confiance entre les États membres et de promouvoir une coopération opérationnelle rapide et effective. Un réseau européen pour la préparation et la gestion des crises cyber par les États membres (UE-CyCLONe – Cyber Crises Liaison Organisation Network) est institué afin de contribuer à la gestion coordonnée des incidents et crises de grande ampleur en matière de cybersécurité, et de garantir l’échange régulier d’informations entre les États membres et les institutions, organes et agences de l’Union. L’ENISA est tenue de produire, en coopération avec la Commission, un rapport bisannuel sur l’état de la cybersécurité dans l’Union. La Commission est tenue de mettre en place un système d’évaluation par les pairs, permettant de soumettre les politiques de cybersécurité des États membres à un examen collégial périodique pour en contrôler l’efficacité. Obligations en matière de gestion et de signalement des risques de cybersécurité (articles 17 à 23) La directive impose aux États membres de s’assurer que les organes de direction de toutes les entités relevant de son champ d’application approuvent les mesures de gestion des risques en matière de cybersécurité adoptées respectivement par ces entités, et qu’ils suivent une formation aux questions de cybersécurité spécifiquement. Les États membres sont tenus de veiller à ce que les entités relevant du champ d’application de la directive prennent les mesures techniques et organisationnelles nécessaires et proportionnées pour gérer les risques de cybersécurité qui menacent la sécurité des réseaux et des systèmes d’information. Ils sont également tenus de veiller à ce que les entités notifient aux autorités nationales compétentes ou aux CSIRT les incidents de cybersécurité qui ont des effets significatifs sur la prestation des services qu’ils fournissent. Les registres des noms de domaines de premier niveau ainsi que les entités qui fournissent des services d’enregistrement de noms de domaines de premier niveau collectent et conservent des données d’enregistrement de noms de domaines exactes et complètes. De plus, ces entités sont tenues de donner un accès efficace aux données d’enregistrement de noms de domaines aux demandeurs d’accès légitimes. Compétence et enregistrement (articles 24 et 25) De manière générale, les entités essentielles et importantes sont réputées relever de la compétence de l’État membre dans lequel elles fournissent leurs services. Cependant, certains types d’entités (fournisseurs de services DNS, registres de noms de domaines de premier niveau, fournisseurs de services d’informatique en nuage, fournisseurs de services de centres de données et fournisseurs de réseaux de diffusion de contenu, ainsi que certains fournisseurs numériques) sont réputés relever la compétence de l’État membre dans lequel se trouve leur établissement principal dans l’Union. Cela permet de garantir que ces entités ne se retrouvent pas confrontées à une multitude d’exigences juridiques différentes alors qu’elles fournissent des services transfrontières dans une mesure particulièrement importante. L’ENISA est tenue de créer et de tenir à jour un registre de ces entités. Partage d’informations (articles 26 et 27) Les États membres adoptent des règles permettant aux entités de partager des informations en matière de cybersécurité dans le cadre d’accords spécifiques de partage d’informations en matière de cybersécurité, conformément à l’article 101 TFUE. De plus, les États membres permettent aux entités ne relevant pas du champ d’application de la présente directive de signaler, à titre volontaire, les incidents importants, les cybermenaces ou les incidents évités. Surveillance et exécution (articles 28 à 34) Les autorités compétentes sont tenues de surveiller les entités qui relèvent du champ d’application de la directive, et notamment de s’assurer qu’elles respectent les exigences en matière de sécurité et de notification des incidents. La directive établit une distinction entre un régime de surveillance ex ante pour les entités essentielles et un régime de surveillance ex post pour les entités importantes, le second nécessitant que les autorités compétentes adoptent des mesures lorsque, selon les éléments de preuve ou les indications qui leur sont communiqués, une entité importante ne respecte pas les exigences en matière de sécurité et de notification des incidents. Elle demande également aux États membres d’imposer des amendes administratives aux entités essentielles et importantes et définit le montant maximal de certaines amendes.

Les États membres sont tenus de coopérer et de se prêter mutuellement assistance si nécessaire lorsque des entités fournissent des services dans plusieurs États membres ou lorsque l’établissement principal ou le représentant d’une entité se trouve dans un certain État membre alors que ses réseaux et systèmes d’information sont situés dans un ou plusieurs autres États membres. 2020/0359 (COD) Proposition de DIRECTIVE DU PARLEMENT EUROPÉEN ET DU CONSEIL concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, abrogeant la directive (UE) 2016/1148 (Texte présentant de l’intérêt pour l’EEE) LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L’UNION EUROPÉENNE, vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 114, considérant ce qui suit: vu la proposition de la Commission européenne, après transmission du projet d’acte législatif aux parlements nationaux, vu l’avis du Comité économique et social européen, vu l’avis du Comité des régions, statuant conformément à la procédure législative ordinaire, considérant ce qui suit: (1)la directive (UE) 2016/1148 du Parlement européen et du Conseil avait pour objectif de créer des capacités en matière de cybersécurité dans toute l’Union, d’atténuer les menaces pesant sur les réseaux et les systèmes d’information servant à fournir des services essentiels dans des secteurs clés et d’assurer la continuité de ces services en cas d’incidents de cybersécurité, contribuant ainsi au fonctionnement efficace de l’économie et de la société de l’Union. (2)Depuis l’entrée en vigueur de la directive (UE) 2016/1148, des progrès significatifs ont été réalisés concernant l’amélioration du niveau de cyber-résilience de l’Union. Le réexamen de cette directive a montré qu’elle avait joué le rôle de catalyseur dans l’approche institutionnelle et réglementaire de la cybersécurité dans l’Union, ouvrant la voie à une évolution importante des mentalités. Cette directive a veillé à ce que les cadres nationaux soient achevés en définissant des stratégies nationales en matière de cybersécurité, en créant des capacités nationales et en mettant en œuvre des mesures réglementaires couvrant les infrastructures et les acteurs essentiels recensés par chacun des États membres. Elle a également contribué à la coopération au niveau de l’Union par la création du groupe de coopération et du réseau des centres de réponse aux incidents de sécurité informatique (ci-après le «réseau des CSIRT»). En dépit de ces accomplissements, le réexamen de la directive (UE) 2016/1148 a montré que certaines insuffisances intrinsèques l’empêchaient de répondre efficacement aux défis actuels et émergents liés à la cybersécurité. (3)Les réseaux et systèmes d’information sont devenus une caractéristique essentielle de la vie quotidienne en raison de la transformation numérique rapide et de l’interconnexion de la société, notamment dans le cadre des échanges transfrontières. Cette évolution a conduit à une expansion du paysage des menaces qui pèsent sur la cybersécurité et à l’émergence de nouveaux défis, qui nécessitent des réponses adaptées, coordonnées et novatrices dans tous les États membres. Le nombre, l’ampleur, la sophistication, la fréquence et les effets des incidents de cybersécurité ne cessent de croître et représentent une menace considérable pour le fonctionnement des réseaux et des systèmes d’information. En conséquence, les incidents de cybersécurité peuvent nuire à la poursuite des activités économiques sur le marché intérieur, entraîner des pertes financières importantes, entamer la confiance des utilisateurs et causer un préjudice majeur à l’économie et la société de l’Union. La préparation à la cybersécurité et l’effectivité de la cybersécurité sont dès lors plus importantes que jamais pour le bon fonctionnement du marché intérieur. (4)La base juridique de la directive (UE) 2016/1148 était l’article 114 du traité sur le fonctionnement de l’Union européenne (TFUE), dont l’objectif est la création et le fonctionnement du marché intérieur par l’amélioration de mesures pour le rapprochement des règles nationales. Les exigences en matière de cybersécurité imposées aux entités fournissant des services ou des activités pertinentes d’un point de vue économique varient grandement d’un État membre à l’autre en ce qui concerne le type d’exigence, le niveau de précision et la méthode de surveillance: ces disparités entraînent des coûts supplémentaires et créent des difficultés pour les entreprises qui fournissent des biens ou des services en mode transfrontière. Les exigences imposées par un État membre et qui diffèrent des exigences imposées par un autre État membre, voire qui les contredisent, peuvent avoir une incidence considérable sur ces activités transfrontières. De surcroît, il est probable qu’une conception ou une mise en œuvre sous-optimales des normes de cybersécurité dans un État membre ait des répercussions sur le niveau de cybersécurité d’un autre État membre, notamment en raison des échanges transfrontières intenses. Le réexamen de la directive (UE) 2016/1148 a montré l’existence de fortes divergences dans sa mise en œuvre par les États membres, notamment eu égard à son champ d’application, dont la délimitation a dans une grande mesure été laissée à l’appréciation des États membres. La directive (UE) 2016/1148 laissait également un large pouvoir d’appréciation aux États membres en ce qui concerne la mise en œuvre des obligations qu’elle prévoyait en matière de sécurité et de signalement des incidents: partant, ces obligations ont été mises en œuvre de manières considérablement différentes au niveau national. Des divergences de mise en œuvre similaires ont été constatées s’agissant des dispositions de cette directive relatives à la surveillance et à l’application. (5)L’ensemble de ces divergences donnent lieu à une fragmentation du marché intérieur et sont susceptibles de produire un effet nuisible sur le fonctionnement de celui-ci, affectant plus particulièrement la fourniture transfrontière de services et le niveau de cyber-résilience en raison de l’adoption de normes différentes. La présente directive a pour objectif de supprimer ces divergences importantes entre les États membres, notamment en définissant des règles minimales concernant le fonctionnement d’un cadre réglementaire coordonné, en établissant des mécanismes permettant une coopération efficace entre les autorités compétentes de chaque État membre, en mettant à jour la liste des secteurs et activités soumis à des obligations en matière de cybersécurité, et en prévoyant des recours et des sanctions effectifs qui sont essentiels à l’application effective de ces obligations. Il convient, par conséquent, que la directive (UE) 2016/1148 soit abrogée et remplacée par la présente directive. (6)La présente directive ne modifie pas la possibilité donnée à chaque État membre d’adopter les mesures nécessaires pour garantir la protection des intérêts essentiels de sa sécurité, assurer l’action publique et la sécurité publique et permettre la détection d’infractions pénales et les enquêtes et poursuites en la matière, dans le respect du droit de l’Union. Conformément à l’article 346 du TFUE, aucun État membre n’est tenu de fournir des renseignements dont la divulgation serait contraire aux intérêts essentiels de sa sécurité intérieure. À cet égard, les règles nationales et de l’Union visant à protéger les informations classifiées, les accords de non-divulgation et les accords informels de non-divulgation, tels que le protocole d’échange d’information «Traffic Light Protocol», sont pertinentes.

(7)Avec l’abrogation de la directive (UE) 2016/1148, le champ d’application par secteur devrait être étendu à une plus grande partie de l’économie au regard des considérations exposées aux considérants 4 à 6. Les secteurs couverts par la directive (UE) 2016/1148 devraient dès lors être étendus pour assurer une couverture complète des secteurs et des services revêtant une importance cruciale pour les activités économiques et sociales essentielles au sein du marché intérieur. Les règles ne devraient pas être différentes selon que les entités sont des opérateurs de services essentiels ou des fournisseurs de services numériques: cette différenciation s’est avérée obsolète puisqu’elle ne reflète pas l’importance réelle des secteurs ou des services pour les activités économiques et sociales sur le marché intérieur. (8)Conformément à la directive (UE) 2016/1148, les États membres étaient chargés de déterminer quelles entités remplissaient les critères établis pour être qualifiées d’opérateurs de services essentiels (ci-après le «processus d’identification»). Afin d’éliminer les divergences importantes entre les États membres à cet égard et de garantir la sécurité juridique concernant les exigences de gestion des risques et les obligations de signalement pour toutes les entités concernées, il convient d’établir un critère uniforme déterminant les entités qui relèvent du champ d’application de la présente directive. Ce critère devrait consister en l’application de la règle du plafond, en vertu de laquelle toutes les entreprises de taille moyenne et de grande taille, au sens de la recommandation 2003/361/CE de la Commission, actives dans les secteurs ou fournissant le type de services couverts par la présente directive relèvent de son champ d’application. Les États membres ne devraient pas être tenus de dresser la liste des entités qui remplissent ce critère d’application générale portant sur la taille. (9)Toutefois, les microentités ou les entités de petite taille qui remplissent certains critères indiquant qu’elles jouent un rôle essentiel pour les économies ou les sociétés des États membres ou pour des secteurs ou des types de services particuliers devraient également être couvertes par la présente directive, et les États membres devraient être chargés d’établir une liste de ces entités, et de la transmettre à la Commission. (10)La Commission, en coopération avec le groupe de coopération, peut publier des lignes directrices concernant la mise en œuvre des critères applicables aux microentreprises et aux entreprises de petite taille. (11)En fonction du secteur dans lequel elles sont actives ou du type de services qu’elles fournissent, les entités qui relèvent du champ d’application de la présente directive devraient être classées en deux catégories: entités essentielles et entités importantes. Cette catégorisation devrait tenir compte du niveau de criticité du secteur ou du type de services, ainsi que du niveau de dépendance des autres secteurs ou types de services. Les entités tant essentielles qu’importantes devraient être soumises aux mêmes exigences en matière de gestion des risques et obligations de signalement. Les régimes de surveillance et de sanction applicables à ces deux catégories d’entités devraient être différenciés afin de garantir un juste équilibre entre les exigences et les obligations, d’une part, et la charge administrative qui découle du contrôle de la conformité, d’autre part. (12)La législation et les instruments sectoriels peuvent contribuer à garantir des niveaux élevés de cybersécurité tout en tenant pleinement compte du caractère spécifique et complexe de ces secteurs. Lorsqu’un acte juridique sectoriel de l’Union impose aux entités essentielles ou importantes d’adopter des mesures de gestion des risques en matière de cybersécurité ou de notifier des incidents ou des cybermenaces importantes et que cette obligation produit un effet au moins équivalent à celui des obligations prévues par la présente directive, il convient d’appliquer ces dispositions sectorielles, y compris en matière de surveillance et d’application. La Commission peut publier des lignes directrices relatives à la mise en œuvre de la lex specialis. La présente directive n’empêche pas l’adoption d’actes sectoriels de l’Union supplémentaires prévoyant des mesures de gestion des risques en matière de cybersécurité et la notification des incidents. La présente directive est sans préjudice des compétences de mise en œuvre existantes qui ont été conférées à la Commission dans un certain nombre de secteurs, notamment les transports et l’énergie. (13)Le règlement XXXX/XXXX du Parlement européen et du Conseil devrait être considéré comme un acte juridique sectoriel de l’Union en lien avec la présente directive en ce qui concerne les entités du secteur financier. Les dispositions du règlement XXXX/XXXX portant sur les mesures de gestion des risques concernant les technologies de l’information et de la communication (TIC), la gestion des risques liés aux TIC et notamment le signalement des incidents, ainsi que sur le test de la résilience opérationnelle numérique, les accords de partage d’informations et les risques liés aux tiers en matière de TIC devraient s’appliquer au lieu de celles prévues par la présente directive. Les États membres ne devraient par conséquent pas appliquer les dispositions de la présente directive concernant la gestion des risques de cybersécurité et les obligations de signalement, le partage d’informations et la surveillance et l’application aux entités financières couvertes par le règlement XXXX/XXXX. Dans le même temps, il est important de conserver une relation forte et de maintenir le partage d’informations avec le secteur financier dans le cadre de la présente directive. À cet effet, le règlement XXXX/XXXX permet à l’ensemble des autorités de surveillance financière, des autorités européennes de surveillance (AES) pour le secteur financier et des autorités nationales compétentes au titre du règlement XXXX/XXXX de participer aux discussions sur les politiques stratégiques et aux travaux techniques du groupe de coopération, ainsi que d’échanger des informations et de coopérer avec les points de contact uniques désignés en vertu de la présente directive et avec les CSIRT nationaux. Les autorités compétentes en vertu du règlement XXXX/XXXX devraient également communiquer les détails des incidents importants liés aux TIC aux points de contact uniques désignés en vertu de la présente directive. De plus, les États membres devraient continuer de couvrir le secteur financier dans leurs stratégies de cybersécurité et les CSIRT nationaux peuvent inclure le secteur financier dans leurs activités. (14)Vu les liens qui existent entre la cybersécurité et la sécurité physique des entités, il convient d’assurer la cohérence des approches entre la directive (UE) XXXX/XXXX du Parlement européen et du Conseil et la présente directive. À cet effet, les États membres devraient veiller à ce que les entités critiques et les entités équivalentes, au titre de la directive (UE) XXXX/XXXX, soient considérées comme des entités essentielles en vertu de la présente directive. Les États membres devraient également veiller à ce que leurs stratégies de cybersécurité prévoient un cadre politique pour une coordination renforcée entre l’autorité compétente en vertu de la présente directive et l’autorité compétente en vertu de la directive (UE) XXXX/XXXX dans le cadre du partage d’informations relatives aux incidents et aux cybermenaces ainsi que de l’exercice des tâches de surveillance. Les autorités en vertu des deux directives devraient coopérer et échanger des informations, notamment en ce qui concerne le recensement des entités critiques, les cybermenaces, les risques en matière de cybersécurité, les incidents affectant les entités critiques ainsi que les mesures de cybersécurité adoptées par les entités critiques. Sur demande des autorités compétentes au titre de la directive (UE) XXX/XXX, les autorités compétentes au titre de la présente directive devraient être autorisées à exercer leurs pouvoirs de surveillance et d’exécution sur une entité essentielle définie comme critique. Les deux autorités devraient coopérer et échanger des informations à cette fin. (15)Le fait de maintenir et préserver un système de noms de domaines (DNS) fiable, résilient et sécurisé constitue un facteur crucial pour la protection de l’intégrité d’internet et est essentiel à son fonctionnement continu et stable, dont dépendent l’économie numérique et la société. Par conséquent, la présente directive devrait s’appliquer à tous les fournisseurs de services DNS, y compris les opérateurs de serveurs racines de noms de domaines, aux serveurs de noms de domaines de premier niveau (TLD), aux serveurs d’autorité pour les noms de domaines et aux résolveurs récursifs. (16)Les services d’informatique en nuage devraient couvrir les services qui permettent l’accès sur demande et l’accès large à distance à un ensemble modulable et variable de ressources informatiques distribuées et pouvant être partagées. Ces ressources informatiques comprennent des ressources telles que les réseaux, les serveurs ou les autres infrastructures, les systèmes d’exploitation, les logiciels, le stockage, les applications et les services. Les modèles de déploiement de l’informatique en nuage devraient inclure les modèles privés, communautaires, publics et hybrides en nuage. Les services et modèles de déploiement susmentionnés revêtent le même sens que celui des conditions de service et des modèles de déploiement défini dans la norme ISO/CEI 17788:2014. La capacité des utilisateurs de l’informatique en nuage de s’autofournir unilatéralement des capacités informatiques, comme du temps de serveur ou du stockage en réseau, sans aucune intervention humaine de la part du fournisseur de service d’informatique en nuage pourrait être décrite comme une gestion sur demande. Le terme «accès large à distance» est utilisé pour décrire le fait que les capacités en nuage sont fournies sur le réseau et que l’accès à celles-ci se fait par des mécanismes encourageant le recours à des plateformes clients légères ou lourdes disparates (y compris les téléphones mobiles, les tablettes, les ordinateurs portables et les postes de travail). Le terme «modulable» renvoie aux ressources informatiques qui sont attribuées d’une manière souple par le fournisseur de services en nuage, indépendamment de la localisation géographique de ces ressources, pour gérer les fluctuations de la demande. Les termes «ensemble variable» sont utilisés pour décrire les ressources informatiques qui sont mobilisées et libérées en fonction de la demande pour pouvoir augmenter ou réduire rapidement les ressources disponibles en fonction de la charge de travail. Les termes «pouvant être partagées» sont utilisés pour décrire les ressources informatiques qui sont mises à disposition de nombreux utilisateurs qui partagent un accès commun au service, le traitement étant effectué séparément pour chaque utilisateur bien que le service soit fourni à partir du même équipement électronique. Le terme «distribué» est utilisé pour décrire les ressources informatiques qui se trouvent sur des ordinateurs ou des appareils en réseau différents, qui communiquent et se coordonnent par transmission de messages. (17)Vu l’émergence de technologies innovantes et de nouveaux modèles commerciaux, de nouveaux modèles de déploiement et de service d’informatique en nuage devraient apparaître sur le marché en cause en réaction aux besoins changeants des clients. Dans un tel contexte, les services d’informatique en nuage peuvent être fournis sous une forme extrêmement distribuée, toujours plus près de l’endroit où les données sont générées ou collectées, entraînant ainsi une transition du modèle traditionnel vers un modèle très distribué (le traitement des données à la périphérie, ou «edge computing»). (18)Les services proposés par les fournisseurs de services de centre de données ne sont pas toujours fournis sous la forme de service d’informatique en nuage. En conséquence, les centres de données ne font pas toujours partie d’une infrastructure d’informatique en nuage. Afin de gérer l’ensemble des risques qui menacent la sécurité des réseaux et des systèmes d’information, la présente directive devrait également couvrir les fournisseurs de services de centres de données qui ne sont pas des services d’informatique en nuage. Aux fins de la présente directive, le terme «service de centre de données» devrait couvrir la fourniture d’un service qui englobe les structures, ou les groupes de structures, dédiées à l’hébergement, l’interconnexion et l’exploitation centralisés des équipements de traitement de l’information et de réseau fournissant des services de stockage, de traitement et de transport des données, ainsi que l’ensemble des installations et des infrastructures de distribution d’électricité et de contrôle environnemental. Le terme «service de centre de données» ne s’applique pas aux centres de données internes propres à une entreprise et exploités pour les besoins de l’entité concernée. (19)Les fournisseurs de services postaux au sens de la directive 97/67/CE du Parlement européen et du Conseil, ainsi que les fournisseurs de services de livraison express ou de messagerie, devraient être soumis à la présente directive s’ils fournissent au moins l’une des étapes de la chaîne postale de livraison, notamment la levée, le tri ou la distribution, y compris les services d’enlèvement. Les services de transport qui ne sont pas réalisés en lien avec l’une de ces étapes devraient sortir de la portée des services postaux. (20)Ces interdépendances croissantes découlent d’un réseau de fourniture de services de plus en plus transfrontière et interdépendant, qui utilise des infrastructures essentielles dans toute l’Union dans les secteurs de l’énergie, des transports, des infrastructures numériques, de l’eau potable, des eaux usées, de la santé, de certains aspects de l’administration publique et de l’espace, dans la mesure où la fourniture de certains services dépendant de structures terrestres détenues, gérées et exploitées par des États membres ou par des parties privées est concernée, ce qui ne couvre donc pas les infrastructures détenues, gérées ou exploitées par ou au nom de l’Union dans le cadre de ses programmes spatiaux. Ces interdépendances signifient que toute perturbation, même initialement limitée à une entité ou un secteur, peut produire des effets en cascade plus larges, entraînant éventuellement des incidences négatives durables et de grande ampleur pour la fourniture de services dans l’ensemble du marché intérieur. La pandémie de COVID-19 a mis en évidence la vulnérabilité de nos sociétés de plus en plus interdépendantes face à des risques peu probables. (21)Compte tenu des divergences entre les structures de gouvernance nationales et en vue de sauvegarder les accords existants au niveau sectoriel ou les autorités de surveillance et de régulation de l’Union, les États membres devraient pouvoir désigner plusieurs autorités nationales compétentes chargées d’accomplir les tâches liées à la sécurité des réseaux et des systèmes d’information des entités essentielles et importantes dans le cadre de la présente directive. Les États membres devraient pouvoir attribuer cette mission à une autorité existante. (22)Afin de faciliter la coopération et la communication transfrontalières entre les autorités et pour permettre la mise en œuvre effective de la présente directive, il est nécessaire que chaque État membre désigne un point de contact national unique chargé de coordonner les tâches liées à la sécurité des réseaux et des systèmes d’information et de la coopération transfrontalière au niveau de l’Union. (23)Les autorités compétentes ou les CSIRT devraient recevoir les notifications d’incidents provenant des entités de manière efficace et efficiente. Les points de contact uniques devraient être chargés de transmettre les notifications d’incidents aux points de contact uniques des autres États membres touchés. Au niveau des autorités des États membres, afin de garantir l’existence d’un seul point d’entrée dans chaque État membre, les points de contact uniques devraient également être les destinataires des informations pertinentes portant sur les incidents concernant les entités du secteur financier fournies par les autorités compétentes au titre du règlement XXXX/XXXX, qu’ils devraient pouvoir transmettre, le cas échéant, aux autorités nationales compétentes ou aux CSIRT en vertu de la présente directive. (24)Les États membres devraient disposer de moyens suffisants, sur les plans technique et organisationnel, pour prévenir et détecter les incidents et risques liés aux réseaux et systèmes d’information et prendre les mesures d’intervention et d’atténuation nécessaires. Les États membres devraient dès lors veiller à disposer de CSIRT, également connus sous la dénomination de centres de réponse aux urgences informatiques (CERT), opérationnels et conformes aux exigences essentielles afin de garantir l’existence de moyens effectifs et compatibles pour gérer les incidents et les risques et d’assurer une coopération efficace au niveau de l’Union. Afin d’améliorer la relation de confiance entre les entités et les CSIRT, dans les cas où un CSIRT fait partie de l’autorité compétente, les États membres devraient envisager de mettre en place une séparation fonctionnelle entre d’une part les tâches opérationnelles assurées par les CSIRT, notamment en lien avec le partage d’informations et l’assistance aux entités, et d’autre part les activités de surveillance des autorités compétentes. (25)En ce qui concerne les données à caractère personnel, les CSIRT devraient être en mesure de réaliser, conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil relatif aux données à caractère personnel, au nom et sur demande d’une entité en vertu de la présente directive, une analyse des réseaux et des systèmes d’information utilisés pour la fourniture de leurs services. Les États membres devraient avoir pour but d’assurer l’égalité du niveau des capacités techniques de tous les CSIRT sectoriels. Les États membres peuvent solliciter l’assistance de l’agence européenne pour la cybersécurité (ENISA) pour la mise en place des CSIRT nationaux. (26)Compte tenu de l’importance de la coopération internationale en matière de cybersécurité, les CSIRT devraient pouvoir participer à des réseaux de coopération internationaux en plus du réseau des CSIRT institué par la présente directive.

(27)Conformément à l’annexe de la recommandation (UE) 2017/1584 de la Commission sur la réaction coordonnée aux incidents et crises de cybersécurité majeurs («plan d’action»), un incident majeur signifie un incident qui frappe plusieurs États membres ou qui provoque des perturbations dépassant les capacités d’action du seul État membre concerné. En fonction de leur cause et de leurs conséquences, les incidents majeurs peuvent dégénérer et se transformer en crises à part entière, empêchant le bon fonctionnement du marché intérieur. Vu la large portée et, dans la plupart des cas, la nature transfrontalière de ces incidents, les États membres et les institutions, organes et agences compétents de l’Union devraient coopérer au niveau technique, opérationnel et politique afin de coordonner correctement la réaction dans toute l’Union. (28)Puisque l’exploitation des vulnérabilités dans les réseaux et les systèmes d’information peut causer des perturbations et des dommages considérables, l’identification et la correction rapide de ces vulnérabilités est un facteur important de la réduction du risque en matière de cybersécurité. Les entités qui mettent au point de tels systèmes devraient dont établir des procédures appropriées pour gérer les vulnérabilités découvertes. Puisque les vulnérabilités sont souvent découvertes et signalées (divulguées) par des tiers (les entités effectuant le signalement), le fabricant de produits ou le fournisseur de services TIC devraient également mettre en place les procédures nécessaires pour recevoir les informations relatives aux vulnérabilités communiquées par les tiers. À cet égard, les normes internationales ISO/CEI 30111 et ISO/CEI 29417 fournissent des orientations sur la gestion des vulnérabilités et la divulgation des vulnérabilités respectivement. En ce qui concerne la divulgation des vulnérabilités, la coordination entre les entités effectuant le signalement et les fabricants ou les fournisseurs de produits ou de services TIC est particulièrement importante. La divulgation coordonnée des vulnérabilités consiste en un processus structuré dans lequel les vulnérabilités sont signalées aux organisations de manière à leur donner la possibilité de diagnostiquer la vulnérabilité et d’y remédier avant que des informations détaillées à ce sujet soient divulguées à des tiers ou au public. La divulgation coordonnée des vulnérabilités devrait également comprendre la coordination entre l’entité effectuant le signalement et l’organisation en ce qui concerne le calendrier des corrections et la publication des vulnérabilités. (29)Les États membres devraient par conséquent adopter des mesures destinées à faciliter la divulgation coordonnée des vulnérabilités en créant une politique nationale pertinente. À cet égard, les États membres devraient désigner un CSIRT pour jouer le rôle de «coordinateur» et agir comme un intermédiaire entre les entités effectuant le signalement et les fabricants ou les fournisseurs de produits ou de services TIC lorsque cela est nécessaire. Les missions du CSIRT agissant en tant que coordinateur devraient notamment impliquer d’identifier et de contacter les entités concernées, d’apporter une assistance aux entités effectuant le signalement, de négocier des délais de divulgation et de gérer les vulnérabilités qui touchent plusieurs organisations (divulgation de vulnérabilité multipartite). Lorsque les vulnérabilités touchent plusieurs fabricants ou fournisseurs de produits ou services TIC établis dans plusieurs États membres, les CSIRT désignés par chaque État membre touché devraient coopérer au sein du réseau des CSIRT. (30)L’accès en temps utile à des informations correctes relatives aux vulnérabilités touchant les produits et services TIC contribue à une meilleure gestion des risques en matière de cybersécurité. À cet égard, les sources d’informations publiquement accessibles concernant les vulnérabilités sont des outils importants pour les entités et leurs utilisateurs, mais également pour les autorités nationales compétentes et les CSIRT. C’est pour cette raison que l’ENISA devrait mettre en place un registre des vulnérabilités dans lequel les entités essentielles et importantes et leurs fournisseurs, ainsi que les entités qui ne relèvent pas du champ d’application de la présente directive, peuvent, à titre volontaire, divulguer les vulnérabilités et fournir des informations à cet égard afin de permettre aux utilisateurs de prendre les mesures d’atténuation appropriées. (31)Bien que des registres ou des bases de données similaires sur les vulnérabilités existent, ils sont hébergés et gérés par des entités qui ne sont pas établies dans l’Union. Un registre européen des vulnérabilités géré par l’ENISA améliorerait la transparence du processus de publication avant la divulgation officielle d’une vulnérabilité et la résilience en cas de perturbation ou d’interruption de la fourniture de services similaires. Afin d’éviter la duplication des efforts déployés et de viser la complémentarité dans la mesure du possible, l’ENISA devrait étudier la possibilité de conclure des accords de coopération structurés avec les registres existants sur le territoire de pays tiers. (32)Tous les deux ans, le groupe de coopération devrait élaborer un programme de travail qui inclurait les actions qu’il doit réaliser afin de mettre en œuvre ses objectifs et ses tâches. Le calendrier du premier programme adopté au titre de la présente directive devrait être aligné sur le calendrier du dernier programme adopté au titre de la directive (UE) 2016/1148 afin d’éviter de perturber les travaux du groupe. (33)Lorsqu’il met au point les documents d’orientation, le groupe de coopération devrait toujours: dresser l’état des lieux des solutions et des expériences nationales, évaluer les effets produits par les éléments livrables du groupe de coopération sur les approches nationales, discuter des défis en matière de mise en œuvre et formuler des recommandations spécifiques auxquelles il convient de répondre par une meilleure application des règles existantes. (34)Le groupe de coopération devrait conserver sa forme de forum flexible et continuer d’être en mesure de réagir aux priorités politiques et aux difficultés nouvelles et en évolution, tout en tenant compte de la disponibilité des ressources. Il devrait régulièrement organiser des réunions conjointes avec les parties intéressées privées de toute l’Union en vue de discuter des activités menées par le groupe et de recueillir des informations sur les nouveaux défis politiques. Afin d’améliorer la coopération au niveau de l’Union, le groupe devrait envisager d’inviter les organes et agences de l’Union participant à la politique de cybersécurité, comme le Centre européen de lutte contre la cybercriminalité (EC3), l’Agence de l’Union européenne pour la sécurité aérienne (AESA) et l’Agence de l’Union européenne pour le programme spatial (EUSPA), à participer à ses travaux. (35)Les autorités compétentes et les CSIRT devraient pouvoir participer aux programmes d’échange d’agents provenant d’autres États membres afin d’améliorer la coopération. Elles devraient prendre les mesures nécessaires pour que les agents d’autres États membres puissent jouer un rôle effectif dans les activités de l’autorité compétente hôte. (36)L’Union devrait, conformément à l’article 218 du traité sur le fonctionnement de l’Union européenne et lorsque cela est pertinent, conclure, avec des pays tiers ou des organisations internationales, des accords internationaux qui permettent et organisent leur participation à certaines activités du groupe de coopération et du réseau des CSIRT. De tels accords devraient assurer un niveau suffisant de protection des données. (37)Les États membres devraient contribuer à la création du cadre de l’Union européenne pour la réaction aux crises de cybersécurité défini dans la recommandation (UE) 2017/1584 via les réseaux de coopération existants, notamment le réseau européen d’organisations de liaison en cas de crises de cybersécurité (UE - CyCLONe), le réseau des CSIRT et le groupe de coopération. EU-CyCLONe et le réseau des CSIRT devraient coopérer sur la base de modalités de procédure définissant les conditions de cette coopération. Le règlement intérieur d’UE-CyCLONe devrait préciser plus en détail les modalités selon lesquelles le réseau devrait fonctionner, y compris, mais sans s’y limiter, les rôles, les modes de coopération, les interactions avec les autres acteurs pertinents et les modèles de partage d’informations, ainsi que les moyens de communication. Pour la gestion des crises au niveau de l’Union, les parties concernées devraient s’appuyer sur le dispositif intégré pour une réaction au niveau politique dans les situations de crise (IPCR). La Commission devrait avoir recours au processus intersectoriel de premier niveau ARGUS pour la coordination en cas de crise. Si la crise comporte d’importantes implications liées à la politique extérieure ou à la politique de sécurité et de défense commune (PSDC), le système de réponse aux crises (SRC) du Service européen pour l’action extérieure (SEAE) devrait être activé. (38)Aux fins de la présente directive, le terme «risque» devrait faire référence au potentiel de perte ou de perturbation causé par un incident de cybersécurité et devrait être exprimé comme la combinaison de l’ampleur de cette perte ou de cette perturbation et de la probabilité qu’un tel incident se produise. (39)Aux fins de la présente directive, le terme «incidents évités» devrait faire référence à un événement qui aurait potentiellement pu causer des dommages, mais dont la réalisation totale a pu être empêchée. (40)Parmi les mesures de gestion des risques devraient figurer celles permettant de déterminer tous les risques d’incidents, de prévenir, de repérer et de gérer les incidents et d’en atténuer les effets. La sécurité des réseaux et des systèmes d’information devrait inclure la sécurité des données stockées, transmises et traitées. (41)Pour éviter que la charge financière et administrative imposée aux entités essentielles et importantes ne soit excessive, il convient que les exigences en matière de gestion des risques de cybersécurité soient proportionnées aux risques que présentent le réseau et le système d’information concernés, compte tenu de l’état le plus avancé de la technique en ce qui concerne ces mesures. (42)Les entités essentielles et importantes devraient garantir la sécurité des réseaux et des systèmes d’information qu’elles utilisent dans le cadre de leurs activités. Il s’agit principalement de réseaux et de systèmes d’information privés qui sont gérés par leurs propres services informatiques ou dont la gestion de la sécurité a été sous-traitée. Les exigences en matière de gestion des risques de cybersécurité et de signalement prévues par la présente directive devraient s’appliquer aux entités essentielles et importantes que la maintenance de leurs réseaux et systèmes d’information soit assurée en interne ou qu’elle soit sous-traitée. (43)Il est tout particulièrement important de répondre aux risques de cybersécurité découlant de la chaîne d’approvisionnement d’une entité et de ses relations avec ses fournisseurs vu la prévalence d’incidents dans le cadre desquels les entités ont été victimes de cyberattaques et des acteurs malveillants ont réussi à compromettre la sécurité des réseaux et systèmes d’information d’une entité en exploitant les vulnérabilités touchant les produits et les services de tiers. Les entités devraient donc évaluer et prendre en compte la qualité globale des produits et des pratiques de cybersécurité de leurs fournisseurs et fournisseurs de services, y compris de leurs procédures de développement sécurisées. (44)Parmi tous les fournisseurs de services, les fournisseurs de services gérés de sécurité dans des domaines comme la réaction aux incidents, les tests de pénétration, les audits de sécurité et le conseil jouent un rôle particulièrement important s’agissant de soutenir les efforts mis en œuvre par les entités pour détecter les incidents et y réagir. Ces fournisseurs de services gérés de sécurité ont également été eux-mêmes la cible de cyberattaques et, du fait de leur grande intégration dans les activités des opérateurs, ils représentent un risque considérable en matière de cybersécurité. Les entités doivent donc faire preuve d’une diligence renforcée lorsqu’elles sélectionnent leurs fournisseurs de services gérés de sécurité. (45)Les entités devraient également répondre aux risques de cybersécurité découlant de leurs interactions et de leurs relations avec d’autres parties intéressées dans le cadre d’un écosystème plus large. Plus particulièrement, les entités devraient prendre des mesures appropriées pour veiller à ce que leur coopération avec les institutions universitaires et de recherche se déroule dans le respect de leurs politiques en matière de cybersécurité et des bonnes pratiques concernant l’accès et la diffusion d’informations en toute sécurité de manière générale et la protection des droits de propriété intellectuelle de manière spécifique. De même, vu l’importance et la valeur que représentent les données pour leurs activités, les entités devraient prendre toutes les mesures de cybersécurité appropriées lorsqu’elles ont recours à des services de transformation et d’analyse des données fournis par des tiers. (46)Afin de mieux répondre aux risques principaux liés aux chaînes d’approvisionnement et d’aider les entités actives dans les secteurs couverts par la présente directive à bien gérer les risques de cybersécurité liés aux chaînes d’approvisionnement et aux fournisseurs, le groupe de coopération impliquant les autorités nationales compétentes, en collaboration avec la Commission et l’ENISA, devrait réaliser des évaluations coordonnées sectorielles des risques liés aux chaînes d’approvisionnement, comme cela a été le cas pour les réseaux 5G suite à la recommandation (UE) 2019/534 sur la cybersécurité des réseaux 5G, dans le but de déterminer, secteur par secteur, les services, systèmes ou produits TIC critiques, les menaces pertinentes et les vulnérabilités.

(47)Les évaluations des risques liés aux chaînes d’approvisionnement, à la lumière des caractéristiques du secteur concerné, devraient tenir compte des facteurs techniques et, le cas échéant, non techniques, y compris ceux définis dans la recommandation (UE) 2019/534, dans l’évaluation coordonnée à l’échelle de l’Union des risques concernant la sécurité des réseaux 5G et dans la boîte à outils de l’UE pour la cybersécurité 5G convenue par le groupe de coopération. Afin de déterminer quelles chaînes d’approvisionnement devraient être soumises à une évaluation coordonnée des risques, il convient de tenir compte des critères suivants: i) la mesure dans laquelle les entités essentielles et importantes utilisent des services, systèmes ou produits TIC critiques spécifiques et en dépendent; ii) la pertinence des services, systèmes ou produits TIC critiques spécifiques pour la réalisation des fonctions sensibles ou critiques, notamment le traitement de données à caractère personnel; iii) la disponibilité d’autres services, systèmes ou produits TIC; iv) la résilience de la chaîne d’approvisionnement générale des services, systèmes ou produits TIC face aux événements perturbateurs et v) concernant les services, systèmes ou produits TIC émergents, leur potentielle importance à l’avenir pour les activités des entités. (48)Afin de rationaliser les obligations juridiques imposées aux fournisseurs de réseaux de communications électroniques publics ou de services de communications électroniques accessibles au public et aux prestataires de services de confiance en lien avec la sécurité de leurs réseaux et systèmes d’information, ainsi que de permettre à ces entités et à leurs autorités compétentes respectives de bénéficier du cadre juridique établi par la présente directive (y compris la désignation du CSIRT chargé de la gestion des risques et des incidents, la participation des autorités et organes compétents aux travaux du groupe de coopération et le réseau des CSIRT), il convient de les inclure dans le champ d’application de la présente directive. Il convient donc d’abroger les dispositions correspondantes prévues par le règlement (UE) nº 910/2014 du Parlement européen et du Conseil et par la directive (UE) 2018/1972 du Parlement européen et du Conseil portant sur l’imposition d’exigences en matière de sécurité et de notification à ce type d’entités. Les règles relatives aux obligations de signalement devraient être sans préjudice du règlement (UE) 2016/679 et de la directive 2002/58/CE du Parlement européen et du Conseil. (49)Lorsque cela est approprié et afin d’éviter toute perturbation inutile, les autorités compétentes chargées de la surveillance et de l’application aux fins de la présente directive devraient continuer d’utiliser les lignes directrices nationales et les législations nationales existantes adoptées en vue de la transposition des règles portant sur les mesures de sécurité prévues par l’article 40, paragraphe 1, de la directive (UE) 2018/1972 ainsi que des exigences prévues par l’article 40, paragraphe 2, de cette directive concernant les paramètres liés à l’importance d’un incident. (50)Étant donné l’importance croissante des services de communications interpersonnelles non fondés sur la numérotation, il convient de veiller à ce que ceux-ci soient également soumis à des exigences de sécurité appropriées au regard de leur nature spécifique et de leur importance économique. Les fournisseurs de tels services devraient par conséquent également garantir un niveau de sécurité des réseaux et des systèmes d’information correspondant au risque encouru. Étant donné que les fournisseurs de services de communications interpersonnelles non fondés sur la numérotation n’exercent normalement pas de contrôle effectif sur la transmission de signaux sur les réseaux, le degré de risque pour ces services peut être considéré, à certains égards, comme étant inférieur à ce qu’il est pour les services de communications électroniques traditionnels. Il en va de même pour les services de communications interpersonnelles fondés sur la numérotation et qui n’exercent aucun contrôle effectif sur la transmission de signaux. (51)Le marché intérieur dépend plus que jamais du fonctionnement d’internet. Les services de la quasi-totalité des entités essentielles et importantes dépendent de services fournis sur internet. Afin d’assurer la prestation harmonieuse des services fournis par les entités essentielles et importantes, il est important que les réseaux de communications électroniques publics, comme les dorsales internet ou les câbles de communication sous-marins, disposent de mesures de cybersécurité appropriées et signalent les incidents qui les concernent. (52)Lorsque cela est approprié, les entités devraient informer les destinataires de leurs services des menaces importantes et considérables, ainsi que des mesures qu’ils peuvent prendre pour atténuer le risque qui en résulte pour eux. L’obligation qui est faite aux entités d’informer les destinataires de ces menaces ne devrait pas les dispenser de l’obligation de prendre immédiatement, à leurs frais, les mesures appropriées pour prévenir ou remédier à toute cybermenace pour la sécurité et pour rétablir le niveau normal de sécurité du service. Informer les destinataires au sujet des menaces pour la sécurité devrait être gratuit. (53)Plus particulièrement, il convient que les fournisseurs de réseaux de communications électroniques publics ou de services de communications électroniques accessibles au public informent les destinataires des services des cybermenaces particulières et importantes pour la sécurité et des mesures qu’ils peuvent prendre pour sécuriser leurs communications, par exemple en recourant à des types spécifiques de logiciels ou de techniques de chiffrement. (54)Afin de préserver la sécurité des réseaux et services de communications électroniques, il convient d’encourager l’utilisation du chiffrement, notamment du chiffrement de bout en bout, voire si nécessaire de l’imposer, pour les fournisseurs de ces services et réseaux, conformément aux principes de sécurité et de respect de la vie privée par défaut et dès la conception aux fins de l’article 18. Il convient de concilier l’utilisation du chiffrement de bout en bout avec les pouvoirs dont disposent les États membres pour garantir la protection de leurs intérêts essentiels de sécurité et de la sécurité publique et pour permettre la détection d’infractions pénales et les enquêtes et poursuites en la matière, dans le respect du droit de l’Union. Les solutions pour un accès légal aux informations contenues dans les communications chiffrées de bout en bout devraient préserver l’efficacité du cryptage pour ce qui est de la protection de la vie privée et de la sécurité des communications, tout en apportant une réponse efficace à la criminalité. (55)La présente directive établit une approche en deux étapes du signalement des incidents afin de trouver le juste équilibre entre, d’une part, le signalement rapide qui aide à atténuer la propagation potentielle des incidents et permet aux entités de chercher de l’aide et, d’autre part, le signalement approfondi qui permet de tirer des leçons précieuses des incidents individuels et d’améliorer au fil du temps la résilience des entreprises individuelles et de secteurs tout entiers face aux cybermenaces. Lorsque les entités prennent connaissance d’un incident, elles devraient être tenues de présenter une notification initiale dans les 24 heures, suivie d’un rapport final un mois après au plus tard. La notification initiale ne devrait inclure que les informations strictement nécessaires pour porter l’incident à la connaissance des autorités compétentes et permettre à l’entité de demander une assistance, le cas échéant. Cette notification, le cas échéant, devrait indiquer si l’incident semble être causé par des actions illégales ou malveillantes. Les États membres devraient veiller à ce que l’obligation de présenter cette notification initiale ne détourne pas les ressources de l’entité effectuant le signalement des activités liées à la gestion de l’incident, qui doivent être prioritaires. Afin d’évider que les obligations de signalement des incidents détournent les ressources des activités de gestion des incidents ou compromettent de quelque manière que ce soit les efforts déployés par les entités à cet égard, les États membres devraient également prévoir que, dans des cas dûment justifiés et en accord avec les autorités compétentes ou avec le CSIRT, l’entité concernée peut ne pas respecter les délais de 24 heures pour la notification initiale et de un mois pour le rapport final. (56)Les entités essentielles et importantes se retrouvent souvent dans une situation dans laquelle un incident en particulier, en raison de ses caractéristiques, doit être signalé à différentes autorités en raison d’obligations de notification incluses dans différents instruments juridiques. De tels cas créent des charges supplémentaires et peuvent également conduire à des incertitudes en ce qui concerne le format et les procédures de ces notifications. C’est pourquoi, afin de simplifier le signalement des incidents de sécurité, les États membres devraient mettre en place un point d’entrée unique pour toutes les notifications requises en vertu de la présente directive et d’autres actes législatifs de l’Union, comme le règlement (UE) 2016/679 et la directive 2002/58/CE. L’ENISA, en collaboration avec le groupe de coopération, devrait mettre au point des formulaires de notification communs au moyen de lignes directrices qui permettraient de simplifier et de rationaliser les informations de signalement exigées par le droit de l’Union et de réduire les charges pesant sur les entreprises. (57)Lorsqu’il y a lieu de suspecter qu’un incident est lié à des activités criminelles graves au regard du droit de l’Union ou du droit national, les États membres devraient encourager les entités essentielles et importantes, sur la base de leurs procédures pénales applicables conformément au droit de l’Union, à signaler aux autorités répressives compétentes tout incident de ce type. Le cas échéant, et sans préjudice des règles de protection des données à caractère personnel applicables à Europol, il est souhaitable que la coordination entre les autorités compétentes et les autorités répressives de différents États membres soit facilitée par le CE3 et l’ENISA. (58)Dans de nombreux cas, des données à caractère personnel sont compromises à la suite d’incidents. Dans de telles circonstances, les autorités compétentes devraient coopérer et échanger des informations sur tous les aspects pertinents avec les autorités chargées de la protection des données et les autorités de contrôle conformément à la directive 2002/58/CE. (59)Le maintien à jour des bases de données précises et complètes de noms de domaines et de données d’enregistrement (appelées «données WHOIS») ainsi que la fourniture d’un accès licite à ces données sont essentiels pour garantir la sécurité, la stabilité et la résilience du système de noms de domaines (DNS), lequel contribue en retour à assurer un niveau élevé commun de cybersécurité dans l’Union. Lorsque le traitement comprend des données à caractère personnel, ce traitement doit s’effectuer conformément au droit de l’Union en matière de protection des données. (60)La disponibilité de ces données, et leur accessibilité, en temps opportun, pour les autorités publiques, y compris les autorités compétentes en vertu du droit de l’Union ou du droit national en matière de prévention d’infractions pénales, d’enquêtes et de poursuites en la matière, les CERT (ou CSIRT) et, en ce qui concerne les données de leurs clients, pour les fournisseurs de réseaux et de services de communications électroniques et les fournisseurs de technologies et de services de cybersécurité agissant pour le compte de ces clients, sont essentielles pour prévenir et à combattre l’utilisation abusive des noms de domaines, en particulier pour prévenir, détecter et répondre aux incidents de cybersécurité. Cet accès doit être conforme au droit de l’Union en matière de protection des données dans la mesure où il concerne des données à caractère personnel. (61)Afin d’assurer la disponibilité de données exactes et complètes sur l’enregistrement des noms de domaines, les registres des noms de domaines de premier niveau ainsi que les entités qui fournissent des services d’enregistrement de noms de domaines pour le registre de noms de domaines de premier niveau (appelées «bureaux d’enregistrement») doivent collecter et garantir l’intégrité et la disponibilité des données relatives à l’enregistrement des noms de domaines. En particulier, les registres de noms domaines de premier niveau ainsi que les entités fournissant des services d’enregistrement de noms de domaines pour le registre de noms de domaines de premier niveau devraient établir des politiques et des procédures aux fins de collecter et maintenir des données d’enregistrement exactes et complètes, ainsi que pour prévenir et corriger les données d’enregistrement inexactes, conformément aux règles de l’Union en matière de protection des données. (62)Les registres des noms de domaines de premier niveau ainsi que les entités leur fournissant des services d’enregistrement de noms de domaines devraient rendre publiques les données relatives à l’enregistrement de noms de domaines qui ne relèvent pas du champ d’application des règles de l’Union en matière de protection des données, telles que les données concernant les personnes morales. Les registres des noms de domaines de premier niveau ainsi que les entités fournissant des services d’enregistrement de noms de domaines pour le registre de noms de domaines de premier niveau devraient également permettre aux demandeurs d’accès légitimes d’accéder légalement à des données spécifiques d’enregistrement de noms de domaines concernant des personnes physiques, conformément à la législation de l’Union sur la protection des données. Les États membres devraient veiller à ce que les registres des noms de domaines de premier niveau ainsi que les entités qui leur fournissent des services d’enregistrement de noms de domaines répondent dans les meilleurs délais aux demandes de divulgation de données d’enregistrement de noms de domaines émanant de demandeurs d’accès légitimes. Les registres des noms de domaines de premier niveau ainsi que les entités qui leur fournissent des services d’enregistrement de noms de domaines devraient établir des politiques et des procédures entourant la publication et la divulgation des données d’enregistrement, y compris des accords de niveau de service régissant la gestion des demandes d’accès des demandeurs d’accès légitimes. La procédure d’accès peut également inclure l’utilisation d’une interface, d’un portail ou d’un autre outil technique afin de fournir un système efficace de demande et d’accès aux données d’enregistrement. En vue de promouvoir des pratiques harmonisées dans l’ensemble du marché intérieur, la Commission peut adopter des lignes directrices eu égard à ces procédures sans préjudice des compétences du comité européen de la protection des données. (63)Toutes les entités essentielles et importantes au sens de la présente directive devraient relever de la juridiction de l’État membre dans lequel elles fournissent leurs services. Si l’entité fournit des services dans plus d’un État membre, elle doit dès lors relever de la juridiction distincte et concurrente de chacun de ces États membres. Les autorités compétentes de ces États membres devraient coopérer, se prêter mutuellement assistance et, le cas échéant, mener des actions communes de surveillance. (64)Afin de tenir compte de la nature transfrontalière des services et des opérations des fournisseurs de services DNS, des registres des noms de domaines de premier niveau, des fournisseurs de réseaux de diffusion de contenu, des fournisseurs de services d’informatique en nuage, des fournisseurs de services de centres de données et des fournisseurs de service numérique, un seul État membre devrait avoir compétence eu égard à ces entités. La compétence devrait être attribuée à l’État membre dans lequel l’entité concernée a son principal établissement dans l’Union. Le critère d’établissement aux fins de la présente directive suppose l’exercice effectif d’une activité au moyen d’une installation stable. La forme juridique retenue pour un tel dispositif, qu’il s’agisse d’une succursale ou d’une filiale ayant la personnalité juridique, n’est pas déterminante à cet égard. Le respect de ce critère ne devrait pas dépendre de la localisation physique du réseau et des systèmes d’information dans un lieu donné; la présence et l’utilisation de tels systèmes ne constituent pas en soi l’établissement principal et ne sont donc pas des critères déterminants permettant de déterminer l’établissement principal. L’établissement principal devrait être le lieu où sont prises les décisions relatives aux mesures de gestion des risques en matière de cybersécurité dans l’Union. Cela correspondra généralement au lieu d’administration centrale des entreprises dans l’Union. Si ces décisions ne sont pas prises dans l’Union, l’établissement principal doit être considéré comme se trouvant dans les États membres où l’entité possède un établissement avec le plus grand nombre de salariés dans l’Union. Lorsque les services sont effectués par un groupe d’entreprises, l’établissement principal de l’entreprise qui exerce le contrôl