FR Journal officiel de l'Union européenne CE 84/766

(2004/C 84 E/0862)

QUESTION ÉCRITE E-0183/04

posée par Charlotte Cederschiöld (PPE-DE) à la Commission

(29 janvier 2004)

Objet: Sécurité des réseaux et de l'information

La sécurité, des technologies de l'information demeure un domaine dans lequel la Commission et d'autres organes de l'UE doivent veiller à protéger leurs systèmes internes. La Commission reconnaît-elle que les «critères communs» constituent des normes internationalement acceptées pour évaluer la sécurité des produits des TIC et, dans l'affirmative, comment l'Agence européenne chargée de la sécurité des réseaux et de l'information peut-elle appliquer ces critères communs pour acquérir ses propres produits et faire des recommandations en matière d'acquisitions aux organes de l'UE et des États membres?

Réponse commune

aux questions écrites E-0181/04, E-0182/04 et E-0183/04

donnée par M. Liikanen au nom de la Commission

(10 mars 2004)

En ce qui concerne la normalisation en matière de sécurité des réseaux et de l'information et plus particulièrement les critères communs, la Commission a apporté sa contribution tout au long du processus d'élaboration de ces critères, dès l'époque des travaux sur les critères précédents, dits ITSEC, en 1991. La Commission a également travaillé avec les États membres à l'élaboration de l'accord de reconnaissance mutuelle des critères communs, norme ISO/IEC 15048.

L'Agence européenne chargée de la sécurité des réseaux et de l'information (ENISA), qui est également mentionnée par l'Honorable Parlementaire comme un instrument possible de la promotion de cette norme en Europe, s'apprête à entamer ses activités dans les prochains mois. La Commission participe actuellement à l'élaboration du programme de travail de l'ENISA. En réponse à cette question, la Commission peut évoquer la possibilité que certaines missions de normalisation soient confiées à l'ENISA, mais il n'est pas possible à ce stade de donner une réponse définitive concernant le programme de travail de l'Agence.

Du point de vue de la Commission, l'utilisation de normes reconnues aux fins de l'évaluation et de la certification de produits des TIC est de longue date un élément important de la politique relative à la sécurité des réseaux et de l'information. La recommandation (95/144/CE) du Conseil du 7 avril 1995 a encouragé l'utilisation de ces normes aux fins de l'acquisition de produits des TIC (1). Dans la communication de la Commission intitulé «Sécurité des réseaux et de l'information: Proposition pour une approche politique européenne» (2), la Commission a souligné l'importance de la certification en matière de sécurité des produits, élément clé pour la confiance des utilisateurs. À cet égard, la norme sur les critères communs représente un cadre solide internationalement reconnu pour la certification en matière de sécurité des produits. À ce titre, elle est largement utilisée aux fins de l'acquisition de produits.

Il s'est toutefois avéré difficile (aux États-Unis également) d'intéresser le secteur commercial (et en particulier le secteur financier) à l'adoption de la norme ISO-EIC 15408 et de lui faire prendre des engagements en ce sens. Cela est apparu clairement lors la conférence sur les critères communs à Stockholm en septembre 2003. Pour y remédier, l'ENISA pourrait soutenir l'adoption de cette norme en amenant les parties prenantes à la sécurité des réseaux à débattre des questions, problèmes et possibilités associés à l'application des critères communs.

En ce qui concerne la normalisation en matière de sécurité des réseaux et de l'information, la Commission évalue les implications du récent rapport conjoint CEN-ETSI (3), qui traite de ces questions du point de vue des organismes européens de normalisation. Les futures actions et politiques seront élaborées sur cette base.

Au niveau technique, la Commission a inscrit le développement de produits et de systèmes sûrs parmi les principales priorités du programme IST, ce qui contribuera certainement à l'amélioration des pratiques de développement des produits des TIC en Europe. L'ENISA pourrait compléter cette activité en aidant les États membres à élaborer des programmes de formation appropriés concernant la sécurité, le partage d'expériences et la coopération dans les campagnes de sensibilisation visant en particulier les petites et moyennes entreprises (PME).

La norme sur les critères communs établissant un cadre pour la sécurité et la certification des produits, la Commission envisagerait l'adoption d'une telle norme aux fins des acquisitions, comme bonne pratique dans tous les cas où une sécurité stricte et vérifiable est nécessaire. De ce fait, pour le cas où l'ENISA aurait de tels besoins, il serait souhaitable, selon le cas, qu'elle applique les critères communs lors de l'achat de ses propres fournitures ou qu'elle conseille la Commission et les gouvernements des États membres sur l'utilisation des critères communs aux fins des acquisitions. La Commission n'oubliera cependant pas que la sécurité certifiée a un coût.

Enfin, il importe de noter que la norme technique ISO/IEC 15408 ne serait pas suffisante pour garantir un niveau adéquat de sécurité dans une organisation. En effet, tout organisme ou société doit également sélectionner et mettre en œuvre une norme pour la gestion de sécurité (telles que l'ISO/IEC 17799) afin de mettre en place et d'appliquer les processus et pratiques de sécurité nécessaires.

(1) JO L 93 du 26.4.1995.

(2) COM(2001) 298 final.

(3) ETSI SR 002 298.