Debate: Horizontal cybersecurity requirements for products with digital elements and amending Regulation  /
Date: MONDAY, 11 MARCH 2024
Speaker: Thierry Breton
Language: FR

On peut dire sans exagération que, dans l’histoire de la cybersécurité au niveau européen, il s’agira d’un tournant. C’est une première mondiale dont nous discutons ce soir, et c’est un élément très important, puisque l’on passe d’une logique de cybersécurité qui était reléguée au second plan à une logique de cybersécurité par défaut pour entrer sur notre marché intérieur. Le règlement sur la cyberrésilience fera donc une réelle différence en matière de cyberrésilience au sein de notre marché unique étant donné qu’il en utilisera la puissance pour améliorer la sécurité des produits à l’échelle mondiale. Dans un paysage géopolitique et technologique marqué par la prolifération de nouvelles menaces – on le voit tous les jours –, qui sont le fait d’acteurs malveillants, il est primordial que nous continuions à coopérer et à unir nos forces afin de protéger nos concitoyens, nos infrastructures critiques et nos entreprises contre les cyberactivités préjudiciables. Au cours de l’année écoulée – si l’on ne prend que quelques événements ou chiffres –, le nombre d’attaques sur nos chaînes d’approvisionnement logicielles a tout simplement triplé. Les acteurs étatiques et la criminalité organisée ont de plus en plus recours aux vulnérabilités de ces produits pour mener eux-mêmes ces attaques de cybermalveillance – avec, en fait, autant de points d’entrée – ainsi que des actions néfastes telles que l’espionnage.  Chaque jour, des petites entreprises et des opérateurs critiques qui touchent aux besoins essentiels de la vie (tels que les hôpitaux) sont ébranlés par les cybercriminels. Toutes les onze secondes, une organisation est touchée en Europe par une attaque rançongicielle. Cela représente un coût d’environ 20 milliards d’euros par an. Les vulnérabilités sont bien sûr à l’origine des attaques de déni de service distribué (ce qu’on appelle les DDOS), lesquelles peuvent paralyser des infrastructures critiques. L’acte introduit, entre autres, des obligations de sécurité dès la conception pour les fabricants de produits matériels, mais aussi pour les fabricants de logiciels. Il couvre non seulement les produits grand public ou professionnels, tels que, par exemple, les ordinateurs portables ou les systèmes d’exploitation, mais également les composants matériels et logiciels. Il reconnaît donc que les fabricants sont responsables, tout au long de la chaîne d’approvisionnement, des résultats en matière de sécurité et de cybersécurité. Les obligations à respecter couvrent par exemple des exigences de contrôle d’accès, d’utilisation de la cryptographie, ainsi que des mises à jour automatiques. Les produits conformes au règlement sur la cyberrésilience devront porter le marquage CE et seront soumis à la supervision des 27 autorités nationales de surveillance du marché. Le règlement sur la cyberrésilience introduit également une nouvelle approche adaptée plus légère, visant à améliorer la sécurité de l’écosystème open source en établissant une norme pour la cybersécurité des produits. Le règlement sur la cyberrésilience constitue donc une aubaine toute particulière pour nos entreprises européennes. Pour les PME, cela signifie un potentiel d’amélioration de leur réputation, de leur innovation, mais aussi de leur compétitivité. Elles bénéficieront également de l’effet, sur le marché intérieur, du règlement sur la cyberrésilience, lequel évite la fragmentation en fixant des exigences horizontales en matière de cybersécurité. Le règlement sur la cyberrésilience prévoit explicitement des mesures de soutien aux PME, y compris aux start-ups, allant des orientations aux exigences simplifiées en matière de documentation. Le programme sur l’Europe numérique soutiendra également financièrement les PME dans la mise en œuvre du règlement sur la cyberrésilience. Le règlement sur la cyberrésilience met également en place un système européen pour signaler les vulnérabilités activement exploitées, mais aussi les incidents graves susceptibles d’affecter des produits comportant des éléments numériques. Il permettra ainsi une meilleure coordination, ce qui est très important en matière de cybersécurité au niveau européen. Enfin, au travers du règlement sur la cyberrésilience, nous développons un cadre de coopération stratégique assez étroit pour garantir des marchés transatlantiques pour des produits sécurisés, puisque ce cadre s’applique à tout produit mis sur le marché européen. Pour ce faire, nous approfondissons également une coopération solide, ciblée et stratégique avec notre partenaire américain au travers du dialogue cyber que j’ai moi-même mis en place avec l’administration américaine. Nous faisons ainsi progresser notre coopération avec les États-Unis certes, mais aussi avec le Canada et d’autres partenaires, dans le même esprit. Voilà, Mesdames et Messieurs les députés, ce que je souhaitais vous dire. Avec le règlement sur la cyberrésilience, nous entrons dans une nouvelle ère pour un marché européen cyberrésilient.