Les colégislateurs de l'UE - Parlement européen et Conseil - ont commencé à parler du futur cadre de certification lors de leur deuxième réunion de négociation sur l'acte pour la cybersécurité, dans la soirée du 1er octobre à Strasbourg. Une troisième réunion devrait se dérouler mi-novembre.
Pour rappel, le projet de règlement présenté il y a tout juste un an octroie un mandat permanent à l'actuelle Agence européenne chargée de la sécurité des réseaux et de l'information (ENISA). Il établit également un cadre européen de certification de la cybersécurité pour les moyens de communication (TIC) et des règles communes régissant les systèmes européens de certification de la cybersécurité (EUROPE 11865).
Principales différences
Après une première réunion de négociation, le 13 septembre dernier, consacrée au mandat de la nouvelle agence, les colégislateurs ont abordé le second volet de la proposition, à savoir le cadre de certification. Ils ont principalement discuté du rôle incombant aux États membres et aux différentes parties prenantes : globalement, par rapport à la proposition initiale, on pourrait dire que le Conseil veut s’en remettre davantage aux États membres tandis que le Parlement veut plus impliquer l’industrie.
Le caractère volontaire ou obligatoire dudit cadre, principale différence entre le Parlement et le Conseil, a également été évoqué. Les deux institutions sont en effet d’accord sur le principe général selon lequel le cadre devrait être volontaire. Mais le Parlement européen ajoute une exception obligeant les « opérateurs de services essentiels », dont le dysfonctionnement en cas d’incident pourrait avoir un effet perturbateur important, à s’y conformer obligatoirement (article 48a) (EUROPE 12059).
Autres sujets discutés
Lors de leur réunion, les colégislateurs ont également abordé d’autres propositions du Parlement européen qui ne figuraient pas dans la proposition de la Commission. Ainsi, ils ont évoqué l’article 47a relatif aux informations en matière de cybersécurité à communiquer pour les produits, processus et services certifiés. Et l’article 20a sur la création d’un « groupe des parties prenantes pour la certification », chargé de fournir des conseils d’ordre général, et d’un comité ad hoc, chargé de proposer, de mettre au point et d’adopter chaque système candidat.
Deux réunions techniques sont prévues à ce stade, les 12 et 18 octobre. Un troisième trilogue pourrait ensuite être organisé aux alentours du 14 novembre.
Voir le tableau 4 colonnes : https://bit.ly/2xldyxD. (Sophie Petitjean)