La session de négociation entre le Parlement européen et le Conseil de l'UE consacrée à l'Acte pour la cybersécurité, prévue le 28 novembre, était annoncée comme conclusive. Problème : les colégislateurs ne disposent que d'une heure et de multiples questions sont encore sur la table. C'est le cas, par exemple, de la marge de manœuvre du Groupe européen de certification. Du coup, un cinquième trilogue commence à être envisagé, le 10 décembre.
Comme en témoigne le tableau dit '4 colonnes' daté du 23 novembre représentant les positions des colégislateurs, un accord serait acté pour rebaptiser l'Agence européenne chargée de la sécurité des réseaux et de l'information (ENISA) en 'Agence de la cybersécurité' et pour renforcer ses missions. Ceux-ci sont aussi parvenus à un compromis sur les grandes lignes du cadre européen de certification de la cybersécurité (EUROPE 11865).
Ils comptent toutefois sur leur quatrième réunion de négociation, le 28 novembre, pour boucler définitivement le texte. Une réunion technique s'est déroulée le 26 novembre et une toute dernière pourrait être ajoutée le 27.
Questions ouvertes sur ENISA
En ce qui concerne la partie relative à l'Agence, les colégislateurs n'ont pas encore trouvé de compromis sur la périodicité des exercices de cybersécurité (article 6), le Parlement et la Commission plaidant pour des exercices annuels et le Conseil pour des exercices réguliers. Ils ne sont pas non plus parvenus à s'entendre sur la marge de manœuvre du Conseil exécutif, qui assiste le conseil d'administration de l'ENISA en cas d'urgence (article 18), ni sur le mandat du directeur exécutif de l'Agence (article 33), que le Parlement voudrait limiter à 5 ans et le Conseil à 4. Les autres questions ouvertes concernent les politiques de divulgation des vulnérabilités (article 5) et les capacités techniques de l'Agence (article 7), deux dispositions réclamées par le Parlement européen.
Questions ouvertes sur la certification
En ce qui concerne la deuxième partie de la proposition, relative au cadre de certification, le Parlement et le Conseil sont toujours à la recherche d'un compromis sur le caractère obligatoire du système. Pour rappel, le Parlement européen souhaiterait en effet prévoir une telle disposition pour les « opérateurs de services essentiels », ce que le Conseil refuse (article 48a). Après avoir interrogé les États membres sur 3 options, le Conseil pourrait être prêt à envisager un système obligatoire sur la base d'une évaluation de la Commission. Le compromis envisagé enjoint à la Commission européenne de prendre en compte, dans son étude, la situation pour les produits/services non certifiés, l'impact coût/bénéfices des mesures sur les fabricants et les utilisateurs, la législation en vigueur, les résultats d'une consultation publique ainsi que l'élaboration d'un délai de mise en œuvre et d'une période transitoire.
Les autres questions ouvertes portent sur le Groupe européen de certification de cybersécurité (article 43b) et le groupe des parties prenantes pour la certification (article 20a). Pour le premier, le Conseil souhaite que le groupe européen de certification puisse soumettre à l'ENISA un système candidat sans que cela ne soit prévu dans son programme de travail alors que le Parlement estime que cette tâche ne devrait revenir qu'à la Commission (et ce, au vu des ressources limitées de l'ENISA). Pour le second, il s'agit d'une demande du Parlement européen qui ne figurait pas dans le mandat du Conseil. Le document du 23 novembre indique que la Présidence pourrait néanmoins procéder à la mise en place d'un tel groupe à condition qu'il s'apparente à un groupe d'experts consultatif de la Commission.
Citons encore les informations de cybersécurité pour les produits certifiés (article 47a) ou encore la révision par les pairs (article 50a du Parlement) au rang des questions encore ouvertes.
Voir le tableau '4 colonnes' : http://bit.ly/2DOUs7h. (Sophie Petitjean)