Les États membres avaient jusqu’au mercredi 14 septembre pour faire part de leurs remarques sur l’avis rendu par le Comité de sécurité du Conseil de l’UE (CSC) concernant les mesures pour un niveau commun élevé de cybersécurité dans les institutions, agences et organes de l’UE. Cet avis avait été demandé, le 23 mai dernier, par le groupe horizontal 'Questions cybernétiques'.
Dans le détail, le Comité de sécurité du Conseil estime que plusieurs changements devraient être apportés à la proposition initiale de la Commission. Le CSC propose notamment qu'alors que les institutions et organes concernés par un incident peuvent se tourner vers l’Équipe d'intervention en cas d'urgence informatique pour les institutions, agences et organes de l'UE (CERT-UE), il revienne aux entités en question de définir quand, de quelle manière et comment les informations relatives à cet incident sont communiquées.
En outre, le CSC souligne que le règlement s’applique à la gestion, la gouvernance et au contrôle des risques de cybersécurité dans les réseaux d’informations non classifiées et ne s’applique pas aux systèmes de réseaux et d’informations classifiées de l’UE.
Le CSC pointe par ailleurs des chevauchements entre ce règlement et la proposition de règlement sur la sécurité de l’information, notamment en matière d’authentification pour l’accès à toutes les informations non classifiées. En l’occurrence, le règlement sur la cybersécurité exige une authentification multifactorielle, ce qui n’est pas obligatoire dans le règlement sur la sécurité de l’information.
En outre, le CSC revient aussi sur les missions et tâches du CERT-UE. Sur ce point, le document précise que les obligations de partage ne s’étendent pas aux informations classifiées de l’UE reçues via un service de renseignement ou un service répressif d’un État membre, à moins que ces derniers aient donné leur autorisation.
Un processus similaire est valable pour les obligations de notification émises par les services de renseignement ou de répression d’un État membre.
Voir le document : https://aeur.eu/f/34e (Thomas Mangin)