Les États membres de l'UE ont examiné, mercredi 18 janvier, dans le cadre d’une réunion du Groupe horizontal ‘Questions liées au cyberespace’ du Conseil de l'UE, la nouvelle version du texte de compromis de la Présidence suédoise du Conseil de l’UE sur la future législation sur la cyber-résilience (EUROPE 13065/9).
Présenté par la Commission européenne le 15 septembre 2022 (EUROPE 13022/9), le futur règlement doit notamment servir à introduire des règles communes de cybersécurité pour les fabricants et les développeurs de tous les produits comportant des éléments numériques et connectés.
La nouvelle version du texte étend tout d’abord, dans certains cas, le champ d’application aux ‘logiciels en tant que service’ (ou ‘SaaS’, pour ‘Software as a service'), qui sont des solutions logicielles applicatives hébergées dans le 'cloud' et exploitées en dehors d'une organisation ou d'une entreprise par un fournisseur de service.
Ainsi, ces 'SaaS' tomberaient désormais sous le coup de la législation dans les cas où ils répondraient aux critères en tant que « solutions de traitement de données à distance relatives à un produit à éléments numériques, entendu comme tout traitement de données à distance dont le logiciel ou le matériel est conçu et développé par le fabricant du produit concerné ou sous la responsabilité de ce fabricant, et dont l'absence empêcherait ce produit à éléments numériques de remplir une de ses fonctions », précise le document.
Les services en nuages conçus et développés en dehors de la responsabilité d'un fabricant d'un produit comportant des éléments numériques n’entreraient, par exemple, pas dans le champ d’application, tout comme les sites web, étant donné qu’ils ne sont pas développés sous la responsabilité d'un fabricant de navigateurs internet et que l'absence de tout site web individuel n'empêcherait pas un navigateur de remplir ses fonctions.
En outre, le texte précise la marge de manœuvre des États membres sur certaines questions. Ceux-ci ne pourraient pas, sur les aspects couverts par le texte, entraver la mise à disposition sur le marché de produits comportant des éléments numériques qui sont conformes au présent règlement. Toutefois, les États membres pourraient établir des mesures nationales - y compris des restrictions - sur les produits contenant des éléments numériques ou leurs fournisseurs et sur les questions non techniques qui ne sont pas couvertes par le futur règlement.
La proposition de compromis prévoit aussi que les États membres puissent prendre des mesures de sauvegarde de la sécurité nationale en soumettant des mesures complémentaires sur les produits comportant des éléments numériques et utilisés à des fins militaires, de défense ou de sécurité nationale.
Enfin, un nouveau considérant a été ajouté, stipulant que les obligations relatives au futur règlement ne devraient pas impliquer la fourniture d'informations dont la divulgation serait contraire aux intérêts essentiels de la sécurité des États membres.
Consulter le document : https://aeur.eu/f/4z2 (Thomas Mangin)