La Commission européenne a présenté, en marge de la séance plénière à Strasbourg, mardi 18 avril, son paquet ‘Cyberespace’. Celui-ci prévoit, entre autres, la création d’un 'cyberbouclier' européen chargé de détecter les menaces ainsi que la mise sur pied d’une académie européenne des compétences en matière de cybersécurité, qui devra répondre à la pénurie de main-d’œuvre qualifiée dans le secteur.
« Nous avions présenté en 2020 notre stratégie européenne pour la cybersécurité. Aujourd’hui, cette loi permet d’avoir le dernier élément de cette stratégie », a commenté la vice-présidente exécutive pour une Europe adaptée à l'ère numérique, Margrethe Vestager.
Dans le détail, le règlement de l’UE sur la cybersolidarité ('Cybersolidarity Act') - dont relève le futur cyberbouclier - devra servir à « détecter, anticiper et contrer » les cyberattaques et autres menaces. Ce cyberbouclier reposera sur une infrastructure composée de centres d’opérations de sécurité (SOC) qui seront chargés de détecter et de contrer les cybermenaces grâce à l’intelligence artificielle, au supercalcul et à l’analyse avancée de données.
Chacun des futurs centres d’opérations devrait couvrir au moins trois États membres de l’UE. Les alertes qu’ils émettraient permettraient aux autorités et entités concernées de réagir plus rapidement. Ils devraient être opérationnels dès le début de l’année 2024, a précisé la Commission européenne.
« Nous devons avoir cette capacité de réagir, qui va s’appuyer sur les compétences des États membres. Certains ont déjà des centres de sécurité, mais nous allons aussi avoir une couche européenne pour articuler le tout. En termes de gouvernance, c’est un peu le ‘Galileo du cyberespace’. Nous avons appris à partager les infrastructures, les mettre en commun, les gérer », a résumé le commissaire chargé du Marché intérieur, Thierry Breton.
Mise en place d'une réserve de cybersécurité
En complément, le 'Cybersolidarity Act' prévoit la mise en place d’un mécanisme de réaction d’urgence dans le domaine de la cybersécurité. Ce mécanisme devrait reposer sur trois piliers. Le premier consisterait en des mesures préparatoires, notamment le fait de soumettre à des tests les entités actives dans des secteurs hautement critiques - tels que la santé, les transports ou encore l’énergie - pour établir leur degré de vulnérabilité.
Le second pilier, quant à lui, résiderait en un soutien financier à l’assistance mutuelle entre les États membres en cas d’incidents. Au chapitre du financement, la Commission prévoit une enveloppe de 1,1 milliard d’euros allouée à la future législation, dont les deux tiers seraient issus des fonds de l’UE, au titre du Programme pour une Europe numérique.
Enfin, le troisième pilier consisterait en la création d’une réserve de cybersécurité de l’UE, qui aurait la tâche d’intervenir, à la demande d'un État membre, des institutions, organes ou agences de l’UE, en cas d'incident de cybersécurité important ou de grande ampleur. Cette réserve serait assurée par des fournisseurs de confiance sous contrat.
« Nous avions pensé à une armée cyber, mais c’est très compliqué. Nous avons opté pour une réserve cyber avec des individus, des prestataires certifiés. Nous voulons arriver à plusieurs milliers d’individus prêts, à terme, à intervenir en cas de besoin », a commenté M. Breton.
10 millions d'euros pour l'académie européenne des compétences en matière de cybersécurité
Avant d’arriver au chiffre avancé par M. Breton, la problématique du manque de main-d’œuvre qualifiée dans le secteur devra être réglée. Pour y remédier, la Commission mise sur la création d’une académie européenne des compétences en matière de cybersécurité.
« Face à des menaces d’ampleur croissante, l’UE fait face à une fracture numérique en matière de compétences : près de 260 000 professionnels de la cybersécurité seraient nécessaires », a précisé Mme Vestager.
Cette académie, hébergée dans un premier temps sur la plateforme de la Commission pour les compétences et les emplois numériques, devrait d’abord permettre aux citoyens intéressés par le domaine de la cybersécurité de trouver un point d’entrée unique regroupant les possibilités de formation et de certifications existantes dans l’UE.
Du côte des entreprises et autres parties prenantes, il serait possible de proposer des formations et des certifications. Dans un second temps, l’académie devrait pouvoir faire office d’espace commun pour les universitaires, les prestataires de formation et les entreprises du secteur, pour les aider à coordonner les programmes d’enseignement et les financements.
Un budget de 10 millions d’euros sera consacré à la création de la future académie. « Cela va nous aider à nous lancer et, dans les années à venir, à combler le déficit actuel », a déclaré le vice-président de la Commission européenne, Margarítis Schinás.
La 'Boussole stratégique' comme garde-fou
Enfin, la Commission a aussi proposé une modification ciblée du règlement sur la cybersécurité. Cette modification vise à permettre l’adoption future de schémas européens de certification pour les services hautement critiques et sensibles offerts par des fournisseurs de services de cybersécurité. La certification de ces services, allant de la réaction aux incidents, aux tests de pénétration, en passant par les audits et les services de conseil en matière de sécurité, devrait aider les entreprises à « prévenir, contrer et se rétablir » après les incidents, juge la Commission.
Reste à voir, désormais, si les États membres joueront le jeu de la coopération, alors que, de l’aveu de la Commission, « beaucoup de manque de volonté de partager de la part des États membres » a été constaté par le passé. « Cela relevait des compétences des États membres, mais la 'Boussole stratégique' (EUROPE 13145/8) est arrivée. Les États membres se sont mis d’accord pour dire que le cyberespace doit être défendu au niveau de l’UE. Nous avons un consensus. Dans le domaine du cyberespace, personne ne peut se défendre tout seul, chaque point d’entrée du marché intérieur est un point de risque », a conclu M. Breton.
Voir la proposition sur le 'Cybersolidarity Act' : https://aeur.eu/f/6d9
Voir le document relatif à l'académie européenne des compétences : https://aeur.eu/f/6da
Voir la proposition de modification du règlement sur la cybersécurité : https://aeur.eu/f/6db (Thomas Mangin)