Le secrétariat général du Conseil de l'UE a transmis aux délégations, le 18 avril dernier, un document dont EUROPE a obtenu copie, dans lequel il fait le point sur la position du Conseil de l'UE et du Parlement européen dans le cadre des négociations interinstitutionnelles ('trilogues') en cours concernant un niveau commun élevé de cybersécurité dans les institutions, agences et organes de l’UE (EUROPE 13138/10).
Des accords ont été trouvés sur une partie des points du texte, mais les discussions se poursuivent sur plusieurs aspects, notamment le rôle de l'Équipe d'intervention en cas d'urgence informatique (CERT-UE) et les calendriers de réexamen et d'évaluation.
Ainsi, le Parlement doit encore se prononcer sur la proposition du Conseil de l’UE relative au fait que le futur règlement ne s’applique pas - à l’exception du septième paragraphe de l’article 12 - aux réseaux et systèmes d'information traitant des informations classifiées de l’UE.
Ce septième paragraphe du douzième article du texte prévoit que le CERT-UE puisse fournir une assistance aux institutions, organes et agences de l’UE en cas d’incidents dans des environnements informatiques classifiés à la demande expresse de l’administration concernée.
Par ailleurs, certaines définitions doivent repasser entre les mains des services juridiques, à l’instar de celle de l’unité cybernétique conjointe que le Parlement européen aimerait voir comme « une plateforme virtuelle et physique de coopération pour les différentes communautés de cybersécurité dans l'Union, axée sur la coordination ».
La Présidence suédoise du Conseil de l’UE doit encore avoir la confirmation des États membres en matière de calendrier de réexamen du cadre interne de gestion, de gouvernance et de contrôle des risques liés à la cybersécurité. L’échéance proposée prévoit un réexamen tous les trois ans. Le premier devrait avoir lieu au plus tard 15 mois avant l’entrée en vigueur du règlement.
Toujours au chapitre des échéances, la Commission a été invitée à présenter une vue d’ensemble des calendriers concernant l’évaluation avec l’aide d’un tiers spécialisé, d'une institution, d'un organe et d'une agence à une évaluation de la maturité en matière de cybersécurité. Cette évaluation devrait, elle aussi, avoir lieu au moins tous les trois ans.
Le prochain trilogue aura lieu le 27 avril.
Voir le document : https://aeur.eu/f/6fc (Thomas Mangin)