Les députés membres de la commission du marché intérieur et de la protection des consommateurs (IMCO) du Parlement européen ont débattu, mardi 23 mai, des amendements déposés par les groupes politiques dans le cadre de la future législation sur la cyber-résilience ('Cyber Resilience Act’) (EUROPE 13169/7).
Au cours des discussions, l’accent a été mis tout d'abord sur la charge que pourrait faire peser le texte sur les micros, petites et moyennes entreprises. Sur ce point, les groupes semblent s’accorder : « Cette législation va entraîner des charges importantes pour la mise en conformité. On doit réduire les frais et la bureaucratie inutile », a résumé Arba Kokalari (PPE, suédoise). Toutefois, l’équilibre devra être trouvé « sans pour autant faire de compromis », a repris Morten Løkkegaard (Renew Europe, danois), rapporteur du dossier pour le compte de la commission IMCO.
De son côté, la Commission n’a pas fermé la porte à des solutions alternatives pour accroître le soutien aux micro-entreprises et PME. « Nous pouvons envisager d’autres options, avec un recours à des instruments financiers ou d’autres orientations », a-t-elle indiqué.
La plupart des groupes politiques du PE ont aussi insisté sur la nécessité d’aligner le ‘Cyber Resilience Act’ sur les autres textes existants, tels que la directive révisée 'NIS 2', qui doit garantir un niveau commun élevé de cybersécurité dans toute l’UE (EUROPE 13072/30) et le règlement de l'UE relatif à la sécurité générale des produits (EUROPE 13089/11), ou encore sur la future législation sur l’intelligence artificielle (EUROPE 13180/1).
La question du délai de mise en œuvre de la future législation, quant à elle, a fait apparaître des divisions parmi les eurodéputés.
Pour le PPE, le délai de mise en œuvre prévu est jugé trop court. « Les entreprises ont besoin de temps pour s’adapter », a complété Mme Kokalari.
Pour le S&D, en revanche, l’application devrait être la plus rapide possible. « Nous sommes réservés sur le prolongement du délai de mise en œuvre. Nous devons protéger les consommateurs le plus vite possible », a jugé Adriana Maldonado López (S&D, espagnole).
La proposition initiale de la Commission prévoyait que le futur règlement soit appliqué 24 mois après son entrée en vigueur, à l'exception de l'obligation de notification imposée aux fabricants, qui s'appliquerait 12 mois plus tôt.
Outre les questions relatives au champ d’application et à de possibles exemptions pour certains développeurs de logiciels ‘open source’, certains eurodéputés, à l’instar d’Adam Bielan (CRE, polonais), ont remis en question les capacités de l’Agence de l'Union européenne pour la cybersécurité (ENISA), qui pourrait être chargée de centraliser la notification des incidents de sécurité significatifs. « En a-t-elle les capacités ? Pour nous, non », a-t-il tranché.
Une réunion technique aura lieu mercredi 24 mai. « Il y a un certain nombre de recoupements possibles, de chevauchements. Nous voulons gérer le dossier au mieux, tout en gardant pour objectif de le boucler avant la fin du mandat », a résumé M. Løkkegaard. (Thomas Mangin)