Les négociateurs du Conseil de l’UE et du Parlement européen sont parvenus, lundi 26 juin, à un accord politique provisoire sur le règlement visant à assurer un niveau commun élevé de cybersécurité dans les institutions, agences et organes de l’UE.
« Nous devons être prêts à faire face à l'évolution constante des cybermenaces. Cela nécessite des capacités techniques, des compétences et des ressources suffisantes, que le nouveau règlement renforcera », a commenté la rapportrice du dossier, Henna Virkkunen (PPE, finlandaise).
Les règles, proposées en 2022 par la Commission en réponse à une augmentation du nombre de cyberattaques, visent ainsi, par le biais d'évaluations régulières et de mesures appropriées, à créer un cadre commun pour toutes les entités de l'UE dans le domaine de la cybersécurité. Le texte prévoit aussi de renforcer le rôle de l'Équipe d'intervention en cas d'urgence informatique de l'UE (CERT-UE). Ce point faisait partie des derniers aspects sur lesquels les négociations se poursuivaient (EUROPE 13166/15).
Rebaptisé 'Service de cybersécurité pour les institutions, organes et organismes de l’Union' - mais gardant son acronyme -, le CERT-UE devra notamment conseiller l'ensemble des institutions, organes et agences de l'UE et les aider à prévenir et à détecter les incidents, ainsi qu'à y réagir.
Ce service tiendra aussi un rôle de plaque tournante pour l'échange d'informations et la coordination en matière de cybersécurité et de réponse aux incidents. Toutes les entités de l'UE seront tenues de partager sans délai les informations non classifiées relatives aux incidents avec le CERT-UE.
Un nouveau Conseil interinstitutionnel de la cybersécurité verra le jour. Il aura la tâche de contrôler la mise en œuvre du règlement au sein des entités de l’UE alors que les niveaux de cybersécurité sont encore largement inégaux. Il sera également chargé de fournir des orientations au CERT-UE et sera composé de représentants de toutes les institutions ainsi que de l'Agence de l'Union européenne pour la cybersécurité (ENISA), du Contrôleur européen de la protection des données ou encore, entre autres, de la Banque européenne d’investissement. (Thomas Mangin)