La Cour des comptes de l’UE a publié, jeudi 5 octobre, un rapport dans lequel elle estime que des clarifications devraient être apportées sur certains points concernant la proposition de règlement sur la cybersolidarité ('Cybersolidarity Act') (EUROPE 13164/1).
La Cour des comptes suggère à la Commission européenne de mettre à disposition des estimations de coûts liés à l’établissement et à la mise en œuvre des mesures comprises dans le paquet 'Cyberespace' - présenté le 18 avril dernier - telles que le ‘bouclier cyber’ et le mécanisme d’urgence cybernétique, y compris la réserve de cybersécurité de l'UE.
Faute d’étude d’impact, les auditeurs estiment que le financement disponible, d'un montant de 843 millions d’euros et devant couvrir aussi d’autres actions de cybersécurité dans le cadre du 'Programme pour une Europe numérique', comme le soutien à l’industrie, mérite d’être clarifié.
En outre, le document souligne que des précisions devraient être apportées sur les centres opérationnels de sécurité (SOC) nationaux et les centres opérationnels de sécurité transfrontaliers (SOC transfrontaliers), qui composeront le ‘bouclier cyber’. L’UE pourrait contribuer à hauteur de 50% pour couvrir les coûts d’acquisition des outils et infrastructures des SOC nationaux éligibles et jusqu’à 75% de ceux des SOC transfrontaliers. Les auditeurs s’interrogent ainsi sur les raisons techniques - en matière d’outils et d’infrastructures supplémentaires nécessaires - qui légitimeraient un cofinancement plus élevé des SOC transfrontaliers.
Par ailleurs, les auditeurs de la Cour des comptes de l’UE estiment que le règlement, tel que proposé, risque d’engendrer des chevauchements entre les réseaux existants d’équipes d'intervention en cas d'incident de sécurité informatique (CSIRT) et les SOC. La Commission avait annoncé que les SOC devraient constituer un réseau complémentaire de celui des CSIRT. Toutefois, certaines tâches leur incombant sont similaires, notamment en matière de détection des menaces, de réaction, de renseignement et de connaissance de la situation.
Enfin, le rapport suggère qu’un délai maximum pour la remise du rapport de l’ENISA après chaque incident cyber soit spécifié et que le délai de soumission du rapport sur l’évaluation et le réexamen du futur règlement puisse être avancé.
Voir le rapport : https://aeur.eu/f/8wt (Thomas Mangin)