Les négociateurs du Conseil de l’UE et du Parlement européen se retrouveront le 30 novembre prochain pour tenter de parvenir à un accord politique concernant la législation sur la cyberrésilience (‘Cyber Resilience Act’). D’ici là, les travaux porteront notamment sur le rôle de l’Agence de l'Union européenne pour la cybersécurité (ENISA) et des centres d'alerte et de réaction aux attaques informatiques (CSIRT) lors des signalements d’incidents par les fabricants d’objets connectés.
Bien que s’approchant d’un accord politique, les colégislateurs devront trouver l’équilibre sur les compétences de l’ENISA et des CSIRT. Le Parlement européen souhaite que l’ENISA soit compétente pour la réception des signalements des incidents de sécurité que les fabricants doivent émettre. Le Conseil de l’UE veut que les États membres gardent la main sur la question et que les incidents et autres vulnérabilités soient notifiés aux CSIRT.
La Commission propose que les rapports d’incidents et de vulnérabilités soient remis à l’ENISA et aux CSIRT, mais les colégislateurs devront parvenir à se mettre d’accord sur l’entité qui est alertée en premier en cas d’incident.
Le PE désirait aussi, dans sa position, que la Commission européenne modifiât la fiche financière de l’ENISA de façon à la doter de neuf postes équivalents temps plein et de crédits supplémentaires afin qu’elle pût remplir son rôle (EUROPE 13226/3).
En outre, les négociateurs du Conseil de l’UE et du PE travailleront sur la question des vulnérabilités alors que le dernier texte de compromis proposait que seules les vulnérabilités exploitées fussent couvertes par le texte et que les tentatives n’ayant pas porté leur fruit en fussent exclues.
Si les colégislateurs ont validé la période de cinq années durant laquelle les fabricants seront tenus d’apporter des correctifs et des mises à jour de sécurité, des travaux devront encore être menés sur les catégories de produits critiques.
Les discussions devraient porter sur les critères permettant de définir si un produit est considéré comme critique ou non, sur l’évaluation d’impact ou encore sur le fait que les systèmes ou objets qualifiés de critiques soient - ou non - considérés en tant que tels lorsqu’ils sont intégrés à d’autres produits non-critiques. (Thomas Mangin)