Les négociateurs du Conseil de l’UE et du Parlement européen se retrouveront, jeudi 30 novembre, pour tenter de parvenir à un accord interinstitutionnel sur la législation relative aux exigences de cybersécurité pour les objects connectés ('Cyber Resilience Act’). Le rapporteur du dossier, Nicola Danti (Renew Europe, italien), a estimé, mardi 28 novembre, qu’un accord politique interinstitutionnel est possible à cette échéance, à condition que « le Conseil fasse un pas vers le Parlement » sur certains points.
Lors des dernières négociations interinstitutionnelles (‘trilogues’), le 9 novembre, les colégislateurs avaient validé les travaux menés au niveau technique. Restent sur la table les dispositions relatives aux produits critiques comportant des éléments numériques (article 6) et, surtout, aux obligations de déclaration des fabricants (article 11).
« Il faut une approche européenne qui ne sera garantie qu’avec un article 11 fort, qui tienne compte du rôle de l’Agence de l'Union européenne pour la cybersécurité (ENISA) », a commenté M. Danti.
Pour rappel, le PE souhaiterait que l’ENISA soit compétente pour la réception des notifications des fabricants en cas de vulnérabilités activement exploitées. Les États membres, pour leur part, voudraient que les signalements soient envoyés aux centres nationaux d'alerte et de réaction aux attaques informatiques (CSIRT) (EUROPE 13291/8).
En outre, le Parlement et le Conseil de l’UE devront aussi se mettre d’accord sur les critères devant définir si un objet doit être considéré comme critique ou non. Les positions des États membres et des eurodéputés ont longtemps été éloignées sur la question. Un compromis pourrait émerger par le biais d'un texte juridique précisant la méthodologie, tout en maintenant, en annexe, une liste de produits critiques. Ce point fait partie des priorités pour le PE (EUROPE 13226/3).
Lors du dernier trilogue, le PE et le Conseil de l’UE s’était accordés pour fixer à cinq ans la période durant laquelle les fabricants seront tenus d’apporter des correctifs et des mises à jour de sécurité. Cette durée serait adaptée pour les objets ayant une durée de vie inférieure à cinq ans. (Thomas Mangin)