|
Le Conseil et le Parlement européen se sont mis d’accord aujourd'hui sur des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union, afin d'améliorer encore la résilience et les capacités de réaction aux incidents du secteur public comme du secteur privé et de l'UE dans son ensemble.
Une fois adoptée, la nouvelle directive, appelée "SRI 2", remplacera l'actuelle directive sur la sécurité des réseaux et des systèmes d'information (directive SRI).
Renforcement de la gestion des risques et des incidents ainsi que de la coopération
La directive SRI 2 constituera la base des mesures de gestion des risques en matière de cybersécurité et des obligations en matière de notification d’incident dans tous les secteurs couverts par la directive, comme l'énergie, les transports, la santé, les infrastructures numériques ou encore les entreprises de services numériques.
La directive révisée concourt à la réduction des divergences au niveau des exigences en matière de cybersécurité et de la mise en œuvre des mesures de cybersécurité dans les différents États membres en fixant des règles minimales en matière de réglementation et en renforçant les mécanismes d'une coopération efficace entre les autorités nationales compétentes.
Elle met à jour la liste des secteurs et des activités encadrées et prévoit des voies de recours et des sanctions pour assurer sa bonne mise en œuvre.
La directive instaurera officiellement le réseau européen pour la préparation et la gestion des crises cyber (UE-CyCLONe), qui soutiendra la gestion coordonnée des incidents de cybersécurité majeurs.
Élargissement du champ d'application
Alors que, en vertu de l'ancienne directive SRI, il incombait aux États membres de déterminer quelles entités remplissaient les critères pour être qualifiées d'opérateurs de services essentiels, la nouvelle directive SRI 2 introduit une règle associée à un plafond. Cela signifie que toutes les moyennes et grandes entités opérant dans les secteurs couverts par la directive ou fournissant des services qui en relèvent entreront dans son champ d'application.
Bien que l’accord entre le Parlement européen et le Conseil conserve cette règle générale, le texte provisoirement agréé comporte des dispositions supplémentaires visant à garantir la proportionnalité, un niveau plus élevé de gestion des risques ainsi que des critères clairs relatifs au caractère critique des entités afin de déterminer celles qui sont couvertes.
Le texte précise également que la directive ne s'appliquera pas aux entités exerçant des activités dans des domaines tels que la défense ou la sécurité nationale, la sécurité publique, les services répressifs et le pouvoir judiciaire. Les parlements et les banques centrales sont également exclus du champ d'application.
Les administrations publiques étant souvent la cible de cyberattaques, la SRI 2 s'appliquera aux entités de l'administration publique aux niveaux central et régional. En outre, les États membres peuvent décider de l'appliquer également à ce type d'entités au niveau local.
Autres modifications introduites par les co-législateurs
Le Parlement européen et le Conseil ont également prévu des dispositions concernant les interactions avec les législations sectorielles, en particulier sur le règlement sur la résilience opérationnelle numérique du secteur financier (DORA) et sur la directive sur la résilience des entités critiques (CER) à des fins de clarté juridique et de cohérence entre la directive SRI 2 et ces actes.
Un mécanisme volontaire d'apprentissage par les pairs renforcera la confiance mutuelle et les enseignements à tirer des bonnes pratiques et des expériences, contribuant ainsi à un niveau élevé commun de cybersécurité.
Les deux co-législateurs ont, par ailleurs, rationalisé les obligations en matière de signalement afin d'éviter de provoquer un phénomène de surdéclaration et de créer une charge excessive pour les entités concernées.
Les États membres disposeront d'un délai de vingt-et-un moisà compter de l'entrée en vigueur de la directive pour en intégrer les dispositions dans leur droit national.
Prochaines étapes
L’accord provisoire conclu aujourd’hui devra être approuvé par le Conseil et le Parlement européen.
De la part du Conseil, la Présidence compte soumettre l’accord pour approbation au Comité des représentants permanents du Conseil prochaine
|
