La future loi, fruit d'un accord informel entre le Parlement européen et le Conseil le 7 décembre, doit encore être approuvée par la session plénière du Parlement européen et par le Conseil.
La nouvelle directive visant à instaurer un niveau de sécurité commun plus élevé pour les réseaux et les systèmes d'information au sein de l'Union européenne (dite NIS) a pour objectif de mettre fin à la fragmentation actuelle des 28 systèmes nationaux de cybersécurité. Elle établit une liste de secteurs de services critiques ou d'entreprises qui seront tenus de prendre des mesures spécifiques pour se prémunir contre les futures cyberattaques. Ils auront également l'obligation de signaler aux autorités nationales toute violation grave de la sécurité dont ils seraient victimes.
« Le Parlement a fortement œuvré pour une identification harmonisée des secteurs critiques tels que l'énergie, les transports, la santé et la banque, qui devront se conformer aux nouvelles règles et signaler les incidents cybernétiques majeurs. Les États membres devront également renforcer leur coopération en matière de cybersécurité, des mesures d'autant plus importantes au vu des récentes attaques de sécurité en Europe », a expliqué le porte-parole allemand Andreas Schwab (PPE) après la conclusion d'un accord le mois dernier sur la directive NIS.
Liste des « services essentiels » :
les États membres de l’UE devront identifier les « opérateurs de services essentiels » dans chacun des domaines mentionnés en utilisant les mêmes critères : si le service est fondamental pour la société et l’économie, s’il dépend d’autres réseaux et systèmes d’information, ou si un incident pourrait avoir des effets néfastes importants sur la fourniture du service ou la sécurité publique.
Certains fournisseurs de services numériques, tels que les grandes plateformes de vente en ligne comme eBay et Amazon, les moteurs de recherche (par exemple Google) et les fournisseurs de stockage en nuage, devront également prendre des mesures pour garantir la sécurité de leur infrastructure et seront tenus de signaler les incidents graves aux autorités nationales. Les PME numériques seront exemptées de cette directive.
Mécanismes de coopération à l'échelle de l'UE
: Afin de garantir un niveau de sécurité plus élevé dans toute l'UE et de renforcer la confiance entre les États membres, le projet de loi prévoit la création d'un « groupe de coopération » stratégique chargé de l'échange d'informations et de bonnes pratiques, de l'élaboration de lignes directrices et de l'accompagnement des pays dans le renforcement de leurs capacités en matière de cybersécurité. Chaque État membre sera tenu d'adopter sa propre stratégie nationale de sécurité nationale.
Chaque État membre de l’UE devra également mettre en place un réseau d’équipes d’intervention en cas d’incident de sécurité informatique (CSIRT) afin de gérer les incidents et les risques, d’examiner les questions de sécurité transfrontalières et d’identifier les réponses coordonnées potentielles. L’Agence de l’Union européenne pour la cybersécurité (ENISA) jouera également un rôle essentiel dans la mise en œuvre de cette directive.
La nécessité de respecter la protection des données personnelles est un sujet abordé à plusieurs reprises dans le projet de loi.
Prochaines étapes :
Le projet de directive NIS sera examiné par des juristes avant d’être approuvé par le Conseil et le Parlement. Il sera ensuite publié au Journal officiel de l’Union européenne et entrera en vigueur vingt jours après sa publication. Les États membres disposeront de 21 mois supplémentaires pour transposer la directive dans leur droit national et de six mois supplémentaires pour identifier les opérateurs de services essentiels.
Remarque : Les systèmes d’information, les réseaux critiques et les services tels que les services bancaires en ligne, les réseaux électriques ou la sécurité aéroportuaire peuvent être affectés par des incidents de sécurité dus à des erreurs humaines, des défaillances techniques ou des attaques malveillantes. L’ENISA estime que ces incidents entraînent des pertes annuelles comprises entre 260 et 340 milliards d’euros.
