L'Europe est confrontée quotidiennement à des cyberattaques et à des attaques hybrides contre des services essentiels et des institutions démocratiques, menées par des groupes étatiques et criminels sophistiqués. La Commission européenne a proposé aujourd'hui un nouveau train de mesures sur la cybersécurité afin de renforcer encore la résilience et les capacités de l'UE en matière de cybersécurité face à ces menaces croissantes.
Le train de mesures comprend une proposition de révision du règlement sur la cybersécurité, qui renforce la sécurité des chaînes d'approvisionnement des technologies de l'information et de la communication (TIC) de l'UE. Il garantit que les produits qui parviennent aux citoyens de l'UE sont cybersécurisés dès la conception grâce à un processus de certification plus simple. Il facilite également le respect des règles de cybersécurité existantes de l'UE et renforce l'Agence de l'UE pour la cybersécurité (ENISA) en aidant les États membres et l'UE à gérer les menaces en matière de cybersécurité.
Renforcer la sécurité des chaînes d'approvisionnement en TIC dans l'UE
Le nouveau règlement sur la cybersécurité vise à réduire les risques dans la chaîne d'approvisionnement en TIC de l'UE provenant de fournisseurs de pays tiers ayant des préoccupations en matière de cybersécurité. Il définit un cadre de confiance pour la sécurité de la chaîne d'approvisionnement des TIC, fondé sur une approche harmonisée, proportionnée et fondée sur les risques. Cela permettra à l'UE et aux États membres de recenser et d'atténuer conjointement les risques dans les 18 secteurs critiques de l'UE, en tenant également compte des incidences économiques et de l'offre sur le marché.
Les récents incidents de cybersécurité ont mis en évidence les risques majeurs posés par les vulnérabilités des chaînes d'approvisionnement en TIC, qui sont essentielles au fonctionnement des services et infrastructures critiques. Dans le paysage géopolitique actuel, la sécurité de la chaîne d'approvisionnement ne concerne plus seulement la sécurité technique des produits ou des services, mais aussi les risques liés à un fournisseur, en particulier les dépendances et l'ingérence étrangère.
Le règlement sur la cybersécurité permettra de dérisquer obligatoirement les réseaux européens de télécommunications mobiles des fournisseurs de pays tiers à haut risque, en s'appuyant sur les travaux déjà réalisés dans le cadre de la boîte à outils pour la sécurité de la 5G.
Simplifier et renforcer le cadre européen de certification de cybersécurité
Le règlement révisé sur la cybersécurité veillera à ce que les produits et services qui parviennent aux consommateurs de l'UE fassent l'objet de tests de sécurité plus efficaces. Cela se fera au moyen d'un cadre européen renouvelé de certification de cybersécurité (ECCF). L'ECCF apportera plus de clarté et des procédures plus simples, permettant l'élaboration de systèmes de certification par défaut dans un délai de 12 mois. Elle introduira également une gouvernance plus souple et plus transparente afin de mieux associer les parties prenantes grâce à l'information et à la consultation du public.
Les systèmes de certification, gérés par l'ENISA, deviendront un outil pratique et volontaire pour les entreprises. Elles permettront aux entreprises de démontrer qu'elles respectent la législation de l'UE, ce qui réduira la charge et les coûts. Au-delà des produits TIC, des services, des processus et des services de sécurité gérés, les entreprises et les organisations seront en mesure de certifier leur cyber posture pour répondre aux besoins du marché. En fin de compte, l'ECCF renouvelé constituera un atout concurrentiel pour les entreprises de l'UE. Pour les citoyens, les entreprises et les pouvoirs publics de l'UE, il garantira un niveau élevé de sécurité et de confiance dans les chaînes d'approvisionnement complexes en TIC.
Faciliter le respect des règles de cybersécurité
Le train de mesures introduit des mesures visant à simplifier le respect des règles de cybersécurité de l'UE et des exigences en matière de gestion des risques pour les entreprises opérant dans l'UE, en complément du point d'entrée unique pour le signalement des incidents proposé dans l'omnibus numérique. Des modifications ciblées de la directive SRI 2 visent à accroître la clarté juridique. Ils faciliteront la mise en conformité de 28 700 entreprises, dont 6 200 micro et petites entreprises. Ils introduiront également une nouvelle catégorie de petites entreprises à moyenne capitalisation afin de réduire les coûts de mise en conformité pour 22 500 entreprises. Les modifications simplifieront les règles de compétence, rationaliseront la collecte de données sur les attaques par ransomware et faciliteront la surveillance des entités transfrontalières dans le cadre du rôle renforcé de coordination de l'ENISA.
Donner à l'ENISA les moyens de renforcer la résilience de l'Europe en matière de cybersécurité
Depuis l'adoption du premier règlement sur la cybersécurité en 2019, l'ENISA est devenue une pierre angulaire de l'écosystème de cybersécurité de l'UE. Le règlement révisé sur la cybersécurité présenté aujourd'hui permet à l'ENISA d'aider l'UE et ses États membres à comprendre les menaces communes. Il leur permet également de se préparer et de réagir aux cyberincidents.
L'agence continuera de soutenir les entreprises et les parties prenantes opérant dans l'UE en émettant des alertes précoces en cas de cybermenaces et d'incidents. En coopération avec Europol et les équipes de réaction aux incidents de sécurité informatique, elle aidera les entreprises à réagir aux attaques de rançongiciels et à se remettre de celles-ci. L'ENISA élaborera également une approche de l'Union visant à fournir de meilleurs services de gestion des vulnérabilités aux parties prenantes. Elle exploitera le point d'entrée unique pour le signalement des incidents proposé dans l'omnibus numérique.
L'ENISA continuera de jouer un rôle clé dans la poursuite de la mise en place d'une main-d'œuvre qualifiée dans le domaine de la cybersécurité en Europe. Pour ce faire, elle pilotera l'Académie des compétences en matière de cybersécurité et mettra en place des systèmes d'attestation des compétences en matière de cybersécurité à l'échelle de l'UE.
Prochaines étapes
Le règlement sur la cybersécurité sera applicable immédiatement après son approbation par le Parlement européen et le Conseil de l'UE. Les modifications de la directive SRI 2 qui l'accompagnent seront également présentées pour approbation. Une fois adoptée, les États membres disposeront d'un an pour transposer la directive en droit national et communiquer les textes pertinents à la Commission.
Pour plus d'informations
Détails
- Date de publication
- 20 janvier 2026
- Auteur
- Représentation au Luxembourg