This document is an excerpt from the EUR-Lex website
Mesures restrictives de l’Union européenne contre les cyberattaques
SYNTHÈSE DES DOCUMENTS:
QUEL EST L’OBJET DE CETTE DÉCISION ET DE CE RÈGLEMENT?
La décision (PESC) 2019/797 et le règlement (UE) 2019/796 instaurent un cadre permettant à l’Union européenne (UE) d’imposer des sanctions afin de dissuader et de répondre aux cyberattaques1 constituant une menace extérieure pour l’UE ou pour les États membres de l’UE. Ces cyberattaques comprennent également celles qui ciblent des pays tiers ou des organisations internationales lorsqu’une action est jugée nécessaire pour atteindre les objectifs de la politique étrangère et de sécurité commune de l’UE.
POINTS CLÉS
Sanctions établies pour les personnes et entités inscrites sur la liste
- Ce cadre permet à l’UE d’imposer des sanctions aux personnes ou entités responsables de cyberattaques ou de tentatives de cyberattaques, qui apportent un soutien financier, technique ou matériel à celles-ci, ou sont impliquées de toute autre manière dans celles-ci. Les sanctions peuvent également être imposées à des personnes ou à des entités qui leur sont associées. Les mesures restrictives comportent les interdictions de voyage de personnes vers l’UE et le gel des avoirs.
- Les personnes faisant l’objet de ces sanctions seront inscrites à l’annexe I de la décision (PESC) 2019/797, telles qu’identifiées par le Conseil de l’Union européenne; De plus, tous les fonds et ressources économiques appartenant aux personnes physiques ou morales, entités ou organismes inscrits sur la liste qui figure à l’annexe I seront gelés, de même que tous les fonds et ressources économiques que ces personnes, entités ou organismes possèdent, détiennent ou contrôlent.
- Les États membres sont responsables de déterminer les règles relatives aux sanctions en cas d’infraction.
Cyberattaques
Les cyberattaques relevant du champ d’application de ce nouveau régime de sanctions concernent celles qui ont des effets importants et qui:
- ont leur origine ou sont menées à l’extérieur de l’UE; ou
- utilisent des infrastructures situées à l’extérieur de l’UE; ou
- sont menées par toute personne ou entité établie ou agissant à l’extérieur de l’UE; ou
- sont menées avec l’appui de toute personne ou entité agissant à l’extérieur de l’UE.
Les cyberattaques qui menacent les États membres comprennent notamment celles qui visent les systèmes d’information liés:
- les infrastructures critiques qui sont indispensables au maintien des fonctions vitales de la société, ou à la santé, à la sûreté, à la sécurité et au bien-être économique ou social des citoyens;
- les services nécessaires au maintien d’activités sociales et économiques critiques, en particulier dans l’énergie, le transport, les activités bancaires, les finances, les soins de santé, l’eau potable et les infrastructures numériques;
- les fonctions critiques des États, en particulier la défense, la gouvernance et le fonctionnement des institutions, les élections publiques les infrastructures économiques et civiles, la sécurité intérieure et les relations extérieures, y compris dans le cadre de missions diplomatiques;
- le stockage ou le traitement des informations classifiées; ou
- les équipes d’intervention d’urgence mises en place par les pouvoirs publics.
DEPUIS QUAND CETTE DÉCISION ET CE RÈGLEMENT S’APPLIQUENT-ILS?
Ils s’appliquent depuis le .
CONTEXTE
Une communication conjointe publiée en juin 2018 a souligné que les activités menées par des acteurs étatiques ou non étatiques — allant de cyberattaques perturbant l’économie et les services publics, à des campagnes de désinformation ciblées, jusqu’à des actions militaires hostiles — continuent de constituer une menace grave et sérieuse pour l’UE et ses États membres. Elle a déterminé les domaines dans lesquels l’action doit être intensifiée afin d’approfondir et de renforcer la contribution de l’UE à la lutte contre ces menaces et a invité les États membres ainsi que la Commission européenne à assurer un suivi rapide.
En octobre 2018, à la suite des cyberattaques contre l’Organisation pour l’interdiction des armes chimiques, le Conseil européen a adopté des conclusions appelant à l’élaboration de mesures visant à renforcer encore la capacité de dissuasion, la résilience et la réponse de l’UE face aux menaces hybrides, aux cybermenaces ainsi qu’aux menaces de nature chimique, biologique, radiologique et nucléaire. Le Conseil a été appelé à développer un régime de sanctions spécifique aux cyberattaques.
Pour plus d’informations, voir :
- Résilience, dissuasion et défense: doter l’UE d’une cybersécurité solide (Commission européenne)
- Cybersécurité de l’UE: stratégie et politiques clés (Conseil européen et Conseil de l’Union européenne)
- Cyberattaques: le Conseil est désormais en mesure d'imposer des sanctions — Communiqué de presse (Conseil européen et Conseil de l’Union européenne).
TERME CLÉ
DOCUMENTS PRINCIPAUX
Décision (PESC) 2019/797 du Conseil du concernant des mesures restrictives contre les cyberattaques qui menacent l’Union ou ses États membres (JO L 129 I du , p. 13-19).
Les modifications successives de la décision (PESC) 2019/797 ont été intégrées au texte d’origine. Cette version consolidée n’a qu’une valeur documentaire.
Règlement (UE) 2019/796 du Conseil du concernant des mesures restrictives contre les cyberattaques qui menacent l’Union ou ses États membres (JO L 129 I du , p. 1-12).
Voir la version consolidée.
dernière mise à jour