Cybersécurité des réseaux et des systèmes d’information

POINTS CLÉS

La cybersécurité désigne les activités nécessaires pour protéger les réseaux et les systèmes d’information, les utilisateurs de ces systèmes et les autres personnes concernées par les cybermenaces.

Secteurs critiques

La directive s’applique principalement aux moyennes et grandes entités opérant dans les secteurs de haute criticité suivants, tels que définis dans son annexe I:

• l’énergie:
  • l’électricité, y compris les systèmes de production, de distribution et de transmission et les bornes de recharge,
  • le chauffage et le refroidissement urbains,
  • le pétrole, y compris les pipelines de production, de stockage et de transport,
  • le gaz, y compris les systèmes d’approvisionnement, de distribution et de transmission et le stockage, et
  • l’hydrogène;
• le transport par voie aérienne, ferroviaire, fluviale et routière;
• les infrastructures bancaires et financières, telles que les établissements de crédit, les opérateurs de plateformes de négociation et les contreparties centrales;
• la santé, y compris les prestataires de soins de santé, les fabricants de produits pharmaceutiques de base et de dispositifs médicaux essentiels, ainsi que les laboratoires de référence de l’UE;
• l’eau potable;
• les eaux usées;
• l’infrastructure numérique, y compris les fournisseurs de services de centres de données, de services d’informatique en nuage, de réseaux publics de communications électroniques et de services de communications électroniques accessibles au public;
• les services gérés par les TIC (d’entreprise à entreprise);
• l’espace;
• l’administration publique aux niveaux central et régional, à l’exclusion du pouvoir judiciaire, des parlements et des banques centrales; la directive ne s’applique pas aux entités de l’administration publique qui exercent des activités dans les domaines de la sécurité nationale, de la sécurité publique, de la défense ou de l’application de la loi.

Elle s’applique également à d’autres secteurs critiques, tels que définis à l’annexe II:

• les services postaux et de messagerie;
• la gestion des déchets;
• la fabrication, la production et la distribution de produits chimiques;
• la production, la transformation et la distribution de denrées alimentaires;
• l’industrie manufacturière, notamment des dispositifs médicaux, des produits informatiques, électroniques et optiques, de certains équipements et machines électriques, des véhicules à moteur et d’autres équipements de transport;
• les fournisseurs numériques de places de marché en ligne, de moteurs de recherche et de réseaux sociaux; et
• les organismes de recherche.

Stratégie nationale de cybersécurité

Chaque État membre doit adopter une stratégie nationale pour atteindre et maintenir un niveau élevé de cybersécurité dans les secteurs critiques, y compris:

• un cadre de gouvernance clarifiant les rôles et les responsabilités des parties prenantes au niveau national;
• des politiques relatives à la sécurité des chaînes d’approvisionnement;
• des politiques de gestion des vulnérabilités;
• des politiques de promotion et de développement de l’éducation et de la formation en matière de cybersécurité; et
• des mesures visant à améliorer la sensibilisation des citoyens à la cybersécurité.

Les États membres doivent établir une liste d’entités essentielles et importantes, ainsi que d’entités fournissant des services d’enregistrement des noms de domaine, au plus tard le 17 avril 2025. Ils doivent réexaminer et, le cas échéant, mettre à jour régulièrement cette liste, et au moins tous les deux ans par la suite. La Commission européenne a adopté des lignes directrices concernant les informations devant être collectées lors de l’établissement de ces listes, ainsi qu’un modèle pour ce faire.

La Commission a également publié des lignes directrices clarifiant les règles relatives aux liens entre la directive (UE) 2022/2555 et les actes juridiques de l’UE, spécifiques au secteur, en ce qui concerne les mesures de gestion des risques en matière de cybersécurité ou les obligations de déclaration d’incidents. L’annexe aux lignes directrices fournit une liste non exhaustive des actes juridiques sectoriels que la Commission estime comme relevant du champ d’application de l’article 4 de la directive (UE) 2022/2555.

Équipes d’intervention en cas d’incident de sécurité informatique

Les centres de réponse aux incidents de sécurité informatique (CSIRT) fournissent une assistance technique aux entités, y compris en:

• surveillant et en analysant les cybermenaces, les vulnérabilités et les incidents au niveau national;
• fournissant aux entités concernées et aux autres parties prenantes des avertissements, des alertes, des annonces et des informations précoces sur les cybermenaces, les vulnérabilités et les incidents, si possible en temps quasi réel;
• réagissant aux incidents et en fournissant une assistance le cas échéant;
• recueillant et en analysant des données scientifiques et en fournissant une analyse dynamique des risques et des incidents ainsi qu’une évaluation de la situation en matière de cybersécurité; et en
• fournissant, sur demande, une analyse proactive des réseaux et des systèmes d’information afin de détecter les vulnérabilités susceptibles d’avoir un impact important.

Réseau des CSIRT

La directive met en place un réseau de CSIRT nationaux afin de promouvoir une coopération opérationnelle rapide et efficace.

Divulgation coordonnée des failles

Les États membres doivent:

• désigner un de leurs CSIRT pour coordonner la divulgation des vulnérabilités découvertes dans les produits ou services TIC; et
• veiller à ce que les citoyens des États membres puissent signaler des vulnérabilités, de manière anonyme s’ils en font la demande.

L’Agence de l’Union européenne pour la cybersécurité (ENISA) élabore et tient à jour une base de données des vulnérabilités.

Groupe de travail

La directive crée un groupe de coopération chargé de soutenir et de faciliter la coopération stratégique et l’échange d’informations. Celui-ci est composé de représentants des États membres, de la Commission et de l’ENISA. Le cas échéant, le groupe de coopération peut inviter le Parlement européen et des représentants des parties prenantes concernées à participer à ses travaux.

Réseau européen d’organisations de liaison en cas de crise informatique

Le réseau européen pour la préparation et la gestion des crises cyber (EU-CyCLONe) est composé de représentants des autorités des États membres chargées de la gestion des crises cyber, ainsi que de la Commission, dans les cas où un incident de cybersécurité à grande échelle, potentiel ou en cours, a ou est susceptible d’avoir un impact significatif sur les secteurs couverts par la directive. Dans les autres cas, la Commission participera aux activités du réseau en tant qu’observateur.

Le réseau soutient la gestion coordonnée des incidents et des crises de cybersécurité à grande échelle au niveau opérationnel et assure l’échange régulier d’informations entre les États membres et les institutions, organes, bureaux et agences de l’UE.

Le réseau est chargé, entre autres, de:

• coordonner la gestion des incidents et des crises de cybersécurité à grande échelle et soutenir la prise de décision au niveau politique;
• l’amélioration de la préparation;
• développer une connaissance commune de la situation; et
• d’évaluer les conséquences et l’impact des incidents et des crises de cybersécurité à grande échelle et de proposer des mesures d’atténuation possibles.

Mesures de gestion des risques de cybersécurité

Les entités doivent prendre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques liés à la cybersécurité. Le catalogue de mesures comprend, entre autres, des politiques relatives à l’analyse des risques et à la sécurité des systèmes d’information, la gestion des incidents, la continuité des activités, la reprise des activités et la gestion des crises, la sécurité de la chaîne d’approvisionnement, le traitement et la divulgation des vulnérabilités, les pratiques de base en matière d’hygiène, les politiques et les procédures relatives à l’utilisation de la cryptographie (et le chiffrement, le cas échéant), la sécurité des ressources humaines et l’utilisation de solutions d’authentification à plusieurs facteurs ou d’authentification continue. Ces mesures doivent reposer sur une approche «tous risques».

Les organes de gestion doivent approuver ces mesures et superviser leur mise en œuvre et peuvent être tenus responsables de toute infraction.

Rapport

Les entités doivent notifier à leur CSIRT ou à l’autorité compétente tout incident qui:

• a entraîné ou est susceptible d’entraîner de graves perturbations opérationnelles ou des pertes financières pour l’entité;
• a affecté ou pourrait affecter d’autres personnes en causant des dommages matériels ou immatériels considérables.

En outre, l’ENISA produira, en coopération avec la Commission et le groupe de coopération, un rapport bisannuel sur l’état de la cybersécurité dans l’UE, qui sera également soumis au Parlement.

Supervision et application

La directive prévoit des recours et des sanctions pour garantir l’application de la législation.

Évaluations par les pairs

Les évaluations par les pairs sont mises en place en vue de tirer des enseignements des expériences partagées, de renforcer la confiance mutuelle, d’atteindre un niveau commun élevé de cybersécurité et d’améliorer les capacités et les politiques des États membres en matière de cybersécurité nécessaires à la mise en œuvre de cette directive. Ces évaluations comportent des visites sur place ou virtuelles et des échanges d’informations hors site. La participation à ces évaluations par les pairs se fait sur la base du volontariat.

Acte d’exécution

Le règlement d’exécution (UE) 2024/2690 établit les règles d’application de la directive (UE) 2022/2555 en ce qui concerne les exigences techniques et méthodologiques applicables aux mesures de gestion des risques en matière de cybersécurité et définit davantage les cas dans lesquels un incident est considéré comme significatif en ce qui concerne:

• les fournisseurs de services de système de noms de domaine,
• les registres de noms de domaine de premier niveau,
• les fournisseurs d’informatique en nuage,
• les fournisseurs de services de centre de données,
• les fournisseurs de réseau de diffusion de contenu,
• les fournisseurs de services gérés,
• les fournisseurs de services de sécurité gérés,
• les fournisseurs de places de marché en ligne, de moteurs de recherche en ligne ou de plateformes de services de réseaux sociaux, et
• les prestataires de services de confiance.

Abrogation

La directive (UE) 2022/2555 a abrogé la directive (UE) 2016/1148 (voir la synthèse) à partir du 18 octobre 2024, et le règlement d’exécution (UE) 2024/2690 a abrogé le règlement d’exécution (UE) 2018/151, qui a établi les règles pour l’application de la directive (UE) 2016/1148.