Table des matières de l'article :
Dans un geste historique, l’Union européenne se prépare à adopter la première législation mondiale sur la cybersécurité. Après d'intenses négociations, il y a quelques jours (30 novembre), les représentants du Parlement européen et du Conseil de l'UE sont parvenus à un accord sur les réglementations proposées par la Commission européenne en septembre 2022.
Ces nouvelles règles imposeront des exigences de cybersécurité « proportionnées et obligatoires » à tous les produits matériels et logiciels mis sur le marché unique européen. Cela concerne une large gamme d'appareils, des babyphones aux montres connectées, en passant par les jeux vidéo, les pare-feu et les routeurs. En vertu de la loi sur la cyber-résilience, les fabricants de produits informatiques seront tenus de mettre en œuvre des mesures de sécurité tout au long du cycle de vie du produit, de sa conception et son développement jusqu'à sa commercialisation. Les produits jugés « sûrs » recevront le marquage CE, symbole de conformité au règlement et garantie de leur commercialisation dans toute l'UE.
Cette législation poursuit un double objectif : garantir que les produits numériques utilisés quotidiennement répondent à des normes de sécurité élevées et responsabiliser les fabricants quant à la sécurité de leurs produits.
Selon Vera Jourová , vice-présidente de la Commission européenne chargée des valeurs et de la transparence, 90 % des produits exigeront des acteurs du marché qu'ils procèdent à une auto-évaluation de leur cyber-résilience. Cette catégorie comprend les appareils exécutant des services tels que les applications de retouche photo et de traitement de texte, les enceintes connectées, les disques durs et les consoles de jeux vidéo. Les 10 % restants seront répartis en deux classes de criticité : la « classe I », qui inclut les gestionnaires de mots de passe, les interfaces réseau et les pare-feu, nécessitera des normes prédéfinies ou des évaluations tierces ; tandis que la « classe II », qui inclut les systèmes d'exploitation et les pare-feu industriels, exigera une évaluation indépendante.
Thierry Breton, commissaire européen au Marché intérieur, souligne l’importance cruciale de la cybersécurité, non seulement pour les consommateurs, mais pour la société dans son ensemble. Le nombre de cyberattaques contre la chaîne d’approvisionnement des logiciels a triplé au cours de l’année écoulée, pour un coût estimé à environ 20 milliards d’euros. En 2021, près de 10 millions d’attaques DDoS ont été recensées dans le monde.
La version finale de la loi, élaborée lors de trilogues interinstitutionnels, a conservé la structure générale de la proposition initiale de la Commission. L'obligation légale pour les fabricants de fournir des mises à jour de sécurité pendant une période d'au moins cinq ans a été confirmée. Par ailleurs, des mesures de soutien aux petites et micro-entreprises, notamment des actions de sensibilisation et de formation, ont été intégrées.
Avant son adoption définitive, l'accord doit être ratifié par le Parlement européen en séance plénière et par les ministres des 27 États membres réunis en Conseil. Une fois approuvé, le règlement sur la cyber-résilience sera publié au Journal officiel et les nouvelles règles entreront en vigueur trois ans plus tard.
Loi sur la cyber-résilience
Le Cyber Resilience Act, législation pionnière dans le domaine de la cybersécurité, a été proposé par la Commission européenne le 15 septembre 2022. Cette initiative s'inscrit dans un engagement plus large de l'Union européenne visant à renforcer la résilience et la sécurité de son espace numérique. Le règlement se concentre sur les aspects cruciaux de la cybersécurité des produits matériels et logiciels, dans le but d'élever et de normaliser les normes de sécurité sur l'ensemble du marché unique européen.
Voici les points clés de la Loi Cyber Résilience :
- Exigences de sécurité : Cela impose la nécessité d’intégrer des mesures de cybersécurité robustes dans toutes les phases du cycle de vie du produit, de la conception au lancement.
- Marquage CE: Les produits qui répondent aux exigences de sécurité obtiendront le marquage CE, indiquant leur conformité aux normes de sécurité de l'UE et leur aptitude à la vente dans toute l'Union.
- Évaluation et conformité : Il introduit un système d'évaluation différenciée des risques. Même si la cyber-résilience de la plupart des produits peut être auto-évaluée, certains produits à haut risque nécessitent des évaluations par des tiers.
- Mises à jour de sécurité : Il impose aux fabricants l'obligation de fournir des mises à jour de sécurité pendant une période minimale de cinq ans, garantissant ainsi une protection contre l'évolution des cybermenaces.
- Soutien aux petites et microentreprises : Il comprend des mesures de soutien aux petites et microentreprises, telles que des formations et une aide à la conformité.
- Responsabilités des producteurs : Il accentue la responsabilité des fabricants d'assurer la sécurité de leurs produits, en encourageant la production d'appareils plus sûrs.
Après sa proposition initiale en septembre 2022, l'accord politique sur la loi sur la cyber-résilience a été trouvé le 30 novembre 2022 entre les négociateurs du Parlement européen et du Conseil de l'UE. Cette étape représente une avancée significative dans le domaine de la sécurité numérique, en établissant des normes rigoureuses pour les fabricants et en améliorant la protection des consommateurs et des entreprises contre les cybermenaces. La mise en œuvre de cette loi marque un moment crucial pour la sécurité numérique dans l'Union européenne, visant à créer un environnement numérique plus sûr et plus résilient.
