L'Union européenne est exposée quotidiennement à des cyberattaques et à des attaques hybrides ciblant « les services essentiels et les institutions démocratiques », menées par des groupes « étatiques et criminels sophistiqués ». C’est une formulation qui reflète une pression continue : nous ne parlons pas seulement d’incidents isolés ou de campagnes de ransomwares, mais d’un niveau de menace capable de remettre en question la continuité opérationnelle des services critiques et la confiance dans les institutions.
Dans ce contexte, la Commission européenne a mis sur la table un nouveau paquet cybersécurité avec pour objectif déclaré de renforcer la résilience et la capacité de réponse de l'UE « face à ces menaces croissantes », lit-on dans le communiqué. L’objectif est de réduire la fragmentation, d’augmenter la coordination et de rendre le niveau de sécurité plus mesurable dans l’ensemble de l’écosystème technologique, de la conception des produits aux services gérés.
Plus de résilience, plus de capacité, plus de gouvernance
La proposition tourne autour de la révision de la loi sur la cybersécurité (CSA), mais se présente comme une intervention globale qui tente de maintenir trois niveaux ensemble : la sécurité de la chaîne d'approvisionnement des TIC, la certification européenne et la simplification de la conformité, avec une Enisa encore renforcée.
Le système se veut opérationnel : faciliter la certification des produits et services « sûrs d'un point de vue cyber dès la conception », faciliter le respect des règles existantes et donner à l'agence européenne un rôle plus incisif dans l'accompagnement des Etats membres et la gestion des menaces.
La révision de la loi sur la cybersécurité et le tournant dans la sécurité de la chaîne d'approvisionnement des TIC
Le cœur de la révision réside dans le renforcement de la sécurité de la chaîne d'approvisionnement des TIC, en particulier lorsque des fournisseurs de pays tiers « ayant des problèmes de cybersécurité » entrent en jeu. La Commission propose un cadre « fiable » fondé sur une approche harmonisée, proportionnée et fondée sur les risques, dans le but de permettre à l'Union européenne et aux États membres d'identifier et d'atténuer les risques dans les 18 secteurs européens critiques, en tenant également compte des impacts économiques et de la dynamique de l'offre du marché.
Dans le contexte géopolitique actuel, la sécurité de la chaîne d’approvisionnement s’interprète également en termes de dépendances et d’interférences extérieures, ainsi que de sécurité technique des produits et services. Ce changement de perspective déplace l’attention du renforcement de la composante individuelle vers la solidité du système d’approvisionnement.
Dans ce plan se trouve l'une des étapes les plus sensibles pour les télécommunications : la loi révisée « permettra la réduction obligatoire des risques dans les réseaux européens de télécommunications mobiles à l'égard des fournisseurs de pays tiers considérés comme à haut risque », dans la continuité des travaux menés dans le périmètre de la boîte à outils de sécurité 5G. L’impact potentiel implique des choix d’infrastructures pluriannuels, des architectures de réseau, des contrats et des chaînes d’approvisionnement.
La certification européenne : plus rapide, plus claire, plus « orientée marché »
Le paquet promet de rendre la certification de cybersécurité plus efficace grâce à un cadre européen renouvelé de certification de cybersécurité.. L'objectif est une plus grande clarté et des procédures simplifiées, avec des systèmes de certification pouvant être développés « dans un délai de 12 mois par défaut » et une gouvernance plus transparente, capable d'impliquer les parties prenantes à travers l'information et la consultation publiques.
La certification, dans la vision proposée, devrait devenir un outil pratique et volontaire pour les entreprises, utile pour démontrer leur conformité à la législation européenne et donc réduire les charges et les coûts globaux. L’ambition est de le transformer en un atout compétitif : pour les entreprises comme levier de positionnement, pour les citoyens et les AP comme gage de confiance dans des supply chains complexes.
Le périmètre s'étend au-delà des produits TIC : services, processus et services de sécurité gérés, jusqu'à la possibilité pour les entreprises et les organisations de certifier leur cyber-posture en fonction des besoins du marché.
Conformité : vers moins de chevauchement, avec un oeil sur Nis2
La Commission insère également mesures de simplification de la conformité et les exigences de gestion des risques, en parallèle avec le « point d’accès unique pour le signalement des incidents » proposé dans l’Omnibus numérique. L’objectif est de réduire la dispersion : plus de clarté juridique, moins d’ambiguïté et un flux plus linéaire de conformité et de reporting.
Des modifications ciblées de Nis2 sont prévues pour accroître la clarté et faciliter la conformité pour des dizaines de milliers d'entreprises, y compris les micro et petites entreprises, ainsi que l'introduction d'une nouvelle catégorie de « petites et moyennes capitalisations » pour réduire les coûts de conformité. On parle également d'une simplification des règles de juridiction, d'un meilleur flux de données sur les attaques de ransomwares et d'une supervision plus facile des entités transfrontalières avec l'Enisa « avec un rôle de coordination renforcé ».
Enisa améliorée
De 2019 à aujourd’hui, l’Enisa s’est développée pour devenir « un pilier de l’écosystème européen de cybersécurité ». La proposition vise à le rendre encore plus central : aider l’Union européenne et les États membres à comprendre les menaces communes et à se préparer et à réagir aux incidents.
Parmi les fonctions les plus opérationnelles : alerte précoce sur les menaces et les incidents ; un soutien aux entreprises pour répondre aux attaques de ransomware et s’en remettre « en coopération avec Europol et les équipes de réponse aux incidents de sécurité informatique » ; développement d’une approche « à l’échelle de l’Union » pour améliorer les services de gestion des vulnérabilités ; et la gestion du « point unique » de déclaration d'incidents prévu dans l'Omnibus Numérique.
La dimension compétences demeure également, avec l’expérimentation de la Cybersecurity Skills Academy et des programmes de certification des compétences au niveau européen.
La position de Connect Europe
Connect Europe entre dans le débat, représentant environ 70 % des investissements dans le secteur de la connectivité. L'association « prend note » du projet de révision de la loi sur la cybersécurité, mais rappelle le tableau général : à mesure que la dépendance de l'Europe à l'égard de la connectivité augmente et que les risques évoluent, la sécurité des réseaux et des services « n'est pas seulement une nécessité technique : c'est un pilier de la résilience de l'Europe ». Cette expression définit les enjeux : pour les télécommunications, la cybersécurité fait partie de la continuité des services et de la résilience globale.
Connect Europe réitère son engagement en faveur de la mise en œuvre de Nis2 et d'autres exigences nationales et européennes, mais met en garde contre les risques de charges réglementaires excessives. Les opérateurs sont confrontés à des investissements élevés pour achever le déploiement de la 5G et de la fibre optique, dans un contexte où les conditions réglementaires et le manque d’échelle limitent la capacité d’investir. D'où la crainte que l'adoption de l'actuel projet de CSA puisse alourdir la charge avec des coûts supplémentaires se chiffrant en milliards d'euros, par ailleurs « qui risquent aujourd'hui d'être sous-estimés ».
Le point le plus délicat concerne les obligations imposées à la chaîne d'approvisionnement des TIC : selon Connect Europe, elles risquent d'imposer des contraintes supplémentaires importantes. Si ces contraintes ne sont pas « fondées sur des évaluations des risques solides et fondées sur des données probantes » et ne sont pas accompagnées de mesures d’atténuation telles que des mécanismes de remboursement des coûts, l’impact pourrait être « important et négatif » sur le déploiement, la continuité des activités et la planification des investissements. Le message est que l’Europe a besoin de davantage d’investissements dans la connectivité, et non d’un frein.
Proportionnalité, risque et applicabilité : le point d’équilibre qui fera la différence
La question centrale est de savoir comment définir des exigences de sécurité efficaces et applicables sur les infrastructures aux cycles de modernisation longs. Connect Europe insiste sur une approche « fondée sur les risques, proportionnée et concrètement applicable », appelant à la révision du CSA pour produire une simplification et réduire les chevauchements avec Nis2, Dora, Cra et d'autres cadres et rendre la certification européenne « pertinente pour le marché » sans systèmes obligatoires coûteux et non testés qui offrent une valeur limitée dans la pratique.
Il y a aussi un point institutionnel : les mesures relatives à la chaîne d'approvisionnement doivent suivre une approche basée sur les risques, respectant « les compétences des États membres en matière de sécurité nationale ». Il s’agit d’une étape qui a un impact sur la manière dont les États membres gèrent la réduction des risques liés aux fournisseurs et sur la prévisibilité nécessaire aux plans d’affaires.
Connect Europe appelle les législateurs européens à corriger la proposition dans le processus législatif afin d'obtenir des résultats efficaces en matière de sécurité sans compromettre la compétitivité numérique de l'Europe.
Les éloges de la Computer & Communications Industry Association
Les applaudissements pour ce paquet viennent de la Ccia (Computer & Communications Industry Association). « La Commission a adopté la bonne approche, en ancrant la certification des services numériques à des critères techniques et objectifs de sécurité, au lieu de se plier aux interventions politiques – souligne Mitchell Rutledge, responsable de la politique de technologie et de sécurité chez Ccia Europe – La loi sur la cybersécurité a depuis longtemps besoin d’un véritable redémarrage, qui réduise la fragmentation et fournisse des certifications applicables dans le monde réel, et non d’un débat sans fin sur l’exclusion grossière du marché en fonction du pays d’origine.
« Nous appelons les institutions européennes à continuer de résister à la tentation protectionniste de réintroduire des restrictions discriminatoires qui nuiraient à la sécurité de l'écosystème numérique européen, et à proposer plutôt un cadre clair et prévisible sur la manière dont les évaluations des fournisseurs à haut risque tout au long de la chaîne d'approvisionnement des TIC sont menées dans toute l'Europe », conclut-il.
Les prochaines étapes : entrée en vigueur et transposition
Sur le plan institutionnel, la loi sur la cybersécurité serait applicable immédiatement après son approbation par le Parlement européen et le Conseil. Les amendements à Nis2 évoluent en parallèle et, une fois adoptés, ils donneraient aux États membres un an pour les transposer dans leur droit national et communiquer les textes à la Commission.
Le jeu se jouera entre système européen et mise en œuvre nationale, entre objectifs communs et capacités opérationnelles, entre sécurité de la chaîne d’approvisionnement et durabilité économique des projets de réseaux. Le résultat dépendra du calibrage des obligations, des certifications et des outils d’accompagnement et de la capacité à transformer la conformité en sécurité mesurable et opérationnelle.