Avec la publication le 20 janvier de la proposition de la Commission européenne visant à réviser la loi européenne sur la cybersécurité, l'Europe franchit une étape importante vers le renforcement de son cadre de cybersécurité en réponse à un monde de plus en plus complexe et interconnecté. La proposition reflète l’évolution du paysage des menaces et du contexte géopolitique plus large depuis l’adoption initiale de la loi en 2019.
La cybersécurité comme enjeu stratégique
La cybersécurité est de plus en plus devenue un enjeu stratégique. L’adoption rapide de l’IA générative et agentique, combinée à la numérisation profonde de tous les secteurs, a élargi la portée, la rapidité et la complexité des cybermenaces. Parallèlement, les thèmes de la résilience, de la dépendance et de la confiance sont devenus centraux dans le débat politique, dans un contexte où géopolitique et cybersécurité sont de plus en plus interconnectées.
Harmonisation et interopérabilité : la base de la résilience
Dans ce contexte, l'attention portée par la Commission à l'harmonisation et à l'interopérabilité est particulièrement appréciable. La cyber-résilience ne peut pas être construite par des mises en œuvre fragmentaires ou des approches nationales isolées. Cela dépend de cadres partagés, de définitions communes et de la capacité à agir de manière cohérente au-delà des frontières nationales, d’autant plus que les cybermenaces ne connaissent pas de frontières.
Renforcement de l’ENISA : davantage de capacités de coordination et de fonctionnement
Un élément clé de la proposition est le renforcement du mandat de l'ENISA (Agence de l'Union européenne pour la cybersécurité). Le renforcement des ressources, du rôle de coordination et des capacités opérationnelles de l'Agence peut améliorer la connaissance de la situation et soutenir une mise en œuvre plus cohérente des politiques européennes de cybersécurité dans l'ensemble des États membres. S’il est mis en œuvre efficacement, ce renforcement peut contribuer à combler le fossé entre le cadre réglementaire et la résilience opérationnelle.
Réforme du cadre de certification (ECCF) : plus de clarté et de prévisibilité
La réforme proposée du cadre de certification de cybersécurité de l’Union européenne (ECCF) va également dans une direction constructive. Des délais plus clairs, des procédures simplifiées et un alignement plus étroit avec les autres réglementations de l’UE sont essentiels pour rendre la certification plus prévisible et plus utile, tant pour les autorités que pour les opérateurs du marché. Le maintien d’une approche basée sur les risques, techniquement motivée et alignée sur les normes internationales sera essentiel pour garantir l’adoption et la confiance. De ce point de vue, formaliser la contribution d'experts dans le processus d'élaboration de systèmes de certification représenterait une incitation importante pour des chemins plus rapides et un soutien valable à l'ENISA et au Groupe européen de certification de cybersécurité (ECCG – European Cybersecurity Certification Group).
Sécurité de la chaîne d’approvisionnement des TIC : résilience et sécurité économique
L’introduction d’un cadre horizontal pour la sécurité de la chaîne d’approvisionnement des TIC reflète la compréhension selon laquelle la cybersécurité est désormais étroitement liée à des considérations plus larges de résilience et de sécurité économique. La gestion des risques non techniques liés à la gouvernance, à la propriété et au contrôle est une tâche complexe qui nécessitera un calibrage minutieux tout au long du processus de négociation. Cela sera essentiel pour atteindre les objectifs de sécurité fixés, tout en maintenant l’ouverture, l’innovation et la collaboration avec des partenaires de confiance.
Prochaines étapes et engagement pour une Europe plus sûre
De notre point de vue, l’approche globale de la révision de la loi sur la cybersécurité de l’Union européenne (CSA2) renforce l’importance des approches de sécurité capables de réduire les risques systémiques et les dépendances. Alors que s’ouvre la prochaine phase des discussions, un dialogue constructif entre les institutions de l’UE, les États membres et l’industrie sera crucial. Nous continuerons de renforcer notre engagement envers l'Europe grâce à une architecture cloud native et Zero Trust, conçue pour minimiser les surfaces d'attaque et dissocier la sécurité de l'infrastructure sous-jacente, en totale adéquation avec les objectifs et les aspirations de souveraineté numérique de l'Union européenne.