Le 6 mars 2024 marquera l’accord politique conclu entre le Parlement européen et le Conseil de l’Union Européenne sur la loi sur la cybersolidarité (Cyber Solidarity Act).

Motivée en grande partie par la hausse des cyberattaques depuis le début de la guerre aux portes de l’Europe, la législation de l’Union Européenne sur la cybersolidarité a été motivée par l’ensemble des 27 pays membres de l’UE en faveur d’une cyberrésilience européenne (Cyber Resilience Act).

Cette législation de cybersolidarité contribuera donc à améliorer la préparation, la détection et la réaction aux incidents de cybersécurité dans l’ensemble de l’UE.

Voici les actions présentées dans cette nouvelle législation de cybersolidarité :

I] Un cyberbouclier européen

Ce système d’alerte sera composé d’un réseau de cyberpôles nationaux et transfrontaliers (SOC) sur l’ensemble du territoire de l’UE.

Ces Security Operations Center (SOC) s’appuieront sur des outils et des infrastructures de pointe comme l’intelligence artificielle ou encore l’analyse avancée des données, pour détecter à un stade précoce les cybermenaces et les incidents.

 » La vitesse de détection est un facteur clé pour répondre aux cybermenaces. Avec le déploiement d’une infrastructure SOC européenne, nous améliorons les délais de réaction et facilitons la coopération afin de parvenir à un véritable bouclier européen du cyberespace.  » a indiqué Thierry Breton, Commissaire au marché intérieur.

A l’aide de cette infrastructure, les autorités et autres entités concernées seront informées de l’état de la menace cyber en temps réel.

II] Un mécanisme d’urgence cyber

Celui-ci renforcera les capacités de préparation et de réaction face aux incidents cyber les plus importants voire de grande envergure.

Voici les trois grands domaines soutenus par ce mécanisme :

Le soutien aux actions de préparation

En coordonnant des tests de préparation à d’éventuelles vulnérabilités pour des entités opérant dans des secteurs critiques, comme les secteurs de la santé, de la finance ou encore de l’énergie pour ne citer qu’eux.

Tester ces entités dans des secteurs cruciaux permettra alors de détecter des faiblesses potentielles qui pourraient les rendre vulnérables aux cybermenaces. Une évaluation commune des risques au niveau de l’UE est prévue pour sélectionner les entités à prioriser pour exécuter ces tests.

La création d’une réserve de cybersécurité de l’UE

Cette réserve de cybersécurité de l’UE consistera en des services de réaction aux incidents fournis par des prestataires de services privés, des fournisseurs dits de confiance. Ces fournisseurs de confiance pourront donc être déployés à la demande des États membres, des institutions, des organes et agences de l’UE et au titre du programme pour une Europe numérique, pour leur venir en aide face à des incidents de cybersécurité majeurs.

 » Le Parlement européen et le Conseil de l’Europe sont aussi parvenus à un accord sur la modification du règlement sur la cybersécurité. Cet amendement ouvre la possibilité d’adopter des systèmes européens de certification pour les services de sécurité gérés. Il permettra d’établir un cadre pour la mise en place de fournisseurs de confiance dans la réserve de cybersécurité de l’UE au titre du règlement sur la cybersolidarité.  » écrit la Commission Européenne sur son site.

Le soutien financier et l’assurance à l’assistance mutuelle

Ce mécanisme permettra de soutenir un État membre qui offre une assistance à un autre État membre touché par un incident de cybersécurité.

III] Un mécanisme européen d’examen d’incidents de cybersécurité

Dans la mesure ou des incidents importants se sont déjà produits, ce mécanisme européen sera destiné à examiner et évaluer la criticité de ces incidents cyber dans le but de formuler des recommandations visant à améliorer la position de l’UE en matière de cybersécurité.

À la demande de la Commission européenne ou des autorités nationales comme le réseau EU-CyCLONe ou le réseau des CSIRT, c’est bien l’Agence de l’UE pour la cybersécurité (ENISA) qui sera la responsable de l’examen d’incidents de cybersécurité dits importants ou de grande envergure qui devrait présenter un rapport présentant des conclusions tirées de ces cyberattaques, ou le cas échéant, porter ses recommandations pour améliorer la capacité de réaction de l’UE en matière de cybersécurité.

Conclusion

Dans le contexte d’une procédure législative ordinaire de l’Union européenne, une négociation interinstitutionnelle informelle (trilogue) qui réunit des représentants du Parlement européen, du Conseil de l’Union européenne et de la Commission européenne doit avoir lieu.

Cette législation de cybersolidarité sera alors soumise à l’approbation formelle du Parlement européen et du Conseil. Une fois adopté formellement, ce règlement sur la cybersolidarité entrera en vigueur le vingtième jour suivant celui de sa publication au Journal officiel.

Le règlement sur la cybersolidarité augmentera par la suite le financement des actions de cybersécurité au titre du programme pour une Europe numérique (DIGITAL) pour la période 2025-2027.