Quatre recommandations pour améliorer la Loi sur la cyberrésilience
Les législateurs de l'UE se préparent à la prochaine série de négociations trilogues sur la Loi européenne sur la cyberrésilience (CRA), qui a pour objectif important d'améliorer la cybersécurité dans l'ensemble du marché unique européen. Alors que les décideurs discutent des principales caractéristiques du nouveau règlement, y compris la portée et les définitions, la classification des produits essentiels et les obligations de déclaration des fabricants, nous les exhortons à veiller à ce que le nouveau cadre de sécurité du matériel et des logiciels qui en résulte soit réalisable dans la pratique et n'ait pas d'effet dissuasif sur l'innovation en imposant des obligations excessives aux entreprises.
L'ITI et d'autres intervenants de différentes industries ont exprimé à maintes reprises des préoccupations au sujet d'éléments de la réglementation qui pourraient nuire à la capacité d'améliorer efficacement la cybersécurité. Ces préoccupations demeurent, malgré nos recommandations. Nous encourageons les colégislateurs à tenir compte plus attentivement de la rétroaction de l'industrie pour s'assurer que l'ARC est applicable et pertinente dans la pratique. Alors que les décideurs envisagent les prochains trilogues, nous proposons les recommandations clés suivantes :
1. Réduire la portée de l'ARC et inclure des définitions claires. La portée du texte examiné par le Parlement et le Conseil reste disproportionnée. Il est essentiel que les colégislateurs restreignent la portée et clarifient les définitions clés, telles qu'elles sont décrites dans l'activité commerciale dans le contexte des logiciels open-source, ainsi que dans le trilogue d'ITI, y compris ce qu'on entend par solutions de traitement de données à distance, l'activité commerciale dans le contexte des logiciels open-source, ainsi que la modification substantielle. Le maintien d'un large champ d'application dans le texte final et la tentative de le clarifier au moyen d'instruments juridiques non contraignants, tels que des lignes directrices, n'apporteront pas une sécurité juridique suffisante à une telle variété de produits comportant des éléments numériques.
2. Établir une approche proportionnée fondée sur le risque pour déterminer le niveau de risque d'un produit à éléments numériques. Les décideurs doivent adopter une approche plus proportionnée et fondée sur le risque pour déterminer le niveau de risque d'un produit à éléments numériques et offrir une plus grande certitude aux fabricants pour déterminer si un produit est critique. Alors que la proposition initiale de la Commission classait chaque produit dans plusieurs grandes catégories comme critique, les colégislateurs ont maintenant l'occasion d'adopter une approche plus sophistiquée. Nous recommandons de tirer parti de l'approche axée sur les risques du Conseil avec quelques amendements clés, Ici..
Nous nous félicitons également du maintien de la disposition qui créerait un groupe d'experts sur la cyberrésilience proposé par le Parlement européen, car il est important que les différentes parties prenantes et experts soient dûment consultés pour créer et mettre à jour la liste des produits critiques, ainsi que pour la mise en œuvre et l'adoption de systèmes européens de certification en matière de cybersécurité.
3. Éviter d ' exiger la notification des vulnérabilités exploitées activement. - Nous sommes très préoccupés par les dispositions qui exigeraient des rapports sur les vulnérabilités exploitées activement. De tels rapports seraient involontairement créer plus risque grave pour la sécurité en mettant en oeuvre un vaste ensemble d'informations sensibles au lieu d'atténuer les dommages.
De même, il est essentiel que les obligations de déclaration soient alignées sur la directive NIS 2 afin de simplifier les obligations de déclaration et d'éviter une charge de déclaration impossible pour les fabricants et les autorités responsables. Cela signifie que la déclaration en vertu des CSIRT devrait être faite dans le cadre d'une seule plate-forme de déclaration distribuée, et que la déclaration d'incidents sur des incidents de sécurité ne devrait concerner que des incidents significatifs, comme indiqué dans le texte du Parlement européen.
4. Éviter les chevauchements et les doubles emplois avec d'autres lois applicables et prévoir une période de transition suffisante. En plus de la directive NIS 2, l'ARC doit également éviter les chevauchements avec d'autres législations applicables, principalement le règlement délégué (UE) 2022/30 (acte délégué RED). À cet égard, nous nous félicitons de la proposition du Parlement européen d'abroger l'acte délégué RED lorsque l'ARC entrera en vigueur. Nous suggérons fortement de conserver cet ajout dans le texte final de l'ARC. Enfin, compte tenu de la portée extrêmement large de l'ARC, nous exhortons les colégislateurs à envisager de prolonger la période de transition d'au moins 48 mois afin que les entités puissent se conformer.
Authors
Courtney Lang
Guido Lobrano
Related News & Analysis
Pourquoi un « interrupteur d’arrêt d’urgence » de l’IA n’est pas une solution universelle
L'IA est une menace cybernétique. Les défenseurs ont besoin de nouveaux outils et partenariats.
