ITI, groupes industriels proposent des recommandations pour améliorer la loi européenne sur la cyberrésilience
BRUXELLES – Aujourd'hui, l'association mondiale du commerce des technologies ITI, le Conseil de l'industrie des technologies de l'information, partenaires industriels de premier plan Developers Alliance, BSA. une série de recommandations (s’ouvre dans un nouvel onglet)promouvoir les objectifs de la loi européenne sur la cyberrésilience (CRA) tout en répondant aux préoccupations de la proposition actuelle. Dans les recommandations, les groupes encouragent les décideurs à clarifier et à restreindre la portée de l'ARC, à éviter les doubles emplois avec d'autres lois applicables et à s'assurer que l'ARC est compatible avec les normes internationales et les pratiques exemplaires de l'industrie, ainsi qu'avec les différents modèles d'affaires.
Alors que les colégislateurs de l'UE progressent dans l'élaboration de leurs positions sur la loi sur la cyberrésilience, nos associations souhaitent présenter des recommandations concrètes pour soutenir les efforts de l'UE visant à améliorer la cybersécurité et la résilience tout en s'attaquant aux autres points critiques de la proposition actuelle. les groupes ont écrit. Si le Parlement européen et le Conseil ont apporté des améliorations significatives, de nombreux aspects problématiques doivent encore être abordés. Nous exhortons donc les colégislateurs à ne pas donner la priorité à la vitesse supérieure à la qualité pour finaliser leurs positions afin d'éviter des résultats imprévus.
Les groupes encouragent les législateurs de l'UE à proposer des approches proportionnées et réalisables pour:
- La portée de l'ARC devrait être plus claire et plus étroite. En particulier, toute référence à des solutions de traitement de données à distance doit être exclue du champ d'application.
- Il convient d'adopter une approche plus proportionnée et fondée sur le risque pour déterminer le niveau de risque d'un produit comportant des éléments numériques à l'article 6, et d'assurer aux fabricants une plus grande certitude pour déterminer si un produit est critique.
- Seules les vulnérabilités corrigées qui ont été activement exploitées et qui posent un risque important de cybersécurité devraient être déclarées dans le cadre de l'ARC.
- En général, il est essentiel que les obligations de déclaration, y compris le calendrier de déclaration et l'autorité compétente, à l'article 11, paragraphes 1 et 2, soient conformes à la directive NIS 2. De plus, seuls les incidents significatifs doivent être signalés.
- D'autres travaux sont nécessaires pour éviter des obligations disproportionnées ou impossibles, et des obligations qui, dans la pratique, augmenteraient les risques de cybersécurité, telles que l'obligation de fournir un produit sans vulnérabilités exploitables connues, à l'annexe I, section I, la possibilité pour la Commission de mandater le format et les éléments de la "Bill of Materials Software" (SBOM), et l'extension du principe de minimisation des données du RGPD aux données non personnelles, à l'annexe I.
Lire toutes les recommandations Ici. (s’ouvre dans un nouvel onglet).
Related News & Analysis
Pourquoi un « interrupteur d’arrêt d’urgence » de l’IA n’est pas une solution universelle
L'IA est une menace cybernétique. Les défenseurs ont besoin de nouveaux outils et partenariats.
