Première réaction de l’ITI au Cybersecurity Act : des progrès en matière de certification et pour l’ENISA, mais une simplification encore insuffisante
BRUXELLES – L’association professionnelle mondiale du secteur technologique ITI, l’Information Technology Industry Council, a réagi à la révision du Cybersecurity Act (CSA, règlement sur la cybersécurité) par la Commission européenne, soulignant que, malgré des avancées importantes vers l’harmonisation et l’amélioration des schémas de certification et du mandat de l’ENISA, celle-ci ne permet pas une simplification significative.
Si la proposition réaffirme un engagement en faveur de la rationalisation des politiques, les nouvelles mesures substantielles de simplification restent limitées.
« Après l’occasion manquée du Digital Omnibus, le Cybersecurity Act ne comporte pas de mesures concrètes pour réduire les charges de mise en conformité et permettre aux organisations de se concentrer sur le renforcement de la sécurité plutôt que sur les formalités administratives », a déclaré Guido Lobrano, directeur général de l’ITI pour l’Europe.
« La proposition témoigne d’une intention, mais les mesures de simplification effectives sont décevantes », a ajouté M. Lobrano.
L’ITI salue les efforts visant à améliorer le cadre européen de certification de cybersécurité (ECCF). La proposition répond notamment aux difficultés passées en privilégiant une approche plus efficace et fondée sur les risques, et ne contient pas de contraintes explicites liées à la souveraineté. Toutefois, malgré l’obligation claire de consulter les parties prenantes au cours du processus d’élaboration des certifications, aucun mécanisme concret permettant cette consultation n’est mentionné. Le délai de 12 mois pour élaborer un projet est à double tranchant : s’il peut être source d’efficacité, il risque également d’aboutir à des calendriers trop serrés pour permettre une participation significative des parties prenantes.
L’élargissement du mandat de l’ENISA reconnaît à juste titre le rôle essentiel de l’Agence pour la cybersécurité de l’Europe et pour la promotion de la coopération internationale. La proposition impose également de manière explicite à l’ENISA de collaborer avec les parties prenantes du secteur privé et permet la création de partenariats public-privé, facilitant ainsi l’élaboration conjointe d’orientations, de certifications et d’initiatives de renforcement des capacités.
La cybersécurité est une pierre angulaire de la souveraineté technologique. Dans le contexte actuel, l’UE cherche à juste titre à renforcer sa sécurité et la résilience de la chaîne d’approvisionnement numérique. L’introduction dans la proposition du cadre relatif à une chaîne d’approvisionnement TIC de confiance (Trusted ICT supply chain framework) est en principe conforme aux recommandations de l’ITI (s’ouvre dans un nouvel onglet) visant à définir des critères clairs, objectifs et fondés sur les risques pour évaluer les « fournisseurs de technologies de confiance » et, s’il est correctement mis en œuvre, devrait apporter davantage de clarté à cet égard. Lorsque des critères non techniques sont pris en compte pour désigner les fournisseurs de technologies de confiance, ils doivent être définis de manière stricte, être proportionnés et être complétés par une approche de sécurité technique fondée sur les risques.
Related News & Analysis
Pourquoi un « interrupteur d’arrêt d’urgence » de l’IA n’est pas une solution universelle
AI is Supercharging Cyber Threats. Defenders Need New Tools and Partnerships.
