Projet de loi portant sur certaines modalités d’application et les sanctions du règlement (UE) n° 2019/881 du Parlement européen et du Conseil du 17 a

CONSEIL D’ÉTAT =============== N° CE : 61.290 N° dossier parl. : 8132 Projet de loi portant sur certaines modalités d’application et les sanctions du règlement (UE) n° 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) n° 526/2013 et portant modification de la loi modifiée du 4 juillet 2014 portant réorganisation de l’ILNAS Avis du Conseil d’État (29 juin 2023) Par dépêche du 22 décembre 2022, le Premier ministre, ministre d’État, a soumis à l’avis du Conseil d’État le projet de loi sous rubrique, élaboré par le ministre de l’Économie. Le texte du projet de loi était accompagné d’un exposé des motifs, d’un commentaire des articles, d’une fiche d’évaluation d’impact, d’une fiche financière, du texte coordonné de la loi modifiée du 4 juillet 2014 portant réorganisation de l’ILNAS que la loi en projet sous examen tend à modifier, ainsi que du texte du règlement (UE) n° 2019/881 du Parlement européen et du Conseil du 17 avril

1. Les avis de la Chambre de commerce et de la Chambre des métiers, demandés selon la lettre de saisine, ne sont pas encore parvenus au Conseil d’État au moment de l’adoption du présent avis. Considérations générales Le projet de loi sous examen vise à mettre en œuvre le règlement (UE) n° 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) n° 526/2013 (règlement sur la cybersécurité), ci-après « règlement (UE) n° 2019/881 », à travers l’insertion dans l’ordre juridique national d’un certain nombre de mesures d’application du texte européen. Le règlement (UE) n° 2019/881 procède à une refonte du cadre organisationnel de l’Agence de l’Union européenne pour la cybersécurité (ENISA). Il vise par ailleurs à améliorer les conditions de fonctionnement du marché intérieur en renforçant le niveau de cybersécurité au sein de l’Union européenne et en mettant en place une approche harmonisée en ce qui concerne les schémas européens de certification de cybersécurité qui forment un ensemble de règles, d’exigences techniques, de normes et de procédures qui constituent un cadre pour la certification ou l’évaluation de la conformité des produits TIC (Technologies de l’information et de la communication), des services TIC et des processus TIC. Dans ce contexte, les auteurs du projet de loi soulignent encore que le mandat confié à l’ENISA et l’établissement d’un cadre européen de certification de cybersécurité ont pour but, d’une part, de garantir un niveau adéquat de cybersécurité des produits, services et processus liés aux technologies de l’information et de la communication dans le marché intérieur de l’Union européenne, et, d’autre part, d’éviter la fragmentation du marché intérieur des schémas de certification de cybersécurité, qui sont souvent source de protectionnisme au sein de l’Union européenne. Le Conseil d’État note que les auteurs du projet de loi ont fait le choix de procéder à la mise en œuvre du règlement (UE) n° 2019/881 à travers un texte de loi autonome, texte qui touche aux missions de l’Institut luxembourgeois de la normalisation, de l’accréditation, de la sécurité et qualité des produits et services (ci-après « ILNAS »), tout en modifiant encore ensuite, sur un point, la loi modifiée du 4 juillet 2014 portant réorganisation de l’ILNAS en vue de son adaptation aux nouvelles missions de ILNAS. Le Conseil d’État aurait, pour sa part, une préférence pour un ancrage du dispositif dans la loi précitée du 4 juillet 2014 de façon à réunir les missions de l’ILNAS, dans la mesure du possible, dans un seul texte. Examen des articles Article 1er L’article 1er désigne l’ILNAS comme autorité nationale de certification de cybersécurité au sens de l’article 58 du règlement (UE) n° 2019/881 en précisant que l’ILNAS est responsable des tâches de supervision visées à la disposition en question. Le Conseil d’État constate que, parallèlement, l’article 11 du projet de loi modifie la loi précitée du 4 juillet 2014 en confiant à l’« Organisme luxembourgeois de la confiance numérique » nouvellement créé et qui remplace l’actuel « département de la confiance numérique » auprès de l’ILNAS la mission d’« assumer les tâches d’autorité nationale de certification de cybersécurité (…) au sens de l’article 58 du règlement (UE) n° 2019/881 ». Les auteurs du projet de loi ne justifient pas autrement cette modification de la loi qui organise les cadres de l’ILNAS et se limitent à préciser qu’il s’agit « d’une réorganisation interne au sein de l’ILNAS ». Le Conseil d’État note que l’article 58 du règlement (UE) n° 2019/881 invite les États membres à désigner une ou plusieurs autorités nationales de certification de cybersécurité sur leur territoire « comme responsables des tâches de supervision dans l’État membre qui procède à la désignation ». Le Conseil d’État part cependant du principe qu’en l’occurrence l’Organisme luxembourgeois de la confiance numérique, qui constitue une subdivision de l’ILNAS, se limitera à assumer les fonctions d’autorité 2 nationale de certification de cybersécurité pour le compte de l’ILNAS, administration qui constitue l’autorité désignée. Le Conseil d’État renvoie dans ce contexte à ses avis émis en relation avec le projet de loi qui est devenu la loi du 23 décembre 2022 portant modification entre autres de la loi modifiée du 4 juillet 2014 portant réorganisation de l’ILNAS1, avis dans lesquels il avait recommandé d’éviter des situations dans lesquelles des compétences administratives étaient attribuées à une subdivision de l’ILNAS, plutôt qu’à l’ILNAS lui-même, soustrayant ainsi les activités en question à l’autorité du directeur de cette administration qui en est pourtant censé être le chef hiérarchique. Le Conseil d’État note encore qu’à l’exposé des motifs les auteurs du projet de loi expliquent que « les activités d’accréditation et de certification étant incompatibles au sein d’une même entité, étant donné que l’OLAS, au sein de l’ILNAS, est l’organisme luxembourgeois d’accréditation et de surveillance, l’ILNAS ne peut pas exercer de tâches de certification » et qu’il est dès lors prévu que la tâche de certification sera confiée à une autre entité nationale ou à un autre État membre de l’Union européenne. Le Conseil d’État constate que ce sont normalement les organismes d’évaluation de la conformité qui délivrent, de façon autonome, les certificats de cybersécurité européens (article 56, paragraphe 4, du règlement européen n° 2019/881), et que ce n’est que par exception que cette tâche revient à une autorité nationale de certification de cybersécurité ou à un organisme public accrédité en tant qu’organisme d’évaluation de la conformité ou à un organisme d’évaluation de la conformité sur approbation préalable ou délégation préalable de l’autorité nationale de certification (article 56, paragraphes 5 et 6, du règlement européen n° 2019/881). D’après les termes de l’article 58, paragraphe 4, du règlement européen n° 2019/881, les États membres doivent veiller à ce que les activités des autorités nationales de certification de cybersécurité liées à la délivrance de certificats de cybersécurité européens et visées à l’article 56 précité « soient strictement distinctes de leur activité de supervision (…) et à ce que ces activités soient exécutées indépendamment l’une de l’autre ». Plutôt que de cibler une ségrégation des tâches d’accréditation et de certification, il s’agira dès lors, en l’occurrence, de veiller à ce que les tâches de surveillance et de certification, certes limitées de l’autorité nationale de certification, soient effectuées de façon distincte les unes des autres. Il conviendra en tout état de cause de mettre sur pied cette autorité de certification pour parfaire la mise en œuvre du règlement européen. Le projet de loi sous avis aurait pu prêter son cadre pour l’instauration de cette autorité. Le Conseil d’État est par ailleurs d’avis que l’instauration de cette autorité pourrait se faire au niveau de l’ILNAS, étant entendu qu’il conviendra de veiller à ce que l’autorité en question dispose d’une indépendance opérationnelle effective, d’un personnel propre, de lignes hiérarchiques séparées et d’un processus décisionnel distinct par rapport aux services qui assurent les tâches de supervision. Le Conseil d’État renvoie à titre d’exemple 1 Avis du Conseil d’État (N° CE 60.531) du 16 novembre 2021 sur le projet de loi portant modification : 1° de la loi modifiée du 4 juillet 2014 portant réorganisation de l'ILNAS ; 2° de la loi modifiée du 17 mai 1882 sur les poids et mesures ; 3° de la loi du 26 janvier 1922 portant certaines modifications au service de la vérification des poids et mesures (doc. parl n° 77674) ; avis complémentaire du Conseil d’État (N° CE 60.531) du 27 septembre 2022 ((doc. parl n° 77677) ; deuxième avis complémentaire du Conseil d’État (N° CE 60.531) du 15 novembre 2022 ((doc. parl n° 77679). 3 aux dispositions des articles 12-4, paragraphe 5, et 12-6 de la loi modifiée du 23 décembre 1998 portant création d’une commission de surveillance du secteur financier, dispositions qui ont trait à l’organisation du conseil de résolution et du service de résolution. Article 2 Sans observation. Article 3 L’article 3 instaure, en son paragraphe 1er, un comité national de certification de cybersécurité dont les attributions sont calquées, au niveau national, sur celles du Groupe européen de certification de cybersécurité. D’après le commentaire des articles, il s’agirait notamment d’assurer « l’échange d’informations entre les acteurs étatiques principaux que sont le ministère de l’Économie et le ministère d’État ». Le Conseil d’État donne à considérer que si les intentions des auteurs du projet de loi sous avis, telles qu’elles ressortent de la lecture du commentaire de l’article sous examen, étaient traduites au niveau du dispositif du projet de loi en question, ce dispositif viserait à organiser la façon dont deux départements ministériels travaillent ensemble. Or, une telle disposition serait contraire à l’article 76, alinéa 1er, de la Constitution qui réserve le pouvoir d’organiser le gouvernement au Grand-Duc. À l’avenir, après l’entrée en vigueur de la Constitution révisée au 1er juillet 2023, la même disposition se heurterait au texte de l’article 92 de la Constitution révisée, selon les termes duquel « [l]e Gouvernement détermine son organisation et son fonctionnement par voie de règlement interne, approuvé par arrêté grand-ducal, à l’exception des matières que la Constitution réserve à la loi. » Étant donné que les prédites intentions des auteurs du projet de loi ne ressortent cependant pas du libellé du texte, le Conseil d’État peut s’accommoder du dispositif, dans sa teneur envisagée. Au paragraphe 2, lettre e), on peut s’interroger sur l’identité des « parties prenantes concernées » dans le cadre de la certification de cybersécurité. Bien que lesdites parties prenantes concernées ne fassent pas l’objet d’une définition, ni à travers le projet de loi sous examen, ni au niveau du règlement (UE) n° 2019/881, ce dernier énumère néanmoins à travers son dispositif une multitude d’exemples relevant tant du secteur privé que du secteur public. À titre d’exemple, l’on peut mentionner les entreprises du secteur des TIC, les fournisseurs de réseaux ou de services de communications électroniques accessibles au public, les PME, les opérateurs de services essentiels, les organisations de consommateurs, les experts universitaires en matière de cybersécurité, les organisations européennes de normalisation ainsi que les autorités chargées de l’application de la loi et les autorités de contrôle de la protection des données. Il devrait ainsi être possible de mieux cerner les parties prenantes que le comité est censé informer en relation avec le processus consultatif prévu à l’article 56, paragraphe 3, point c), du règlement (UE) n° 2019/
2. Observation générale concernant les articles 4 à 7 Les articles 4 à 7 forment le chapitre 2 du projet de loi intitulé « Obligations ». Cet intitulé tout à fait général recouvre un ensemble de 4 situations très diverses allant des obligations des opérateurs sur le marché des TIC envers les consommateurs jusqu’à l’obligation pour les organismes d’évaluation de la conformité de demander une accréditation, en passant par les obligations d’information des opérateurs susvisés vis-à-vis de l’autorité nationale et par le secret professionnel. Une meilleure structuration du projet de loi sur ce point et des intitulés reflétant mieux le contenu des articles qui suivent seraient de nature à augmenter la lisibilité du projet de loi. Article 4 Sans observation. Article 5 L’article 5 impose un certain nombre d’obligations aux titulaires de certificats de cybersécurité européens, aux émetteurs de déclaration de conformité de l’Union européenne et aux organismes d’évaluation de la conformité dans leurs relations avec l’Autorité nationale. Ainsi, le paragraphe 1er prévoit l’obligation pour les acteurs en question d’accorder à l’autorité nationale un accès à « toute information, document, personne, équipement et local dont elle a besoin pour pouvoir assurer sa tâche de supervision ». Le Conseil d’État constate que ces obligations pour les opérateurs découlent directement, notamment en ce qui concerne l’accès aux locaux, des pouvoirs qui sont énumérés à l’article 58, paragraphe 8, du règlement (UE) n°2019/881, pouvoirs dont l’autorité nationale doit, aux termes de l’article 58 en question, disposer au minimum. Plutôt que de faire apparaître le pouvoir qui est conféré à l’autorité nationale dans un texte qui impose des obligations aux opérateurs, le Conseil d’État aurait une préférence pour une solution qui renverrait expressément aux pouvoirs conférés à l’autorité nationale par le règlement européen, ce renvoi pouvant ensuite être complété, si nécessaire, par une énumération précise des pouvoirs supplémentaires dont le législateur national veut doter l’autorité pour exercer ses pouvoirs de supervision des acteurs du secteur. Le Conseil d’État note encore que les conditions d’accès aux locaux des acteurs ici visés ne sont pas précisées. Dans son avis n° 50.397 du 11 novembre 20142, le Conseil d’État s’était exprimé en ces termes à ce sujet: « Le droit des fonctionnaires précités de pénétrer dans des locaux d’habitation tout comme les locaux professionnels doit être interprété restrictivement. Les conditions d’accès à ces locaux, de même que les perquisitions et saisies des documents, doivent également répondre aux principes de légalité et de proportionnalité afin de protéger les personnes contre les atteintes arbitraires des pouvoirs publics aux droits garantis aussi bien par l’article 8 de la Convention de sauvegarde des droits de l’homme et des libertés fondamentales que par l’article 15 de la Constitution et être inscrites dans le texte de la loi. ». Dans son avis n° 60.346 du 22 juin 20213, le Conseil d’État avait repris cette même observation en l’assortissant cette fois-ci d’une 2 Avis du Conseil d’État du 11 novembre 2014 sur le projet de loi modifiant la loi modifiée du 21 novembre 1980 portant organisation de la direction de la santé et la loi modifiée du 16 août 1968 portant création d’un Centre de logopédie et de services audiométrique et orthophonique (doc. parl. n° 6646). 3 Avis du 22 juin 2021 sur le projet de loi modifiant la loi modifiée du 21 mars 2012 relative aux déchets (doc. parl. n° 7659). 5 opposition formelle. Le Conseil d’État en était arrivé en effet à la conclusion qu’« [é]tant donné que ces garanties ne sont pas données dans le texte sous examen, le Conseil d’État est amené à s’opposer formellement à celui-ci ». Dans le cadre de son avis complémentaire du 18 janvier 20224, le Conseil d’État avait décidé de lever l’opposition formelle mentionnée ciavant en argumentant comme suit : « Dans son avis précité du 22 juin 2021, le Conseil d’État avait demandé, sous peine d’opposition formelle, que les pouvoirs et prérogatives de contrôle des « personnes visées à l’article 45, paragraphe 1er », de la loi précitée du 21 mars 2012 soient encadrés des garanties nécessaires au respect des principes de légalité et de proportionnalité. Par l’amendement sous revue, les auteurs ajoutent la condition d’existence d’« indices graves faisant présumer une infraction à la présente loi ou à ses règlements d’exécution », ainsi que la mention selon laquelle « [l]es actions de contrôle entreprises respectent le principe de proportionnalité par rapport aux motifs invoqués ». Ces garanties supplémentaires répondent aux observations formulées par le Conseil d’État à l’égard de la disposition faisant l’objet de l’amendement sous revue et lui permettent de lever son opposition formelle. » Le Conseil d’État précise néanmoins qu’il ne sera pas nécessaire de viser expressément le principe de proportionnalité au niveau de la loi en projet dans la mesure où le principe en question est reconnu comme principe de droit à valeur constitutionnelle par la Cour constitutionnelle
3. Toujours concernant le pouvoir de l’ILNAS d’avoir accès aux locaux des acteurs visés à l’article 5, paragraphe 1er, du projet de loi sous avis, l’article 58, paragraphe 8, lettre d), du règlement (UE) n°2019/881 dispose que celui-ci est exercé « conformément au droit procédural de l’Union ou au droit procédural d’un État membre ». Le Conseil d’État constate que les auteurs du projet de loi sous examen n’ont pas assorti le pouvoir d’accès, notamment aux locaux, d’un dispositif procédural. Au vu de ce double manque d’encadrement, le Conseil d’État doit s’opposer formellement au texte de l’article 5, paragraphe 1er, du projet de loi Le Conseil d’État attire par ailleurs l’attention des auteurs du projet de loi sur le fait que l’article 10 du projet de loi sanctionne pénalement le fait d’entraver les enquêtes de l’autorité nationale. Il conviendrait de compléter ces sanctions par un dispositif procédural qui pourrait s’inspirer des dispositions de l’article 15, paragraphe 1er, alinéa 1er, de la loi précitée du 4 juillet 2014, qui fait intervenir les officiers et agents de police judiciaire de l’ILNAS lorsqu’il s’agit d’accéder aux locaux, installations, sites et moyens de transport à la condition que des indices graves faisant présumer une infraction existent. En conclusion, et afin de lui permettre de lever l’opposition formelle qu’il vient de mettre en avant, le Conseil d’État demande aux auteurs du projet de loi de compléter le texte qu’ils proposent par un dispositif reprenant les conditions et les éléments procéduraux figurant à l’article 15, paragraphe 1er, alinéa 1er, de la loi précitée du 4 juillet
4. 4 Avis complémentaire du Conseil d’État du 18 janvier 2022 sur le projet de loi modifiant : 1° la loi modifiée du 21 mars 2012 relative aux déchets ; 2° la loi modifiée du 31 mai 1999 portant institution d’un fonds pour la protection de l’environnement (doc. parl. n° 7659). 5 Cour constitutionnelle, arrêt no 146/21 du 19 mars 2021 (Mém. A-no 232 du 23 mars 2021). 6 Le paragraphe 2 reprend une obligation d’information de l’autorité nationale par les titulaires de certificats de cybersécurité européens, les émetteurs de déclaration de conformité de l’Union européenne et les organismes d’évaluation de la conformité qui figure à l’article 56, paragraphe 8, du règlement (UE) n°2019/881, en l’assortissant d’un délai et de modalités. La mise en œuvre du dispositif respectant le cadre tracé par le règlement européen, le Conseil d’État peut marquer son accord avec la disposition proposée. Article 6 Le paragraphe 1er de l’article sous examen dispose que « [t]oute personne chargée ou ayant été chargée de procéder à des audits par l’autorité nationale auprès des fabricants ou fournisseurs de produits TIC, services TIC et processus TIC est tenue au secret professionnel […] ». Dans l’hypothèse d’un recours à un cabinet d’audit par l’autorité nationale, le Conseil d’État estime qu’il n’est pas nécessaire de prévoir une obligation additionnelle au secret professionnel telle que celle inscrite au paragraphe 1er, étant donné que les cabinets d’audit sont déjà soumis à l’obligation du secret professionnel inscrite tant à l’article 458 du Code pénal qu’à l’article 28, paragraphe 1er, de la loi modifiée du 23 juillet 2016 relative à la profession de l’audit
5. Article 7 Le paragraphe 1er ne fait que reproduire la substance de l’article 60 du règlement (UE) n° 2019/881 en imposant aux organismes d’évaluation de la conformité qui souhaitent certifier des produits TIC, des services TIC et des processus TIC l’obligation de se faire accréditer. La disposition est dès lors à la limite superfétatoire. Conformément à l’article 5 de la loi précitée du 4 juillet 2014, l’accréditation se fera par l’Office luxembourgeois d’accréditation et de surveillance (OLAS) qui constitue un département de l’ILNAS. D’après le paragraphe 2, l’organisme d’évaluation de la conformité accrédité au sens de l’article 60 du règlement (UE) n° 2019/881, en informe dans un délai de soixante-douze heures l’autorité nationale. Si le Conseil d’État lit correctement cette disposition, l’organisme d’évaluation de la conformité accrédité par l’OLAS, c’est-à-dire en fin de compte l’ILNAS, devra informer l’ILNAS en tant qu’autorité nationale de son accréditation. Le Conseil d’État renvoie à ses observations concernant la structuration de l’ILNAS en départements rappelées ci-dessus en relation avec l’article 1er du projet de loi. Les paragraphes 3 et 4 ne donnent pas lieu à des observations de la part du Conseil d’État. Article 8 L’article 8 impose à l’autorité nationale certaines obligations et la dote de moyens lui permettant d’exercer ses pouvoirs. 6 Journal officiel du Grand-Duché de Luxembourg, Mémorial A, n°141 du 26 juillet
6. 7 Le paragraphe 1er charge l’autorité nationale de notifier à la Commission européenne tout organisme d’évaluation de la conformité accrédité. En son alinéa 2, le paragraphe prévoit que l’autorité nationale peut, sous certaines conditions, adresser une demande à la Commission européenne pour retirer de la liste tenue par la Commission européenne des organismes d’évaluation de la conformité. Le Conseil d’État ne formule pas d’observations de principe. Il n’est cependant pas très clair à quel élément du dispositif se rapportent les termes « tel que défini dans l’article 61 du règlement (UE) n° 2019/881 ». S’il s’agit de la notification dont a fait l’objet l’organisme d’évaluation de la conformité, il conviendra d’écrire « définie ». Si c’est le schéma européen de certification de cybersécurité qui est visé, il conviendra de se référer, non pas à l’article 61 du règlement européen, mais à son article 46 qui traite du cadre européen de cybersécurité. Le paragraphe 2 prévoit tout d’abord que si l’autorité nationale constate que les activités d’un organisme d’évaluation de la conformité qui émet des certificats de cybersécurité européens aux niveaux d’assurance dits « élémentaire » et « substantiel » ne sont pas conformes « aux exigences du règlement (UE) n° 2019/881, des actes d’exécution pris en son exécution, des schémas européens de certification de cybersécurité correspondants et à la présente loi », elle invite l’organisme concerné à se conformer à ces exigences. Au paragraphe 2, deuxième phrase, il est ensuite prévu qu’au cas où l’acteur concerné ne se met pas en conformité dans le délai imparti par l’administration, il pourra se voir infliger « les sanctions administratives prévues à l’article 9 » ou s’exposer à la dénonciation des « infractions par rapport à l’article 10 de la […] loi ». Cette façon de procéder des auteurs du projet de loi pose un problème dans la mesure où le but poursuivi par le dispositif ne ressort pas clairement du texte proposé, et cela en raison de l’imbrication de la disposition avec les articles 9 et 10 du projet de loi sous examen. En effet, si les auteurs ont pour objectif d’assortir une non-conformité aux exigences « du règlement (UE) n°2019/881, des actes d’exécution pris en son exécution, des schémas européens de certification de cybersécurité correspondants et à la présente loi » d’une sanction administrative ou pénale, ou plus précisément d’une dénonciation dans le second cas, au-delà des comportements précis énumérés aux articles 9 et 10, le prescrit de l’article 14 de la Constitution, dont découlent des principes de la légalité des peines et la spécification des incriminations, ne serait pas respecté. Le Conseil d’État note que les articles 9 et 10 visent exclusivement des infractions au règlement (UE) n° 2019/881 et non pas des infractions à la loi en projet. Par contre, si l’intention des auteurs est d’accorder un délai pour que les acteurs puissent se conformer aux exigences qui découlent des cas de figure précis repris aux articles 9 et 10, le Conseil d’État estime qu’il conviendrait de reformuler le paragraphe 2, pour en faire ressortir clairement l’objectif. Le Conseil d’État note encore que le commentaire des articles n’apporte pas davantage d’éclaircissements à ce sujet. En tout état de cause, le dispositif tel qu’envisagé par les auteurs du projet de loi devra se limiter aux comportements visés aux articles 9 et 10, qui sont les seuls à être incriminés de façon précise par les dispositions en question. 8 Tenant compte des observations qui précèdent et de sa lecture du dispositif, le Conseil d’État demande aux auteurs du projet de loi de reformuler le paragraphe 2 comme suit : «