CONSEIL D’ÉTAT =============== N° CE : 61.290 N° dossier parl. : 8132 Projet de loi portant sur certaines modalités d’application et les sanctions du règlement (UE) n° 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) n° 526/2013 et portant modification de la loi modifiée du 4 juillet 2014 portant réorganisation de l’ILNAS Avis complémentaire du Conseil d’État (11 juin 2024) Par dépêche du 11 avril 2024, le président de la Chambre des députés a soumis à l’avis du Conseil d’État huit amendements parlementaires au projet de loi sous rubrique, adoptés par la Commission de l’économie, des PME, de l’énergie, de l’espace et du tourisme, ci-après « Commission ». Le texte des amendements était accompagné de remarques préliminaires, d’un commentaire pour chacun des amendements ainsi que d’un texte coordonné du projet de loi sous avis intégrant les modifications proposées. Considérations générales Les amendements proposés par la Commission sont essentiellement destinés à répondre aux oppositions formelles et à un certain nombre d’autres observations formulées par le Conseil d’État dans son avis du 29 juin 2023 1 concernant le projet de loi initial. La Commission a en outre fait précéder ses amendements de remarques préliminaires à travers lesquelles elle prend position par rapport à diverses observations de principe mises en avant par le Conseil d’État. Il avait ainsi exprimé une préférence pour l’introduction du dispositif proposé dans la loi modifiée du 4 juillet 2014 portant réorganisation de l’ILNAS et pour l’obligation d’assurer une indépendance stricte entre les activités de surveillance et de certification, cela pour répondre aux exigences de l’article 58, paragraphe 4, du règlement (UE) n° 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA (Agence de l’Union Avis n° 61.290 du Conseil d’État du 29 juin 2023 sur le projet de loi portant sur certaines modalités d’application et les sanctions du règlement (UE) n° 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) n° 526/2013 et portant modification de la loi modifiée du 4 juillet 2014 portant réorganisation de l’ILNAS. 1 européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) n° 526/2013 (règlement sur la cybersécurité). En ce qui concerne le premier point, le Conseil d’État prend acte de ce que la Commission, tout en lui donnant raison, a renoncé à le suivre en raison des délais impartis pour la mise en œuvre du règlement (UE) n° 2019/881 précité. Pour ce qui est de la nécessité de veiller à ce que les activités des autorités nationales de certification de cybersécurité liées à la délivrance de certificats de cybersécurité européens soient distinctes de leur activité de supervision tel que cela est prévu par l’article 58, paragraphe 4, du règlement (UE) n° 2019/881 précité, la Commission précise qu’elle « a eu l’assurance que l’ILNAS mettra en place des mesures visant à garantir cette indépendance et que ces mesures feront l’objet des examens par les pairs, tels que décrits dans l’article 59 du même règlement (UE) ». Le Conseil d’État note que l’article 59 en question prévoit en son paragraphe 1er que, dans un souci d’équivalence des normes dans l’ensemble de l’Union, les autorités nationales de certification de cybersécurité font l’objet d’un examen par les pairs et que cet examen porte effectivement, entre autres et aux termes du paragraphe 3, lettre a), du même article 59, sur la question de savoir si les activités des autorités nationales de certification de cybersécurité liées à la délivrance de certificats de cybersécurité européens visées à travers diverses dispositions du règlement européen sont strictement distinctes des activités de supervision qui leur sont confiées. Cet examen par les pairs ne saurait constituer, aux yeux du Conseil d’État, une réponse satisfaisante à sa suggestion de fonder dans le texte sous revue une indépendance opérationnelle effective entre les services concernés se traduisant par la mise à la disposition d’un personnel propre, par des lignes hiérarchiques séparées et des processus décisionnels distincts comme cela est le cas par exemple pour l’organisation du conseil de résolution et du service de résolution à l’intérieur de la Commission de surveillance du secteur financier
- Examen des amendements Amendement 1 Sans observation. Amendement 2 L’amendement sous revue a trait à l’article 3, paragraphe 2, du projet de loi sous avis. Il vise tout d’abord à donner suite aux observations formulées par le Conseil d’État à l’endroit de la disposition précitée. La Commission propose ensuite de remplacer au point 6° de l’article 3, paragraphe 2, la mission d’« échanger des informations sur les évolutions 2 Loi modifiée du 23 décembre 1998 portant création d’une commission de surveillance du secteur financier. 2 dans le domaine de la cybersécurité » conférée au Comité national de certification de cybersécurité par une nouvelle mission libellée comme suit : « proposer au ministre, par schéma de certification, une liste de critères qui doivent être remplis pour autoriser, en application de l’article 56, paragraphe 6, lettre a), du règlement (UE) n° 2019/881, une certification d’un produit, service ou processus au niveau d’assurance dit « élevé ». Parmi ces critères sont notamment les secteurs cibles dans lesquels des certifications peuvent être autorisées. » Au commentaire de l’amendement sous examen, les auteurs expliquent que « [c]et ajout s’ensuit du choix du Gouvernement d’introduire également une certification au niveau d’assurance dit « élevé » ». L’ajout en question n’est pas plus amplement motivé. Cette proposition donne lieu à plusieurs observations de la part du Conseil d’État : La motivation mise en avant par la Commission laisse entendre que l’introduction d’une certification au niveau d’assurance dit « élevé » constituerait un élément nouveau du dispositif, alors que le texte initial couvre les trois niveaux d’assurance prévus par la réglementation européenne, à savoir « élémentaire », « substantiel » et « élevé ». Le Conseil d’État constate ensuite que la disposition projetée prévoit l’établissement d’une liste de critères qui doivent être remplis pour autoriser une certification d’un produit, service ou processus au niveau d’assurance dit « élevé », en application de l’article 56, paragraphe 6, lettre a), du règlement (UE) n° 2019/881 précité. Or, l’article en question prévoit que « [l]orsqu’un schéma européen de certification de cybersécurité adopté au titre de l’article 49 exige un niveau d’assurance dit « élevé », le certificat de cybersécurité européen dans le cadre de ce schéma ne doit être délivré que par une autorité nationale de certification de cybersécurité ou, dans les cas suivants, par un organisme d’évaluation de la conformité : a) moyennant l’approbation préalable de l’autorité nationale de certification de cybersécurité pour chaque certificat de cybersécurité européen délivré par un organisme d’évaluation de la conformité ; » Le Conseil d’État note que le dispositif proposé se situe ainsi clairement dans le cadre de l’application des schémas européens de certification de cybersécurité dont les objectifs et éléments sont définis au niveau du règlement (UE) n° 2019/881 précité, et notamment dans ses articles 51 et
- Le Conseil d’État ne voit pour sa part pas l’utilité d’ajouter à ces objectifs et éléments des critères supplémentaires dans le contexte de l’autorisation d’une certification d’un produit, service ou processus au niveau d’assurance dit « élevé ». Tout en n’excluant pas une éventuelle faculté conférée au Comité national de certification de cybersécurité de conseiller le ministre en matière d’application des objectifs et éléments prévus par le règlement européen, le Conseil d’État estime que la démarche proposée qui débouche clairement sur l’introduction de critères supplémentaires par rapport au règlement européen risque d’entraver l’applicabilité directe de ce dernier. Il doit dès lors s’y opposer formellement. Il demande aux auteurs de reformuler le point 6° comme suit : 3 « conseiller le ministre, par schéma de certification, en ce qui concerne l’application des objectifs et éléments définis par le règlement (UE) n° 2019/881 qui sont pris en compte pour délivrer, en application de l’article 56, paragraphe 6, lettre a), dudit règlement (UE) n° 2019/881, un certificat de cybersécurité au niveau d’assurance dit « élevé ». » Amendements 3 et 4 Les amendements sous revue visent l’article 5 du projet de loi, article qui prévoit l’obligation pour les titulaires de certificats de cybersécurité européens, les émetteurs de déclarations de conformité de l’Union européenne et les organismes d’évaluation de la conformité d’accorder à l’Autorité nationale un accès à toute information, document, personne, équipement et local dont elle a besoin pour pouvoir assurer sa tâche de supervision. Le Conseil d’État s’était opposé formellement à la disposition proposée en raison du fait que les pouvoirs conférés à l’ILNAS étaient insuffisamment encadrés en termes de conditions et d’éléments procéduraux garantissant le respect des principes de légalité et de proportionnalité. Pour lui permettre de lever son opposition formelle, le Conseil d’État avait demandé aux auteurs du projet de loi de compléter le texte qu’ils proposaient par un dispositif reprenant les conditions et les éléments procéduraux figurant à l’article 15, paragraphe 1er, alinéa 1er, de la loi modifiée du 4 juillet 2014 portant réorganisation de l’ILNAS. À la lecture du commentaire de l’amendement 3, le Conseil d’État comprend qu’à travers l’amendement en question, la Commission entend suivre la suggestion du Conseil d’État de renvoyer « expressément aux pouvoirs conférés à l’autorité nationale par le règlement européen » en se référant au niveau du texte « directement à l’article 58, paragraphe 8, lettre a), du règlement (UE) n° 2019/881 » et cela afin de permettre au Conseil d’État de lever son opposition formelle. Le Conseil d’État tient à préciser qu’il avait simplement exprimé une préférence pour une configuration, à un niveau général, du dispositif qui renverrait expressément aux pouvoirs conférés à l’autorité nationale par le règlement européen, ce renvoi pouvant ensuite être complété, si nécessaire, par une énumération précise des pouvoirs supplémentaires dont le législateur national voulait doter l’autorité pour exercer ses pouvoirs de supervision des acteurs du secteur. L’observation en question n’avait en tout cas aucun lien avec l’opposition formelle qui allait suivre. En l’occurrence, le Conseil d’État estime que la référence précise opérée par l’amendement 3 est superflue et peut être supprimée. Toujours au sujet de l’amendement 3, le Conseil d’État constate que la Commission propose d’ajouter le qualificatif « européens » aux termes « organismes d’évaluation de la conformité » figurant à l’article 5, paragraphe 1er, de sorte à viser « les organismes d’évaluation de la conformité européens ». L’ajout en question ne se fonde pas sur une observation du Conseil d’État et n’est pas autrement expliqué par les auteurs de l’amendement. Le texte du règlement (UE) n° 2019/881 précité ainsi que les 4 autres dispositions du texte du projet de loi ne se réfèrent en tout cas qu’aux « organismes d’évaluation de la conformité ». Le Conseil d’État suggère dès lors aux auteurs d’aligner le libellé de la disposition projetée sur le texte du règlement (UE) n° 2019/881 précité en omettant l’ajout du qualificatif « européens ». À travers l’amendement 4, la Commission entend donner suite à l’opposition formelle formulée à l’égard de l’article 5, paragraphe 1er, en complétant ledit article par un paragraphe 3 nouveau dont le libellé constitue une reprise de l’article 15, paragraphe 1er, alinéa 1er, de la loi précitée du 4 juillet
- Elle suit en cela la proposition mise en avant par le Conseil d’État et explique au commentaire de l’amendement sous revue que, « [c]onstatant que le projet de loi sanctionne également pénalement le fait d’entraver les enquêtes de l’autorité nationale, le Conseil d’État souligne qu’il « conviendrait de compléter ces sanctions par un dispositif procédural qui pourrait s’inspirer des dispositions de l’article 15, paragraphe 1er, alinéa 1er, de la loi précitée du 4 juillet 2014, […] » ». Le Conseil d’État rappelle que l’article 15, paragraphe 1er, alinéa 1er, prévoit l’intervention d’officiers et d’agents de police judiciaire en vue de la recherche et de la constatation d’infractions pénales. À cet égard, le Conseil d’État relève qu’à travers l’amendement 8 il est cependant procédé à la suppression de l’ancien article 10 regroupant les sanctions pénales initialement prévues, de sorte que le projet de loi sous avis ne comporte plus que des sanctions administratives. Or, l’institution de l’officier de police judiciaire est propre à la procédure pénale et les prérogatives particulières que le Code de procédure pénale confère aux officiers de police judiciaire sont limitées à la recherche et à la constatation des infractions pénales. Par conséquent, l’intervention des officiers et agents de police judiciaire ne ferait plus de sens en l’occurrence. Une solution pour remédier à cette situation résultant des amendements pourrait consister à réintroduire dans le projet de loi sous avis des dispositions qui sanctionnent pénalement le non-respect de l’article 58, paragraphe 8, lettre a), du règlement (UE) n° 2019/881 précité par un acteur du marché qui ne mettrait pas à la disposition de l’ILNAS toute information dont il a besoin pour l’exécution de ses tâches et de l’article 58, paragraphe 8, lettre b), du règlement (UE) n° 2019/881 précité par un acteur du marché qui entraverait les enquêtes de l’ILNAS. Parallèlement, les sanctions administratives prévues par le texte sous revue à l’endroit des organismes surveillés qui empêcheraient l’ILNAS d’exercer les pouvoirs qui lui sont conférés sur la base des dispositions précitées devront être retirées du texte afin d’éviter que les autorités concernées ne se trouvent en porte-à-faux par rapport à l’application du principe du non bis in idem. Le Conseil d’État renvoie sur ce point à ses observations concernant l’amendement
- L’ajout d’un dispositif procédural fait que l’opposition formelle mise en avant par le Conseil d’État perd sa base, de sorte qu’elle peut être levée. Le Conseil d’État signale toutefois encore que l’article 5, paragraphe 1er, vise « tout document, toute personne, tout équipement et tout local » là où l’article 5, paragraphe 3, nouveau, se réfère aux « locaux, installations, sites et moyens de transport ». Il y aurait lieu de faire coïncider les champs des deux dispositions. À cette fin, le Conseil d’État suggère aux auteurs de reformuler l’article 5, paragraphe 1er, afin de viser « tout document, toute 5 personne, tout équipement, tout local, toute installation, tout site et tout moyen de transport ». Amendement 5 Sans observation. Amendement 6 L’amendement sous examen vise l’article 8 (devenu l’article 7), paragraphes 1er à 7, du projet de loi sous rubrique. Au commentaire de l’amendement 6, les auteurs indiquent que l’article 8 a été intégralement retravaillé « non seulement en raison des observations exprimées directement à son égard par le Conseil d’État, mais également en raison du réagencement, sur demande du Conseil d’État, du régime répressif prévu au chapitre 4 » et que « dans l’intérêt de la lisibilité, les sanctions ont été regroupées en fonction des entités visées et les sanctions pénales ont été abandonnées ». Le Conseil d’État peut marquer son accord avec la restructuration du dispositif et avec les reformulations qui sont largement inspirées des propositions faites par le Conseil d’État dans son avis précité du 29 juin
- Au niveau du détail, le texte proposé donne lieu aux observations suivantes : Au paragraphe 2 nouveau, le Conseil d’État comprend que sont visées les déclarations faites par un fabricant ou un fournisseur de produits TIC, de services TIC ou de processus TIC qui, à la suite d’une autoévaluation de la conformité, délivre une déclaration de conformité de l’Union européenne indiquant que le respect des exigences énoncées dans le schéma européen de certification de cybersécurité pertinent a été démontré. Ce dispositif est limité aux produits, services et processus qui ne présentent qu’un risque faible correspondant au niveau d’assurance dit « élémentaire ». Afin de mieux faire ressortir la perspective dans laquelle les auteurs du texte se situent, le Conseil d’État propose de reformuler le début du paragraphe comme suit : « Si l’Autorité nationale de certification de cybersécurité constate qu’un émetteur de déclarations de conformité de l’Union européenne, telles que visées à l’article 53 du règlement (UE) n° 2019/881, a un comportement visé à l’article 8 […]. » Au paragraphe 6 (ancien paragraphe 3), il y aurait lieu de se référer correctement au « comportement visé à l’article 12 et sanctionné par ce même article ». Au paragraphe 7 (ancien paragraphe 6), le Conseil d’État avait encore demandé de détailler le contenu des frais d’experts visés par la disposition. Les auteurs de l’amendement ont fait le choix de ne pas définir directement la notion, mais ont ajouté un paragraphe 8, dont le texte est calqué sur celui de l’article 4, paragraphe 2, de la loi précitée du 4 juillet 2014, qui reprend l’ensemble des frais qui sont refacturés aux entités supervisées. Compte tenu des explications fournies au niveau du commentaire de l’amendement, le Conseil d’État peut marquer son accord avec cette façon de procéder. 6 Amendements 7 et 8 Les modifications opérées à travers les amendements sous revue visent à donner suite à l’opposition formelle formulée par le Conseil d’État à l’endroit des articles 9 et 10 qui définissaient un double régime de sanctions, administratives et pénales, en vue de la mise en œuvre de l’article 65 du règlement (UE) n° 2019/881 précité. Dans son avis précité du 29 juin 2023, le Conseil d’État s’était en effet opposé à ce dispositif au vu du fait qu’il comportait, sur un certain nombre de points, le risque que, dans une même affaire, l’ILNAS puisse infliger une amende administrative et les autorités judiciaires une amende pénale pour sanctionner les mêmes faits, façon de procéder qui se heurterait au principe non bis in idem. Le Conseil d’État avait dès lors invité les auteurs du projet de loi à opter pour une des deux voies de répression, administrative ou pénale. La Commission, plutôt que de se limiter dans ses propositions de reformulation du texte aux points précis critiqués par le Conseil d’État, a opté pour une solution plus radicale. L’amendement 7 sous examen restructure ainsi, sans que cela ressorte clairement du libellé de l’amendement, l’article 9 du projet de loi initial (article 8 du projet de loi amendé) et complète ensuite le projet de loi sous rubrique par les articles 9 à 12 nouveaux qui prévoient exclusivement des sanctions administratives. L’article 8 du projet de loi amendé instaure désormais un régime de sanctions administratives à l’encontre des seuls émetteurs de déclarations de conformité de l’Union européenne. Les articles 9 à 11 nouveaux couvrent les sanctions administratives à l’encontre de titulaires de certificats de cybersécurité en fonction du niveau d’assurance dit « élémentaire », « substantiel » ou « élevé » de ces derniers. L’article 12 nouveau quant à lui prévoit les sanctions administratives à l’encontre d’organismes d’évaluation de la conformité calibrées ici encore en fonction du niveau d’assurance. Parallèlement, l’amendement 8 supprime le régime de sanctions pénales prévu par l’article 10 du projet de loi initial. Le Conseil d’État constate que la solution préconisée enlève certes son fondement à l’opposition formelle, qui est dès lors levée, mais que le nouvel agencement du dispositif, qui prévoit au nouvel article 5, paragraphe 3, du projet de loi tel qu’amendé l’intervention d’officiers et d’agents de police judiciaire, soulève des problèmes que le Conseil d’État a thématisés à l’endroit de l’amendement
- Il renvoie à ses observations concernant l’amendement en question et à ses propositions de reconfiguration du dispositif de sanction. Au niveau du détail du texte proposé, le Conseil d’État signale que l’article 10, paragraphe 1er, points 10° et 11°, nouveau, et l’article 10, paragraphe 2, points 2° et 3°, nouveau, incriminent les mêmes faits tout en les assortissant de sanctions qui diffèrent au niveau de leur sévérité. Le Conseil d’État part de l’hypothèse qu’il s’agit d’une erreur de la part des auteurs de l’amendement et il peut d’ores et déjà se déclarer d’accord avec la suppression de l’une ou de l’autre disposition. 7 Observations d’ordre légistique Amendement 1 À l’article 1er, les auteurs introduisent une forme abrégée pour désigner le règlement européen en question. Or, il suffit de se référer au « règlement (UE) n° 2019/881 précité » après la mention de l’intitulé complet lors de la première occurrence. Le terme « précité » est à ajouter systématiquement après le numéro du règlement européen en question dans la suite du dispositif. Amendement 2 À l’article 3, paragraphe 2, points 5° et 6°, en ce qui concerne l’emploi du terme « notamment », le Conseil d’État signale que si celui-ci a pour but d’illustrer un principe établi par le texte, il est à écarter comme étant superfétatoire. Une énonciation d’exemples est en effet sans apport normatif. Amendement 6 À l’article 8, paragraphe 6, première phrase, il y a lieu d’écrire « tels que définis à l’article 52 du règlement (UE) n° 2019/881 précité ». Amendement 7 Lorsqu’il est renvoyé à une lettre faisant partie d’une subdivision a), b), c)…, il y a lieu d’insérer une parenthèse fermante à la suite de la lettre référée, et non un exposant « ° ». À l’article 9, paragraphe 1er, point 7°, il est signalé que pour marquer une obligation, il suffit généralement de recourir au seul présent de l’indicatif, qui a, comme tel, valeur impérative, au lieu d’employer le verbe « devoir ». Cette observation vaut également pour les articles 10, paragraphe 1er, point 6°, et 11, paragraphe 2, point 2°. À l’article 12, paragraphe 1er, point 1°, le Conseil d’État signale que lors des renvois, les différents éléments auxquels il est renvoyé sont à séparer par des virgules, en écrivant « l’article 52, paragraphe 5, du règlement (UE) n° 2019/881 précité, ». Ainsi délibéré en séance plénière et adopté à l’unanimité des 17 votants, le 11 juin
- Le Secrétaire général, Le Président, s. Marc Besch s. Marc Thewes 8