Luxembourg, le 29 juillet 2024 Objet : Projet de loi n°81321 portant sur certaines modalités d’application et les sanctions du règlement (UE) n°2019/881du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) n°526/2013 et portant modification de la loi modifiée du 4 juillet 2014 portant réorganisation de l’ILNAS. - Amendements parlementaires. (6270terMLE/GKA) Saisine : Ministre de l’Economie (10 juillet 2024) Les amendements parlementaires au projet de loi n°8132 portant sur certaines modalités d’application et les sanctions du règlement (UE) n°2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications et abrogeant le règlement (UE) n°526/2013 et portant modification de la loi modifiée du 4 juillet 2014 portant réorganisation de l’ILNAS, visent essentiellement à prendre en compte et à répondre aux observations et aux oppositions formelles formulées par le Conseil d’Etat dans son avis du 11 juin
- En bref ➢ La Chambre de Commerce réitère son interrogation quant à savoir si l’Organisme luxembourgeois de la confiance numérique dispose d’une indépendance opérationnelle effective. ➢ Elle observe que les amendements parlementaires procèdent à la réintégration de certaines sanctions pénales au sein du projet de loi n°8132 et s’interroge à cet égard. ➢ La Chambre de Commerce peut approuver les amendements parlementaires sous avis, sous réserve de la prise en compte de ses commentaires. 1 Lien vers le texte des amendements parlementaires au projet de loi n°8132 sur le site de la Chambre des Députés 2 Considérations générales La Chambre de Commerce avait déjà eu l’occasion de commenter, dans son avis du 1 er août 2023 (ci-après l’« Avis Initial »), le projet de loi n°8132 portant sur certaines modalités d’application et les sanctions du règlement (UE) n°2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications et abrogeant le règlement (UE) n°526/2013 et portant modification de la loi modifiée du 4 juillet 2014 portant réorganisation de l’ILNAS, ainsi que dans son avis complémentaire du 24 juillet 2024 portant sur les premiers amendements parlementaires au projet de loi n°8132 (ci-après l’« Avis Complémentaire »). Pour rappel, le projet de loi n°8132 a pour objet d’instituer les mesures d’application nationale du règlement (UE) n°2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) n°526/2013 sur la cybersécurité (ci-après le « Règlement (UE) n°2019/881 »). Le projet de loi n°8132 désigne l’Institut luxembourgeois de la normalisation, de l’accréditation, de la sécurité et qualité des produits et services (ci-après l’« ILNAS ») comme « autorité nationale de certification de cybersécurité responsable des tâches de supervision » et confie à l’Organisme luxembourgeois de la confiance numérique - nouvellement créé et remplaçant l’actuel département de la confiance numérique auprès de l’ILNAS - la mission d’assumer les tâches d’autorité nationale de certification de cybersécurité. A noter que les dispositions de l’article 58 du Règlement (UE) n°2019/881 prévoient que les activités des autorités nationales de certification de cybersécurité liées à la certification doivent être strictement distinctes des activités de supervision et exécutées indépendamment l’une de l’autre. La Chambre de Commerce s’est interrogée dans son Avis Initial ainsi que dans son Avis Complémentaire quant à savoir si l’Organisme luxembourgeois de la confiance numérique dispose d’une indépendance opérationnelle effective suffisante afin d’exercer cette mission conformément aux dispositions de l’article 58 du Règlement (UE) n°2019/881 qui exigent une distinction stricte des missions de supervision et des missions de certification. Afin d’assurer une indépendance opérationnelle effective des tâches de certification et celles de supervision, les auteurs des amendements parlementaires sous avis proposent, par le biais de l’amendement parlementaire 1er, de préciser davantage le renvoi fait à l’article 56 2 du Règlement (UE) n°2019/881 en modifiant l’article 1er du projet de loi n°8132 comme suit (ajouts en gras et soulignés suggérés par les auteurs des amendements parlementaires) : « L’Institut luxembourgeois de la normalisation, de l’accréditation, de la sécurité et qualité des produits et services, ci-après « ILNAS », est désigné comme Autorité nationale de certification de cybersécurité responsable des tâches de supervision au sens de l’article 58 du règlement (UE) n°2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) n°526/2013 (règlement sur la cybersécurité), tel que modifié, ci-après « règlement (UE) n°2019/881 » et responsable des tâches L’article 56 paragraphe 6 du Règlement (UE) n°2019/881 prévoit que : «
- Lorsqu’un schéma européen de certification de cybersécurité adopté au titre de l’article 49 exige un niveau d’assurance dit « élevé», le certificat de cybersécurité européen dans le cadre de ce schéma ne doit être délivré que par une autorité nationale de certification de cybersécurité ou, dans les cas suivants, par un organisme d’évaluation de la conformité : a) moyennant l’approbation préalable de l’autorité nationale de certification de cybersécurité pour chaque certificat de cybersécurité européen délivré par un organisme d’évaluation de la conformité ; ou b) sur la base d’une délégation préalable de la tâche consistant à délivrer de tels certificats de cybersécurité européens à un organisme d’évaluation de la conformité par l’autorité nationale de certification de cybersécurité. ». 2 3 de certification au sens de l’article 56, paragraphe 6, lettre a), du règlement (UE) n°2019/881 précité.». Ils jugent en effet utile de renvoyer de manière plus ciblée aux tâches de certification prévues et par conséquent à la lettre a) du paragraphe 6 dudit article 56 du Règlement (UE) n°2019/881 qui prévoit la délégation de cette tâche à un organisme d’évaluation de la conformité « moyennant l’approbation préalable de l’autorité nationale de certification de cybersécurité ». Toujours selon les auteurs des amendements parlementaires sous avis, cette limitation à la lettre a) implique l’exclusion de la lettre b) de ce même paragraphe et vise donc à garantir l’indépendance opérationnelle effective de ces tâches. La Chambre de Commerce se demande toutefois si cette modification permettra d’assurer une indépendance opérationnelle effective et suffisante afin de répondre à l’exigence d’une distinction stricte des missions de supervision et des missions de certification. En effet, l’indépendance opérationnelle effective suffisante entre l’ILNAS comme « autorité nationale de certification de cybersécurité responsable des tâches de supervision » et l’Organisme luxembourgeois de la confiance numérique comme « autorité nationale de certification de cybersécurité » devrait se traduire par la mise à disposition d’un personnel propre, par des lignes hiérarchiques séparées et par des processus décisionnels distincts. L’amendement parlementaire 2 supprime les sanctions administratives prévues en cas de non-respect des lettres a) et b) du paragraphe 8 de l’article 58 du Règlement (UE) n°2019/881, à savoir le fait de ne pas mettre à disposition de l’ILNAS toute information dont il a besoin pour l’exécution de ses tâches et le fait d’entraver ses enquêtes. Ces infractions seront sanctionnées pénalement comme initialement prévu par le projet de loi n°
- La Chambre de Commerce s’interroge sur les raisons pour lesquelles les auteurs des amendements parlementaires sous avis réintroduisent uniquement et précisément les sanctions pénales en cas de non-respect des lettres a) et b) du paragraphe 8 de l’article 58 du Règlement (UE) n°2019/
- La Chambre de Commerce comprend du commentaire de l’amendement parlementaire 2 que ce retour partiel au texte initial du projet de loi n°8132 s’explique par la volonté de maintenir la possibilité de faire intervenir des officiers et agents de police judiciaire. Cette justification ne semble pas, aux yeux de la Chambre de Commerce, suffisante pour sanctionner pénalement les titulaires de certificats de cybersécurité européens et les émetteurs de déclarations de conformité de l’Union européenne en cas de non-respect des dispositions susmentionnées. * * * Après consultation de ses ressortissants, la Chambre de Commerce peut approuver les amendements parlementaires sous avis, sous réserve de la prise en compte de ses commentaires. MLE/GKA/DJI