{"html": "

réorganisation de l’ILNAS».

\n

2° A l’article 21, paragraphe 1er, 3ème alinéa les mots « loi modifiée du 20 mai 2008 relative à la création d’un Institut luxembourgeois de la normalisation, de l’accréditation, de la sécurité et qualité des produits et services » sont remplacés par les mots « loi du 4 juillet 2014 portant réorganisation de l’ILNAS».

\n

Art. 30Abrogation de la loi modifiée du 20 mai 2008 relative à la création d’un Institut

\n

luxembourgeois de la normalisation, de l’accréditation, de la sécurité et qualité des produits et services.

\n

La loi modifiée du 20 mai 2008 relative à la création d’un Institut luxembourgeois de la normalisation, de l’accréditation, de la sécurité et qualité des produits et services est abrogée.

\n

CHAPITRE VIII – Dispositions transitoires.

\n

24 TC 19/12/2022

\n

Art. 31Dispositions relatives au personnel

\n
(1)Pour chaque carrière, il est établi un tableau d’avancement unique regroupant tous les fonctionnaires de cette carrière. Les nominations des fonctionnaires aux grades supérieurs de leur carrière se font par application des lois et règlements déterminant les conditions et modalités d’avancement des fonctionnaires de l’Etat. Toutefois, les fonctionnaires transférés vers l’ILNAS au 1er juin 2008 peuvent bénéficier d’une promotion à un grade supérieur de leur carrière par dérogation à ces lois et règlements, s’il est établi qu’ils auraient bénéficié dans leur administration d’origine de la même promotion s’ils avaient continué à faire partie de cette administration.
\n

Cette disposition produira ses effets jusqu’au 31 mai 2018.

\n
(2)Les fonctionnaires de la carrière de l’expéditionnaire technique engagés le 1er février 1991 auprès du Service de l’énergie de l’Etat, pourront être désignés par le Ministre pour les missions définies à l’article 14.
\n
(3)L’ILNAS est autorisé à procéder à l’engagement de huit fonctionnaires de la carrière moyenne de l’ingénieur technicien en plus du contingent déjà légalement autorisé, déduction faite du nombre de fonctionnaires que l’Inspection du travail et des mines a engagés à la date de l’entrée en vigueur de la présente loi sur base de l’article 25 abrogé de la loi modifiée du 27 mai 2010 relative aux machines. Les fonctionnaires en question de l’Inspection du travail et des mines sont transférés à l’ILNAS.
\n
(4)Les stagiaires des carrières de l’attaché de direction et de l’ingénieur engagés à la date de l’entrée en vigueur de la présente loi sur base de l’article 25 abrogé de la loi modifiée du 27 mai 2010 relative aux machines sont transférés à l’ILNAS.
\n

Les stagiaires en question sont admissibles à l’examen de formation spéciale et à l’examen de fin de stage de l’année 2014 de l’Inspection du travail et des mines.

\n

25 TC 19/12/2022

\n

CHAPITRE IX – Dispositions finales.

\n

Art. 32Références à la présente loi

\n

Dans toute disposition légale et réglementaire future, la référence à la présente loi pourra se faire sous une forme abrégée en utilisant les termes de „loi du 4 juillet 2014 portant réorganisation de l’ILNAS“.

\n

26 7.6.2019 FR Journal officiel de l’Union européenne L 151/15 RÈGLEMENT (UE) 2019/881 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 17 avril 2019 relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement (UE) no 526/2013 (règlement sur la cybersécurité) (Texte présentant de l'intérêt pour l'EEE) LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L’UNION EUROPÉENNE, vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 114, vu la proposition de la Commission européenne, après transmission du projet d’acte législatif aux parlements nationaux, vu l’avis du Comité économique et social européen (1), vu l’avis du Comité des régions (2), statuant conformément à la procédure législative ordinaire (3), considérant ce qui suit:

\n
(1)Les réseaux et systèmes d’information et les réseaux et services de communications électroniques remplissent une fonction essentielle dans la société et sont devenus le nerf de la croissance économique. Les technologies de l’information et des communications (TIC) sont le fondement des systèmes complexes qui rendent possibles les activités sociales quotidiennes, permettent à nos économies de fonctionner dans des secteurs clés comme la santé, l’énergie, la finance et les transports, et soutiennent, en particulier, le fonctionnement du marché intérieur.
\n
(2)L’utilisation des réseaux et des systèmes d’information par les citoyens, les organisations et les entreprises s’est généralisée dans l’Union tout entière. La numérisation et la connectivité deviennent des caractéristiques essentielles d’un nombre toujours croissant de produits et de services et avec l’avènement de l’internet des objets (IdO), un nombre extrêmement élevé de dispositifs numériques connectés devrait être mis en service dans toute l’Union au cours de la prochaine décennie. Alors qu’un nombre croissant de dispositifs sont connectés à l’internet, leur conception n’intègre pas suffisamment la sécurité et la résilience, de sorte que la cybersécurité est insuffisante.
\n

Dans ce contexte, le recours limité à la certification conduit les utilisateurs — qu’ils soient des particuliers, des organisations ou des entreprises — à ne pas disposer de suffisamment d’informations sur les caractéristiques en matière de cybersécurité des produits TIC, services TIC et processus TIC, ce qui nuit à la confiance dans les solutions numériques. Les réseaux et systèmes d’information sont à même de nous assister dans tous les aspects de notre vie et constituent le moteur de la croissance économique de l’Union. Ils constituent le pilier de la réalisation du marché unique numérique.

\n
(3)Une numérisation et une connectivité accrues augmentent les risques liés à la cybersécurité, ce qui rend l’ensemble de la société plus vulnérable aux cybermenaces et exacerbe les dangers auxquels sont confrontés les individus, notamment les personnes vulnérables telles que les enfants. Afin d’atténuer ces risques, il convient de prendre toutes les mesures nécessaires pour améliorer la cybersécurité dans l’Union afin que les réseaux et systèmes d’information, les réseaux de communication, les produits, services et appareils numériques utilisés par les citoyens, les organisations et les entreprises — depuis les petites et moyennes entreprises (PME), telles qu’elles sont définies dans la recommandation 2003/361/CE de la Commission (4), jusqu’aux opérateurs d’infrastructures critiques — soient mieux protégés contre les cybermenaces.
\n
(1)JO C 227 du 28.6.2018, p. 86.
\n
(2)JO C 176 du 23.5.2018, p. 29.
\n
(3)Position du Parlement européen du 12 mars 2019 (non encore parue au Journal officiel) et décision du Conseil du 9 avril 2019.
\n
(4)Recommandation de la Commission du 6 mai 2003 concernant la définition des micro, petites et moyennes entreprises (JO L 124 du 20.5.2003, p. 36).
\n

L 151/16 FR Journal officiel de l’Union européenne 7.6.2019

\n
(4)En mettant les informations utiles à la disposition du public, l’Agence de l’Union européenne chargée de la sécurité des réseaux et de l’information (ENISA), instituée par le règlement (UE) no 526/2013 du Parlement européen et du Conseil (5), contribue au développement du secteur de la cybersécurité dans l’Union, en particulier les PME et les start-ups. L’ENISA devrait s’efforcer d’établir une coopération plus étroite avec les universités et les entités de recherche afin de contribuer à réduire la dépendance à l’égard des les produits et services de cybersécurité provenant de l’extérieur de l’Union et de renforcer les chaînes d’approvisionnement à l’intérieur de l’Union.
\n
(5)Les cyberattaques sont en augmentation, et une économie et une société connectées qui sont plus vulnérables aux cybermenaces et aux cyberattaques ont besoin de dispositifs de défense renforcés. Cependant, alors que les cyberattaques sont souvent de nature transfrontière, les compétences des autorités chargées de la cybersécurité et des autorités chargées de l’application de la loi ainsi que les réponses politiques qu’elles y apportent sont surtout nationales. Des incidents majeurs pourraient perturber la fourniture de services essentiels dans l’ensemble de l’Union. Cela nécessite de mettre en place des réponses efficaces et coordonnées et une gestion de la crise à l’échelon de l’Union, sur la base de politiques spécifiques et d’instruments élargis aux fins de la solidarité euro­ péenne et de l’assistance mutuelle. En outre, il est important pour les décideurs, les entreprises du secteur et les utilisateurs que la situation en matière de cybersécurité et de résilience dans l’Union soit régulièrement évaluée, sur la base de données de l’Union fiables et d’une anticipation systématique des évolutions, défis et menaces futurs au niveau de l’Union et à l’échelle mondiale.
\n
(6)Compte tenu de l’augmentation des enjeux auxquels l’Union est confrontée dans le domaine de la cybersécurité, il est nécessaire de disposer d’un ensemble complet de mesures qui s’appuieraient sur les actions déjà menées par l’Union et favoriseraient des objectifs complémentaires. Ces objectifs comprennent la poursuite du renforcement des capacités et de l’état de préparation des États membres et des entreprises, ainsi qu’une amélioration de la coopération, du partage d’informations et de la coordination entre les États membres et les institutions, organes et organismes de l’Union. En outre, étant donné que les cybermenaces ignorent les frontières, il est nécessaire d’augmenter, au niveau de l’Union, les capacités susceptibles de compléter l’action des États membres, notamment dans les cas d’incidents et de crises transfrontières majeurs, tout en prenant en compte l’importance de préserver et de renforcer les capacités nationales de réaction en cas de cybermenaces de tous types.
\n
(7)Des efforts supplémentaires sont également nécessaires pour sensibiliser davantage les citoyens, les organisations et les entreprises aux questions de cybersécurité. En outre, étant donné que les incidents nuisent à la confiance dans les fournisseurs de services numériques et dans le marché unique numérique lui-même, en particulier chez les consommateurs, cette confiance devrait être encore renforcée par la communication, en toute transparence, d’informations sur le niveau de sécurité qui caractérise les produits TIC, services TIC et processus TIC, qui précisent que la certification de cybersécurité, aussi élevée soit-elle, ne peut garantir qu’un produit TIC, service TIC ou processus TIC soit complètement sécurisé. Un renforcement de la confiance peut être facilité par une certification mise en œuvre à l’échelle de l’Union prévoyant des exigences et des critères d’évaluation communs en matière de cybersécurité dans l’ensemble des marchés nationaux et des secteurs.
\n
(8)La cybersécurité n’est pas qu’une question liée à la technologie, mais une question pour laquelle le comportement humain est tout aussi important. C’est pourquoi il convient d’encourager vivement les citoyens, les organisations et les entreprises à adopter une «hygiène informatique», à savoir des mesures simples, de routine qui, lorsqu’ils les mettent en œuvre et les effectuent régulièrement, réduisent au minimum leur exposition aux risques liés aux cybermenaces.
\n
(9)En vue de renforcer les structures de cybersécurité de l’Union, il est important de préserver et de développer les capacités de réaction globale des États membres en cas de cybermenaces, y compris en cas d’incidents trans­ frontières.
\n
(10)Les entreprises et les consommateurs individuels devraient disposer d’informations précises sur le niveau d’assu­ rance auquel la sécurité de leurs produits TIC, services TIC et processus TIC a été certifiée. Dans le même temps, aucun produit TIC ou service TIC n’est totalement sécurisé sur le plan de la cybersécurité, et des règles fonda­ mentales d’hygiène informatique doivent être promues et privilégiées. Compte tenu de la disponibilité croissante de dispositifs IdO, le secteur privé peut prendre une série de mesures volontaires dans l’optique de renforcer la sécurité des produits TIC, services TIC et processus TIC.
\n
(11)Souvent, les produits et systèmes TIC modernes intègrent une ou plusieurs technologies et composants tiers et reposent sur ceux-ci, par exemple des modules logiciels, des bibliothèques ou des interfaces de programmation d’applications. Ce rapport dit de «dépendance» pourrait présenter des risques supplémentaires liés à la cybersécurité car les vulnérabilités des composants tiers pourraient aussi affecter la sécurité des produits TIC, services TIC et processus TIC. Dans bon nombre de cas, recenser et documenter ces dépendances permet aux utilisateurs finaux des produits TIC, services TIC et processus TIC d’optimiser leurs activités de gestion des risques liés à la cyber­ sécurité en améliorant, par exemple, les procédures qu’ils mettent en œuvre pour gérer les vulnérabilités liées à la cybersécurité et y remédier.
\n
(5)Règlement (UE) no 526/2013 du Parlement européen et du Conseil du 21 mai 2013 concernant l’Agence européenne chargée de la sécurité des réseaux et de l’information (ENISA) et abrogeant le règlement (CE) no 460/2004 (JO L 165 du 18.6.2013, p. 41).
\n

7.6.2019 FR Journal officiel de l’Union européenne L 151/17

\n
(12)Les organisations, les fabricants ou les fournisseurs impliqués dans la conception et le développement de produits TIC, services TIC ou processus TIC devraient être encouragés à mettre en œuvre, aux stades les plus précoces de la conception et du développement, des mesures permettant de protéger au mieux la sécurité de ces produits, services et processus, de manière que la survenue de cyberattaques soit présumée et que leur incidence soit anticipée et minimisée («sécurité dès le stade de la conception»). La sécurité devrait être prise en charge tout au long du cycle de vie du produit TIC, service TIC ou processus TIC par les processus de conception et de développement qui évoluent constamment pour réduire le risque de préjudice causé par une utilisation malveillante.
\n
(13)Les entreprises, les organisations et le secteur public devraient configurer les produits TIC, services TIC ou processus TIC qu’ils conçoivent de manière à assurer un niveau de sécurité plus élevé, ce qui permettrait au premier utilisateur de recevoir une configuration par défaut avec les paramétrages les plus sûrs possibles (ciaprès dénommée «sécurité par défaut»), réduisant ainsi la charge qui pèse sur les utilisateurs de devoir configurer un produit TIC, service TIC ou processus TIC de manière adéquate. Pour fonctionner, la sécurité par défaut ne devrait pas nécessiter une configuration approfondie, ou une compréhension des détails techniques spécifique, ou encore un comportement non intuitif de la part de l’utilisateur, et devrait fonctionner facilement et de façon fiable lorsqu’elle est mise en œuvre. Si, au cas par cas, une analyse des risques et de la facilité d’utilisation aboutit à la conclusion qu’une configuration par défaut n’est pas réalisable, les utilisateurs devraient être incités à choisir le paramétrage le plus sécurisé.
\n
(14)Le règlement (CE) no 460/2004 du Parlement européen et du Conseil (6) a institué l’ENISA aux fins de contribuer à la réalisation des objectifs visant à assurer un niveau élevé et efficace de sécurité des réseaux et de l’information au sein de l’Union et à favoriser l’émergence d’une culture de la sécurité des réseaux et de l’information dans l’intérêt des citoyens, des consommateurs, des entreprises et des administrations publiques. Le règlement (CE) no 1007/2008 du Parlement européen et du Conseil (7) a prorogé le mandat de l’ENISA jusqu’en mars 2012.
\n

Le règlement (UE) no 580/2011 du Parlement européen et du Conseil (8) a prorogé le mandat de l’ENISA une nouvelle fois jusqu’au 13 septembre 2013. Le règlement (UE) no 526/2013 a prorogé le mandat de l’ENISA jusqu’au 19 juin 2020.

\n
(15)L’Union a déjà pris d’importantes mesures pour garantir la cybersécurité et renforcer la confiance dans les technologies numériques. En 2013, la stratégie de cybersécurité de l’Union européenne a été adoptée afin d’orienter la politique que l’Union entendait mener en réaction aux cybermenaces et aux risques liés à la cybersécurité. Dans le but de mieux protéger les citoyens en ligne, l’Union a adopté en 2016 son premier acte juridique dans le domaine de la cybersécurité sous la forme de la directive (UE) 2016/1148 du Parlement européen et du Conseil (9).
\n

La directive (UE) 2016/1148 a instauré des exigences concernant les capacités nationales dans le domaine de la cybersécurité, a établi les premiers mécanismes destinés à améliorer la coopération stratégique et opérationnelle entre les États membres, et a introduit des obligations concernant les mesures de sécurité et la notification des incidents dans différents secteurs qui revêtent une importance vitale pour l’économie et la société tels que l’énergie, les transports, la fourniture et la distribution d’eau potable, les banques, les infrastructures des marchés financiers, les soins de santé, les infrastructures numériques ainsi que les fournisseurs de services numériques fondamentaux (moteurs de recherche, services d’informatique en nuage et places de marché en ligne).

\n

L’ENISA s’est vu attribuer un rôle essentiel d’appui à la mise en œuvre de ladite directive. En outre, lutter efficacement contre la cybercriminalité est une priorité importante du programme européen en matière de sécurité et contribue à l’objectif global consistant à atteindre un niveau élevé de cybersécurité. D’autres actes juridiques tels que le règlement (UE) 2016/679 du Parlement européen et du Conseil (10) et les directives 2002/58/CE (11) et (UE) 2018/1972 (12) du Parlement européen et du Conseil contribuent également à un niveau élevé de cybersécurité dans le marché unique numérique.

\n
(6)Règlement (CE) no 460/2004 du Parlement européen et du Conseil du 10 mars 2004 instituant l’Agence européenne chargée de la sécurité des réseaux et de l’information (JO L 77 du 13.3.2004, p. 1).
\n
(7)Règlement (CE) no 1007/2008 du Parlement européen et du Conseil du 24 septembre 2008 modifiant le règlement (CE) no 460/2004 instituant l’Agence européenne chargée de la sécurité des réseaux et de l’information en ce qui concerne sa durée (JO L 293 du 31.10.2008, p. 1).
\n
(8)Règlement (UE) no 580/2011 du Parlement européen et du Conseil du 8 juin 2011 modifiant le règlement (CE) no 460/2004 instituant l’Agence européenne chargée de la sécurité des réseaux et de l’information en ce qui concerne sa durée (JO L 165 du 24.6.2011, p. 3).
\n
(9)Directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d’information dans l’Union (JO L 194 du 19.7.2016, p. 1).
\n
(10)Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).
\n
(11)Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) (JO L 201 du 31.7.2002, p. 37).
\n
(12)Directive (UE) 2018/1972 du Parlement européen et du Conseil du 11 décembre 2018 établissant le code des communications électroniques européen (JO L 321 du 17.12.2018, p. 36).
\n

L 151/18 FR Journal officiel de l’Union européenne 7.6.2019

\n
(16)Depuis l’adoption de la stratégie de cybersécurité de l’Union européenne en 2013 et la dernière révision du mandat de l’ENISA, le cadre d’action général a considérablement évolué en raison d’un environnement mondial devenu plus incertain et moins sécurisé. Dans ce contexte, et compte tenu de l’évolution positive du rôle que l’ENISA joue en tant que point de référence par ses conseils et ses compétences, et en tant que facilitatrice de coopération et de renforcement des capacités, ainsi que dans le cadre de la nouvelle politique de cybersécurité de l’Union, il est nécessaire de réviser le mandat de l’ENISA pour définir son rôle dans le nouvel écosystème de la cybersécurité et faire en sorte qu’elle contribue efficacement à la réponse apportée par l’Union aux défis en matière de cybersécurité qui résultent de la transformation radicale de la situation en ce qui concerne les cybermenaces, à l’égard desquels le mandat actuel de l’ENISA est insuffisant ainsi qu’il est apparu lors de l’évaluation de l’ENISA.
\n
(17)L’ENISA instituée par le présent règlement devrait succéder à l’ENISA instituée par le règlement (UE) no 526/2013.
\n

L’ENISA devrait remplir les tâches qui lui sont confiées par le présent règlement et par les autres actes juridiques de l’Union dans le domaine de la cybersécurité, notamment en fournissant des conseils et en apportant des compé­ tences, ainsi qu’en jouant le rôle de centre d’information et de connaissance de l’Union. Elle devrait promouvoir l’échange de bonnes pratiques entre les États membres et les parties prenantes du secteur privé, proposer des actions politiques à la Commission et aux États membres, agir en tant que point de référence pour les initiatives politiques sectorielles au niveau de l’Union en ce qui concerne les questions de cybersécurité, et favoriser la coopération opérationnelle à la fois entre les États membres et entre ceux-ci et les institutions, organes et organismes de l’Union.

\n
(18)Dans le cadre de la décision 2004/97/CE, Euratom prise d’un commun accord entre les représentants des États membres réunis au niveau des chefs d’État ou de gouvernement (13), les représentants des États membres ont décidé que l’ENISA aurait son siège dans une ville en Grèce qui serait désignée par le gouvernement grec. L’État membre d’accueil de l’ENISA devrait offrir les meilleures conditions possibles pour un fonctionnement harmonieux et efficace de l’ENISA. Il est impératif, pour l’exécution correcte et efficace de ses tâches, pour le recrutement et la fidélisation du personnel et pour une plus grande efficacité des activités de mise en réseau, que l’ENISA soit établie dans un lieu approprié, offrant, entre autres, des liaisons de transport et des aménagements appropriés pour les conjoints et enfants accompagnant les membres du personnel de l’ENISA. Les dispositions nécessaires devraient être arrêtées dans un accord conclu entre l’ENISA et l’État membre d’accueil, après approbation du conseil d’administration de l’ENISA.
\n
(19)Compte tenu de l’aggravation des risques et des défis liés à la cybersécurité auxquels l’Union est confrontée, il faudrait augmenter les ressources financières et humaines allouées à l’ENISA pour tenir compte du renforcement de son rôle et de ses tâches, ainsi que de sa position critique parmi les organisations qui défendent l’écosystème numérique de l’Union, pour lui permettre d’exécuter efficacement les tâches qui lui sont confiées en vertu du présent règlement.
\n
(20)L’ENISA devrait acquérir et maintenir un niveau élevé de compétence et servir de point de référence qui instaure la confiance dans le marché intérieur du fait de son indépendance, de la qualité des conseils qu’elle fournit et des informations qu’elle diffuse, de la transparence de ses procédures, de la transparence de ses modes de fonction­ nement et de sa diligence à exécuter ses tâches. L’ENISA devrait soutenir activement les efforts déployés au niveau national et devrait contribuer de manière anticipée aux efforts consentis par l’Union, tout en s’acquittant de ses missions en totale coopération avec les institutions, organes et organismes de l’Union et avec les États membres, en évitant les doubles emplois et en favorisant les synergies. De plus, l’ENISA devrait s’appuyer sur les informations fournies par le secteur privé et les autres parties prenantes concernées et travailler en coopération avec ceux-ci. Un ensemble de tâches devrait déterminer la manière dont l’ENISA doit atteindre ses objectifs tout en lui laissant une certaine souplesse de fonctionnement.
\n
(21)Pour être en mesure d’apporter un soutien adéquat à la coopération opérationnelle entre les États membres, l’ENISA devrait renforcer davantage ses capacités et aptitudes techniques et humaines. Elle devrait accroître son savoir-faire et ses capacités. Sur une base volontaire, l’ENISA et les États membres pourraient élaborer des programmes visant à détacher des experts nationaux auprès de l’ENISA, en créant des groupes d’experts et des programmes d’échanges de personnel.
\n
(22)L’ENISA devrait assister la Commission au moyen de conseils, d’avis et d’analyses sur toutes les questions de l’Union liées à l’élaboration, l’actualisation et la révision des politiques et de la législation dans le domaine de la cybersécurité et de ses aspects sectoriels spécifiques, afin d’améliorer la pertinence des politiques et de la législation de l’Union ayant une dimension liée à la cybersécurité et de permettre la mise en œuvre cohérente de ces politiques et législations au niveau national. L’ENISA devrait agir comme point de référence, par ses conseils et ses compé­ tences, pour les initiatives politiques et législatives sectorielles spécifiques au niveau de l’Union lorsque des questions liées à la cybersécurité sont en jeu. L’ENISA devrait tenir le Parlement européen régulièrement informé de ses activités.
\n
(13)Décision 2004/97/CE, Euratom prise du commun accord des représentants des États membres réunis au niveau des chefs d’État ou de gouvernement du 13 décembre 2003 relative à la fixation des sièges de certains organismes de l’Union européenne (JO L 29 du 3.2.2004, p. 15).
\n

7.6.2019 FR Journal officiel de l’Union européenne L 151/19

\n
(23)Le noyau public de l’internet ouvert, à savoir ses principaux protocoles et ses principales infrastructures, qui constituent un bien public mondial, joue un rôle essentiel dans la fonction de l’internet en général et soutient son fonctionnement normal. L’ENISA devrait soutenir la sécurité du noyau public de l’internet ouvert et la stabilité de son fonctionnement, y compris, sans s’y limiter, ses protocoles clés (notamment DNS, BGP et IPv6), le fonctionnement du système des noms de domaines (tel que le fonctionnement de tous les domaines de premier niveau) et le fonctionnement de la zone racine.
\n
(24)La principale tâche de l’ENISA consiste à promouvoir la mise en œuvre cohérente du cadre juridique applicable, et notamment la mise en œuvre effective de la directive (UE) 2016/1148 ainsi que des autres instruments juridiques pertinents comportant des aspects liés à la cybersécurité, ce qui est essentiel pour renforcer la cyber-résilience.
\n

Compte tenu de l’évolution rapide de la situation en ce qui concerne les cybermenaces, il est clair que les États membres doivent s’appuyer sur une approche plus globale, transsectorielle, du développement de la cyber-rési­ lience.

\n
(25)L’ENISA devrait assister les États membres et les institutions, organes et organismes de l’Union dans leurs efforts pour mettre en place et développer les capacités et la préparation requises aux fins de prévenir et de détecter les cybermenaces et incidents et d’y réagir, et en ce qui concerne la sécurité des réseaux et des systèmes d’information.
\n

L’ENISA devrait notamment soutenir le développement et l’amélioration des centres de réponse aux incidents de sécurité informatique (CSIRT) nationaux et de l’Union prévus par la directive (UE) 2016/1148, afin qu’ils atteignent un niveau de maturité commun élevé dans l’ensemble de l’Union. Les activités entreprises par l’ENISA concernant les capacités opérationnelles des États membres devraient soutenir activement les mesures prises par les États membres pour respecter les obligations qui leur incombent au titre de la directive (UE) 2016/1148 et ne devraient donc pas s’y substituer.

\n
(26)L’ENISA devrait également contribuer à l’élaboration et à la mise à jour des stratégies en matière de sécurité des réseaux et systèmes d’information au niveau de l’Union et, sur demande, au niveau des États membres, notamment en matière de cybersécurité, et devrait promouvoir la diffusion de telles stratégies et suivre les progrès de leur mise en œuvre. L’ENISA devrait en outre contribuer à couvrir les besoins en matière de formations et de matériel pédagogique, y compris les besoins des organismes publics et, le cas échéant, dans une large mesure, «former les formateurs» en s’appuyant sur le cadre de compétences numériques pour les citoyens, en vue d’aider les États membres ainsi que les institutions, organes et organismes de l’Union à mettre en place leurs propres capacités de formation.
\n
(27)L’ENISA devrait soutenir les États membres dans le domaine de la sensibilisation et de l’éducation à la cybersécurité en favorisant une coordination plus étroite et l’échange de bonnes pratiques entre les États membres. Un tel soutien pourrait consister à développer un réseau de points de contact nationaux en matière d’éducation ainsi qu’une plateforme de formation à la cybersécurité. Le réseau de points de contact nationaux en matière d’éducation pourrait fonctionner au sein du réseau des agents de liaison nationaux et être un point de départ pour une future coordination au sein des États membres.
\n
(28)L’ENISA devrait aider le groupe de coopération créé par la directive (UE) 2016/1148 à exécuter ses tâches, notamment en le faisant bénéficier de ses conseils et de ses compétences, et en facilitant l’échange de bonnes pratiques en matière de risques et d’incidents, entre autres en ce qui concerne l’identification des opérateurs de services essentiels par les États membres, ainsi que les dépendances transfrontalières.
\n
(29)Afin de stimuler la coopération entre le secteur public et le secteur privé et au sein de ce dernier, notamment pour soutenir la protection des infrastructures critiques, l’ENISA devrait soutenir le partage d’informations au sein des secteurs et entre ceux-ci, en particulier les secteurs énumérés à l’annexe II de la directive (UE) 2016/1148, en proposant des bonnes pratiques et des orientations sur les outils disponibles et sur les procédures, ainsi qu’en proposant des orientations sur la manière de traiter les questions de réglementation liées au partage d’informations, par exemple en facilitant la mise en place de centres de partage et d’analyse d’informations sectoriels.
\n
(30)Comme l’incidence négative potentielle des vulnérabilités des produits TIC, services TIC et processus TIC croît constamment, il importe de détecter ces vulnérabilités et d’y remédier pour réduire le risque global en matière de cybersécurité. Il est prouvé que la coopération entre les organisations, les fabricants de produits TIC vulnérables ou les fournisseurs de services et processus TIC vulnérables ainsi que les acteurs du secteur de la recherche en matière de cybersécurité et les autorités qui détectent les vulnérabilités permet d’améliorer sensiblement le taux de détection et le rythme de l’élimination des vulnérabilités dans les produits TIC, services TIC et processus TIC. La divulgation coordonnée des vulnérabilités consiste en un processus structuré de coopération dans lequel les vulnérabilités sont signalées au propriétaire du système d’information, ce qui donne à l’organisation la possibilité de diagnostiquer la vulnérabilité et d’y remédier avant que des informations détaillées à ce sujet soient divulguées à des tiers ou au public. Ce processus prévoit en outre une coordination entre la partie qui a procédé à la détection et l’organisation en ce qui concerne la publication de ces vulnérabilités. Les politiques coordonnées de divulgation des vulnérabilités pourraient jouer un rôle important dans le cadre des efforts que les États membres déploient pour renforcer la cybersécurité.
\n

L 151/20 FR Journal officiel de l’Union européenne 7.6.2019

\n
(31)L’ENISA devrait agréger et analyser les rapports nationaux partagés volontairement et qui émanent des CSIRT et de l’équipe d’intervention en cas d’urgence informatique pour les institutions, organes et organismes de l’Union interinstitutionnelle instituée en vertu de l’accord entre le Parlement européen, le Conseil européen, le Conseil de l’Union européenne, la Commission européenne, la Cour de justice de l’Union européenne, la Banque centrale européenne, la Cour des comptes européenne, le Service européen pour l’action extérieure, le Comité économique et social européen, le Comité européen des régions et la Banque européenne d’investissement relatif à l’organisation et au fonctionnement d’une équipe d’intervention en cas d’urgence informatique pour les institutions, organes et organismes de l’Union (CERT-UE) (14) afin de contribuer à établir des procédures, un langage et une terminologie communs pour l’échange d’informations. Dans ce contexte, l’ENISA devrait impliquer le secteur privé, dans le cadre de la directive (UE) 2016/1148, laquelle fixe les bases de l’échange volontaire d’informations techniques à l’échelon opérationnel au sein du réseau des centres de réponse aux incidents de sécurité informatique (ci-après dénommé «réseau des CSIRT») institué par ladite directive.
\n
(32)L’ENISA devrait contribuer à l’élaboration de réponses au niveau de l’Union en cas d’incidents et de crises trans­ frontières majeurs liés à la cybersécurité. Cette tâche devrait être effectuée conformément au mandat de l’ENISA en application du présent règlement, ainsi qu’à une approche devant faire l’objet d’un accord des États membres dans le cadre de la recommandation (UE) 2017/1584 de la Commission (15) et des conclusions du Conseil du 26 juin 2018 sur la réaction coordonnée aux incidents et crises de cybersécurité majeurs de l’Union. Cette tâche pourrait comprendre la collecte d’informations pertinentes et un rôle de facilitateur entre le réseau des CSIRT et la communauté technique, ainsi qu’entre les décideurs chargés de la gestion des crises. En outre, l’ENISA devrait soutenir la coopération opérationnelle entre les États membres si un ou plusieurs États membres le demandent, pour le traitement des incidents sur le plan technique, en facilitant les échanges de solutions techniques pertinents entre les États membres et en contribuant à l’élaboration des communications au public. L’ENISA devrait soutenir la coopération opérationnelle en testant les modalités de cette coopération grâce à des exercices réguliers de cybersécurité.
\n
(33)Pour soutenir la coopération opérationnelle, l’ENISA devrait recourir aux compétences techniques et opération­ nelles disponibles de la CERT-UE grâce à une coopération structurée. Une telle coopération structurée pourrait s’appuyer sur les compétences de l’ENISA. Le cas échéant, des accords dédiés entre les deux entités devraient être conclus afin de définir les modalités pratiques de la mise en œuvre de cette coopération et d’éviter la duplication des activités.
\n
(34)En exécutant sa tâche consistant à soutenir la coopération opérationnelle au sein du réseau des CSIRT, l’ENISA devrait être en mesure de fournir un appui aux États membres, à leur demande, par exemple en fournissant des conseils sur la manière d’améliorer leurs capacités de prévention et de détection des incidents et de réaction aux incidents, en facilitant la gestion technique des incidents ayant un impact significatif ou substantiel, ou en assurant l’analyse des cybermenaces et des incidents. L’ENISA devrait faciliter la gestion technique des incidents ayant un impact significatif ou substantiel, en particulier en soutenant le partage volontaire de solutions techniques entre États membres ou en produisant des informations techniques combinées, telles que des solutions techniques partagées volontairement par les États membres. La recommandation (UE) 2017/1584 recommande aux États membres de coopérer de bonne foi et de partager sans retard indu, entre eux et avec l’ENISA, les informations relatives aux incidents et crises de cybersécurité majeurs. Ces informations devraient apporter une aide supplé­ mentaire à l’ENISA dans l’exécution de sa tâche de soutien à la coopération opérationnelle.
\n
(35)Dans le cadre de la coopération régulière sur le plan technique menée pour étayer l’appréciation de la situation au niveau de l’Union, l’ENISA devrait préparer à intervalles réguliers, en coopération étroite avec les États membres, un rapport approfondi de situation technique en matière de cybersécurité sur les incidents et cybermenaces dans l’Union, sur la base d’informations du domaine public, de sa propre analyse et de rapports que lui communiquent les CSIRT des États membres ou les points de contact nationaux uniques en matière de sécurité des réseaux et des systèmes d’information (ci-après dénommés «points de contact uniques») prévus par la directive (UE) 2016/1148, sur une base volontaire dans les deux cas, le Centre européen de lutte contre la cybercriminalité (EC3) au sein d’Europol, la CERT-UE et, le cas échéant, le Centre de l’Union européenne pour l’analyse du renseignement (INTCEN UE) au sein du Service européen pour l’action extérieure. Ce rapport devrait être mis à la disposition du Conseil, de la Commission, du haut représentant de l’Union pour les affaires étrangères et la politique de sécurité et du réseau des CSIRT.
\n
(36)Le soutien apporté par l’ENISA aux enquêtes techniques ex post sur les incidents ayant un impact significatif ou substantiel, effectuées à la demande des États membres concernés, devrait être axé sur la prévention des incidents futurs. Les États membres concernés devraient fournir les informations et l’assistance nécessaires pour permettre à l’ENISA de soutenir efficacement l’enquête technique ex post.
\n
(14)JO C 12 du 13.1.2018, p. 1.
\n
(15)Recommandation (UE) 2017/1584 de la Commission du 13 septembre 2017 sur la réaction coordonnée aux incidents et crises de cybersécurité majeurs (JO L 239 du 19.9.2017, p. 36).
\n

7.6.2019 FR Journal officiel de l’Union européenne L 151/21

\n
(37)Les États membres peuvent inviter les entreprises concernées par l’incident à coopérer en fournissant les rensei­ gnements et l’assistance nécessaires à l’ENISA, sans préjudice de leur droit de protéger les informations commer­ cialement sensibles et les informations pertinentes du point de vue de la sécurité publique.
\n
(38)Pour mieux comprendre les défis dans le domaine de la cybersécurité, et en vue de fournir aux États membres et aux institutions, organes et organismes de l’Union des conseils stratégiques à long terme, l’ENISA devrait analyser les risques actuels et émergents liés à la cybersécurité. À cet effet, l’ENISA devrait, en coopération avec les États membres et, le cas échéant, avec des organismes de statistique et d’autres organismes, recueillir des informations pertinentes du domaine public ou partagées volontairement sur les technologies émergentes, les soumettre à des analyses et fournir des évaluations thématiques spécifiques sur les effets sociétaux, juridiques, économiques et réglementaires à attendre des innovations technologiques sur la sécurité des réseaux et de l’information, notamment sur la cybersécurité. L’ENISA devrait en outre aider les États membres et les institutions, organes et organismes de l’Union à recenser les risques émergents liés à la cybersécurité et à prévenir les incidents, en procédant à l’analyse des cybermenaces, des vulnérabilités et des incidents.
\n
(39)Afin de renforcer la résilience de l’Union, l’ENISA devrait développer des compétences dans le domaine de la cybersécurité des infrastructures, en soutenant en particulier les secteurs énumérés à l’annexe II de la directive (UE) 2016/1148 et ceux utilisés par les fournisseurs des services numériques énumérés à l’annexe III de ladite directive, en fournissant des conseils et des lignes directrices et en échangeant de bonnes pratiques. En vue de faciliter l’accès à des informations mieux structurées sur les risques liés à la cybersécurité et les solutions possibles, l’ENISA devrait mettre sur pied et gérer le «pôle d’information» de l’Union, un portail servant de guichet unique fournissant au public des informations sur la cybersécurité en provenance des institutions, organes et organismes de l’Union et nationaux. Faciliter l’accès à des informations mieux structurées sur les risques liés à la cybersécurité et les solutions possibles pourrait aussi aider les États membres à consolider leurs capacités, à harmoniser leurs pratiques et, partant, à améliorer leur résilience générale face aux cyberattaques.
\n
(40)L’ENISA devrait contribuer à sensibiliser le public aux risques liés à la cybersécurité, y compris en organisant une campagne de sensibilisation à l’échelle de l’Union en favorisant l’éducation, et à fournir, à l’intention des citoyens, des organisations et des entreprises des orientations sur les bonnes pratiques à adopter par les utilisateurs individuels. L’ENISA devrait également contribuer à promouvoir les meilleures pratiques et solutions, y compris en matière d’hygiène informatique et d’habileté numérique au niveau des citoyens, des organisations et des entreprises en collectant et en analysant des informations du domaine public sur les incidents significatifs, et en rédigeant et en publiant des rapports et des orientations à l’intention des citoyens, des organisations et des entreprises en vue d’améliorer leur niveau global de préparation et de résilience. L’ENISA devrait également s’efforcer de fournir aux consommateurs des informations pertinentes concernant les schémas de certification en vigueur, par exemple en fournissant des lignes directrices et des recommandations. L’ENISA devrait en outre organiser, conformément au plan d’action en matière d’éducation numérique établi par la communication de la Commission du 17 janvier 2018 et en coopération avec les États membres et les institutions, organes et orga­ nismes de l’Union, des campagnes d’information régulières et des campagnes publiques d’éducation s’adressant aux utilisateurs finaux, en vue de promouvoir une navigation en ligne plus sûre pour les particuliers et l’habileté numérique, de sensibiliser aux cybermenaces potentielles, y compris les activités criminelles en ligne telles que le hameçonnage, les réseaux zombies, les fraudes financières et bancaires, la falsification de données, et de favoriser la fourniture de conseils de base en matière d’authentification multifacteurs, de mises à jour de sécurité, de chif­ frement, d’anonymisation et de protection des données.
\n
(41)L’ENISA devrait jouer un rôle central dans l’accélération de la sensibilisation des utilisateurs finaux à la sécurité des appareils et à la sécurité de l’utilisation des services, et devrait promouvoir les concepts de sécurité dès la conception et de protection de la vie privée dès la conception au niveau de l’Union. En poursuivant cet objectif, l’ENISA devrait utiliser les meilleures pratiques et les compétences disponibles, en particulier les meilleures pratiques et les compétences développées par le monde universitaire et par les chercheurs en sécurité informatique.
\n
(42)Afin de soutenir les entreprises actives dans le secteur de la cybersécurité, ainsi que les utilisateurs qui recourent aux solutions de cybersécurité, l’ENISA devrait mettre sur pied et gérer un «observatoire du marché» en procédant à des analyses régulières et en diffusant des informations sur les principales tendances observées sur le marché de la cybersécurité, tant du côté de la demande que du côté de l’offre.
\n
(43)L’ENISA devrait contribuer aux efforts que l’Union déploie en vue de coopérer avec les organisations internatio­ nales ainsi qu’au sein des cadres internationaux de coopération concernés dans le domaine de la cybersécurité. En particulier, l’ENISA devrait contribuer, s’il y a lieu, à une coopération avec des organisations telles que l’OCDE, l’OSCE et l’OTAN. Une telle coopération pourrait comprendre des exercices conjoints dans le domaine de la cybersécurité ainsi qu’une coordination conjointe de la réponse à apporter aux incidents. Ces activités doivent se dérouler dans le plein respect des principes d’inclusion, de réciprocité et d’autonomie décisionnelle de l’Union, sans préjudice du caractère particulier de la politique de sécurité et de défense de tout État membre.
\n

L 151/22 FR Journal officiel de l’Union européenne 7.6.2019

\n
(44)Afin de réaliser pleinement ses objectifs, l’ENISA devrait se concerter avec les autorités de contrôle de l’Union compétentes et avec d’autres autorités compétentes de l’Union ainsi qu’avec les institutions, organes et organismes de l’Union, notamment la CERT-UE, l’EC3, l’Agence européenne de défense (AED), l’Agence du système global de navigation par satellite (GNSS — Global Navigation Satellite Systems) européen (ci-après dénommée «Agence du GNSS européen»), l’Organe des régulateurs européens des communications électroniques (ORECE), l’Agence euro­ péenne pour la gestion opérationnelle des systèmes d’information à grande échelle au sein de l’espace de liberté, de sécurité et de justice (eu-LISA), la Banque centrale européenne (BCE), l’Autorité bancaire européenne (ABE), le comité européen de la protection des données, l’Agence de coopération des régulateurs de l’énergie (ACER), l’Agence de l’Union européenne pour la sécurité aérienne (AESA) et toute autre agence de l’Union jouant un rôle dans le domaine de la cybersécurité. L’ENISA devrait aussi se concerter avec les autorités chargées de la protection des données en vue de procéder à des échanges de savoir-faire et de bonnes pratiques et devrait leur fournir des conseils sur les questions liées à la cybersécurité qui sont susceptibles d’avoir une incidence sur leurs travaux. Les représentants des autorités chargées de l’application de la loi et des autorités chargées de la protection des données au niveau national et à l’échelon de l’Union devraient pouvoir être représentés au sein du groupe consultatif de l’ENISA. Dans ses relations avec les autorités chargées de l’application de la loi concernant les questions de sécurité des réseaux et de l’information susceptibles d’avoir une incidence sur leurs travaux, l’ENISA devrait respecter les canaux d’information existants et les réseaux établis.
\n
(45)Des partenariats pourraient être noués avec des établissements universitaires menant des initiatives de recherche dans les domaines en question, et il convient que les organisations de consommateurs et autres disposent de canaux adéquats pour leurs contributions, lesquelles devraient être prises en compte.
\n
(46)L’ENISA, dans son rôle de secrétariat du réseau des CSIRT, devrait soutenir les CSIRT des États membres et la CERT-UE dans le cadre de la coopération opérationnelle en rapport avec les tâches pertinentes du réseau des CSIRT, telles qu’elles sont visées dans la directive (EU) 2016/1148. En outre, l’ENISA devrait promouvoir et soutenir la coopération entre les CSIRT concernés en cas d’incidents, d’attaques ou de perturbations sur les réseaux ou infrastructures dont les CSIRT assurent la gestion ou la protection et impliquant, ou susceptibles d’impliquer, au moins deux CSIRT, tout en tenant dûment compte des procédures opératoires standard du réseau des CSIRT.
\n
(47)Afin que l’Union soit mieux préparée pour réagir aux incidents, l’ENISA devrait organiser régulièrement des exercices de cybersécurité au niveau de l’Union et aider les États membres et les institutions, organes et organismes de l’Union à organiser de tels exercices s’ils en font la demande. Il convient d’organiser tous les deux ans des exercices globaux à grande échelle incluant des éléments techniques, opérationnels ou stratégiques. En outre, l’ENISA devrait pouvoir organiser régulièrement des exercices moins globaux avec le même objectif, à savoir celui de faire en sorte que l’Union soit mieux préparée pour répondre à des incidents.
\n
(48)L’ENISA devrait continuer à développer et maintenir ses compétences en matière de certification de cybersécurité en vue de soutenir la politique de l’Union dans ce domaine. L’ENISA devrait s’appuyer sur les meilleures pratiques existantes et promouvoir l’adoption de la certification de cybersécurité dans l’Union, notamment en contribuant à l’établissement et au maintien d’un cadre de certification de cybersécurité au niveau de l’Union (ci-après dénommé «cadre européen de certification de cybersécurité»), en vue d’accroître la transparence de l’assurance en matière de cybersécurité des produits TIC, services TIC et processus TIC et, partant, de renforcer la confiance dans le marché intérieur numérique ainsi que sa compétitivité.
\n
(49)Des politiques de cybersécurité efficaces devraient reposer sur des méthodes d’évaluation des risques bien élaborées, dans le secteur public comme dans le secteur privé. Les méthodes d’évaluation des risques sont utilisées à différents niveaux, et il n’existe pas de pratiques communes en ce qui concerne leur application efficace. La promotion et le développement des meilleures pratiques en matière d’évaluation des risques et de solutions interopérables de gestion des risques dans les organisations des secteurs public et privé relèveront le niveau de cybersécurité dans l’Union. À cette fin, l’ENISA devrait favoriser la coopération entre parties prenantes au niveau de l’Union et contribuer à leurs efforts concernant l’établissement et l’adoption de normes européennes et internationales en matière de gestion des risques et de sécurité mesurable des produits, systèmes, réseaux et services électroniques, lesquels, conjointement avec les logiciels, constituent les réseaux et systèmes d’information.
\n
(50)L’ENISA devrait encourager les États membres, les fabricants ou les fournisseurs de produits TIC, services TIC ou processus TIC à renforcer leurs normes de sécurité générales afin que tous les utilisateurs d’internet puissent prendre les mesures nécessaires pour garantir leur propre cybersécurité et devraient inciter à le faire. En particulier, les fabricants et les fournisseurs de produits TIC, services TIC ou processus TIC devraient fournir les mises à jour nécessaires et devraient rappeler, retirer ou recycler les produits TIC, services TIC ou processus TIC qui ne satisfont pas aux normes de cybersécurité, tandis que les importateurs et les distributeurs devraient veiller à ce que les produits TIC, services TIC et processus TIC qu’ils mettent sur le marché de l’Union respectent les exigences applicables et ne présentent pas de risque pour les consommateurs de l’Union.
\n

7.6.2019 FR Journal officiel de l’Union européenne L 151/23

\n
(51)En coopération avec les autorités compétentes, l’ENISA devrait pouvoir diffuser des informations sur le niveau de cybersécurité des produits TIC, services TIC et processus TIC offerts sur le marché intérieur, et devrait émettre des alertes visant des fabricants ou fournisseurs de produits TIC, services TIC ou processus TIC et les contraignant à améliorer la sécurité de leurs produits TIC, services TIC et processus TIC, y compris la cybersécurité.
\n
(52)L’ENISA devrait prendre pleinement en compte les activités en cours en matière de recherche, de développement et d’évaluation technologique, et plus particulièrement les activités menées dans le cadre des différentes initiatives de recherche de l’Union, pour fournir des conseils aux institutions, organes et organismes de l’Union et, le cas échéant, aux États membres, s’ils en font la demande, sur les besoins et les priorités en matière de recherche dans le domaine de la cybersécurité. Pour recenser les besoins et les priorités en matière de recherche, l’ENISA devrait également consulter les groupes d’utilisateurs concernés. Plus spécifiquement, une coopération pourrait être établie avec le Conseil européen de la recherche, l’Institut européen d’innovation et de technologie et l’Institut d’études de sécurité de l’Union européenne.
\n
(53)L’ENISA devrait consulter régulièrement les organismes de normalisation, en particulier les organismes européens de normalisation, lors de l’élaboration des schémas européens de certification de cybersécurité.
\n
(54)Les cybermenaces constituent un problème mondial. Il est nécessaire de renforcer la coopération internationale pour améliorer les normes de cybersécurité, y compris en ce qui concerne la nécessité de définir des normes de comportement communes, d’adopter des codes de conduite, de recourir à des normes internationales, et de partager des informations, d’encourager une collaboration internationale plus rapide en réponse aux problèmes de sécurité des réseaux et de l’information et de favoriser une approche globale commune de ces problèmes. À cette fin, l’ENISA devrait aider l’Union à poursuivre son engagement et sa coopération avec les pays tiers et les organisations internationales en mettant les compétences et l’analyse nécessaires au service des institutions, organes et organismes de l’Union concernés, le cas échéant.
\n
(55)L’ENISA devrait être en mesure de répondre aux demandes de conseil et d’assistance ad hoc qui sont formulées par les États membres et les institutions, organes et organismes de l’Union sur des questions qui relèvent du mandat de l’ENISA.
\n
(56)Il est raisonnable et recommandé de mettre en œuvre certains principes relatifs à la gouvernance de l’ENISA afin de se conformer à la déclaration commune et à l’approche commune convenues par le groupe de travail interins­ titutionnel sur les agences décentralisées de l’Union en juillet 2012, dont l’objectif est de rationaliser les activités des agences décentralisées et d’améliorer leur efficacité. Il convient par ailleurs de tenir compte, s’il y a lieu, des recommandations figurant dans la déclaration commune et de l’approche commune dans les programmes de travail de l’ENISA, les évaluations de l’ENISA ainsi que les pratiques de l’ENISA en matière d’établissement de rapports et ses pratiques administratives.
\n
(57)Le conseil d’administration, composé de représentants des États membres et de la Commission, devrait fixer l’orientation générale des activités de l’ENISA et veiller à ce qu’elle exécute ses tâches conformément au présent règlement. Le conseil d’administration devrait être doté des pouvoirs nécessaires pour établir le budget, vérifier l’exécution du budget, adopter des règles financières appropriées, instaurer des procédures de travail transparentes pour la prise de décisions par l’ENISA, adopter le document unique de programmation de l’ENISA, adopter son propre règlement intérieur, nommer le directeur exécutif et statuer sur la prorogation et la cessation du mandat du directeur exécutif.
\n
(58)Pour assurer le fonctionnement correct et efficace de l’ENISA, la Commission et les États membres devraient veiller à ce que les personnes nommées au conseil d’administration soient dotées de compétences professionnelles et d’une expérience appropriées. La Commission et les États membres devraient également s’efforcer de limiter le roulement de leurs représentants respectifs au sein du conseil d’administration, afin de garantir la continuité des travaux de ce dernier.
\n
(59)Le bon fonctionnement de l’ENISA exige que le directeur exécutif de celle-ci soit nommé sur la base de son mérite et de ses aptitudes attestées dans le domaine de l’administration et de la gestion, ainsi que de ses compétences et de son expérience pertinentes en matière de cybersécurité. Il convient que le directeur exécutif exerce ses fonctions en toute indépendance. Le directeur exécutif devrait élaborer une proposition de programme de travail annuel pour l’ENISA, après consultation préalable de la Commission, et prendre toutes les mesures nécessaires pour garantir la bonne mise en œuvre de ce programme de travail. Le directeur exécutif devrait préparer un rapport annuel à soumettre au conseil d’administration, portant sur la mise en œuvre du programme de travail annuel de l’ENISA, établir un projet d’état prévisionnel des recettes et des dépenses de l’ENISA et exécuter le budget. Le directeur exécutif devrait, en outre, avoir la possibilité de créer des groupes de travail ad hoc pour traiter de questions spécifiques, en particulier de questions de nature scientifique, technique, juridique ou socio-économique. La création d’un groupe de travail ad hoc est notamment jugée nécessaire pour la préparation d’un schéma européen de L 151/24 FR Journal officiel de l’Union européenne 7.6.2019 certification de cybersécurité candidat spécifique (ci-après dénommé «schéma candidat»). Le directeur exécutif devrait veiller à ce que les membres des groupes de travail ad hoc soient sélectionnés selon les critères de compétence les plus élevés, visant à assurer un équilibre hommes-femmes et un équilibre adéquat, en fonction des questions spécifiques concernées, entre les administrations publiques des États membres, les institutions, organes et organismes de l’Union et le secteur privé, y compris les entreprises du secteur, les utilisateurs et les experts universitaires en matière de sécurité des réseaux et de l’information.
\n
(60)Le conseil exécutif devrait contribuer au fonctionnement efficace du conseil d’administration. Dans le cadre de ses travaux préparatoires liés aux décisions du conseil d’administration, le conseil exécutif devrait examiner de manière approfondie les informations pertinentes, étudier les options disponibles et proposer des conseils et des solutions afin de préparer les décisions du conseil d’administration.
\n
(61)L’ENISA devrait disposer, à titre d’organe consultatif, d’un groupe consultatif de l’ENISA pour assurer un dialogue régulier avec le secteur privé, les organisations de consommateurs et d’autres parties prenantes concernées. Le groupe consultatif de l’ENISA, institué par le conseil d’administration sur proposition du directeur exécutif, devrait s’attacher à examiner des questions pertinentes pour les parties prenantes et devrait les porter à l’attention de l’ENISA. Le groupe consultatif de l’ENISA devrait être consulté en particulier au sujet du projet de programme de travail annuel de l’ENISA. La composition du groupe consultatif de l’ENISA et les tâches assignées à ce groupe devraient assurer une représentation suffisante des parties prenantes dans les travaux de l’ENISA.
\n
(62)Le groupe des parties prenantes pour la certification de cybersécurité devrait être institué pour aider l’ENISA et la Commission à faciliter la consultation des parties prenantes concernées. Le groupe des parties prenantes pour la certification de cybersécurité devrait être composé de membres représentant le secteur dans des proportions équilibrées, du côté tant de la demande que de l’offre de produits TIC et services TIC, y compris, en particulier, les PME, les fournisseurs de services numériques, les organismes européens et internationaux de normalisation, les organismes d’accréditation nationaux, les autorités de contrôle de la protection des données, les organismes d’évaluation de la conformité en application du règlement (CE) no 765/2008 du Parlement européen et du Conseil (16), et les universités ainsi que les organisations de consommateurs.
\n
(63)L’ENISA devrait disposer de règles en matière de prévention et de gestion des conflits d’intérêts. L’ENISA devrait aussi appliquer les dispositions pertinentes du droit de l’Union en ce qui concerne l’accès du public aux documents prévu par le règlement (CE) no 1049/2001 du Parlement européen et du Conseil (17). Le traitement des données à caractère personnel devrait être régi par le règlement (UE) 2018/1725 du Parlement européen et du Conseil (18).
\n

L’ENISA devrait respecter les dispositions applicables aux institutions, organes et organismes de l’Union et la législation nationale concernant le traitement des informations, notamment les informations non classifiées sensi­ bles et les informations classifiées de l’Union européenne (ICUE).

\n
(64)Pour garantir l’autonomie et l’indépendance complètes de l’ENISA et lui permettre d’exécuter des tâches supplé­ mentaires, y compris des tâches urgentes imprévues, il convient de la doter d’un budget suffisant et autonome dont l’essentiel des recettes devrait provenir d’une contribution de l’Union et de contributions des pays tiers participant aux travaux de l’ENISA. Doter l’ENISA d’un budget adéquat est primordial pour garantir qu’elle dispose d’une capacité suffisante pour exécuter l’ensemble de ses tâches toujours plus nombreuses et atteindre ses objectifs. La majeure partie des effectifs de l’ENISA devrait se consacrer directement à la mise en œuvre opérationnelle du mandat de l’ENISA. L’État membre d’accueil et tout autre État membre devrait être autorisé à apporter des contributions volontaires au budget de l’ENISA. La procédure budgétaire de l’Union devrait rester applicable en ce qui concerne toute subvention imputable sur le budget général de l’Union. En outre, la Cour des comptes devrait contrôler les comptes de l’ENISA afin de garantir la transparence et la responsabilité.
\n
(65)La certification de cybersécurité joue un rôle important dans l’amélioration de la sécurité des produits TIC, services TIC et processus TIC et le renforcement de la confiance qui leur est accordée. Le marché unique numérique, et en particulier l’économie des données et l’IdO, ne peuvent prospérer que si le grand public est convaincu que ces produits, services et processus offrent un certain niveau de cybersécurité. Les voitures connectées et automatisées, les dispositifs médicaux électroniques, les systèmes de contrôle-commande industriels et les réseaux intelligents ne sont que quelques exemples de secteurs dans lesquels la certification est déjà largement utilisée ou est susceptible de l’être dans un avenir proche. Les secteurs régis par la directive (UE) 2016/1148 sont également des secteurs où la certification de cybersécurité joue un rôle critique.
\n
(16)Règlement (CE) no 765/2008 du Parlement européen et du Conseil du 9 juillet 2008 fixant les prescriptions relatives à l’accréditation et à la surveillance du marché pour la commercialisation des produits et abrogeant le règlement (CEE) no 339/93 du Conseil (JO L 218 du 13.8.2008, p. 30).
\n
(17)Règlement (CE) no 1049/2001 du Parlement européen et du Conseil du 30 mai 2001 relatif à l’accès du public aux documents du Parlement européen, du Conseil et de la Commission (JO L 145 du 31.5.2001, p. 43).
\n
(18)Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (JO L 295 du 21.11.2018, p. 39).
\n

7.6.2019 FR Journal officiel de l’Union européenne L 151/25

\n
(66)Dans la communication de 2016 intitulée «Renforcer le système européen de cyber-résilience et promouvoir la compétitivité et l’innovation dans le secteur européen de la cybersécurité», la Commission a souligné le besoin de produits et de solutions de très bonne qualité, abordables et interopérables en matière de cybersécurité. L’offre de produits TIC, services TIC et processus TIC au sein du marché unique reste très fragmentée sur le plan géogra­ phique. Cela est dû au fait que le secteur de la cybersécurité en Europe s’est développé principalement en fonction de la demande des gouvernements nationaux. En outre, le manque de solutions interopérables (normes techniques), de pratiques et de dispositifs de certification à l’échelle de l’Union constitue l’une des autres lacunes affectant le marché unique dans le domaine de la cybersécurité. Il en résulte que les entreprises européennes ont des difficultés à être concurrentielles au niveau national, à l’échelon de l’Union et au niveau mondial. Cela restreint également le choix des technologies viables et utilisables en matière de cybersécurité qui s’offre aux particuliers et aux entre­ prises. De la même façon, dans la communication de 2017 sur la révision à mi-parcours de la mise en œuvre de la stratégie pour le marché unique numérique — Un marché unique numérique connecté pour tous, la Commission a insisté sur le besoin de produits et systèmes connectés qui soient sûrs, et a indiqué que la création d’un cadre européen de la sécurité des TIC fixant des règles sur les modalités d’organisation de la certification de sécurité des TIC dans l’Union pourrait à la fois préserver la confiance dans l’internet et permettre de lutter contre la fragmen­ tation actuelle du marché intérieur.
\n
(67)Actuellement, la certification de cybersécurité des produits TIC, services TIC et processus TIC n’est utilisée que de façon limitée. Lorsqu’elle existe, elle intervient essentiellement au niveau des États membres ou dans le cadre de schémas pilotés par les entreprises du secteur. Dans ce contexte, un certificat délivré par une autorité nationale de certification de cybersécurité n’est pas, en principe, reconnu dans d’autres États membres. Il arrive donc que les entreprises doivent certifier leurs produits TIC, services TIC et processus TIC dans les différents États membres où elles exercent leurs activités, par exemple pour participer à des procédures nationales de passation de marchés, ce qui implique des coûts supplémentaires. En outre, alors que de nouveaux schémas voient le jour, il ne semble pas exister d’approche cohérente et globale des questions de cybersécurité transversales, par exemple dans le domaine de l’IoD. Les schémas existants présentent des lacunes importantes et des différences en termes de couverture des produits, de niveaux d’assurance, de critères de fond et d’utilisation effective, ce qui entrave les mécanismes de reconnaissance mutuelle au sein de l’Union.
\n
(68)Des efforts ont été réalisés pour garantir une reconnaissance mutuelle des certificats dans l’Union. Cependant, ils n’ont que partiellement abouti. L’exemple le plus marquant à cet égard est l’accord de reconnaissance mutuelle (ARM) du groupe des hauts fonctionnaires pour la sécurité des systèmes d’information (SOG-IS). Même s’il est le modèle le plus remarquable en ce qui concerne la coopération et la reconnaissance mutuelle dans le domaine de la certification de sécurité, le SOG-IS ne réunit que certains États membres. De ce fait, l’ARM du SOG-IS n’a eu qu’une efficacité limitée dans la perspective du marché intérieur.
\n
(69)Dès lors, il est nécessaire d’adopter une approche commune et d’établir un cadre européen de certification de cybersécurité établissant les principales exigences horizontales pour les schémas européens de certification de cybersécurité à développer, et permettant la reconnaissance et l’utilisation dans tous les États membres des certificats de cybersécurité européens et des déclarations de conformité de l’Union européenne pour les produits TIC, services TIC ou processus TIC. Ce faisant, il est essentiel de s’appuyer sur des schémas nationaux et inter­ nationaux existants, ainsi que sur des systèmes de reconnaissance mutuelle, en particulier le SOG-IS, et de créer les conditions d’une transition en douceur des schémas existants relevant de ces systèmes vers les schémas relevant du nouveau cadre européen de certification de cybersécurité. Le cadre européen de certification de cybersécurité devrait poursuivre un double objectif. Tout d’abord, il devrait contribuer à renforcer la confiance dans les produits TIC, services TIC et processus TIC qui ont été certifiés au titre des schémas européens de certification de cybersécurité.
\n

Ensuite, il devrait aider à éviter la multiplication de schémas de certification de cybersécurité nationales contra­ dictoires ou faisant double emploi, réduisant ainsi les coûts à la charge des entreprises exerçant leurs activités sur le marché unique numérique. Les schémas européens de certification de cybersécurité devraient être non discrimi­ natoires et fondés sur des normes européennes ou internationales, sauf si ces normes sont inefficaces ou inap­ propriées pour remplir les objectifs légitimes de l’Union à cet égard.

\n
(70)Le cadre européen de certification de cybersécurité devrait être établi de manière homogène dans tous les États membres afin d’éviter la pratique du «shopping de certifications» en raison des différents niveaux d’exigence dans les différents États membres.
\n
(71)Les schémas européens de certification de cybersécurité devraient reposer sur les éléments déjà existants au niveau international et national et, au besoin, sur les spécifications techniques des forums et consortiums, en tirant les leçons des points forts actuels et en évaluant et en corrigeant les points faibles.
\n
(72)Des solutions de cybersécurité flexibles sont nécessaires pour que les entreprises du secteur gardent une longueur d’avance sur les cybermenaces; dès lors, tout schéma de certification devrait être conçu de manière à éviter le risque d’obsolescence rapide.
\n

L 151/26 FR Journal officiel de l’Union européenne 7.6.2019

\n
(73)La Commission devrait être habilitée à adopter des schémas européens de certification de cybersécurité concernant des groupes spécifiques de produits TIC, services TIC et processus TIC. Ces schémas devraient être mis en œuvre et contrôlés par des autorités nationales de certification de cybersécurité, et les certificats délivrés au titre de ces schémas devraient être valables et reconnus sur tout le territoire de l’Union. Les schémas de certification gérés par les entreprises du secteur ou d’autres organismes privés devraient être exclus du champ d’application du présent règlement. Toutefois, les organismes qui gèrent de tels schémas devraient pouvoir proposer que la Commission les prenne pour base en vue de les approuver en tant que schéma européen de certification de cybersécurité.
\n
(74)Les dispositions du présent règlement devraient être sans préjudice du droit de l’Union qui prévoit des règles spécifiques concernant la certification des produits TIC, services TIC et processus TIC. En particulier, le règlement (UE) 2016/679 fixe des dispositions en vue de la mise en place de mécanismes de certification ainsi que de labels et de marques en matière de protection des données aux fins de démontrer que les opérations de traitement effectuées par les responsables du traitement et les sous-traitants respectent ledit règlement. Ces mécanismes de certification et ces labels et marques en matière de protection des données devraient permettre aux personnes concernées d’évaluer rapidement le niveau de protection des données offert par les produits TIC, services TIC et processus TIC en question. Le présent règlement est sans préjudice de la certification des opérations de traitement des données au titre du règlement (UE) 2016/679, y compris lorsque ces opérations sont intégrées dans des produits TIC, services TIC et processus TIC.
\n
(75)Les schémas européens de certification de cybersécurité devraient avoir pour finalité de garantir que les produits TIC, services TIC et processus TIC certifiés selon de tels schémas respectent les exigences définies qui visent à protéger la disponibilité, l’authenticité, l’intégrité et la confidentialité de données stockées, transmises ou traitées, ou des fonctions connexes de ces produits, services et processus tout au long de leur cycle de vie, ou des services qu’ils offrent ou qui sont accessibles par leur intermédiaire. Il n’est pas possible d’exposer en détail les exigences de cybersécurité se rapportant à tous les produits TIC, services TIC et processus TIC dans le présent règlement. Les produits TIC, services TIC et processus TIC et les besoins de cybersécurité relatifs à ces produits, services et processus sont si divers qu’il est très difficile d’élaborer des exigences de cybersécurité générales qui soient valables en toutes circonstances. Il est donc nécessaire d’adopter, aux fins de la certification, une notion large et générale de la cybersécurité, laquelle devrait être complétée par une série d’objectifs spécifiques en matière de cybersécurité à prendre en compte lors de la conception de schémas européens de certification de cybersécurité. Les modalités selon lesquelles ces objectifs doivent être atteints pour des produits TIC, services TIC et processus TIC spécifiques devraient ensuite être précisées en détail au niveau de chaque schéma de certification adopté par la Commission, par exemple en faisant référence à des normes ou à des spécifications techniques s’il n’existe aucune norme appropriée.
\n
(76)Les spécifications techniques à utiliser dans les schémas européens de certification de cybersécurité devraient respecter les exigences énoncées à l’annexe II du règlement (UE) no 1025/2012 du Parlement européen et du Conseil (19). Il pourrait toutefois être jugé nécessaire de s’écarter quelque peu de ces exigences dans des cas dûment justifiés, lorsque ces spécifications techniques doivent être utilisées dans un schéma européen de certification de cybersécurité renvoyant à un niveau d’assurance dit «élevé». Les motifs de ces écarts devraient être rendus publics.
\n
(77)L’évaluation de la conformité est une procédure consistant à évaluer s’il est satisfait aux exigences relatives à un produit TIC, service TIC ou processus TIC qui ont été définies. Cette procédure est réalisée par un tiers indépen­ dant, autre que le fabricant ou le fournisseur des produits TIC, services TIC ou processus TIC qui font l’objet de l’évaluation. Un certificat de cybersécurité européen devrait être délivré à l’issue d’une procédure d’évaluation d’un produit TIC, service TIC ou processus TIC réussie. Il convient de considérer le certificat de cybersécurité européen comme une confirmation que l’évaluation a été dûment réalisée. En fonction du niveau d’assurance, le schéma européen de certification de cybersécurité devrait indiquer si le certificat de cybersécurité européen doit être délivré par un organisme privé ou public. L’évaluation de la conformité et la certification ne peuvent en soi garantir que les produits TIC, services TIC et processus TIC certifiés sont sécurisés du point de vue de la cybersécurité. Il s’agit plutôt de procédures et de méthodologies techniques visant à attester que des produits TIC, services TIC et processus TIC ont été soumis à des essais et qu’ils respectent certaines exigences de cybersécurité établies par ailleurs, par exemple dans des normes techniques.
\n
(78)Le choix, par les utilisateurs de certificats de cybersécurité européens, de la certification appropriée et des exigences de sécurité correspondantes devrait se fonder sur une analyse des risques associés à l’utilisation des produits TIC, services TIC ou processus TIC. En conséquence, le niveau d’assurance devrait correspondre au niveau de risque associé à l’utilisation prévue d’un produit TIC, service TIC ou processus TIC.
\n
(19)Règlement (UE) no 1025/2012 du Parlement européen et du Conseil du 25 octobre 2012 relatif à la normalisation européenne, modifiant les directives 89/686/CEE et 93/15/CEE du Conseil ainsi que les directives 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE et 2009/105/CE du Parlement européen et du Conseil et abrogeant la décision 87/95/CEE du Conseil et la décision no 1673/2006/CE du Parlement européen et du Conseil (JO L 316 du 14.11.2012, p. 12).
\n

7.6.2019 FR Journal officiel de l’Union européenne L 151/27

\n
(79)Les schémas européens de certification de cybersécurité pourraient prévoir une évaluation de la conformité devant être effectuée sous la seule responsabilité du fabricant ou du fournisseur de produits TIC, services TIC ou processus TIC (ci-après dénommée «autoévaluation de la conformité»). En pareils cas, il devrait suffire que le fabricant ou le fournisseur de produits TIC, services TIC ou processus TIC effectue lui-même tous les contrôles pour garantir que les produits TIC, services TIC ou processus TIC sont conformes au schéma européen de certification de cybersé­ curité. L’autoévaluation de la conformité devrait être considérée comme appropriée pour les produits TIC et services TIC de faible complexité ou pour les processus TIC qui présentent un risque faible pour le public, tels que des mécanismes de conception et de production simples. En outre, l’autoévaluation de la conformité ne devrait être autorisée pour les produits TIC, services TIC ou processus TIC que lorsqu’ils correspondent à un niveau d’assurance dit «élémentaire».
\n
(80)Les schémas européens de certification de cybersécurité pourraient permettre à la fois les autoévaluations de la conformité et les certifications de produits TIC, services TIC ou processus TIC. Dans ce cas, le schéma devrait prévoir des moyens clairs et compréhensibles pour les consommateurs ou les autres utilisateurs de distinguer entre les produits TIC, services TIC ou processus TIC à l’égard desquels le fabricant ou le fournisseur des produits TIC, services TIC ou processus TIC est responsable de l’évaluation, et les produits TIC, services TIC et processus TIC qui sont certifiés par un tiers.
\n
(81)Le fabricant ou le fournisseur de produits TIC, services TIC ou processus TIC qui effectue une autoévaluation de la conformité devrait pouvoir délivrer et signer la déclaration de conformité de l’Union européenne dans le cadre de la procédure d’évaluation de la conformité. Une déclaration de conformité de l’Union européenne est un document qui indique qu’un produit TIC, service TIC ou processus TIC spécifique respecte les exigences du schéma européen de certification de cybersécurité. En délivrant et en signant la déclaration de conformité de l’Union européenne, le fabricant ou le fournisseur de produits TIC, services TIC ou processus TIC assume la responsabilité du respect par le produit TIC, service TIC ou processus TIC des exigences légales du schéma européen de certification de cybersécurité. Une copie de la déclaration de conformité de l’Union européenne devrait être soumise à l’autorité nationale de certification de cybersécurité et à l’ENISA.
\n
(82)Le fabricant ou le fournisseur de produits TIC, services TIC ou processus TIC devrait mettre à la disposition de l’autorité nationale de certification de cybersécurité compétente, pour une durée fixée dans le schéma européen de certification de cybersécurité concerné, la déclaration de conformité de l’Union européenne, la documentation technique et toutes les autres informations pertinentes relatives à la conformité des produits TIC, services TIC ou processus TIC avec un schéma européen de certification de cybersécurité. La documentation technique devrait préciser les exigences applicables au titre du schéma et devrait couvrir la conception, la fabrication et le fonction­ nement du produit TIC, service TIC ou processus TIC dans la mesure nécessaire à l’autoévaluation de la conformité.
\n

La documentation technique devrait être compilée de façon à permettre d’évaluer si un produit TIC ou un service TIC respecte les exigences applicables au titre de ce schéma.

\n
(83)La gouvernance du cadre européen de certification de cybersécurité prend en compte la participation des États membres ainsi qu’une participation appropriée des parties prenantes, et définit le rôle de la Commission pendant la planification et la proposition, la demande, l’élaboration, l’adoption ainsi que l’évaluation des schémas européens de certification de cybersécurité.
\n
(84)La Commission devrait préparer, avec le soutien du groupe européen de certification de cybersécurité (GECC) et du groupe des parties prenantes pour la certification de cybersécurité et à la suite d’une large consultation ouverte, un programme de travail glissant de l’Union pour les schémas européens de certification de cybersécurité et devrait le publier sous la forme d’un instrument non contraignant. Le programme de travail glissant de l’Union devrait consister en un document stratégique permettant aux entreprises du secteur, aux autorités nationales et aux organismes de normalisation, en particulier, de se préparer à l’avance dans la perspective des futurs schémas européens de certification de cybersécurité. Le programme de travail glissant de l’Union devrait comporter un aperçu pluriannuel des demandes de schémas candidats que la Commission compte adresser à l’ENISA pour préparation, sur la base de motifs spécifiques. La Commission devrait tenir compte du programme de travail glissant de l’Union lors de la préparation de son plan glissant pour la normalisation des TIC et des demandes de normalisation adressées à des organismes européens de normalisation. Compte tenu de la rapidité de l’introduction et de l’adoption des nouvelles technologies, de l’apparition de risques liés à la cybersécurité auparavant inconnus et de l’évolution de la législation et des marchés, la Commission ou le GECC devrait être habilité(e) à demander à l’ENISA de préparer des schémas candidats qui n’ont pas été prévus dans le programme de travail glissant de l’Union. En pareils cas, la Commission et le GECC devraient en outre évaluer le bien-fondé d’une telle demande en tenant compte des finalités et objectifs généraux du présent règlement et de la nécessité d’assurer la continuité en ce qui concerne la planification et l’utilisation des ressources par l’ENISA.
\n

L 151/28 FR Journal officiel de l’Union européenne 7.6.2019 À la suite d’une telle demande, l’ENISA devrait préparer les schémas candidats pour des produits TIC, services TIC et processus TIC spécifiques sans retard injustifié. La Commission devrait évaluer l’incidence positive et négative de sa demande sur le marché spécifique en question, en particulier son impact sur les PME, l’innovation, les obstacles à l’entrée sur ce marché et les coûts pour les utilisateurs finaux. Sur la base du schéma candidat préparé par l’ENISA, la Commission devrait alors être habilitée à adopter le schéma européen de certification de cybersécurité par voie d’actes d’exécution. Compte tenu de la finalité générale du présent règlement et des objectifs de sécurité qui y sont fixés, les schémas européens de certification de cybersécurité adoptés par la Commission devraient préciser un ensemble minimal d’éléments relatifs à l’objet, au champ d’application et au fonctionnement du schéma considéré. Ces éléments devraient notamment comprendre le champ d’application et l’objet de la certification de cybersécurité, y compris l’indication des catégories de produits TIC, services TIC et processus TIC couverts, la description détaillée des exigences de cybersécurité, par exemple par référence à des normes ou des spécifications techniques, les critères et méthodes d’évaluation spécifiques, ainsi que le niveau d’assurance visé («élémentaire», «substantiel» ou «élevé»), et les niveaux d’évaluation s’il y a lieu. L’ENISA devrait pouvoir refuser une demande adressée par le GECC. De telles décisions devraient être prises par le conseil d’administration et devraient être dûment motivées.

\n
(85)L’ENISA devrait maintenir un site internet fournissant des informations sur les schémas européens de certification de cybersécurité et leur donnant une visibilité, qui devrait, entre autres, comprendre les demandes de préparation d’un schéma candidat ainsi que les retours d’information reçus lors du processus de consultation réalisé par l’ENISA au cours de la phase préparatoire. Le site internet devrait en outre fournir des informations sur les certificats de cybersécurité européens et les déclarations de conformité de l’Union européenne délivrés en application du présent règlement, notamment des informations concernant le retrait et l’expiration de tels certificats de cybersécurité européens et déclarations de conformité de l’Union européenne. Le site internet devrait en outre indiquer les schémas nationaux de certification de cybersécurité qui ont été remplacés par un schéma européen de certification de cybersécurité.
\n
(86)Le niveau d’assurance d’un schéma européen de certification constitue le fondement permettant de garantir qu’un produit TIC, service TIC ou processus TIC satisfait aux exigences de sécurité d’un schéma européen de certification de cybersécurité spécifique. Pour assurer la cohérence du cadre européen de certification de cybersécurité, un schéma européen de certification de cybersécurité devrait pouvoir préciser les niveaux d’assurance pour les certi­ ficats de cybersécurité européens et les déclarations de conformité de l’Union européenne délivrés dans le cadre de ce schéma. Chaque certificat de cybersécurité européen pourrait renvoyer à l’un des niveaux d’assurance, à savoir «élémentaire», «substantiel» ou «élevé», tandis que la déclaration de conformité de l’Union européenne pourrait ne renvoyer qu’au niveau d’assurance dit «élémentaire». Les niveaux d’assurance prévoiraient la rigueur et l’ampleur correspondantes de l’évaluation du produit TIC, du service TIC ou du processus TIC et seraient déterminés par référence aux spécifications techniques, normes et procédures qui y sont liées, y compris les contrôles techniques, dont l’objectif est de limiter les incidents ou de les prévenir. Chaque niveau d’assurance devrait être cohérent dans les différents domaines sectoriels dans lesquels la certification s’applique.
\n
(87)Un schéma européen de certification de cybersécurité pourrait préciser plusieurs niveaux d’évaluation, en fonction de la rigueur et de l’ampleur de la méthode d’évaluation utilisée. Les niveaux d’évaluation devraient correspondre à l’un des niveaux d’assurance et être associés à une combinaison appropriée de composantes d’assurance. Pour tous les niveaux d’assurance, le produit TIC, service TIC ou processus TIC devrait contenir un certain nombre de fonctions sécurisées, telles qu’elles sont définies par le schéma, pouvant comprendre: une configuration sécurisée prête à l’emploi, un code signé, une mise à jour sécurisée, ainsi que la limitation de l’exploitation de failles et des protections complètes («full stack») ou du tas de la mémoire. Ces fonctions devraient faire l’objet d’un dévelop­ pement et d’une maintenance fondés sur des approches de développement mettant l’accent sur la sécurité et des outils associés, afin de garantir que des mécanismes efficaces au niveau tant du logiciel que du matériel sont incorporés de manière fiable.
\n
(88)Pour le niveau d’assurance dit «élémentaire», l’évaluation devrait au moins porter sur les composantes d’assurance suivantes: l’évaluation devrait comprendre au moins un examen, par l’organisme d’évaluation de la conformité, de la documentation technique accompagnant le produit TIC, service TIC ou processus TIC. Lorsque la certification inclut des processus TIC, le processus de conception, de développement et de maintenance d’un produit TIC ou service TIC devrait également être soumis à l’examen technique. Lorsqu’un schéma européen de certification de cybersécurité prévoit une autoévaluation de la conformité, il devrait suffire que le fabricant ou le fournisseur de produits TIC, services TIC ou processus TIC ait effectué une autoévaluation de la conformité du produit TIC, service TIC ou processus TIC avec le schéma de certification.
\n
(89)Pour le niveau d’assurance dit «substantiel», l’évaluation devrait au moins porter sur, outre les exigences liées au niveau d’assurance dit «élémentaire», la vérification de la conformité des fonctionnalités de sécurité du produit TIC, service TIC ou processus TIC avec sa documentation technique.
\n

7.6.2019 FR Journal officiel de l’Union européenne L 151/29

\n
(90)Pour le niveau d’assurance dit «élevé», l’évaluation devrait au moins porter sur, outre les exigences liées au niveau d’assurance dit «substantiel», un test d’efficacité évaluant la résistance des fonctionnalités de sécurité du produit TIC, service TIC ou processus TIC face à des cyberattaques élaborées lancées par des personnes aux aptitudes solides et aux ressources importantes.
\n
(91)Le recours à la certification de cybersécurité européenne et aux déclarations de conformité de l’Union européenne devrait rester volontaire, sauf disposition contraire du droit de l’Union ou du droit d’un État membre adoptée conformément au droit de l’Union. En l’absence d’harmonisation du droit de l’Union, les États membres peuvent adopter des réglementations techniques nationales prévoyant une certification obligatoire dans le cadre du schéma européen de certification de cybersécurité conformément à la directive (UE) 2015/1535 du Parlement européen et du Conseil (20). Les États membres ont aussi recours à la certification européenne de cybersécurité dans le cadre d’un marché public et de la directive 2014/24/UE du Parlement européen et du Conseil (21).
\n
(92)Dans certains domaines, il pourrait s’avérer nécessaire, à l’avenir, d’imposer certaines exigences spécifiques en matière de cybersécurité et de rendre la certification y afférente obligatoire pour certains produits TIC, services TIC ou processus TIC, afin d’améliorer le niveau de la cybersécurité dans l’Union. À intervalles réguliers, la Commission devrait assurer un suivi de l’incidence des schémas européens de certification de cybersécurité adoptés sur la disponibilité dans le marché intérieur de produits TIC, services TIC et processus TIC sécurisés et devrait régulièrement évaluer le niveau d’utilisation des schémas de certification par les fabricants ou les fournis­ seurs de produits TIC, services TIC ou processus TIC dans l’Union. Il convient d’évaluer l’efficacité des schémas européens de certification de cybersécurité et la question de savoir si certains schémas devraient être rendus obligatoires à la lumière de la législation de l’Union relative à la cybersécurité, en particulier la directive (UE) 2016/1148, en tenant compte de la sécurité du réseau et des systèmes d’information utilisés par les opérateurs de services essentiels.
\n
(93)Les certificats de cybersécurité européens et les déclarations de conformité de l’Union européenne devraient aider les utilisateurs finaux à faire des choix éclairés. Dès lors, les produits TIC, services TIC et processus TIC qui ont été certifiés ou pour lesquels une déclaration de conformité de l’Union européenne a été émise, devraient être accompagnés d’informations structurées, adaptées au niveau technique attendu de l’utilisateur final auquel ils sont destinés. Toutes ces informations devraient être disponibles en ligne et, le cas échéant, sous une forme physique. L’utilisateur final devrait avoir accès à des informations concernant le numéro de référence du schéma de certification, le niveau d’assurance, la description des risques liés à la cybersécurité qui sont associés au produit TIC, service TIC ou processus TIC, et l’autorité ou l’organisme de délivrance, ou devrait être en mesure d’obtenir une copie du certificat de cybersécurité européen. En outre, l’utilisateur final devrait recevoir des infor­ mations sur la politique d’assistance en matière de cybersécurité du fabricant ou du fournisseur de produits TIC, services TIC ou processus TIC (à savoir combien de temps l’utilisateur final peut escompter recevoir des mises à jour ou des correctifs en matière de cybersécurité). Le cas échéant, des orientations en ce qui concerne les mesures que l’utilisateur final peut prendre ou les paramétrages qu’il peut effectuer pour maintenir ou accroître la cyber­ sécurité du produit TIC ou service TIC et des informations de contact d’un point de contact unique auquel s’adresser ou auprès duquel recevoir une aide en cas de cyberattaque (outre le signalement automatique) devraient être fournis. Ces informations devraient être actualisées régulièrement et être mises à disposition sur un site internet fournissant des informations sur les schémas européens de certification de cybersécurité.
\n
(94)En vue d’atteindre les objectifs du présent règlement et d’éviter la fragmentation du marché intérieur, les procédures ou schémas nationaux de certification de cybersécurité applicables aux produits TIC, services TIC ou processus TIC couverts par un schéma européen de certification de cybersécurité devraient cesser de produire leurs effets à compter d’une date fixée par la Commission par voie d’actes d’exécution. De plus, les États membres devraient s’abstenir d’instaurer de nouveaux schémas nationaux de certification de cybersécurité applicables aux produits TIC, services TIC ou processus TIC déjà couverts par un schéma européen de certification de cybersécurité existant.
\n

Toutefois, il convient de ne pas empêcher les États membres d’adopter ou de maintenir des schémas nationaux de certification de cybersécurité à des fins de sécurité nationale. Les États membres devraient informer la Commission et le GECC de leur intention éventuelle d’élaborer de nouveaux schémas nationaux de certification de cybersécurité.

\n

La Commission et le GECC devraient évaluer l’incidence des nouveaux schémas nationaux de certification de cybersécurité sur le bon fonctionnement du marché intérieur, à la lumière de tout intérêt stratégique qu’il y aurait à demander, en leur lieu et place, un schéma européen de certification de cybersécurité.

\n
(95)Les schémas européens de certification de cybersécurité ont vocation à contribuer à harmoniser les pratiques de cybersécurité au sein de l’Union. Ils doivent contribuer à augmenter le niveau de cybersécurité dans l’Union. La conception des schémas européens de certification de cybersécurité devrait également prendre en compte et permettre la mise au point d’innovations dans le domaine de la cybersécurité.
\n
(20)Directive (UE) 2015/1535 du Parlement européen et du Conseil du 9 septembre 2015 prévoyant une procédure d’information dans le domaine des réglementations techniques et des règles relatives aux services de la société de l’information (JO L 241 du 17.9.2015, p. 1).
\n
(21)Directive 2014/24/UE du Parlement européen et du Conseil du 26 février 2014 sur la passation des marchés publics et abrogeant la directive 2004/18/CE (JO L 94 du 28.3.2014, p. 65).
\n

L 151/30 FR Journal officiel de l’Union européenne 7.6.2019

\n
(96)Les schémas européens de certification de cybersécurité devraient tenir compte des méthodes actuelles de déve­ loppement des logiciels et du matériel et, en particulier, de l’incidence sur des certificats de cybersécurité européens individuels de mises à jour fréquentes des logiciels ou des micrologiciels. Les schémas européens de certification de cybersécurité devraient préciser les conditions dans lesquelles une mise à jour peut nécessiter qu’un produit TIC, service TIC ou processus TIC doive être de nouveau certifié ou que le champ d’application d’un certificat de cybersécurité européen particulier doive être réduit, compte tenu des éventuels effets négatifs de la mise à jour sur le respect des exigences de ce certificat en matière de sécurité.
\n
(97)Une fois qu’un schéma européen de certification de cybersécurité a été adopté, les fabricants ou les fournisseurs de produits TIC, services TIC ou processus TIC devraient être en mesure de soumettre des demandes de certification de leurs produits TIC ou services TIC à l’organisme d’évaluation de la conformité de leur choix établi où que ce soit dans l’Union. Les organismes d’évaluation de la conformité devraient être accrédités par un organisme d’accrédi­ tation national s’ils satisfont à certaines exigences définies telles qu’elles sont énoncées dans le présent règlement.
\n

L’accréditation devrait être accordée pour une durée maximale de cinq ans et devrait pouvoir être renouvelée dans les mêmes conditions, pourvu que l’organisme d’évaluation de la conformité satisfasse encore aux exigences.

\n

L’accréditation devrait être limitée, suspendue ou révoquée par des organismes d’accréditation nationaux lorsque les conditions de l’accréditation ne sont pas ou ne sont plus remplies ou lorsque l’organisme d’évaluation de la conformité viole le présent règlement.

\n
(98)Les références faites dans la législation nationale à des normes nationales qui ont cessé de produire leurs effets en raison de l’entrée en vigueur d’un schéma européen de certification de cybersécurité peuvent être une source de confusion. Dès lors, les États membres devraient tenir compte, dans leur législation nationale, de l’adoption d’un schéma européen de certification de cybersécurité.
\n
(99)Pour parvenir à l’équivalence des normes dans toute l’Union, faciliter la reconnaissance mutuelle et favoriser l’acceptation globale des certificats de cybersécurité européens et des déclarations de conformité de l’Union européenne, il est nécessaire de mettre en place un système d’examen par les pairs entre les autorités nationales de certification de cybersécurité. L’examen par les pairs devrait couvrir les procédures de contrôle de la conformité des produits TIC, services TIC et processus TIC avec les certificats de cybersécurité européens, de surveillance du respect des obligations des fabricants ou des fournisseurs de produits TIC, services TIC ou processus TIC qui procèdent à une autoévaluation de la conformité, et de surveillance des organismes d’évaluation de la conformité ainsi que de l’adéquation des compétences du personnel des organismes qui délivrent les certificats pour les niveaux d’assurance dits «élevés». La Commission devrait pouvoir, par voie d’actes d’exécution, établir au moins un plan quinquennal pour les examens par les pairs, et fixer les critères et les méthodes de fonctionnement du système d’examen par les pairs.
\n
(100)Sans préjudice du système général d’examen par les pairs à mettre en place entre toutes les autorités nationales de certification de cybersécurité au sein du cadre européen de certification de cybersécurité, certains schémas euro­ péens de certification de cybersécurité peuvent comporter un mécanisme d’évaluation par les pairs pour les organismes délivrant des certificats de cybersécurité européens pour des produits TIC, services TIC et processus TIC avec un niveau d’assurance dit «élevé» en application de ces schémas. Le GECC devrait soutenir la mise en œuvre de ces mécanismes d’évaluation par les pairs. Les évaluations par les pairs devraient en particulier évaluer si les organismes concernés s’acquittent de leurs tâches de façon harmonisée, et peuvent comporter des mécanismes de recours. Les résultats des évaluations par les pairs devraient être rendus publics. Les organismes concernés peuvent adopter des mesures appropriées pour adapter leurs pratiques et leurs compétences en conséquence.
\n
(101)Les États membres devraient désigner une ou plusieurs autorités nationales de certification de cybersécurité afin de contrôler le respect des obligations découlant du présent règlement. Une autorité nationale de certification de cybersécurité peut être une autorité existante ou une nouvelle autorité. Un État membre devrait également pouvoir désigner, après en être convenu avec un autre État membre, une ou plusieurs autorités nationales de certification de cybersécurité sur le territoire de cet autre État membre.
\n
(102)Les autorités nationales de certification de cybersécurité devraient en particulier contrôler et faire respecter les obligations qui incombent aux fabricants ou fournisseurs de produits TIC, services TIC ou processus TIC établis sur leur territoire respectif en ce qui concerne la déclaration de conformité de l’Union européenne, assister les organismes nationaux d’accréditation dans le contrôle et la supervision des activités des organismes d’évaluation de la conformité en leur offrant leurs compétences et en leur fournissant des informations utiles, autoriser les organismes d’évaluation de la conformité à exécuter leurs tâches lorsque ces organismes satisfont aux exigences supplémentaires fixées dans un schéma européen de certification de cybersécurité, et suivre les évolutions perti­ nentes dans le domaine de la certification de cybersécurité. Les autorités nationales de certification de cybersécurité devraient également traiter les réclamations introduites par des personnes physiques ou morales en rapport avec les 7.6.2019 FR Journal officiel de l’Union européenne L 151/31 certificats de cybersécurité européens que ces autorités ont délivrés ou en rapport avec des certificats de cybersé­ curité européens délivrés par des organismes d’évaluation de la conformité, lorsque de tels certificats indiquent un niveau d’assurance dit «élevé», devraient examiner l’objet de la réclamation dans la mesure nécessaire et devraient informer l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable. De plus, les autorités nationales de certification de cybersécurité devraient coopérer avec d’autres autorités nationales de certification de cybersécurité ou d’autres autorités publiques, notamment en partageant des informations sur l’éventuel non-respect par des produits TIC, services TIC et processus TIC des exigences du présent règlement ou de certains schémas européens de certification de cybersécurité spécifiques. La Commission devrait faciliter ce partage d’informations grâce à la mise à disposition d’un système général de soutien à l’information électronique, par exemple, le système d’information et de communication pour la surveillance des marchés (ICSMS) et le système européen d’échange rapide sur les produits dangereux (RAPEX) déjà utilisés par les autorités de surveillance du marché en vertu du règlement (CE) no 765/2008.
\n
(103)Afin d’assurer une application cohérente du cadre européen de certification de cybersécurité, un GECC qui est composé de représentants des autorités nationales de certification de cybersécurité ou d’autres autorités nationales compétentes devrait être mis en place. Les tâches principales du GECC devraient consister à conseiller et assister la Commission dans ses efforts pour assurer une mise en œuvre et une application cohérentes du cadre européen de certification de cybersécurité, à assister l’ENISA et à coopérer étroitement avec elle dans la préparation des schémas de certification de cybersécurité candidats, à demander à l’ENISA, dans des cas dûment justifiés, de préparer un schéma candidat, à adopter des avis adressés à l’ENISA sur les schémas candidats et à adopter des avis à l’intention de la Commission concernant la maintenance et le réexamen de schémas européens de certification de cybersé­ curité existants. Le GECC devrait faciliter l’échange de bonnes pratiques et de compétences entre les diverses autorités nationales de certification de cybersécurité qui sont responsables de l’accréditation des organismes d’évaluation de la conformité et de la délivrance des certificats de cybersécurité européens.
\n
(104)Dans une optique de sensibilisation et pour faciliter l’acceptation de futurs schémas européens de certification de cybersécurité, la Commission peut publier des lignes directrices générales ou sectorielles dans le domaine de la cybersécurité, par exemple sur les bonnes pratiques ou les comportements responsables en matière de cybersécu­ rité, en soulignant les effets positifs de l’utilisation de produits TIC, services TIC et processus TIC certifiés.
\n
(105)Pour faciliter encore davantage les échanges, et compte tenu du fait que les chaînes d’approvisionnement TIC sont mondiales, des accords de reconnaissance mutuelle concernant les certificats de cybersécurité européens peuvent être conclus par l’Union conformément à l’article 218 du traité sur le fonctionnement de l’Union européenne. La Commission, tenant compte de l’avis de l’ENISA et du GECC, peut recommander l’ouverture de négociations à cette fin. Chaque schéma européen de certification de cybersécurité devrait prévoir des conditions spécifiques pour de tels accords de reconnaissance mutuelle avec des pays tiers.
\n
(106)Afin d’assurer des conditions uniformes d’exécution du présent règlement, il convient de conférer des compétences d’exécution à la Commission. Ces compétences devraient être exercées en conformité avec le règlement (UE) no 182/2011 du Parlement européen et du Conseil (22).
\n
(107)Il convient d’avoir recours à la procédure d’examen pour l’adoption d’actes d’exécution concernant les schémas européens de certification de cybersécurité applicables à des produits TIC, services TIC ou processus TIC, pour l’adoption d’actes d’exécution concernant les modalités d’exécution des enquêtes menées par l’ENISA, pour l’adop­ tion d’actes d’exécution concernant un plan pour l’examen par les pairs des autorités nationales de certification de cybersécurité et pour l’adoption d’actes d’exécution concernant les circonstances, les formats et les procédures de notification à la Commission des organismes d’évaluation de la conformité accrédités par les autorités nationales de certification de cybersécurité.
\n
(108)Les activités de l’ENISA devraient faire l’objet d’évaluations régulières et indépendantes. Ces évaluations devraient porter sur les objectifs, les méthodes de travail et la pertinence des tâches de l’ENISA, en particulier les tâches qui ont trait à la coopération opérationnelle au niveau de l’Union. Ces évaluations devraient également porter sur l’impact, l’efficacité et l’efficience du cadre européen de certification de cybersécurité. En cas de réexamen, la Commission devrait évaluer comment le rôle de l’ENISA en tant que point de référence pour les conseils et les compétences peut être renforcé, et devrait également évaluer le rôle que l’ENISA pourrait jouer pour soutenir l’évaluation des produits TIC, services TIC et processus TIC de pays tiers qui ne respectent pas les règles de l’Union, lorsque ces produits, services et processus entrent dans l’Union.
\n
(22)Règlement (UE) no 182/2011 du Parlement européen et du Conseil du 16 février 2011 établissant les règles et principes généraux relatifs aux modalités de contrôle par les États membres de l’exercice des compétences d’exécution par la Commission (JO L 55 du 28.2.2011, p. 13).
\n

L 151/32 FR Journal officiel de l’Union européenne 7.6.2019

\n
(109)Étant donné que les objectifs du présent règlement ne peuvent pas être atteints de manière suffisante par les États membres, mais peuvent, en raison de ses dimensions et de ses effets, l’être mieux au niveau de l’Union, celle-ci peut prendre des mesures, conformément au principe de subsidiarité consacré à l’article 5 du traité sur l’Union euro­ péenne. Conformément au principe de proportionnalité tel qu’énoncé audit article, le présent règlement n’excède pas ce qui est nécessaire pour atteindre ces objectifs.
\n
(110)Il y a lieu d’abroger le règlement (UE) no 526/2013, ONT ADOPTÉ LE PRÉSENT RÈGLEMENT:
\n

TITRE I

\n

DISPOSITIONS GÉNÉRALES Article premier Objet et champ d’application 1.

\n

En vue d’assurer le bon fonctionnement du marché intérieur tout en cherchant à atteindre un niveau élevé de cybersécurité, de cyber-résilience et de confiance au sein de l’Union, le présent règlement fixe:

\n
a)les objectifs, les tâches et les questions organisationnelles concernant l’ENISA (l’Agence de l’Union européenne pour la cybersécurité); et
\n
b)un cadre pour la mise en place de schémas européens de certification de cybersécurité dans le but de garantir un niveau adéquat de cybersécurité des produits TIC, services TIC et processus TIC dans l’Union, ainsi que dans le but d’éviter la fragmentation du marché intérieur pour ce qui est des schémas de certification dans l’Union.
\n

Le cadre visé au premier alinéa, point b), s’applique sans préjudice des dispositions spécifiques d’autres actes juridiques de l’Union en matière de certification volontaire ou obligatoire.

\n

2.

\n

Le présent règlement est sans préjudice des compétences des États membres en ce qui concerne les activités relatives à la sécurité publique, à la défense et à la sécurité nationale, et les activités de l’État dans des domaines du droit pénal.

\n

Article 2Définitions

\n

Aux fins du présent règlement, on entend par:

\n
1)«cybersécurité», les actions nécessaires pour protéger les réseaux et les systèmes d’information, les utilisateurs de ces systèmes et les autres personnes exposées aux cybermenaces;
\n
2)«réseau et système d’information», un réseau et système d’information au sens de l’article 4, point 1), de la directive (UE) 2016/1148;
\n
3)«stratégie nationale en matière de sécurité des réseaux et des systèmes d’information», une stratégie nationale en matière de sécurité des réseaux et des systèmes d’information au sens de l’article 4, point 3), de la directive (UE) 2016/1148;
\n
4)«opérateur de services essentiels», un opérateur de services essentiels au sens de l’article 4, point 4), de la directive (UE) 2016/1148;
\n
5)«fournisseur de service numérique», un fournisseur de service numérique au sens de l’article 4, point 6), de la directive (UE) 2016/1148;
\n
6)«incident», un incident au sens de l’article 4, point 7), de la directive (UE) 2016/1148;
\n
7)«gestion d’incident», la gestion d’incident au sens de l’article 4, point 8), de la directive (UE) 2016/1148;
\n

7.6.2019 FR Journal officiel de l’Union européenne L 151/33

\n
8)«cybermenace», toute circonstance, tout événement ou toute action potentiels susceptibles de nuire ou de porter autrement atteinte aux réseaux et systèmes d’information, aux utilisateurs de tels systèmes et à d’autres personnes, ou encore de provoquer des interruptions de ces réseaux et systèmes;
\n
9)«schéma européen de certification de cybersécurité», un ensemble complet de règles, d’exigences techniques, de normes et de procédures qui sont établies à l’échelon de l’Union et qui s’appliquent à la certification ou à l’évaluation de la conformité de produits TIC, services TIC ou processus TIC spécifiques;
\n
10)«schéma national de certification de cybersécurité», un ensemble complet de règles, d’exigences techniques, de normes et de procédures élaborées et adoptées par une autorité publique nationale et qui s’appliquent à la certification ou à l’évaluation de la conformité des produits TIC, services TIC et processus TIC relevant de ce schéma spécifique;
\n
11)«certificat de cybersécurité européen», un document délivré par un organisme compétent attestant qu’un produit TIC, service TIC ou processus TIC donné a été évalué en ce qui concerne sa conformité aux exigences de sécurité spécifiques fixées dans un schéma européen de certification de cybersécurité;
\n
12)«produit TIC», un élément ou un groupe d’éléments appartenant à un réseau ou à un schéma d’information;
\n
13)«service TIC», un service consistant intégralement ou principalement à transmettre, stocker, récupérer ou traiter des informations au moyen de réseaux et de systèmes d’information;
\n
14)«processus TIC», un ensemble d’activités exécutées pour concevoir, développer ou fournir un produit TIC ou service TIC ou en assurer la maintenance;
\n
15)«accréditation», l’accréditation au sens de l’article 2, point 10), du règlement (CE) no 765/2008;
\n
16)«organisme national d’accréditation», un organisme national d’accréditation au sens de l’article 2, point 11), du règlement (CE) no 765/2008;
\n
17)«évaluation de la conformité», une évaluation de la conformité au sens de l’article 2, point 12), du règlement (CE) no 765/2008;
\n
18)«organisme d’évaluation de la conformité», un organisme d’évaluation de la conformité au sens de l’article 2, point
\n
13), du règlement (CE) no 765/2008;
\n
19)«norme», une norme au sens de l’article 2, point 1), du règlement (UE) no 1025/2012;
\n
20)«spécification technique», un document qui établit les exigences techniques auxquelles un produit TIC, service TIC ou processus TIC doit répondre ou des procédures d’évaluation de la conformité afférentes à un produit TIC, service TIC ou processus TIC;
\n
21)«niveau d’assurance», le fondement permettant de garantir qu’un produit TIC, service TIC ou processus TIC satisfait aux exigences de sécurité d’un schéma européen de certification de cybersécurité spécifique, indique le niveau auquel un produit TIC, service TIC ou processus TIC a été évalué mais, en tant que tel, ne mesure pas la sécurité du produit TIC, service TIC ou processus TIC concerné;
\n
22)«autoévaluation de la conformité», une action effectuée par un fabricant ou un fournisseur de produits TIC, services TIC ou processus TIC, qui évalue si ces produits TIC, services TIC ou processus TIC satisfont aux exigences fixées dans un schéma européen de certification de cybersécurité spécifique.
\n

L 151/34 FR Journal officiel de l’Union européenne 7.6.2019

\n

TITRE II

\n

ENISA (L’AGENCE DE L’UNION EUROPÉENNE POUR LA CYBERSÉCURITÉ)

\n

CHAPITRE I

\n

Mandat et objectifs

\n

Article 3Mandat

\n

1.

\n

L’ENISA exécute les tâches qui lui sont assignées par le présent règlement dans le but de parvenir à un niveau commun élevé de cybersécurité dans l’ensemble de l’Union, y compris en aidant activement les États membres et les institutions, organes et organismes de l’Union à améliorer la cybersécurité. L’ENISA sert de point de référence pour les conseils et compétences en matière de cybersécurité pour les institutions, organes et organismes de l’Union ainsi que pour les autres parties prenantes concernées de l’Union.

\n

L’ENISA contribue à réduire la fragmentation du marché intérieur en s’acquittant des tâches qui lui sont assignées en vertu du présent règlement.

\n

2.

\n

L’ENISA exécute les tâches qui lui sont assignées par des actes juridiques de l’Union établissant des mesures destinées à rapprocher les dispositions législatives, réglementaires et administratives des États membres relatives à la cybersécurité.

\n

3.

\n

Dans l’accomplissement de ses tâches, l’ENISA agit de façon indépendante tout en évitant la duplication des activités des États membres et en tenant compte des compétences existantes des États membres.

\n

4.

\n

L’ENISA développe ses ressources propres, y compris les capacités et les aptitudes techniques et humaines, néces­ saires pour exécuter les tâches qui lui sont assignées en vertu du présent règlement.

\n

Article 4Objectifs

\n

1.

\n

L’ENISA est un centre de compétences en matière de cybersécurité du fait de son indépendance, de la qualité scientifique et technique des conseils et de l’assistance qu’elle dispense, des informations qu’elle fournit, de la transparence de ses procédures de fonctionnement, des modes de fonctionnement et de sa diligence à exécuter ses tâches.

\n

2.

\n

L’ENISA assiste les institutions, organes et organismes de l’Union, ainsi que les États membres, dans l’élaboration et la mise en œuvre des politiques de l’Union liées à la cybersécurité, y compris les politiques sectorielles concernant la cybersécurité.

\n

3.

\n

L’ENISA soutient le renforcement des capacités et contribue à l’état de préparation au sein de l’Union en aidant les institutions, organes et organismes de l’Union, ainsi que les États membres et les parties prenantes des secteurs public et privé, à accroître la protection de leurs réseaux et systèmes d’information, à développer et à améliorer les capacités de cyber-résilience et de cyber-réaction, et à développer des aptitudes et des compétences dans le domaine de la cybersé­ curité.

\n

4.

\n

L’ENISA favorise la coopération, notamment le partage d’informations et la coordination au niveau de l’Union, entre les États membres, les institutions, organes et organismes de l’Union et les parties prenantes concernées des secteurs public et privé en ce qui concerne les questions liées à la cybersécurité.

\n

5.

\n

L’ENISA contribue à renforcer les capacités dans le domaine de la cybersécurité au niveau de l’Union afin de soutenir les actions des États membres pour prévenir les cybermenaces et réagir à celles-ci, notamment en cas d’incidents transfrontières.

\n

6.

\n

L’ENISA favorise le recours à la certification européenne de cybersécurité en vue d’éviter la fragmentation du marché intérieur. L’ENISA contribue à l’établissement et au maintien d’un cadre européen de certification de cybersécurité, conformément au titre III du présent règlement, en vue de rendre plus transparente la cybersécurité des produits TIC, services TIC et processus TIC et, partant, de rehausser la confiance dans le marché intérieur numérique et la compétitivité de ce dernier.

\n

7.

\n

L’ENISA promeut un niveau élevé de sensibilisation des citoyens, des organisations et des entreprises aux questions liées à la cybersécurité, y compris en matière d’hygiène informatique et d’habileté numérique.

\n

7.6.2019 FR Journal officiel de l’Union européenne L 151/35

\n

CHAPITRE II

\n

Tâches

\n

Article 5Élaboration et mise en œuvre de la politique et du droit de l’Union

\n

L’ENISA contribue à l’élaboration et à la mise en œuvre de la politique et du droit de l’Union:

\n
1)en apportant son concours et en fournissant des conseils concernant l’élaboration et la révision de la politique et du droit de l’Union dans le domaine de la cybersécurité, et concernant les initiatives politiques et législatives sectorielles mettant en jeu des questions liées à la cybersécurité, notamment en fournissant des avis et des analyses indépendants, ainsi qu’en effectuant des travaux préparatoires;
\n
2)en aidant les États membres à mettre en œuvre la politique et le droit de l’Union en matière de cybersécurité de manière cohérente, notamment en ce qui concerne la directive (UE) 2016/1148, y compris en délivrant des avis et des lignes directrices, et en fournissant des conseils et des meilleures pratiques sur des thèmes tels que la gestion des risques, le signalement des incidents et le partage d’informations, ainsi qu’en facilitant l’échange de meilleures pratiques entre les autorités compétentes à cet égard;
\n
3)en aidant les États membres et les institutions, organes et organismes de l’Union à élaborer et à promouvoir des politiques en matière de cybersécurité visant à soutenir la disponibilité ou l’intégrité générales du noyau public de l’internet ouvert;
\n
4)en contribuant, par ses compétences et son concours, aux travaux du groupe de coopération institué en application de l’article 11 de la directive (UE) 2016/1148;
\n
5)en soutenant:
\n
a)l’élaboration et la mise en œuvre de la politique de l’Union dans le domaine de l’identification électronique et des services de confiance, en particulier en fournissant des conseils et en délivrant des lignes directrices techniques, ainsi qu’en facilitant l’échange de meilleures pratiques entre les autorités compétentes;
\n
b)la promotion d’une amélioration du niveau de sécurité des communications électroniques, y compris en fournissant des conseils et des compétences, ainsi qu’en facilitant l’échange de meilleures pratiques entre les autorités compé­ tentes;
\n
c)les États membres dans la mise en œuvre d’aspects spécifiques en matière de cybersécurité des politiques et du droit de l’Union concernant la protection des données et la vie privée, y compris en fournissant des avis au comité européen de la protection des données à sa demande;
\n
6)en soutenant le réexamen périodique des activités liées aux politiques de l’Union, par la préparation d’un rapport annuel sur l’état d’avancement de la mise en œuvre du cadre juridique applicable en ce qui concerne:
\n
a)les informations sur les notifications d’incidents des États membres transmises par les points de contact uniques au groupe de coopération conformément à l’article 10, paragraphe 3, de la directive (UE) 2016/1148;
\n
b)les résumés des notifications d’atteinte à la sécurité ou de perte d’intégrité reçues des prestataires de services de confiance et transmises à l’ENISA par les organes de contrôle, conformément à l’article 19, paragraphe 3, du règlement (UE) no 910/2014 du Parlement européen et du Conseil (23);
\n
c)les notifications d’incidents de sécurité transmises par les fournisseurs de réseaux de communications publics ou de services de communications électroniques accessibles au public, fournies à l’ENISA par les autorités compétentes, conformément à l’article 40 de la directive (UE) 2018/1972.
\n
(23)Règlement (UE) no 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services
", "next": 239922}