Cybersécurité : Bruxelles simplifie NIS2 et intègre un volet souveraineté
Un "paquet cyber "présenté le 20 janvier par la Commission européenne comprend une révision du règlement sur la cybersécurité (Cybersecurity act, 2019), pour y intégrer une dimension souveraineté, et fait quelques ajustements à la directive NIS2 sur la sécurité des entités critiques. Votée en 2022, cette dernière directive est toujours en attente de transposition en France.
La Commission adapte le règlement sur la cybersécurité pour contrer les dépendances économiques et risques géopolitiques. Priorité est donnée à la sécurisation des chaînes d'approvisionnement des 18 secteurs critiques définis par NIS2 (transports, santé, énergie, télécoms…). On notera par exemple l'élimination progressive des fournisseurs à "haut risque" (comme les Chinois Huawei et ZTE) des infrastructures mobiles 5G. Les organismes de certification ne pourront plus certifier leurs produits, créant de facto une interdiction sur le marché européen.
Coté NIS2, le paquet cyber clarifie son périmètre d'application, la Commission annonçant simplifier la conformité de 28.700 entreprises, dont 6.200 micro et petites entreprises. Une nouvelle catégorie d'entreprises de taille intermédiaire bénéficiera aussi d'obligations allégées (22.500 entreprises). Les câbles sous-marins entrent explicitement dans le champ de la directive. Dans la continuité de l'omnibus numérique (voir notre article), il valide la simplification des procédures et le point de collecte unique pour les incidents cyber. Par ailleurs, le rôle de l'Enisa, l'agence cyber européenne, est renforcé avec un budget en augmentation de 75% pour suivre l'application des textes cyber.
Le dispositif complète le Cyber resilience act (CRA), dont l'application s'échelonne entre décembre 2024 et décembre 2027, qui impose aux fabricants des obligations de sécurisation de leurs produits numériques.
