keyboard_tab Cyber Resilience Act 2023/2841 FR

1.   Au plus tard le 8 septembre 2024, le conseil interinstitutionnel de cybersécurité institué en vertu de l’article 10 publie, après consultation de l’Agence de l’union européenne pour la cybersécurité (ENISA) et après avoir reçu des orientations du CERT-UE, des lignes directrices à l’intention des entités_de_l’union aux fins de procéder à un examen initial de la cybersécurité et d’établir un cadre interne de gestion, de gouvernance et de contrôle des risques de cybersécurité conformément à l’article 6, de procéder à des évaluations de la maturité en matière de cybersécurité conformément à l’article 7, de prendre des mesures de gestion des risques de cybersécurité conformément à l’article 8 et d’adopter le plan de cybersécurité conformément à l’article 9.

2.   Lorsqu’elles mettent en œuvre les articles 6 à 9, les entités_de_l’union tiennent compte des lignes directrices visées au paragraphe 1 du présent article, ainsi que des lignes directrices et recommandations pertinentes adoptées en vertu des articles 11 et 14.

1.   Au plus tard le 8 avril 2025, chaque entité de l’union établit, après avoir procédé à un examen initial de la cybersécurité, tel qu’un audit, un cadre interne de gestion, de gouvernance et de contrôle des risques de cybersécurité (ci-après dénommé «cadre»). L’établissement du cadre est placé sous la supervision et la responsabilité du niveau_hiérarchique_le_plus_élevé de l’entité de l’union.

2.   Le cadre couvre l’ensemble de l’environnement TIC non classifié de l’entité de l’union concernée, y compris l’environnement TIC sur sites, le réseau de technologie opérationnelle, les actifs et services externalisés dans des environnements d’informatique en nuage ou hébergés par des tiers, les appareils mobiles, les réseaux d’entreprise, les réseaux professionnels non connectés à l’internet et tout appareil connecté à ces environnements (ci-après dénommé «environnement TIC»). Le cadre est fondé sur une approche «tous risques».

3.   Le cadre garantit un niveau élevé de cybersécurité. Le cadre établit des politiques internes de cybersécurité, y compris des objectifs et des priorités, pour la sécurité_des_réseaux_et_des_systèmes_d’information, ainsi que les rôles et les responsabilités du personnel de l’entité de l’union chargé d’assurer la mise en œuvre effective du présent règlement. Le cadre comprend également des mécanismes visant à mesurer l’efficacité de la mise en œuvre.

4.   Le cadre fait régulièrement l’objet d’une révision, compte tenu de l’évolution des risques de cybersécurité, et au moins tous les quatre ans. Le cas échéant et à la suite d’une demande du conseil interinstitutionnel de cybersécurité institué en vertu de l’article 10, le cadre d’une entité de l’union peut être mis à jour sur la base des orientations données par le CERT-UE sur les incidents identifiés ou les lacunes éventuelles observées dans la mise en œuvre du présent règlement.

5.   Le niveau_hiérarchique_le_plus_élevé de chaque entité de l’union est responsable de la mise en œuvre du présent règlement et contrôle le respect, par son entité, des obligations liées au cadre.

6.   Le cas échéant et sans préjudice de sa responsabilité dans la mise en œuvre du présent règlement, le niveau_hiérarchique_le_plus_élevé de chaque entité de l’union peut déléguer des obligations spécifiques au titre du présent règlement à des membres du personnel d’encadrement supérieur au sens de l’article 29, paragraphe 2, du statut ou à d’autres fonctionnaires de niveau équivalent, au sein de l’entité de l’union concernée. Indépendamment d’une telle délégation, le niveau_hiérarchique_le_plus_élevé peut être tenu pour responsable des infractions au présent règlement commises par l’entité de l’union concernée.

7.   Chaque entité de l’union dispose de mécanismes efficaces pour garantir qu’un pourcentage adéquat du budget TIC est consacré à la cybersécurité. Lors de la fixation de ce pourcentage, il est dûment tenu compte du cadre.

8.   Chaque entité de l’union désigne un responsable local de la cybersécurité ou une fonction équivalente qui fait office de point de contact unique pour tous les aspects liés à la cybersécurité. Le responsable local de la cybersécurité facilite la mise en œuvre du présent règlement et rend directement et régulièrement compte au niveau_hiérarchique_le_plus_élevé de l’état d’avancement de la mise en œuvre. Sans préjudice du fait que le responsable local de la cybersécurité soit le point de contact unique dans chaque entité de l’union, une entité de l’union peut déléguer certaines tâches du responsable local de la cybersécurité en ce qui concerne la mise en œuvre du présent règlement au CERT-UE sur la base d’un accord de niveau de service conclu entre cette entité de l’union et le CERT-UE, ou ces tâches peuvent être partagées entre plusieurs entités_de_l’union. Lorsque ces tâches sont déléguées au CERT-UE, le conseil interinstitutionnel de cybersécurité institué en vertu de l’article 10 décide si la fourniture de ce service fait partie des services de base du CERT-UE, en tenant compte des ressources humaines et financières de l’entité de l’union concernée. Chaque entité de l’union informe le CERT-UE, dans les meilleurs délais, de la désignation du responsable local de cybersécurité, ainsi que de tout changement ultérieur.

Le CERT-UE établit et tient à jour une liste des responsables locaux de la cybersécurité désignés.

9.   Les membres de l’encadrement supérieur au sens de l’article 29, paragraphe 2, du statut ou d’autres fonctionnaires de niveau équivalent de chaque entité de l’union ainsi que tous les membres du personnel pertinents chargés de la mise en œuvre des mesures et de l’exécution des obligations de gestion des risques de cybersécurité définies par le présent règlement suivent régulièrement une formation spécifique afin d’acquérir des connaissances et des compétences suffisantes pour appréhender et évaluer les pratiques en matière de gestion des risques et de gestion de la cybersécurité et leur incidence sur les activités de l’entité de l’union.

1.   Au plus tard le 8 juillet 2025 et au moins tous les deux ans par la suite, chaque entité de l’union procède à une évaluation de la maturité en matière de cybersécurité portant sur l’ensemble des éléments de son environnement TIC.

2.   Les évaluations de la maturité en matière de cybersécurité sont effectuées, le cas échéant, avec l’aide d’un tiers spécialisé.

3.   Les entités_de_l’union ayant des structures similaires peuvent coopérer à la réalisation d’évaluations de la maturité en matière de cybersécurité pour leurs entités respectives.

4.   Sur la base d’une demande du conseil interinstitutionnel de cybersécurité institué en vertu de l’article 10 et avec le consentement explicite de l’entité de l’union concernée, les résultats d’une évaluation de la maturité en matière de cybersécurité peuvent être discutés au sein dudit conseil ou du groupe informel de responsables locaux de la cybersécurité afin de tirer les leçons des expériences et de partager les bonnes pratiques.

1.   Dans les meilleurs délais et en tout état de cause au plus tard le 8 septembre 2025, chaque entité de l’union prend, sous la supervision du niveau_hiérarchique_le_plus_élevé, des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées afin de gérer les risques de cybersécurité identifiés dans le cadre et de prévenir et réduire les conséquences des incidents. Ces mesures garantissent, pour les réseaux et les systèmes d’information de la totalité de l’environnement TIC, un niveau de sécurité adapté aux risques de cybersécurité encourus, en tenant compte de l’état des connaissances et, s’il y a lieu, des normes européennes et internationales applicables. Lors de l’évaluation de la proportionnalité de ces mesures, il est tenu dûment compte du degré d’exposition de l’entité de l’union aux risques de cybersécurité, de sa taille et de la probabilité de survenance d’ incidents et de leur gravité, y compris leurs conséquences sociétales, économiques et interinstitutionnelles.

2.   Les entités_de_l’union tiennent compte au moins des domaines suivants dans la mise en œuvre des mesures de gestion des risques de cybersécurité:

a)	la politique de cybersécurité, y compris les mesures nécessaires pour atteindre les objectifs et les priorités visés à l’article 6 et au paragraphe 3 du présent article;

b)	les politiques relatives à l’analyse des risques de cybersécurité et à la sécurité des systèmes d’information;

c)	les objectifs stratégiques concernant l’utilisation des services d’informatique en nuage;

d)	un audit de cybersécurité, le cas échéant, qui peut inclure une évaluation des risques de cybersécurité, de la vulnérabilité et des cybermenaces, et des tests d’intrusion effectués régulièrement par un fournisseur privé de confiance;

e)	la mise en œuvre des recommandations découlant des audits de cybersécurité visés au point d) au moyen de mises à jour de la cybersécurité et des politiques;

f)	l’organisation de la cybersécurité, y compris la définition des rôles et des responsabilités;

g)	la gestion des actifs, y compris l’inventaire des actifs TIC et la cartographie des réseaux TIC;

h)	la sécurité des ressources humaines et le contrôle d’accès;

i)	la sécurité des activités;

j)	la sécurité des communications;

k)	l’acquisition, le développement et la maintenance des systèmes, y compris les politiques de traitement et de divulgation des vulnérabilités;

l)	dans la mesure du possible, les politiques en matière de transparence du code source des systèmes;

m)	la sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité de l’union et ses fournisseurs ou prestataires de services directs;

n)	le traitement des incidents et la coopération avec le CERT-UE, par exemple la maintenance du suivi de la sécurité et de la journalisation;

o)	la gestion de la continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, et la gestion des crises; et

p)	la promotion et le développement de programmes d’éducation, de renforcement des compétences, de sensibilisation, d’exercices et de formation en matière de cybersécurité.

Aux fins du premier alinéa, point m), les entités_de_l’union tiennent compte des vulnérabilités propres à chaque fournisseur et prestataire de services direct et de la qualité globale des produits et des pratiques de cybersécurité de leurs fournisseurs et prestataires de services, y compris de leurs procédures de développement sécurisé.

3.   Les entités_de_l’union prennent au moins les mesures spécifiques suivantes en matière de gestion des risques de cybersécurité:

a)	les modalités techniques visant à permettre le télétravail et à en assurer la pérennité;

b)	des mesures concrètes pour progresser vers les principes de vérification systématique;

c)	l’utilisation de l’authentification à facteurs multiples comme norme dans l’ensemble des réseaux et des systèmes d’information;

d)	l’utilisation de la cryptographie et du chiffrement, en particulier le chiffrement de bout en bout, ainsi que les signatures numériques sécurisées;

e)	le cas échéant, des communications vocales, vidéo et textuelles sécurisées, et des systèmes de communication d’urgence sécurisés au sein de l’entité de l’union;

f)	des mesures préventives de détection et de suppression des logiciels malveillants et des logiciels espions;

g)	la sécurisation de la chaîne d’approvisionnement des logiciels au moyen de critères pour le développement et l’évaluation sécurisés des logiciels;

h)

l’élaboration et l’adoption de programmes de formation à la cybersécurité en fonction des missions confiées et des capacités escomptées à l’intention du niveau_hiérarchique_le_plus_élevé et des membres du personnel de l’entité de l’union chargés d’assurer la mise en œuvre effective du présent règlement;

i)	la formation régulière des membres du personnel à la cybersécurité;

j)	le cas échéant, la participation à des analyses des risques que présente l’interconnexion entre les entités_de_l’union;

k)

le renforcement des règles de passation des marchés publics afin de faciliter un niveau élevé commun de cybersécurité par: i) la suppression des obstacles contractuels qui limitent le partage d’informations sur les incidents, les vulnérabilités et les cybermenaces entre les fournisseurs de services TIC et le CERT-UE; ii) l’obligation contractuelle de signaler les incidents, les vulnérabilités et les cybermenaces ainsi que de veiller à ce que des mécanismes appropriés de réaction et de suivi en cas d’ incident soient en place.

1.   Compte tenu de la conclusion de l’évaluation de la maturité en matière de cybersécurité effectuée conformément à l’article 7 et des actifs et des risques de cybersécurité identifiés dans le cadre, ainsi que des mesures de gestion des risques de cybersécurité prises conformément à l’article 8, le niveau_hiérarchique_le_plus_élevé de chaque entité de l’union approuve un plan de cybersécurité dans les meilleurs délais et en tout état de cause au plus tard le 8 janvier 2026. Le plan de cybersécurité vise à accroître la cybersécurité globale de l’entité de l’union et contribue ainsi à renforcer le niveau élevé commun de cybersécurité au sein des entités_de_l’union. Le plan de cybersécurité comprend au moins les mesures de gestion des risques de cybersécurité prises conformément à l’article 8. Le plan de cybersécurité est révisé tous les deux ans ou plus fréquemment, le cas échéant, à la suite des évaluations de la maturité en matière de cybersécurité effectuées conformément à l’article 7 ou de toute révision substantielle du cadre.

2.   Le plan de cybersécurité comprend le plan de gestion des crises de cybersécurité de l’entité de l’union en cas d’ incidents majeurs.

3.   L’entité de l’union soumet le plan de cybersécurité complet au conseil interinstitutionnel de cybersécurité institué en vertu de l’article 10.

1.   Un conseil interinstitutionnel de cybersécurité (IICB) est institué.

2.   L’IICB est chargé:

a)	de suivre et de soutenir la mise en œuvre du présent règlement par les entités_de_l’union;

b)	de superviser la mise en œuvre des priorités et objectifs généraux par le CERT-UE et de lui fournir des orientations stratégiques.

3.   L’IICB est composé:

a)

d’un représentant désigné par chacune des entités suivantes: i) le Parlement européen; ii) le Conseil européen; iii) le Conseil de l’union européenne; iv) la Commission; v) la Cour de justice de l’union européenne; vi) la Banque centrale européenne; vii) la Cour des comptes européenne; viii) le Service européen pour l’action extérieure; ix) le Comité économique et social européen; x) le Comité européen des régions; xi) la Banque européenne d’investissement; xii) le Centre de compétences européen pour l’industrie, les technologies et la recherche en matière de cybersécurité; xiii) l’ENISA; xiv) le Contrôleur européen de la protection des données (CEPD); xv) l’Agence de l’union européenne pour le programme spatial.

b)	de trois représentants désignés par le réseau des agences de l’union européenne (EUAN), sur proposition de son comité consultatif sur les TIC, pour représenter les intérêts des organes et organismes de l’union qui gèrent leur propre environnement TIC, autres que ceux visés au point a).

Les entités_de_l’union représentées au sein de l’IICB s’efforcent de parvenir à un équilibre entre les femmes et les hommes parmi les représentants désignés.

4.   Chaque membre de l’IICB peut être assisté d’un suppléant. D’autres représentants des entités_de_l’union visées au paragraphe 3 ou d’autres entités_de_l’union peuvent être invités par le président à assister aux réunions de l’IICB sans droit de vote.

5.   Le chef du CERT-UE et les présidents du groupe de coopération, du réseau des CSIRT et de EU-CyCLONe établis, respectivement, en vertu des articles 14, 15 et 16 de la directive (UE) 2022/2555, ou leurs suppléants, peuvent participer aux réunions de l’IICB en tant qu’observateurs. Dans des circonstances exceptionnelles, l’IICB peut, conformément à son règlement intérieur, en décider autrement.

6.   L’IICB adopte son règlement intérieur.

7.   L’IICB désigne un président parmi ses membres, conformément à son règlement intérieur et pour une période de trois ans. Le suppléant du président devient membre à part entière de l’IICB pour la même durée.

8.   L’IICB se réunit au moins trois fois par an à l’initiative de son président, à la demande du CERT-UE ou à la demande de l’un de ses membres.

9.   Chaque membre de l’IICB dispose d’une voix. Les décisions de l’IICB sont prises à la majorité simple, sauf disposition contraire du présent règlement. Le président de l’IICB ne peut voter qu’en cas d’égalité, sa voix pouvant alors être décisive.

10.   L’IICB peut statuer par la voie d’une procédure écrite simplifiée lancée conformément à son règlement intérieur. Dans le cadre de cette procédure, la décision concernée est réputée approuvée dans le délai fixé par le président, sauf objection d’un membre.

11.   Le secrétariat de l’IICB est assuré par la Commission et rend compte au président de l’IICB.

12.   Les représentants nommés par l’EUAN transmettent les décisions de l’IICB aux membres de l’EUAN. Tout membre de l’EUAN a le droit de soulever auprès de ces représentants ou du président de l’IICB toute question qu’il estime devoir être portée à l’attention de l’IICB.

13.   L’IICB peut établir un comité exécutif pour l’assister dans ses travaux et lui déléguer certains de ses pouvoirs et tâches. L’IICB établit le règlement intérieur du comité exécutif, y compris ses tâches et pouvoirs, ainsi que le mandat de ses membres.

14.   Au plus tard le 8 janvier 2025, puis sur une base annuelle, l’IICB présente au Parlement européen et au Conseil un rapport détaillant les progrès réalisés dans la mise en œuvre du présent règlement et précisant notamment l’étendue de la coopération du CERT-UE avec ses homologues des États membres dans chacun d’entre eux. Le rapport constitue une contribution au rapport bisannuel sur l’état de la cybersécurité dans l’union adopté en vertu de l’article 18 de la directive (UE) 2022/2555.

1.   L’IICB suit efficacement, conformément à l’article 10, paragraphe 2, et à l’article 11, la mise en œuvre du présent règlement et des orientations, recommandations et injonctions adoptées par les entités_de_l’union. L’IICB peut demander aux entités_de_l’union les informations ou les documents nécessaires à cette fin. Aux fins de l’adoption de mesures de conformité au titre du présent article, lorsque l’entité de l’union concernée est directement représentée au sein de l’IICB, cette entité de l’union ne dispose pas du droit de vote.

2.   Lorsque l’IICB constate qu’une entité de l’union n’a pas effectivement mis en œuvre le présent règlement ou les orientations, recommandations ou injonctions élaborées au titre du présent règlement, il peut, sans préjudice des procédures internes de l’entité de l’union concernée, et après avoir donné à l’entité concernée la possibilité de présenter ses observations:

a)	faire part à l’entité de l’union concernée de son avis motivé relatif aux lacunes observées dans la mise en œuvre du présent règlement;

b)	après consultation du CERT-UE, fournir des orientations à l’entité de l’union concernée afin que son cadre, ses mesures de gestion des risques de cybersécurité, son plan de cybersécurité et ses rapports soient conformes au présent règlement, dans un délai déterminé;

c)	émettre un avertissement pour remédier aux lacunes constatées dans un délai déterminé, y compris des recommandations visant à modifier les mesures adoptées par l’entité de l’union concernée au titre du présent règlement;

d)	transmettre une notification motivée à l’entité de l’union concernée, dans le cas où il n’a pas été suffisamment remédié, dans le délai imparti, aux lacunes constatées dans un avertissement émis conformément au point c);

e)	formuler: i) une recommandation de procéder à un audit; ou ii) une demande visant à ce qu’un audit soit effectué par un service d’audit tiers;

f)	le cas échéant, informer la Cour des comptes, dans le cadre de son mandat, du non-respect présumé;

g)	émettre une recommandation à l’intention de tous les États membres et toutes les entités_de_l’union de suspendre temporairement les flux de données vers l’entité de l’union concernée.

Aux fins du premier alinéa, point c), les destinataires d’un avertissement sont limités de manière appropriée, lorsque cela s’avère nécessaire en raison du risque de cybersécurité.

Les avertissements et recommandations émis au titre du premier alinéa sont adressés au niveau_hiérarchique_le_plus_élevé de l’entité de l’union concernée.

3.   Lorsque l’IICB a adopté des mesures en vertu du paragraphe 2, premier alinéa, points a) à g), l’entité de l’union concernée fournit des informations détaillées sur les mesures prises et les actions menées pour remédier aux lacunes alléguées constatées par l’IICB. L’entité de l’union communique ces informations détaillées dans un délai raisonnable à convenir avec l’IICB.

4.   Lorsque l’IICB estime qu’il y a une violation persistante du présent règlement par une entité de l’union directement imputable aux actions ou omissions d’un fonctionnaire ou d’un autre agent de l’union, y compris au niveau_hiérarchique_le_plus_élevé, l’IICB demande à l’entité de l’union concernée de prendre les mesures appropriées, y compris en lui demandant d’envisager des mesures de nature disciplinaire, conformément aux règles et procédures énoncées dans le statut des fonctionnaires et à toutes autres règles et procédures applicables. À cette fin, l’IICB transfère les informations nécessaires à l’entité de l’union concernée.

5.   Lorsque des entités_de_l’union indiquent être incapables de respecter les délais visés à l’article 6, paragraphe 1, et à l’article 8, paragraphe 1, l’IICB peut, dans des cas dûment motivés, compte tenu de la taille de l’entité de l’union, autoriser la prolongation de ces délais.

1.   La mission du CERT-UE est de contribuer à la sécurité de l’environnement TIC non classifié des entités_de_l’union en leur fournissant des conseils concernant la cybersécurité, en les aidant à prévenir, à détecter et à traiter les incidents, ainsi qu’à en atténuer les effets, à y répondre et à s’en remettre, et en faisant office de pôle d’échange d’informations sur la cybersécurité et de coordination des réponses aux incidents.

2.   Le CERT-UE recueille, gère, analyse et partage avec les entités_de_l’union des informations sur les cybermenaces, les vulnérabilités et les incidents relatifs aux infrastructures TIC non classifiées. Il coordonne les réponses aux incidents au niveau interinstitutionnel et au niveau des entités_de_l’union, y compris en assurant ou en coordonnant la fourniture d’une assistance opérationnelle spécialisée.

3.   Le CERT-UE accomplit les tâches suivantes pour les entités_de_l’union:

a)	les soutenir dans la mise en œuvre du présent règlement et contribuer à la coordination de l’application du présent règlement par l’intermédiaire des mesures énoncées à l’article 14, paragraphe 1, ou des rapports ad hoc demandés par l’IICB;

b)	offrir des services CSIRT standard aux entités_de_l’union au moyen d’un ensemble de services de cybersécurité décrits dans son catalogue de services (ci-après dénommés «services de base»);

c)	gérer un réseau de pairs et de partenaires pour soutenir les services visés aux articles 17 et 18;

d)	attirer l’attention de l’IICB sur toute question relative à la mise en œuvre du présent règlement et à la mise en œuvre des orientations, recommandations et injonctions;

e)	sur la base des informations visées au paragraphe 2, contribuer à la conscience situationnelle de la cybersécurité de l’union en étroite coopération avec l’ENISA;

f)	coordonner la gestion des incidents majeurs;

g)	jouer, pour les entités_de_l’union, un rôle équivalent à celui de coordinateur désigné aux fins de la divulgation coordonnée des vulnérabilités conformément à l’article 12, paragraphe 1, de la directive (UE) 2022/2555;

h)	réaliser, à la demande d’une entité de l’union, un scan proactif et non intrusif des réseaux et des systèmes d’information accessibles au public de ladite entité de l’union.

Les informations visées au premier alinéa, point e), sont partagées avec l’IICB, le réseau des CSIRT et le Centre de situation et du renseignement de l’union européenne (INTCEN), le cas échéant et selon le cas, et sont soumises à des conditions de confidentialité appropriées.

4.   Le CERT-UE peut, conformément à l’article 17 ou à l’article 18 selon le cas, coopérer avec les communautés de cybersécurité pertinentes au sein de l’union et de ses États membres, notamment dans les domaines suivants:

a)	la préparation, la coordination face aux incidents, l’échange d’informations et la réaction aux crises au niveau technique dans les cas liés aux entités_de_l’union;

b)	la coopération opérationnelle concernant le réseau des centres de réponse aux incidents de sécurité informatique (CSIRT), y compris en matière d’assistance mutuelle;

c)	les renseignements sur les cybermenaces, y compris la conscience situationnelle;

d)	tout sujet nécessitant l’expertise technique du CERT-UE en matière de cybersécurité.

5.   Dans la limite de ses compétences, le CERT-UE mène une coopération structurée avec l’ENISA en ce qui concerne le renforcement des capacités, la coopération opérationnelle et les analyses stratégiques à long terme des cybermenaces conformément au règlement (UE) 2019/881. Le CERT-UE peut coopérer et échanger des informations avec le Centre européen de lutte contre la cybercriminalité d’Europol.

6.   Le CERT-UE peut fournir les services suivants non décrits dans son catalogue de services («services payants»):

a)

des services soutenant la cybersécurité de l’environnement TIC des entités_de_l’union, autres que ceux visés au paragraphe 3, sur la base d’accords de niveau de service et sous réserve des ressources disponibles, notamment une surveillance des réseaux à large spectre, y compris la surveillance 24 heures sur 24, 7 jours sur 7 de première ligne des cybermenaces d’une gravité élevée;

b)	des services soutenant les opérations ou projets de cybersécurité des entités_de_l’union, autres que ceux visant à protéger leur environnement TIC, sur la base d’accords écrits et avec l’approbation préalable de l’IICB;

c)	sur demande, un scan proactif des réseaux et des systèmes d’information de l’entité de l’union concernée afin de détecter les vulnérabilités susceptibles d’avoir un impact important;

d)

des services soutenant la sécurité de l’environnement TIC fournis à des entités autres que les entités_de_l’union qui coopèrent étroitement avec les entités_de_l’union, par exemple par l’intermédiaire de tâches ou de responsabilités confiées en vertu du droit de l’union, sur la base d’accords écrits et avec l’approbation préalable de l’IICB.

En ce qui concerne le premier alinéa, point d), le CERT-UE peut, à titre exceptionnel, conclure des accords de niveau de service avec des entités autres que les entités_de_l’union, avec l’approbation préalable de l’IICB.

7.   Le CERT-UE organise et peut participer à des exercices de cybersécurité ou recommander la participation à des exercices existants, le cas échéant en étroite coopération avec l’ENISA, afin de tester le niveau de cybersécurité des entités_de_l’union.

8.   Le CERT-UE peut fournir une assistance aux entités_de_l’union en ce qui concerne les incidents survenant dans des réseaux et systèmes d’information traitant des ICUE s’il y est explicitement invité par les entités_de_l’union concernées, conformément à leurs procédures respectives. La fourniture d’une assistance par le CERT-UE en vertu du présent paragraphe est sans préjudice des règles applicables en ce qui concerne la protection des informations classifiées.

9.   Le CERT-UE informe les entités_de_l’union de ses procédures et processus de gestion des incidents.

10.   Le CERT-UE fournit, avec un niveau de confidentialité et de fiabilité élevé, au moyen des mécanismes de coopération et des lignes hiérarchiques appropriées, des informations pertinentes et anonymisées sur les incidents majeurs et la façon dont ils ont été traités. Ces informations sont intégrées dans le rapport visé à l’article 10, paragraphe 14.

11.   Pour traiter des incidents donnant lieu à des violations de données à caractère personnel, le CERT-UE, en coopération avec le CEPD, soutient les entités_de_l’union concernées, sans préjudice de la compétence et des missions du CEPD en tant qu’autorité de contrôle au titre du règlement (UE) 2018/1725.

12.   Le CERT-UE peut, si les services politiques des entités_de_l’union en font expressément la demande, fournir des conseils ou des contributions techniques sur des questions politiques pertinentes.

1.   Le CERT-UE soutient la mise en œuvre du présent règlement en élaborant:

a)	des injonctions décrivant les mesures de sécurité urgentes que les entités_de_l’union sont instamment invitées à prendre dans un délai déterminé;

b)	des propositions soumises à l’IICB concernant des orientations destinées à l’ensemble ou à une partie des entités_de_l’union;

c)	des propositions soumises à l’IICB concernant des recommandations destinées à titre individuel aux entités_de_l’union.

En ce qui concerne le premier alinéa, point a), l’entité de l’union concernée informe le CERT-UE, dans les meilleurs délais après avoir reçu l’injonction, de la manière dont les mesures de sécurité urgentes ont été appliquées.

2.   Les orientations et les recommandations peuvent inclure:

a)

des méthodes communes et un modèle d’évaluation de la maturité des entités_de_l’union en matière de cybersécurité, y compris les barèmes ou les IPC correspondants, destinés à servir de référence pour soutenir l’amélioration continue de la cybersécurité dans toutes les entités_de_l’union et à faciliter la hiérarchisation des domaines et des mesures de cybersécurité en tenant compte de la posture de cybersécurité des entités;

b)	les modalités de la gestion des risques de cybersécurité et les mesures de gestion des risques en matière de cybersécurité, ou les améliorations à y apporter;

c)	les modalités des évaluations du niveau de maturité en matière de cybersécurité et des plans de cybersécurité;

d)

le cas échéant, l’utilisation d’une technologie, d’une architecture et de pratiques de sources ouvertes communes, ainsi que des meilleures pratiques qui y sont associées, dans le but de parvenir à l’interopérabilité et à des normes communes, y compris une approche coordonnée de la sécurité de la chaîne d’approvisionnement;

e)	le cas échéant, des informations permettant de faciliter l’utilisation d’instruments d’acquisition conjointe pour l’acquisition de produits et services de cybersécurité pertinents auprès de prestataires tiers;

f)	des modalités de partage d’informations conformément à l’article 20.

1.   Le CERT-UE est intégré à la structure administrative d’une direction générale de la Commission afin de bénéficier des structures d’appui de la Commission en matière administrative, de gestion financière et de comptabilité tout en préservant son statut de fournisseur interinstitutionnel autonome de services destinés à l’ensemble des entités_de_l’union. La Commission informe l’IICB du siège administratif du CERT-UE et de toute modification de celui-ci. La Commission procède régulièrement au réexamen des modalités administratives relatives au CERT-UE et, en tout état de cause, avant l’établissement de tout cadre financier pluriannuel conformément à l’article 312 du traité sur le fonctionnement de l’union européenne, pour permettre l’adoption de mesures adéquates. Le réexamen prévoit la possibilité de faire du CERT-UE un organisme de l’union.

2.   Pour l’application des procédures administratives et financières, le chef du CERT-UE agit sous l’autorité de la Commission et sous la surveillance de l’IICB.

3.   Les tâches et activités du CERT-UE, y compris les services qu’il fournit, conformément à l’article 13, paragraphes 3, 4, 5 et 7, et à l’article 14, paragraphe 1, aux entités_de_l’union et qui sont financés au titre de la rubrique du cadre financier pluriannuel consacrée à l’administration publique européenne, sont financées par une ligne budgétaire distincte du budget de la Commission. Les postes réservés au CERT-UE sont détaillés dans une note de bas de page du tableau des effectifs de la Commission.

4.   Les entités_de_l’union autres que celles visées au paragraphe 3 du présent article versent une contribution financière annuelle au CERT-UE pour couvrir les services fournis par le CERT-UE en vertu dudit paragraphe 3. Les contributions sont fondées sur les orientations données par l’IICB et convenues entre chaque entité de l’union et le CERT-UE dans les accords de niveau de service. Les contributions représentent une part équitable et proportionnée de l’ensemble des coûts des services fournis. Elles sont affectées à la ligne budgétaire distincte visée au paragraphe 3 du présent article en tant que recettes affectées internes comme prévu à l’article 21, paragraphe 3, point c), du règlement (UE, Euratom) 2018/1046.

5.   Les coûts des services prévus à l’article 13, paragraphe 6, sont recouvrés auprès des entités_de_l’union qui bénéficient des services du CERT-UE. Les recettes sont affectées aux lignes budgétaires dont relèvent les coûts.

1.   Le CERT-UE coopère et échange des informations dans les meilleurs délais avec les homologues des États membres, y compris les CSIRT désignés ou établis en vertu de l’article 10 de la directive (UE) 2022/2555 ou, le cas échéant, les autorités compétentes et les points de contact uniques désignés ou établis en vertu de l’article 8 de ladite directive, en ce qui concerne les incidents, les cybermenaces, les vulnérabilités, les incidents évités, les éventuelles contre-mesures et les bonnes pratiques et toutes les questions pertinentes pour améliorer la protection des environnements TIC des entités_de_l’union, y compris par l’intermédiaire du réseau des CSIRT établi en vertu de l’article 15 de la directive (UE) 2022/2555. Le CERT-UE soutient la Commission au sein du réseau EU-CyCLONe établi en vertu de l’article 16 de la directive (UE) 2022/2555 pour ce qui est de la gestion coordonnée des incidents et crises de cybersécurité majeurs.

2.   Lorsque le CERT-UE prend connaissance d’un incident important survenant sur le territoire d’un État membre, il avertit sans tarder tout homologue concerné dans ledit État membre conformément au paragraphe 1.

3.   À condition que des données à caractère personnel soient protégées conformément au droit de l’union applicable en matière de protection des données, le CERT-UE échange, sans retard inutile, des informations pertinentes propres à un incident avec les homologues des États membres afin de faciliter la détection de cybermenaces ou d’ incidents similaires ou de contribuer à l’analyse d’un incident sans l’autorisation de l’entité de l’union touchée. Le CERT-UE n’échange des informations propres à un incident qui révèlent l’identité de la cible de l’ incident qu’en cas de survenance de l’un des événements suivants:

a)	l’entité de l’union touchée donne son consentement;

b)	l’entité de l’union touchée ne donne pas son consentement comme le prévoit le point a), mais la divulgation de l’identité de l’entité de l’union touchée augmente la probabilité d’éviter ou d’atténuer d’autres incidents survenant par ailleurs;

c)	l’entité de l’union touchée a déjà fait savoir publiquement qu’elle a été touchée.

Les décisions d’échanger des informations propres à un incident qui révèlent l’identité de la cible de l’ incident en vertu du premier alinéa, point b), sont approuvées par le chef du CERT-UE. Avant de prendre une telle décision, le CERT-UE contacte l’entité de l’union touchée par écrit en expliquant précisément la façon dont la divulgation de son identité permettra d’éviter ou d’atténue d’autres incidents survenant par ailleurs. Le chef du CERT-UE fournit l’explication en demandant explicitement à l’entité de l’union d’indiquer dans un délai déterminé si elle donne son consentement. Le chef du CERT-UE fait également savoir à l’entité de l’union que, compte tenu de l’explication fournie, il se réserve le droit de divulguer l’information même sans son consentement. L’entité de l’union touchée est informée avant la divulgation de l’information.

1.   Le CERT-UE peut coopérer avec des homologues dans l’union, autres que ceux visés à l’article 17, qui sont soumis aux exigences de l’union en matière de cybersécurité, y compris les homologues de secteurs spécifiques de l’industrie, en ce qui concerne les outils et méthodes, tels que les techniques, les tactiques, les procédures et les meilleures pratiques, et en ce qui concerne les cybermenaces et les vulnérabilités. Pour toute coopération avec lesdits homologues, le CERT-UE sollicite au préalable l’approbation de l’IICB au cas par cas. Lorsque le CERT-UE met en place une coopération avec de tels homologues, il informe tous les homologues des États membres concernés visés à l’article 17, paragraphe 1, dans l’État membre dans lequel l’homologue est situé. Le cas échéant et selon le cas, cette coopération et les conditions de celle-ci, y compris en ce qui concerne la cybersécurité, la protection des données et le traitement des informations, sont établis dans des modalités spécifiques de confidentialité tels que des contrats ou des arrangements administratifs. Les modalités de confidentialité ne nécessitent pas l’approbation préalable de l’IICB, mais le président de celui-ci en est informé. En cas de besoin urgent et imminent d’échanger des informations en matière de cybersécurité dans l’intérêt d’ entités_de_l’union ou d’une autre partie, le CERT-UE peut y procéder avec une entité dont la compétence, la capacité et l’expertise spécifiques sont indispensables à juste titre pour aider à répondre à ce besoin urgent et imminent, même si le CERT-UE ne dispose pas de modalités de confidentialité avec cette entité. Dans ce cas, le CERT-UE en informe immédiatement le président de l’IICB et fait rapport à l’IICB par l’intermédiaire de rapports réguliers ou de réunions.

2.   Le CERT-UE peut coopérer avec d’autres partenaires, tels que des entités commerciales, y compris des entités de secteurs spécifiques de l’industrie, des organisations internationales, des entités nationales ou des experts individuels de pays tiers, afin de recueillir des informations sur des cybermenaces générales et spécifiques, des incidents évités, des vulnérabilités et d’éventuelles contre-mesures. Pour pouvoir élargir la coopération avec ces partenaires, le CERT-UE sollicite au préalable l’approbation de l’IICB au cas par cas.

3.   Le CERT-UE peut, avec le consentement de l’entité de l’union touchée par un incident et à condition que des modalités ou un contrat de non-divulgation aient été conclus avec l’homologue ou le partenaire concerné, fournir des informations relatives à l’ incident spécifique aux homologues ou partenaires visés aux paragraphes 1 et 2 à la seule fin de contribuer à son analyse.

1.   Les entités_de_l’union et le CERT-UE respectent l’obligation de secret professionnel conformément à l’article 339 du traité sur le fonctionnement de l’union européenne ou à des cadres applicables équivalents.

2.   Le règlement (CE) no 1049/2001 du Parlement européen et du Conseil (10) s’applique aux demandes d’accès du public aux documents détenus par le CERT-UE, y compris l’obligation, prévue par ledit règlement, de consulter les autres entités_de_l’union ou, le cas échéant, les États membres, dès lors qu’une demande concerne leurs documents.

3.   Le traitement des informations par les entités_de_l’union et le CERT-UE est conforme aux règles applicables en matière de sécurité de l’information.

1.   Les entités_de_l’union peuvent volontairement faire part au CERT-UE des incidents, cybermenaces, incidents évités et vulnérabilités qui les touchent et lui transmettre des informations à leur propos. Le CERT-UE veille à ce que des moyens de communication efficaces, avec un niveau de traçabilité, de confidentialité et de fiabilité élevé, soient disponibles pour faciliter le partage d’informations avec les entités_de_l’union. Lors du traitement des notifications, le CERT-UE peut traiter les notifications obligatoires en leur donnant la priorité par rapport aux notifications volontaires. Sans préjudice de l’article 12, une notification volontaire n’a pas pour effet d’imposer à l’entité de l’union qui en est à l’origine des obligations supplémentaires auxquelles elle n’aurait pas été soumise si elle n’avait pas transmis ladite notification.

2.   Afin d’accomplir sa mission et les tâches qui lui sont confiées en vertu de l’article 13, le CERT-UE peut demander aux entités_de_l’union de lui fournir des informations à partir de leurs inventaires respectifs des systèmes TIC, notamment des informations relatives aux cybermenaces, aux incidents évités, aux vulnérabilités, aux indicateurs de compromission et aux alertes de cybersécurité et des recommandations concernant la configuration des outils de cybersécurité pour détecter les incidents. L’entité de l’union requise transmet les informations demandées, ainsi que toute mise à jour ultérieure de celles-ci, dans les meilleurs délais.

3.   Le CERT-UE peut échanger avec les entités_de_l’union des informations propres à un incident qui révèlent l’identité de l’entité de l’union touchée par cet incident sous réserve du consentement de l’entité de l’union touchée. Lorsqu’une entité de l’union n’accorde pas son consentement, elle fournit au CERT-UE les motifs de cette décision.

4.   Les entités_de_l’union partagent avec le Parlement européen et le Conseil, à leur demande, des informations sur l’achèvement des plans de cybersécurité.

5.   L’IICB ou le CERT-UE, selon le cas, partage les orientations, les recommandations et les injonctions avec le Parlement européen et le Conseil, à leur demande.

6.   Les obligations en matière de partage énoncées au présent article ne s’étendent pas:

a)

aux ICUE;

b)	aux informations dont la distribution ultérieure a été exclue au moyen d’un marquage visible, à moins que le partage de celles-ci avec le CERT-UE ait été explicitement autorisé.

1.   Un incident est considéré comme important si:

a)	il a causé ou est susceptible de causer une perturbation opérationnelle grave au fonctionnement de l’entité de l’union concernée ou des pertes financières pour celle-ci;

b)	il a affecté ou est susceptible d’affecter d’autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables.

2.   Les entités_de_l’union transmettent au CERT-UE:

a)

sans retard injustifié et en tout état de cause dans les 24 heures après avoir eu connaissance de l’ incident important, une alerte précoce qui, le cas échéant, indique que l’on suspecte l’ incident important d’avoir été causé par des actes illicites ou malveillants ou qu’il pourrait avoir un impact inter-entités ou transfrontière;

b)

sans retard injustifié et en tout état de cause dans les 72 heures après avoir eu connaissance de l’ incident important, une notification d’ incident qui, le cas échéant, met à jour les informations visées au point a) et fournit une évaluation initiale de l’ incident important, y compris de sa gravité et de son impact, ainsi que des indicateurs de compromission, lorsqu’ils sont disponibles;

c)	à la demande du CERT-UE, un rapport intermédiaire sur les mises à jour pertinentes de la situation;

d)

un rapport final au plus tard un mois après la présentation de la notification d’ incident visée au point b), comprenant les éléments suivants: i) une description détaillée de l’ incident, y compris de sa gravité et de son impact; ii) le type de menace ou la cause profonde qui a probablement déclenché l’ incident; iii) les mesures d’atténuation appliquées et en cours; iv) le cas échéant, l’impact transfrontière ou inter-entités de l’ incident;

e)	en cas d’ incident en cours au moment de la présentation du rapport final visé au point d), un rapport d’avancement à ce moment-là puis un rapport final dans un délai d’un mois à compter du traitement de l’ incident.

3.   Une entité de l’union informe, sans retard injustifié et en tout état de cause dans les 24 heures après avoir eu connaissance d’un incident important, tous les homologues des États membres concernés visés à l’article 17, paragraphe 1, dans l’État membre dans lequel il est situé qu’un incident important est survenu.

4.   Les entités_de_l’union notifient, entre autres, toute information qui permet au CERT-UE de déterminer tout impact inter-entités, tout impact pour l’État membre hôte ou tout impact transfrontière de l’ incident important. Sans préjudice de l’article 12, le simple fait de notifier un incident n’accroît pas la responsabilité de l’entité de l’union.

5.   Le cas échéant, les entités_de_l’union communiquent sans retard injustifié aux utilisateurs des réseaux et des systèmes d’information touchés, ou d’autres composants de l’environnement TIC, qui sont potentiellement touchés par un incident important ou une cybermenace importante et qui, le cas échéant, doivent prendre des mesures d’atténuation, toutes les mesures ou corrections qu’ils peuvent appliquer en réponse à cet incident ou à cette menace. Le cas échéant, les entités_de_l’union informent ces utilisateurs de la cybermenace importante elle-même.

6.   Lorsqu’un incident important ou une cybermenace importante touche un réseau et un système d’information, ou un composant de l’environnement TIC d’une entité de l’union qui est réputé être connecté à l’environnement TIC d’une autre entité de l’union, le CERT-UE émet une alerte de cybersécurité.

7.   Les entités_de_l’union fournissent au CERT-UE, à sa demande et dans les meilleurs délais, les informations numériques générées par l’utilisation de dispositifs électroniques impliqués dans les incidents qui les ont respectivement touchés. Le CERT-UE peut fournir davantage de détails sur les types d’informations dont il a besoin pour la conscience situationnelle et la réaction aux incidents.

8.   Le CERT-UE soumet tous les trois mois à l’IICB, à l’ENISA, à l’INTCEN et au réseau des CSIRT un rapport de synthèse contenant des données anonymisées et agrégées sur les incidents importants, les incidents, les cybermenaces, les incidents évités et les vulnérabilités conformément à l’article 20 et sur les incidents importants qui ont été notifiés conformément au paragraphe 2 du présent article. Le rapport de synthèse constitue une contribution au rapport bisannuel sur l’état de la cybersécurité dans l’union adopté en vertu de l’article 18 de la directive (UE) 2022/2555.

9.   Au plus tard le 8 juillet 2024, l’IICB élabore des orientations ou des recommandations précisant davantage les modalités, le format et le contenu du rapport conformément au présent article. Lors de la préparation de ces orientations ou de ces recommandations, l’IICB tient compte de tout acte d’exécution adopté en vertu de l’article 23, paragraphe 11, de la directive (UE) 2022/2555 en vue de préciser le type d’informations, le format et la procédure des notifications. Le CERT-UE diffuse les renseignements techniques appropriés pour permettre aux entités_de_l’union de prendre des mesures proactives de détection, de réaction aux incidents ou d’atténuation de ceux-ci.

10.   Les obligations d’information énoncées au présent article ne s’étendent pas:

a)

aux ICUE;

b)	aux informations dont la distribution ultérieure a été exclue au moyen d’un marquage visible, à moins que le partage de celles-ci avec le CERT-UE ait été explicitement autorisé.

1.   En faisant office de pôle d’échange d’informations sur la cybersécurité et de coordination des réponses aux incidents, le CERT-UE facilite l’échange d’informations en ce qui concerne les cybermenaces, les vulnérabilités et les incidents évités entre:

a)	les entités_de_l’union;

b)	les homologues visés aux articles 17 et 18.

2.   Le CERT-UE, le cas échéant en étroite coopération avec l’ENISA, facilite la coordination entre les entités_de_l’union en matière de réaction aux incidents, notamment par les moyens suivants:

a)	contribution à une communication externe cohérente;

b)	soutien mutuel, comme le partage d’informations pertinentes avec les entités_de_l’union, ou fourniture d’une assistance, le cas échéant directement sur site;

c)	utilisation optimale des ressources opérationnelles;

d)	coordination avec d’autres mécanismes de réaction aux crises au niveau de l’union.

3.   Le CERT-UE, en étroite coopération avec l’ENISA, soutient les entités_de_l’union en ce qui concerne la conscience situationnelle des incidents, des cybermenaces, des vulnérabilités et des incidents évités ainsi qu’en ce qui concerne le partage des évolutions pertinentes dans le domaine de la cybersécurité.

4.   Au plus tard le 8 janvier 2025, sur la base d’une proposition du CERT-UE, l’IICB adopte des orientations ou des recommandations sur la coordination de la réaction aux incidents et la coopération en cas d’ incident important. Lorsqu’il est suspecté qu’un incident est de nature criminelle, le CERT-UE conseille sur la manière de signaler l’ incident aux autorités répressives sans retard injustifié.

5.   À la demande spécifique d’un État membre et moyennant l’approbation des entités_de_l’union concernées, le CERT-UE peut inviter des experts figurant sur la liste visée à l’article 23, paragraphe 4, à contribuer à la réaction à un incident majeur qui a un impact dans cet État membre ou à un incident de cybersécurité majeur conformément à l’article 15, paragraphe 3, point g), de la directive (UE) 2022/2555. Des règles spécifiques relatives à l’accès et au recours à des experts techniques issus des entités_de_l’union sont approuvées par l’IICB sur la base d’une proposition du CERT-UE.

1.   Afin de soutenir au niveau opérationnel la gestion coordonnée des incidents majeurs affectant des entités_de_l’union et de contribuer à l’échange régulier d’informations pertinentes entre les entités_de_l’union et avec les États membres, l’IICB définit, conformément à l’article 11, point q), un plan de gestion des crises de cybersécurité sur la base des activités visées à l’article 22, paragraphe 2, en étroite coopération avec le CERT-UE et l’ENISA. Le plan de gestion des crises de cybersécurité comprend au moins les éléments suivants:

a)	les modalités de coordination et de flux d’informations entre les entités_de_l’union pour la gestion des incidents majeurs au niveau opérationnel;

b)	les instructions permanentes communes;

c)	une taxinomie commune de la gravité des incidents majeurs et des points déclencheurs de crise;

d)	des exercices réguliers;

e)	les canaux de communication sécurisés à utiliser.

2.   Sous réserve du plan de gestion des crises de cybersécurité défini en vertu du paragraphe 1 du présent article et sans préjudice de l’article 16, paragraphe 2, premier alinéa, de la directive (UE) 2022/2555, le représentant de la Commission à l’IICB fait office de point de contact pour le partage des informations pertinentes relatives aux incidents majeurs avec EU-CyCLONe.

3.   Le CERT-UE coordonne la gestion des incidents majeurs entre les entités_de_l’union. Il tient à jour un inventaire de l’expertise technique disponible qui serait nécessaire pour réagir aux incidents en cas d’ incidents majeurs et assiste l’IICB dans la coordination des plans de gestion des crises de cybersécurité des entités_de_l’union en cas d’ incidents majeurs visés à l’article 9, paragraphe 2.

4.   Les entités_de_l’union contribuent à l’inventaire de l’expertise technique en fournissant une liste des experts disponibles au sein de leurs entités respectives, qui est mise à jour chaque année et détaille les compétences techniques spécifiques de ces experts.

1.   Au plus tard le 8 janvier 2025, puis sur une base annuelle, l’IICB, avec l’aide du CERT-UE, fait rapport à la Commission sur la mise en œuvre du présent règlement. L’IICB peut adresser des recommandations à la Commission en vue de réexaminer le présent règlement.

2.   Au plus tard le 8 janvier 2027, puis tous les deux ans, la Commission évalue et fait rapport au Parlement européen et au Conseil sur la mise en œuvre du présent règlement et sur l’expérience acquise au niveau stratégique et opérationnel.

Le rapport visé au premier alinéa du présent paragraphe comprend le réexamen visé à l’article 16, paragraphe 1, relatif à la possibilité de faire du CERT-UE un organisme de l’union.

3.   Au plus tard le 8 janvier 2029, la Commission évalue le fonctionnement du présent règlement et fait rapport au Parlement européen, au Conseil, au Comité économique et social européen et au Comité des régions. La Commission évalue également l’opportunité d’inclure les réseaux et systèmes d’information traitant des ICUE dans le champ d’application du présent règlement, en tenant compte des autres actes législatifs de l’union applicables à ces systèmes. Le rapport est accompagné au besoin d’une proposition législative.