Cyber Resilience Act 2023/2841 FR

1. L’IICB suit efficacement, conformément à l’article 10, paragraphe 2, et à l’article 11, la mise en œuvre du présent règlement et des orientations, recommandations et injonctions adoptées par les entités_de_l’Union. L’IICB peut demander aux entités_de_l’Union les informations ou les documents nécessaires à cette fin. Aux fins de l’adoption de mesures de conformité au titre du présent article, lorsque l’entité de l’Union concernée est directement représentée au sein de l’IICB, cette entité de l’Union ne dispose pas du droit de vote.

2. Lorsque l’IICB constate qu’une entité de l’Union n’a pas effectivement mis en œuvre le présent règlement ou les orientations, recommandations ou injonctions élaborées au titre du présent règlement, il peut, sans préjudice des procédures internes de l’entité de l’Union concernée, et après avoir donné à l’entité concernée la possibilité de présenter ses observations:

a)	faire part à l’entité de l’Union concernée de son avis motivé relatif aux lacunes observées dans la mise en œuvre du présent règlement;

b)	après consultation du CERT-UE, fournir des orientations à l’entité de l’Union concernée afin que son cadre, ses mesures de gestion des risques de cybersécurité, son plan de cybersécurité et ses rapports soient conformes au présent règlement, dans un délai déterminé;

c)	émettre un avertissement pour remédier aux lacunes constatées dans un délai déterminé, y compris des recommandations visant à modifier les mesures adoptées par l’entité de l’Union concernée au titre du présent règlement;

d)	transmettre une notification motivée à l’entité de l’Union concernée, dans le cas où il n’a pas été suffisamment remédié, dans le délai imparti, aux lacunes constatées dans un avertissement émis conformément au point c);

formuler:

i)	une recommandation de procéder à un audit; ou

ii)	une demande visant à ce qu’un audit soit effectué par un service d’audit tiers;

f)	le cas échéant, informer la Cour des comptes, dans le cadre de son mandat, du non-respect présumé;

g)	émettre une recommandation à l’intention de tous les États membres et toutes les entités_de_l’Union de suspendre temporairement les flux de données vers l’entité de l’Union concernée.

Aux fins du premier alinéa, point c), les destinataires d’un avertissement sont limités de manière appropriée, lorsque cela s’avère nécessaire en raison du risque de cybersécurité.

Les avertissements et recommandations émis au titre du premier alinéa sont adressés au niveau_hiérarchique_le_plus_élevé de l’entité de l’Union concernée.

3. Lorsque l’IICB a adopté des mesures en vertu du paragraphe 2, premier alinéa, points a) à g), l’entité de l’Union concernée fournit des informations détaillées sur les mesures prises et les actions menées pour remédier aux lacunes alléguées constatées par l’IICB. L’entité de l’Union communique ces informations détaillées dans un délai raisonnable à convenir avec l’IICB.

4. Lorsque l’IICB estime qu’il y a une violation persistante du présent règlement par une entité de l’Union directement imputable aux actions ou omissions d’un fonctionnaire ou d’un autre agent de l’Union, y compris au niveau_hiérarchique_le_plus_élevé, l’IICB demande à l’entité de l’Union concernée de prendre les mesures appropriées, y compris en lui demandant d’envisager des mesures de nature disciplinaire, conformément aux règles et procédures énoncées dans le statut des fonctionnaires et à toutes autres règles et procédures applicables. À cette fin, l’IICB transfère les informations nécessaires à l’entité de l’Union concernée.

5. Lorsque des entités_de_l’Union indiquent être incapables de respecter les délais visés à l’article 6, paragraphe 1, et à l’article 8, paragraphe 1, l’IICB peut, dans des cas dûment motivés, compte tenu de la taille de l’entité de l’Union, autoriser la prolongation de ces délais.

CHAPITRE IV

CERT-UE

Article 14

Orientations, recommandations et injonctions

1. Le CERT-UE soutient la mise en œuvre du présent règlement en élaborant:

a)	des injonctions décrivant les mesures de sécurité urgentes que les entités_de_l’Union sont instamment invitées à prendre dans un délai déterminé;

b)	des propositions soumises à l’IICB concernant des orientations destinées à l’ensemble ou à une partie des entités_de_l’Union;

c)	des propositions soumises à l’IICB concernant des recommandations destinées à titre individuel aux entités_de_l’Union.

En ce qui concerne le premier alinéa, point a), l’entité de l’Union concernée informe le CERT-UE, dans les meilleurs délais après avoir reçu l’injonction, de la manière dont les mesures de sécurité urgentes ont été appliquées.

2. Les orientations et les recommandations peuvent inclure:

des méthodes communes et un modèle d’évaluation de la maturité des entités_de_l’Union en matière de cybersécurité, y compris les barèmes ou les IPC correspondants, destinés à servir de référence pour soutenir l’amélioration continue de la cybersécurité dans toutes les entités_de_l’Union et à faciliter la hiérarchisation des domaines et des mesures de cybersécurité en tenant compte de la posture de cybersécurité des entités;

b)	les modalités de la gestion des risques de cybersécurité et les mesures de gestion des risques en matière de cybersécurité, ou les améliorations à y apporter;

c)	les modalités des évaluations du niveau de maturité en matière de cybersécurité et des plans de cybersécurité;

le cas échéant, l’utilisation d’une technologie, d’une architecture et de pratiques de sources ouvertes communes, ainsi que des meilleures pratiques qui y sont associées, dans le but de parvenir à l’interopérabilité et à des normes communes, y compris une approche coordonnée de la sécurité de la chaîne d’approvisionnement;

e)	le cas échéant, des informations permettant de faciliter l’utilisation d’instruments d’acquisition conjointe pour l’acquisition de produits et services de cybersécurité pertinents auprès de prestataires tiers;

f)	des modalités de partage d’informations conformément à l’article 20.

Article 17

Coopération du CERT-UE avec les homologues des États membres

1. Le CERT-UE coopère et échange des informations dans les meilleurs délais avec les homologues des États membres, y compris les CSIRT désignés ou établis en vertu de l’article 10 de la directive (UE) 2022/2555 ou, le cas échéant, les autorités compétentes et les points de contact uniques désignés ou établis en vertu de l’article 8 de ladite directive, en ce qui concerne les incidents, les cybermenaces, les vulnérabilités, les incidents évités, les éventuelles contre-mesures et les bonnes pratiques et toutes les questions pertinentes pour améliorer la protection des environnements TIC des entités_de_l’Union, y compris par l’intermédiaire du réseau des CSIRT établi en vertu de l’article 15 de la directive (UE) 2022/2555. Le CERT-UE soutient la Commission au sein du réseau EU-CyCLONe établi en vertu de l’article 16 de la directive (UE) 2022/2555 pour ce qui est de la gestion coordonnée des incidents et crises de cybersécurité majeurs.

2. Lorsque le CERT-UE prend connaissance d’un incident important survenant sur le territoire d’un État membre, il avertit sans tarder tout homologue concerné dans ledit État membre conformément au paragraphe 1.

3. À condition que des données à caractère personnel soient protégées conformément au droit de l’Union applicable en matière de protection des données, le CERT-UE échange, sans retard inutile, des informations pertinentes propres à un incident avec les homologues des États membres afin de faciliter la détection de cybermenaces ou d’ incidents similaires ou de contribuer à l’analyse d’un incident sans l’autorisation de l’entité de l’Union touchée. Le CERT-UE n’échange des informations propres à un incident qui révèlent l’identité de la cible de l’ incident qu’en cas de survenance de l’un des événements suivants:

a)	l’entité de l’Union touchée donne son consentement;

b)	l’entité de l’Union touchée ne donne pas son consentement comme le prévoit le point a), mais la divulgation de l’identité de l’entité de l’Union touchée augmente la probabilité d’éviter ou d’atténuer d’autres incidents survenant par ailleurs;

c)	l’entité de l’Union touchée a déjà fait savoir publiquement qu’elle a été touchée.

Les décisions d’échanger des informations propres à un incident qui révèlent l’identité de la cible de l’ incident en vertu du premier alinéa, point b), sont approuvées par le chef du CERT-UE. Avant de prendre une telle décision, le CERT-UE contacte l’entité de l’Union touchée par écrit en expliquant précisément la façon dont la divulgation de son identité permettra d’éviter ou d’atténue d’autres incidents survenant par ailleurs. Le chef du CERT-UE fournit l’explication en demandant explicitement à l’entité de l’Union d’indiquer dans un délai déterminé si elle donne son consentement. Le chef du CERT-UE fait également savoir à l’entité de l’Union que, compte tenu de l’explication fournie, il se réserve le droit de divulguer l’information même sans son consentement. L’entité de l’Union touchée est informée avant la divulgation de l’information.

Article 21

Obligations d’information

1. Un incident est considéré comme important si:

a)	il a causé ou est susceptible de causer une perturbation opérationnelle grave au fonctionnement de l’entité de l’Union concernée ou des pertes financières pour celle-ci;

b)	il a affecté ou est susceptible d’affecter d’autres personnes physiques ou morales en causant des dommages matériels, corporels ou moraux considérables.

2. Les entités_de_l’Union transmettent au CERT-UE:

sans retard injustifié et en tout état de cause dans les 24 heures après avoir eu connaissance de l’ incident important, une alerte précoce qui, le cas échéant, indique que l’on suspecte l’ incident important d’avoir été causé par des actes illicites ou malveillants ou qu’il pourrait avoir un impact inter-entités ou transfrontière;

sans retard injustifié et en tout état de cause dans les 72 heures après avoir eu connaissance de l’ incident important, une notification d’ incident qui, le cas échéant, met à jour les informations visées au point a) et fournit une évaluation initiale de l’ incident important, y compris de sa gravité et de son impact, ainsi que des indicateurs de compromission, lorsqu’ils sont disponibles;

c)	à la demande du CERT-UE, un rapport intermédiaire sur les mises à jour pertinentes de la situation;

un rapport final au plus tard un mois après la présentation de la notification d’ incident visée au point b), comprenant les éléments suivants:

i)	une description détaillée de l’ incident, y compris de sa gravité et de son impact;

ii)	le type de menace ou la cause profonde qui a probablement déclenché l’ incident;

iii)	les mesures d’atténuation appliquées et en cours;

iv)	le cas échéant, l’impact transfrontière ou inter-entités de l’ incident;

e)	en cas d’ incident en cours au moment de la présentation du rapport final visé au point d), un rapport d’avancement à ce moment-là puis un rapport final dans un délai d’un mois à compter du traitement de l’ incident.

3. Une entité de l’Union informe, sans retard injustifié et en tout état de cause dans les 24 heures après avoir eu connaissance d’un incident important, tous les homologues des États membres concernés visés à l’article 17, paragraphe 1, dans l’État membre dans lequel il est situé qu’un incident important est survenu.

4. Les entités_de_l’Union notifient, entre autres, toute information qui permet au CERT-UE de déterminer tout impact inter-entités, tout impact pour l’État membre hôte ou tout impact transfrontière de l’ incident important. Sans préjudice de l’article 12, le simple fait de notifier un incident n’accroît pas la responsabilité de l’entité de l’Union.

5. Le cas échéant, les entités_de_l’Union communiquent sans retard injustifié aux utilisateurs des réseaux et des systèmes d’information touchés, ou d’autres composants de l’environnement TIC, qui sont potentiellement touchés par un incident important ou une cybermenace importante et qui, le cas échéant, doivent prendre des mesures d’atténuation, toutes les mesures ou corrections qu’ils peuvent appliquer en réponse à cet incident ou à cette menace. Le cas échéant, les entités_de_l’Union informent ces utilisateurs de la cybermenace importante elle-même.

6. Lorsqu’un incident important ou une cybermenace importante touche un réseau et un système d’information, ou un composant de l’environnement TIC d’une entité de l’Union qui est réputé être connecté à l’environnement TIC d’une autre entité de l’Union, le CERT-UE émet une alerte de cybersécurité.

7. Les entités_de_l’Union fournissent au CERT-UE, à sa demande et dans les meilleurs délais, les informations numériques générées par l’utilisation de dispositifs électroniques impliqués dans les incidents qui les ont respectivement touchés. Le CERT-UE peut fournir davantage de détails sur les types d’informations dont il a besoin pour la conscience situationnelle et la réaction aux incidents.

8. Le CERT-UE soumet tous les trois mois à l’IICB, à l’ENISA, à l’INTCEN et au réseau des CSIRT un rapport de synthèse contenant des données anonymisées et agrégées sur les incidents importants, les incidents, les cybermenaces, les incidents évités et les vulnérabilités conformément à l’article 20 et sur les incidents importants qui ont été notifiés conformément au paragraphe 2 du présent article. Le rapport de synthèse constitue une contribution au rapport bisannuel sur l’état de la cybersécurité dans l’Union adopté en vertu de l’article 18 de la directive (UE) 2022/2555.

9. Au plus tard le 8 juillet 2024, l’IICB élabore des orientations ou des recommandations précisant davantage les modalités, le format et le contenu du rapport conformément au présent article. Lors de la préparation de ces orientations ou de ces recommandations, l’IICB tient compte de tout acte d’exécution adopté en vertu de l’article 23, paragraphe 11, de la directive (UE) 2022/2555 en vue de préciser le type d’informations, le format et la procédure des notifications. Le CERT-UE diffuse les renseignements techniques appropriés pour permettre aux entités_de_l’Union de prendre des mesures proactives de détection, de réaction aux incidents ou d’atténuation de ceux-ci.

10. Les obligations d’information énoncées au présent article ne s’étendent pas:

aux ICUE;

b)	aux informations dont la distribution ultérieure a été exclue au moyen d’un marquage visible, à moins que le partage de celles-ci avec le CERT-UE ait été explicitement autorisé.

whereas

keyboard_tab Cyber Resilience Act 2023/2841 FR

Cyber Resilience Act 2023/2841 FR