| CELEX | 52014IE1488 |
| Type | Initiative législative |
| Date | jeudi 10 juillet 2014 |
| 16.12.2014 | FR | Journal officiel de l'Union européenne | C 451/31 |
Avis du Comité économique et social européen sur les cyberattaques dans l'UE
(avis d'initiative)
(2014/C 451/05)
| Rapporteur: | M. McDONOGH |
Le 27 février 2014, le Comité économique et social européen a décidé, conformément à l'article 29, paragraphe 2, de son règlement intérieur, d'élaborer un avis d'initiative sur les:
«Cyberattaques dans l'UE».
La section spécialisée «Transports, énergie, infrastructures, société de l'information», chargée de préparer les travaux du Comité en la matière, a adopté son avis le 18 juin 2014.
Lors de sa 500e session plénière des 9 et 10 juillet 2014 (séance du 10 juillet 2014), le Comité économique et social européen a adopté le présent avis par 135 voix pour et une voix contre.
1. Conclusions et recommandations
| 1.1 | Le Comité souhaiterait que soit créée une autorité européenne de la cybersécurité, analogue à l'Agence européenne de la sécurité aérienne (EASA), afin de garantir la force de leadership nécessaire au niveau de l'UE pour gérer la mise en œuvre complexe d'une politique paneuropéenne efficace en matière de cybersécurité. |
| 1.2 | Des citoyens informés et autonomes sont indispensables à une cybersécurité forte en Europe. L'éducation des citoyens à la cybersécurité personnelle et à la protection des données devrait être une composante essentielle des programmes scolaires et des programmes de formation en entreprise. En outre, sur l'ensemble de son territoire, l'UE devrait mener des campagnes et des initiatives d'information publique consacrées à ces questions. |
| 1.3 | Les entreprises devraient avoir l'obligation légale d'adopter une approche préventive afin de se protéger des cyberattaques, ce qui implique notamment le recours à des technologies de l'information et de la communication (TIC) sûres et résilientes et la formation de leur personnel aux politiques de sécurité, comme elles le font pour les questions de santé et de sécurité au travail. |
| 1.4 | Chaque État membre devrait disposer d'un organisme chargé d'informer, de former et de soutenir le secteur des PME pour les questions liées aux bonnes pratiques en matière de cybersécurité. Les grandes entreprises peuvent facilement obtenir l'expertise dont elles ont besoin, alors que les PME ont besoin d'être aidées. |
| 1.5 | Il convient d'étendre le mandat de l'Agence européenne chargée de la sécurité des réseaux et de l'information (ENISA) et de lui fournir les financements nécessaires pour qu'elle assume une responsabilité plus directe des programmes d'éducation et de sensibilisation à la cybersécurité spécifiquement destinés aux citoyens et aux petites et moyennes entreprises (PME). |
| 1.6 | Les organes de direction des entreprises et organisations doivent être davantage sensibilisés à la responsabilité en matière de cybersécurité. Il convient d'informer explicitement les directeurs de toute organisation de la responsabilité potentielle que devra assumer chaque personne morale ayant mené une politique et des actions de cybersécurité inadéquates. |
| 1.7 | En raison du rôle critique qu'ils jouent dans la fourniture de services en ligne, tous les fournisseurs d'accès à Internet de l'UE devraient avoir une responsabilité spécifique, celle de protéger leurs clients des cyberattaques. Il convient de définir cette responsabilité et de l'inscrire dans la législation européenne. |
| 1.8 | Afin de garantir la concrétisation rapide de l'important potentiel de croissance économique lié à l'expansion dynamique de l'informatique en nuage (1), il convient également d'imposer au niveau de l'UE des exigences et obligations spécifiques en matière de sécurité aux fournisseurs de services en nuage. |
| 1.9 | Le Comité considère que les mesures volontaires sont insuffisantes et qu'il est nécessaire d'imposer des obligations réglementaires rigoureuses aux États membres pour garantir l'harmonisation, la gouvernance et l'application d'une cybersécurité européenne. Il y a également lieu de légiférer afin de rendre obligatoire la signalisation des incidents majeurs touchant la cybersécurité pour toutes les entreprises et organisations, et pas uniquement les fournisseurs d'infrastructures critiques. Cela permettrait de renforcer la réponse qu'apporte l'Europe aux menaces, tout en améliorant les connaissances sur les cyberattaques et leur compréhension, grâce auxquelles de meilleures défenses pourraient être mises en place. |
| 1.10 | Le Comité recommande fermement que l'UE opte pour une approche axée sur la conception pour lutter contre la menace que représentent les cyberattaques, en s'assurant que l'ensemble des technologies et des services utilisés en Europe pour fournir l'accès à Internet et les services en ligne sont conçus d'une manière qui garantit les meilleurs niveaux de protection contre ces cyberattaques. Les critères de conception devraient mettre tout particulièrement l'accent sur l'interface homme-machine. |
| 1.11 | Le CESE souhaite que des normes solides de cybersécurité soient définies et mises en œuvre par les organismes européens de normalisation afin de régir l'ensemble des technologies et des services de TIC en réseau. Parmi ces normes devrait figurer un code de bonnes pratiques juridiquement contraignant grâce auquel l'ensemble des équipements de TIC et des services internet vendus aux citoyens européens seraient conformes aux normes les plus exigeantes. |
| 1.12 | L'UE doit immédiatement s'assurer que chaque État membre possède une équipe d'intervention en cas d'urgence informatique (CERT) pleinement opérationnelle afin de se protéger et de protéger l'Europe des cyberattaques. |
| 1.13 | Le Comité demande que le Centre européen de lutte contre la cybercriminalité (EC3) au sein d'Europol reçoive les fonds supplémentaires dont il a besoin pour lutter contre la cybercriminalité et pour renforcer la coopération entre les forces de police au sein de l'UE et avec celles des pays tiers, afin de renforcer la capacité de l'Europe à appréhender et à poursuivre les cybercriminels. |
| 1.14 | En résumé, le CESE considère que la politique de l'UE en matière de cybersécurité doit en particulier réaliser les objectifs suivants: un rôle moteur pour l'UE; des stratégies de cybersécurité améliorant la sécurité tout en préservant la vie privée et d'autres droits fondamentaux; une sensibilisation des citoyens et l'encouragement des approches de protection préventives; une gouvernance globale des États membres; une action bien informée et responsable des entreprises; un partenariat approfondi entre les gouvernements, le secteur privé et les citoyens; des niveaux d'investissement appropriés; de bonnes normes techniques et des investissements suffisants dans la recherche, le développement et l'innovation; un engagement international. À cet effet, le Comité renouvelle ses recommandations relatives à la politique en matière de cybersécurité qu'il a exprimées dans nombre d'avis antérieurs (2) et invite la Commission à donner suite aux actions qu'il préconise. |
2. Champ d'application de l'avis
| 2.1 | L'économie de l'internet génère plus d'un cinquième de la croissance du PIB dans l'UE et 200 millions d'Européens font des achats en ligne chaque année. Nous dépendons de l'internet et de la technologie numérique connectée pour soutenir nos services en ligne vitaux dans les domaines de l'énergie, de la santé, de l'administration et des finances. Toutefois, cette infrastructure et ces services numériques cruciaux, qui jouent un rôle d'une telle importance dans notre vie économique et sociale, sont exposés à un risque croissant de cyberattaques menaçant notre prospérité et notre qualité de vie. |
| 2.2 | Le Comité estime que compte tenu de la dépendance croissante de l'Union à l'égard de l'internet et de la technologie numérique, les pratiques et politiques actuelles ne sont pas suffisantes pour fournir, aujourd'hui comme demain, un niveau approprié de cybersécurité dans toute l'Europe. Le présent avis vise à souligner les lacunes que le Comité constate dans la politique européenne en matière de cybersécurité et à recommander des améliorations qui permettraient de mieux atténuer les risques de cyberattaques. |
| 2.3 | Les motifs des cyberattaques sont très variés; il peut s'agir de raisons très personnelles (se venger d'un individu, d'une entreprise) mais aussi de cyber-espionnage au niveau étatique, ou encore de cyberguerre entre pays. Lors de l'élaboration du présent avis, il a été décidé d'en limiter la portée aux cyberattaques dont le motif est purement criminel, afin que les recommandations portent uniquement sur des problèmes qui correspondent aux principales préoccupations de la majorité des membres du Comité. Le débat politique, fort complexe, que suscitent les cyberattaques menées par les États membres contre les citoyens et contre d'autres États pourrait faire l'objet d'un prochain avis. |
| 2.4 | L'avis ne porte que sur les cyberattaques perpétrées par des cybercriminels animés par des motifs pécuniaires, c'est-à-dire la grande majorité des attaques. La mise en place de politiques et pratiques de cybersécurité visant à lutter efficacement contre la cybercriminalité permet de réduire également les risques de cyberattaques motivées par des considérations politiques ou plus personnelles. |
| 2.5 | Même si l'UE a bien progressé dans la mise en œuvre des actions relevant du pilier «Confiance et sécurité» de la stratégie numérique et a élaboré une vaste stratégie de cybersécurité reprenant la plupart des objectifs évoqués ci-dessus, il reste du pain sur la planche. |
3. Cyberattaques et cybersécurité
| 3.1 | Par cyberattaque, on entend tout type d'action offensive visant des systèmes informatiques, des infrastructures, des réseaux informatiques et/ou des appareils numériques personnels par divers moyens malveillants dans le but de voler, modifier ou détruire une cible spécifique. Cette cible peut être de l'argent, des données ou une technologie informatique. |
| 3.2 | Les cybercriminels lancent des cyberattaques pour voler de l'argent ou des données, pour commettre des actes frauduleux, d'espionnage criminel ou d'extorsion. La cybercriminalité peut endommager des réseaux et services essentiels dont nous dépendons pour notre santé, notre sécurité et notre prospérité économique, notamment au niveau des administrations, des transports et des réseaux énergétiques. |
| 3.3 | La menace de cyberattaques croît à mesure que notre dépendance de l'Internent et des technologies numériques augmente. Selon un rapport récent de Symantec, le nombre total de violations de données dans le monde a augmenté de 62 % en 2013, ce qui représente plus de 552 millions d'identités exposées, c'est-à-dire des noms, dates de naissances, numéros d'identification nationaux, des dossiers médicaux ou des informations financières. En outre, 38 % des utilisateurs de téléphones portables ont fait l'objet d'actes de cybercriminalité au cours des douze derniers mois. |
| 3.4 | Les cyberattaques peuvent avoir de graves incidences sur les entreprises prises isolément et sur l'économie européenne dans son ensemble:
|
| 3.5 | Les techniques de cyberattaques ne cessent d'évoluer:
|
| 3.6 | Les organisations de cybersécurité s'accordent sur les mesures prioritaires à prendre par les citoyens et les entreprises pour se protéger contre les cyberattaques. Tout programme de sensibilisation et d'éducation à la cybersécurité devrait recommander les pratiques suivantes:
|
| 3.7 | Les petites sociétés ne disposent souvent pas d'un soutien informatique suffisant pour se tenir au courant des cyberattaques potentielles, et ont donc besoin d'une aide spécifique pour pouvoir se protéger contre les cyberattaques. |
| 3.8 | La communication d'informations sur les cyberattaques et les vulnérabilités de systèmes est essentielle pour lutter contre les cyberattaques, en particulier lorsqu'il s'agit d'une attaque dite «du jour zéro», c'est-à-dire un nouveau type d'attaque jusque-là inconnue du monde de la cybersécurité. Toutefois, il n'est pas rare que les entreprises passent sous silence des cyberattaques en raison de craintes liées à leur bonne réputation et à une prise de responsabilités. Cette absence d'information nuit à la capacité de l'Europe à réagir rapidement et efficacement aux menaces informatiques, et à améliorer la cybersécurité générale par un apprentissage partagé. |
| 3.9 | Les citoyens et les entreprises achètent l'accès à l'internet et les services par l'intermédiaire des fournisseurs d'accès à internet. Compte tenu du rôle crucial qu'ils jouent en fournissant des services en ligne, ces prestataires doivent impérativement garantir à leurs clients un niveau de protection maximum contre les cyberattaques. De plus, en s'assurant que leurs propres services et infrastructures sont conçus et mis à jour pour garantir les meilleurs niveaux de cybersécurité, les fournisseurs d'accès à internet doivent apporter à leurs clients d'excellents conseils en matière de cybersécurité et mettre en place des protocoles spécifiques afin d'aide à identifier et à combattre les cyberattaques dont sont victimes ces mêmes clients. Il convient de définir cette responsabilité et de l'inscrire dans la législation européenne. |
| 3.10 | Pour l'économie de l'UE, il est primordial d'accélérer l'adoption de l'informatique en nuage par les citoyens et les entreprises d'Europe (3). Avec le renforcement de la dépendance vis-à-vis des services informatiques en nuage destinés à des applications à usage personnel ou professionnel, il devient important pour l'Europe de garantir notamment la cybersécurité des fournisseurs de services en nuage. L'incertitude liée à la sécurité des services en nuage a un impact très négatif sur le taux d'adoption de cette technologie dynamique. Le Comité souhaiterait que l'UE prévoie des exigences et obligations de sécurité spécifiques pour les fournisseurs de services en nuage afin d'encourager l'essor de l'informatique en nuage en Europe. |
| 3.11 | Des efforts particuliers doivent être fournis pour recruter du personnel dans le secteur européen de la cybersécurité. Selon les prévisions, la hausse de la demande en spécialistes de la sécurité de l'information de niveau universitaire devrait être plus de deux fois supérieure à celle de la main-d'œuvre de l'ensemble du secteur informatique. Dans ce contexte, le Comité attire également l'attention de la Commission sur l'importance des concours aux États-Unis et dans certains États membres pour la sensibilisation à la cybersécurité et la constitution d'une pépinière de futurs professionnels de ce secteur. |
| 3.12 | Une des meilleures stratégies de protection contre les cyberattaques consiste à opter pour une approche fondée sur la conception, en s'assurant que l'ensemble des technologies et des services utilisés en Europe pour fournir l'accès à internet et aux services en ligne sont conçus d'une manière qui garantit les meilleurs niveaux de protection contre ces cyberattaques. Les critères de conception devraient mettre tout particulièrement l'accent sur l'interface homme-machine. Cela nécessiterait une collaboration entre les fabricants d'équipements technologiques, les fournisseurs d'accès à internet, l'industrie de la cybersécurité, le Centre européen de lutte contre la cybercriminalité (EC3), l'ENISA, les agences nationales de défense et de sécurité des États membres et les citoyens. Une telle approche fondée sur la conception en matière de cybersécurité pourrait être orchestrée au niveau de l'UE par la Commission, et éventuellement coordonnée par l'ENISA. |
4. Politique de l'UE en matière de cybersécurité
| 4.1 | L'UE met actuellement au point une stratégie globale (4) visant à accroître la cybersécurité des citoyens européens:
|
| 4.2 | Le CESE a réagi avec force à la proposition de la Commission relative à la sécurité des réseaux et de l'information (SRI) (6) car il considérait que les mesures proposées n'étaient pas assez fermes et n'inciteraient pas suffisamment les États membres à protéger leurs citoyens et entreprises contre les cyberattaques. Toutefois, au moment de l'adoption de la directive proposée, le Parlement a encore réduit son utilité en limitant son champ d'application aux fournisseurs «d'infrastructures critiques», et en excluant dès lors les moteurs de recherche, les médias sociaux, les passerelles de paiement par internet et les fournisseurs de services en nuage. |
| 4.3 | Maintenant, la directive SRI proposée ne suffira pas à garantir la mise en place de la législation nécessaire pour améliorer la sensibilisation à la menace et la capacité de réaction aux cyberattaques dans l'Union. Le Comité souhaiterait voir adopter une nouvelle législation qui rendrait obligatoire la signalisation de tous les incidents majeurs touchant la cybersécurité, et pas uniquement pour les fournisseurs d'infrastructures critiques. L'absence d'une telle obligation de signalisation contribue à la prospérité des cybercriminels qui profitent de l'ignorance des cibles vulnérables. |
| 4.4 | L'UE devrait envisager d'étendre le mandat de l'ENISA afin d'accroître la sensibilisation à la menace de cyberattaques et d'améliorer la capacité de réaction dans toute l'Union. Peut-être pourrait-on étendre le rôle de l'ENISA afin de lui confier la responsabilité directe des programmes d'éducation et de sensibilisation à la cybersécurité spécifiquement destinés aux citoyens et aux PME? |
| 4.5 | Le Centre européen de lutte contre la cybercriminalité (EC3) a été créé au sein d'Europol en 2013 pour accroître la capacité de l'Europe à lutter contre la cybercriminalité. EC3 fait office de plaque tournante des renseignements sur la criminalité en Europe et soutient les opérations et les enquêtes des États membres concernant des cyberattaques. Toutefois, dans son premier rapport annuel, EC3 prévient que ses ressources actuelles limitent d'ores et déjà la progression des enquêtes et qu'il ne sera pas en mesure de faire face aux enquêtes de grande envergure qui lui seront confiées. |
| 4.6 | L'UE devrait demander aux organisations européennes de normalisation — CEN, CENELEC et ETSI — de mettre au point des normes en matière de cybersécurité, applicables à tout logiciel, matériel informatique ou services basés sur internet en vente dans l'Union. Ces normes devraient être actualisées en permanence afin de tenir compte des nouvelles menaces. |
| 4.7 | Il y a lieu de légiférer afin de rendre obligatoire la signalisation des incidents majeurs touchant la cybersécurité pour toutes les entreprises et organisations, et pas uniquement les fournisseurs d'infrastructures critiques. Cela permettrait d'améliorer les stratégies d'atténuation des menaces «en direct» ainsi que les connaissances sur les cyberattaques commises et leur compréhension, afin d'aider les autorités, le secteur de la cybersécurité, les entreprises et les citoyens à améliorer la cybersécurité et à lutter contre les menaces. Pour encourager le partage des informations sur les cyberattaques, toute législation devrait prévoir un anonymat approprié pour les entreprises et les organisations signalant une attaque. Il conviendrait également d'envisager, le cas échéant, une protection de responsabilité. |
| 4.8 | En dépit des initiatives de l'UE, le niveau de capacités et de préparation diffère fortement d'un État membre à l'autre, ce qui entraîne des réactions en ordre dispersé aux cyberattaques dans l'UE. Étant donné l'interconnexion des réseaux et des systèmes, les États membres qui ont une approche très lâche de la cybersécurité affaiblissent la capacité d'ensemble de l'UE à affronter les cyberattaques. Des mesures doivent être prises pour amener tous les États membres à un niveau acceptable en matière de cybersécurité. Il convient d'accorder une attention particulière au fait que chaque État membre possède une équipe d'intervention en cas d'urgence informatique (CERT) pleinement opérationnelle. |
| 4.9 | Comme il l'avait déjà indiqué dans de précédents avis (7), le CESE estime que les mesures volontaires ne fonctionnent pas, et que des obligations réglementaires rigoureuses doivent être imposées aux États membres pour garantir l'harmonisation, la gouvernance et l'application d'une cybersécurité européenne. |
| 4.10 | En somme, afin d'être en mesure d'apporter aux citoyens et aux entreprises une protection réelle et actualisée contre les cyberattaques, la politique de l'UE en matière de cybersécurité doit se concentrer sur les mesures suivantes:
|
Bruxelles, le 10 juillet 2014.
Le Président du Comité économique et social européen
Henri MALOSSE
(1) JO C 24 du 28.1.2012, p. 40; JO C 76 du 14.3.2013, p. 59.
(2) JO C 97 du 28.4.2007, p. 21;
JO C 218 du 23.7.2011, p. 130;
JO C 351 du 15.11.2012, p. 73;
JO C 271 du 19.9.2013, p. 127;
JO C 271 du 19.9.2013, p. 133.
(3) JO C 24 du 28.1.2012, p. 40; JO C 76 du 14.3.2013, p. 59.
(4) JOIN/2013/01 final.
(5) JO L 218 du 14.8.2013, pp. 8-14.
(6) JO C 271 du 19.9.2013, p. 133.
(7) JO C 255 du 22.9.2010, p. 98; JO C 218 du 23.7.2011, p. 130; JO C 271 du 19.9.2013, p. 133.
Résolution du Parlement européen du 18 décembre 2014 sur la Mauritanie, et en particulier le cas de Biram Dah Abeid (2014/2999(RSP))
18/12/2014
Résolution non législative du Parlement européen du 18 décembre 2014 sur le projet de décision du Conseil relative à la conclusion, au nom de l'Union européenne, de l'accord d'association entre l'Union européenne et la Communauté européenne de l'énergie atomique et leurs États membres, d'une part, et la Géorgie, d'autre part (09827/2014 — C8-0129/2014 — 2014/0086(NLE) — 2014/2816(INI))
18/12/2014
Résolution du Parlement européen du 18 décembre 2014 sur le Soudan: la situation d'Amin Mekki Medani (2014/3000(RSP))
18/12/2014
Résolution du Parlement européen du 18 décembre 2014 sur la persécution de l'opposition démocratique au Venezuela (2014/2998(RSP))
18/12/2014