| CELEX | 52020AE5923 |
| Type | Avis institutionnel |
| Date | mardi 27 avril 2021 |
| 16.7.2021 | FR | Journal officiel de l'Union européenne | C 286/76 |
Avis du Comité économique et social européen sur la communication conjointe au Parlement européen et au Conseil — «La stratégie de cybersécurité de l’UE pour la décennie numérique»
[JOIN(2020) 18 final]
(2021/C 286/14)
| Rapporteur: | Philip VON BROCKDORFF |
| Consultation | Commission européenne, 21.4.2021 |
| Base juridique | Article 304 du traité sur le fonctionnement de l’Union européenne |
| Compétence | Section «Marché unique, production et consommation» |
| Adoption en section | 31.3.2021 |
| Adoption en session plénière | 27.4.2021 |
| Session plénière no | 560 |
| Résultat du vote (pour/contre/abstentions) | 238/0/3 |
1. Conclusions et recommandations
| 1.1. | Le Comité économique et social européen (CESE) est d’avis que la stratégie proposée constitue une étape importante pour la protection des gouvernements, des citoyens et des entreprises de l’ensemble de l’Union contre les cybermenaces mondiales ainsi que pour la préservation de la croissance économique. |
| 1.2. | Le CESE estime toutefois que des sources de financement supplémentaires doivent être accessibles aux entités publiques afin qu’elles puissent investir dans des infrastructures de cybersécurité qui leur permettront de répondre efficacement à une crise telle qu’une pandémie. |
| 1.3. | Le CESE accueille favorablement les propositions relatives à la création d’un réseau européen de centres des opérations de sécurité (Security Operations Centres, SOC) et à la coopération entre l’Agence de l’Union européenne pour la cybersécurité (ENISA) et toutes les parties prenantes afin de limiter les risques liés à la 5G. |
| 1.4. | Le CESE se félicite en outre de la proposition visant à renforcer le rôle d’Europol en tant que centre d’expertise en matière de cybercriminalité. Il juge par ailleurs que la coopération internationale et celle avec la communauté des parties prenantes sont importantes. |
| 1.5. | Le CESE met en garde contre le déficit de compétences dans le domaine de la cybersécurité et recommande la création d’un instrument européen relatif à un parcours professionnel en la matière, qui permette d’envisager, de construire et de mener une carrière dans ce secteur. |
| 1.6. | Le CESE met l’accent sur le problème que représente la désinformation, dont la propagation pourrait avoir de graves conséquences, et considère que sa prévention devrait faire partie de toute stratégie en matière de cybersécurité. |
| 1.7. | Le CESE recommande que les investissements étrangers dans des secteurs stratégiques de l’Union soient conformes à la politique de sécurité de celle-ci. |
| 1.8. | Le CESE appelle à la prudence face à l’avènement des ordinateurs quantiques et des risques qu’ils présentent et juge nécessaire de passer à une cryptographie résistante au quantique, ou cryptographie post-quantique. |
| 1.9. | Le CESE recommande que la stratégie de cybersécurité de la Commission soit mise à jour régulièrement, et en tout état de cause au moins tous les deux ans, afin qu’elle puisse apporter une réponse efficace aux technologies et aux risques futurs. |
| 1.10. | Enfin, le CESE souligne l’importance du dialogue social dans l’élaboration de politiques de cybersécurité qui protègent efficacement les individus en cas de travail à distance et d’activités en ligne de caractère plus général. |
2. Communication de la Commission européenne
| 2.1. | L’objectif de la communication à l’examen est de souligner l’importance que l’Union attache à la préservation d’un environnement en ligne garantissant le plus haut niveau de liberté et de sécurité possible, dans l’intérêt des citoyens. |
| 2.2. | Elle expose la vision de l’Union en la matière, définit les différents rôles et responsabilités et propose des activités spécifiques à l’échelle de l’Union qui visent à assurer une protection solide et efficace tout en protégeant les droits des citoyens, afin de rendre l’environnement en ligne sûr et sécurisé. |
| 2.3. | Les actions proposées poursuivent les objectifs suivants:
|
| 2.4. | La stratégie proposée couvre la sécurité de services essentiels tels que les hôpitaux, réseaux énergétiques et chemins de fer, ainsi que celle du nombre croissant d’appareils connectés de nos maisons, bureaux et usines, grâce à la création des capacités collectives nécessaires pour répondre aux cyberattaques majeures et à la coopération avec des partenaires dans le monde entier dans le but de garantir la sécurité et la stabilité internationales dans le cyberespace. |
| 2.5. | Étant donné que les menaces en matière de cybersécurité ont presque toujours un caractère transfrontière et qu’une cyberattaque menée dans un pays peut affecter tant un groupe d’États membres que l’Union dans son ensemble, la Commission propose en outre de créer une unité conjointe de cybersécurité afin d’apporter la réponse la plus efficace possible aux cybermenaces en utilisant les ressources et l’expertise collectives de l’Union et des États membres. |
| 2.6. | La stratégie sera financée au moyen d’une enveloppe de 2 milliards d’EUR au titre du programme de l’Union pour une Europe numérique et d’Horizon Europe, laquelle sera complétée par des investissements des États membres et du secteur privé. |
3. Observations générales
| 3.1. | Il est aujourd’hui communément admis que la cybersécurité fait partie intégrante du fonctionnement des institutions et agences de l’Union ainsi que des États membres et des économies nationales. Elle est cruciale pour soutenir les infrastructures énergétiques de l’Union et le déploiement de réseaux intelligents (1) ainsi que la transformation numérique et l’écologisation des économies de l’Union. Un autre aspect important est qu’elle garantit la protection et la sauvegarde des libertés et des droits fondamentaux des citoyens. La protection de ces droits et libertés est d’autant plus essentielle que les cyberattaques pourraient avoir des répercussions négatives sur les citoyens et les ménages (ainsi que sur les entreprises, les organisations et les services publics). L’attaque informatique dont a récemment été victime un centre hospitalier de Tournai, en Belgique, illustre la menace qui pèse non seulement sur les biens matériels, mais aussi sur la vie humaine, des opérations chirurgicales ayant dû être reportées (2). |
| 3.2. | Selon DigitalEurope (3), les cybermenaces sont un obstacle majeur à la prospérité de l’Europe. Alors qu’à l’échelle mondiale, les pertes économiques dues à la cybercriminalité étaient estimées à 2,5 milliards d’euros fin 2020 et que 74 % des entreprises peuvent s’attendre à être victimes d’un piratage informatique en 2021, seulement 32 % des entreprises européennes ont mis en place des politiques en matière de cybersécurité. De toute évidence, les cybermenaces nécessitent, de la part de l’Union, une réponse coordonnée et une stratégie en matière de cybersécurité qui soit capable à la fois de relever les défis actuels et de défendre les organisations et les citoyens contre les cybermenaces de nouvelle génération. Cela vaut plus particulièrement pour les services publics, qui gèrent d’importantes quantités de données personnelles et sensibles devant être protégées. En outre, il convient de renforcer la trajectoire vers une souveraineté européenne en matière de données et la préservation de la confidentialité de celles-ci au sein de l’Union grâce à la cyber-résilience et à la résilience numérique, ce qui améliorera la prospérité au sein de l’Union. |
| 3.3. | Les pertes économiques potentielles résultant des cyberattaques sont considérables et concernent:
|
| 3.4. | Selon le dernier rapport sur l’impact économique de la cybercriminalité publié par le Centre d’études stratégiques et internationales (CSIS), l’Europe serait la région du monde la plus touchée par les répercussions économiques de la cybercriminalité puisqu’elles concerneraient 0,84 % du PIB de l’Union contre 0,78 % en Amérique du Nord. |
| 3.5. | Compte tenu de ce qui précède, la stratégie à l’examen, qui est présentée à l’issue d’une série de consultations approfondies avec les parties prenantes, tombe à point nommé, d’autant que les experts estiment que le nombre d’appareils connectés dans le monde atteindra 25 milliards d’ici à 2025 et qu’un quart d’entre eux devraient se trouver en Europe. |
| 3.6. | L’annonce de la stratégie a coïncidé avec la révélation que des ordinateurs d’agences fédérales auraient été compromis par une cyberattaque visant une entreprise américaine qui développe des logiciels aidant les entreprises à gérer leurs réseaux et systèmes informatiques. Des centaines de sociétés américaines ont également subi l’impact de cette attaque dans le cadre de laquelle des pirates informatiques ont ajouté un programme malveillant à une mise à jour logicielle qui a été téléchargée par des milliers de clients de l’entreprise américaine visée. Cet incident montre comment les administrations publiques, les entreprises de tous les secteurs et la société dans son ensemble sont exposées au risque de cyberattaques. |
| 3.7. | Il n’est dès lors pas surprenant que des secteurs clés tels que les fournisseurs de données et de services en nuage, les services de télécommunications, les systèmes informatiques des autorités publiques ou le secteur manufacturier, entrent dans le champ d’application de la stratégie à l’examen. Les applications de traçage des contacts, comme celles utilisées dans la lutte contre la pandémie de COVID-19, sont un autre exemple pertinent de secteur susceptible de faire l’objet de cybermenaces. La sécurisation des applications de traçage des contacts contribue évidemment à renforcer la confiance de l’opinion publique dans la protection des données à caractère personnel dans le cadre des mesures jugées essentielles pour combattre la pandémie. |
| 3.8. | La pandémie de COVID-19 a accéléré la transformation des modes de travail, puisqu’en 2020 (5), pas moins de 40 % des travailleurs de l’Union sont passés au télétravail. On estime toutefois qu’au cours de cette même période, 40 % des utilisateurs de l’Union ont été confrontés à des problèmes de sécurité et plus de 12 % des entreprises ont été victimes de cyberattaques. |
4. Observations spécifiques
| 4.1. | Le CESE considère que la stratégie à l’examen va dans la bonne direction s’agissant de protéger les gouvernements, les citoyens et les entreprises de l’ensemble de l’Union contre des cybermenaces mondiales et de jouer un rôle de premier plan dans le cyberespace, tout en veillant à ce que chacun puisse tirer parti des avantages de l’internet et de l’utilisation des technologies. |
| 4.2. | Le CESE estime que la cybersécurité est essentielle pour préserver l’activité économique et consolider la croissance, ainsi que pour garantir la confiance des utilisateurs dans les activités en ligne. Il convient également de la nécessité d’adopter des mesures audacieuses pour s’assurer que les citoyens européens puissent bénéficier de l’innovation, de la connectivité et de l’automatisation en toute sécurité. |
| 4.3. | Le CESE reconnaît que les secteurs économiques de l’Union sont de plus en plus dépendants et interdépendants sur le plan numérique. L’utilisation des appareils de l’internet des objets (IdO) par les consommateurs et les entreprises, ainsi que dans des contextes industriels tels que la production manufacturière, s’est en outre considérablement développée, tandis que les technologies financières et les technologies réglementaires font désormais partie du quotidien. Le déploiement de la 5G est passé à la vitesse supérieure et, récemment, la crise de la COVID-19 a accéléré la transformation numérique de nombreuses entreprises et autorités publiques, les obligeant pratiquement du jour au lendemain à exercer leurs activités à distance en utilisant dans une large mesure les services en nuage. Ces évolutions exigent une réponse efficace, rapide et inclusive en matière de cybersécurité. |
| 4.4. | Les changements susmentionnés ont accru le niveau de risque critique pour les autorités publiques et les entreprises; le CESE soutient dès lors la nouvelle stratégie en matière de cybersécurité et l’ensemble des propositions visant à améliorer la cyber-résilience tant au sein de l’Union qu’en dehors de celle-ci. Bien que les entités publiques puissent obtenir des financements de l’Union européenne au titre des différents programmes pertinents qui soutiennent les investissements dans ce domaine, comme les programmes Horizon 2020/Horizon Europe, le CESE considère que des possibilités de financement supplémentaires pourraient être nécessaires pour permettre aux entités publiques ou semi-publiques d’investir dans une infrastructure de cybersécurité adéquate qui garantirait la sécurité de l’approvisionnement des citoyens, en particulier en cas de crise telle qu’une pandémie. |
| 4.5. | Le CESE juge pertinente et opportune la proposition de la Commission européenne de créer un réseau de centres des opérations de sécurité dans l’ensemble de l’Union, qui tirerait parti de l’intelligence artificielle et de l’apprentissage automatique pour améliorer la détection et l’analyse des menaces et des incidents ainsi que la rapidité de réaction à ceux-ci. Le CESE reconnaît qu’il devient de plus en plus difficile de prévenir les cyberattaques manuellement en raison du nombre considérable d’alertes que doivent gérer quotidiennement les équipes de sécurité ainsi que de la pénurie générale de personnel spécialisé dans ce domaine. L’automatisation des centres des opérations de sécurité devient dès lors inévitable. |
| 4.6. | Le CESE approuve les objectifs et actions en matière de sécurité de la 5G, qui seront déterminants pour contribuer à atténuer les nouveaux risques découlant de la surface d’attaque plus étendue créée par les infrastructures des réseaux 5G. Le CESE soutient en particulier l’invitation faite à l’Agence de l’Union européenne pour la cybersécurité et aux États membres de collaborer avec toutes les parties prenantes afin de mieux comprendre les nouvelles technologies et capacités liées à la sécurité de la 5G ainsi que les menaces dans ce domaine. Il est évident que la stratégie reconnaît que l’utilisation, par les réseaux de la 5G, de nouvelles technologies telles que la virtualisation des réseaux, le découpage des réseaux et l’informatique de périphérie sont particulièrement sujettes à des vulnérabilités spécifiques qui nécessitent des mesures de sécurité supplémentaires. |
| 4.7. | Le CESE se félicite en outre de la proposition visant à renforcer le rôle d’Europol en tant que centre d’expertise en matière de cybercriminalité pour soutenir les autorités répressives nationales, ainsi qu’à accroître le financement et à renforcer le mandat de CERT-UE. Ces deux organes jouent un rôle fondamental pour soutenir les efforts en matière de cybersécurité dans l’ensemble de l’Union, lesquels contribueront sans aucun doute à améliorer la cybersécurité des institutions et agences de l’Union, mais aussi d’autres instances. |
| 4.8. | Le CESE se félicite que la stratégie mette l’accent sur la coopération internationale de l’Union, par exemple par le truchement de la cyberdiplomatie dans le cadre des relations internationales, du renforcement des dialogues bilatéraux sur la cybersécurité et du développement des capacités informatiques dans les pays tiers. Les menaces en matière de cybersécurité ne sont pas seulement régionales, elles concernent le monde entier et, pour être efficaces, les politiques visant à y faire face doivent être déployées à l’échelle mondiale. |
| 4.9. | Le CESE relève par ailleurs que la stratégie met l’accent sur l’importance du dialogue et de la coopération avec la communauté des parties prenantes, notamment au moyen d’échanges réguliers avec les secteurs privé et public, les partenaires sociaux et le monde universitaire. Cette approche est la bienvenue et sera essentielle pour continuer à développer les propositions contenues dans la stratégie et pour faire face à des évolutions importantes telles que les défis en matière de sécurité posés par le travail à distance. La contribution de toutes les parties prenantes concernées devrait être constante, étant donné le degré croissant de sophistication de la technologie utilisée dans le cadre de la cybercriminalité. |
| 4.10. | Le CESE se félicite que la stratégie à l’examen mette l’accent sur le développement de compétences pertinentes en matière de protection contre les cybermenaces en général. Toutefois, pour la majorité des entreprises européennes, et plus particulièrement les PME, le déficit croissant de compétences demeure un problème considérable dans la lutte contre les cybermenaces. Le CESE estime que ce déficit de compétences ne peut être comblé qu’au moyen d’un instrument européen relatif à un parcours professionnel dans le domaine de la cybersécurité qui permette aux intéressés d’envisager, de construire et de mener une carrière éventuelle dans le domaine de la cybersécurité, en les sensibilisant davantage aux connaissances, compétences et aptitudes requises pour s’engager et progresser dans une carrière professionnelle dans ce secteur, ou pour opérer une transition professionnelle vers celui-ci. Cet instrument devrait notamment inclure des programmes spécifiques abordant l’accessibilité et la diversité dans le secteur de la cybersécurité. Le CESE estime que les établissements d’enseignement et de formation professionnels (EFP) ont un rôle essentiel à jouer pour soutenir un instrument de ce type à l’échelle de l’Union. Par ailleurs, l’Union devrait davantage s’efforcer de participer à des initiatives de recherche conjointes (tant au sein de l’Union qu’en dehors de celle-ci) afin de former des professionnels de la cybersécurité spécialisés et qualifiés d’une manière inclusive, compte tenu de l’évolution du rôle que jouent les technologies dans la création de lieux de travail et d’une société plus inclusifs. Enfin, il conviendrait d’examiner attentivement la possibilité d’encourager les étudiants à suivre des études dans le domaine de la cybersécurité en octroyant des bourses pour des bacheliers, masters et diplômes de deuxième cycle en la matière; en retour, les diplômés devraient accomplir un service au sein des institutions et agences de l’Union ou des services publics nationaux de l’ensemble de l’Union. |
| 4.11. | Le CESE constate que la stratégie en matière de cybersécurité n’aborde pas la question du lien entre cybersécurité et désinformation, et se réfère à cet égard en particulier à l’étude commandée par le département thématique des droits des citoyens et des affaires constitutionnelles du Parlement européen (6). À l’ère du cyberespace de l’internet, la diffusion de la désinformation pourrait avoir de graves conséquences. Les attaques transfrontières peuvent cibler des centres d’information, des institutions gouvernementales ou européennes dans le but de répandre de fausses informations et pourraient également éroder la confiance dans les pouvoirs publics. Il est donc impératif que toute stratégie en matière de cybersécurité mette l’accent sur la prévention de la désinformation. |
| 4.12. | Le CESE souligne en outre que laisser dans des mains étrangères les investissements dans des secteurs stratégiques, l’acquisition d’actifs, de technologies et d’infrastructures critiques dans l’Union et la fourniture d’équipements critiques peut également présenter des risques pour la sécurité de l’Union. À cet égard, conformément aux règles en vigueur en matière de marchés publics, le CESE recommande d’accorder davantage de poids aux aspects liés à la sécurité lors de l’attribution des marchés. |
| 4.13. | Le CESE constate par ailleurs que la sécurité des logiciels et systèmes cryptographiques actuels est compromise par l’avènement des ordinateurs quantiques, qui devraient être accessibles au public d’ici une décennie, voire avant. Cette perspective justifie la nécessité de passer à une cryptographie résistante au quantique, ou cryptographie post-quantique, qui fait l’objet d’un certain nombre d’initiatives engagées au niveau mondial en vue de normaliser des systèmes cryptographiques post-quantiques, comme le processus de normalisation de la cryptographie post-quantique du NIST (National Institute of Standards and Technology, Institut national des normes et technologies) aux États-Unis, le groupe de travail de l’Institut européen de normalisation des télécommunications (ETSI) sur la cryptographie post-quantique et le concours de cryptographie post-quantique de l’Association chinoise pour la recherche en cryptologie. |
| 4.14. | Le CESE recommande que les stratégies nationales en matière de cybersécurité soient révisées afin d’assurer leur cohérence avec la stratégie de la Commission et de veiller à ce que les décisions prises au niveau des États membres soient conformes aux propositions contenues dans la stratégie de la Commission. La stratégie européenne ainsi que les stratégies nationales devraient être convergentes pour lutter efficacement contre les cybermenaces actuelles et futures. |
| 4.15. | Étant donné que les risques futurs sont largement imprévisibles et compte tenu des observations formulées au paragraphe 4.13, le CESE recommande que la stratégie de la Commission en matière de cybersécurité soit mise à jour régulièrement, et en tout état de cause au moins tous les deux ans, afin qu’elle puisse apporter une réponse efficace aux technologies et aux risques futurs. Comme indiqué précédemment, la participation des parties prenantes et la recherche de haut niveau seront également déterminantes pour la mise à jour des stratégies en matière de cybersécurité. |
Bruxelles, le 27 avril 2021.
La présidente du Comité économique et social européen
Christa SCHWENG
(1) Une cyberattaque contre un réseau intelligent pourrait avoir une incidence sur l’approvisionnement énergétique des consommateurs et des entreprises.
(2) https://www.databreaches.net/chwapi-hospital-hit-by-ransomware-operations-canceled-and-another-city-hit/
(3) http://www.digitaleurope.org/
(4) Bien entendu, une cyberassurance n’offre pas une couverture illimitée. La COVID-19 a montré que l’accumulation de risques constitue un défi en matière d’assurabilité. Une récente étude de la société AON étaye l’affirmation selon laquelle l’assurance ne représente qu’une part infime (5 %) des dépenses consenties pour se préparer aux cybermenaces: l’audit et la formation sont en réalité les principaux facteurs déterminants des coûts.
(5) Eurofound (2020), «Living, working and COVID-19», série de documents sur la COVID-19, Office des publications de l’Union européenne, Luxembourg.
(6) https://www.europarl.europa.eu/RegData/etudes/STUD/2019/608864/IPOL_STU(2019)608864_EN.pdf
Avis institutionnel — 52021AB0040
29/12/2021
Avis institutionnel — 52021AB0039
28/12/2021
Avis institutionnel — 52021AB0038
22/12/2021
Avis institutionnel — 52022AG0001(01)
20/12/2021