Acte préparatoire — 52022SC0068

COMMISSION EUROPÉENNE

Bruxelles, le 22.3.2022

SWD(2022) 68 final

DOCUMENT DE TRAVAIL DES SERVICES DE LA COMMISSION

RÉSUMÉ DE L’ANALYSE D’IMPACT

accompagnant le document:

Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL

établissant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans les institutions, organes et organismes de l’Union

{COM(2022) 122 final} - {SWD(2022) 67 final}

1.Introduction

En 2020, le nombre d’incidents importants touchant des institutions, organes et organismes de l’Union et dus à des acteurs de menaces persistantes avancées a augmenté. Cette évolution est également visible dans le nombre de copies-images analysées en 2020 par la CERT-UE, qui a plus que triplé par rapport à 2019, tandis que le nombre d’incidents importants a été multiplié par plus de dix depuis 2018.

Toutefois, les capacités de cybersécurité et les dépenses en matière de sécurité informatique au sein des institutions, organes et organismes de l’Union sont, dans certains cas, extrêmement inégales, ce qui se traduit par une forte hétérogénéité des niveaux de maturité en matière de cybersécurité entre les institutions, organes et organismes de l’Union. En outre, l’analyse du paysage des menaces et les statistiques sur les incidents de sécurité informatique montrent que l’exposition des institutions, organes et organismes de l’Union aux cybermenaces ne fera que croître.

2.Objectifs

Les lacunes recensées mènent, en fin de compte, à un niveau insuffisant de cyber-résilience dans l’ensemble des institutions, organes et organismes de l’Union, à une fragmentation des ressources de sécurité informatique et à des postures déséquilibrées de sécurité informatique.

L’acte législatif vise à établir des mesures destinées à assurer un niveau élevé commun de cybersécurité au sein des institutions, organes et organismes de l’Union. Cela favoriserait la maturité en matière de cybersécurité et garantirait que celle-ci suit le rythme, qui ne cesse de s'accélérer, de la mutation numérique des institutions, organes et organismes de l’Union.

3.Conseil interinstitutionnel de cybersécurité et cadre de cybersécurité

La proposition de création d’un conseil interinstitutionnel de cybersécurité et de mise en place d’un cadre de cybersécurité établira des mesures destinées à assurer un niveau élevé commun de cybersécurité au sein des institutions, organes et organismes de l’Union, permettant l'alignement sur un cadre afin de faire face aux menaces qui pèsent sur la cybersécurité dans l’ensemble des institutions, organes et organismes de l’Union. Elle prévoit également des mesures de suivi ainsi que la communication d’informations à un conseil interinstitutionnel de cybersécurité.

La proposition modernise la mission et les tâches de la CERT‑UE compte tenu, d’une part, de l’évolution et de l’intensification de la mutation numérique au sein des institutions, organes et organismes de l’Union ces dernières années et, d’autre part, de l’évolution du paysage des menaces qui pèsent sur la cybersécurité.

Elle n’a aucune incidence directe ni conséquence budgétaire pour les États membres ou les citoyens de l’Union.

La base juridique du règlement est l’article 298 du traité sur le fonctionnement de l’Union européenne, en vertu duquel, dans l’accomplissement de leurs missions, les institutions, organes et organismes de l’Union s’appuient sur une administration européenne ouverte, efficace et indépendante.

Cette proposition s’appuie sur la stratégie de l’UE pour l’union de la sécurité [COM(2020) 605 final] et sur la stratégie de cybersécurité de l’UE pour la décennie numérique [JOIN(2020) 18 final].

4.Conclusion

La création d’un conseil interinstitutionnel de cybersécurité et la mise en place d’un cadre de cybersécurité permettront d’atteindre la plupart des objectifs visés d’une manière relativement efficace, efficiente et cohérente avec les autres politiques de l’Union, avec le soutien le plus large des parties prenantes. La solution qui a été retenue est l’option la plus viable eu égard aux limites juridiques actuelles de notre champ d’action; par ailleurs, une approche unique ne serait pas appropriée compte tenu de l'hétérogénéité des niveaux de maturité des institutions, organes et organismes de l’Union aujourd’hui et de la disparité et de la complexité des risques technologiques auxquels ceux-ci sont confrontés.