Mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et de l'information dans l'Union

Le texte COM (2013) 48 vise à assurer un niveau commun élevé de sécurité des réseaux et de l'information (SRI). Le projet de directive présenté par la Commission s'inscrit dans le cadre d'une communication conjointe de la Commission et de la haute représentante de l'Union pour les affaires étrangères et la sécurité « Stratégie de cybersécurité de l'Union européenne : un cybersespace ouvert, sûr et sécurisé », rendue publique le 7 février dernier. La communication comme la directive ont pour objectif de relancer l'action de l'Union européenne en la matière, entamée en 2001 mais limitée à une série de documents sans valeur contraignante. Seule une Agence européenne chargée de la sécurité des réseaux et de l'information a été mise en place en 2004. La modernisation de celle-ci lancée en 2010 est actuellement examinée par le Conseil et le Parlement européen. Un Centre européen de lutte contre la cybercriminalité a, par ailleurs, été créé le 11 janvier dernier.

Aux termes du projet de directive, les États membres doivent adopter une stratégie de SRI et désigner des autorités nationales compétentes en la matière, qui disposeront de ressources financières et humaines suffisantes. Un mécanisme de coopération entre les États membres et la Commission doit être instauré pour diffuser des messages d'alerte rapide sur les risques et incidents. Les opérateurs d'infrastructures critiques de secteurs tels que les services financiers, les transports, l'énergie et la santé, les facilitateurs de services internet clés (notamment les magasins d'applications en ligne, les plateformes de commerce électronique, les passerelles de paiement par internet, les services informatiques en nuage, les moteurs de recherche ou les réseaux sociaux) ainsi que les administrations publiques doivent adopter des pratiques en matière de gestion des risques et signaler les incidents de sécurité significatifs touchant leurs services essentiels.

L'interdépendance des systèmes et réseaux informatiques européens justifie une intervention de l'Union européenne. Les disparités existantes peuvent notamment affecter le marché intérieur en ralentissant les échanges. La Commission précise par ailleurs que les exigences demandées aux petites et moyennes entreprises aux fins de protection seront proportionnées aux risques que leurs systèmes informatiques présentent. Les micro-entreprises sont, par ailleurs exclues du dispositif.

En conséquence, ce texte apparaît conforme aux principes de subsidiarité et de proportionnalité.

La commission des affaires européennes n'est pas intervenue sur ce texte.