Ça s’est passé pendant la pause de Noël #2 : une nouvelle stratégie de cybersécurité européenne3 minutes de lecture

Dans la foulée de la présentation des Digital Services Act et Digital Market Act, la Commission a fait part de sa nouvelle stratégie de cybersécurité, le 16 décembre 2020. L’enjeu est également de taille. Certaines estimations annoncent 25 milliards d’appareils connectés dans le monde en 2025, dont 25 % en Europe alors que environ 16 % des entreprises sont touchées par des cyberattaques. Il s’agit ainsi d’une action nécessaire, à mener sur un chemin piégé de toutes parts.

Les objectifs et les moyens

Revenons à l’essentiel et au but premier de ce texte : protéger les acteurs dans la vie numérique et le cyberespace. Comment y parvenir ?

La nouvelle stratégie de cybersécurité de l’Union repose sur trois piliers :

• La prévention. Cela passera par une révision des règles existantes relatives à la sécurité des réseaux. Le texte prévoit l’arrivée d’un cyberbouclier européen destiné à détecter les cyberattaques et mener des actions préventives avant que ces attaques ne fassent des dégâts. De nouvelles normes de sécurité seraient également mises en place.
• La réaction aux cyberattaques. Le projet table sur la création de cyberdiplomates capables d’assurer une cyberdéfense. Les forces de police et de justice auraient également leur rôle à jouer dans les réactions afin de dissuader et sanctionner dans le droit les attaques.
• Le tissage et le renfort des partenariats. L’Union ne veut pas travailler seule, mais avec ses partenaires internationaux.

Nouveau cadre réglementaire

L’une des propositions phares de la stratégie est de réformer la réglementation européenne. La directive SRI serait révisée et une nouvelle directive serait rédigée pour « élever le niveau de cyber-résilience des entités critiques des secteurs public et privé, telles que les hôpitaux, les réseaux énergétiques, les chemins de fer, mais aussi les centres de données, les administrations publiques, les laboratoires de recherche et les installations de production d’appareils médicaux et de médicaments critiques ».

Les deux directives mentionnées à l’instant doivent être examinées par le Parlement européen et le Conseil de l’Union européenne. A l’issue de leurs travaux, les Vingt-Sept auront 18 mois pour les intégrer dans le droit national.

Trop d’ambitions ?

La Commission veut faire de l’Union une référence dans « le domaine des normes et standards internationaux relatifs au cyberespace » et même « promouvoir un cyberespace mondial, ouvert, stable et sûr, fondé sur l’État de droit, les droits de l’homme, les libertés fondamentales et les valeurs démocratiques ». Un programme plein de promesses, mais qui risque de se confronter aux réalités du terrain. En effet, voilà maintenant plusieurs dizaines d’années que l’Union patauge à mettre en œuvre une politique étrangère commune et s’affirmer sur la scène internationale. Difficile ainsi d’imaginer qu’il pourrait en être autrement dans le cyberespace. S’agissant des partenariats internationaux, leur bon fonctionnement résidera dans un coopération étendue en termes de renseignement. Un domaine d’action sensible, peu partagé, parfois au sein même d’administrations d’un même État.

Le cyberespace a ses particularités et des réalités parfois bien éloignées de ce qu’il se passe en son extérieur, loin des algorithmes et des écrans. C’est parfois un espace de guerre. Les dirigeants européens, qui ont du mal à imaginer une Europe puissante et à penser le conflit, ne devront pas commettre cette erreur une nouvelle fois, au risque d’être rayée de la carte du cyber-monde.