Introduction

Le Cybersecurity Act est un acte juridique applicable au niveau de l’Union européenne. La mise en œuvre des dispositions est donc obligatoire par tous les Etats membres. De plus, les Etats membres devront définir des règles spécifiques dans leur droit national pour assurer la bonne application du règlement, par exemple concernant les sanctions ou le retrait de certificats.

Le Cybersecurity Act vise à renforcer la confiance dans le secteur des TIC du marché intérieur de l’Union européenne. Au Luxembourg, le secteur des TIC joue un rôle majeur dans la société, contribuant tant au développement de l’économie qu’à la sécurité et au bien-être des citoyens. Il a par ailleurs un impact important sur d’autres secteurs qui assurent le bon fonctionnement du pays, tels que l’éducation, la santé, les transports, les finances, ou encore l’énergie.

A noter que les services de certification des produits, services ou processus TIC, selon un schéma de certification, pourront débuter vingt jours suite à la publication de l’acte d’exécution relatif à ce schéma de certification au journal officiel de l’Union européenne.

Les acteurs qui interviennent dans le processus de certification sont définis dans le Cybersecurity Act :

• Les fabricants et fournisseurs de produits, services et processus TIC ;
• L’autorité nationale de certification de cybersécurité, ayant les missions de certification ;
• Les organismes d’évaluation de la conformité privés et publics ;
• Les laboratoires de test ;
• L’autorité nationale d’accréditation (OLAS au Luxembourg).

Les activités de certification sont supervisées par l’autorité nationale de certification de cybersécurité qui est responsable pour la mission de supervision. Au Luxembourg, l’autorité compétente pour exécuter cette mission de supervision est le Service de l’autorité nationale de certification de cybersécurité de l’ILNAS.

Les rôles et responsabilités exactes de chaque acteur seront spécifiés dans chaque schémas de certification.

Chaque domaine technique pertinent pour le bon fonctionnement et la sécurité du marché intérieur de l’UE, comme le « Cloud » ou la 5G, est soumis à une évaluation de la part de la Commission européenne pour déterminer si un schéma européen de certification de cybersécurité pourra contribuer à l’évolution du marché existant.

Un schéma est, selon le Cybersecurity Act, « un ensemble complet de règles, d’exigences techniques, de normes et de procédures qui sont établies à l’échelon de l’Union et qui s’appliquent à la certification ou à l’évaluation de la conformité de produits TIC, services TIC ou processus TIC spécifiques ». De plus, chaque schéma défini des objectifs de sécurité en se basant sur les critères de sécurité, c’est-à-dire la confidentialité, la disponibilité, l’intégrité et l’authenticité. D’une manière générale, chaque schéma répond aux dispositions de l’article 54 du Cybersecurity Act.

L'ENISA, à la demande de la Commission européenne ou du ECCG, est en charge de la préparation des schémas de certification, qui seront ensuite adoptés par la Commission au moyen d'actes d'exécution. Le processus prévoit, pour la préparation de chaque schéma de certification, qu’un nouveau groupe de travail « ad hoc » soit mis en place par l’ENISA. Ils sont composés d’experts qui ont une expérience significative dans le domaine du schéma de certification concerné.

Un schéma devient officiel vingt jours suite à sa publication au journal officiel de l’Union européenne en tant qu’acte d’exécution. Avant cela, il est dénommé « schéma candidat », afin de différencier les schémas en cours de préparation des schémas officiels.

Le Cybersecurity Act prévoit que l’ENISA procède à une évaluation de ces schémas au moins tous les cinq ans et qu’elle lance un processus de révision si nécessaire. Un site internet dédié sera mis en place par l’ENISA pour informer le public, notamment de la publication des schémas de certification existants, des certificats délivrés et des déclarations de conformité. Une liste présentant les schémas de certification nationaux qui ont été remplacés par des schémas de certification européen, ou encore les certificats retirés ou expirés sera également disponible sur ce site internet.

A ce jour, une certification ou une déclaration de conformité reste volontaire, sauf disposition contraire du droit de l’Union européenne ou du droit national d’un État membre. La Commission européenne évaluera à des intervalles planifiés la nécessité de rendre des certificats obligatoires. Une première évaluation interviendra au plus tard le 31 décembre 2023.

Le Cybersecurity Act définit 3 niveaux d’assurance, qui sont corrélés à des niveaux de risques différents. Les niveaux d’assurance sont les suivants :

• Le niveau « élémentaire »
• Le niveau « substantiel »
• Le niveau « élevé »

Ces 3 trois niveaux d’assurance correspondent à des niveaux de risques associés à l’utilisation d’un service, produit ou processus TIC en termes de probabilité d’occurrence et de conséquences d’un incident. Les niveaux d’assurance se différencient par leur rigueur et par la profondeur des mesures de sécurité à appliquer, ainsi que par l’évaluation de conformité à exécuter. A savoir, les mesures de sécurité du niveau « élémentaire » sont moins strictes que celles du niveau « substantiel » et beaucoup moins strictes que celles du niveau « élevé ». Le tableau suivant résume les trois niveaux d’assurance couverts par le Cybersecurity Act.

Chaque schéma de certification précise un ou plusieurs niveaux d’assurance. Les éléments indiqués dans le tableau ci-dessus y seront détaillés conformément au niveau d’assurance. A des fins de transparence, le niveau d’assurance évalué par l’organisme d’évaluation de conformité sera visible sur tous les certificats délivrés aux fournisseurs ou fabricants TIC.

Le Cybersecurity Act prévoit la possibilité de se faire certifier ou de procéder à une déclaration de conformité. Un certificat est délivré par un organisme d’évaluation de la conformité indépendant et accrédité selon les exigences correspondantes. Une déclaration de conformité est délivrée sous la responsabilité d’un fabricant ou fournisseur TIC lui-même, par le moyen d’une autoévaluation. Tout schéma de certification précise si une telle déclaration de conformité est permise ou pas.

Le Cybersecurity Act limite l’autoévaluation au niveau d’assurance « élémentaire ». Une autoévaluation est possible uniquement si les services, produits et processus TIC concernés sont de faible complexité et présentent un risque faible pour le public.

Les normes internationales, européennes ou nationales font partie des schémas et constituent une des clés fondamentales pour la réussite du Cybersecurity Act. Effectivement, les schémas devront se baser sur les normes existantes. Dans le cas où ces normes seraient inefficientes ou inexistantes, les schémas devront faire référence à d’autres spécifications techniques ou bien de nouvelles normes devront être développées les organismes de normalisation européens, en collaboration avec l’ENISA.

La réutilisation des normes existantes offre les avantages suivants :

• Appliquer des normes qui ont atteint une certaine maturité et qui sont acceptées par les acteurs de l’industrie
• Accélérer et faciliter le développement de schémas de certification
• Favoriser l’adoption de certificats ou déclaration de conformité auprès des acteurs de l’industrie

Une des missions des membres du ECCG est d’ailleurs de faciliter l’alignement entre les schémas de certification et les normes en fournissant des recommandations à l’ENISA. Pour des aspects de transparence, les certificats et les déclarations de conformité délivrés feront référence aux normes couvertes par le schéma de certification concerné.