Entretien avec Despina Spanou

La cybersécurité est un sujet brûlant. Plusieurs incidents nous indiquent constamment les conséquences drastiques que peut avoir une attaque. Nous nous sommes entretenus avec le spécialiste Despina Spanou, qui est à la pointe du combat auprès de la Commission européenne.

Crucial pour le marchE européen

Motion Control: quelle est l’importance de la cybersécurité aujourd’hui?
“La cybersécurité est une première exigence pour le bon fonctionnement et la croissance du marché numérique unifié en Europe. Les citoyens et les entreprises n’embrasseront la transformation numérique et les nouvelles technologies ICT que s’ils peuvent avoir confiance dans l’inviolabilité de leurs systèmes ICT et le traitement sécurisant de leurs données. Les vulnérabilités dans la cyberprotection et les incidents en cybersécurité saperont cette con­fiance et formeront aussi une barrière pour notre économie et notre société numériques, et ainsi notre progrès socio-économique en général.”

Réglementation

Motion Control: quelles initiatives prend l’UE pour garantir notre cybersécurité?
“La dimension numérique est de plus en plus importante dans tous les domaines de la politique de l’UE (p.ex. énergie, transport, en­seignement, soins de santé) et ces domaines de politique dépendent de la cybersécurité.” Un exemple: la perspective des voitures automatisées/autonomes peut uniquement être matérialisée si les données pertinentes sont traitées avec un très haut niveau de protection.

L’Union européenne a déjà franchi des étapes importantes pour accroître sa capacité et sa résistance en cybersécurité. Nous avons déjà des instruments juridiques qui doivent protéger le marché unifié contre les cybercriminels et limiter les risques. Parmi ces instruments juridiques, la directive SRI (NIS Directive), l’EU Cybersecurity Act qui est entré en vigueur le 27 juin 2019, et la nouvelle réglementation télécoms sont les principaux.”

Directive SRI

“La directive SRI a introduit de nouveaux mécanismes pour la collaboration au niveau de l’Union européenne, ainsi que des mesures visant à accroître les capacités et obligations nationales des offreurs de services essentiels et des prestataires de services sur le plan national, dont l’obligation d’appliquer des pratiques de gestion des risques et de rap­porter les incidents importants aux autorités nationales.”

L’EU Cybersecurity Act

“L’EU Cybersecurity Act introduit, pour la première fois, des règles qui sont applicables dans toute l’Union européenne pour la certification en cybersécurité des produits, processus et services. De plus, l’EU Cybersecurity Act donne un nouveau mandat permanent à ENISA, l’agence européenne pour la cybersécurité, et des moyens supplé­mentaires ont été mis à la disposition de l’agence pour atteindre ses objectifs. La nouvelle réglementation télécoms (Electronic Communications Code) stipule que les Etats-membres européens doivent faire en sorte que l’intégrité et la sécurité des réseaux de communication publique sont préservées, et impose des obligations qui doivent veiller à ce que les offreurs prennent des mesures techniques et organisationnelles pour gérer de façon satisfaisante les risques de sécurité des réseaux et services. La réglementation télécoms octroie aussi aux autorités législatives nationales com­pétentes des compétences, dont la compétence de donner des instructions con­traignantes et de veiller à ce qu’elles soient respectées. En outre, les Etats-membres européens peuvent aussi subordonner des conditions relatives à la sécurité des réseaux publics contre un accès non autorisé à l’organisation générale pour les offreurs, dans le but de garantir la confidentialité de la communication. En mai 2019, le Conseil de l’Europe a mis en place un régime de sanctions qui autorise l’UE à prendre des mesures limitatives ciblées pour repousser les attaques de piratage externes qui représentent un danger pour l’UE et ses Etats-membres, et apporter une réponse. Le nouveau régime de sanctions fait partie des outils de l’UE pour la cyberdiplomatie, un cadre pour une réponse diplomatique com­mune de l’UE aux cyberactivités malveillantes qui permet à l’UE de faire un usage complet des mesures au sein de la politique étrangère et de la politique de protection communes, dont les déclarations du Haut Représentant de l’Union pour les affaires étrangères et la politique étrangère ainsi que, si nécessaire, des mesures limitatives pour réagir aux cyberactivités malveillantes.”

 

Soft law

“Hormis les mesures légales, l’UE a aussi pris certaines mesures stratégiques plus douces pour être capable de coordonner la préparation et la capacité de réponse des parties intéressées: comme la recommandation de la Commission européenne de 2017 sur la réaction coordonnée aux cyber­incidents et aux crises transfrontalières à grande échelle (ce qu’on appelle le schéma directeur EU cyber­security), et la recomman­dation de la Com­mission européenne en faveur d’une approche UE commune de la protection des réseaux 5G. J’aimerais également souligner ici que nous organisons également avec les Etats-membres de l’UE et ENISA des exercices de cyber­protection afin d’améliorer notre coordination et de tester notre préparation en cyber­protection. Il y a quelque temps s’est par exemple tenu à Paris l’exercice Blue OLEx 2019.”

Investissements

“L’UE poursuit aussi son programme d’inves­tissement avec des instruments tels que le pro­gramme de recherche et d’innovation Horizon 2020 et le programme ‘Connecting Europe Facility’. Dans ces programmes sont libérés de gros budgets pour accroître les cybercapacités européennes et développer des solutions en cyberprotection innovantes.”

Nouveau règlement européen

“L’UE continue d’accentuer ses efforts visant à accroître sa cyberprotection. Un exemple en est la dernière proposition pour un nouveau règlement de l’UE qui crée un ‘Centre et réseau de compétences européen pour la cybersécurité’. Cette proposition est actuellement négociée par les instances colégislatives de l’UE. Il est certain que la cybersécurité figure en bonne place de l’agenda politique européen.”

l’Industrie en danger

Motion Control: existe-t-il des dangers spécifiques pour les entreprises industrielles?
“Les entreprises industrielles jouent un grand rôle dans notre économie. La majorité de l’industrie a embrassé la numérisation et c’est pourquoi la cybersécurité est très importante. La directive précitée en matière de protection des systèmes de réseau et d’information (directive SRI) exhorte les Etats-membres européens à identifier les ‘offreurs de services essentiels’, dont on attend qu’ils seront très engagés et résistants en matière de cybersécurité. La di­rective SRI englobe à la fois le secteur de l’éner­gie, le transport, les banques, les infrastructures financières, l’infrastructure numérique, le secteur de l’eau et le secteur de la santé. La directive SRI comprend les sec­teurs vitaux de notre économie et de notre société. De nombreuses entreprises industriel­les sont im­pliquées ou entreprennent dans ces secteurs.“

Dangers variables

“Aujourd’hui, le paysage des cyber­menaces change constamment et évo­lue rapidement. C’est la raison pour laquelle nous avons proposé de créer un Conseil consultatif dans lequel l’industrie sera également représentée. Le Conseil consultatif conseillera les Etats-membres de l’UE et la Commission européenne en matière d’investissements, de recherche et d’innovation relative au cadre financier pluriannuel suivant (2021-2027) et relative notamment aux programmes de financement Digital Europe et Horizon Europe. Afin de protéger notre économie et notre société numériques, nous devons investir dans la promotion de nos possibilités et compétences en cyberprotection, y compris les entreprises industrielles.”

s’adapter pour rester devant

Motion Control: la politique actuelle de l’UE sur les cyber security policies est-elle suffisante pour s’attaquer à la cybercriminalité?
”Les cybercriminels adaptent constamment leur approche en utilisant les nouvelles techno­logies. Ceci exige une réaction efficace de la répression afin de garder l’avantage. L’approche de la Commission européenne pour la lutte contre la cybercriminalité est basée sur l’agenda sécurité européen de 2015, dans lequel la cybercriminalité est reconnue comme une sérieuse menace pour les droits fondamentaux du citoyen et pour l’économie. La Commission européenne et le Haut Représentant de l’Union européenne pour les Affaires étrangères et la Politique de Sécurité ont aussi publié une déclaration commune en 2017 dans le but d’atteindre un haut niveau de cyberprotection pour l’Union européenne basée sur la résilience, la dissuasion et la défense. Ceci comprend notamment des mesures pour autoriser une répression légale plus efficace de la cybercriminalité et des mesures pour améliorer la détection, la traçabilité et la poursuite des cybercriminels. Nonobstant la politique menée par l’UE, la cybercriminalité reste une menace importante. Il ressort du récent Eurobaromètre sur l’attitude des Européens face à la protection Internet qu’une majorité des citoyens était préoccupée en 2018 par au moins une forme de cyber­criminalité, y compris la contamination des appareils par des logiciels malveillants, le vol d’identité ou la fraude dans les opérations bancaires sur Internet. Nous sommes contraints de suivre avec minutie les tendances dans la cybercriminalité et pour cela, nous pouvons aussi nous fier au Baromètre annuel de la Criminalité sur Internet (iOCTA) du Bureau de l’Union européenne pour la collaboration dans le domaine de la répression (Europol).”

 

préserver

Motion Control: existe-t-il des cas où la légis­lation et la réglementation européenne ont déjà été appliquées avec succès?
Spanou: “Une réponse efficace à la cyber­criminalité exige la collaboration entre toutes les parties concernées, dont les institutions de l’UE, les agences de l’UE, et les Etats-membres et leurs instances répressives. La législation au niveau de l’Union européenne peut jouer un rôle crucial pour faciliter cette collaboration. La collaboration transfrontalière est notamment importante dans la lutte contre la cybercriminalité, étant donné que les cybercriminels ne connaissent aucune frontière et opèrent souvent à partir d’un autre pays. La directive en matière d’attaques des systèmes d’information de 2013, par exemple, vise à harmoniser la caractérisation des cyberattaques et les niveaux de sanctions afférents dans l’Union européenne. Par la transposition de la directive dans le droit pénal national, les autorités des Etats-membres de l’UE sont mieux équipés pour enquêter sur des affaires qui concernent aussi d’autres Etats-membres de l’UE, par exemple quand un suspect ou une victime d’une cybercriminalité se situe dans un autre pays. La législation de l’Union européenne facilite aussi la collaboration entre les autorités dans l’étude de la cybercriminalité, par exemple via la directive relative aux enquêtes européennes de 2014. En 2018, la Commission européenne a aussi proposé une nouvelle législation pour améliorer la collaboration transfrontalière afin d’avoir accès aux preuves électroniques dans les enquêtes pénales. L’accès aux preuves électroniques est actuellement nécessaire dans plus des deux-tiers de toutes les enquêtes pénales, et les instances répressives et la justice doivent disposer des bons outils pour une enquête efficace sur la cybercriminalité.”

Europol

“Pour terminer, l’Agence européenne pour la collaboration dans le domaine de la répression (Europol) joue aussi un rôle important dans la collaboration entre les autorités des Etats-membres et des autres pays dans la lutte contre la cybercriminalité et ce, dans le cadre du règlement Europol de 2016. Des exemples de ce rôle important sont le démantèlement du réseau criminel international qui est responsable du logiciel malveillant GozNym et du nettoyage des marchés du dark web inter­nationaux Wallstreet et Silkkitie en 2019 ainsi que le démantèlement de la plateforme d’infrastructure criminelle internationale Avalanche en 2016.”

exécution de l’EU cybersecurity act

Motion Control: quelles initiatives futures voulez-vous exécuter en tant que directeur?
”La priorité de notre équipe est de respecter la promesse de la Commission européenne relative à la mise en place d’une solide cyber­sécurité dans l’Union européenne. L’une de nos principales priorités dans les prochaines mois est l’exécution de l’EU Cybersecurity Act. En effet, notre équipe collabore déjà avec ENISA, l’Agence pour la Cyberprotection de l’UE, dans l’implémentation du nouveau man­dat de l’agence; nous avons commencé à travailler sur les régulations des certifications en cybersécurité pour les produits, services et processus ICT.

Par ailleurs, la finalisation des négociations sur le règlement UE proposé pour la création d’un centre et réseau de compétences pour la cybersécurité et le règlement proposé en matière de vie privée électronique, qui est un élément fondamental de la vie privée numérique, fait partie de notre travail actuel. L’implémentation de la directive SRI est une autre priorité, notamment en relation avec les infrastructures critiques. Un exemple qui mérite d’être mentionné, est notre travail relatif à la sécurité des réseaux 5G.

Et pour terminer, nous sommes en train de définir les priorités en cybersécurité pour les nouveaux programmes de financement de l’UE Horizon Europe et le programme Digital Europe, en étroite collaboration avec les Etats-membres de l’UE et d’autres parties concernées.”