October 22, 2015 by Think Defence

The European Union Agency for Network and Information Security (ENISA) is a centre of network and information security expertise for the EU, its member states, the private sector and Europe’s citizens. ENISA works with these groups to develop advice and recommendations on good practice in information security.

Every two years, they hold a large-scale exercise called Cyber Europe.

Read more

17 mars 2015 par ENISA - globalsecuritymag.fr

Le Directeur général de l’ENISA, Udo Helmbrecht, a livré un discours aujourd’hui Lundi 16 mars 2015, lors d’une conférence de la Sous-commission SEDE (Sécurité et défense) du Parlement européen à Bruxelles, dans un échange d’opinions sur la cybersécurité et la cyberdéfense.

Les sujets évoqués ont inclus :

L’évaluation précise de l’ensemble des menaces et la compréhension des dynamiques informatiques comme outils cruciaux pour une gestion de la sécurité active et agile

Le rôle décisif des CERTs – équipes d’intervention en cas d’urgence informatique – dans les développements de « bases communes de capacités » et d’un réseau Européen répondant aux urgences et cyber-menaces

Le développement de cyber-exercices paneuropéens et de coopération entre les Etats Membres

La protection des infrastructures informationnelles essentielles (CIIP) et le développement d’une démarche commune de rapports d’incidents en Europe, réunissant les Autorités Règlementaires Nationales et celles chargées de la Protection des Données

Le développement de Stratégies Nationales de Cybersécurité (NCSS) dans les Etats Membres

La nécessité d’une législation européenne protégeant la vie privée, en requérant aux développeurs et fournisseurs de services d’élaborer des mesures de protection des données depuis la phase de conception (« sécurité dès la conception »)

La nécessité de technologies et services SRI fiables (un modèle commercial innovant pour les entreprises européennes fournissant des produits et services de cybersécurité) pour faire de l’UE le marché unique de premier choix pour les gouvernements et pour l’industrie

Ces défis pour le futur montrent que la cybersécurité et les cyber-attaques arborent différents aspects. Des actions fermes vont devoir être employées compte tenu d’une évolution notable attendue des menaces les plus importantes. Pour faire face à cela, une coopération entre les Etats Membres, les Institutions européennes et autres acteurs majeurs sera d’une priorité absolue. De plus, il sera nécessaire d’établir des moyens de prévention, de détection et des capacités de réaction à échelle européenne ainsi que la mise en œuvre de systèmes d’alerte précoce.

Udo Helmbrecht a déclaré : « La protection de l’information, des systèmes d’information et infrastructures contre ces menaces couplée à l’emploi des systèmes TIC dans un environnement connecté à l’échelon mondial est inévitablement liée à des politiques de sécurité, et des capacités de défense solides et durables au sein d’une politique européenne commune. Il existe différents aspects liés à la cybersécurité et aux cyber-attaques. Cependant, les politiques de sécurité actuelles semblent employer des technologies similaires, c’est pourquoi il est difficile d’établir un jugement à la question de qui attaque quoi et pourquoi. Dans ce cadre, nous devons examiner ce que la cybersécurité peut offrir à un autre niveau, tout en contribuant et protégeant les citoyens européens. La sécurité informatique est la ‘frontière digitale’ de l’Union Européenne. »

Dans ce contexte, l’ENISA a donné une vue d’ensemble de sa contribution à échelle européenne. La conférence a été retransmise en direct et est disponible sur la librairie multimédia du Parlement Européen.

21/05/2013 Nelly MOUSSU

Le colloque sur « Les perspectives en matière de cyberdéfense après le Livre blanc » du 16 mai a notamment abordé la coopération européenne. La stratégie et la directive européenne en matière de cybersécurité, publiés en février dernier, pourraient être une avancée majeure pour la sécurité des systèmes d’information.

La Commission européenne et le Service européen pour l’action extérieure (SEAE) ont publié, en février dernier, une stratégie en matière de cybersécurité intitulée « un cyberespace ouvert, sûr et sécurisé ». Dans le même temps, le Parlement européen et le Conseil de l’Europe ont publié une proposition de directive concernant des mesures pour renforcer la sécurité des réseaux et de l'information dans l'Union européenne (UE). Le colloque sur « Les perspectives en matière de cyberdéfense après le Livre blanc » du 16 mai a notamment abordé la coopération européenne dans ce domaine.

Jusqu’à présent, les actions entreprises par l’Union européenne ne semblaient pas suffisantes. Du côté des États membres, beaucoup ne disposaient pas de moyens pour protéger leurs systèmes d’information. Quant au secteur public, il paraissait trop peu impliqué. Saisissant le sujet à bras le corps, des membres des institutions européennes ont défini des recommandations pour améliorer le niveau de sécurité informatique au sein de l’UE. « Même si la cyberdéfense doit demeurer une compétence première des États, car elle touche à la souveraineté nationale, il me semble indispensable, s’agissant d’une menace qui s’affranchit des frontières, de renforcer la coopération européenne », souligne le sénateur Jean-Marie Bockel, auteur d’un rapport d’information sur la cyberdéfense.

Plus de moyens et de coopération entre États

La stratégie européenne de cybersécurité liste des recommandations dont les objectifs sont multiples : développer une politique européenne de cyberdéfense, renforcer les moyens de prévention et d’opposition aux attaques, développer les ressources industrielles et technologiques en matière de cybersécurité, faire reculer la cybercriminalité, etc. Afin d’aider les États membres à mettre en œuvre ces recommandations, l’Agence européenne chargée de la sécurité des réseaux et de l’information (ENISA) pourra les conseiller et diffuser les bonnes pratiques existants déjà dans certains pays. La proposition de directive fixe quant à elle des obligations pour les États membres. Par exemple, elle leur imposerait de se doter d’une autorité nationale de cybersécurité, d’élaborer une stratégie nationale en la matière, de disposer d’une structure opérationnelle d’assistance en cas d’incidents informatiques.

Au cœur de ces documents se trouve l’idée d’une coopération renforcée entre États membres pour diffuser des alertes sur les incidents informatiques et y répondre, notamment grâce à la création d’un réseau européen des autorités nationales de cybersécurité. A la demande d’un État ou sur sa propre initiative, la Commission européenne pourrait ainsi demander aux membres de l’UE de fournir des informations sur un risque ou un incident. Après une alerte, les autorités compétentes pourraient décider d’une intervention coordonnées, conformément au plan de coopération de l’Union en matière de sécurité des réseaux et de l’information.

Miser sur les industriels

La stratégie invite les entreprises à s’engager plus fortement dans la cybersécurité en adoptant une véritable stratégie afin de se protéger des cyberattaques. Pour le sénateur Bockel, « l’une des principales avancées de la directive tient à la création d’une obligation de déclaration des incidents informatiques significatifs à l’autorité nationale compétente, qui serait applicable aux administrations publiques et aux opérateurs critiques, tels que les entreprises de certains secteurs jugés stratégiques, comme les banques, la santé, l’énergie et les transports ».

La stratégie préconise également de développer le secteur de l’industrie « cyber ». « Afin de garantir la souveraineté des opérations stratégiques ou la sécurité de nos infrastructures vitales, il est crucial de s’assurer de la maîtrise de certaines technologies fondamentales, dans des domaines comme la cryptologie, l’architecture matérielle et logicielle et la production de certains équipements de sécurité ou de détection », détaille le sénateur.

« La proposition de stratégie affirme l’importance de soutenir le développement d’une industrie européenne pérenne en matière de cybersécurité et de technologies de l’information et de la communication afin d’éviter toute dépendance critique de l’Europe en la matière, notamment via un soutien à l’innovation (R&D) », ajoute Jean-Baptiste Demaison, chargé des affaires européennes à l’Agence nationale de sécurité des systèmes d’information (ANSSI).

Un enjeu pour les États et plus particulièrement pour le secteur de la défense : « Les militaires doivent être interopérables entre alliés, et cette interopérabilité s'appuie fortement sur les systèmes d'information et de communication, souligne le lieutenant-colonel Patrice Tromparent de la Délégation des Affaires Stratégiques, nous sommes dépendants de l’industrie, c’est pourquoi il faut soutenir la création d’une base industrielle de technologie et de défense européenne spécialisée dans la cybersécurité. » Et pour éviter les doublons, la stratégie européenne invite notamment l’Agence européenne de Défense à promouvoir le développement cohérent de capacités et technologies cyberdéfense entre les Etats membres.  Pour Jean-Baptiste Demaison, ces documents « identifient le cadre de financement de la R&D "Horizon 2020" comme levier de soutien principal à l’innovation en matière de cybersécurité et de technologies de l’information et de la communication (TIC) en Europe. Mais au-delà du soutien à la R&D, devrait s’ajouter un soutien au développement et à la promotion de standards européens, en assurant notamment une meilleure coordination des travaux de normalisation en matière de cybersécurité au niveau européen. L'UE devrait également encourager l'industrie européenne à identifier les défis technologiques stratégiques de demain et à soutenir cette dernière afin qu'elle puisse y répondre. L'UE pourrait notamment œuvrer en faveur de l'émergence d'offres européennes d'infrastructures et de services Cloud de confiance en Europe, via un soutien à la R&D et au développement de normes européennes d'interopérabilité, de sécurité, etc. »

Et maintenant ?

Dans les mois qui viennent, le Parlement et le Conseil européen voteront pour décider de l’adoption ou non de la stratégie européenne de cybersécurité et de la proposition de directive. Ce dernier document est le seul qui obligerait les états membres à adapter leur législation. « Sans anticiper les discussions formelles qui se tiendront au Conseil de l’UE, il est possible d’indiquer à titre préliminaire qu’une législation européenne en matière de cybersécurité ne devrait en aucun cas prescrire un mode d’organisation spécifique du dispositif national de cybersécurité mais s’attacher davantage à décrire des « fonctions » communes minimales. Une telle législation devrait également tenir pleinement compte de la diversité existant entre les Etats membres de l’UE en matière de développement des capacités nationales de cybersécurité, et éviter toute harmonisation forcée au risque d’un résultat contreproductif » prévient Jean-Baptiste Demaison.

En France, la commission des Affaires étrangères et de la défense du Sénat a déjà adopté une proposition de résolution afin de faire connaître au gouvernement sa position sur ces deux textes. « Nous recommandons d’en approuver les orientations générales et d’appeler les institutions européennes et les Etats membres à une mise en œuvre rapide de ces priorités, insiste le sénateur Bockel. Ces documents constitueront un progrès et permettront d’accélérer la prise de conscience des enjeux liés à la cyberdéfense au niveau européen. »