28.01.2026
Le 20 janvier, la Commission européenne a présenté un paquet de mesures en matière de cybersécurité visant à renforcer la résilience, les capacités et la souveraineté de l’UE. Ce paquet comprend une proposition de règlement révisant le règlement 2018/881 sur la cybersécurité de 2019 ainsi qu’une proposition de directive visant à simplifier la directive 2022/2555 (NIS2), et complétant la mise en place d’un point d'entrée unique pour la notification des incidents proposé dans le paquet omnibus numérique.
Parmi les principales mesures, la proposition de règlement prévoit la possibilité d’imposer des restrictions à certains fournisseurs et équipementiers extra-européens qui seraient « à haut risque » pour la chaîne d’approvisionnement des technologies de l’information et de la communication (TIC). En effet, dans le contexte géopolitique actuel, la sécurité des chaînes d’approvisionnement ne se limite plus à la seule dimension technique des produits et des services, mais englobe également les risques liés aux fournisseurs, notamment les dépendances et les ingérences étrangères. Ces restrictions porteraient ainsi par exemple sur l’exclusion des travaux de normalisation européens, des fonctions de certification et d’évaluation de la conformité, des activités d'attestation autorisées, de la participation aux marchés publics ou encore à certains programmes financés par l’UE.
En outre, le projet de règlement propose de réviser le cadre de certification de cybersécurité européen, en élargissant son champ d’application, qui porterait désormais sur toute la chaîne des TIC, ainsi qu'en clarifiant et en simplifiant l’élaboration et la mise en œuvre des schémas de certification. À ce jour, un seul schéma de certification de l’UE a été adopté : le schéma européen de cybersécurité fondé sur les critères communs (EU Common Criteria - EUCC), dédié à la certification des produits TIC. Les autres schémas, tels que ceux relatifs aux services de cloud ou au portefeuilles d’identité numérique, sont encore en cours d’élaboration. Enfin, il s’agit aussi de renforcer les compétences de l’Agence européenne pour la cybersécurité (ENISA) afin de soutenir les entités et organisations concernées, ainsi que les États membres, dans le domaine de ce domaine.
S’agissant de la proposition de directive, les modifications ciblées apportées à la directive NIS2 concernent notamment la clarification du champ d’application et des définitions, la rationalisation de la collecte de données sur les attaques par rançongiciel, ou encore la facilitation de la supervision des entités transfrontalières au moyen du rôle de coordination renforcé de l'ENISA. La Commission serait également chargée d’adopter des lignes directrices sur l’application des exigences en matière de sécurité de la chaîne d'approvisionnement que les entités relevant du champ d'application de la directive NIS2 transmettent à leurs fournisseurs.
Pour en savoir plus : https://digital-strategy.ec.europa.eu/en/news/commission-strengthens-eu-cybersecurity-resilience-and-capabilities...
Lire la suite