Les organes de l'UE doivent renforcer leur préparation à la cybersécurité

Le nombre de cyberattaques contre les organes de l'UE augmente fortement. Le niveau
de préparation à la cybersécurité au sein des organes de l'UE varie et n'est globalement pas
à la mesure des menaces croissantes. Étant donné que les organes de l'UE sont fortement
interconnectés, une faiblesse dans l'un peut exposer les autres à des menaces de sécurité.
Telle est la conclusion d'un rapport spécial de la Cour européenne des
Auditeurs qui examinent le degré de préparation des organes directeurs de l'UE
contre les cybermenaces. Les auditeurs recommandent que la cybersécurité contraignante
des règles devraient être introduites, et le montant des ressources disponibles pour
L'équipe d'intervention en cas d'urgence informatique (CERT-EU) devrait être renforcée. le
La Commission européenne devrait également promouvoir une plus grande coopération entre les
organismes, disent les auditeurs, tandis que le CERT-EU et l'Agence de l'Union européenne pour
La cybersécurité devrait se concentrer davantage sur les organes de l'UE qui ont moins
expérience dans la gestion de la cybersécurité.*

Les incidents de cybersécurité significatifs dans les organes de l'UE ont augmenté de plus de
décuplé entre 2018 et 2021 ; le télétravail a considérablement augmenté
le nombre de points d'accès potentiels pour les attaquants. Incidents significatifs
sont généralement causées par des cyberattaques complexes qui impliquent généralement l'utilisation
de nouvelles méthodes et technologies, et peut prendre des semaines voire des mois pour
enquêter et s'en remettre. Un exemple a été la cyberattaque sur le
Agence européenne des médicaments, où des données sensibles ont été divulguées et manipulées
saper la confiance dans les vaccins.

"*Les institutions, organes et agences de l'UE sont des cibles attrayantes pour les
les attaquants, en particulier les groupes capables d'exécuter des
attaques furtives à des fins de cyber-espionnage et à d'autres fins néfastes* », a déclaré
Bettina Jakobsen, membre de la CCE qui a dirigé l'audit. “*Ces attaques peuvent avoir
implications politiques importantes, nuire à la réputation globale de l'UE,
et saper la confiance dans ses institutions. L'UE doit intensifier ses efforts pour
protéger ses propres organisations.* »

La principale conclusion des auditeurs était que les institutions, organes et
les agences ne sont pas toujours bien protégées contre les cybermenaces. Ils ne
aborder la cybersécurité de manière cohérente, les contrôles essentiels et les clés
les bonnes pratiques de cybersécurité ne sont pas toujours en place, et la cybersécurité
la formation n'est pas systématiquement dispensée. L'allocation des ressources à
la cybersécurité varie considérablement et un certain nombre d'organismes de l'UE dépensent
beaucoup moins que des pairs comparables. Bien que des différences dans
les niveaux de cybersécurité pourraient théoriquement être justifiés par les différents risques
profils de chaque organisation et les différents niveaux de sensibilité des
données qu'ils manipulent, les auditeurs soulignent que les faiblesses en matière de cybersécurité
un seul organe de l'UE peut exposer plusieurs autres organisations à la cybersécurité
menaces (les organes de l'UE sont tous connectés les uns aux autres, et souvent à des
organisations privées dans les États membres).

L'équipe d'intervention en cas d'urgence informatique (CERT-EU) et l'Union européenne
l'Agence européenne pour la cybersécurité (ENISA) sont les deux principales entités de l'UE chargées de
fournir un soutien en matière de cybersécurité. Cependant, ils n'ont pas été en mesure de
fournir aux organes de l'UE tout le soutien dont ils ont besoin, en raison des ressources
contraintes ou la priorité donnée à d'autres domaines. Le partage d'informations est
également une lacune, selon les auditeurs: par exemple, tous les organes de l'UE ne disposent pas
produire des rapports en temps opportun sur les vulnérabilités et la cybersécurité importante
incidents qui les ont touchés et qui pourraient en toucher d'autres.

Actuellement, il n'existe pas de cadre juridique pour la sécurité de l'information et
la cybersécurité dans les institutions, agences et organes de l'UE. Ils ne font pas l'objet
à la législation européenne la plus large en matière de cybersécurité, la directive NIS de 2016, ou
à sa proposition de révision, la directive NIS2. Il n'y a pas non plus
des informations complètes sur le montant dépensé par les organes de l'UE
la cyber-sécurité. Les règles communes sur la sécurité de l'information et sur
la cybersécurité pour tous les organes de l'UE sont inclus dans la communication sur l'UE
Stratégie pour l'union de la sécurité pour la période 2020-2025, publiée par la
Commission en juillet 2020. Dans la stratégie de cybersécurité de l'UE pour le numérique
Décennie, publiée en décembre 2020, la Commission s'est engagée à proposer une
règlement établissant des règles communes en matière de cybersécurité pour tous les organes de l'UE. Ça aussi
a proposé l'établissement d'une nouvelle base juridique pour le CERT-EU afin de renforcer
son mandat et son financement.

e>

Publicité

Partagez cet article: