L'UE renforce ses règles et normes de cybersécurité

Les entreprises européennes de certains secteurs stratégiques seront contraintes d'ici la fin 2018 de mieux se protéger contre les attaques en ligne et autres virus informatiques, en vertu d'une législation européenne approuvée mercredi par le Parlement européen.

Ces premières règles et normes de cybersécurité à l'échelle européenne s'imposeront à des services considérés comme essentiels, comme l'énergie, les transports, les services bancaires et de santé, aux moteurs de recherche ou encore aux services de stockage en ligne. 

Il s'agit «d'européiser» la sécurité des données et de «créer de la confiance, des normes européennes, une culture européenne de la cybersécurité», a souligné le commissaire européen chargé du dossier, Günther Oettinger. 

«Une protection fragmentaire de la cybersécurité nous rend tous vulnérables et pose un risque de sécurité important pour l'Europe dans son ensemble», a résumé de son côté le rapporteur du texte au Parlement européen, le conservateur allemand Andreas Schwab.

Le texte vise à renforcer la coopération entre pays de l'Union, en créant notamment un «groupe de coopération stratégique pour échanger l'information et aider les États membres à renforcer leurs capacités en matière de cybersécurité», selon les services du Parlement. Les entreprises victimes d'une attaque importante seront tenues de la signaler aux autorités.

L'enjeu est d'empêcher que ne se reproduisent des incidents ayant marqué les esprits ces derniers mois, comme l'attaque de la chaîne de télévision francophone TV5 par des hackers russes en avril 2015, ou encore celle ayant visé les systèmes informatiques de la compagnie aérienne polonaise LOT à Varsovie, deux mois plus tard. 

À l'aune de ces précédents, il faut désormais «contraindre les opérateurs d'infrastructures stratégiques, qui agissent par delà les frontières, à se préoccuper davantage (de cybersécurité) et de faire en sorte que de tels incidents ne puissent plus se reproduire», a expliqué M. Schwab. 

Pour l'eurodéputé écologiste allemand Jan Philipp Albrecht, «il faut saluer le fait que la directive s'appliquera aussi à des fournisseurs de services numériques comme Google ou Amazon, et les obligera à rendre publiques de graves attaques de hackers».

Mais «il aurait fallu imposer à ces fournisseurs des normes de sécurité plus sévères» car «le danger existe toujours qu'un fournisseur de services ne remédie pas à une faille de sécurité», a-t-il ajouté, regrettant que les acteurs de l'internet ne puissent être tenus pour responsables des dommages liés à des cyberattaques contre lesquelles ils se seraient mal défendus.