Début des activités pour l’Agence européenne sur la sécurité des réseaux et de l’information

Publié le 04/04/2004 par Etienne Wery

Le règlement du 10 mars 2004 a institué l’Agence européenne chargée de la sécurité des réseaux et de l’information en abrégé ENISA). L’agence a entamé sa vie officielle le 14 mars 2004 pour une période de cinq ans. Elle vient d’ouvrir son site web (www.enisa.eu.int) dont le contenu est certes encore pauvre, mais qui nous…

Le règlement du 10 mars 2004 a institué l’Agence européenne chargée de la sécurité des réseaux et de l’information en abrégé ENISA). L’agence a entamé sa vie officielle le 14 mars 2004 pour une période de cinq ans. Elle vient d’ouvrir son site web (www.enisa.eu.int) dont le contenu est certes encore pauvre, mais qui nous donne l’occasion de revenir sur une institution dont le secteur IT attend beaucoup.

Pourquoi une agence ?

Nul ne contestera que les réseaux de communication et les systèmes d’information sont devenus un facteur clé du développement de l’économie et de la société. Le règlement créant l’Agence énonce même que « L’informatique et les réseaux deviennent désormais des services tout aussi omniprésents que l’approvisionnement en électricité ou en eau ». Diantre !

La conclusion est évidente : la sécurité des réseaux de communication et des systèmes d’information, et en particulier leur disponibilité, est devenue un sujet de préoccupation croissant pour la société, notamment parce que des systèmes d’information clés pourraient, en raison de la complexité des systèmes, d’un accident, d’une erreur ou d’une attaque, connaître des problèmes susceptibles d’avoir des répercussions sur les infrastructures physiques qui fournissent des services vitaux pour le bien-être des citoyens de l’Union européenne.

Et il est vrai que le passé nous enseigne que les conséquences de pannes, dysfonctionnement et autre menaces, intentionnelles ou non, s’apparentent parfois à un scénario de film-catastrophe.

Le hic, c’est que la complexité des systèmes augmente chaque jour, et que tout étant interconnecté, ce qui arrive chez le voisin a un impact immédiat chez soi. Qui ne se souvient des pannes d’électricité que le USA ont connu l’an passé. Qu’un seul élément « plante » et c’est tout le système qui tombe ; et quand cet élément est chez le voisin, ou sur la frontière, c’est encore pire.

D’où l’idée d’une agence européenne : « L’établissement d’une agence européenne (…) qui constituerait une référence et inspirerait confiance du fait de son indépendance, de la qualité de ses conseils et de l’information qu’elle diffuse, de la transparence de ses procédures et de ses modes de fonctionnement ainsi que de la diligence avec laquelle elle s’acquitte des tâches qui lui sont confiées, répondrait à ces besoins. L’Agence devrait s’appuyer sur les initiatives prises aux niveaux national et communautaire et par conséquent exécuter ses tâches en totale coopération avec les États membres et être ouverte à tout contact avec les entreprises et les autres parties concernées. Les réseaux électroniques étant dans une large mesure détenus par le secteur privé, l’Agence devrait s’appuyer sur les informations fournies par celui-ci et travailler en coopération avec lui ».

Les missions de l’agence

Précision importante : dans l’exercice de ses tâches, l’Agence ne devrait pas porter atteinte aux compétences et ne devrait pas empiéter sur les pouvoirs et les tâches, ni les entraver ou les recouper, qui sont attribués aux autres intervenants, soit :

• les autorités réglementaires nationales définies dans les directives relatives aux réseaux et services de communications électroniques ainsi qu’au groupe des régulateurs européens dans le domaine des réseaux et services de communications,

• les organismes européens de normalisation, les organismes nationaux de normalisation et le comité permanent (directive 98/34/CE prévoyant une procédure d’information dans le domaine des normes et réglementations techniques et des règles relatives aux services de la société de l’information),

• les autorités de contrôle des États membres pour ce qui est de la protection des personnes physiques à l’égard du traitement des données à caractère personnel et de la libre circulation de ces données.

Mais alors, que fait l’ENISA ? Ses tâches sont énoncées dans l’article 3 du règlement :

1. a) collecter les informations appropriées pour analyser les risques actuels et émergents et, en particulier au niveau européen, ceux qui pourraient avoir une incidence sur la résistance aux pannes des réseaux de communications électroniques et sur leur disponibilité ainsi que sur l’authenticité, l’intégrité et la confidentialité des informations accessibles et transmises par leur intermédiaire, ainsi que fournir les résultats de l’analyse aux États membres et à la Commission;

2. b) fournir des conseils au Parlement européen, à la Commission, aux organismes européens ou aux organismes nationaux compétents désignés par les États membres et, lorsqu’elle y est invitée, leur fournir une assistance entrant dans le cadre de ses objectifs;

3. c) renforcer la coopération entre les différents acteurs dans le domaine de la sécurité des réseaux et de l’information, notamment en organisant périodiquement des consultations avec les entreprises et les universités ainsi que d’autres secteurs concernés et en créant des réseaux de contacts à l’usage des organismes communautaires, des organismes du secteur public désignés par les États membres, des organismes du secteur privé et des organisations des consommateurs;

4. d) faciliter la coopération entre la Commission et les États membres dans l’élaboration de méthodologies communes destinées à prévenir les problèmes de sécurité des réseaux et de l’information, à les gérer et à y faire face;

5. e) contribuer à la sensibilisation de tous les utilisateurs et à ce qu’ils puissent accéder en temps utile à des informations objectives et complètes sur la problématique de la sécurité des réseaux et de l’information, notamment par la promotion des échanges des meilleures pratiques actuelles, y compris les méthodes d’alerte des utilisateurs, et par la recherche de synergies entre les initiatives du secteur public et du secteur privé;

6. f) assister la Commission et les États membres dans le dialogue qu’ils mènent avec les entreprises en vue de gérer les problèmes de sécurité que posent les matériels et les logiciels;

7. g) suivre l’élaboration des normes pour les produits et services en matière de sécurité des réseaux et de l’information;

8. h) fournir à la Commission des conseils sur la recherche en matière de sécurité des réseaux et de l’information ainsi que sur l’utilisation efficace des technologies de prévention des risques;

9. i) promouvoir des activités d’évaluation des risques, encourager des solutions interopérables de gestion des risques et favoriser la réalisation d’études sur les solutions en matière de gestion des mesures de prévention au sein des organisations des secteurs public et privé;

10. j) contribuer aux initiatives communautaires visant à coopérer avec les pays tiers et, le cas échéant, avec des organisations internationales pour oeuvrer en faveur d’une approche globale commune à l’égard de la problématique de la sécurité des réseaux et de l’information, contribuant ainsi à l’émergence d’une culture de la sécurité des réseaux et de l’information;

11. k) formuler de manière indépendante ses propres conclusions, orientations et conseils sur des questions entrant dans le cadre de son champ d’application et de ses objectifs.

Fonctionnement

L’Agence comporte : un conseil d’administration ; un directeur exécutif, et un groupe permanent des parties prenantes.

Les deux premiers organes nécessitent pas beaucoup d’explication. Quant au « groupe permanent des parties prenantes », il est composé d’experts représentant les parties concernées, comme les entreprises du secteur des technologies de l’information et de la communication, les organisations de consommateurs et les experts universitaires en matière de sécurité des réseaux et de l’information. Le groupe peut conseiller le directeur exécutif dans l’exercice de ses fonctions au titre du présent règlement, lors de l’élaboration d’une proposition de programme de travail pour l’Agence ainsi que pour ce qui est de communiquer avec les parties concernées sur toutes les questions liées au programme de travail.

Les demandes de conseils et d’assistance qui entrent dans le cadre du champ d’application, des objectifs et des tâches de l’Agence sont adressées au directeur exécutif et accompagnées d’informations générales expliquant la question devant être traitée. Le directeur exécutif informe la Commission des demandes reçues. Si l’Agence rejette une demande, elle doit motiver son refus.

Ces demandes peuvent être introduites par :

• le Parlement européen

• la Commission

• un organisme compétent désigné par un État membre, tel qu’une autorité réglementaire nationale au sens de l’article 2 de la directive 2002/21/CE.

L’Agence est un organisme de la Communauté. Elle a la personnalité juridique. Dans chaque État membre, l’Agence jouit de la capacité juridique la plus étendue accordée aux personnes morales en droit national. Elle peut notamment acquérir et aliéner des biens immobiliers et mobiliers et ester en justice. Elle est représentée par son directeur exécutif.

Plus d’infos ?

En prenant connaissance du Règlement, disponible sur notre site.