L’UE propose une cyberloi pour réparer l’Internet des objets inégal
La Commission européenne a présenté jeudi une nouvelle proposition de loi sur la cyber-résilience visant à imposer de nouvelles exigences en matière de cybersécurité aux appareils connectés à Internet, allant des jouets et réfrigérateurs « intelligents » aux caméras de sécurité.
Les fabricants de produits connectés numériquement devraient satisfaire aux nouvelles exigences de l’UE, que les produits soient fabriqués dans l’UE ou non. La loi garantirait que les produits portant le marquage CE satisfont à un niveau minimum de contrôles de cybersécurité. Les produits sensibles qui enfreignent les règles s’exposent à des amendes pouvant atteindre 15 millions, soit 2,5% du chiffre d’affaires mondial, selon le montant le plus élevé.
« Nous devons protéger notre espace informatique, notre cyberespace et notre marché intérieur », a déclaré le commissaire européen au Marché intérieur Thierry Breton, montrant une caméra connectée à Internet et avertissant qu’un tel appareil pourrait présenter des risques de piratage et même d’espionnage soutenu par l’État.
Une annexe jointe à la législation explique comment il y aurait deux catégories de produits : une pour les produits critiques, qui couvrira environ 10 % du marché ; et une deuxième catégorie qui couvrira tous les autres produits. Pour les produits à faible risque, la Commission demandera aux entreprises d’effectuer une auto-évaluation indiquant qu’un produit répond aux normes de cybersécurité. Pour ceux qui peuvent présenter un risque de cybersécurité significatif, un fabricant devra prouver qu’il satisfait aux exigences auprès d’une autorité nationale ou par le biais d’une évaluation par un tiers.
Pour les téléphones portables, par exemple, « les éléments de cybersécurité d’un produit comme celui-ci échappent à la réglementation. Et c’est ce que nous allons aborder », a déclaré Margaritis Schinas, vice-présidente de la Commission chargée de la politique de sécurité.
En vertu de la nouvelle loi, la Commission aurait également le pouvoir d’ordonner à l’Agence européenne de cybersécurité ENISA d’évaluer si un produit présente un risque significatif pour la cybersécurité et de rappeler un produit si c’est le cas.
Le nouveau projet de loi doit encore être examiné par le Parlement européen et le Conseil de l’UE avant de devenir loi.