L'Agence de l'Union européenne pour la cybersécurité (ENISA) a renforcé sa position d'acteur central de la cybersécurité en Europe. Voici ce qui ressort du dernier rapport d'activité rendu public. Le message clé de ce rapport est l'affirmation de la croissance significative de l'ENISA au cours d'une année charnière, celle de son 20e anniversaire.
Que faut-il retenir de ce (long) rapport?
- ENISA a intensifié ses efforts pour soutenir l'implémentation de nouvelles législations. Le soutien à la mise en œuvre de la Directive NIS2 reste l'une des plus grandes priorités de l'Agence.
- L'Agence a augmenté sa capacité à soutenir l'application du Cyber Resilience Act (CRA), entré en vigueur en décembre 2024, en traitant des demandes spécifiques de la Commission concernant les catalogues de produits et en préparant le terrain pour la Cyber Solidarity Act (CSOA).
- La Commission a demandé à ENISA de soutenir la certification des Portefeuilles d'identité numérique européenne (EUDI Wallets). Cela implique pour ENISA de développer un schéma de certification de cybersécurité européen.
- ENISA a obtenu l'autorisation d'agir en tant qu'Autorité de Numérotation CVE (CNA), renforçant ainsi le soutien à la divulgation coordonnée des vulnérabilités (CVD) et offrant à l'UE un outil essentiel pour la gestion des vulnérabilités.
- L'Agence a consolidé ses connaissances en publiant le premier Rapport sur l'état de la cybersécurité dans l'Union (First State of the Union Cybersecurity Report), qui agrège l'information de l'ENISA Cybersecurity Index, du NIS Investment Report et du Threat Landscape.
- ENISA a consolidé son rôle en tant que secrétariat pour les réseaux clés de gestion de crise, le réseau CSIRTs et EU-CyCLONe. Cette fonction a été renforcée par l'adoption des conclusions du Conseil de décembre 2024.
- La mise en œuvre du septième exercice Cyber Europe, le plus grand jamais réalisé en Europe, a mis l'accent sur la résilience du secteur de l'énergie, illustrant l'engagement de l'Agence à faire progresser la préparation et les capacités de réponse paneuropéennes.
Soutien à la mise en oeuvre de la nouvelle législation européenne
L'Agence a intensifié ses opérations (scaling up its operations) pour soutenir l'entrée en vigueur et l'application des nouveaux textes législatifs, ce qui a renforcé la posture de cybersécurité de l'UE.
- Directive NIS2 (Network and Information Security Directive 2): Le soutien à l'implémentation rapide de NIS2 par les États membres (MS) est resté l'une des plus grandes priorités de l'Agence.
- ENISA a fourni une expertise et des orientations pour renforcer la résilience en matière de cybersécurité.
- L'Agence a fourni des conseils techniques à la Commission pour l'adoption des règles d'exécution relatives aux mesures de sécurité prévues par NIS2, en étroite collaboration avec le Groupe de coopération NIS (NIS CG).
- ENISA a également élaboré des lignes directrices techniques complètes à l'échelle de l'UE pour les mesures de sécurité NIS2.
- Le NIS Investment Report d'ENISA a servi de base pour évaluer la maturité sectorielle avant l'implémentation de NIS2, afin de servir de référence pour évaluer l'impact futur de la directive.
- Cyber Resilience Act (CRA) : ENISA a augmenté ses opérations pour soutenir l'implémentation de cet Acte.
- L'Agence a traité des demandes spécifiques de la Commission concernant les catalogues de produits. Ces travaux visent à élargir le soutien d'ENISA à la Commission et aux États membres.
- Le Conseil d'administration (conseil d’administration d’ENISA) a reconnu l'importance du CRA et a demandé à l'Agence de développer les capacités internes nécessaires pour s'engager dans ces activités. Le CRA est entré en vigueur en décembre 2024, bien que la plupart de ses obligations ne s'appliqueront qu'à partir du 11 décembre 2027.
- Cyber Solidarity Act (CSOA) : L'Agence a activement soutenu les travaux préparatoires relatifs au CSOA.
- Ce soutien comprenait des conseils techniques à la Commission sur l'évaluation de la maturité des Managed Security Service Providers (MSSP) et des aspects de mise en œuvre de la Cyber Reserve. Le CSOA est conçu pour renforcer les capacités de l'UE à se préparer et à répondre aux incidents et crises cybernétiques de grande ampleur
Le rôle d'ENISA concernant le EU-CyCLONe
Le rôle d'ENISA concernant le EU-CyCLONe (Cyber Crisis Liaison Organisation Network, le réseau d'organisations de liaison en cas de crise cybernétique de l'UE) est principalement celui de secrétariat et de facilitateur opérationnel.
En tant que secrétariat, l'Agence :
- Assure le fonctionnement de la couche opérationnelle (EU-CyCLONe), conformément aux dispositions de la Directive NIS2 (Article 16).
- Alimente tous les aspects des opérations du réseau en fournissant notamment l'infrastructure et les outils nécessaires.
- Soutient l'échange d'informations quotidien et le développement du réseau.
- Facilite les interactions au sein du réseau, à la fois en mode non escaladé et en mode escaladé (gestion de crise).
ENISA joue un rôle actif dans la préparation et la coordination des réponses aux incidents :
- L'Agence a soutenu la coordination de l'EU-CyCLONe lors d'événements majeurs et de situations d'intérêt pour l'UE, telles que les élections et les Jeux Olympiques.
- L'Agence a travaillé au renforcement de la conscience situationnelle partagée (shared situational awareness) au sein de l'EU-CyCLONe (en concert avec l'Activité 5a). Elle a fourni des rapports dédiés aux membres d'EU-CyCLONe pour soutenir leur développement.
- L'EU-CyCLONe a atteint la prochaine étape en termes d'évaluation d'impact et de coordination, ce qui a abouti à une première escalade de l'EU-CyCLONe en relation avec la situation des élections roumaines et une coordination conjointe avec le réseau CSIRTs.
- ENISA a organisé des sessions d'entraînement pour les Groupes de travail sur les Procédures Opérationnelles Standard (SOPs) et les exercices, notamment en ce qui concerne la coordination avec le réseau CSIRTs.
Enfin, ENISA est responsable de la production des documents officiels du réseau :
- L'Agence a rédigé le "Premier Rapport EU-CyCLONe pour le Parlement européen et le Conseil" (First EU Cyclone report for the European Parliament and Council), garantissant ainsi le compte rendu de la coopération.
- En concert avec les présidences du Conseil, l'équipe du secrétariat ENISA a rédigé et soutenu l'adoption des règles de procédure (rules of procedure), tel que mandaté par l'Article 16(4) de la Directive NIS2.
- De plus, l'infrastructure informatique qui supporte le réseau a été renforcée en 2024, notamment par la migration des outils EU-CyCLONe vers Microsoft Azure.
Le rôle d'ENISA concernant le réseau CSIRTs
Le rôle d'ENISA concernant le réseau CSIRTs (Computer Security Incident Response Team network) est principalement celui de secrétariat et de soutien opérationnel essentiel, tel que mandaté par la Directive NIS2.
D’abord, ENISA est explicitement identifiée comme le secrétariat du réseau CSIRTs.
En tant que secrétariat, l'Agence :
- Soutient et assure le fonctionnement de la couche technique (réseau CSIRTs).
- Alimente tous les aspects des opérations du réseau, en fournissant notamment l'infrastructure et les outils nécessaires.
- Fournit un soutien opérationnel continu et un soutien au partage d'informations aux membres du réseau CSIRTs.etc
- Coordonne le déploiement complet des services centraux du réseau CSIRTs, ce qui a permis d'atteindre un niveau de coopération supérieur en 2024, en permettant la mise à l'échelle et la fédération de services.
- Ensuite, ENISA est chargée de produire des rapports officiels pour le réseau CSIRTs et d'assurer le suivi des travaux.
- ENISA a rédigé le "Premier Rapport NIS2 du Réseau CSIRTs au Groupe de Coopération" (First CSIRTs Network NIS2 Report to the Cooperation Group), comme l'exige l'Article 15(4) de NIS2.
- L'Agence a également soutenu les discussions au sein des groupes de travail (WGs) axés sur la mise à jour des procédures, la maturité, la formation et la révision des documents fondateurs de la directive NIS2.
Publication du premier rapport sur l'état de la cybersécurité dans l'Union
Ce rapport est considéré comme une réalisation marquante de l'année pour l'Agence. Le rapport a été publié pour fournir un aperçu fondé sur des preuves (evidence-based overview) de l'état d'avancement de la cybersécurité et une évaluation des capacités de cybersécurité dans toute l'Europe. Il a été livré au Parlement européen en décembre 2024.
Ce document a été rendu possible grâce à la consolidation de données provenant de plusieurs sources majeures d'ENISA, notamment l'ENISA Cybersecurity Index (EU-CSI) (qui sert de référence (baseline) pour le rapport), le NIS Investment Report, le ENISA Threat Landscape 2024 et le Foresight 2030 Threats Report.
Le rapport comprend des recommandations politiques (policy recommendations) visant à combler les lacunes identifiées et à renforcer la cybersécurité, la coopération et la résilience au niveau de l'UE.
Mise en oeuvre du septième exercice cyber Europe
L'exercice Cyber Europe 2024 est l'un des engagements principaux d'ENISA pour faire progresser la préparation et les capacités de réponse en cas de crise. Il s'agissait de la 7e édition de l'exercice. Le rapport le qualifie d'un des plus grands exercices de cybersécurité jamais réalisés en Europe. L'exercice s'est concentré sur la résilience du secteur de l'énergie de l'UE, un pilier essentiel du marché unique numérique.
L'exercice a réuni 30 agences nationales de cybersécurité, plusieurs agences, organismes et réseaux de l'UE, ainsi que plus de 1 000 experts. Ces experts soutenaient un large éventail de domaines, y compris la réponse aux incidents et la prise de décision.
L'exercice a démontré un engagement à faire progresser la préparation et la réponse aux incidents, notamment par le test réussi de la solution technique 'Blueroom' d'ENISA dans la configuration d'exercice la plus complexe jamais proposée par l'Agence. De plus, les exercices menés par ENISA sont désormais alignés sur les rôles identifiés dans le Cadre européen des compétences en cybersécurité (ECSF).
Lancement de l'action de soutien à la cybersécurité d'ENISA (ENISA Cybersecurity Support Action)
Cette action vise à développer davantage les capacités de préparation et de réponse cybernétique aux niveaux de l'UE et des États membres pour les incidents transfrontaliers à grande échelle.
L'Agence a mis en œuvre et livré des services ex ante et ex post (préparation et post-incident) dans le cadre de ce programme. L'exécution du programme a vu la participation réussie des 27 États membres.
Un total de 482 demandes de services ont été consolidées. Sur ce total, 157 demandes ont été entièrement traitées et clôturées au cours de l'année 2024.
Les services fournis comprenaient : 65 tests d'intrusion (pentests) ou chasse aux menaces (threat hunting), l'établissement de 9 nouveaux dispositifs d'intervention en cas d'incident (incident response retainers), l'organisation de 2 exercices spécifiques, la mise en place de 32 formations (training engagements) et 6 autres services ad hoc.
Adoption du premier acte d'exécution sur la certification de cybersécurité de l'UE
Cette réalisation est un jalon majeur dans le domaine de la certification des produits et services TIC.
Le règlement d'exécution sur le système de certification de cybersécurité de l'UE sur les Critères Communs (EUCC) a été publié au Journal officiel. L'acte d'exécution est entré en vigueur en février 2024 pour les dispositions relatives à la notification des organismes d'évaluation de la conformité.
Le conseil d’administration d’ENISA a reconnu que l'adoption de ce premier acte d'exécution sur l'EUCC est un jalon significatif dans le domaine de la certification qui ouvre la voie à des produits certifiés dans l'UE.
Obtention de l'Autorité d'Enregistrement des Vulnérabilités (CVE Numbering Authority – CNA)
L'acquisition de ce statut renforce considérablement la capacité d'ENISA à gérer les vulnérabilités et à soutenir la communauté opérationnelle de l'UE.
ENISA a été autorisée en tant qu'Autorité de Numérotation CVE (CNA). Ce statut équipe l'UE d'un outil essentiel conçu pour améliorer la gestion des vulnérabilités et des risques qui y sont associés.
Cette autorisation a permis de renforcer le soutien fourni aux équipes de réponse aux incidents de sécurité informatique (CSIRTs) de l'UE en matière de divulgation coordonnée des vulnérabilités (CVD). ENISA est désormais autorisée à attribuer des identifiants CVE et à publier des enregistrements pour les vulnérabilités signalées aux CSIRTs de l'UE.
Parallèlement, ENISA a progressé dans la mise en œuvre de la première phase de la Base de Données des Vulnérabilités de l'UE (EUVD), qui fournira des informations agrégées, fiables et exploitables sur les vulnérabilités affectant les produits et services TIC. ENISA a finalisé la première phase de l'EUVD, le concept de preuve étant achevé et l'environnement de production lancé
Budget et personnel
La dotation budgétaire de l'UE (y compris les fonds de l'AELE) pour ENISA a augmenté, passant de 21,1 millions d'euros en 2020 à 26,2 millions d'euros en 2024 (soit une augmentation de 24 % sur cinq ans).
Le budget final, incluant les subventions de l'UE et les fonds provenant des accords de contribution (tels que le programme Digital Europe Programme—DEP), s'élevait à 42,2 millions d’euros.
Au 31 décembre 2024, l'Agence comptait un total de 121 membres du personnel statutaire en interne (incluant les agents temporaires et les agents contractuels).
ENISA a accueilli 26 nouveaux membres du personnel en 2024, dont cinq agents temporaires, 17 agents contractuels (dont 12 affectés aux activités financées par l'accord de contribution) et quatre experts nationaux détachés.
Une activité à l’international
L'Agence a opérationnalisé des arrangements de travail (working arrangements) avec l'Ukraine (SSSCIP/HCSCC) et les États-Unis (CISA – Cybersecurity and Infrastructure Security Agency). Ces arrangements incluent l'établissement de plans de travail pour des actions de coopération.
ENISA soutient les dialogues externes de l'UE, notamment avec le Japon, l'Ukraine, le Royaume-Uni et les États-Unis.
L'Agence a établi des actions avec des régions voisines telles que les Balkans occidentaux, en consolidant un catalogue de services pour l'action de croissance dans ces régions.
ENISA a été invitée à contribuer aux développements politiques du Groupe de travail sur la cybersécurité du G7 (G7 Cybersecurity Working Group) via la délégation de l'UE.
Une coopération opérationnelle et renseignement sur les menaces
L'ENISA mène des activités opérationnelles transfrontalières pour améliorer la conscience situationnelle collective :
- Échanges de Renseignement sur les Menaces (CTI) : ENISA a exécuté des échanges sur la situation des menaces avec l'Ukraine (quatre échanges) et un échange avec la CISA (États-Unis).
- Cyber Partnership Programme (CPP) : Ce programme de coopération volontaire et non commercial avec le secteur privé vise à améliorer la visibilité et la compréhension des menaces, des vulnérabilités et des incidents. Il cible des entreprises du monde entier (around the world) à travers toute la chaîne d'approvisionnement.
- Événements et Exercices : L'Agence soutient la coordination des parties prenantes lors d'événements majeurs (comme les Jeux Olympiques de Paris ou les élections) et organise des événements internationaux, comme sa participation à des conférences et événements internationaux pour promouvoir la certification UE.
ENISA étend son influence à la normalisation et à la réglementation au niveau mondial :
- ENISA a obtenu le statut de Conseiller (Counsellor) auprès de l'Institut européen des normes de télécommunications (ETSI) (European Telecommunications Standards Institute) sous la délégation de la Commission, lui donnant un rôle proactif dans la normalisation.
- ENISA est devenue une Autorité de Numérotation CVE (CNA), ce qui renforce le soutien à la divulgation coordonnée des vulnérabilités (CVD) au sein de l'UE et la positionne par rapport aux systèmes internationaux.
Partenaires de coopération opérationnelle et de gestion de crise
ENISA joue un rôle central dans l'écosystème cybernétique opérationnel de l'UE, notamment avec:
- CERT-EU (Computer Emergency Response Team for the EU Institutions, Bodies and Agencies) : ENISA coopère étroitement avec CERT-EU pour renforcer la réponse coopérative. L'Agence produit l'EU Joint Cyber Assessment Report (EU-JCAR) conjointement avec CERT-EU et Europol EC3, fournissant un outil technique essentiel pour la conscience situationnelle commune de l'UE. Un accord a été lancé en 2024 pour un projet pilote de service partagé (shared-service offering) sur l'évaluation des risques avec CERT-EU.
- Europol EC3 (Centre européen de la cybercriminalité) : ENISA coopère avec Europol EC3 en tant qu'entité opérationnelle externe. Outre la co-production de l'EU-JCAR, ENISA a réalisé sa première rotation de personnel au sein d'EC3 en 2024, ce qui a permis une participation effective aux opérations de cybercriminalité et une meilleure compréhension mutuelle des processus.
- EEAS (Service européen pour l'action extérieure) : L'EEAS contribue également, en tant qu'EUIBA, à l'EU-JCAR. ENISA a collaboré avec l'EEAS sur la cartographie des menaces de manipulation et d'interférence de l'information étrangère et pour la préparation de procédures opérationnelles standard (SOPs) en cas d'incidents majeurs.
Des partenariats réglementaires, politiques et opérationnels
- La Commission européenne : La Commission est un partenaire majeur et est représentée au Conseil d'administration d'ENISA. ENISA lui fournit des conseils techniques et un soutien pour l'implémentation de la Directive NIS2, du Cyber Resilience Act (CRA) (notamment sur les catalogues de produits) et des travaux préparatoires pour le Cyber Solidarity Act (CSOA).
- Certification de Cybersécurité : ENISA travaille avec la Commission et les États membres sur la mise en œuvre de schémas de certification, notamment en soutenant le European Cybersecurity Certification Group (ECCG) et le Stakeholder Cybersecurity Certification Group (SCCG). L'Agence a notamment été sollicitée pour développer un schéma de certification pour les Portefeuilles d'identité numérique européenne (EUDI Wallets).
- Autorités de Surveillance Financière (ESAs) : ENISA a signé un Protocole d'accord (MOU) multilatéral avec les trois autorités européennes de surveillance (ESAs) – l'Autorité bancaire européenne (EBA), l'Autorité européenne des assurances et des pensions professionnelles (EIOPA) et l'Autorité européenne des marchés financiers (ESMA). Ce MOU vise à renforcer la coopération dans des domaines d'intérêt mutuel, y compris l'application du Digital Operational Resilience Act (DORA).
- ECCC (Centre européen de compétences en cybersécurité) : ENISA est reconnue comme un partenaire de confiance de l'ECCC et collabore dans les domaines de la recherche et de l'innovation (R&I). ENISA fournit également des services de DPO et de comptabilité à l'ECCC dans le cadre d'un accord de niveau de service (SLA). Le Conseil d'administration demande à ENISA de collaborer avec l'ECCC pour l'attestation des compétences en cybersécurité.
- Agences de Transport et de Régulation : ENISA collabore avec l'Agence de l'Union européenne pour les chemins de fer (ERA) pour organiser des conférences sur la cybersécurité dans le secteur ferroviaire. Elle est également un observateur auprès de l'Agence de la sécurité aérienne de l'Union européenne (EASA).
- eu-LISA : ENISA a un accord de niveau de service (SLA) avec eu-LISA (l'agence gérant les systèmes informatiques à grande échelle de l'UE) pour fournir un soutien sur la planification, l'exécution et l'évaluation des exercices.
synthèse et traduction par Pierre Berthelet alias securiteinterieure.fr
A lire aussi sur securiteinterieure.fr :
- L’agence européenne de cybersécurité doit hiérarchiser ses priorités…mais pas trop!
- L’agence européenne de cybersécurité ne doit pas être un donneur d’ordre aux agences nationales
