Règlement sur la cybersécurité : renforcement de l’ENISA et cadre de certification

Le règlement de l’UE sur la cybersécurité confère à l’ENISA un mandat permanent et des ressources accrues, transformant cette agence temporaire en pôle central de l’Union en matière de cybersécurité. Il crée également un cadre de certification à l’échelle européenne pour les produits, services et processus TIC. Contrairement à NIS2, qui porte sur la notification des incidents et la gestion des risques dans les secteurs critiques, ce règlement vise à établir des normes de sécurité communes afin que, par exemple, un service en nuage certifié soit reconnu dans tous les États membres sans devoir subir d’essais nationaux supplémentaires.

Un piège fréquent à l’examen consiste à confondre les schémas de certification du règlement avec les obligations prévues par NIS2. Retenez que, si la question mentionne des « niveaux d’assurance » — élémentaire, substantiel ou élevé — ou des « schémas européens de certification de cybersécurité », il s’agit du règlement sur la cybersécurité. Si elle mentionne des « délais de notification des incidents » ou la « sécurité de la chaîne d’approvisionnement des entités essentielles », il s’agit de NIS2. Autre indice : le règlement n’impose pas directement de sanctions aux entreprises ; celles-ci découlent des législations nationales mettant en œuvre les schémas de certification.

Pour bien retenir ce point, considérez le règlement comme l’ensemble de règles régissant une sorte de « label de qualité en matière de cybersécurité » dans toute l’UE. Lorsque vous voyez une question sur le rôle permanent de l’ENISA ou sur les niveaux de certification, associez-la immédiatement à ce règlement et non à NIS2. Test mental rapide : « Cela concerne-t-il un certificat pour un produit ou un service ? » Si oui, il s’agit du règlement sur la cybersécurité.