« La Commission européenne proposera d'ici la fin du troisième trimestre 2012 une nouvelle obligation de notification des violations de la sécurité pour les secteurs bancaire, financier, de l'énergie et des transports », a déclaré un fonctionnaire qui travaille pour la stratégie numérique à la Commission.
Il a affirmé que les entreprises avaient tout intérêt à renforcer leurs protections contre les cyber-attaques, mais qu'elles n'en faisaient pas suffisamment pour défendre leurs infrastructures.
« Lorsqu'elles subissent une atteinte à leur sécurité, elles ne le rapportent généralement pas », a-t-il expliqué, assurant que la Commission cherchait un moyen d'obliger ces entreprises à le signaler.
« Ces obligations de signalement minent la réputation des entreprises qui sont victimes d'atteintes à leur sécurité. Cela devrait les pousser à investir davantage dans leur sécurité pour amenuiser leur vulnérabilité », a-t-il ajouté.
Suivre le modèle des TIC
Un autre fonctionnaire, de la direction de la Commission en charge de la justice et des affaires intérieures, a confirmé ce projet d'étendre les obligations de signalement à d'autres secteurs que ceux des télécommunications et de l'Internet qui sont déjà soumis à ces règles en Europe.
La directive européenne sur le piratage informatique stipule que « lorsqu'il existe un risque particulier de violation de la sécurité du réseau, le fournisseur d'un service de communications électroniques accessible au public informe les abonnés de ce risque ».
Cette directive est actuellement le texte de référence en matière de cyber-sécurité, mais elle devrait bientôt être complétée par des règles plus strictes. Au début de cette année, la Commission européenne a présenté une nouvelle proposition législative visant à imposer des obligations de rapport sur les violations de données pour les entreprises du secteur des TIC qui sont la première cible de ce type d'attaques.
Viviane Reding, la commissaire européenne à la justice également chargée des questions liées à la vie privée, a proposé en janvier dernier, une obligation de rapport dans les 24 heures pour les entreprises des télécommunications et du secteur de l'Internet en cas de pertes de données.
Besoin de coopération
Impliquer le secteur privé pour une cyber-sécurité renforcée sera essentiel, dans la mesure où il possède 90 % des infrastructures sensibles dans l'UE, selon Europol, l'office européen de police.
Les institutions nationales et européennes devront par ailleurs accroître leur coopération pour lutter contre la cyber-criminalité. La Commission a récemment proposé la création d'un centre européen pour la cyber-criminalité qui devrait être opérationnel dès janvier 2013.
La coopération entre la myriade d'agences de sécurité sur le vieux continent est toutefois loin d'être garantie. « La cyber-criminalité est tellement répandue que nous ne sommes pas en compétition dans ce domaine », a déclaré Troels Ørting d'Europol qui devrait devenir le directeur de ce nouveau centre.
