L’Europe veut imposer des règles de cybersécurité pour les appareils connectés

Les fabricants d’objets connectés, d’ordinateurs portables ou encore d’applications mobiles, devront évaluer les risques de ces appareils en termes de cybersécurité et les corriger, conformément au projet de l’Union européenne annoncé ce jeudi.

L’Europe veut imposer des règles qui concernent les objets connectés présentant des risques en termes de cybersécurité.

D’après l’agence de presse Reuters, les entreprises qui ne respectent pas ces mesures s’exposent à des amendes pouvant atteindre 15 millions d’euros ou jusqu’à 2,5% de leur chiffre d’affaires mondial total, en vertu de la proposition de loi de la Commission européenne, le Cyber Resilience Act.

Des milliards d’euros économisés chaque année

Les entreprises pourraient économiser jusqu’à 290 milliards d’euros par an en cyberattaques, contre des coûts de mise en conformité d’environ 29 milliards d’euros, d’après l’exécutif européen. Il faut dire que de nombreux incidents ont été médiatisés ces dernières années, avec des pirates réclamant d’énormes rançons. Cela a donc augmenté les inquiétudes concernant les vulnérabilités des systèmes d’exploitation, des équipements réseau ou encore des logiciels.

« Nous sommes en droit d’attendre que les produits que nous achetons sur le marché unique soient sûrs. Tout comme nous pouvons faire confiance à un jouet ou à un réfrigérateur muni d’un marquage CE, nous pourrons, grâce à l’acte législatif sur la cyber-résilience, avoir l’assurance que les objets et les logiciels connectés que nous achetons offrent des garanties solides en matière de cybersécurité. »

Margrethe Vestager, commissaire européenne à la concurrence

Thierry Breton, commissaire européen au marché intérieur, a déclaré que de nombreux appareils sont vulnérables face au piratage. Selon lui : « Ordinateurs, téléphones, appareils électroménagers, dispositifs d’assistance virtuelle, voitures, jouets… chacun de ces centaines de millions de produits connectés est un point d’entrée potentiel pour une cyberattaque ».

D’après Reuters, les fabricants devront évaluer les risques liés à la cybersécurité de leurs produits et prendre les mesures appropriées pour résoudre les problèmes, pendant une période de cinq ans ou durant la durée de vie prévue du produit.

Des sanctions prévues en cas de non conformité

Les entreprises devront informer l’agence européenne de cybersécurité (ENISA) des incidents dans les 24 heures, une fois qu’elles ont auront eu connaissance des problèmes, et prendre des mesures pour les résoudre. Les importateurs et les distributeurs seront quant à eux tenus de vérifier que les produits sont bien conformes aux règles imposées par l’Union européenne.

Et si les entreprises ne sont pas en conformité, les autorités pourront interdire ou restreindre la mise à disposition d’un produit sur un marché en particulier. Le projet d’acte législatif sur la cyber-résilience doit maintenant être examiné par le Parlement européen et le Conseil.

https://twitter.com/ThierryBreton/status/1570354741162700802