Summary

  • Le mandat adopté le 21 octobre par Council of the EU remplace le guichet européen de dépôt envisagé par European Commission par un point d'entrée dans chaque État membre.
  • Le site d'information proposé pour ENISA indiquerait les obligations et la bonne porte nationale ; il ne pourrait recevoir ni conserver un signalement d'incident.

L'incident traverse plusieurs réglementations, mais le déclarant cherche d'abord une adresse. Le projet initial de European Commission réunissait les dépôts dans un point d'entrée européen. La position du Conseil du 21 octobre dessine une autre circulation : un renseignement commun à l'échelle de l'Union, puis une réception nationale. La promesse d'une seule démarche dépendra du trajet du dossier après la première porte.

Le texte du mandat donne une limite très concrète au site d'ENISA. L'article 23a proposé lui demande d'identifier les règles de notification applicables et d'orienter l'entreprise vers le point d'entrée national compétent. Son paragraphe 4 lui interdit de soumettre, transmettre, stocker ou traiter la notification elle-même. Le site ne recueillerait pas non plus de données permettant d'identifier l'auteur du signalement ou l'incident. Voilà un excellent plan du bâtiment, sans boîte aux lettres au milieu du hall.

À l'article 23b, chaque État membre prend la main sur la réception. Il peut raccorder ses systèmes existants et distribuer les informations entre autorités compétentes et équipes de réponse aux incidents. Le texte demande de rechercher l'interopérabilité entre points d'entrée nationaux. ENISA préparerait des recommandations techniques et organisationnelles non contraignantes ainsi qu'une solution ouverte que les pays pourraient utiliser. Aucune façade commune ne dispense ces guichets de savoir échanger entre eux.

Le mandat reconnaît le coût possible des adaptations nationales et des liaisons transfrontières. Il prévoit aussi un travail sur l'harmonisation des notifications et sur les incidents touchant plusieurs pays. Pour un déclarant, le vrai confort sera de comprendre quelle obligation s'applique, d'envoyer les informations à la bonne autorité et de retrouver un accusé de réception exploitable.

Le Conseil dispose maintenant de son mandat de négociation ; la position du Parlement reste attendue. La plateforme de signalement des produits couverts par le Cyber Resilience Act suit, elle, son régime actuel.