Article 16 Mise en place d’une plateforme unique de signalement

1. Aux fins des notifications visées à l’article 14, paragraphes 1 et 3, et à l’article 15, paragraphes 1 et 2, et afin de simplifier les obligations de signalement des fabricants, l’ENISA met en place une plateforme unique de signalement. Les opérations quotidiennes de la plateforme unique de signalement sont administrées par l’ENISA, qui en assure le fonctionnement. L’architecture de la plateforme unique de signalement permet aux États membres et à l’ENISA de mettre en place leurs propres points finaux de notification électronique.
1. Après réception d’une notification, le CSIRT désigné comme coordinateur qui reçoit initialement la notification diffuse, sans retard, la notification via la plateforme unique de signalement aux CSIRT désignés comme coordinateurs sur le territoire desquels le fabricant a indiqué que le produit comportant des éléments numériques a été mis à disposition.
2. Dans des circonstances exceptionnelles et, en particulier, à la demande du fabricant et compte tenu du degré de sensibilité des informations notifiées indiqué par celui-ci en vertu de l’article 14, paragraphe 2, point a), du présent règlement, la diffusion de la notification peut être retardée pour des motifs justifiés ayant trait à la cybersécurité pour une période limitée à ce qui est strictement nécessaire, y compris lorsqu’une vulnérabilité fait l’objet d’une procédure de divulgation coordonnée des vulnérabilités au titre de l’article 12, paragraphe 1, de la directive (UE) 2022/2555. Lorsqu’un CSIRT décide de retarder la diffusion d’une notification, il en informe immédiatement l’ENISA et fournit à la fois une justification du report de la diffusion de la notification et une indication de la date à laquelle il diffusera la notification conformément à la procédure de diffusion prévue au présent paragraphe. L’ENISA peut soutenir le CSIRT pour l’application de motifs ayant trait à la cybersécurité en ce qui concerne le report de la diffusion de la notification.
3. Dans des circonstances particulièrement exceptionnelles, lorsque le fabricant indique, dans la notification visée à l’article 14, paragraphe 2, point b):
  1. que la vulnérabilité notifiée a été activement exploitée par un acteur malveillant et que, selon les informations disponibles, elle n’a été exploitée dans aucun autre État membre que celui du CSIRT désigné comme coordinateur auquel le fabricant a notifié la vulnérabilité;
  2. que toute diffusion ultérieure immédiate de la vulnérabilité notifiée entraînerait probablement la fourniture d’informations dont la divulgation serait contraire aux intérêts essentiels de cet État membre; ou
  3. que la vulnérabilité notifiée présente un risque de cybersécurité imminent élevé en cas de poursuite de la diffusion.
4. Seules l’information qu’une notification a été effectuée par le fabricant, les informations générales sur le produit, les informations sur la nature générale de l’exploitation et les informations indiquant que des motifs ayant trait à la sécurité ont été soulevés sont mises simultanément à la disposition de l’ENISA jusqu’à ce que la notification complète soit diffusée aux CSIRT concernés et à l’ENISA. Lorsque, sur la base de ces informations, l’ENISA considère qu’il existe un risque systémique compromettant la sécurité du marché intérieur, elle recommande au CSIRT destinataire de diffuser la notification complète aux autres CSIRT désignés comme coordinateurs et à elle-même.
1. Après avoir reçu notification d’une vulnérabilité activement exploitée d’un produit comportant des éléments numériques ou d’un incident grave ayant des répercussions sur la sécurité d’un produit comportant des éléments numériques, les CSIRT désignés comme coordinateurs fournissent aux autorités de surveillance du marché de leurs États membres respectifs les informations notifiées dont elles ont besoin pour s’acquitter des obligations qui leur incombent en vertu du présent règlement.
1. L’ENISA prend des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques pesant sur la sécurité de la plateforme unique de signalement et des informations soumises ou diffusées par l’intermédiaire de cette plateforme. Elle notifie sans retard injustifié tout incident de sécurité affectant la plateforme unique de signalement au réseau des CSIRT ainsi qu’à la Commission.
1. L’ENISA, en coopération avec le réseau des CSIRT, fournit et met en œuvre des spécifications pour les mesures techniques, opérationnelles et organisationnelles relatives à la mise en place, à la maintenance et au fonctionnement sécurisé de la plateforme unique de signalement visée au paragraphe 1, comprenant au moins les dispositions de sécurité liées à la mise en place, au fonctionnement et à la maintenance de la plateforme unique de signalement, ainsi que les points finaux de notification électronique mis en place par les CSIRT désignés comme coordinateurs au niveau national et par l’ENISA au niveau de l’Union, y compris les aspects procéduraux visant à garantir que, lorsqu’une vulnérabilité notifiée ne comporte pas de mesures correctives ou d’atténuation des risques, les informations relatives à cette vulnérabilité sont partagées conformément à des protocoles de sécurité stricts et sur la base du besoin d’en connaître.
1. Lorsqu’un CSIRT désigné comme coordinateur a été informé d’une vulnérabilité activement exploitée dans le cadre d’une procédure de divulgation coordonnée des vulnérabilités visée à l’article 12, paragraphe 1, de la directive (UE) 2022/2555, le CSIRT désigné comme coordinateur qui reçoit initialement la notification peut retarder la diffusion de la notification en question par l’intermédiaire de la plateforme unique de signalement pour des motifs justifiés ayant trait à la cybersécurité pour une période limitée à ce qui est strictement nécessaire et jusqu’à ce que les parties à la divulgation coordonnée des vulnérabilités concernées aient donné leur consentement. Cette exigence n’empêche pas les fabricants de notifier une telle vulnérabilité de manière volontaire conformément à la procédure prévue au présent article.

Relevant recitals

Considérant 65 Simultaneous notifications to CSIRT and ENISA

Les fabricants doivent notifier simultanément, via la plateforme unique de signalement, au centre de réponse aux incidents de sécurité informatique (CSIRT) désigné comme coordinateur et à l’ENISA les vulnérabilités activement exploitées contenues dans les produits comportant des éléments numériques, ainsi que les incidents graves ayant des répercussions sur la sécurité de ces produits. Les notifications doivent être transmises au moyen du point terminal de notification électronique d’un CSIRT désigné comme coordinateur et doivent être simultanément mises à la disposition de l’ENISA.

Considérant 69 Single reporting platform and biennal report

Pour garantir que les notifications peuvent être diffusées rapidement à tous les CSIRT désignés comme coordinateurs et pour permettre aux fabricants de soumettre une seule notification à chaque étape du processus de notification, l’ENISA doit créer une plateforme unique de signalement avec des points finaux de notification électronique nationaux. Les opérations quotidiennes de la plateforme unique de signalement doivent être administrées par l’ENISA qui en assurera le fonctionnement. Les CSIRT désignés comme coordinateurs doivent informer leurs autorités de surveillance du marché respectives des vulnérabilités ou incidents qui ont été notifiés. La plateforme unique de signalement devrait être conçue de manière à garantir la confidentialité des notifications, en particulier en ce qui concerne les vulnérabilités pour lesquelles une mise à jour de sécurité n’est pas encore disponible. En outre, l’ENISA devrait mettre en place des procédures pour traiter les informations de manière sûre et confidentielle. Sur la base des informations qu’elle recueille, l’ENISA devrait préparer un rapport technique bisannuel sur les tendances émergentes concernant les risques de cybersécurité dans les produits comportant des éléments numériques et le soumettre au groupe de coopération institué en vertu de l’article 14 de la directive (UE) 2022/2555.

Considérant 70 Delayed dissemination of notifications

Dans des circonstances exceptionnelles et en particulier à la demande du fabricant, le CSIRT désigné comme coordinateur qui reçoit le premier une notification devrait pouvoir décider de retarder sa diffusion aux autres CSIRT concernés désignés comme coordinateurs via la plateforme unique de signalement, lorsque cela peut être justifié par des motifs ayant trait à la cybersécurité et pour la durée strictement nécessaire. Le CSIRT désigné comme coordinateur doit immédiatement informer l’ENISA de la décision de retarder la diffusion et des raisons de ce retard, ainsi que de la date à laquelle il prévoit de procéder à cette diffusion. La Commission devrait élaborer, par voie d’un acte délégué, des spécifications sur les modalités et conditions d’application des motifs ayant trait à la cybersécurité et devrait coopérer avec le réseau des CSIRT établi en vertu de l’article 15 de la directive (UE) 2022/2555 et l’ENISA pour préparer le projet d’acte délégué. Parmi les exemples de motifs ayant trait à la cybersécurité, figurent une procédure coordonnée de divulgation des vulnérabilités ou bien des situations dans lesquelles un fabricant est censé fournir une mesure d’atténuation à brève échéance et où les risques pour la cybersécurité d’une diffusion immédiate via la plateforme unique de signalement l’emportent sur les avantages qu’elle apporterait. Si le CSIRT désigné comme coordinateur le demande, l’ENISA doit être en mesure de l’aider à faire valoir les motifs liés à la cybersécurité pour retarder la diffusion de la notification sur la base des informations que l’ENISA a reçues de ce CSIRT sur la décision de ne pas diffuser une notification pour lesdits motifs. De plus, dans des circonstances tout à fait exceptionnelles, il y a lieu que l’ENISA ne reçoive pas simultanément tous les détails d’une notification de vulnérabilité activement exploitée. Ce serait le cas lorsque le fabricant indique dans sa notification que la vulnérabilité notifiée a été activement exploitée par une personne malveillante et que, selon les informations disponibles, elle n’a été exploitée dans aucun autre État membre que celui du CSIRT désigné comme coordinateur auquel le fabricant a notifié la vulnérabilité, lorsque toute nouvelle diffusion immédiate de la vulnérabilité notifiée entraînerait probablement la transmission d’informations dont la divulgation serait contraire aux intérêts essentiels de cet État membre, ou lorsque la vulnérabilité notifiée présente un risque élevé et imminent de cybersécurité du fait de sa diffusion ultérieure. Dans de tels cas, l’ENISA ne recevra simultanément que l’information qu’une notification a été effectuée par le fabricant, des informations générales sur le produit comportant des éléments numériques concerné, l’information sur la nature générale de l’exploitation et l’information sur le fait que ces motifs de sécurité ont été soulevés par le fabricant et que le contenu complet de la notification n’est donc pas divulgué. La notification complète doit alors être mise à la disposition de l’ENISA et d’autres CSIRT désignés comme coordinateurs lorsque le CSIRT désigné comme coordinateur qui reçoit le premier la notification constate que ces motifs de sécurité, en raison de circonstances particulièrement exceptionnelles telles qu’établies dans le présent règlement, ont disparu. Lorsque, sur la base des informations disponibles, l’ENISA considère qu’il existe un risque systémique compromettant la sécurité du marché intérieur, elle doit recommander au CSIRT destinataire de diffuser la notification complète aux autres CSIRT désignés comme coordinateurs et à l’ENISA elle-même.

Considérant 72 National entry points for reporting

Afin de simplifier la communication des informations requises au titre du présent règlement, compte tenu des autres exigences complémentaires en matière de communication prévues par le droit de l’Union, telles que le règlement (UE) 2016/679, le règlement (UE) 2022/2554 du Parlement européen et du Conseil(²⁵)Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n^o 1060/2009, (UE) n^o 648/2012, (UE) n^o 600/2014, (UE) n^o 909/2014 et (UE) 2016/1011 (JO L 333 du 27.12.2022, p. 1)., la directive 2002/58/CE du Parlement européen et du Conseil(²⁶)Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (JO L 201 du 31.7.2002, p. 37). et la directive (UE) 2022/2555, et afin de réduire la charge administrative pesant sur les entités, les États membres sont incités à étudier la possibilité de mettre en place, au niveau national, des points d’entrée uniques pour lesdites exigences en matière de communication d’informations. L’utilisation de ces points d’entrée uniques nationaux pour la notification des incidents de sécurité au titre du règlement (UE) 2016/679 et de la directive 2002/58/CE ne devrait pas affecter l’application des dispositions du règlement (UE) 2016/679 et de la directive 2002/58/CE, en particulier celles relatives à l’indépendance des autorités qui y sont visées. Lors de la mise en place de la plateforme unique de signalement visée dans le présent règlement, l’ENISA doit prendre en compte la possibilité pour les points finaux nationaux de notification électronique visés dans le présent règlement d’être intégrés dans des points d’entrée uniques nationaux qui peuvent également regrouper d’autres notifications requises par le droit de l’Union.

Considérant 73 ENISA to consult other reporting platforms

Lors de la mise en place de la plateforme unique de signalement visée dans le présent règlement et afin de mettre à profit l’expérience acquise, l’ENISA devrait consulter d’autres institutions ou agences de l’Union qui gèrent des plateformes ou des bases de données soumises à de strictes exigences de sécurité, telles que l’Agence de l’Union européenne pour la gestion opérationnelle des systèmes d’information à grande échelle dans le domaine de la liberté, de la sécurité et de la justice (eu-LISA). L’ENISA devrait également analyser les possibilités de complémentarité avec la base de données européenne sur les vulnérabilités établie en vertu de l’article 12, paragraphe 2, de la directive (UE) 2022/2555.

Table of contents

Springlex and this text is meant purely as a documentation tool and has no legal effect. No liability is assumed for its content. The authentic version of this act is the one published in the Official Journal of the European Union.