Article 14 Groupe de coopération

Un groupe de coopération est institué afin de soutenir et de faciliter la coopération stratégique et l’échange d’informations entre les États membres et de renforcer la confiance.

Le groupe de coopération exécute ses tâches en s’appuyant sur les programmes de travail bisannuels visés au paragraphe 7.

Le groupe de coopération est composé de représentants: une personne physique ou morale établie dans l’Union qui est expressément désignée pour agir pour le compte d’un fournisseur de services DNS, d’un registre de noms de domaine de premier niveau, d’une entité fournissant des services d’enregistrement de noms de domaine, d’un fournisseur d’informatique en nuage, d’un fournisseur de services de centre de données, d’un fournisseur de réseau de diffusion de contenu, d’un fournisseur de services gérés, d’un fournisseur de services de sécurité gérés ou d’un fournisseur de places de marché en ligne, de moteurs de recherche en ligne ou de plateformes de services de réseaux sociaux non établi dans l’Union, qui peut être contactée par une autorité compétente ou un CSIRT à la place de l’entité elle-même concernant les obligations incombant à ladite entité en vertu de la présente directive; des États membres, de la Commission et de l’ENISA. Le Service européen pour l’action extérieure participe aux activités du groupe de coopération en qualité d’observateur. Les autorités européennes de surveillance (AES) et les autorités compétentes en vertu du règlement (UE) 2022/2554 peuvent participer aux activités du groupe de coopération conformément à l’article 47, paragraphe 1, dudit règlement.

Si besoin est, le groupe de coopération peut inviter le Parlement européen et des représentants: une personne physique ou morale établie dans l’Union qui est expressément désignée pour agir pour le compte d’un fournisseur de services DNS, d’un registre de noms de domaine de premier niveau, d’une entité fournissant des services d’enregistrement de noms de domaine, d’un fournisseur d’informatique en nuage, d’un fournisseur de services de centre de données, d’un fournisseur de réseau de diffusion de contenu, d’un fournisseur de services gérés, d’un fournisseur de services de sécurité gérés ou d’un fournisseur de places de marché en ligne, de moteurs de recherche en ligne ou de plateformes de services de réseaux sociaux non établi dans l’Union, qui peut être contactée par une autorité compétente ou un CSIRT à la place de l’entité elle-même concernant les obligations incombant à ladite entité en vertu de la présente directive; des acteurs concernés à participer à ses travaux.

Le secrétariat est assuré par la Commission.

1. la fourniture d’orientations aux autorités compétentes en rapport avec la transposition et la mise en œuvre de la présente directive;

2. la fourniture d’orientations aux autorités compétentes en ce qui concerne l’élaboration et la mise en œuvre des politiques de divulgation coordonnée des vulnérabilités visées à l’article 7, paragraphe 2, point c);

3. l’échange des meilleures pratiques et d’informations relatives à la mise en œuvre de la présente directive, notamment en ce qui concerne les cybermenaces: une cybermenace au sens de l’article 2, point 8), du règlement (UE) 2019/881;, les incidents: un événement compromettant la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données stockées, transmises ou faisant l’objet d’un traitement, ou des services que les réseaux et systèmes d’information offrent ou rendent accessibles;, les vulnérabilités, les incidents: un événement compromettant la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données stockées, transmises ou faisant l’objet d’un traitement, ou des services que les réseaux et systèmes d’information offrent ou rendent accessibles; évités, les initiatives de sensibilisation, les formations, les exercices et les compétences, le renforcement des capacités, les normes: une norme au sens de l’article 2, point 1), du règlement (UE) no 1025/2012 du Parlement européen et du Conseil(29) Règlement (UE) no 1025/2012 du Parlement européen et du Conseil du 25 octobre 2012 relatif à la normalisation européenne, modifiant les directives 89/686/CEE et 93/15/CEE du Conseil ainsi que les directives 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE et 2009/105/CE du Parlement européen et du Conseil et abrogeant la décision 87/95/CEE du Conseil et la décision no 1673/2006/CE du Parlement européen et du Conseil (JO L 316 du 14.11.2012, p. 12).; et les spécifications techniques: une spécification technique au sens de l’article 2, point 4), du règlement (UE) no 1025/2012; ainsi que l’identification des entités essentielles et importantes en vertu de l’article 2, paragraphe 2, points b) à e);

4. l’échange de conseils et la coopération avec la Commission sur les initiatives politiques émergentes en matière de cybersécurité: la cybersécurité au sens de l’article 2, point 1), du règlement (UE) 2019/881; et la cohérence globale des exigences sectorielles en matière de cybersécurité: la cybersécurité au sens de l’article 2, point 1), du règlement (UE) 2019/881;;

5. l’échange de conseils et la coopération avec la Commission sur les projets d’actes délégués ou d’actes d’exécution adoptés en vertu de la présente directive;

6. l’échange de bonnes pratiques et d’informations avec les institutions, organes et organismes compétents de l’Union;

7. l’échange de vues sur la mise en œuvre d’actes juridiques sectoriels de l’Union contenant des dispositions en matière de cybersécurité: la cybersécurité au sens de l’article 2, point 1), du règlement (UE) 2019/881;;

8. le cas échéant, la discussion portant sur les rapports relatifs à l’évaluation par les pairs visés à l’article 19, paragraphe 9, et l’élaboration de conclusions et de recommandations;

9. la réalisation d’évaluations coordonnées des risques: le potentiel de perte ou de perturbation causé par un incident, à exprimer comme la combinaison de l’ampleur de cette perte ou de cette perturbation et de la probabilité qu’un tel incident se produise; pour la sécurité des chaînes d’approvisionnement critiques, conformément à l’article 22, paragraphe 1;

10. la discussion portant sur les cas d’assistance mutuelle, y compris les expériences et les résultats des activités de contrôle transfrontières visées à l’article 37;

11. à la demande d’un ou de plusieurs États membres concernés, la discussion portant sur les demandes spécifiques d’assistance mutuelle visées à l’article 37;

12. l’indication d’une orientation stratégique au réseau des CSIRT et au réseau UE-CyCLONe sur des questions spécifiques émergentes;

13. l’échange de vues sur la politique relative aux mesures prises à la suite d’incidents de cybersécurité majeurs: un incident qui provoque des perturbations dépassant les capacités de réaction du seul État membre concerné ou qui a un impact important sur au moins deux États membres; et de crises, sur la base des enseignements tirés du réseau des CSIRT et d’EU-CyCLONe;

14. la contribution aux capacités en matière de cybersécurité: la cybersécurité au sens de l’article 2, point 1), du règlement (UE) 2019/881; dans l’ensemble de l’Union via la facilitation de l’échange de fonctionnaires nationaux grâce à un programme de renforcement des capacités impliquant le personnel des autorités compétentes ou des CSIRT;

15. l’organisation régulière de réunions conjointes avec les parties intéressées privées, de toute l’Union, en vue de discuter des activités menées par le groupe de coopération et de recueillir des informations sur les nouveaux défis politiques;

16. la discussion portant sur les travaux entrepris en relation avec les exercices de cybersécurité: la cybersécurité au sens de l’article 2, point 1), du règlement (UE) 2019/881;, y compris les travaux effectués par l’ENISA;

17. la mise au point de la méthodologie et des aspects organisationnels des évaluations par les pairs visées à l’article 19, paragraphe 1, ainsi que la définition de la méthode d’autoévaluation pour les États membres conformément à l’article 19, paragraphe 4, avec l’aide de la Commission et de l’ENISA, et l’élaboration, en coopération avec la Commission et l’ENISA, des codes de conduite sous-tendant les méthodes de travail des experts en cybersécurité: la cybersécurité au sens de l’article 2, point 1), du règlement (UE) 2019/881; désignés conformément à l’article 19, paragraphe 6;

18. l’élaboration, aux fins de la révision visée à l’article 40, de rapports sur l’expérience acquise au niveau stratégique et à partir des évaluations par les pairs;

19. l’examen et l’évaluation, de manière régulière, de l’état de la situation en matière de cybermenaces: une cybermenace au sens de l’article 2, point 8), du règlement (UE) 2019/881; ou d’incidents: un événement compromettant la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données stockées, transmises ou faisant l’objet d’un traitement, ou des services que les réseaux et systèmes d’information offrent ou rendent accessibles;, comme les rançongiciels.

Le groupe de coopération soumet les rapports visés au premier alinéa, point r), à la Commission, au Parlement européen et au Conseil.

Les États membres font en sorte que leurs représentants: une personne physique ou morale établie dans l’Union qui est expressément désignée pour agir pour le compte d’un fournisseur de services DNS, d’un registre de noms de domaine de premier niveau, d’une entité fournissant des services d’enregistrement de noms de domaine, d’un fournisseur d’informatique en nuage, d’un fournisseur de services de centre de données, d’un fournisseur de réseau de diffusion de contenu, d’un fournisseur de services gérés, d’un fournisseur de services de sécurité gérés ou d’un fournisseur de places de marché en ligne, de moteurs de recherche en ligne ou de plateformes de services de réseaux sociaux non établi dans l’Union, qui peut être contactée par une autorité compétente ou un CSIRT à la place de l’entité elle-même concernant les obligations incombant à ladite entité en vertu de la présente directive; au sein du groupe de coopération puissent coopérer de manière effective, efficace et sécurisée.

Le groupe de coopération peut demander au réseau des CSIRT d’élaborer un rapport technique sur des sujets choisis.

Au plus tard le 1, puis tous les deux ans, le groupe de coopération établit un programme de travail concernant les actions à entreprendre pour mettre en œuvre ses objectifs et ses tâches.

La Commission peut adopter des actes d’exécution fixant les modalités de procédure nécessaires au fonctionnement du groupe de coopération.

Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 39, paragraphe 2.

La Commission échange des conseils et coopère avec le groupe de coopération sur les projets d’actes d’exécution visés au premier alinéa du présent paragraphe conformément au paragraphe 4, point e).

Le groupe de coopération se réunit régulièrement et en tout état de cause au moins une fois par an avec le groupe sur la résilience des entités critiques institué par la directive (UE) 2022/2557 afin de promouvoir et de faciliter la coopération stratégique et l’échange d’informations.