EPSO Sécurité : le corpus cyber derrière les questions

Un domaine tenu par cinq instruments

Il n'existe pas de concours EPSO consacré à la sécurité. Ce qui existe, et reste ouvert en continu, c'est CAST Permanent — avec des profils couvrant les opérations de sécurité, les opérations de sécurité y compris la sécurité régionale, la sécurité technique, la sécurité de l'information et des documents et la sécurité informatique. Le contenu sécurité apparaît aussi dans les QCM de domaine Informatique et Droit.

Le programme comporte deux moitiés. L'une est institutionnelle : Europol, Eurojust, Frontex, l'EU INTCEN, l'espace de liberté, de sécurité et de justice, et la différence entre missions civiles de la PSDC et opérations militaires. L'autre est législative : le corpus de droit de l'Union qui régit désormais la cybersécurité et la résilience.

Ce guide couvre la seconde, en profondeur, parce que c'est là que vivent les dispositions précises — des délais en heures, des catégories définies et des instruments qui se recoupent volontairement. La moitié institutionnelle est également examinée, et ses sources officielles figurent à la fin.

Cinq instruments font l'essentiel du travail :

Pour comprendre comment les QCM de domaine sont structurés dans les filières de spécialistes, consultez notre guide du FRMCQ des concours de spécialistes EPSO. La filière Informatique se recoupe largement — notre guide du spécialiste TI couvre le cadre réglementaire numérique par l'autre côté.

Le format

30 questions en 40 minutes, 15 bonnes réponses pour réussir. Dans le modèle EPSO actuel, le QCM de domaine est l'instrument de classement ; les tests de raisonnement sont des filtres admis/non admis qui n'alimentent pas la note finale.

SRI 2 — Directive (UE) 2022/2555

Adoptée le 14 décembre 2022, publiée au JO L 333 du 27 décembre 2022.

Qui est couvert

La couverture se construit par plusieurs voies, et les questions vérifient si vous savez qu'il y en a plus d'une :

• les entités d'un type visé à l'annexe I ou à l'annexe II remplissant les critères ;
• les autres entités de ces types identifiées par un État membre comme entités essentielles au titre des dispositions d'identification ;
• les entités identifiées comme entités critiques au titre de la directive (UE) 2022/2557 ;
• si l'État membre le prévoit, les entités qu'il a identifiées avant le 16 janvier 2023 comme opérateurs de services essentiels au titre de la directive (UE) 2016/1148 ou du droit national.

Cette dernière voie est une passerelle transitoire depuis la première directive SRI, et la date est assez précise pour constituer une question à elle seule.

Les deux délais

Lorsque des entités essentielles ou importantes ont connaissance d'un incident important, elles transmettent au CSIRT ou, le cas échéant, à l'autorité compétente :

• dans les 24 heures suivant la connaissance — une alerte précoce, indiquant le cas échéant si l'incident est soupçonné de résulter d'actes illicites ou malveillants ou s'il pourrait avoir un impact transfrontalier ;
• dans les 72 heures suivant la connaissance — une notification d'incident, actualisant l'alerte précoce et fournissant une évaluation initiale de l'incident.

Les deux sont qualifiés par « sans retard injustifié et en tout état de cause dans les ». L'étape à 24 heures est une alerte, non un rapport — son contenu est délibérément mince, car sa fonction est la rapidité. Confondre les deux est l'erreur classique.

Lorsqu'un incident est soupçonné d'être lié à des activités criminelles graves, les États membres devraient encourager les entités à le signaler aux autorités répressives compétentes, sur la base des règles de procédure pénale applicables et sans préjudice des règles de protection des données à caractère personnel.

EU-CyCLONe

Le réseau européen des organisations de liaison en cas de crises cyber est composé des représentants des autorités de gestion des crises cyber des États membres et — lorsqu'un incident de cybersécurité de grande ampleur potentiel ou en cours a ou est susceptible d'avoir une incidence importante sur des services et activités relevant du champ de la directive — de la Commission. Dans les autres cas, la Commission participe en qualité d'observateur.

L'ENISA assure le secrétariat d'EU-CyCLONe, soutient l'échange sécurisé d'informations et fournit les outils nécessaires à la coopération.

Participante à part entière quand c'est grand, observatrice sinon. Cette condition est exactement le genre de détail qui distingue un candidat préparé d'un candidat simplement bien informé.

Les rôles d'information de l'ENISA

L'ENISA crée une base de données européenne des vulnérabilités, dans laquelle les entités — qu'elles relèvent ou non du champ de la directive — et leurs fournisseurs peuvent enregistrer les vulnérabilités publiquement connues. Une information exacte et rapide sur les vulnérabilités sert autant les entités que les utilisateurs de leurs services, les autorités compétentes et les CSIRT.

L'ENISA adopte également, en coopération avec le groupe de coopération, un rapport sur l'état de la cybersécurité dans l'Union, comprenant une évaluation du niveau général de sensibilisation et d'hygiène cyber chez les citoyens et les entités, y compris les PME ; une évaluation agrégée des résultats des examens par les pairs ; et une évaluation agrégée du niveau de maturité des capacités et ressources de cybersécurité dans l'Union, y compris au niveau sectoriel, et du degré d'alignement des stratégies nationales de cybersécurité. Le rapport comprend des recommandations stratégiques particulières.

Pays tiers

L'Union peut, le cas échéant, conclure des accords internationaux conformément à l'article 218 du TFUE avec des pays tiers ou des organisations internationales, permettant et organisant leur participation à certaines activités du groupe de coopération, du réseau des CSIRT et d'EU-CyCLONe. Ces accords doivent respecter le droit de l'Union en matière de protection des données.

Normes

Afin de promouvoir une mise en œuvre convergente des mesures de gestion des risques, les États membres encouragent le recours aux normes européennes et internationales — sans imposer l'utilisation d'un type particulier de technologie ni établir de discrimination en sa faveur. La neutralité technologique est inscrite dans l'encouragement lui-même.

Lorsqu'aucun schéma européen de certification de cybersécurité approprié n'est disponible aux fins de la disposition concernée, la Commission peut — après consultation du groupe de coopération et du groupe européen de certification de cybersécurité — demander à l'ENISA d'élaborer un schéma candidat au titre de l'article 48, paragraphe 2, du règlement (UE) 2019/881.

Le règlement sur la cybersécurité — règlement (UE) 2019/881

Du 17 avril 2019, relatif à l'ENISA et à la certification de cybersécurité des TIC, abrogeant le règlement (UE) n° 526/2013, publié au JO L 151 du 7 juin 2019.

Il établit un cadre européen volontaire de certification de cybersécurité pour les produits TIC, les processus TIC et les services TIC. Les schémas européens fournissent un cadre commun de confiance pour les utilisateurs.

Volontaire est le mot à souligner. Une bonne part de la valeur en épreuve consiste à résister à l'hypothèse qu'un cadre européen de certification serait nécessairement obligatoire. Ce que fait le cadre, c'est créer des présomptions et des critères communs — non une obligation de se faire certifier.

Les autorités nationales de certification de cybersécurité sont désignées au titre de l'article 58. Les schémas candidats sont élaborés par l'ENISA au titre de l'article 48, paragraphe 2, à la demande de la Commission.

Le règlement sur la cyberrésilience — les produits comportant des éléments numériques

Le règlement sur la cyberrésilience s'appuie directement sur le règlement sur la cybersécurité, et l'emboîtement est examinable.

Les produits comportant des éléments numériques, et les processus mis en place par le fabricant, pour lesquels une déclaration UE de conformité ou un certificat a été délivré au titre d'un schéma européen de certification de cybersécurité adopté conformément au règlement (UE) 2019/881, sont présumés conformes aux exigences essentielles de cybersécurité de l'annexe I — dans la mesure où cette déclaration ou ce certificat, ou des parties de ceux-ci, couvrent ces exigences.

Une présomption, et partielle. La certification ne libère pas de l'obligation en bloc ; elle en libère à hauteur de ce qui a effectivement été certifié.

Les autorités de surveillance du marché coopèrent avec les autorités nationales de certification de cybersécurité désignées au titre de l'article 58 du règlement (UE) 2019/881 et échangent régulièrement des informations. Pour la surveillance des obligations de notification, elles coopèrent et échangent des informations avec les CSIRT désignés comme coordinateurs et avec l'ENISA, et peuvent demander l'assistance d'un CSIRT désigné.

Le rôle de l'ENISA est ici proactif : elle peut proposer des activités conjointes aux autorités de surveillance du marché sur la base d'indications de non-conformité potentielle dans plusieurs États membres, ou identifier des catégories de produits pour lesquelles des actions coup de balai devraient être organisées. Dans des circonstances exceptionnelles, à la demande de la Commission, l'ENISA peut procéder à des évaluations portant sur des produits déterminés.

Lors de la mise en place de la plateforme de notification unique, l'ENISA devrait consulter d'autres institutions ou agences de l'Union gérant des plateformes ou bases de données soumises à des exigences de sécurité strictes — l'eu-LISA, l'agence pour les systèmes d'information à grande échelle au sein de l'espace de liberté, de sécurité et de justice, est nommée — et analyser les complémentarités avec la base de données européenne des vulnérabilités.

REC — Directive (UE) 2022/2557

Du 14 décembre 2022, sur la résilience des entités critiques, abrogeant la directive 2008/114/CE du Conseil.

La relation avec SRI 2 est la partie examinable. Lorsque les autorités compétentes au titre de SRI 2 exercent leurs pouvoirs de contrôle et d'exécution pour assurer la conformité d'une entité identifiée comme entité critique au titre de REC, elles en informent les autorités REC compétentes du même État membre. Le cas échéant, les autorités REC peuvent demander aux autorités SRI 2 d'exercer leurs pouvoirs de contrôle et d'exécution à l'égard de cette entité.

Pour rationaliser la surveillance et réduire la charge administrative, les deux ensembles d'autorités compétentes devraient s'efforcer d'harmoniser les modèles de notification d'incident et les processus de contrôle.

La répartition : SRI 2 régit la résilience cyber, REC régit la résilience physique, et une entité peut relever des deux. Les directives sont conçues pour se renvoyer le travail plutôt que pour le dupliquer.

DORA — les entités financières

DORA traite de la résilience opérationnelle numérique des entités financières, et son trait distinctif est le cadre de supervision des prestataires tiers de services TIC.

Champ. Le cadre de supervision s'applique uniquement aux prestataires tiers critiques de services TIC. Un mécanisme de désignation tient compte de la dimension et de la nature de la dépendance du secteur financier à l'égard de ces prestataires, au moyen de critères quantitatifs et qualitatifs fixant les paramètres de criticité — appréciés indépendamment de la structure d'entreprise du prestataire.

Le superviseur principal. Le cadre repose sur la collaboration entre le superviseur principal et le prestataire critique, et sur la capacité du superviseur principal à mener des missions de suivi et des inspections évaluant les règles, contrôles et processus utilisés, ainsi que l'impact cumulatif potentiel des activités du prestataire.

Ce qu'il ne fait pas. Le cadre ne remplace ni ne se substitue à l'obligation propre des entités financières de gérer les risques liés au recours à des prestataires tiers de services TIC, y compris le suivi continu des accords contractuels avec les prestataires critiques. Il n'affecte pas non plus leur pleine responsabilité de respecter leurs propres obligations légales. Et il s'entend sans préjudice de la compétence des États membres de superviser des prestataires non désignés comme critiques mais considérés comme importants au niveau national.

Coordination. Le comité mixte des AES continue d'assurer la coordination transsectorielle globale sur toutes les questions relatives au risque TIC.

Consolidation. DORA, avec la directive (UE) 2022/2556, consolide les dispositions de gestion du risque TIC dans l'acquis des services financiers, modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011 pour clarifier les règles applicables.

Résilience physique. La résilience physique des entités financières étant traitée de manière complète par les obligations DORA de gestion du risque TIC et de notification, les obligations des chapitres III et IV de la directive REC sont articulées de façon cohérente avec elle plutôt que superposées.

Cinq endroits où l'on perd des points

24 contre 72. Alerte précoce en 24 heures, notification d'incident en 72. Les deux « sans retard injustifié et en tout état de cause dans les ». Documents différents, finalités différentes.

Certification volontaire. Le cadre européen de certification de cybersécurité est volontaire. La certification crée des présomptions de conformité, et seulement à hauteur de ce qu'elle couvre.

Participant à part entière contre observateur. La Commission siège à EU-CyCLONe comme membre à part entière uniquement pour les incidents de grande ampleur à incidence importante ; sinon comme observateur. L'ENISA est le secrétariat, non une autorité d'un État membre.

Quel instrument s'applique. Réseaux et systèmes d'information, résilience physique des entités critiques, produits comportant des éléments numériques, entités financières. Quatre instruments, quatre champs, des recoupements voulus et des devoirs de renvoi croisé plutôt qu'une duplication.

La supervision ne transfère pas la responsabilité. Désigner un prestataire comme critique et le superviser ne dispense pas l'entité financière de gérer ce risque elle-même. Le règlement le dit explicitement, et une question peut se construire entièrement sur des candidats qui supposent l'inverse.

Comment travailler ce domaine

Lisez SRI 2 d'abord — les définitions, les dispositions de champ, les mesures de gestion des risques et l'article de notification. C'est l'instrument d'ancrage, et les trois autres textes cyber se définissent par rapport à lui.

Lisez ensuite les dispositions d'emboîtement plutôt que l'intégralité de REC, du règlement sur la cyberrésilience et de DORA. Le contenu examinable est là où ils se touchent : présomption de conformité, information croisée entre autorités compétentes, frontière du cadre de supervision.

Traitez ensuite la moitié institutionnelle séparément — les règlements fondateurs d'Europol, d'Eurojust et de l'Agence européenne de garde-frontières et de garde-côtes, et le matériel du SEAE sur les missions civiles et les opérations militaires de la PSDC. Cette moitié n'est pas couverte ici, et elle est examinée.

Puis entraînez-vous chronomètre en main. Quatre-vingts secondes par question, c'est ce qui transforme cinq instruments en points. Vous pouvez travailler le bloc sécurité sur EU-now en sessions courtes, et interroger EUgenio quand deux instruments semblent dire la même chose — il répond à partir des mêmes textes officiels que ceux cités ici, et vous dit quand il n'a pas de source au lieu d'en inventer une.

Références et sources

Toutes les citations de cet article proviennent de sources officielles de l'UE :

• Directive (UE) 2022/2555 — SRI 2 (JO L 333, 27.12.2022)
• Directive (UE) 2022/2557 — résilience des entités critiques
• Règlement (UE) 2019/881 — règlement sur la cybersécurité (JO L 151, 7.6.2019)
• Règlement (UE) 2022/2554 — DORA
• ENISA — Agence de l'Union européenne pour la cybersécurité
• Europol
• SEAE — Sécurité et défense

Lorsque cet article décrit ce qu'une question est susceptible de tester, il s'agit de notre appréciation éditoriale fondée sur le format des QCM de domaine publiés — et non d'un texte issu d'un avis de concours. Les dispositions, délais et définitions sont cités des instruments énumérés ci-dessus.