L’environnement opérationnel dans lequel évoluent les opérateurs a considérablement changé ces dernières années. La recherche et l’innovation en matière de sécurité liées à la résilience des infrastructures ont suivi une approche sectorielle afin d’accroître la résilience. Cette approche de la résilience des infrastructures critiques est nécessaire car elle reflète le paysage actuel et futur des risques, les interdépendances de plus en plus étroites entre les différents secteurs, ainsi que les relations de plus en plus interdépendantes entre les infrastructures physiques et numériques.
Une perturbation affectant la fourniture de services par un opérateur dans un secteur peut avoir des effets en cascade sur la fourniture de services dans d’autres secteurs, et potentiellement dans d’autres États membres ou dans l’ensemble de l’UE.
Les systèmes d’infrastructure étant de plus en plus interconnectés, il convient de mettre davantage l’accent sur la dimension systémique et la complexité des attaques et des perturbations par des moyens cybernétiques ou physiques.
Les perturbations physiques des activités des opérateurs actifs dans ces secteurs peuvent avoir des conséquences négatives graves pour les citoyens, les entreprises, les gouvernements et l’environnement, et mettre en péril le bon fonctionnement du marché intérieur. Par conséquent, les opérateurs doivent être équipés des meilleurs moyens possibles pour pouvoir prévenir, résister, absorber et récupérer des incidents perturbateurs, qu’ils soient causés par des risques naturels, des accidents, le terrorisme, des menaces internes ou des urgences en matière de santé publique.
Une autre question importante est de mettre en place des mesures de cybersécurité efficaces pour bloquer l’accès aux infrastructures critiques.
- Un éventuel projet axé sur la protection des infrastructures critiques contre de telles menaces devrait prendre en compte les lacunes et les vulnérabilités qui doivent être identifiées et surmontées (par exemple, la protection des systèmes d’approvisionnement en eau potable contre des niveaux élevés de produits chimiques, les installations nucléaires, etc.)
Par conséquent, la proposition retenue, suivant une approche sectorielle et identifiant un secteur prioritaire spécifique, devrait travailler sur la manière d’accroître la résilience combinée des opérateurs cybernétiques et non cybernétiques.
- Pour ce faire, elle devrait s’orienter vers des secteurs qui n’ont pas été couverts par des recherches antérieures, parmi la liste des secteurs décrits dans les annexes respectives de la directive sur la résilience des entités critiques (CER[1]) et de la directive relative à des mesures visant à assurer un niveau commun élevé de cybersécurité dans l’Union (NIS-2[2]), et contribuer ainsi à renforcer la résilience globale au niveau de l’UE, conformément à la stratégie de l’Union européenne pour la sécurité[3].
La proposition devrait s’orienter sur le passage d’une politique de protection à une politique de résilience et donc se concentrer sur les opérateurs agissant dans le marché intérieur, plutôt que sur les seuls actifs physiques ou numériques. Cela inclut les concepts de continuité des activités au sens large, ainsi que la logistique et les chaînes d’approvisionnement.
Les propositions doivent également se concentrer sur le développement d’une méthode de conception de plan de résilience plus efficace, qui aidera les opérateurs à rédiger leurs plans de résilience conformément aux dispositions des directives CER et NIS-2.
La méthode de conception des plans de résilience devrait inclure l’analyse des risques, l’analyse des effets domino, l’analyse intersectorielle et transfrontalière, les plans standardisés, etc. En outre, cette méthode pourrait inclure des mesures de protection adéquate, des mesures de prévention, d’intervention, d’atténuation et de récupération des conséquences des incidents, la protection des informations classifiées (par exemple, la proposition de code de réseau sur les règles sectorielles pour les aspects de cybersécurité des flux transfrontaliers d’électricité) ou sensibles et des mesures garantissant une gestion adéquate de la sécurité des employés.
Quels résultats attendus ?
Les résultats des projets devraient contribuer à certains ou à l’ensemble des résultats suivants :
- Un soutien est apporté à la résilience des opérateurs face aux menaces cybernétiques et non cybernétiques dans des secteurs spécifiques ;
- Une analyse fiable de l’état de l’art des technologies de détection physique/cyber et des scénarios de risque est créée, dans le contexte d’un opérateur dans un secteur spécifique, dans des secteurs qui n’ont pas encore été couverts par des projets de recherche antérieurs ;
- Renforcement de la coopération contre les menaces d’origine naturelle ou humaine et les perturbations consécutives des infrastructures en Europe, permettant des essais opérationnels dans des scénarios réels ou des simulations réalistes de scénarios en ce qui concerne spécifiquement les perturbations dans un secteur spécifique d’entités critiques ;
- Amélioration de la connaissance de la situation, de la préparation et de la gouvernance grâce à la mise en œuvre de solutions efficaces qui améliorent la détection et la projection anticipée d’une situation menaçante déterminée, ainsi que la mise en œuvre de types d’intervention de prévention, de préparation/atténuation, de réaction et de rétablissement ;
- Réduction significative des risques et de l’exposition aux anomalies ou aux événements délibérés sur les systèmes cyber-physiques ou sur les infrastructures/systèmes complexes et critiques ;
- Amélioration de la préparation et de la réaction par la définition de procédures opérationnelles des opérateurs et des autorités publiques tenant compte du comportement/de la réaction des citoyens et de l’impact sociétal en cas de perturbation dans un secteur spécifique.
