L’agence européenne de cybersécurité ouvre les débats autour du EUMSS, un référentiel commun destiné à harmoniser les exigences applicables aux prestataires de services de sécurité managés dans l’Union. Le texte reste ouvert aux contributions jusqu’au 13 septembre.
L’ENISA (l’European Union Agency for Cybersecurity) a mis en ligne le projet de schéma de certification cybersécurité et appelle les parties prenantes a donner leurs avis. Le projet est né d’un constat de l’agence : les investissements en cybersécurité se déplacent de plus en plus vers la technologie et l’externalisation, ” plutôt que sur les équipes internes de cybersécurité “, lit-on dans le communiqué de presse de l’agence.
Autre point repéré par l’ENISA l’hétérogénéité des approches et des exigences qui régissent aujourd’hui la fourniture de services de sécurité managés d’un état membre à un autre. L’EUMSS veut justement réduire ces écarts. Juhan Lepassaar, le directeur exécutif de l’ENISA, parle de confiance : “des socles communs peuvent garantir un certain niveau de confiance dans les services proposés. Ce schéma peut offrir aux États membres une garantie de fiabilité dans des services qui renforcent leurs capacités de prévention et de réponse, notamment dans le cadre de la Réserve de cybersécurité de l’UE ” (citation traduite de l’anglais).
Une architecture à deux niveaux
Le projet s’appuie sur des pratiques et des méthodes d’évaluation déjà en vigueur dans le cadre européen. Il repose sur une double structure : horizontale et verticale. Le socle horizontal fixe un ensemble d’exigences de base communes à tous les services de sécurité managés soumis à certification, exigences qui s’imposent comme prérequis obligatoire pour chaque profil de service certifié. Ces bases restent identiques quel que soit le niveau d’assurance visé, qu’il soit qualifié de basique, substantiel ou élevé, et couvrent la conception sécurisée du service et de la plateforme, la gestion du déploiement et de la transition, la gestion de la disponibilité et de la continuité, la gestion opérationnelle du service, ainsi que l’amélioration continue et la maintenance technologique.
Le volet vertical, lui, précise les exigences propres a chaque type de service managé et aux profils rattachés. Actuellement, le schéma se concentre sur le cycle de gestion des incidents et plus particulièrement sur le profil de service dédié a la réponse aux incidents.
Un maillon pour la Réserve de cybersécurité de l’UE
Ce schéma a vocation à consolider la Réserve de cybersécurité de l’UE : les prestataires intervenant sous son égide devront être certifiés conformément à l’EUMSS dans un délai de deux ans une fois le dispositif mis en place. L’ENISA présente son projet comme un cadre harmonisé et proportionné, pensé pour faciliter la fourniture transfrontalière de services et soutenir les capacités de réponse aux crises à l’échelle de l’Union.
Le document soumis à consultation publique est la première version issue d’un groupe de travail. Les retours peuvent être transmis via l’EU Survey mis en ligne, avant la clôture fixée au 13 septembre prochain.
