Accord entre le Parlement européen, le Conseil européen, le Conseil de l’Union européenne, la Commission européenne, la Cour de justice de l’Union européenne, la Banque centrale européenne, la Cour des comptes européenne, le Service européen pour l’action extérieure, le Comité économique et social européen, le Comité européen des régions et la Banque européenne d’investissement relatif à l’organisation et au fonctionnement d’une équipe d’intervention en cas d’urgence informatique pour les institutions, organes et organismes de l’Union (CERT-UE)

1 Le présent accord a pour objectif d’établir les règles relatives au fonctionnement et à l’organisation de l’équipe d’intervention interinstitutionnelle en cas d’urgence informatique pour les institutions, organes et organismes de l’Union (ci-après dénommée «CERT-UE»).

2 La mission de la CERT-UE est de contribuer à la sécurité de l’infrastructure de TIC de l’ensemble des institutions, organes et organismes de l’Union (ci-après dénommées «parties»), en les aidant à prévenir, à détecter et à limiter les cyberattaques, ainsi qu’à y répondre, et en faisant office, au profit des parties, de plateforme d’échange d’informations et de coordination des réponses aux incidents dans le domaine de la cybersécurité.

1 La CERT-UE recueille, gère, analyse et partage avec les parties des informations sur les menaces, les vulnérabilités et les incidents relatifs aux infrastructures de TIC non classifiées. Elle coordonne les réponses aux incidents au niveau interinstitutionnel et au niveau des parties, y compris en assurant ou en coordonnant la fourniture d’une assistance opérationnelle spécialisée.

2 La CERT-UE propose des services CERT standard pour toutes les parties. Le catalogue présentant l’offre de services détaillée de la CERT-UE, ainsi que toute mise à jour, sont approuvés par le comité de pilotage. Lorsqu’il revoit la liste des services, le chef de la CERT-UE tient compte des ressources qui lui sont allouées.

3 La CERT-UE peut surveiller le trafic sur les réseaux des parties avec le consentement de la partie concernée.

4 La CERT-UE peut prêter assistance aux parties concernant les incidents relatifs aux réseaux et systèmes informatiques classifiés, si la partie concernée en fait explicitement la demande.

5 La CERT-UE n’entreprend pas d’activités ni n’intervient sciemment pour ce qui est des questions relevant de la compétence des services nationaux de sécurité et de renseignement ou de services spécialisés des parties. Tout contact que les services nationaux de sécurité ou de renseignement établissent ou tentent d’établir avec la CERT-UE est communiqué sans délai à la direction de la sécurité de la Commission et au président du comité de pilotage de la CERT-UE.

6 La CERT-UE informe les parties de ses procédures et processus de gestion des incidents.

7 La CERT-UE peut, si les services politiques des parties en font expressément la demande, apporter des conseils ou des contributions techniques sur des questions pertinentes.

1 La CERT-UE et les parties travaillent selon le principe de la nécessité de partager l’information («need-to-share»), sous réserve du paragraphe 3. La CERT-UE veille à ce que des moyens de communication efficaces soient disponibles pour faciliter le partage d’informations avec les parties.

2 Les parties fournissent à la CERT-UE des informations sur les menaces et les vulnérabilités qui les touchent en matière de cybersécurité. Lorsque la CERT-UE a connaissance d’une menace ou d’une vulnérabilité affectant ou susceptible d’affecter une partie, elle le signale à la partie concernée en fournissant toutes les informations pertinentes, y compris le niveau de criticité, dès que possible, de façon à ce que des mesures protectrices ou correctrices puissent être mises en œuvre. La CERT-UE peut apporter son aide à cet égard. Les autres parties sont informées lorsque la menace ou la vulnérabilité est susceptible de les affecter.

3 Si elles font face à un cyberincident important, les parties en informent la CERT-UE dans les meilleurs délais et communiquent tous les détails techniques pertinents, sauf si cela risque de porter atteinte aux intérêts d’une partie ou d’un tiers en matière de sécurité. Tout incident est réputé important, sauf s’il est répétitif ou peu complexe et s’il est susceptible d’être déjà bien compris en termes de méthode et de technologies. Les informations non techniques peuvent être partagées avec la CERT-UE à la discrétion de la partie touchée. Les informations sur les incidents qui sont communiquées à la CERT-UE ne sont pas partagées en dehors de celle-ci, même sous forme anonymisée, sauf si la partie affectée y a consenti. Afin de se préparer à des situations où il est nécessaire de partager rapidement des informations dans le but de protéger les réseaux et les systèmes des parties, la CERT-UE collabore avec celles-ci par anticipation pour trouver le moyen d’y parvenir.

4 La CERT-UE, dans le cadre d’un dialogue avec les parties, tient à jour un catalogue de l’expertise dont elles disposent, qui pourrait éventuellement être utilisé, dans les limites des moyens et capacités disponibles, en cas de cyberincident important touchant l’une ou plusieurs d’entre elles. Le cas échéant, la CERT-UE peut organiser et coordonner un partage d’informations et un support technique ayant lieu directement entre les parties pour remédier à un incident de cybersécurité.

5 Dans les limites de ses compétences, la CERT-UE coopère étroitement avec l’Agence de l’Union européenne chargée de la sécurité des réseaux et de l’information (ENISA) et le Centre européen de lutte contre la cybercriminalité d’Europol.

6 La CERT-UE ne partage avec les autorités répressives des informations sur des incidents spécifiques qu’avec le consentement préalable des services compétents de la ou des parties concernée(s).

7 La CERT-UE conserve une trace de toutes les informations partagées avec les parties et échangées avec des tiers. Les parties peuvent demander à la CERT-UE de leur communiquer des précisions sur leurs informations qui ont été partagées avec des tiers.

8 En cas de besoin, la CERT-UE peut conclure avec toute partie des accords de niveau de service ou de coopération concernant la fourniture de services CERT. La CERT-UE peut également conclure des accords de niveau de service ou de coopération relatifs à la fourniture contre paiement de services CERT pour des opérations civiles de gestion de crise menées par l’UE dans le cadre du titre V, chapitre 2, du traité sur l’Union européenne. Dans les deux cas, ces accords de niveau de service ou de coopération sont soumis à l’approbation du comité de pilotage.

1 La CERT-UE coopère et échange des informations avec les CERT ou les CSIRT nationaux ou gouvernementaux des États membres sur les menaces, les vulnérabilités et les incidents en matière de cybersécurité, ainsi que sur les mesures envisageables pour y remédier, et sur toutes les questions pertinentes pour améliorer la protection de l’infrastructure des TIC des parties, y compris par le réseau des CSIRT visé à l’article 12 de la directive SRI.

2 La CERT-UE coopère avec les CERT des États membres afin de recueillir des informations sur les menaces générales ou spécifiques pesant sur les parties, ainsi que sur les outils ou les méthodes, y compris les techniques, les tactiques et les procédures, les bonnes pratiques et les vulnérabilités générales, en vue de les diffuser aux parties. La CERT-UE peut échanger avec ces CERT des informations sur les outils ou les méthodes, y compris les techniques, les tactiques et les procédures, sur les bonnes pratiques et sur les menaces et vulnérabilités générales.

3 La CERT-UE peut échanger avec les CERT précitées des informations propres à un incident, avec le consentement de la partie touchée.

1 La CERT-UE peut coopérer avec des CERT de secteurs spécifiques de l’industrie et avec des CERT de pays tiers en ce qui concerne les outils et les méthodes, tels que les techniques, tactiques et procédures, les bonnes pratiques ainsi que les menaces et les vulnérabilités générales. Pour toute coopération avec ces CERT, y compris dans des configurations où les CERT de pays tiers coopèrent avec les CERT des États membres, la CERT-UE sollicite au préalable l’approbation du comité de pilotage.

2 La CERT-UE peut coopérer avec d’autres partenaires, tels que des entités commerciales ou des experts individuels, afin de recueillir des informations sur les menaces générales et spécifiques, les vulnérabilités et les mesures envisageables pour y remédier. Pour pouvoir élargir la coopération avec ces partenaires, la CERT-UE sollicite au préalable l’approbation du comité de pilotage.

3 Sous réserve qu’un accord ou un contrat de non-divulgation ait été conclu avec le partenaire concerné, la CERT-UE peut fournir à ces partenaires des informations relatives à un incident spécifique intervenu chez une partie, si celle-ci y consent, lorsque ces partenaires peuvent contribuer à l’analyse de cet incident. La légalité de ces accords ou contrats de non-divulgation fait l’objet d’un contrôle selon les procédures internes applicables de la Commission. Les accords ou contrats de non-divulgation ne nécessitent pas l’approbation préalable du comité de pilotage mais son président en est informé.

4 La CERT-UE peut exceptionnellement conclure des accords de niveau de service avec des entités autres que les parties, avec l’approbation préalable du comité de pilotage.

1 Le chef de la CERT-UE est responsable du bon fonctionnement de celle-ci. Dans le cadre de ses attributions, il agit sous la direction du comité de pilotage. Il est responsable de la mise en œuvre de la direction stratégique, des orientations, des objectifs et des priorités définis par le comité de pilotage, ainsi que de la bonne gestion de la CERT-UE, y compris de ses ressources financières et humaines. Il rend compte régulièrement au président du comité de pilotage.

2 Le chef de la CERT-UE est lié par les règles applicables à la Commission et assume les fonctions d’ordonnateur subdélégué lorsqu’il exécute le budget général de l’Union européenne, conformément aux règles internes en vigueur à la Commission concernant la délégation de pouvoirs et les limites applicables en pareil cas. Il n’agit sous l’autorité de la Commission que pour l’application des règles et procédures administratives et financières.

3 Le chef de la CERT-UE présente au comité de pilotage des rapports trimestriels sur les résultats obtenus par la CERT-UE, l’exécution du budget, les contrats ou autres accords qu’elle a conclus et les missions dont s’est acquitté son personnel. Il présente également au comité de pilotage un rapport annuel conformément à l’article 8, paragraphe 1, point e).

4 Le chef de la CERT-UE aide l’ordonnateur délégué compétent à élaborer le rapport annuel d’activités contenant des informations financières et de gestion, y compris les résultats des contrôles, établi conformément à l’article 66, paragraphe 9, du règlement financier, et lui rend régulièrement compte de la mise en œuvre des mesures pour lesquelles des pouvoirs lui ont été sous-délégués.

5 Le chef de la CERT-UE établit chaque année une planification financière des recettes et des dépenses administratives concernant ses activités en vue de son approbation par le comité de pilotage conformément à l’article 8, paragraphe 1, point c).

1 Un comité de pilotage donne à la CERT-UE une direction stratégique et des orientations et surveille la mise en œuvre de ses priorités et objectifs généraux. Il se compose de hauts responsables désignés par chacun des signataires du présent accord et par l’ENISA, laquelle représente les intérêts des organismes qui sont énumérés à l’annexe I et qui gèrent leur propre infrastructure de TIC. Chaque membre peut être assisté d’un suppléant. D’autres représentants des parties peuvent être invités par le président à assister aux réunions du comité de pilotage.

2 Le comité de pilotage désigne un président parmi ses membres pour une période de deux ans. Son suppléant devient membre à part entière du comité pour la même durée.

3 Le comité de pilotage se réunit à l’initiative de son président ou à la demande de l’un de ses membres. Il adopte son règlement intérieur.

4 Chacun des signataires du présent accord, ainsi que l’ENISA, disposent d’une voix, qui est exprimée par le ou les membre(s) correspondant(s). Les décisions du comité de pilotage sont prises à la majorité simple, sauf disposition contraire. Le président ne peut voter qu’en cas d’égalité, sa voix étant alors prépondérante.

5 Si, pour des raisons opérationnelles, des décisions doivent être prises en urgence, le comité de pilotage peut exceptionnellement agir en accord avec le président ainsi qu’avec les membres représentant la Commission européenne, le Conseil, le Parlement européen et la ou les partie(s) touchée(s).

6 Le comité de pilotage peut statuer par la voie d’une procédure écrite simplifiée lancée par le président, la décision concernée étant alors réputée approuvée dans le délai fixé par celui-ci, sauf objection d’un membre.

7 Le chef de la CERT-UE participe aux réunions du comité de pilotage, sauf si ce dernier en décide autrement.

8 Le secrétariat du comité de pilotage est assuré par l’institution dont est issu le haut responsable qui exerce la fonction de président.

9 Le secrétariat informe les organismes de l’UE énumérés à l’annexe I des décisions prises par le comité de pilotage. Tout organisme de l’UE peut soulever auprès du président du comité de pilotage toute question dont il estime qu’elle devrait être portée à l’attention du comité de pilotage.

1 Dans le cadre de son rôle consistant à donner à la CERT-UE une direction stratégique et des orientations, le comité de pilotage s’acquitte notamment des tâches suivantes: (a) approuver le programme de travail annuel de la CERT-UE, sur la base d’une proposition de son chef, et en surveiller la mise en œuvre; (b) approuver le catalogue de services de la CERT-UE, sur la base d’une proposition de son chef; (c) approuver la planification financière des recettes et des dépenses, y compris en matière d’effectifs, concernant les activités de la CERT-UE, sur la base d’une proposition de son chef; (d) approuver chaque année, sur la base d’une proposition du chef de la CERT-UE, le montant de l’enveloppe financière annuelle à allouer pour les services qui doivent être fournis aux parties et aux tiers ayant conclu des accords de niveau de service avec la CERT-UE; (e) examiner et approuver le rapport annuel établi par le chef de la CERT-UE concernant les activités de celle-ci et sa gestion des fonds; (f) approuver les indicateurs clés de performance relatifs à la CERT-UE qui sont définis sur proposition de son chef, et en assurer le suivi; (g) approuver les documents de la CERT-UE qui définissent des politiques et des lignes directrices générales recommandant aux parties les bonnes pratiques à suivre en matière de sécurité des TIC; (h) approuver les accords de coopération et les accords ou contrats de niveau de service conclus entre la CERT-UE et d’autres entités conformément à l’article 3, paragraphe 8, et à l’article 5, paragraphe 4; (i) mettre en place, en tant que de besoin, des groupes consultatifs techniques chargés d’aider le comité de pilotage dans ses travaux, approuver leur mandat et désigner leur président; et (j) modifier la liste des organismes de l’Union appliquant le présent accord, qui figure à l’annexe I.

2 Le président peut représenter le comité de pilotage ou agir en son nom, selon les modalités arrêtées par le comité.

1 Bien qu’il s’agisse d’un fournisseur interinstitutionnel autonome de services destinés à l’ensemble des institutions, organes et organismes de l’Union, la CERT-UE est intégrée à la structure administrative d’une direction générale de la Commission, afin de bénéficier des structures d’appui de la Commission en matière administrative, de gestion financière et de comptabilité. La Commission informe le comité de pilotage du siège administratif de la CERT-UE et de toute modification de celui-ci.

2 La Commission, après avoir obtenu, à l’unanimité, l’approbation du comité de pilotage, désigne le chef de la CERT-UE. Le comité de pilotage est consulté à tous les stades de la procédure menant à la désignation du chef de la CERT-UE, notamment lorsqu’il s’agit d’établir les avis de vacance, d’examiner les candidatures et de désigner les comités de sélection relatifs à ce poste.

3 Les fonctionnaires de l’ensemble des institutions et organes de l’Union sont informés de tout avis de vacance concernant des postes à la CERT-UE.

4 Sous réserve des prérogatives de l’autorité budgétaire de l’Union, les institutions et organes de l’Union qui participent au présent accord, à l’exception de la Cour des comptes européenne, de la Banque centrale européenne et de la Banque européenne d’investissement, s’engagent à transférer ou à affecter à la CERT-UE le nombre de postes indiqué à l’annexe II au plus tard pour l’exercice 2019, à moins que l’annexe II ne prévoie une autre échéance. Les institutions et organes de l’Union affectant ou transférant les nombres de postes définis bénéficient de l’intégralité des services proposés par la CERT-UE. Le nombre de postes indiqué à l’annexe II fait l’objet d’un réexamen au moins tous les cinq ans.

5 La CERT-UE peut convenir avec les institutions et organes de l’Union participants que du personnel supplémentaire lui soit temporairement affecté.

6 La Cour des comptes européenne, la Banque centrale européenne et la Banque européenne d’investissement concluent des accords de niveau de service portant sur les services proposés par la CERT-UE conformément à son catalogue de services ainsi que sur la compensation financière annuelle que chacune des trois entités précitées doit fournir au début de chaque exercice, conformément à l’annexe II, en contrepartie des services fournis par la CERT-UE lors de l’exercice précédent.

7 La compensation financière que doit fournir chaque organisme de l’Union pour couvrir les coûts des services qui lui sont proposés par la CERT-UE est définie d’un commun accord avec l’organisme concerné et est intégrée au cadre administratif général régissant la fourniture de services de la Commission aux organismes de l’Union.

8 Chaque année, le chef de la CERT-UE communique le montant de la compensation financière annuelle à fournir par les parties ayant conclu des accords de niveau de service avec la CERT-UE en application du paragraphe 6 et par les organismes de l’Union en application du paragraphe 7. Le comité de pilotage revoit chaque année le montant de cette compensation financière annuelle.

9 La gestion budgétaire et financière des activités de la CERT-UE, y compris en ce qui concerne les recettes affectées provenant d’autres institutions ou organes de l’Union, est assurée par la Commission conformément au règlement (UE, Euratom) no 966/2012 du Parlement européen et Conseil relatif aux règles financières applicables au budget général de l’Union et aux règles et réglementations applicables. Tous crédits ou recettes budgétaires dont bénéficie la CERT-UE du fait d’accords de niveau de service seront spécifiquement indiqués dans sa planification financière.

La CERT-UE et les parties traitent toute information reçue d’une autre partie ou d’un tiers comme étant soumise au secret professionnel, conformément à l’article 339 du traité sur le fonctionnement de l’Union européenne ou aux cadres équivalents applicables. Elles sont tenues de ne pas divulguer ces informations à des tiers, sauf autorisation spécifique de la partie ou du tiers concerné(e).

Le traitement de données à caractère personnel dans le cadre du présent accord est régi par le règlement (CE) no 45/2001 du Parlement européen et du Conseil .

1 La fonction d’auditeur interne est assurée par le service d’audit interne de la Commission, dans le respect des dispositions de l’article 10. Le comité de pilotage peut lui suggérer des audits à réaliser.

2 Le chef de la CERT-UE est chargé de répondre aux questions du médiateur européen et du Contrôleur européen de la protection des données conformément aux procédures internes de la Commission.

3 Les procédures applicables à la Commission en vertu du règlement (CE) no 1049/2001 du Parlement européen et du Conseil s’appliquent aux demandes d’accès du public aux documents détenus par la CERT-UE, dans le respect de l’obligation, prévue par ce règlement, de consulter les autres parties dès lors qu’une demande concerne leurs documents.

Compte tenu de l’évolution des menaces informatiques et de la réponse de l’Union à celle-ci, y compris les priorités d’action définies dans la stratégie de cybersécurité de l’UE, le comité de pilotage réexamine régulièrement l’organisation et le fonctionnement de la CERT-UE. Il peut recommander aux institutions et organes participants de réexaminer ou de modifier le présent accord, ou leur adresser toute autre recommandation visant à favoriser le bon fonctionnement de la CERT-UE.

1 Le présent accord s’applique aux institutions et organes de l’Union qui l’ont signé et aux organismes de l’Union énumérés à l’annexe I qui gèrent leur propre infrastructure de TIC.

2 Le présent accord est applicable à partir de la date de sa signature. Il est publié au Journal officiel de l’Union européenne. Le présent accord est rédigé en allemand, anglais, bulgare, croate, danois, espagnol, estonien, finnois, français, grec, hongrois, italien, letton, lituanien, maltais, néerlandais, polonais, portugais, roumain, slovaque, slovène, suédois et tchèque, en un seul exemplaire qui est déposé auprès du secrétariat général du Conseil de l’Union européenne qui en transmet une copie certifiée conforme à tous les signataires.