Règlement d’exécution (UE) 2025/2540 de la Commission du 9 décembre 2025 portant modalités d’application du règlement (UE) 2019/881 du Parlement européen et du Conseil en ce qui concerne l’établissement du plan pour l’examen par les pairs

1 Les examens par les pairs des autorités nationales de certification de cybersécurité (ANCC) sont réalisés selon le calendrier figurant à l’annexe I. Chaque examen par les pairs est achevé au plus tard à la date indiquée dans ce calendrier et est réalisé une fois tous les cinq ans par la suite.

2 Dans des circonstances exceptionnelles, une ANCC faisant l’objet d’un examen par les pairs peut soumettre à la Commission une demande dûment justifiée de reporter son examen par les pairs au-delà de la date indiquée dans le calendrier figurant à l’annexe I. La Commission, en coopération avec le groupe européen de certification de cybersécurité (GECC) établi par l’article 62 du règlement (UE) 2019/881, évalue la demande et informe toutes les parties concernées du résultat dans les plus brefs délais.

3 Lorsqu’un État membre, en application de l’article 58, paragraphe 1, du règlement (UE) 2019/881, a désigné: a) plus d’une ANCC sur son territoire, toutes les ANCC de cet État membre font l’objet d’examens par les pairs réalisés en parallèle; b) l’ANCC ou les ANCC d’un autre État membre, cette ou ces ANCC peuvent faire l’objet d’un examen par les pairs selon le calendrier fixé soit pour l’État membre qui procède à la désignation, soit pour l’État membre de l’ANCC ou des ANCC désignées, en ce qui concerne les tâches de supervision exécutées dans l’État membre qui procède à la désignation.

4 L’Agence de l’Union européenne pour la cybersécurité (ENISA) met les informations suivantes à la disposition du public sur le site internet sur les schémas européens de certification de cybersécurité créé en vertu de l’article 50 du règlement (UE) 2019/881: a) les informations relatives au calendrier figurant à l’annexe I; b) la liste des ANCC pairs examinateurs, tenue à jour conformément à l’article 2, paragraphe 5.

5 Chaque ANCC participant au processus d’examen par les pairs supporte ses propres frais de participation.

1 Conformément à l’article 59, paragraphe 4, du règlement (UE) 2019/881, chaque examen par les pairs est réalisé par deux ANCC pairs examinateurs d’autres États membres et par la Commission. Les ANCC de chaque État membre participent à l’examen par les pairs d’au moins deux ANCC au cours de chacune des périodes figurant à l’annexe I.

2 Les ANCC d’autres États membres peuvent, par l’intermédiaire d’un ou de plusieurs représentants, participer à l’examen par les pairs en tant qu’observateurs, avec l’accord de l’ANCC faisant l’objet d’un examen par les pairs, des ANCC pairs examinateurs et de la Commission.

3 Un représentant de l’ENISA peut participer à l’examen par les pairs en tant qu’observateur. Des représentants supplémentaires peuvent également participer, avec l’accord de l’ANCC faisant l’objet d’un examen par les pairs, des ANCC pairs examinateurs et de la Commission.

4 Les observateurs ont accès aux mêmes informations que les autres membres de l’équipe d’examen par les pairs, mais n’effectuent aucune tâche liée à l’exécution de l’examen par les pairs.

5 L’ENISA, en coopération avec la Commission et le GECC, propose et met à jour la liste des ANCC pairs examinateurs qui doivent exécuter les tâches selon le calendrier figurant à l’annexe I. Au cours d’une année donnée, l’ENISA, en coopération avec la Commission, demande aux ANCC de manifester leur intérêt pour procéder ou participer en tant qu’observateurs aux examens par les pairs des ANCC planifiés pour l’année suivante selon le calendrier figurant à l’annexe I.

6 Lorsque plus de deux ANCC manifestent leur intérêt pour procéder à l’examen par les pairs de la même ANCC, la Commission et l’ENISA consultent les ANCC intéressées et se prononcent sur les participants à l’examen par les pairs.

7 Lorsque, au cours d’une année donnée, il n’y a pas assez d’ANCC pairs examinateurs manifestant leur intérêt pour procéder aux examens par les pairs, la Commission, après consultation du GECC, sélectionne les ANCC devant procéder aux examens par les pairs. Lors de sa sélection, la Commission tient compte de l’obligation, pour les ANCC de chaque État membre, de participer à l’examen par les pairs d’au moins deux ANCC, visée au paragraphe 1.

1 En temps opportun avant le début de l’examen par les pairs, chaque ANCC pair examinateur désigne un représentant pour procéder à l’examen par les pairs. Les ANCC pairs examinateurs peuvent désigner plus d’un représentant lorsque cela est requis pour garantir que l’équipe d’examen par les pairs dispose des compétences nécessaires pour procéder à l’examen par les pairs.

2 Les représentants des ANCC pairs examinateurs, à l’exception des représentants des ANCC participant en tant qu’observateurs, satisfont aux critères suivants: a) avoir au moins deux ans d’expérience au sein de l’ANCC pair examinateur ou avoir participé à au moins deux examens par les pairs en tant qu’observateurs; b) posséder des connaissances suffisantes du cadre de certification de cybersécurité établi par le règlement (UE) 2019/881; c) avoir de bonnes connaissances pratiques de l’anglais et, dans la mesure du possible, d’une ou de plusieurs des langues parlées dans l’État membre des ANCC faisant l’objet de l’examen par les pairs; d) fonctionner en toute indépendance par rapport à l’ANCC faisant l’objet de l’examen par les pairs.

3 Les ANCC pairs examinateurs veillent à ce que tout risque de conflit d’intérêts concernant les représentants désignés soit communiqué aux autres ANCC, à la Commission et à l’ENISA, avant le début du processus d’examen par les pairs. L’ANCC faisant l’objet de l’examen par les pairs peut s’opposer à la désignation de représentants particuliers conformément au paragraphe 5.

4 Les ANCC pairs examinateurs choisissent un représentant (le «chef d’équipe») parmi elles pour coordonner l’examen par les pairs.

5 Avant le début du processus d’examen par les pairs, la Commission communique à l’ANCC faisant l’objet de l’examen par les pairs les noms et les coordonnées des représentants des ANCC pairs examinateurs. Lorsque l’ANCC faisant l’objet de l’examen par les pairs souhaite s’opposer à la désignation d’un ou de plusieurs représentants, elle fournit, dans un délai de deux semaines, une justification claire à la Commission, en informe l’ENISA et le GECC, et demande que l’ANCC pair examinateur désigne un autre représentant.

6 Lorsque la procédure énoncée au paragraphe 5 entraîne des retards injustifiés dans le lancement de l’examen par les pairs en raison de circonstances exceptionnelles, la Commission, en consultation avec l’ENISA et le GECC, décide de la composition de l’équipe d’examen par les pairs.

1 L’examen par les pairs évalue les aspects énumérés à l’annexe II, conformément à l’article 59, paragraphe 3, du règlement (UE) 2019/881.

2 L’ENISA, en coopération avec le GECC et la Commission, peut élaborer des modèles pour l’évaluation des processus mis en place par l’ANCC faisant l’objet de l’examen par les pairs.

3 L’examen par les pairs comporte notamment: a) un questionnaire d’autoévaluation; b) une évaluation des documents utiles; c) des entretiens en ligne ou physiques, ou les deux; d) une visite sur place.

4 La durée de l’examen par les pairs peut être convenue au préalable entre l’équipe d’examen par les pairs et l’ANCC faisant l’objet de l’examen par les pairs, en fonction de la taille et de la complexité des activités de l’ANCC faisant l’objet de l’examen par les pairs. La durée de la visite sur place n’excède pas trois jours ouvrables.

5 Sauf si l’équipe d’examen par les pairs, l’ANCC faisant l’objet de l’examen par les pairs et la Commission en conviennent autrement, la langue de coopération est l’anglais. Le rapport d’examen par les pairs visé à l’article 5 est rédigé au moins en anglais.

6 L’ANCC faisant l’objet de l’examen par les pairs coopère et fournit à l’équipe d’examen par les pairs un accès aux informations et documents nécessaires pour effectuer l’examen par les pairs. L’ANCC faisant l’objet de l’examen par les pairs soumet le questionnaire d’autoévaluation et le dernier résumé annuel des activités entreprises adopté conformément à l’article 58, paragraphe 7, point g), du règlement (UE) 2019/881 au moins 21 jours avant la date de la visite sur place. Tout document supplémentaire est présenté à la demande de l’équipe d’examen par les pairs, dans un délai de 7 jours à compter de la réception de la demande.

7 Les documents sont communiqués en anglais, sauf s’il en est convenu autrement conformément au paragraphe 5. Lorsque des documents ne sont pas communiqués en anglais, l’équipe d’examen par les pairs peut demander que les documents nécessaires pour procéder à l’examen par les pairs soient traduits en anglais.

8 Avant de rédiger le rapport d’examen par les pairs conformément à l’article 5, l’équipe d’examen par les pairs passe en revue les constatations préliminaires avec l’ANCC faisant l’objet de l’examen par les pairs.

1 Dans un délai de 21 jours à compter de l’exécution de l’examen par les pairs, l’équipe d’examen par les pairs rédige un projet de rapport d’examen par les pairs, qui mentionne l’État membre de l’ANCC faisant l’objet de l’examen par les pairs, les ANCC pairs examinateurs, la Commission et tout observateur, ainsi que les constatations et les conclusions de l’examen par les pairs. Le cas échéant, le rapport contient des recommandations permettant d’améliorer les aspects sur lesquels l’évaluation par les pairs a porté.

2 L’ENISA, en coopération avec la Commission et le GECC, peut élaborer un modèle de rapport d’examen par les pairs.

3 Après avoir rédigé le projet de rapport d’examen par les pairs conformément au paragraphe 1, l’équipe d’examen par les pairs le transmet à l’ANCC faisant l’objet de l’examen par les pairs afin qu’elle présente ses observations dans un délai de 14 jours. L’équipe d’examen par les pairs évalue les observations formulées et, dans la mesure du possible, les intègre dans le rapport final, en vue de parvenir à un consensus. En cas de désaccord, la réponse de l’ANCC faisant l’objet de l’examen par les pairs est jointe au rapport final.

4 Le rapport final est envoyé au GECC dans un délai de deux mois à compter de l’exécution de l’examen par les pairs, et est accompagné d’un résumé pour publication. Conformément à l’article 59, paragraphe 6, du règlement (UE) 2019/881, le GECC examine le rapport et approuve son résumé, qui est publié sur le site internet sur les schémas européens de certification de cybersécurité créé en vertu de l’article 50 du règlement (UE) 2019/881. Le résumé contient également la réponse de l’ANCC faisant l’objet de l’examen par les pairs ou des parties de cette réponse, en accord avec l’ANCC faisant l’objet de l’examen par les pairs.

5 L’équipe d’examen par les pairs anonymise les données à caractère personnel qu’elle a pu recueillir au cours de l’examen par les pairs avant de diffuser le rapport d’examen par les pairs en dehors de l’équipe d’examen par les pairs.

1 Toutes les parties intervenant dans les examens par les pairs respectent la confidentialité des informations et des données obtenues dans l’exécution de leurs tâches et activités de manière à protéger, en particulier: a) les droits de propriété intellectuelle et les informations confidentielles de nature commerciale ou les secrets d’affaires des personnes physiques ou morales, y compris le code source, à l’exception des cas visés à l’article 5 de la directive (UE) 2016/943 du Parlement européen et du Conseil ; b) la bonne mise en œuvre du présent règlement; c) les intérêts en matière de sécurité nationale et publique; d) l’intégrité des procédures pénales ou administratives.

2 L’équipe d’examen par les pairs garantit que toute information obtenue dans le cadre du processus d’examen par les pairs est traitée de manière sécurisée. Une fois que le rapport final et le résumé visés à l’article 5, paragraphe 4, ont été rédigés, l’équipe d’examen par les pairs, y compris tout observateur, supprime ou détruit tous les documents, autres que le rapport final et le résumé, qui ont été collectés ou générés dans le cadre du processus d’examen par les pairs.

3 L’ENISA, en tenant compte des meilleures pratiques existantes des ANCC, peut, en coopération avec le GECC, élaborer des lignes directrices sur les communications sécurisées et confidentielles.

L’ENISA analyse les résultats agrégés des examens par les pairs et met en lumière les enseignements tirés et les meilleures pratiques, afin de contribuer au renforcement des capacités des ANCC et à la maintenance des schémas européens de certification de cybersécurité. Cette analyse peut comprendre, le cas échéant, des formations et des lignes directrices supplémentaires à l’intention des ANCC, élaborées en coopération avec le GECC.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.