Glossaire

Actes de la Commission européenne qui complètent une directive ou un règlement par des règles techniques ou détaillées. Par exemple, le règlement d'exécution (UE) 2024/2690 précise les mesures de sécurité SRI 2 pour les fournisseurs de services numériques.

Actes de référence: Règlement d’exécution SRI 2 (UE) 2024/2690

Le premier signalement d'un incident important prévu par SRI 2, à adresser au CSIRT ou à l'autorité compétente dans les 24 heures suivant sa prise de connaissance. Suivent la notification dans les 72 heures et un rapport final dans un délai d'un mois.

En savoir plus → · Voir aussi: Incident important, CSIRT (ou CERT)

L'organisme public qu'un État désigne pour contrôler le respect d'un texte et appliquer les sanctions. Pour SRI 2, il peut s'agir de l'agence nationale de cybersécurité ou d'une autorité sectorielle, par exemple de l'énergie ou des communications.

Voir aussi: Point de contact unique, CSIRT (ou CERT)

L'autorité nationale qui vérifie que les produits mis sur le marché respectent les règles de l'UE et peut exiger leur mise en conformité, leur retrait ou leur rappel. Pour le règlement sur la cyberrésilience, chaque État membre doit en désigner au moins une.

En savoir plus → · Voir aussi: Organisme notifié, Produits comportant des éléments numériques

La reconnaissance, délivrée selon un schéma et un niveau d'assurance définis, qu'un produit, un service ou un processus respecte certaines exigences de sécurité. Le règlement sur la cybersécurité prévoit des schémas européens valables dans toute l'UE, comme EUCC pour les produits TIC.

EUCC

En savoir plus → · Actes de référence: Règlement sur la cybersécurité (UE) 2019/881, Schéma de certification EUCC (règl. 2024/482) · Voir aussi: ENISA

Équipe de réponse aux incidents de sécurité informatique (Computer Security Incident Response Team). Le CSIRT national reçoit les notifications d'incidents, aide les organisations touchées et coordonne la réponse avec les autres pays via le réseau européen des CSIRT.

CSIRT · CERT · Computer Security Incident Response Team

En savoir plus → · Voir aussi: Autorité compétente, Alerte précoce

Acte de l'UE qui lie les États membres quant au résultat à atteindre mais laisse à chacun le choix de la loi pour y parvenir. Il produit ses effets par la transposition. Exemples : SRI 2 et la directive REC.

Actes de référence: Directive SRI 2 (UE) 2022/2555, Directive REC (UE) 2022/2557 · Voir aussi: Règlement (UE), Transposition

L'Agence de l'Union européenne pour la cybersécurité, basée à Athènes. Le règlement sur la cybersécurité (règlement (UE) 2019/881) lui a donné un mandat permanent. Elle soutient les États membres, gère les schémas européens de certification et, avec le CRA, la plateforme unique de signalement.

Actes de référence: Règlement sur la cybersécurité (UE) 2019/881 · Voir aussi: Certification de cybersécurité, EU-CyCLONe

Les organisations qui fournissent des services essentiels à la société et à l'économie (énergie, transports, santé, eau et autres secteurs), recensées par chaque État membre en application de la directive REC. Elles doivent évaluer les risques et prendre des mesures de résilience, y compris physiques.

En savoir plus → · Actes de référence: Directive REC (UE) 2022/2557 · Voir aussi: Infrastructures critiques

Les deux catégories d'organisations couvertes par SRI 2, déterminées selon le secteur (annexes I et II) et la taille. Les entités essentielles font l'objet d'une surveillance plus étroite, y compris préventive, et d'amendes maximales plus élevées (10 millions d'euros ou 2 % du chiffre d'affaires, contre 7 millions ou 1,4 %).

soggetti essenziali · soggetti importanti · essential entities · important entities

Actes de référence: Directive SRI 2 (UE) 2022/2555 · Voir aussi: Autorité compétente, Incident important

Le réseau européen des organisations de liaison en cas de crise cyber (Cyber Crisis Liaison Organisation Network), institué par SRI 2. Il coordonne les États membres lors d'incidents et de crises de cybersécurité majeurs.

Actes de référence: Directive SRI 2 (UE) 2022/2555 · Voir aussi: Groupe de coopération SRI

Le groupe qui réunit des représentants des États membres, de la Commission et de l'ENISA pour échanger des informations et préparer des orientations communes sur l'application de SRI 2.

Actes de référence: Directive SRI 2 (UE) 2022/2555 · Voir aussi: EU-CyCLONe, CSIRT (ou CERT)

Dans SRI 2, un incident qui a causé ou peut causer une perturbation opérationnelle grave ou des pertes financières, ou des dommages considérables à d'autres personnes. Seuls les incidents importants doivent être notifiés ; les seuils précis sont fixés par les lois nationales et les actes d'exécution.

En savoir plus → · Actes de référence: Directive SRI 2 (UE) 2022/2555 · Voir aussi: Alerte précoce

Les systèmes et services dont l'interruption aurait de graves effets sur la sécurité, la santé ou l'économie d'un pays, comme les réseaux électriques, l'eau, les transports, les télécommunications et les services financiers. De nombreuses stratégies nationales en font leur première priorité.

En savoir plus → · Voir aussi: Entités critiques, OT et systèmes ICS/SCADA

Le marquage par lequel le fabricant déclare qu'un produit respecte les règles de l'UE qui le concernent. Avec le règlement sur la cyberrésilience, pour les produits comportant des éléments numériques, le marquage CE atteste aussi le respect des exigences de cybersécurité.

Actes de référence: Règlement sur la cyberrésilience (UE) 2024/2847 · Voir aussi: Produits comportant des éléments numériques, Organisme notifié, Norme harmonisée

Une norme européenne élaborée par le CEN, le CENELEC ou l'ETSI à la demande de la Commission pour appliquer une législation de l'UE sur les produits. Une fois sa référence publiée au Journal officiel de l'UE, les produits qui la respectent sont présumés conformes aux exigences légales qu'elle couvre (présomption de conformité), sous réserve des éventuelles restrictions indiquées dans la publication. Pour la directive sur les équipements radioélectriques, ce sont les EN 18031 ; celles du règlement sur la cyberrésilience sont en préparation.

norme armonizzate · harmonised standards · hEN · presunzione di conformità · presumption of conformity

En savoir plus → · Actes de référence: Règlement sur la cyberrésilience (UE) 2024/2847, Règlement délégué RED (UE) 2022/30 · Voir aussi: Marquage CE, Organisme notifié, Produits comportant des éléments numériques

Un organisme indépendant, habilité par un État membre et notifié à la Commission, qui évalue la conformité des produits lorsque le texte ne permet pas l'auto-évaluation par le fabricant. Dans le règlement sur la cyberrésilience, il intervient pour les produits critiques et pour de nombreux produits importants.

Actes de référence: Règlement sur la cyberrésilience (UE) 2024/2847 · Voir aussi: Autorité de surveillance du marché, Marquage CE

Les technologies opérationnelles (OT) sont les systèmes qui pilotent des processus physiques, comme les installations industrielles et les réseaux électriques et d'eau. ICS et SCADA désignent les systèmes de contrôle industriel et de supervision. Leurs besoins de sécurité sont propres et couverts par des normes comme la série IEC 62443.

OT · ICS · SCADA · tecnologia operativa

En savoir plus → · Voir aussi: Infrastructures critiques

Le régime italien instauré par le décret-loi 105/2019 pour les réseaux et systèmes dont dépendent des fonctions essentielles de l'État. Les entités concernées doivent notifier les incidents, adopter des mesures de sécurité et faire contrôler certaines fournitures TIC.

En savoir plus → · Actes de référence: DL 105/2019 – Périmètre national de cybersécurité

Le document qui traduit une stratégie nationale en mesures concrètes, avec des responsables, des délais et parfois des indicateurs et des ressources. En Italie, il accompagne la stratégie nationale de cybersécurité 2022-2026.

En savoir plus → · Voir aussi: Stratégie nationale de cybersécurité

L'autorité qui, dans chaque État membre, assure la liaison avec les autorités des autres États, la Commission et l'ENISA pour l'application de SRI 2. En Italie, c'est l'Agence nationale pour la cybersécurité (ACN).

SPOC

Voir aussi: Autorité compétente, ENISA

La procédure par laquelle la Commission européenne reproche à un État membre de ne pas avoir appliqué le droit de l'UE, par exemple de ne pas avoir transposé une directive à temps. Elle commence par une lettre de mise en demeure, se poursuit par un avis motivé et peut aboutir devant la Cour de justice de l'UE.

En savoir plus → · Voir aussi: Transposition

Dans le règlement sur la cyberrésilience, tout produit matériel ou logiciel qui se connecte, directement ou indirectement, à un appareil ou à un réseau, des jouets connectés aux routeurs et aux logiciels. Pour être vendus dans l'UE, ils doivent respecter des exigences de sécurité et recevoir des mises à jour pendant toute la période d'assistance. L'obligation de signaler les vulnérabilités activement exploitées et les incidents graves s'applique depuis le 11 septembre 2026, les autres exigences à partir du 11 décembre 2027.

En savoir plus → · Actes de référence: Règlement sur la cyberrésilience (UE) 2024/2847 · Voir aussi: Marquage CE, Autorité de surveillance du marché

Acte de l'UE directement applicable dans tous les États membres, sans loi de transposition. Les États doivent toutefois adopter certaines mesures de mise en œuvre, comme la désignation des autorités et les sanctions. Exemples : le règlement sur la cyberrésilience, DORA et le RGPD.

En savoir plus → · Actes de référence: Règlement sur la cyberrésilience (UE) 2024/2847, DORA (règlement (UE) 2022/2554) · Voir aussi: Directive (UE), Actes d'exécution et actes délégués

La gestion des risques liés aux fournisseurs et prestataires de services, par exemple un logiciel compromis ou un fournisseur cloud victime d'une attaque. SRI 2, DORA et le règlement sur la cyberrésilience demandent d'évaluer la sécurité des fournisseurs et d'en tenir compte dans les contrats.

supply chain

En savoir plus →

Le document par lequel un gouvernement fixe les objectifs, les priorités et les responsabilités du pays en matière de cybersécurité pour plusieurs années. Il ne crée généralement pas d'obligations directes pour les entreprises et les citoyens, mais oriente les lois, les investissements et l'organisation. SRI 2 oblige chaque État membre à en adopter une.

NCSS

En savoir plus → · Voir aussi: Plan d'action ou de mise en œuvre

L'adoption, par un État membre, de la loi nationale qui met en œuvre une directive de l'UE. La directive fixe un délai ; l'État qui ne le respecte pas peut faire l'objet d'une procédure d'infraction.

En savoir plus → · Voir aussi: Directive (UE), Procédure d'infraction