Lutte contre le terrorisme: réseau d'alerte concernant les infrastructures critiques (CIWIN)

OBJECTIF : mettre en place un réseau d’alerte portant sur les infrastructures critiques appelé CIWIN.

ACTE PROPOSÉ : Décision du Conseil.

CONTEXTE : la sécurité de l'UE et le bien-être de ses citoyens dépendent de certaines infrastructures et services essentiels tels que réseaux de télécommunications et d’énergie, services financiers, réseaux de transport, services de santé, approvisionnement en eau potable et en denrées alimentaires, etc. Toute destruction ou interruption de ce type d’infrastructures essentielles pourraient entraîner des pertes humaines et matérielles importantes et une perte de confiance des citoyens européens dans l’UE. Ce type d’infrastructures ou « infrastructures critiques » sont actuellement soumises à une mosaïque de mesures et d’obligations de protection sans que des normes minimales soient appliquées horizontalement au niveau européen.

En juin 2004, le Conseil européen a invité la Commission à élaborer une stratégie globale de protection des infrastructures critiques qui a abouti au projet de création d’un programme européen de protection des infrastructures critiques (l’EPCIP voir COM(2006)0786) ainsi qu’à l’adoption par le Conseil en décembre 2004 de conclusions appelant la Commission à créer un réseau d'alerte sur les infrastructures critiques (le CIWIN). Parallèlement, en décembre 2006, la Commission proposait une directive visant à recenser et à classer les infrastructures critiques européennes, actuellement en cours d’examen (voir CNS/2006/0276). Ces deux instruments (proposition de directive et EPCIP) constituent actuellement le cadre de la protection des infrastructures critiques dans l’Union. Cet ensemble doit être complété par un système informatique d’échanges d’informations sur les menaces et vulnérabilités des États membres et sur les mesures destinées à limiter les risques pour protéger les infrastructures critiques, que le présent projet de décision entend proposer sous la forme d’un réseau d’alerte entre États membres, conformément à la demande du Conseil de 2004.

CONTENU : la présente décision vise donc à créer un système sécurisé d’information, de communication et d’alerte concernant les infrastructures critiques ou CIWIN. Ce réseau visera tout particulièrement à assister les États membres dans l’échange d’informations sur les menaces et vulnérabilités qui leur sont communes, ainsi que sur les mesures et stratégies destinées à limiter les risques liés à la protection des infrastructures critiques. Celles-ci doivent être comprises comme des systèmes ou éléments indispensables au maintien des fonctions sociétales vitales, de la santé, de la sécurité et du bien-être économique et social des citoyens, et dont l'arrêt ou la destruction aurait une incidence importante dans les États membres.

Participation : tous les États membres seraient appelés à participer et à utiliser le CIWIN, moyennant la signature d’un protocole d’accord spécifiant les exigences techniques et de sécurité applicables au réseau.

Fonctions : le CIWIN aurait deux fonctions majeures :

1. il servirait de forum électronique pour l’échange d’informations concernant la protection des infrastructures critiques : celui-ci serait composé d’espaces fixes et d’espaces dynamiques dont une liste figure à l’annexe de la proposition. Les espaces fixes ou « portails » spécifiques dûment spécifiés par type d’utilisateur ou thématique abordée, seraient présents en permanence (ex. : « espaces États membres » ou « espaces sectoriels » visant des secteurs infrastructurels clés tels que énergie, produits alimentaires, santé, TIC, industries nucléaires, transports ou alimentation en eau) ; ils pourraient être adaptés mais en aucun cas supprimés ou renommés. Les espaces dynamiques seraient créés à la demande et répondraient à des objectifs précis ; ils pourraient être supprimés une fois leur objectif rempli (type « espaces experts » ou « espaces thèmes particuliers »,…) ;
2. il se matérialiserait sous la forme d’un système d’alerte rapide permettant aux États membres participants et à la Commission de signaler des menaces et des risques immédiats pesant sur l’une ou l’autre infrastructure critique.

Rôle respectif des États membres et de la Commission dans le cadre du CIWIN :

• les États membres participant au CIWIN devraient désigner un responsable chargé de signer le protocole d’accord et de gérer les droits d’accès au réseau dans l’État membre concerné. Ces derniers seraient chargés de fournir l’accès au CIWIN conformément aux consignes adoptées par la Commission ainsi que les informations d’intérêt communautaire sur la protection des infrastructures critiques les concernant ;
• la Commission serait chargée du développement et de la gestion techniques du CIWIN (y compris la structure informatique et les éléments nécessaires à l’échange d’informations) et de l’établissement de consignes fixant les conditions d’utilisation du réseau. La Commission serait également chargée de fixer les conditions et modalités d’octroi d’un accès illimité ou restreint au CIWIN. Elle devrait désigner en son sein un responsable chargé de gérer les droits d'accès au réseau à la Commission et fournir les informations d’intérêt communautaire sur la protection des infrastructures critiques.

Niveau de sécurité : le CIWIN étant un réseau sécurisé, il pourrait être amené à traiter des informations de type «RESTREINT UE». Il reviendrait à la Commission de choisir la plate-forme technologique la plus appropriée pour le CIWIN. La classification de sécurité du CIWIN serait aménagée en fonction des besoins. Les droits d’accès aux documents seraient accordés en fonction du «besoin d’en connaître» des utilisateurs et devraient à tout moment respecter les instructions précises de l’auteur en ce qui concerne la protection et la diffusion des documents. Les États membres et la Commission devront prendre les mesures pour:

• empêcher toute personne non autorisée d'accéder au CIWIN;
• garantir que les personnes autorisées aient accès aux seules données relevant de leur compétence;
• empêcher que des informations stockées sur le réseau ne soient lues, copiées, modifiées ou effacées par des personnes non autorisées.

Incidence financière : les coûts d’exploitation, de maintenance et de fonctionnement du CIWIN central seraient à la charge du budget communautaire (voir fiche financière annexée). Les coûts liés à l’accès des utilisateurs au CIWIN dans les États membres seraient à la charge des États membres participants.

Le CIWIN devrait être mis en place pour le 1^er janvier 2009. La Commission devrait réexaminer et évaluer le fonctionnement du CIWIN tous les 3 ans, et présenter des rapports réguliers aux États membres.