Cybersécurité : la répartition des compétences dans l’UE mise à l’épreuve

Sous couvert de renforcer la résilience numérique de l’UE, le récent projet de la Commission européenne visant à réformer la législation sur la cybersécurité pourrait modifier l’équilibre des compétences déterminé par les traités. Dévoilée le 20 janvier dernier, cette proposition de règlement, intitulée Cybersecurity Act 2, lui permettrait de désigner certains pays tiers comme constituant une menace pour la cybersécurité et d’interdire aux fournisseurs qui leur sont liés l’accès aux infrastructures critiques européennes. Si le contexte géopolitique d’une telle mesure est clair, son fondement juridique l’est beaucoup moins.

La Commission a choisi de fonder les importantes restrictions qu’elle pourrait imposer en matière de chaîne d’approvisionnement, au titre du CSA2, sur l’article 114 du TFUE qui confère à l’Union la compétence d’harmoniser les règles relatives au marché intérieur. Cette lecture juridique s’appuie sur une interprétation particulièrement extensive de son champ d’application. En effet, les critères pour qualifier un pays tiers de menace pour la cybersécurité reposent sur l’évaluation de la gouvernance d’un État, ainsi que de son comportement géopolitique, des domaines qui relèvent traditionnellement de la politique étrangère et de sécurité, et non de la réglementation des marchés.

Cette distinction est déterminante au regard du droit constitutionnel européen : les traités attribuent sans ambiguïté la sécurité nationale à la responsabilité exclusive des États membres. Or, parmi les critères d’évaluation prévus par le CSA2 figurent notamment ce type de questions : l’État tiers concerné impose-t-il aux entreprises de signaler les failles logicielles à ses autorités publiques ? Dispose-t-il de tribunaux indépendants ou de mécanismes de contrôle démocratique ? Des acteurs malveillants opérant depuis son territoire mènent-ils des activités d’espionnage ? Ces appréciations relèvent, par essence, de la politique étrangère et de sécurité, et non de l’harmonisation du marché intérieur. Il n’est donc pas surprenant que plusieurs États membres aient exprimé des réserves quant au choix, par la Commission européenne, de cette base juridique.

D’autant que les enjeux dépassent ici le seul cadre de la théorie constitutionnelle. Écarter des fournisseurs de certains pays pour des motifs vagues, de surcroît dans un contexte politique instable, risquerait de nuire aux relations commerciales de l’Union, de restreindre l’accès à des composants essentiels et d’engendrer une incertitude juridique persistante. Dans l’état actuel du marché, cette disposition pourrait également accroître la dépendance de l’UE à l’égard d’autres acteurs étrangers, plutôt que de la réduire. Plus généralement, ce mouvement de concentration risquerait de conduire à une augmentation des coûts d’infrastructures et de ralentir le déploiement des réseaux télécoms, compromettant ainsi les objectifs de connectivité que l’Union européenne s’est fixés.

Face à une augmentation constante du cyber-risque, l’UE doit évidemment renforcer sa résilience numérique et, à ce titre, le CSA2 poursuit un objectif légitime. Cependant, il ne saurait justifier une interprétation des traités qui brouille la frontière entre harmonisation du marché intérieur et sécurité nationale. L’Union européenne fonctionne sur la base de rapports de droit, qu’il est imprudent de mettre en risque. Son action doit s’inscrire dans un cadre juridique incontestable, car une Europe plus souveraine ne peut être une Europe moins fidèle à ses propres règles.