ENISA : Agence de l'Union européenne pour la cybersécurité
Sécurité
ENISA : Agence de l'Union européenne pour la cybersécurité. « L'agence qui aide les États européens à parler de cybersécurité avec les mêmes mots et les mêmes niveaux d'exigence », par analogie avec le bureau des poids et mesures, qui ne pèse rien lui-même mais fait que tout le monde utilise le même kilogramme, ce qui, entre États européens, n'allait pas de soi.
Statut : Agence de l'Union créée en 2004, dotée d'un mandat permanent par le règlement européen sur la cybersécurité (Cybersecurity Act, règlement (UE) 2019/881). Elle conseille, coordonne et prépare ; les décisions opérationnelles restent aux autorités nationales comme l'ANSSI.
Certification : Elle prépare les schémas européens de certification de cybersécurité des produits, services et processus, pour qu'une évaluation reconnue dans un pays le soit dans les autres.
Menaces et vulnérabilités : Elle publie chaque année un panorama des menaces (Threat Landscape) et tient, dans le cadre de NIS2, une base européenne des vulnérabilités divulguées.
Coopération : Elle soutient le réseau des équipes nationales de réponse aux incidents (CSIRT) et organise des exercices de crise à l'échelle européenne, où les États s'entraînent à gérer ensemble une attaque d'ampleur, ce qui suppose d'abord de savoir qui appelle qui.
Ce qui arrive si on s'en passe
Une organisation qui ignore les travaux de l'ENISA se prive d'une lecture partagée de la menace à l'échelle européenne : ses priorités de défense reposent sur ses seuls incidents passés, et les tendances visibles ailleurs en Europe la surprennent, alors qu'elles avaient eu la politesse de s'annoncer. Elle choisit aussi ses produits sans tenir compte des certifications européennes, et doit alors refaire elle-même des évaluations que d'autres ont déjà menées, ou s'en passer.
Explication de la marmotte
Chaque pays d'Europe a son propre service chargé de la cybersécurité, comme l'ANSSI en France. Au-dessus, une agence européenne les aide à travailler ensemble. Elle écrit des conseils, prépare des étiquettes de confiance pour les logiciels et les services, que tous les pays reconnaissent, et publie chaque année un état des attaques informatiques observées en Europe. Elle organise aussi des entraînements où plusieurs pays s'exercent à réagir ensemble à une grosse attaque. Elle ne remplace pas les services nationaux : elle les aide à parler la même langue.
Où ce terme est utilisé
- ENISA (7 occurrences)
- AI Act : articuler les obligations de sécurité avec NIS 2, le CRA et le RGPD (6 occurrences)
- CERT-EU réponse aux incidents des institutions européennes (5 occurrences)
- Prioriser les vulnérabilités avec CVSS 4.0, EPSS, KEV et exposition (3 occurrences)
- PSIRT et divulgation coordonnée des vulnérabilités produit sous CRA (3 occurrences)
- AI Act : qui contrôle, Bureau de l'IA, Comité IA et autorités nationales (articles 64 à 70 et 74) (2 occurrences)
- Monter un CSIRT interne, missions, services FIRST et rattachement (2 occurrences)
- NCSC-NL et coordination cyber portuaire néerlandaise (2 occurrences)
- Organismes (2 occurrences)
- AI Act : surveillance après commercialisation et signalement des incidents graves d'une IA à haut risque (articles 72 et 73) (1 occurrence)