Resumé

INCIDENTRON est un projet financé par l'Union européenne qui développe un cadre modulaire, évolutif et open source pour la déclaration de bout en bout des incidents de cybersécurité, facilitant la conformité au regard de NIS2, DORA, le RGPD, le Cyber Resilience Act et les futurs cadres réglementaires européens. Les organisations européennes font aujourd'hui face à un nombre croissant d'obligations de déclaration d'incidents cyber, imposées par des législations telles que NIS2, DORA, le RGPD, la directive CER et le Cyber Resilience Act. Il en résulte un paysage réglementaire très fragmenté : plusieurs réglementations imposent des obligations de déclaration qui se chevauchent tout en étant distinctes, chacune assortie de ses propres délais, de son propre contenu, format et autorités destinataires. Un seul incident peut ainsi déclencher de nombreuses notifications auprès de multiples cadres réglementaires, autorités et États membres.

INCIDENTRON repose sur une idée simple : un incident doit être traité dans le cadre d'un processus unique et coordonné. En automatisant et en structurant le processus de déclaration, le projet réduit les doublons, améliore la qualité des données et aide les autorités à obtenir une image plus claire et plus rapide de ce qui se passe dans les différents secteurs et au-delà des frontières. Sur une durée de 36 mois, INCIDENTRON concevra, mettra en œuvre et validera son cadre avec de véritables parties prenantes et cas d'usage, posant ainsi les bases d'une adoption pérenne à l'échelle européenne.

Notre rôle 

En tant que partenaire clé du consortium INCIDENTRON, Timelex dirige l'analyse juridique et réglementaire au cœur du projet. Timelex est chargé de cartographier les obligations de déclaration d'incidents auxquelles les organisations sont soumises au titre de NIS2, DORA, du RGPD et des cadres connexes dans plusieurs États membres de l'UE, en identifiant les choix de transposition nationale, le routage vers les autorités compétentes et les seuils de déclaration. Cette analyse juridique alimente directement la logique décisionnelle de la plateforme INCIDENTRON, garantissant que l'outil reflète le paysage réglementaire réel dans lequel opèrent les entités, plutôt qu'un référentiel européen théorique.

Timelex dirige également le volet éthique et protection des données, en élaborant une charte éthique et une évaluation de conformité juridique requises avant la mise en service de la plateforme. Timelex contribue en outre à l'engagement des parties prenantes, aux supports de formation et à la diffusion d'analyses juridiques pour aider les organisations à s'orienter dans un environnement réglementaire européen en matière de cybersécurité en constante évolution.

Résulats du projet

Le projet INCIDENTRON devrait produire les résultats suivants :

• Une logique décisionnelle unifiée reflétant les critères de déclaration, les délais et les autorités compétentes dans les différents secteurs et États membres de l'UE, réduisant les divergences liées aux différences de transposition nationale et au chevauchement des réglementations européennes.
• Un cadre open source de déclaration d'incidents, comprenant une taxonomie commune pour la classification et la déclaration des incidents, permettant aux organisations, aux prestataires de services de sécurité gérés (MSSP) et aux développeurs d'adopter, d'adapter et d'étendre la solution.
• Des formations basées sur des scénarios et des exercices pratiques sur Cyber Range à partir d'incidents réels, combinés à un module sécurisé de partage d'expériences et de renseignements sur les menaces, renforçant la connaissance de la situation et la coopération transfrontalière.
• Une architecture évolutive conçue pour s'adapter aux futures politiques européennes, et pouvant ultérieurement intégrer de nouveaux cadres tels que l'AI Act, eIDAS 2 et le Cyber Solidarity Act.

En s'appuyant sur des structures de données standardisées et des champs de déclaration prédéfinis, INCIDENTRON vise à réduire la charge administrative liée à la déclaration d'incidents, libérant ainsi les ressources des entités essentielles et des MSSP lors d'un incident de sécurité : la réponse aux incidents.