Hors collection - Droit de l'intelligence artificielle - 1re - 172

172
DROIT DE L'INTELLIGENCE ARTIFICIELLE
La directive REC (Résilience des entités critiques)21
du 14 décembre 2022 prévoit la mise en place de
mesures permettant aux « entités critiques », en tant que fournisseurs de services essentiels au fonctionnement
du marché intérieur, de prévenir de manière plus efficace les incidents susceptibles de
perturber la fourniture de leurs services.
Une évaluation, réalisée en 2019, de la directive de 2008 a mis en évidence la nécessité d'actualiser et
de renforcer les règles existantes, face aux nouveaux défis auxquels l'UE est confrontée, notamment
les tensions politiques donnant lieu à des menaces sur des infrastructures critiques. REC renforce
également l'harmonisation des mesures et la coopération entre États membres et avec les institutions
européennes.
La directive REC vise à réduire les vulnérabilités et à renforcer la résilience physique des entités critiques
qui « fournissent des services indispensables pour maintenir les fonctions sociétales vitales, les
activités économiques, la santé et la sécurité publiques ainsi que l'environnement ».
La Commission a établi une liste de onze secteurs régis par la directive : l'énergie, les transports, le
secteur bancaire, les infrastructures des marchés financiers, la santé, l'eau potable, les eaux résiduaires,
les infrastructures numériques, les services fournis par l'administration publique, le secteur de l'espace
et enfin celui de la production, transformation et distribution de denrées alimentaires.
Les entités désignées comme critiques, au titre de la directive REC sont automatiquement considérées
comme entités essentielles au titre de la directive NIS2.
Les obligations des entités critiques sont notamment les suivantes :
- l'évaluation des risques potentiels par les entités dans un délai de neuf mois après la notification
par l'État membre concerné ;
- la prise de mesures en amont pour prévenir la survenance d'incidents, dont la protection
physique des locaux, la mise en œuvre de protocoles de gestion des risques et la gestion adéquate
du personnel ;
- l'organisation de contrôles et de tests afin d'éprouver les mécanismes de réponse aux attaques des
entités ;
- la vérification des antécédents des membres du personnel ;
- la notification à l'État membre concerné de tout incident perturbant les services essentiels fournis
par l'entité en question ;
- la conformité à des normes à établir par les États membres pour encadrer l'usage de certaines
technologies par les entités critiques.
Les États membres adoptent les dispositions de transposition en droit interne au plus tard le 17 octobre
2024 et doivent les appliquer à compter du 18 octobre 2024.
21. Directive du 14 décembre 2022 sur la résilience des entités critiques abrogeant la directive nº 2008/114/CE.
Hors collection - Droit de l'intelligence artificielle - 1re

Table des matières de la publication Hors collection - Droit de l'intelligence artificielle - 1re
