1. Introduction et champ d’application
La présente annexe énonce les spécifications, mesures et objectifs techniques du système informatique décentralisé pour l’échange d’informations au titre du règlement (UE) 2018/1727.
Le caractère décentralisé du système informatique permet un échange de données direct et sécurisé entre les autorités nationales compétentes et Eurojust.
2. Définitions
Aux fins de la présente annexe, on entend par:
2. 1. «HyperText Transfer Protocol Secure» ou «HTTPS» (protocole de transfert hypertexte sécurisé): les canaux de communication cryptée et de connexion sécurisée;
2. 2. «non-répudiation de l’origine»: les mesures apportant la preuve de l’intégrité et la preuve de l’origine des données grâce à des méthodes telles que la certification numérique, l’infrastructure à clé publique ainsi que les signatures et cachets électroniques;
2. 3. «non-répudiation de la réception»: les mesures apportant à l’émetteur la preuve de la réception des données par le destinataire prévu des données grâce à des méthodes telles que la certification numérique, l’infrastructure à clé publique ainsi que les signatures et cachets électroniques;
2. 4. «SOAP» (Simple Object Access Protocol): selon les normes du World Wide Web Consortium, une spécification de protocole de messagerie pour l’échange d’informations structurées dans la mise en œuvre de services web dans les réseaux informatiques;
2. 5. «REST» (Representational State Transfer): un style d’architecture permettant de concevoir des applications en réseau, reposant sur un modèle de communication client-serveur sans état et utilisant des méthodes standards pour effectuer des opérations sur des ressources, qui sont généralement représentées dans des formats structurés;
2. 6. «service web»: un logiciel destiné à assurer une interaction interopérable machine-machine sur un réseau et qui dispose d’une interface décrite sous un format pouvant être traité par machine;
2. 7. «échange de données»: l’échange de messages et de documents par l’intermédiaire du système informatique décentralisé;
2. 8. «système e-CODEX»: le système e-CODEX tel qu’il est défini à l’article 3, point 1, du règlement (UE) 2022/850;
2. 9. «vocabulaire de base e-Justice de l’Union»: le vocabulaire de base e-Justice de l’Union tel que défini au point 4 de l’annexe du règlement (UE) 2022/850;
2. 10. «ebMS»: le service de messagerie ebXML, un protocole de messagerie développé par OASIS qui permet un échange sécurisé, fiable et interopérable de documents commerciaux sur support électronique utilisant SOAP. Il favorise l’intégration interentreprises dans divers systèmes;
2. 11. «AS4»: la déclaration d’applicabilité 4, une norme OASIS qui définit le profil ebMS 3.0 et simplifie la messagerie interentreprises sécurisée et interopérable en utilisant des normes ouvertes telles que SOAP et WS-Security;
2. 12. «durée maximale d’interruption admissible»: le délai maximal acceptable pour rétablir le service après un incident;
2. 13. «perte de données maximale admissible»: le volume maximal acceptable de perte de données en cas de défaillance.
3. Méthodes de communication par voie électronique
3. 1. Aux fins de l’échange de messages et de documents, le système informatique décentralisé utilise des méthodes de communication fondées sur des services, telles que les services web ou d’autres composants et solutions logicielles réutilisables.
3. 2. En particulier, le système informatique décentralisé nécessitera une communication par l’intermédiaire des points d’accès e-CODEX, tels que visés à l’article 5, paragraphe 2, du règlement (UE) 2022/850. Par conséquent, pour garantir un échange transfrontière de données efficace et interopérable, le système informatique décentralisé facilite la communication par l’intermédiaire du système e-CODEX.
4. Protocoles de communication
4. 1. Le système informatique décentralisé utilise des protocoles internet sécurisés pour:
a) la communication au sein du système informatique décentralisé entre les autorités compétentes et Eurojust;
b) la communication avec la base de données des autorités compétentes/cours et tribunaux telle que mentionnée au point 7.1.
4. 2. Aux fins de la définition et de la transmission de données et de métadonnées structurées, les composants du système informatique décentralisé sont basés sur des normes et des protocoles sectoriels complets et largement acceptés, tels que SOAP et REST.
4. 3. Pour les protocoles de transport et de messagerie, le système informatique décentralisé repose sur des protocoles normalisés sécurisés tels que:
a) le profil AS4 pour l’échange transfrontière de données, garantissant une messagerie sécurisée et fiable avec chiffrement et non-répudiation;
b) les API HTTPS/RESTful pour la communication prenant en charge les formats JSON et XML;
c) SOAP pour les interactions de haute fiabilité, intégrant WS-Security pour l’authentification et le chiffrement.
4. 4. Aux fins d’un échange de données fluide et interopérable, les protocoles de communication utilisés par le système informatique décentralisé sont conformes aux normes d’interopérabilité applicables.
4. 5. Le cas échéant, les schémas XML utilisent les normes ou vocabulaires pertinents, qui sont nécessaires à la validation correcte des éléments et types définis dans le schéma. Ces normes et vocabulaires peuvent inclure:
a) le vocabulaire de base e-Justice de l’Union;
b) des types de données non qualifiés;
c) une liste de codes pour les codes linguistiques de l’Union européenne.
4. 6. En ce qui concerne les protocoles de sécurité et d’authentification, le système informatique décentralisé repose sur des protocoles normalisés tels que:
a) TLS (sécurité de la couche de transport) pour la communication cryptée et authentifiée sur les réseaux, qui prend en charge l’authentification mutuelle au moyen de certificats numériques X.509;
b) OAuth/OpenID Connect (OIDC) pour une authentification et une autorisation sécurisées;
c) ICP (infrastructure à clé publique) et signatures numériques pour l’échange sécurisé de clés et la vérification de l’intégrité des messages, au moyen de certificats numériques (X.509) délivrés par des autorités de certification reconnues.
5. Objectifs en matière de sécurité de l’information et mesures techniques pertinentes
5. 1. En ce qui concerne l’échange d’informations au moyen du système informatique décentralisé, les mesures techniques permettant d’assurer le respect des normes minimales de sécurité informatique sont notamment les suivantes:
a) mesures visant à garantir la confidentialité des informations, y compris par le recours à des canaux de communication sécurisés;
b) mesures visant à garantir l’intégrité des données au repos et en transit;
c) mesures visant à garantir la non-répudiation de l’origine de l’émetteur des informations au sein du système informatique décentralisé et la non-répudiation de la réception des informations;
d) mesures visant à garantir la journalisation des événements liés à la sécurité conformément aux recommandations internationales reconnues en matière de normes de sécurité informatique;
e) mesures visant à garantir l’authentification et l’autorisation des utilisateurs et mesures visant à vérifier l’identité des systèmes connectés au système informatique décentralisé.
5. 2. Les composants du système informatique décentralisé garantissent une communication et une transmission de données sécurisées, en utilisant le chiffrement, l’infrastructure à clé publique avec des certificats numériques d’authentification et l’échange sécurisé de clés, ainsi que des protocoles de messagerie sécurisée tels qu’AS4 (ebMS), les API RESTful et SOAP, afin de préserver la confidentialité et l’intégrité des messages.
5. 3. En cas de recours au protocole TLS dans le contexte du système informatique décentralisé, la dernière version stable du protocole est utilisée ou, à défaut, une version ne présentant pas de failles de sécurité connues. Seules les longueurs de clé garantissant un niveau adéquat de sécurité cryptographique sont autorisées, et les suites cryptographiques dont on sait qu’elles sont peu sûres ou obsolètes ne sont pas utilisées.
5. 4. Dans la mesure du possible, les certificats numériques ICP utilisés aux fins de l’exploitation du système informatique décentralisé sont délivrés par des autorités de certification reconnues comme prestataires de services de confiance qualifiés au sens du règlement (UE) no 910/2014 du Parlement européen et du Conseil. Des mesures sont mises en œuvre pour garantir que ces certificats sont utilisés uniquement aux fins prévues, au niveau de confiance requis et conformément aux exigences applicables du règlement (UE) no 910/2014.
5. 5. Les composants du système informatique décentralisé sont développés conformément au principe de protection des données dès la conception et par défaut, et des mesures administratives, organisationnelles et techniques appropriées sont mises en œuvre pour garantir un niveau élevé de cybersécurité.
5. 6. La Commission conçoit, développe et maintient le logiciel de mise en œuvre de référence conformément aux exigences et principes en matière de protection des données énoncés dans le règlement (UE) 2018/1725. Le logiciel de mise en œuvre de référence fourni par la Commission permet aux États membres de se conformer aux obligations qui leur incombent en vertu du règlement (UE) 2016/679 du Parlement européen et du Conseil et de la directive (UE) 2016/680, selon le cas.
5. 7. Les États membres qui utilisent un système dorsal national différent du logiciel de mise en œuvre de référence mettent en œuvre les mesures nécessaires pour s’assurer que leur système dorsal national est conforme aux exigences du règlement (UE) 2016/679 et de la directive (UE) 2016/680, selon le cas.
5. 8. Eurojust met en œuvre les mesures nécessaires pour faire en sorte que son système dorsal, ou l’exemplaire du logiciel de mise en œuvre de référence qu’elle déploie, soit conforme aux exigences des règlements (UE) 2018/1725 et (UE) 2018/1727.
5. 9. Les États membres et Eurojust mettent en place des mécanismes solides de détection des menaces et de réaction aux incidents afin de garantir l’identification, l’atténuation et le rétablissement en temps utile à la suite des incidents de sécurité, conformément à leurs politiques pertinentes, pour les systèmes informatiques faisant partie du système informatique décentralisé qui relèvent de leur responsabilité.
6. Objectifs minimaux en matière de disponibilité
6. 1. Eurojust et les États membres veillent à ce que les composants du système informatique décentralisé relevant de leur responsabilité soient disponibles 24 heures sur 24 et 7 jours sur 7, avec un taux de disponibilité technique cible d’au moins 98 % sur une base annuelle, à l’exclusion de la maintenance programmée.
6. 2. La Commission veille à ce que la base de données des cours et tribunaux soit disponible 24 heures sur 24 et 7 jours sur 7, avec un taux de disponibilité technique cible de plus de 99 % sur une base annuelle, à l’exclusion de la maintenance programmée.
6. 3. Dans la mesure du possible, pendant les jours ouvrables, les opérations de maintenance doivent être planifiées entre 20 h 00 et 7 h 00 HEC.
6. 4. Les États membres informent la Commission, Eurojust et les autres États membres des activités de maintenance selon les modalités suivantes:
a) 5 jours ouvrables à l’avance en cas d’opérations de maintenance pouvant entraîner jusqu’à 4 heures d’indisponibilité;
b) 10 jours ouvrables à l’avance en cas d’opérations de maintenance pouvant entraîner entre 4 et 12 heures d’indisponibilité;
c) 30 jours ouvrables à l’avance en cas d’opérations de maintenance pouvant entraîner plus de 12 heures d’indisponibilité.
6. 5. Si les États membres disposent de fenêtres de maintenance régulières fixes, ils informent la Commission, Eurojust et les autres États membres de l’heure et du ou des jours où ces fenêtres régulières fixes sont prévues. Par dérogation aux obligations énoncées dans la première phrase, si des composants du système informatique décentralisé relevant de la responsabilité des États membres deviennent indisponibles au cours d’une telle fenêtre fixe régulière, les États membres peuvent choisir de ne pas en informer la Commission à chaque fois.
6. 6. En cas de défaillance technique imprévue d’un composant du système informatique décentralisé relevant de la responsabilité des États membres, ceux-ci informent sans délai la Commission et les autres États membres de cette défaillance et, s’il est connu, du délai de rétablissement prévu.
6. 7. Eurojust informe la Commission et les États membres des activités de maintenance selon les modalités suivantes:
a) 5 jours ouvrables à l’avance en cas d’opérations de maintenance pouvant entraîner jusqu’à 4 heures d’indisponibilité;
b) 10 jours ouvrables à l’avance en cas d’opérations de maintenance pouvant entraîner entre 4 et 12 heures d’indisponibilité;
c) 30 jours ouvrables à l’avance en cas d’opérations de maintenance pouvant entraîner plus de 12 heures d’indisponibilité.
6. 8. Si Eurojust dispose de fenêtres de maintenance régulières fixes, elle informe la Commission et les États membres de l’heure et du ou des jours où ces fenêtres régulières fixes sont prévues. Par dérogation aux obligations énoncées dans la première phrase, si des composants du système informatique décentralisé relevant de la responsabilité d’Eurojust deviennent indisponibles au cours d’une telle fenêtre fixe régulière, Eurojust peut choisir de ne pas en informer la Commission à chaque fois.
6. 9. En cas de défaillance technique imprévue d’un composant du système informatique décentralisé relevant de la responsabilité d’Eurojust, celle-ci informe sans délai la Commission et les États membres de cette défaillance et, s’il est connu, du délai de rétablissement prévu.
6. 10. En cas de défaillance technique inattendue de la base de données des autorités compétentes/cours et tribunaux, la Commission informe sans délai Eurojust et les États membres de cette indisponibilité et, s’il est connu, du délai de rétablissement prévu.
6. 11. En cas de perturbation du service, les États membres et Eurojust font en sorte que le service soit rapidement rétabli et que la perte de données soit minimale, conformément à la durée maximale d’interruption admissible et à la perte de données maximale admissible.
6. 12. Les États membres et Eurojust mettent en œuvre les mesures appropriées pour atteindre les objectifs de disponibilité décrits ci-dessus et établissent des procédures pour réagir efficacement aux incidents.
7. Base de données des autorités compétentes/cours et tribunaux (CDB)
7. 1. Conformément à l’article 22 bis du règlement (UE) 2018/1727, le système informatique décentralisé permet la communication électronique entre les autorités nationales compétentes et Eurojust. Eu égard aux obligations d’échange d’informations entre les autorités nationales compétentes et Eurojust prévues aux articles 21, 21 bis et 22, mais également au rôle d’Eurojust consistant à faciliter et à soutenir l’émission et l’exécution de toute demande d’entraide judiciaire ou de reconnaissance mutuelle en application de l’article 8, paragraphe 1, du règlement (UE) 2018/1727, les autorités compétentes concernées doivent être clairement identifiables lorsqu’elles utilisent le système informatique décentralisé. Par conséquent, il est essentiel de créer une source authentique comportant des informations sur lesdites autorités aux fins du système informatique décentralisé.
7. 2. La CDB comporte les informations suivantes sous forme structurée:
a) aux fins de l’article 8, paragraphes 1, 3 et 4, et des articles 21, 21 bis et 22 du règlement (UE) 2018/1727, des informations sur les autorités nationales compétentes, y compris les correspondants nationaux tels que prévus à l’article 20 dudit règlement, ainsi que les membres nationaux dont il est question à l’article 7 du même règlement;
b) le cas échéant, des informations nécessaires pour déterminer les champs géographiques ou matériels relevant de la compétence des autorités compétentes, ou d’autres critères pertinents nécessaires pour établir leur compétence;
c) des informations nécessaires à l’acheminement correct des messages techniques au sein du système informatique décentralisé.
7. 3. La Commission est responsable du développement, de la maintenance, du fonctionnement et du soutien de la CDB.
7. 4. La CDB permet aux États membres et à Eurojust de mettre à jour les informations y figurant, et aux autorités nationales compétentes et aux membres nationaux participant au système informatique décentralisé d’accéder à ces informations et de les extraire au moyen de programmes.
7. 5. L’accès à la CDB est possible via un protocole de communication commun, que les autorités compétentes connectées au système informatique centralisé utilisent un système dorsal national ou un exemplaire du logiciel de mise en œuvre de référence.
7. 6. Les États membres veillent à ce que les informations relatives à leurs autorités compétentes figurant dans la CDB, telles qu’énumérées au point 7.2, soient complètes, exactes et tenues à jour.