1. Introduction et champ d’application
La présente annexe établit les spécifications, les mesures et les objectifs techniques du système informatique décentralisé conformément au règlement (UE) 2023/2844 en ce qui concerne les actes juridiques mentionnés aux points 3) et 4) de l’annexe I et les actes juridiques mentionnés aux points 1), 10) et 11) de l’annexe II dudit règlement ainsi que la procédure établie par l’article 24, paragraphe 3, du règlement (UE) 2023/2844 pour la signification ou notification des actes par l’intermédiaire du point d’accès électronique européen.
2. Définitions
2. 1. On entend par «échange de données»: l’échange de messages et de documents par l’intermédiaire du système informatique décentralisé;
2. 2. «HyperText Transfer Protocol Secure» ou «HTTPS» (protocole de transfert hypertexte sécurisé): les canaux de communication cryptée et de connexion sécurisée;
2. 3. «non-répudiation de l’origine»: les mesures apportant la preuve de l’intégrité et la preuve de l’origine des données grâce à des méthodes telles que la certification numérique, l’infrastructure à clé publique ainsi que les signatures et cachets électroniques;
2. 4. «non-répudiation de la réception»: les mesures apportant à l’émetteur la preuve de la réception des données par le destinataire prévu des données grâce à des méthodes telles que la certification numérique, l’infrastructure à clé publique ainsi que les signatures et cachets électroniques;
2. 5. «Representational State Transfer (REST)»: un style d’architecture permettant de concevoir des applications en réseau, reposant sur un modèle de communication client-serveur sans état et utilisant des méthodes standards pour effectuer des opérations sur des ressources, qui sont généralement représentées dans des formats structurés;
2. 6. «Simple Object Access Protocol (SOAP)»: selon les normes du World Wide Web Consortium, une spécification de protocole de messagerie pour l’échange d’informations structurées dans la mise en œuvre de services web dans les réseaux informatiques;
2. 7. «service web»: un logiciel destiné à assurer une interaction interopérable machine-machine sur un réseau; il dispose d’une interface décrite sous un format pouvant être traité par machine.
3. Méthodes de communication par voie électronique
Aux fins de l’échange de messages et de documents, le système informatique décentralisé utilise des méthodes de communication fondées sur des services, telles que les services web ou d’autres composants et solutions logicielles réutilisables.
Plus précisément, il nécessite une communication par l’intermédiaire des points d’accès e-CODEX, tels que visés à l’article 5, paragraphe 2, du règlement (UE) 2022/850.
4. Protocoles de communication
Le système informatique décentralisé utilise des protocoles internet sécurisés, tels que HTTPS pour la communication au sein du système informatique décentralisé, ainsi que des protocoles de communication basés sur des normes, tels que SOAP, ou des méthodes, telles que REST, pour la transmission de données et de métadonnées structurées.
5. Objectifs en matière de sécurité de l’information et mesures techniques pertinentes
5. 1. En ce qui concerne l’échange d’informations au moyen du système informatique décentralisé, les mesures techniques permettant d’assurer le respect des normes minimales de sécurité informatique sont notamment les suivantes:
a) mesures visant à garantir la confidentialité des informations, notamment par le recours à des canaux de communication sécurisés (tels que HTTPS);
b) mesures visant à garantir l’intégrité des données au repos et en transit;
c) mesures visant à garantir la non-répudiation de l’origine de l’émetteur des informations au sein du système informatique décentralisé et la non-répudiation de la réception des informations;
d) mesures visant à garantir la journalisation des événements liés à la sécurité conformément aux recommandations internationales reconnues en matière de normes de sécurité informatique;
e) mesures visant à garantir l’authentification et l’autorisation des utilisateurs et mesures visant à vérifier l’identité des systèmes connectés au système informatique décentralisé.
5. 2. En cas de recours au protocole TLS dans le contexte du système informatique décentralisé, la dernière version stable du protocole est utilisée ou, à défaut, une version ne présentant pas de failles de sécurité connues. Seules les longueurs de clé garantissant un niveau adéquat de sécurité cryptographique sont autorisées, et les suites cryptographiques dont on sait qu’elles sont peu sûres ou obsolètes ne sont pas utilisées.
5. 3. Dans la mesure du possible, les certificats numériques ICP (infrastructure à clé publique) utilisés aux fins de l’exploitation du système informatique décentralisé sont délivrés par des autorités de certification reconnues comme prestataires de services de confiance qualifiés au sens du règlement (UE) no 910/2014. Des mesures sont mises en œuvre pour garantir que ces certificats sont utilisés uniquement aux fins prévues, au niveau de confiance requis et conformément aux exigences applicables du règlement (UE) no 910/2014.
5. 4. Les composants du système informatique décentralisé sont développés conformément au principe de protection des données dès la conception et par défaut, et des mesures administratives, organisationnelles et techniques appropriées sont mises en œuvre pour garantir un niveau élevé de cybersécurité.
5. 5. La Commission conçoit, développe et maintient le logiciel de mise en œuvre de référence conformément aux exigences et principes en matière de protection des données énoncés dans le règlement (UE) 2018/1725. Le logiciel de mise en œuvre de référence fourni par la Commission permet aux États membres de se conformer aux obligations qui leur incombent respectivement en vertu du règlement (UE) 2016/679 du Parlement européen et du Conseil et de la directive (UE) 2016/680 du Parlement européen et du Conseil, selon le cas.
5. 6. Les États membres qui utilisent un système informatique national différent du logiciel de mise en œuvre de référence mettent en œuvre les mesures nécessaires pour s’assurer qu’il est conforme aux exigences du règlement (UE) 2016/679 et de la directive (UE) 2016/680, selon le cas.
5. 7. Eu égard à leur participation au système informatique décentralisé, Eurojust et le Parquet européen mettent en œuvre les mesures nécessaires afin de garantir que leurs systèmes informatiques respectifs sont conformes aux exigences du règlement (UE) 2018/1725 et de leurs actes fondateurs.
5. 8. En ce qui concerne les systèmes informatiques faisant partie du système informatique décentralisé relevant de leur responsabilité, les États membres, Eurojust et le Parquet européen mettent en place des mécanismes solides de détection des menaces et de réaction aux incidents afin de garantir l’identification, l’atténuation et le rétablissement en temps utile à la suite des incidents de sécurité, conformément à leurs politiques pertinentes.
6. Objectifs minimaux en matière de disponibilité
6. 1. Les États membres veillent à ce que les composants du système informatique décentralisé relevant de leur responsabilité soient disponibles 24 heures sur 24 et 7 jours sur 7, avec un taux de disponibilité technique cible d’au moins 98 % sur une base annuelle, à l’exclusion de la maintenance programmée.
6. 2. La Commission veille à ce que la base de données des autorités compétentes/cours et tribunaux (CDB) soit disponible 24 heures sur 24 et 7 jours sur 7, avec un taux de disponibilité technique cible de plus de 99 % sur une base annuelle, à l’exclusion de la maintenance programmée.
6. 3. Dans la mesure du possible, les opérations de maintenance sont planifiées en dehors des jours ouvrables ou pendant les jours ouvrables entre 20 h 00 et 7 h 00 HEC.
6. 4. Les États membres informent la Commission et les autres États membres des activités de maintenance selon les modalités suivantes:
a) 5 jours ouvrables à l’avance en cas d’opérations de maintenance pouvant entraîner jusqu’à 4 heures d’indisponibilité;
b) 10 jours ouvrables à l’avance en cas d’opérations de maintenance pouvant entraîner entre 4 et 12 heures d’indisponibilité;
c) 30 jours ouvrables à l’avance en cas d’opérations de maintenance pouvant entraîner plus de 12 heures d’indisponibilité.
6. 5. Si les États membres disposent de fenêtres de maintenance régulières fixes, ils informent la Commission et les autres États membres de l’heure et du ou des jours où ces fenêtres régulières fixes sont prévues. Sans préjudice des obligations énoncées au point 6.4, si des composants du système informatique décentralisé relevant de la responsabilité des États membres deviennent indisponibles au cours d’une telle fenêtre fixe régulière, les États membres peuvent choisir de ne pas en informer la Commission à chaque fois.
6. 6. En cas de défaillance technique imprévue des composants du système informatique décentralisé relevant de la responsabilité des États membres, ceux-ci informent sans délai la Commission et les autres États membres de cette défaillance et, s’il est connu, du délai de rétablissement prévu.
6. 7. En cas de défaillance technique inattendue de la base de données des autorités compétentes/cours et tribunaux (CDB), la Commission informe sans délai les États membres de cette indisponibilité et, s’il est connu, du délai de rétablissement prévu.
6. 8. Les États membres veillent à la disponibilité des données, y compris des données à caractère personnel, traitées au sein des composants du système informatique décentralisé relevant de leur responsabilité. Des mesures techniques et organisationnelles appropriées sont mises en œuvre pour prévenir la perte de données et garantir le rétablissement en temps utile de l’accès aux données en cas d’incident. Ces mesures peuvent comprendre, le cas échéant, une politique de sauvegarde et de rétablissement, des tests réguliers des procédures d’intégrité et de restauration de sauvegarde, ainsi que des mécanismes de redondance du stockage des données.
7. Base de données des autorités compétentes/cours et tribunaux (CDB)
7. 1. Conformément à l’article 3, paragraphe 1, du règlement (UE) 2023/2844, le système informatique décentralisé permet la communication électronique entre les autorités compétentes, telles que définies à l’article 2, point 1), dudit règlement, de différents États membres et entre une autorité nationale compétente et un organe ou une agence de l’Union. Conformément à l’article 3, paragraphe 6, dudit règlement, un État membre peut également décider d’utiliser le système informatique décentralisé pour la communication entre ses autorités nationales. En outre, le système informatique décentralisé permet, conformément à l’article 4 du règlement (UE) 2023/2844, une communication électronique directe entre des personnes physiques ou morales ou leurs représentants et les autorités compétentes dans le cadre des règlements (CE) no 1896/2006 et (CE) no 861/2007.
Par conséquent, compte tenu des obligations des États membres en matière de notification et de mise à jour de la liste de leurs autorités compétentes énoncées dans les dispositions pertinentes des actes juridiques visés à l’article 1er du présent règlement, et conformément à l’article 17, paragraphe 1, point e), du règlement (UE) 2023/2844, il est essentiel de mettre en place une source authentique d’informations relatives à ces autorités aux fins du système informatique décentralisé.
7. 2. La source authentique des autorités compétentes comporte les informations suivantes dans un format structuré:
a) aux fins de l’article 4, paragraphe 2, point a), et, le cas échéant, de l’article 3, paragraphe 6, du règlement (UE) 2023/2844, des informations sur les autorités compétentes en vertu du règlement (CE) no 1896/2006, notamment de son article 29, paragraphe 1, ainsi que sur celles faisant l’objet de notifications supplémentaires au titre de l’article 17, paragraphe 1, point e), du règlement (UE) 2023/2844;
b) aux fins de l’article 4, paragraphe 2, point a), et, le cas échéant, de l’article 3, paragraphe 6, du règlement (UE) 2023/2844, des informations sur les autorités compétentes en vertu du règlement (CE) no 861/2007, notamment de son article 25, paragraphe 1, ainsi que sur celles faisant l’objet de notifications supplémentaires au titre de l’article 17, paragraphe 1, point e), du règlement (UE) 2023/2844;
c) aux fins de l’article 3, paragraphe 1, et, le cas échéant, de l’article 3, paragraphe 6, du règlement (UE) 2023/2844, des informations sur les autorités notifiées conformément à la décision-cadre 2002/584/JAI, notamment à son article 6, paragraphe 3, à son article 7, paragraphe 2, et à son article 25, paragraphe 2, ainsi que sur celles faisant l’objet de notifications supplémentaires au titre de l’article 17, paragraphe 1, point e), du règlement (UE) 2023/2844;
d) aux fins de l’article 3, paragraphe 1, et, le cas échéant, de l’article 3, paragraphe 6, du règlement (UE) 2023/2844, des informations sur les autorités notifiées conformément à la directive 2014/41/UE, notamment à son article 33, paragraphe 1, points a) et c), ainsi que sur celles faisant l’objet de notifications supplémentaires au titre de l’article 17, paragraphe 1, point e), du règlement (UE) 2023/2844;
e) aux fins de l’article 3, paragraphe 1, et, le cas échéant, de l’article 3, paragraphe 6, du règlement (UE) 2023/2844, des informations sur les autorités notifiées conformément au règlement (UE) 2018/1805, notamment à son article 24, paragraphes 1 et 2, ainsi que sur celles faisant l’objet de notifications supplémentaires au titre de l’article 17, paragraphe 1, point e), du règlement (UE) 2023/2844;
f) aux fins de l’article 4, paragraphe 4, et de l’article 24, paragraphe 3, du règlement (UE) 2023/2844, des informations sur les autorités compétentes faisant l’objet de notifications supplémentaires au titre de l’article 17, paragraphe 1, point e), du règlement (UE) 2023/2844 aux fins de l’article 19 bis du règlement (UE) 2020/1784;
g) les autorités visées aux points c) à e) comprennent:
i) les membres nationaux d’Eurojust, y compris en ce qui concerne les cas où, en vertu de l’article 8, paragraphes 3 et 4, du règlement (UE) 2018/1727 du Parlement européen et du Conseil, conformément au droit national, ils peuvent émettre ou exécuter une demande d’entraide judiciaire ou de reconnaissance mutuelle, ou ordonner, demander ou exécuter des mesures d’enquête, comme le prévoit la directive 2014/41/UE;
ii) en ce qui concerne la décision-cadre 2002/584/JAI, les procureurs européens délégués, au sens de l’article 33, paragraphe 2, du règlement (UE) 2017/1939 du Parlement européen et du Conseil;
iii) les procureurs européens délégués et les procureurs européens, lorsqu’ils sont notifiés par les États membres conformément à l’article 105, paragraphe 3, du règlement (UE) 2017/1939 en tant qu’autorités compétentes d’émission ou d’exécution (ou les deux);
h) les informations nécessaires pour permettre la communication avec le Bureau central du Parquet européen par l’intermédiaire du système informatique décentralisé, le cas échéant;
i) le cas échéant, des informations nécessaires pour déterminer les zones géographiques relevant de la compétence des autorités, ou d’autres critères pertinents nécessaires pour établir leur compétence;
j) des informations nécessaires à l’acheminement correct des messages techniques au sein du système informatique décentralisé.
7. 3. La Commission est responsable du développement, de la maintenance, du fonctionnement et du soutien de la source authentique.
7. 4. La base de données des autorités compétentes/cours et tribunaux (CDB) permet aux États membres de mettre à jour les informations y figurant, et aux autorités participant au système informatique décentralisé d’accéder à ces informations et de les extraire au moyen de programmes.
7. 5. L’accès à la base de données des autorités compétentes/cours et tribunaux (CDB) est possible via un protocole de communication commun, que les autorités connectées au système informatique centralisé utilisent un système dorsal ou un exemplaire du logiciel de mise en œuvre de référence.
7. 6. Les États membres veillent à ce que les informations relatives à leurs autorités figurant dans la source authentique, telles qu’énumérées au point 7.2, soient complètes, exactes et tenues à jour.