La Commission européenne enquête sur une violation du cloud AWS alors que le Conseil sanctionne les cyberentreprises chinoises et iraniennes et que la loi révisée sur la cybersécurité cible les fournisseurs étrangers

La Commission européenne enquête sur une violation majeure de son environnement cloud Amazon avec 350 Go prétendument volés, ce qui soulève des questions urgentes sur la gestion des risques tiers de NIS2 et DORA. Le Conseil de l'UE sanctionne trois entreprises liées à des cyberattaques soutenues par l'État. Un projet de loi révisée sur la cybersécurité imposerait de retirer les fournisseurs étrangers à haut risque des réseaux de télécommunications. Le groupe de coopération administrative de l’ARC tient sa réunion inaugurale et le conseil d’administration d’AI convoque sa septième session sur la gouvernance de la loi européenne sur l’IA.

1. Violation d'AWS par la Commission européenne : un vol de données de 350 Go ébranle la position de l'UE en matière de sécurité du cloud

La Commission européenne enquête sur une faille de sécurité après qu'un acteur malveillant ait obtenu un accès non autorisé à au moins l'un de ses Amazon Web Services (AWS) comptes. L'agresseur affirme s'être exfiltré 350 Go de données, y compris plusieurs bases de données et contenus de serveurs de courrier électronique appartenant aux employés de la Commission.

Ce qui s'est passé

Selon les rapports de BleepingComputer, la violation a été détectée relativement rapidement par l'équipe de réponse aux incidents de cybersécurité de la Commission. L'auteur de la menace a fourni des captures d'écran démontrant l'accès aux informations sur les employés et aux systèmes de messagerie internes. L'attaquant a notamment déclaré qu'il ne tenterait pas d'extorsion mais qu'il avait l'intention de le faire. divulguer les données publiquement à une date ultérieure.

C'est le deuxième brèche majeure à la Commission en 2026. En février, l'institution a révélé que sa plateforme de gestion des appareils mobiles (MDM) avait été compromise le 30 janvier — un incident lié à Vulnérabilités d'injection de code Ivanti EPMM cela a également touché l'autorité néerlandaise de protection des données et l'agence finlandaise Valtori.

Points clés à retenir en matière de réglementation

• NIS2 Article 21(2)(d) : Nécessite « la sécurité de la chaîne d'approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs » — AWS étant un fournisseur de services direct
• DORA Article 28 : Oblige que les entités financières et les institutions critiques maintiennent des dispositions contractuelles avec des fournisseurs de services TIC tiers, y compris les stratégies de sortie et la portabilité des données
• Article 33 du RGPD : La Commission doit informer le CEPD dans les 72 heures si les données personnelles de citoyens de l'UE ont été compromises.

2. Le Conseil de l’UE sanctionne les entreprises chinoises et iraniennes pour leurs cyberattaques soutenues par l’État

Le Conseil de l'Union européenne a imposé cyber-sanctions contre trois entreprises et deux individus pour avoir orchestré des cyberattaques contre les infrastructures critiques des États membres – l'expansion la plus significative du régime de cyber-sanctions de l'UE depuis sa création en 2019.

Entités sanctionnées

Les deux individus sanctionnés sont co-fondateurs d'Anxun Information Technology (i-Soon), la société chinoise dont fuite massive de données en février 2024 a dévoilé ses opérations en tant qu’entrepreneur en piratage informatique affilié au gouvernement.

Importance réglementaire

Ces sanctions renforcent directement l'évolution de l'UE cadre de cyberdissuasion sous NIS2. Le considérant 9 de la directive fait explicitement référence à la nécessité de réponses coordonnées aux menaces soutenues par l'État, et l'article 13 charge EU-CyCLONe (le réseau d'organisations de liaison en cas de cyber-crise) de soutenir « la gestion coordonnée des incidents de cybersécurité à grande échelle ».

3. Loi révisée sur la cybersécurité : élimination obligatoire des fournisseurs étrangers à haut risque

La Commission européenne a proposé une nouvelle législation radicale en matière de cybersécurité qui lui donnerait le pouvoir de exiger le retrait des fournisseurs étrangers à haut risque des réseaux de télécommunications européens – allant au-delà de la boîte à outils volontaire de sécurité 5G introduite en 2020.

Dispositions clés

• Évaluations des risques obligatoires : Évaluations à l'échelle de l'UE dans 18 secteurs critiques, basées sur les pays d'origine des fournisseurs et les implications en matière de sécurité nationale.
• Suppression de fournisseurs à haut risque : Pouvoir de restreindre ou d'interdire les équipements des fournisseurs considérés comme présentant des risques pour la sécurité dans les réseaux de télécommunications mobiles
• Certification simplifiée : Programmes de certification volontaires gérés par l'ENISA pour réduire le fardeau réglementaire
• Pouvoirs renforcés de l’ENISA : Alertes précoces contre les menaces, point d'entrée unique pour le signalement des incidents, coordination de la réponse aux ransomwares avec Europol
• Effectif en cybersécurité : Programmes d’attestation de compétences à l’échelle de l’UE et projet pilote de Cybersecurity Skills Academy

"Les menaces de cybersécurité ne sont pas seulement des défis techniques. Ce sont des risques stratégiques pour notre démocratie, notre économie et notre mode de vie", a déclaré le commissaire européen chargé de la technologie. Henna Virkkunen. La loi sur la cybersécurité entrerait en vigueur immédiatement après son approbation, les États membres ayant un an pour mettre en œuvre les modifications dans la législation nationale.

Comment cela se croise avec NIS2 et DORA

La loi révisée sur la cybersécurité complète plutôt que ne remplace le NIS2. Alors que NIS2 fixe des exigences de sécurité de base pour les entités essentielles et importantes, cette nouvelle loi cible spécifiquement souveraineté de la chaîne d'approvisionnement au niveau des infrastructures. Pour les institutions financières sous DORA, l’implication est claire : Risque de concentration de tiers dans le secteur des TIC impliquant des fournisseurs non européens feront l’objet d’un examen réglementaire accru.

4. Loi sur la cyber-résilience : première réunion du groupe de coopération administrative

La première réunion du Groupe de coopération administrative pour la loi sur la cyber-résilience (CRA) s'est tenue le 20 mars 2026, marquant une étape charnière dans la préparation à la mise en œuvre de la réglementation qui imposera exigences obligatoires en matière de cybersécurité pour tous les produits numériques vendu dans l'UE.

Ce que l'ARC exige

L'ARC s'applique à tous les produits avec des éléments numériques — des appareils IoT grand public aux logiciels industriels. Les fabricants doivent :

• Conduire évaluations des risques de cybersécurité avant la mise sur le marché
• Fournir mises à jour de sécurité pendant toute la durée de vie prévue du produit (minimum 5 ans)
• Rapport vulnérabilités activement exploitées à l'ENISA dans les 24 heures
• Maintenir Nomenclatures logicielles (SBOM) pour tous les produits

L'ENISA a également lancé un enquête ciblant les PME pour évaluer les besoins de sensibilisation, de préparation et de soutien de l’ARC, en reconnaissant que les petites entreprises sont confrontées à des fardeaux d’observation disproportionnés.

5. Septième réunion du Comité européen de l’IA : façonner la gouvernance de la loi sur l’IA

La septième réunion du Comité européen de l’IA a eu lieu le 20 mars 2026, réunissant des représentants des États membres pour discuter des derniers développements de la stratégie de la Commission en matière d'IA et de la mise en œuvre en cours de la loi européenne sur l’IA.

Où en est la loi sur l’IA

La mise en œuvre progressive de la loi européenne sur l’IA se poursuit comme prévu :

Le Comité européen de l’IA est le principal organe de gouvernance chargé de coordonner l’application de la loi sur l’IA dans les États membres. Les principaux sujets de discussion lors de la septième réunion comprenaient :

• Normes harmonisées pour les évaluations des systèmes d'IA à haut risque
• Bacs à sable réglementaires pour l'IA — progrès dans la mise en œuvre dans les États membres
• Coordination avec le Bureau de l'IA sur les codes de bonnes pratiques pour les modèles d’IA à usage général
• Mécanismes de coopération transfrontalière en matière d’application des lois

Vue d’ensemble : la forteresse réglementaire de l’UE prend forme

Les développements de cette semaine illustrent à quel point le paysage de la cybersécurité et de la réglementation numérique de l'UE est convergeant rapidement. Cinq cadres majeurs sont désormais simultanément actifs ou entrés en vigueur :

La propre violation d'AWS par la Commission — bien qu'embarrassante — pourrait en réalité accélérer l’urgence législative. Rien ne motive autant une action réglementaire que d’être soi-même victime.