Cybersécurité et résilience des infrastructures critiques de l’UE

La cybersécurité se situe à l’intersection du marché intérieur, de la sécurité et de la sécurité nationale. Une grande partie de la législation de l’UE se fonde sur l’article 114 TFUE, car des exigences nationales divergentes peuvent fragmenter le marché intérieur. L’article 16 fonde les règles relatives à la protection des données, l’article 196 fonde la coopération en matière de protection civile et l’article 222 contient la clause de solidarité applicable aux catastrophes et aux attaques terroristes. La sécurité nationale reste de la seule responsabilité de chaque État membre en vertu de l’article 4, paragraphe 2, TUE. Le droit de l’UE en matière de cybersécurité renforce donc la résilience civile commune sans créer de service de renseignement de l’UE ni transférer à Bruxelles l’intégralité du commandement des interventions en cas d’incident.

Le modèle opérationnel comporte quatre étapes : réduire les risques avant un incident, détecter et partager les informations pertinentes, coordonner la réponse lorsque les effets dépassent les frontières et rétablir les services. Les États membres désignent des autorités compétentes, des points de contact uniques et des centres de réponse aux incidents de sécurité informatique. La Commission veille au respect du droit de l’UE et peut adopter les actes d’exécution prévus. L’ENISA — l’Agence de l’Union européenne pour la cybersécurité — fournit une expertise et soutient les exercices, la coordination en matière de vulnérabilités et la coopération. UE-CyCLONe relie les autorités nationales chargées de la gestion des crises lors d’incidents de grande ampleur ; le réseau des CSIRT soutient la coopération technique opérationnelle.

La directive (UE) 2022/2555, dite NIS2, vise à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union. Elle élargit les secteurs couverts et répartit les organisations concernées entre entités essentielles et entités importantes. Cette classification influe sur le régime de surveillance, mais pas sur l’obligation fondamentale de gérer les risques. Les secteurs comprennent l’énergie, les transports, la santé, les infrastructures numériques, l’administration publique, l’eau potable, les eaux usées, les services postaux, la fabrication de certains produits critiques et les fournisseurs de services numériques. Les seuils de taille ainsi que les inclusions ou exclusions spécifiques sont déterminants ; les petites organisations ne sont pas toutes automatiquement couvertes.

Les entités doivent appliquer des mesures techniques, opérationnelles et organisationnelles proportionnées. La directive mentionne la gestion des incidents, la continuité des activités, la sécurité de la chaîne d’approvisionnement, la gestion des vulnérabilités, le chiffrement lorsqu’il est approprié, le contrôle des accès, la gestion des actifs et la sensibilisation du personnel. Les organes de direction approuvent et supervisent les mesures et peuvent être tenus responsables en vertu des dispositions nationales de transposition. Les incidents importants suivent un modèle de notification par étapes : une alerte précoce dans les 24 heures suivant la prise de connaissance de l’incident, une notification de l’incident dans les 72 heures et un rapport final normalement dans un délai d’un mois. Les candidats ne doivent pas confondre ces étapes avec un délai unique.

NIS2 est une directive. Les États membres devaient la transposer au plus tard le 17 octobre 2024 et appliquer les mesures nationales à compter du 18 octobre 2024. Les droits et obligations sont principalement mis en œuvre par le droit national. Une transposition incomplète ne transforme pas la directive en règlement ; elle constitue un problème de mise en œuvre soumis aux voies de recours prévues par le droit de l’UE et susceptible de donner lieu à une procédure d’infraction.

Le règlement (UE) 2024/2847 — le règlement sur la cyberrésilience, ou CRA — adopte une approche fondée sur le marché des produits. Il couvre les produits matériels et logiciels comportant des éléments numériques mis sur le marché de l’UE, sous réserve des exclusions définies et de ses interactions avec le droit sectoriel. Les fabricants doivent concevoir et produire des produits sécurisés, évaluer les cyberrisques, gérer les vulnérabilités et fournir des mises à jour de sécurité pendant la période d’assistance. Les importateurs et les distributeurs ont des obligations de vérification. L’évaluation de la conformité et le marquage CE rattachent les exigences de cybersécurité au contrôle habituel des produits sur le marché unique.

L’entrée en vigueur ne correspond pas à la pleine application. Le CRA est entré en vigueur le 10 décembre 2024. Les règles relatives à la notification des organismes d’évaluation de la conformité se sont appliquées à partir du 11 juin 2026. Les obligations de notification prévues à l’article 14 concernant les vulnérabilités activement exploitées et les incidents graves s’appliquent à compter du 11 septembre 2026. La plupart des obligations s’appliquent à compter du 11 décembre 2027. À la date de mise à jour de cette fiche, les obligations de notification de septembre étaient imminentes, mais pas encore applicables.

La directive (UE) 2022/2557, dite directive sur la résilience des entités critiques ou directive CER, porte sur la capacité des entités recensées à prévenir les incidents, à s’en protéger, à y réagir, à y résister, à les atténuer, à les absorber, à s’y adapter et à s’en remettre. Son approche tous risques couvre les risques naturels, les accidents, les urgences de santé publique, le sabotage et le terrorisme. Les États membres procèdent à des évaluations des risques, adoptent des stratégies et recensent les entités critiques dans les secteurs énumérés. Les entités recensées évaluent ensuite les risques, prennent des mesures proportionnées et notifient les incidents perturbateurs.

La directive CER et NIS2 ont été conçues pour fonctionner conjointement. La directive CER porte principalement sur la résilience non cyber ; NIS2 concerne les réseaux et les systèmes d’information. Les autorités nationales doivent coopérer et échanger les informations pertinentes. Ces directives ne signifient pas que toutes les entités d’un secteur énuméré sont soumises à des obligations identiques. Le recensement, les règles relatives à la taille, les dispositions sectorielles et la transposition nationale déterminent le champ d’application.

Le règlement (UE) 2025/38, dit règlement sur la cybersolidarité, s’applique depuis le 4 février 2025. Il établit un système européen d’alerte en matière de cybersécurité, des mesures de préparation et une réserve de cybersécurité de l’UE composée de prestataires de services de réponse aux incidents de confiance. Il soutient également le réexamen des incidents importants ou de grande ampleur. La réserve complète les capacités nationales au lieu de les remplacer. Les demandes, l’éligibilité, la passation de contrats et la confidentialité sont régies par le règlement et ses modalités de mise en œuvre.

La terminologie des crises doit être précise. Un incident important au sens de NIS2 entraîne une perturbation, une perte ou un dommage graves pour une entité ou pour des tiers. Un incident de grande ampleur dépasse la capacité d’un État membre ou touche de manière significative au moins deux États membres. La coordination politique peut également recourir au dispositif intégré de l’Union pour une réaction au niveau politique dans les situations de crise du Conseil. La boîte à outils cyberdiplomatique de l’UE de 2019 peut soutenir les réponses relevant des relations extérieures, y compris les mesures restrictives, mais l’attribution et les sanctions sont des décisions politiques et juridiques, et non des constatations techniques de l’ENISA.

Le 20 janvier 2026, la Commission a proposé une révision du règlement sur la cybersécurité de 2019. La proposition vise à rationaliser la certification de l’UE, à traiter les risques de sécurité dans les chaînes d’approvisionnement des technologies de l’information et de la communication et à renforcer l’ENISA. Au 17 août 2026, elle restait soumise à l’examen du Parlement et du Conseil. Le règlement (UE) 2019/881 existant demeurait le règlement sur la cybersécurité applicable tant qu’il n’était pas modifié.

Le 7 juillet 2026, la Commission a présenté un plan d’action sur l’intelligence artificielle avancée et la cybersécurité. Celui-ci porte sur l’évaluation des modèles, l’accès structuré des défenseurs aux modèles avancés, les essais sécurisés avec l’ENISA et le Centre commun de recherche, l’accélération de la correction des vulnérabilités et le renforcement des capacités européennes en matière d’IA. Le plan d’action s’appuie sur le droit existant ; il ne constitue pas en lui-même un nouveau règlement. Parallèlement, les travaux de mise en œuvre se sont poursuivis concernant la plateforme de notification du CRA, la réserve de cybersécurité et les cadres nationaux NIS2.

Demandez-vous ce qui est protégé. Pour un prestataire de services couvert, commencez par NIS2. Pour du matériel ou des logiciels connectés mis sur le marché, commencez par le CRA. Pour la résilience physique et tous risques d’une entité critique recensée, commencez par la directive CER. Pour la détection transfrontière et le soutien d’urgence, envisagez le règlement sur la cybersolidarité. Déterminez ensuite si l’acteur responsable est un fabricant, une entité réglementée, une autorité d’un État membre, un CSIRT, l’ENISA, la Commission ou un colégislateur. Enfin, vérifiez si la règle était proposée, en vigueur ou déjà applicable à la date pertinente.