Les mesures prises par l’UE présentent des lacunes lorsqu’il s’agit de détecter les incidents de cybersécurité importants et majeurs et d’y réagir, constate la Cour des comptes européenne dans un nouveau rapport.
Les auditeurs appellent à
améliorer les modalités de communication des informations, à parfaire la
coordination afin d’éviter la duplication des travaux entre les différents
organismes concernés, à faire en sorte que le système européen d’alerte en
matière de cybersécurité soit opérationnel et à renforcer les contrôles de
sécurité des bénéficiaires de financements de l’UE.
Les incidents de
cybersécurité peuvent perturber les services publics, les entreprises, les
infrastructures critiques et le marché intérieur de l’UE. Bien qu’il incombe au
premier chef aux États membres de réagir à ces incidents, l’UE joue également
un rôle important. C’est notamment le cas lorsque de tels incidents causent des
perturbations majeures, des pertes financières conséquentes ou un préjudice
important à des personnes ou à des organisations (incidents de cybersécurité
importants), ou lorsqu’ils touchent plusieurs États membres et dépassent la
capacité d’un seul pays à réagir efficacement (incidents de cybersécurité
majeurs).
Pour faire face à ces
menaces, l’Europe investit de plus en plus dans le renforcement de la
cybersécurité. Dans le budget de l’UE sur la période 2021 2027, le programme
pour une Europe numérique, doté de 1,4 milliard d’euros, est la principale
source de financement de la cybersécurité.
« L’UE a progressé
dans la mise en place d’un cadre de coopération en matière de cybersécurité,
mais celui-ci n’est pas encore aussi efficace qu’il le devrait, a
déclaré George-Marius Hyzler, le Membre de la Cour responsable de l’audit. Lorsqu’un
cyberincident grave se produit, il est essentiel de disposer en temps utile
d’informations exploitables. Si elles font défaut, les réseaux et les
mécanismes perdent une grande partie de leur valeur ajoutée. »
Selon les auditeurs, le
talon d’Achille de tout le système est l’échange insuffisant d’informations. Le
schéma directeur en matière de cybersécurité, adopté en 2025, présente avec une
grande clarté les rôles et les responsabilités, en indiquant comment l’UE doit
gérer les crises majeures dans ce domaine. Toutefois, les modalités de
l’interaction entre les deux cyberréseaux de l’UE n’ont toujours pas été
formellement définies, ce qui entrave la coopération du réseau des CSIRT, qui
réunit les centres nationaux chargés des incidents de cybersécurité, et
d’EU-CyCLONe, un réseau de coopération au niveau de l’UE en cas de crises
cyber.
Qui plus est, certains
pays en sont encore à transposer les règles européennes actualisées sur la
cybersécurité (comme la directive SRI 2), tandis que les législations
nationales relatives à la sécurité limitent les informations qui peuvent être
communiquées. Rien d’étonnant, donc, à ce que les réseaux de l’UE peinent
parfois à détecter les menaces à un stade précoce et à coordonner une réaction
efficace.
Les auditeurs ont
également constaté des chevauchements entre certains organes de l’UE chargés de
surveiller les menaces liées à la cybersécurité. Le fonctionnement du centre de
situation cyber de la Commission européenne, créé en 2022, est assuré dans une
large mesure par des prestataires externes, dont les travaux font partiellement
double emploi avec les capacités existantes de l’Agence de l’Union européenne
pour la cybersécurité (ENISA) en ce qui concerne la surveillance des menaces et
une meilleure appréciation de la situation.
Au moment de l’audit,
le système européen d’alerte en matière de cybersécurité n’était pas encore
opérationnel. Les deux pôles examinés par les auditeurs – ATHENA et ENSOC –
n’avaient pas commencé leurs activités en raison de retards dans la passation
des marchés. En outre, les accords de coopération, la taxonomie commune et les
normes techniques nécessaires au fonctionnement du système faisaient toujours
défaut.
Les auditeurs ont
également relevé des faiblesses dans la manière dont certaines organisations
bénéficiant d’un financement de l’UE en matière de cybersécurité ont été
contrôlées. Ces contrôles sont censés atténuer le risque d’intrusion ou
d’influence de pays tiers et empêcher le partage d’informations sensibles
relatives à la sécurité avec des autorités de ces pays. Mais si les
bénéficiaires de subventions sont bien chargés d’évaluer la propriété et le
contrôle des tiers qui perçoivent un soutien financier, le Centre de
compétences européen en matière de cybersécurité ne vérifie pas ces
évaluations. Dès lors, les infrastructures sensibles, les données
opérationnelles et les technologies essentielles à la sécurité pourraient être
exposées à des risques de sécurité.
Contexte
Le paysage de la
cybersécurité de l’UE englobe un grand nombre d’entités publiques et privées
aux niveaux régional et national, ainsi qu’à celui de l’UE. La cybersécurité
est également un rouage essentiel de la sécurité et de la défense nationales.
L’audit, qui portait sur la période 2022 2025, a consisté à évaluer l’efficacité avec laquelle l’action de l’UE facilite la détection des incidents de cybersécurité importants et majeurs et la réaction à ces incidents.
Pour ce faire, des
missions d’audit ont été réalisées en Irlande, en Grèce et en Italie.
Le rapport spécial 19/2026 intitulé « Incidents de cybersécurité : détection et réaction – Le cadre de coopération de l’UE progresse, mais son efficacité reste partielle en raison de retards de mise en œuvre et d’un partage d’informations limité » est disponible sur le site internet de la Cour, accompagné d’une fiche synoptique reprenant les principaux faits et constatations.