La Cour des comptes européenne épingle le silence des États membres

Bruxelles a mis de l'argent, des agences et des procédures sur la table. Reste à savoir ce que cela produit. La Cour des comptes européenne a présenté son rapport sur la détection et la réponse aux cyberincidents majeurs ce lundi 21 septembre. Et a estimé que l'action de l'Union européenne (UE) “ne facilite que partiellement” l'une et l'autre, a résumé George-Marius Hyzler, membre de la Cour chargé de l'audit. Sur les 8,1 milliards d'euros du programme pour une Europe numérique (2021-2027), 1,4 milliard est consacré à la cybersécurité. 

L'architecture existe, avec un réseau de CSIRT (les centres nationaux de réponse aux incidents), une cellule de crise, EU-CyCLONe, et une réserve de cybersécurité dotée de 36 millions d'euros pour 2025-2027. Un schéma directeur a en outre clarifié les rôles. Mais ce cadre, dit le rapporteur, “ne peut être efficace que si les États membres sont prêts à partager des informations entre eux et avec l'ENISA (Agence de l'Union européenne pour la cybersécurité).” 

Un cadre en place, mais des États qui ne l'alimentent pas 

La Cour admet les limites de sa démonstration car aucun incident transfrontalier n'a été officiellement signalé depuis la création du cadre. L'ENISA en a repéré, mais ils ne sont “pas remontés dans la chaîne de commandement. “ “Nous ne pouvons jamais pointer du doigt un incident spécifique, car ce partage n'a pas eu lieu”, a reconnu l'auditeur principal, Frédéric Soblet. Il a détaillé ce qui devrait circuler : vulnérabilités exploitées, indicateurs de compromission, attaques visant un secteur ou une chaîne d'approvisionnement. Aujourd'hui, seuls deux rapports statistiques par trimestre sont exigés. La Cour recommande une plateforme de signalement unique et un traitement en temps réel, ce qui suppose une évolution législative.  

La Commission et l'ENISA ont accepté la recommandation. Le blocage est d'abord politique, avec la sécurité nationale, défense, réputation, les raisons de garder l'information ne manquent pas. Frédéric Soblet a refusé de désigner les mauvais élèves. La Cour, rappelle George-Marius Hyzler, “n'a pas vraiment de pouvoir d'exécution”,  c'est à la Commission et aux États d'agir.

Des outils en retard 

L'audit, qui couvre 2022-2025 avec des missions en Irlande, en Grèce et en Italie, relève aussi des retards. Le système européen d'alerte, censé relier des “cyberpôles “ financés par l'UE, n'était pas opérationnel. Les deux pôles examinés, ATHENA et ENSOC, n'avaient pas démarré faute de marchés publics aboutis.  

À la Commission, le Cyber Situation Centre repose sur un contrat de services d'environ 18 millions d'euros sur quatre ans. Il fait, en partie, double emploi avec l'ENISA, et l'après-contrat n'est pas préparé. Plus de 90 millions d'euros ont par ailleurs été accordés aux centres nationaux de coordination, avec 38 millions supplémentaires d'ici 2027, mais retards et indicateurs de performance fragiles empêchent d'en mesurer les résultats, selon la Cour. Enfin, le Centre européen de compétence en cybersécurité ne vérifie pas les évaluations de propriété et de contrôle que réalisent les bénéficiaires eux-mêmes, alors qu'elles visent à écarter le risque d'ingérence de pays tiers dans des projets touchant à des infrastructures sensibles. 

NIS 2 : la France en défaut 

La directive NIS 2 impose pourtant déjà ces remontées d'information et son retard de transposition pèse sur la mécanique. Selon George-Marius Hyzler, quatre États membres ne l'ont pas transposée et des procédures d'infraction sont ouvertes. “Ce n'est pas une question d'avoir de nouvelles réglementations ; il s'agit simplement de faire respecter celles existantes”, a-t-il insisté. Là où le texte n'est pas transposé, les entités de dix-huit secteurs (onze "hautement critiques", sept “autres secteurs critiques”) ne sont pas tenues de déclarer leurs incidents. “C'est une perte énorme d'informations. Les conséquences, nous ne pourrons jamais les quantifier”, a résumé Frédéric Soblet. Plus de 100 000 entités seraient concernées en Europe. 

La France fait partie des retardataires. L'échéance était fixée au 17 octobre 2024, et la Commission européenne a saisi ce 8 juillet 2026 la Cour de justice de l'UE en demandant des sanctions financières. Le projet de loi “Résilience”, adopté par le Sénat en mars 2025, puis voté en commission à l'Assemblée nationale en septembre de la même année, n'a pas été examiné en séance publique. Début juillet, la ministre déléguée au numérique, Anne Le Hénanff, a annoncé un nouveau report, en espérant un passage en septembre. Le point de blocage est l'article 16 bis, qui interdit d'imposer des portes dérobées (back doors) dans les messageries chiffrées. Une disposition contestée par la DGSI. 

Pour les entreprises, l'enjeu est considérable : environ 15 000 entités françaises seraient soumises au nouveau régime, contre quelque 500 sous le précédent. Elles devraient mettre en place des mesures de gestion des risques, s'enregistrer auprès de l'Agence nationale de sécurité des sysèmes d’information (Anssi) et notifier leurs incidents. Les sanctions peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités dites “essentielles” et 7 millions d'euros ou 1,4 % pour les entités “importantes”.