1,4 milliard d’euros du budget de l’UE pour 2021‑2027 sont alloués à la cybersécurité
Les réseaux européens créent les conditions de la coopération entre les États membres, mais un partage d’informations limité réduit leur valeur ajoutée
Le système européen d’alerte en matière de cybersécurité n’est pas encore opérationnel
Le manque d’information freine la réaction de l’UE aux incidents de cybersécurité
Les mesures prises par l’UE présentent des lacunes lorsqu’il s’agit de détecter les incidents de cybersécurité importants et majeurs et d’y réagir, constate la Cour des comptes européenne dans un nouveau rapport. Les auditeurs appellent à améliorer les modalités de communication des informations, à parfaire la coordination afin d’éviter la duplication des travaux entre les différents organismes concernés, à faire en sorte que le système européen d’alerte en matière de cybersécurité soit opérationnel et à renforcer les contrôles de sécurité des bénéficiaires de financements de l’UE.
Les incidents de cybersécurité peuvent perturber les services publics, les entreprises, les infrastructures critiques et le marché intérieur de l’UE.
Bien qu’il incombe au premier chef aux États membres de réagir à ces incidents, l’UE joue également un rôle important. C’est notamment le cas lorsque de tels incidents causent des perturbations majeures, des pertes financières conséquentes ou un préjudice important à des personnes ou à des organisations (incidents de cybersécurité importants), ou lorsqu’ils touchent plusieurs États membres et dépassent la capacité d’un seul pays à réagir efficacement (incidents de cybersécurité majeurs).
Pour faire face à ces menaces, l’Europe investit de plus en plus dans le renforcement de la cybersécurité.
Dans le budget de l’UE sur la période 2021‑2027, le programme pour une Europe numérique, doté de 1,4 milliard d’euros, est la principale source de financement de la cybersécurité.
«L’UE a progressé dans la mise en place d’un cadre de coopération en matière de cybersécurité, mais celui-ci n’est pas encore aussi efficace qu’il le devrait», a déclaré George-Marius Hyzler, le Membre de la Cour responsable de l’audit. «Lorsqu’un cyberincident grave se produit, il est essentiel de disposer en temps utile d’informations exploitables. Si elles font défaut, les réseaux et les mécanismes perdent une grande partie de leur valeur ajoutée.»
Selon les auditeurs, le talon d’Achille de tout le système est l’échange insuffisant d’informations. Le schéma directeur en matière de cybersécurité, adopté en 2025, présente avec une grande clarté les rôles et les responsabilités, en indiquant comment l’UE doit gérer les crises majeures dans ce domaine. Toutefois, les modalités de l’interaction entre les deux cyberréseaux de l’UE n’ont toujours pas été formellement définies, ce qui entrave la coopération du réseau des CSIRT, qui réunit les centres nationaux chargés des incidents de cybersécurité, et d’EU-CyCLONe, un réseau de coopération au niveau de l’UE en cas de crises cyber.
Qui plus est, certains pays en sont encore à transposer les règles européennes actualisées sur la cybersécurité (comme la directive SRI 2), tandis que les législations nationales relatives à la sécurité limitent les informations qui peuvent être communiquées. Rien d’étonnant, donc, à ce que les réseaux de l’UE peinent parfois à détecter les menaces à un stade précoce et à coordonner une réaction efficace.
Les auditeurs ont également constaté des chevauchements entre certains organes de l’UE chargés de surveiller les menaces liées à la cybersécurité. Le fonctionnement du centre de situation cyber de la Commission européenne, créé en 2022, est assuré dans une large mesure par des prestataires externes, dont les travaux font partiellement double emploi avec les capacités existantes de l’Agence de l’Union européenne pour la cybersécurité (ENISA) en ce qui concerne la surveillance des menaces et une meilleure appréciation de la situation.
Au moment de l’audit, le système européen d’alerte en matière de cybersécurité n’était pas encore opérationnel. Les deux pôles examinés par les auditeurs – ATHENA et ENSOC – n’avaient pas commencé leurs activités en raison de retards dans la passation des marchés. En outre, les accords de coopération, la taxonomie commune et les normes techniques nécessaires au fonctionnement du système faisaient toujours défaut.
Les auditeurs ont également relevé des faiblesses dans la manière dont certaines organisations bénéficiant d’un financement de l’UE en matière de cybersécurité ont été contrôlées. Ces contrôles sont censés atténuer le risque d’intrusion ou d’influence de pays tiers et empêcher le partage d’informations sensibles relatives à la sécurité avec des autorités de ces pays. Mais si les bénéficiaires de subventions sont bien chargés d’évaluer la propriété et le contrôle des tiers qui perçoivent un soutien financier, le Centre de compétences européen en matière de cybersécurité ne vérifie pas ces évaluations. Dès lors, les infrastructures sensibles, les données opérationnelles et les technologies essentielles à la sécurité pourraient être exposées à des risques de sécurité.
Contexte
Le paysage de la cybersécurité de l’UE englobe un grand nombre d’entités publiques et privées aux niveaux régional et national, ainsi qu’à celui de l’UE. La cybersécurité est également un rouage essentiel de la sécurité et de la défense nationales.
L’audit, qui portait sur la période 2022‑2025, a consisté à évaluer l’efficacité avec laquelle l’action de l’UE facilite la détection des incidents de cybersécurité importants et majeurs et la réaction à ces incidents. Pour ce faire, des missions d’audit ont été réalisées en Irlande, en Grèce et en Italie.
Le rapport spécial 19/2026 intitulé «Incidents de cybersécurité: détection et réaction – Le cadre de coopération de l’UE progresse, mais son efficacité reste partielle en raison de retards de mise en œuvre et d’un partage d’informations limité» est disponible sur le site internet de la Cour, accompagné d’une fiche synoptique reprenant les principaux faits et constatations.
🔵 Pour ne manquer aucune news sur InfoTravel, abonnez-vous sur Google Actualités. Et si vous nous adorez, on a une newsletter une fois par semaine.
