Cybersécurité : malgré des mécanismes existants, l'UE et les États membres peinent à travailler ensemble

Après les cyberattaques contre le ministère de l'Éducation nationale et la DGFiP, la Cour des comptes européenne publie « Incidents de cybersécurité : détection et réaction ». Elle juge que le cadre de coopération progresse mais que « son efficacité reste partielle en raison de retards de mise en œuvre et d'un partage d'informations limité » (George-Marius Hyzler). L'UE y consacre 1,4 milliard d'euros sur les 8,1 milliards du programme pour une Europe numérique 2021-2027.

Les mécanismes existent depuis la directive SRI de 2016 : réseau des CSIRT (avec le CERT-UE), réseau informel EU-CyCLONe créé en 2020, secrétariat assuré par l'Enisa, Cyber Situation Centre de la Commission créé en 2022. Mais le réseau des CSIRT et EU-CyCLONe n'ont pas formalisé leur collaboration ni les critères d'alerte ; il n'y a pas de taxonomie commune des niveaux de gravité ; le travail de prestataires du Cyber Situation Centre fait doublon avec celui de l'Enisa ; les deux pôles du système d'alerte (Athena et Ensoc) ne sont pas opérationnels, faute de marchés passés à temps. La directive SRI 2, qui devait être transposée avant fin octobre 2024, ne l'est pas dans plusieurs pays, alors que 110 000 entités y sont assujetties contre environ 15 500 sous la première version. Résultat : seulement deux rapports d'incidents à impact transfrontière en 2024, contre environ 322 incidents recensés par l'Enisa visant deux États membres ou plus, sans plateforme centrale. Enfin, le Centre de compétences européen ne vérifie pas les évaluations de propriété et de contrôle des bénéficiaires de subventions, d'où des risques pour les infrastructures sensibles.

Les recommandations : renforcer le partage d'informations, rationaliser l'appréciation de la situation et la diffusion, intégrer le système d'alerte dans le paysage de l'UE, et garantir une évaluation rigoureuse du contrôle et de la propriété des entités financées.