La coopération européenne en cybersécurité reste loin d’être pleinement opérationnelle, surtout pour la détection des incidents et la réponse aux crises. Dans un rapport d’audit couvrant la période 2022-2025, la Cour des comptes européenne conclut que l’action de l’UE ne facilite que partiellement le partage d’informations, même si un cadre de coopération existe désormais. Les travaux pour le rendre réellement fonctionnel sont encore en cours.

L’audit s’est concentré sur cinq dispositifs clés. Le réseau des CSIRT, créé en 2016 par la directive NIS, réunit les CSIRT nationaux et le CERT-UE. EU-CyCLONe, lancé informellement en 2020 puis officialisé par NIS 2, sert d’interface entre le niveau technique des CSIRT et le niveau politique du Conseil de l’UE. Le Cyber Situation Centre, mis en place en 2023 au sein de la DG Connect, doit améliorer la connaissance de la situation pour la Commission européenne. Le système européen d’alerte en matière de cybersécurité, créé en 2025 par le règlement sur la cybersolidarité, repose sur un réseau de cyberpôles nationaux et transfrontières. Enfin, la réserve de cybersécurité de l’UE, également instaurée en 2025 par le Cybersolidarity Act, doit fournir aux États membres des capacités précontractualisées de préparation et de réponse.

Depuis 2025, l’UE dispose bien d’un schéma directeur en cybersécurité, que la Cour juge très clair sur les rôles et responsabilités en cas de crise. Mais au moment de l’audit, le réseau des CSIRT et EU-CyCLONe n’avaient pas encore finalisé leurs procédures de collaboration. Ils n’avaient pas non plus défini les critères permettant au premier de signaler un incident au second, ni arrêté une taxonomie commune pour les niveaux de gravité et des notions comme « incident important » ou « incident majeur ».

Le partage d’informations reste freiné par plusieurs obstacles. Les retards de transposition de NIS 2 limitent les obligations de déclaration des incidents tant que la directive n’est pas appliquée. Il est aussi difficile d’évaluer l’impact transfrontière d’un incident, faute d’informations suffisantes dans les États membres et d’une plateforme européenne capable de corréler leurs signalements. Le rapport cite l’exemple de l’incident Collins Aerospace, qui n’a pas été signalé par les États membres malgré son impact transfrontière important. Plus largement, depuis 2016, aucun des 27 États membres n’a qualifié un incident de « majeur », y compris lors d’épisodes comme WannaCry, NotPetya ou plus récemment CrowdStrike. Les législations nationales sur la sécurité nationale compliquent encore la circulation des informations, sans qu’aucune analyse européenne de leur impact juridique n’ait été menée à ce stade.

Le Cyber Situation Centre de la Commission est lui aussi critiqué. Pour fonctionner, il s’appuie largement sur des prestataires externes, avec un marché d’environ 18 M€ sur quatre ans signé fin 2022. Selon la Cour, leurs travaux font en partie doublon avec les capacités de l’ENISA, dont les rapports sont jugés similaires, et réutilisent aussi des données déjà disponibles dans d’autres services de la Commission, notamment le CERT-UE et la direction générale des services numériques.

La réserve de cybersécurité de l’UE soulève également des réserves. Dotée de 36 M€ pour 2025-2027, elle est répartie à parts égales entre les États membres, avec un appel d’offres découpé en 27 lots. Cette architecture pose un problème : si un pays ne mobilise pas les prestations prévues, les crédits correspondants ne peuvent pas être réaffectés à un autre État. Le rapport laisse aussi entendre que le dispositif pourrait servir surtout à la préparation plutôt qu’à la réponse, alors que cette dernière est pourtant son objectif principal.

Le système européen d’alerte avance, mais très lentement. La participation est facultative et, au moment de l’audit, 13 États membres avaient rejoint le dispositif. Deux cyberpôles transfrontières avaient été constitués, ATHENA et ENSOC, puis un troisième, NBCC, a depuis obtenu un financement. ATHENA et ENSOC avaient commencé à fonctionner début 2024, sans résultat concret à ce stade, en raison de retards dans les marchés publics destinés à acquérir outils et services. La procédure a été organisée en deux phases pour limiter la diffusion d’informations sensibles : seuls les candidats retenus dans un premier temps avaient accès aux spécifications techniques détaillées. La première phase a commencé en mai 2024 pour ENSOC et en juillet 2024 pour ATHENA ; les entreprises avaient un mois pour répondre, mais les candidats sélectionnés n’ont été informés qu’en avril 2025. La deuxième phase n’a pas pu démarrer immédiatement, les membres des pôles n’ayant pas finalisé les spécifications techniques nécessaires. Dix-huit mois après le lancement des procédures, aucun contrat n’était signé et le système d’alerte ne disposait toujours ni d’outils de détection ni de capacités de partage opérationnelles.

La Cour souligne enfin que le rôle des cyberpôles n’est pas clairement distinct de celui des CSIRT nationaux, leurs missions se recoupant partiellement. Leur coopération suppose encore une taxonomie commune et des garanties d’interopérabilité, un défi déjà bien connu dans l’expérience des CSIRT. L’ENISA a réagi au rapport en regrettant de ne pas faire partie du réseau des cyberpôles transfrontières, estimant que cette absence « entrave considérablement » l’efficacité du partage d’informations.

L’Union européenne de la cybersécurité, c’est pas gagné. En tout cas lorsqu’il s’agit de détecter les incidents et d’y réagir.

Un rapport d’audit de la Cour des comptes européenne en témoigne. Il a porté principalement sur 5 dispositifs :

Réseau des CSIRT

Regroupe les CSIRT nationaux et le CERT-UE.

Établi en 2016 par la directive NIS.

Réseau EU-CyCLONe

Réseau d’autorités nationales chargées de la gestion des crises cyber. Sert d’intermédiaire entre le niveau technique (où opère le réseau des CSIRT) et le niveau politique (Conseil de l’UE).

Lancé en 2020 de manière informelle, puis officialisé par la NIS 2.

Cyber Situation Centre

Créé en 2023 à la DG Connect pour permettre à la Commission européenne d’acquérir une meilleure connaissance de la situation.

Système européen d’alerte en matière de cybersécurité

Réseau de cyberpôles nationaux et transfrontières.

Mis en place en 2025 par le règlement sur la cybersolidarité.

Réserve de cybersécurité de l’UE

Dispositif fournissant aux États membres des capacités précontractualisées de préparation et de réponse.

Également établie en 2025 par le Cybersolidarity Act.

L’audit a couvert la période 2022-2025. Conclusion globale : l’action de l’UE ne facilite que partiellement la détection et la réaction aux incidents cyber. Le partage d’informations reste limité. Il existe un cadre de coopération, mais les travaux pour le rendre entièrement opérationnel restent en cours.

EU-CyCLONe et le réseau des CSIRT doivent encore s’aligner

Depuis 2025, l’UE a un schéma directeur en matière de cybersécurité. La Cour des comptes européenne estime qu’il présente « avec une grande clarté » les rôles et les responsabilités dans la gestion des crises.

Au moment de l’audit, le réseau des CSIRT et EU-CyCLONe n’avaient toutefois pas finalisé les modalités procédurales de leur collaboration. Ils n’étaient pas non plus convenus des critères que le premier doit appliquer pour informer le second des incidents. Il leur fallait aussi se mettre d’accord sur une taxonomie commune. À la fois pour les niveaux de gravité et pour des concepts clés comme « incident important » et « incident majeur ».

L’impact transfrontière, difficile à jauger

Les retards de la transposition de la NIS 2 ne favorisent pas le partage d’informations. Tant que la directive ne s’applique pas, les entités concernées ne sont pas légalement tenues de déclarer les incidents.

Autre obstacle : la difficulté à déterminer si des incidents ont un impact transfrontière. Les autorités des États membres ne disposent pas forcément les informations nécessaires. Et il n’existe pas, au niveau de l’UE, de plate-forme qui corrélerait leurs rapports.

Le rapport d’audit donne l’exemple de l’incident qui a touché Collins Aerospace. Les États membres ne l’ont pas signalé malgré son impact transfrontière important. Plus globalement, depuis 2016, aucun des 27 n’a considéré qu’un incident était « majeur ». Malgré WannaCry, NotPetya ou, plus récemment, l’épisode CrowdStrike.

Les législations sur la sécurité nationale font également obstacle au partage d’informations. Jusqu’à présent, aucune analyse de l’incidence des cadres juridiques des États membres n’a été réalisée au niveau de l’UE.

Un Cyber Situation Centre qui fait un peu double emploi

Pour faire fonctionner son Cyber Situation Centre, la Commission européenne recourt largement à des fournisseurs de services externes. Fin 2022, elle a passé avec eux un marché à près de 18 M€ sur 4 ans.

Les travaux de ces fournisseurs font partiellement double emploi avec les capacités de l’ENISA, dont les rapports apparaissent similaires. Ils exploitent par ailleurs des données dont d’autres services de la Commission – tels que le CERT-UE et la direction générale des services numériques – disposent déjà.

Une structuration discutable pour la réserve de cybersécurité de l’UE

La réserve de cybersécurité a un budget de 36 M€ pour 2025-2027. Il est réparti à parts égales entre les États membres. L’appel d’offres a effectivement été divisé en 27 lots.

Cette approche a un inconvénient. Si un pays ne recourt pas aux prestations que couvrent les contrats préalables, le budget ne peut servir à venir en aide à d’autres.

Le rapport d’audit signale aussi, en filigrane, le risque que le dispositif serve principalement à des fins de préparation. Et non de réaction, ce qui est pourtant son objectif assigné.

Le système d’alerte, plombé par des retards dans la passation de marchés

La participation au système d’alerte en matière de cybersécurité est facultative. Au moment de l’audit, 13 États membres avaient rejoint la boucle. Deux pôles transfrontières s’étaient constitués : ATHENA et ENSOC (depuis, un troisième, NBCC, a bénéficié d’un financement).

Les deux premiers pôles avaient commencé à fonctionner début 2024. Jusqu’à présent, ils n’ont obtenu aucun résultat concret. La faute à des retards dans la passation de marchés pour l’acquisition d’outils et de services.

Cette procédure s’est faite en deux phases afin de limiter la diffusion d’informations sensibles (seuls les candidats sélectionnés dans un premier temps avaient accès aux spécifications techniques détaillées).

La première phase avait démarré en mai 2024 pour ENSOC ; en juillet 2024 pour ATHENA. Les entreprises intéressées avaient 1 mois pour soumettre une proposition. Mais les candidats retenus ne furent informés qu’en avril 2025.

L’entrée dans la deuxième phase n’est pas intervenue immédiatement, les membres des pôles n’ayant pas finalisé les spécifications techniques nécessaires à la présentation d’une offre. Au moment de l’audit, soit 18 mois après le lancement des procédures de marché, il n’y avait aucun contrat de signé. Faute d’outils de détection et de partage, le système d’alerte ne fonctionnait pas encore.

Entre cyberpôles et CSIRT nationaux, manque une démarcation claire

Le rôle de ces cyberpôles ne se démarque pas clairement de celui des CSIRT nationaux. En l’état, leurs tâches font partiellement double emploi.

Pour coopérer, il leur manque une taxonomie commune et des garanties d’interopérabilité. L’expérience des CSIRT démontre le défi que cela représente, avance la Cour des comptes européenne.

L’ENISA a réagi au rapport. Elle regrette de ne pas faire partie du réseau des cyberpôles transfrontières. Une situation qui « entrave considérablement » l’efficacité du partage des informations.

Illustration © garrykillian – Adobe Stock

The post Cybersécurité : la coopération européenne peine à se structurer appeared first on Silicon.fr.