Les chiffres de la fiche de performance du programme pour une Europe numérique doivent être pris avec prudence, avertit la Cour des comptes européenne, qui a examiné le volet cybersécurité doté d’environ 1,4 Md€ sur la période 2021-2027. Ce financement repose principalement sur des appels à propositions, mais le suivi des projets et la fiabilité des données apparaissent très fragiles.
La Cour relève d’abord un problème de collecte et de vérification des indicateurs. Chaque projet doit remonter des données quantitatives sur quatre volets : les infrastructures et/ou outils de cybersécurité faisant l’objet de marchés publics conjoints, ceux effectivement déployés, les utilisateurs et communautés ayant accès à des installations européennes de cybersécurité, ainsi que les mesures d’aide à la préparation et à la réaction prévues par le mécanisme d’urgence du règlement cybersolidarité. En théorie, l’ECCC (Centre de compétences européen en matière de cybersécurité), gestionnaire du programme, doit collecter, vérifier et intégrer ces données dans le système de gestion des subventions avant les revues à mi-parcours et finales. En pratique, cela n’est pas fait systématiquement : sur l’échantillon audité, seuls 3 des 7 projets arrivés à mi-parcours avaient vu leurs données intégrées à temps. Pire, deux dossiers contenaient des données erronées, l’un parce qu’elles portaient sur le mauvais indicateur, l’autre parce qu’elles reprenaient les valeurs cibles au lieu des résultats obtenus.
L’ECCC n’utilise d’ailleurs pas le système de gestion des subventions pour compiler les indicateurs, préférant des questionnaires envoyés aux bénéficiaires. Mais la Cour estime que les modalités de collecte et la qualité des données laissent à désirer : les informations réunies ne correspondent pas aux valeurs publiées dans la fiche de performance, et l’institution dit ignorer comment elles ont été calculées. Rien ne permet, selon elle, d’attester que l’ECCC en ait vérifié l’exactitude.
Au-delà du suivi, la mise en œuvre elle-même se heurte à de nombreux obstacles. Les 11 projets examinés par la Cour se répartissent entre trois axes — cyberpôles transfrontières, centres nationaux de coordination et développement des capacités des SOC — et ont reçu entre 1 et 7 M€ chacun, pour un total d’environ 38 M€ sur 2022-2025. Plusieurs ont pris du retard ou rencontré des blocages liés aux marchés publics et au cofinancement. C’est le cas d’ILG-SOC, lancé en octobre 2023 pour trois ans afin de créer un SOC central pour 31 autorités locales en Irlande, mais freiné par l’échec ou le retard de plusieurs procédures d’achat. Même difficulté pour EL-SOC, démarré en janvier 2024 pour trois ans en Grèce : le processus de publication des spécifications techniques de l’appel d’offres a repoussé l’acquisition de matériel et de services, tandis que le projet peinait à obtenir un cofinancement national.
La Cour souligne aussi la lourdeur du contrôle de propriété imposé pour des raisons de sécurité. Les financements peuvent être réservés à des entités établies dans l’UE et contrôlées par des États membres ou des citoyens de l’UE, une exigence qui s’étend aux sous-traitants et peut compliquer l’exécution. Dans 3 des 11 projets, au moins un bénéficiaire ou un consortium a été exclu pour ce motif. Dans NG-SOC, deux membres ont été écartés environ un mois avant la date limite de signature de la convention de subvention ; faute de temps pour trouver un remplaçant, le coordinateur a dû reprendre leur part de travail, et un pilote prévu dans un secteur spécifique n’a finalement pas pu être mené comme prévu.
Enfin, la Cour juge que les cadres de suivi de la plupart des projets sont mal conçus : trop de jalons et de livrables, des intitulés peu pertinents, et des éléments parfois sans utilité réelle pour mesurer l’avancement, comme une « réunion pour commencer à rédiger l’appel à propositions de recherche » ou un « procès-verbal officiel de la réunion de projet ». Beaucoup d’indicateurs de performance ne sont pas mesurables, ou ne disposent ni de valeur cible ni de valeur de référence.
Le rapport note toutefois deux projets ayant produit des résultats concrets pour les PME. GR-SME-SOC vise à créer en Grèce un SOC proposant gratuitement des solutions aux PME pendant un an avant leur commercialisation. NCC-IE, de son côté, aura distribué environ 1,8 M€ de subventions à une cinquantaine de PME irlandaises, via des entreprises ayant bénéficié d’un examen de cybersécurité mené par l’agence gouvernementale Enterprise Ireland. Ces aides couvrent 80 % des coûts de mise en œuvre des recommandations, dans la limite de 60 000 € par entreprise.