Cybersécurité : la coopération dans l'UE reste insuffisante (rapport)

Un partage d’information « limité » entre les 27 et un système d’alerte qui se fait attendre : la Cour des comptes européenne a critiqué lundi des lacunes dans l’action de l’UE contre les incidents de cybersécurité.

Malgré un budget total de 1,4 milliard d’euros en faveur de la cybersécurité sur la période 2021-2027, et un arsenal législatif qui s’est étoffé ces dernières années, « un partage d’informations limité, des faiblesses dans les signalements et des retards considérables dans la mise en oeuvre empêchent les réseaux et mécanismes de l’UE d’atteindre leur plein potentiel », relève l’institution dans un rapport publié lundi.

Si les 27 ont musclé leurs règles ces dernières années, la Cour relève que la directive européenne dite « NIS 2 », qui oblige notamment à déclarer aux autorités les incidents, n’a toujours pas été transposée par tous les pays membres, notamment la France, près de deux ans après l’expiration de la date limite pour le faire.

En outre, des difficultés à « déterminer si un incident a un impact transfrontières », et des restrictions liées à la sécurité nationale subsistent, note la Cour.

L’UE s’est dotée d’un cadre supplémentaire avec le « Cyber Solidarity Act », un texte entré en vigueur l’an dernier qui prévoit la création d’un système d’alerte commun aux 27, afin de mieux détecter et signaler une potentielle attaque visant un ou plusieurs pays.

Il instaure aussi un dispositif d’urgence combinant une assistance mutuelle et un échange d’informations.

Mais ces mesures n’ont pas encore été mises en oeuvre, observe la Cour, qui constate qu’au moment de son audit, la plateforme d’alerte commune n’était pas encore opérationnelle, « en raison de retards considérables dans la passation de marchés pour l’acquisition d’outils et de services ».