Cybersécurité : la Cour des comptes européenne pointe les failles de la coopération

Une approche globale pour améliorer la cybersécurité ©Roman Shashko

Les États membres signalent trop peu leurs cyberincidents pour que l'Europe puisse réagir efficacement : c'est le constat central du rapport spécial 19/2026 de la Cour des comptes européenne, publié le 21 septembre.

L'architecture existe pourtant depuis près de dix ans : le réseau des CSIRT nationaux et le CERT-UE, le réseau EU-CyCLONe pour la gestion des crises, et l'ENISA qui assure le secrétariat. Le programme pour une Europe numérique consacre 1,4 milliard d'euros à la cybersécurité sur 2021-2027. Mais les auditeurs relèvent des procédures de coordination jamais formalisées et l'absence de vocabulaire commun sur la gravité des incidents.

L'écart entre les chiffres est frappant. En 2025, sept pays seulement ont déclaré 14 incidents transfrontières, quand l'ENISA en recensait 322 à partir de sources ouvertes. Les deux pôles du futur système européen d'alerte, ATHENA et ENSOC, ne sont toujours pas opérationnels, faute d'outils achetés à temps. La Cour note aussi que le Centre de compétences européen ne contrôle pas qui détient réellement les entreprises bénéficiant de fonds, un risque pour les technologies sensibles.

Pour la France, l'enjeu est direct. Selon l'ANSSI, la directive NIS 2 n'entrera en vigueur qu'une fois la loi « Résilience » et ses décrets publiés ; le texte, adopté par le Sénat en mars 2025, attend toujours son adoption définitive. La Commission a saisi la Cour de justice de l'UE contre la France en juillet 2026. Près de 15 000 entités françaises seront concernées, contre environ 500 opérateurs régulés aujourd'hui. Les cyberattaques récentes contre l'Éducation nationale et la DGFiP, citées par le BQ, rendent ce retard plus sensible.

La Cour formule cinq recommandations, dont le renforcement du partage d'informations et l'intégration du système d'alerte européen, à mettre en œuvre d'ici 2027-2028.