Cybersécurité de l'UE : l'alerte commune toujours pas lancée

La cybersécurité de l'UE reste un chantier inachevé. Dans un rapport publié lundi 21 septembre 2026, la Cour des comptes européenne dresse un constat sévère : malgré un arsenal législatif étoffé ces dernières années, les réseaux et mécanismes censés protéger les 27 contre les incidents informatiques n'atteignent pas leur plein potentiel.

L'institution pointe trois défauts principaux : un partage d'informations restreint entre États membres, des faiblesses persistantes dans les signalements d'incidents, et des retards considérables dans la mise en œuvre des outils prévus. Le budget alloué à cette politique n'est pourtant pas mince.

Un système d'alerte toujours à l'arrêt

L'UE s'est dotée en 2025 du "Cyber Solidarity Act", un texte qui prévoit la création d'un système d'alerte commun aux 27 pour mieux détecter et signaler une attaque visant un ou plusieurs pays. Il devait aussi instaurer un dispositif d'urgence combinant assistance mutuelle et échange d'informations.

Ces mesures ne sont toujours pas opérationnelles. Au moment de l'audit, la plateforme d'alerte commune n'avait pas démarré, en raison de "retards considérables dans la passation de marchés pour l'acquisition d'outils et de services", selon la Cour. Le réseau EU-CyCLONe, créé en 2020 pour coordonner la réponse aux crises de grande ampleur, n'a d'ailleurs jamais été pleinement activé face à un incident classé "à grande échelle", aucun État n'ayant utilisé cette qualification depuis 2016.

« À l'heure actuelle, les informations échangées en cas de cyberattaque sont limitées et retardées, ce qui nuit très sérieusement à la capacité européenne d'y faire face. », M. Hyzler, Cour des comptes européenne.

La sous-notification, talon d'Achille du dispositif

Le manque de partage d'informations reste, selon les auditeurs, "le talon d'Achille de l'ensemble du système". Les législations nationales sur la sécurité intérieure font obstacle à la communication sur les incidents transfrontaliers, alors même que la coordination entre la rétréseau des CSIRT nationaux et EU-CyCLONe n'est toujours pas formalisée.

L'écart entre ce qui est signalé et ce qui se produit réellement illustre l'ampleur du problème.

La France visée par une procédure judiciaire

La directive NIS 2, qui impose notamment de déclarer aux autorités les incidents de cybersécurité, devait être transposée dans les droits nationaux au plus tard le 17 octobre 2024. Près de deux ans plus tard, la France ne s'est toujours pas mise en conformité, tout comme l'Irlande, l'Espagne et les Pays-Bas.

La Commission européenne a saisi la Cour de justice de l'Union européenne (CJUE) le 8 juillet 2026 contre ces quatre pays. Elle demande à la Cour d'imposer des sanctions financières comprenant une somme forfaitaire ainsi qu'une astreinte journalière jusqu'à la notification d'une transposition complète. Selon une estimation du cabinet Aon relayée par la presse irlandaise le 24 août, l'exposition financière pour l'Irlande seule pourrait atteindre environ 2,8 millions d'euros, hors astreinte.

En France, l'examen du projet de loi de transposition ne devrait pas avoir lieu avant l'automne 2026, la faute revenant en partie à des désaccords parlementaires sur un article ciblant le chiffrement des messageries.

Des coûts déjà tangibles pour les administrations

En attendant une réponse coordonnée à l'échelle européenne, les collectivités et hôpitaux français continuent d'encaisser des factures salées après des cyberattaques. L'hôpital de Corbeil-Essonnes a dû prévoir un budget de sept millions d'euros après l'attaque de 2022, tandis que le centre hospitalier de Dax, ciblé en 2021, a déboursé 2,3 millions d'euros. La ville de Bondy a elle réglé une facture d'au moins 1,5 million d'euros.

Une étude 2026 de l'entreprise néerlandaise Surfshark classe la France au deuxième rang mondial des pays les plus touchés par les violations de données, derrière les États-Unis, et en première position au sein de l'Union européenne, avec plus de 40 millions de comptes compromis en 2025. Face à ces constats, la Cour des comptes européenne demande à la Commission de renforcer l'échange d'informations en temps réel avec l'ENISA, de rendre pleinement opérationnel le système européen d'alerte, et de durcir les contrôles sur les entités bénéficiaires de financements européens.