Gestion de crise cybersécurité : ce qu’il faut retenir de la nouvelle recommandation de l’UE

L’essentiel de cette recommandation européenne du 6 juin 2025 pour la gestion de crise cybersécurité :

• elle remplace un précédent texte qui remontait au 13 septembre 2017 ;

• elle se fonde sur quatre principes directeurs ;

• neuf points clés sont détaillés ;

• le 31 décembre 2026 sera une date fondamentale.

La recommandation du Conseil européen du 6 juin 2025 établit le nouveau cadre du schéma directeur de l’Union européenne (UE) pour la gestion de crise de cybersécurité.

Elle abroge et remplace la recommandation (UE) 2017/1584 du 13 septembre 2017 sur la réaction coordonnée aux incidents et crises de cybersécurité majeurs.

Il se fonde sur les principes directeurs de :

• proportionnalité,

• subsidiarité,

• complémentarité,

• et de confidentialité des informations.

Cette recommandation du Conseil du 6 juin 2025 se aussi sur une approche à trois niveaux : technique, opérationnel et politique.

Au sujet de la gestion de crise cybersécurité, la nouvelle recommandation de l’UE du 6 juin 2025 détaille successivement :

• les structures et responsabilités nationales de gestion des crises de cybersécurité ;

• les principaux réseaux et acteurs de l’écosystème de l’UE en la matière ;

• la démarche de préparation à des incidents de cybersécurité majeurs et à une crise (partage d’informations relatives aux menaces, coopération technique, opérationnelle et politique, exercices communs) ;

• les modalités de détection d’un incident susceptible d’évoluer vers un incident de cybersécurité majeur ou une crise ;

• les modalités de réaction à un incident de cybersécurité majeur ou à une crise au niveau de l’UE ;

• la communication politique ;

• la réponse diplomatique et la coopération avec les partenaires stratégiques ;

• la coordination de la gestion des crises de cybersécurité avec des acteurs militaires au niveau de l’UE ;

• le rétablissement et enseignements tirés après une crise de cybersécurité ;

• la mise à disposition par la Commission européenne, d’ici le 31 décembre 2026, d’un système de communications sécurisées.

Il fournit en annexes une infographie du schéma directeur de l’union pour réagir à une crise de cybersécurité, un tableau sur le rôle des différents acteurs concernés (entités et réseaux) et un rappel du cadre réglementaire existant.