Communication de la Commission du 13 juillet 2026 : lignes directrices concernant l’application de l’article 13, paragraphe 5, de la directive (UE) 2022/2557 sur la résilience des entités critiques

JOUE Série C du 13 juillet 2026

La directive 2022/2557 du 14 décembre 2022 sur la résilience des entités critiques formule des exigences destinées à ce que les services essentiels au maintien de fonctions sociétales ou d’activités économiques vitales soient fournis sans entrave dans le marché intérieur. Elle renforce la résilience des entités critiques qui fournissent de tels services, en créant un cadre global pour la résilience face à tous les risques (naturels et d’origine humaine, accidentels ou intentionnels).
Pour ce faire, les États membres doivent recenser leurs entités critiques pour les secteurs et sous-secteurs figurant à l’annexe de la directive au plus tard le 17 juillet 2026. Pour assurer un niveau élevé de résilience, la directive établit certaines obligations concernant ces entités critiques, y compris l’obligation prévue à l’article 13 de prendre des mesures techniques, des mesures de sécurité et des mesures organisationnelles appropriées et proportionnées pour garantir leur résilience.
Dans ce cadre, ce texte publie des lignes directrices non contraignantes afin de préciser davantage les mesures que peuvent prendre les entités critiques.
Ainsi, au titre des mesures de prévention, ces entités sont encouragées à prendre des mesures durcissant leur résilience en améliorant leur capacité à prévenir les défaillances ou les perturbations. Ces mesures doivent être intégrées dans le plan de résilience. Pour veiller à ce que les mesures de résilience soient appliquées de façon conforme à la directive 2022/2555 du 14 décembre 2022 (dit SRI 2), les entités critiques sont encouragées à prendre en considération des mesures pertinentes pour la sécurité des réseaux et des systèmes d’information, telles que définies dans la directive SRI 2.
Au titre des mesures de protection physique, les entités critiques sont encouragées à prendre des mesures physiques contre les menaces naturelles et d’origine humaine (par exemple les menaces hybrides, le sabotage, le terrorisme, les actes criminels, le ciblage militaire/en temps de guerre, l’espionnage) et à mettre en place des contrôles procéduraux permettant de détecter, de décourager, de retarder et de bloquer les incidents perturbateurs ainsi que d’y réagir et d’en réduire les effets.
L’accès des véhicules, du personnel et des marchandises aux locaux concernés doit être limité en mettant en place des points de passage contrôlables. Les voies d’approche directe des véhicules doivent être limitées par une combinaison d’obstacles physiques (par exemple des bornes fixes et rétractables, des obstacles naturels ou d’autres mesures de limitation de la vitesse) et l’espacement maximal prescrit entre deux obstacles doit être respecté afin d’empêcher tout contournement par un véhicule. Les points d’entrée extérieurs des locaux doivent présenter une structure robuste ou renforcée et être équipés de charnières et de mécanismes de verrouillage sécurisés. Les encadrements des ouvertures des installations (par exemple les fenêtres et les fenêtres de toit) doivent être équipés de mécanismes de verrouillage et de couches protectrices (par exemple barreaux, grilles, vitres résistantes aux chocs, membranes protectrices).
En ce qui concerne les systèmes vidéo, ceux-ci doivent fournir une couverture en temps réel, enregistrée, claire et spécifique à l’environnement des biens, installations et équipements pertinents, ainsi que des voies d’approche et des points d’entrée des locaux.
En ce qui concerne les menaces causées par les drones, doivent être instaurées des mesures visant à faciliter la détection, le suivi et l’identification de tels systèmes (mise en place de radars, détecteurs de radiofréquences, caméras de surveillance thermique/de jour, capteurs acoustiques par exemple).
Au titre des mesures d’intervention, de résistance et d’atténuation, le texte encourage les entités critiques à prendre des mesures appropriées pour garantir l’intégrité des réseaux et systèmes informatiques et des logiciels utilisés dans les équipements, notamment en ce qui concerne la dépendance à l’égard de fournisseurs à haut risque et la protection contre les interférences dues aux signaux de radiofréquences et aux cyberattaques.
Le texte recommande également aux entités critiques d’élaborer des programmes de maintenance complets, fondés sur les recommandations des fabricants, sur leur propre expérience opérationnelle et sur les évaluations des risques. La maintenance prédictive peut être appliquée à l’aide de technologies de surveillance avancées comprenant des réseaux de capteurs intégrés. Une maintenance régulière et prédictive fondée sur les performances, qui utilise des outils d’analyse de données et d’intelligence artificielle pour surveiller le vieillissement et prévoir les défaillances, peut être appropriée pour optimiser le calendrier de toute intervention requise.
Enfin, le texte organise également des mesures de rétablissement, de gestion de la sécurité liée au personnel et des mesures de sensibilisation.