OBJECTIF : garantir que les services essentiels au maintien de fonctions sociétales ou d’activités économiques vitales soient fournis sans entrave dans le marché intérieur et améliorer la résilience des entités critiques qui fournissent de tels services.
ACTE LÉGISLATIF : Directive (UE) 2022/2557 du Parlement européen et du Conseil sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil.
CONTENU : les entités critiques sont des entités qui fournissent des services indispensables pour maintenir les fonctions sociétales vitales, les activités économiques, la santé et la sécurité publiques ainsi que l'environnement. Elles doivent être en mesure de prévenir les attaques hybrides, les catastrophes naturelles, les menaces terroristes et les urgences de santé publique, ainsi que de s'en protéger, d'y réagir, d'y faire face et de s'en remettre.
La présente directive :
- impose aux États membres l’obligation d’adopter des mesures spécifiques visant à garantir que les services qui sont essentiels au maintien de fonctions sociétales ou d’activités économiques vitales soient fournis sans entrave dans le marché intérieur, en particulier l’obligation de recenser les entités critiques et l’obligation d’aider les entités critiques à s’acquitter des obligations qui leur incombent;
- impose aux entités critiques des obligations visant à renforcer leur résilience et leur capacité à fournir les services essentiels dans le marché intérieur;
- établit des règles relatives: i) à la supervision des entités critiques; ii) à l’exécution des règles; iii) au recensement des entités critiques d’importance européenne particulière, ainsi qu’aux missions de conseil pour évaluer les mesures que ces entités ont mises en place pour satisfaire aux obligations qui leur incombent;
- prévoit des mesures visant à atteindre un niveau élevé de résilience des entités critiques afin de garantir la fourniture de services essentiels dans l’Union et d’améliorer le fonctionnement du marché intérieur.
Champ d’application
La nouvelle législation renforce les conditions requises pour mener l’évaluation des risques et le signalement d’acteurs considérés comme essentiels. Elle couvre 11 secteurs, à savoir les secteurs de l’énergie, des transports, des banques, des infrastructures de marché financier, de la santé, de l’eau potable, des eaux résiduaires, des infrastructures numériques, de l’administration publique, de l’espace et de l’alimentation (production, transformation et distribution de denrées alimentaires).
La directive est sans préjudice de la responsabilité des États membres en matière de sauvegarde de la sécurité nationale et de la défense et de leur pouvoir de garantir d'autres fonctions essentielles de l'État, notamment celles qui ont pour objet d'assurer l'intégrité territoriale de l'État et le maintien de l'ordre public. La directive ne fait pas obstacle à l’adoption ou au maintien par les États membres de dispositions de droit national afin d’atteindre un niveau plus élevé de résilience des entités critiques.
Stratégies nationales
Chaque État membre devra adopter, au plus tard le 17 janvier 2026, une stratégie visant à renforcer la résilience des entités critiques. La Commission est habilitée à adopter un acte délégué, au plus tard le 17 novembre 2023, afin de compléter la directive en établissant une liste non exhaustive de services essentiels dans les secteurs et les sous-secteurs figurant à l’annexe. Les autorités compétentes devront utiliser ladite liste des services essentiels pour effectuer une évaluation des risques au plus tard le 17 janvier 2026, puis selon les besoins, et au moins tous les quatre ans.
Point de contact unique
Afin de faciliter la coopération et la communication transfrontières et de permettre la mise en œuvre effective de la directive, chaque État membre devra désigner un point de contact unique chargé de coordonner les questions liées à la résilience des entités critiques et à la coopération transfrontière au niveau de l’Union, s’il y a lieu au sein d’une autorité compétente.
Recensement des entités critiques
La directive établit également des règles pour le recensement des entités critiques revêtant une importance européenne particulière. Une entité critique est considérée comme revêtant une importance européenne particulière si elle fournit un service essentiel à six États membres ou plus. Dans ce cas, la Commission pourra être invitée par les États membres à organiser une mission de conseil ou peut elle-même proposer, avec l'accord de l'État membre concerné, d'évaluer les mesures mises en place par l'entité concernée pour respecter les obligations découlant de la directive.
Mesures de résilience des entités critiques
Les entités critiques devront détecter les risques pertinents susceptibles de perturber considérablement la fourniture des services essentiels, prendre des mesures appropriées pour assurer leur résilience et notifier les incidents perturbateurs aux autorités compétentes. Sauf si elles sont dans l'incapacité de le faire pour des raisons opérationnelles, les entités critiques devront présenter une première notification au plus tard 24 heures après avoir pris connaissance d'un incident, suivie, s'il y a lieu, d'un rapport détaillé au plus tard un mois après.
Lorsqu’un incident a ou pourrait avoir un impact important sur la continuité de la fourniture de services essentiels à ou dans six États membres ou plus, les autorités compétentes des États membres affectés par l'incident devront notifier l’incident à la Commission.
Les États membres devront informer le public lorsqu'ils estiment qu'il serait dans l'intérêt général de le faire.
Groupe sur la résilience des entités critiques
Le groupe sur la résilience des entités critiques soutiendra la Commission et facilitera la coopération entre les États membres et l'échange d'informations sur les questions relatives à la directive. Lorsque le Parlement européen le demande, la Commission pourra inviter des experts du Parlement européen à assister aux réunions du groupe sur la résilience des entités critiques.
ENTRÉE EN VIGUEUR : 16.1.2023
TRANSPOSITION : au plus tard le 17.10.2024. Les dispositions sont applicables à partir du 18.10.2024.