Cyber & souveraineté : priorités UE-France clés

Le cyberespace est devenu un enjeu stratégique majeur de puissance internationale. Il dépasse le cadre purement technique pour intégrer des dimensions géopolitiques, juridiques et économiques : qui contrôle les infrastructures, qui fixe les normes, qui peut répondre à une attaque d'ampleur. Sur ce terrain, l'Union européenne et la France ont choisi une voie singulière, celle de la souveraineté par la norme, dont les forces et les limites conditionnent directement l'exposition des entreprises.

Le contexte : une Europe qui régule avant de produire

Face aux modèles américain et chinois, qui combinent capacités offensives, supériorité technologique et intégration étroite entre État et industrie, l'Union européenne a d'abord misé sur le droit. Son ambition est d'instaurer une souveraineté numérique normative : imposer des exigences de sécurité à toute organisation et à tout produit présent sur son marché, quelle que soit sa nationalité. Cette approche a un mérite (elle crée un socle commun pour 27 États) et une faiblesse (elle ne crée pas, à elle seule, de champions industriels ni de capacités opérationnelles).

Trois textes structurants

NIS2 : élargir le périmètre des entités régulées

La directive NIS2, qui devait être transposée par les États membres au plus tard le 17 octobre 2024, étend les obligations de gestion des risques et de notification des incidents à un nombre bien plus large de secteurs et d'entités, selon la Commission européenne. En France, elle concernera plus de 15 000 entités dans 18 secteurs, ainsi que près de 1 000 intercommunalités et environ 300 communes de plus de 30 000 habitants, contre quelque 300 opérateurs de services essentiels sous NIS1, d'après la Banque des Territoires.

Le Cyber Resilience Act : la sécurité dès la conception

Entré en vigueur le 10 décembre 2024, le règlement sur la cyberrésilience impose des exigences de sécurité à tous les produits comportant des éléments numériques, des objets connectés aux logiciels. Selon la Commission européenne, les fabricants doivent signaler les vulnérabilités activement exploitées depuis le 11 septembre 2026, et l'essentiel des obligations s'appliquera à partir du 11 décembre 2027.

Le Cyber Solidarity Act : une réponse commune aux crises

En vigueur depuis le 4 février 2025, le règlement sur la cybersolidarité crée un système européen d'alerte reposant sur des centres de cybersécurité nationaux et transfrontaliers, un mécanisme d'urgence et une réserve de prestataires de confiance mobilisables en cas d'incident majeur, détaille la Commission européenne.

La France : une transposition qui patine

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS2, a été présenté en octobre 2024 et adopté par le Sénat en mars 2025. Son examen à l'Assemblée nationale a longtemps tardé, notamment en raison d'un désaccord sur l'article 16 bis, ajouté par les sénateurs, qui interdit d'imposer des portes dérobées dans les messageries chiffrées, une disposition que la DGSI voit d'un mauvais œil, selon la Banque des Territoires. Au 1er janvier 2026, 20 États membres sur 27 avaient achevé leur transposition. Ce retard illustre l'asymétrie entre des normes ambitieuses et des capacités politiques et opérationnelles limitées.

Enjeux pour les entreprises

Sous l'angle de l'intelligence économique, ces textes imposent d'anticiper plutôt que de subir. Une entreprise régulée par NIS2 doit cartographier ses risques, sécuriser sa chaîne d'approvisionnement numérique et notifier ses incidents dans des délais courts. Un industriel qui vend un produit connecté doit intégrer le CRA dès la conception. Les choix d'hébergement et de chiffrement deviennent des décisions stratégiques, au croisement de la conformité, de la protection des actifs informationnels et de la compétitivité.

Ce que les équipes de veille doivent surveiller

• Le calendrier parlementaire français du projet de loi résilience et le sort réservé à l'article 16 bis sur le chiffrement, un sujet à suivre avec une veille réglementaire.
• Les actes d'exécution du CRA et la désignation des organismes notifiés, qui fixeront le coût réel de la conformité.
• Les premières activations du Cyber Solidarity Act lors d'un incident majeur.
• Les campagnes d'attaques visant les secteurs NIS2, à détecter tôt grâce à une veille des risques cyber fondée sur les signaux OSINT.
• Les tensions transatlantiques sur le numérique (cloud, extraterritorialité), à intégrer dans la veille géopolitique.

Sources

• Commission européenne, NIS2 Directive: securing network and information systems (2024)
• Commission européenne, Cyber Resilience Act (2024)
• Commission européenne, The EU Cyber Solidarity Act (2025)
• Banque des Territoires (Localtis), Cybersécurité : la CSNP presse le Parlement d'examiner sans délai le projet de loi de résilience transposant NIS 2 (2026)