La directive CER et la loi-cadre allemande KRITIS : mise en œuvre et défis réglementaires

Les crises mondiales, les actes de sabotage et les catastrophes naturelles mettent en évidence la vulnérabilité des infrastructures d'approvisionnement en Europe. Alors que la directive NIS-2 met fortement l'accent sur la cybersécurité, l'Union européenne a également pris des mesures en matière de résilience physique et opérationnelle.

La directive européenne relative à la résilience des entités critiques (Directive on the Resilience of Critical Entities - (UE) 2022/2557) est entrée en vigueur le 16 janvier 2023. Cette « directive CER » élargit considérablement le champ d’application juridique : outre la protection informatique, elle met l’accent sur la résilience physique, organisationnelle et humaine des opérateurs de services essentiels. Alors que le délai officiel de transposition en droit national expirait le 17 octobre 2024, le processus d’identification des acteurs critiques s’est prolongé jusqu’à la mi-2026. Cependant, la mise en œuvre dans les États membres pose également des défis.

1. Qu'est-ce que la directive CER de l'UE ?

La directive CER est entrée en vigueur le 16 janvier 2023 et remplace l'ancienne directive européenne ECI de 2008. Alors que l'ancienne réglementation ne couvrait que les secteurs de l'énergie et des transports, la nouvelle directive élargit considérablement son champ d'application à 11 secteurs critiques :

1. Énergie
2. Transports
3. Secteur bancaire
4. Infrastructures des marchés financiers
5. Santé
6. Eau potable
7. Eaux usées
8. Infrastructures numériques
9. Administration publique
10. Espace
11. Alimentation (production, transformation, distribution)

La directive européenne CER couvre 11 secteurs, car elle intègre désormais des domaines tels que l’espace et l’administration publique, et considère l’eau potable et les eaux usées comme deux secteurs distincts, alors que la réglementation allemande KRITIS en vigueur jusqu’à présent reposait sur 10 secteurs traditionnellement délimités.

L'approche « tous risques » et l'interaction avec la directive NIS2

La directive CER adopte une approche « tous risques ». Cela signifie que les opérateurs doivent analyser les risques de toute nature – des catastrophes naturelles au sabotage et au terrorisme, en passant par les menaces internes ou les pandémies – et prendre les mesures préventives qui s'imposent.

À cet égard, la directive CER constitue le pendant physique de la directive NIS2, axée sur la cybersécurité :

• La directive NIS2 régit la sécurité informatique et la sécurité de l’information.

• La directive CER régit la résilience physique, organisationnelle et humaine.

• Conséquence importante : une fois classée par les États membres comme « installation critique » au titre de la directive CER, une entreprise est automatiquement considérée comme une « installation essentielle » au titre de la directive NIS2.

2. État d'avancement de la transposition en Europe : un tableau contrasté

Bien que le délai de transposition européen pour les États membres ait déjà expiré le 17 octobre 2024, la mise en œuvre au niveau national se déroule de manière extrêmement inégale. La Commission européenne a déjà engagé des procédures d'infraction à l'encontre des États défaillants en raison de la notification tardive des mesures de transposition.

L'Allemagne, pionnière en la matière : la loi-cadre KRITIS

L'Allemagne a transposé la directive par le biais de la loi-cadre KRITIS, qui est entrée en vigueur le 17 mars 2026.

• Changement d'orientation : le droit allemand passe de la simple protection des installations physiques au maintien de la continuité de la fourniture des services essentiels à la société.

• Seuil : sont concernées les entités essentielles à l’approvisionnement global et desservant plus de 500 000 personnes.

• Structure administrative : la surveillance est répartie entre l’Office fédéral de la protection civile et de l’aide en cas de catastrophe (BBK), chargé de la résilience physique, et l’Office fédéral de la sécurité informatique (BSI), chargé de la cybersécurité.

Date butoir : 17 juillet 2026

D’ici au 17 juillet 2026, tous les États membres de l’UE devront déterminer, sur la base d’analyses de risques nationales, quelles entreprises spécifiques seront désignées comme « infrastructures critiques ». Une fois la notification officielle reçue, les entreprises concernées ne disposeront que de 10 mois pour se conformer pleinement aux obligations étendues en matière de résilience.

3. Les principaux défis d'une mise en œuvre harmonisée

La mise en place d'un cadre européen uniforme en matière de résilience se heurte à plusieurs obstacles :

1. Chevauchements et double réglementation (NIS2 vs CER) : les entreprises doivent coordonner étroitement leurs concepts de sécurité physique (par exemple, BBK) et leurs exigences en matière de sécurité informatique (par exemple, BSI), ce qui entraîne une charge organisationnelle supplémentaire.

2. Critères et seuils hétérogènes : la directive CER étant une directive, les États membres appliquent des seuils ou des procédures d’auto-évaluation différents (comme l’Allemagne, par exemple, avec 500 000 personnes desservies, ou des réglementations nationales spécifiques).

3. Dépendances transfrontalières : les infrastructures critiques ne s’arrêtent pas aux frontières nationales. Lorsque les chaînes d’approvisionnement ou les réseaux d’énergie et de transport s’étendent sur plusieurs pays de l’UE, les exigences nationales divergentes sont source de complexité pour les groupes opérant à l’international.

4. Délais de mise en œuvre serrés pour les entreprises : après la désignation, les exploitants doivent, dans un délai de 9 à 10 mois, réaliser des analyses de risques renouvelables tous les quatre ans, élaborer des plans de résilience, mettre en place des procédures de signalement des incidents (première notification dans les 24 heures) et procéder à des contrôles de sécurité du personnel.

Conclusion et mesures à prendre : ne pas attendre la notification

Le respect des exigences de la CER et de la loi-cadre KRITIS impose aux exploitants de mettre en place des mesures de protection concrètes, tant sur le plan technique et architectural qu’organisationnel, pour l’exploitation courante. La salle de contrôle constituant le centre névralgique de toute infrastructure critique, la résilience physique, l’ergonomie et la fiabilité des salles de contrôle jouent un rôle clé.