Cyberattaques : pourquoi l’Europe peine à coopérer

Résumer avec

Alors que les attaques sont de plus en plus nombreuses et toujours plus sophistiquées, dans un rapport sans concession paru cet automne, la Cour des comptes européenne alerte sur les lacunes et l’inefficacité de l’UE en matière de collaboration entre États. « La culture du repli sur soi doit cesser », conclue l’audit.

La récente attaque contre des groupes réfrigérés dans des centaines de grandes surfaces en France a montré combien les hackers franchissent aujourd’hui des limites au-delà de l’entendement. Ce piratage a coûté plusieurs dizaines de millions d’euros à la grande distribution.

En présentant le 21 septembre dernier son rapport sur la détection et la réponse face aux cyberincidents majeurs, la Cour européenne des comptes [1] a jugé la réponse de l’UE face aux cyberattaques « partiellement efficace ». Les auteurs y pointent un partage d’information « limité » entre les Vingt-sept qui fragilise la cybersécurité de l’UE. « Dans ces conditions, les États membres ne peuvent pas se rendre compte qu’ils font face à une même attaque, note le rapport, et, par conséquent, coordonner leur réponse. »

« On est encore dans le raisonnement selon lequel signaler un incident, c’est reconnaître qu’on est exposé, observe Loïc Guézo, vice-président du Clusif et directeur de la stratégie de la société américaine de cybersécurité Proofpoint.[2] Tant que ce sentiment de faiblesse dominera, le réflexe naturel sera le repli et le refus de partager. Il y a encore des confrontations entre voisins européens. La communauté des CSIRT (centres de réponse aux incidents), elle, a atteint cette maturité, ce qui n’est pas le cas des États. »

Confinement plutôt que signalement

Car le cadre existe, avec un réseau de CSIRT, une cellule de crise, EU-CyCLONe [3], et une réserve de cybersécurité dotée de 36 millions d’euros pour 2025-2027. Mais les États ne semblent pas pressés de s’en saisir. Pour Andy Garth, porte-parole de la société slovaque de cybersécurité ESET, ces conclusions sont tout sauf surprenantes : « La cybersécurité demeure avant tout une responsabilité par pays, reconnaît-t-il. En pleine cybercrise, les organisations privilégient le confinement et le rétablissement des services plutôt que le signalement et la coordination. » Pourtant, lorsqu’un cyberincident grave se produit, il est essentiel de disposer en temps utile d’informations exploitables, souligne l’un des auteurs, George-Marius Hyzler [4] « Si elles font défaut, les réseaux et les mécanismes perdent une grande partie de leur valeur ajoutée. »

La Cour relève par ailleurs que NIS2 n’a toujours pas été transposée par tous les pays membres, notamment la France, près de deux ans pourtant après l’expiration de la date limite pour le faire ! Ces retards ont un impact significatif sur le partage d’informations, nous expliquent les rapporteurs : « Tant que la directive n’est pas transposée, des milliers d’entités réparties dans les 18 secteurs couverts par NIS2 ne sont pas légalement tenues de signaler les incidents », regrette l’institution basée à Luxembourg. Parmi elles figure la fonction publique, le secteur le plus pris pour cible au sein de l’UE, selon le rapport 2025 de l’ENISA [5], l’agence européenne de cybersécurité. « La Commission a engagé des procédures d’infraction à l’encontre des États membres qui traînent des pieds », nous précise un porte-parole.

L’audit relève aussi que le système européen d’alerte censé relier des « cyberpôles » transfrontaliers financés par l’UE n’était pas opérationnel au passage des experts. Les deux pôles examinés, ATHENA et ENSOC, n’avaient pas démarré faute de marchés publics aboutis ! « Les obstacles peuvent résulter de divergences dans les interprétations nationales, de différences en matière de maturité et de capacités, de contraintes en termes de ressources, ou encore de défis liés à la confiance par exemple dans le cadre d’enquêtes en cours », confirme Hans De Vries [6], directeur de la cybersécurité et des opérations (COO) de l’ENISA. Sachant que la décision finale appartient de toutes façons aux États membres.

Des incidents passés sous silence

Pour appuyer ses dires, le rapport cite en exemple l’attaque au rançongiciel contre le fournisseur de technologies Collins Aerospace en septembre 2025. Le traitement des bagages dans les aéroports de Bruxelles, Londres et Berlin avait dû être effectué à la main, provoquant des retards massifs et des annulations de vols. Pourtant, aucun État membre n’a considéré cet incident comme significatif au niveau transfrontalier, ce qui a empêché le déclenchement des mécanismes de coordination au niveau de l’UE. « Il serait judicieux, suggère M. De Vries, d’évaluer également, au sein des processus, les points où la prise de décision doit être facilitée, notamment lorsqu’elle est requise aux niveaux supérieurs. »

L’UE a beau s’être encore dotée d’un cadre supplémentaire avec le « Cyber Solidarity Act » [7], un règlement européen entré en vigueur début 2025, « il n’existe pas de plateforme à l’échelle de l’Union européenne qui centralise, en temps réel, les rapports d’incidents provenant de tous les États membres », regrette la Cour. Le CERT-EU [8] nous assure de son côté « prendre acte de ces observations, notamment l’importance de promouvoir une culture de partage d’informations au sein du réseau. » L’organisme en appelle à une coopération étroite entre le secteur public, le privé et le milieu universitaire.

Car il y a urgence. C’est une course permanente contre les pirates qui doit s’engager. « Même si le dispositif est mis en place à un niveau défini à un instant T, note M. Guézo, la menace va continuer d’évoluer et d’accélérer avec l’IA. Le système doit être en amélioration permanente et en adaptation. » Certains défis restent à relever, admet M. De Vries : « Il s’agit notamment de définir clairement les rôles et les procédures, d’assurer un partage rapide des informations et de garantir une coordination efficace, fondée sur la confiance et la préparation. » On ne demande qu’à voir.

L’essentiel à retenir :

1. Une coopération européenne insuffisante face aux cyberattaques, selon la Cour des comptes européenne. Les 27 États membres partagent trop peu leurs informations sur les incidents.

2. Des dispositifs européens qui peinent à fonctionner. Malgré l’existence de structures et de moyens, leur efficacité est limitée par les retards de transposition de NIS2.

3. Un changement de culture et une coordination urgente à construire. L’UE doit instaurer une véritable confiance entre États, accélérer le signalement des incidents et clarifier les responsabilités.