Réserve européenne de cybersécurité : l’Union se dote d’un bouclier commun

La Réserve européenne de cybersécurité est très certainement l’instrument le plus concret du Cyber Solidarity Act, règlement européen adopté par le Conseil de l’UE en décembre 2024 et entré en vigueur en février 2025. Placée sous la supervision de l’Agence de l’Union européenne pour la cybersécurité (ENISA), cette Réserve est financée à hauteur de 36 millions d’euros. 

Ce budget s’ajoute au budget annuel de l’ENISA (26,9 millions d’euros pour 2025) et sera utilisé à des fins opérationnelles sur trois années consécutives. Cette initiative amorce la mise en place d’une véritable capacité européenne de réponse et vise à soutenir les États membres lors d’incidents majeurs affectant leurs infrastructures critiques.

45 fournisseurs européens déjà sélectionnés 

La Réserve est composée d’équipes techniques issues de 45 prestataires privés européens. Ces entreprises ont été sélectionnées par l’ENISA à l’issue d’une procédure d’appel d’offres publique qui a eu lieu en 2025, conformément à l’article 14 du Cyber Solidarity Act. Elles constituent un vivier de fournisseurs de services de sécurité gérés de confiance (trusted managed security service providers) capables d’intervenir rapidement en cas de besoin.

Parmi les critères que doivent respecter ces sociétés : être établies dans un État membre de l’UE et/ou contrôlées par des ressortissants européens. Ce critère est vérifié via une évaluation de contrôle de propriété (Ownership Control Assessment, OCA), afin de garantir que la Réserve ne dépende d’aucune influence non européenne. Les prestataires sélectionnés doivent également démontrer une capacité éprouvée en réponse aux incidents, une maturité en matière de gestion de crise et une conformité avec NIS2, ISO 27001 ou d’autres standards européens pertinents. Les critères attendus incluent aussi la disponibilité 24/7, les exigences de confidentialité et la rapidité d’intervention. 

Parmi les 45 prestataires retenus en 2025 se trouvent des PME, ETI, grands groupes et consortiums comme Airbus Protect en France, Spike Reply en Allemagne, le CINI (Consorzio Interuniversitario Nazionale per l’Informatica) en Italie et le CSA (Centro Regional de Servicios Avanzados) en Espagne. Chaque fournisseur est mobilisable sur demande des États membres ou du CERT-EU.

Cible principale de la Réserve : les acteurs des secteurs les plus critiques

Les services de la Réserve européenne de cybersécurité s’adressent aux acteurs des secteurs critiques des États membres définis par la directive NIS2, ainsi qu’aux institutions, organes, bureaux et agences de l’Union européenne. Ces services peuvent également être sollicités par des pays tiers associés au programme Europe numérique, aussi appelé Digital Europe Programme (DEP), dont les accords incluent un accès à la Réserve.

Concrètement, c’est l’ENISA qui examine les demandes de soutien soumises par les autorités de gestion de cybercrise des États membres et/ou leurs CSIRT. Pour les entités de l’Union, les demandes passent par le CERT‑EU. Pour les pays associés au Digital Europe Programme, l’ENISA transmet les demandes à la Commission européenne. En coopération avec la Commission et le EU‑CyCLONe (European Cyber Crisis Liaison Organisation Network / Réseau européen de liaison pour la gestion des crises cyber), l’Agence de l’Union européenne pour la cybersécurité a développé un mécanisme visant à faciliter la soumission des demandes de soutien.

Les services pré-engagés dans le cadre de la Réserve pourront, conformément au Cyber Solidarity Act et aux contrats concernés, être convertis en services de préparation relatifs à la prévention et à la réponse aux incidents dans les cas où ils ne seraient pas utilisés pour une réponse à un incident. Cette disposition vise à garantir l’utilisation efficace des fonds de l’Union européenne.

Un dispositif pleinement opérationnel d’ici fin 2025

L’objectif fixé par la Commission européenne est que le dispositif soit pleinement opérationnel d’ici fin 2025. Les trois années de financement, inscrites dans le Digital Europe Programme 2025-2027, doivent permettre de consolider la base contractuelle et de tester les premières mobilisations transfrontalières. Des exercices de coordination seront organisés pour vérifier la réactivité et la cohérence entre prestataires et États membres avant la montée en charge complète du dispositif.

Avec la Réserve européenne de cybersécurité, l’Union européenne franchit un cap dans la mise en œuvre d’une solidarité numérique concrète. Ce dispositif, à la fois opérationnel et stratégique, marque la première tentative de mutualisation européenne des capacités de réponse face aux cyberattaques majeures. En mobilisant des prestataires européens qualifiés, sélectionnés selon des critères stricts de souveraineté et de fiabilité, l’Union affirme sa volonté de bâtir un écosystème de défense fondé sur la confiance et la proximité.

Au-delà de sa dimension technique, la Réserve traduit une évolution politique : celle d’une Europe qui ne se contente plus d’harmoniser les règles, mais qui s’équipe pour agir collectivement. Son déploiement opérationnel d’ici fin 2025 constituera un test grandeur nature de la coordination entre États membres, institutions européennes et acteurs privés. Si elle tient ses promesses, cette initiative pourrait devenir l’un des piliers d’une autonomie stratégique européenne dans le champ de la cybersécurité, au même titre que les dispositifs de défense ou de sécurité civile.

Gros plan sur le Cyber Solidarity Act

Le Cyber Solidarity Act (règlement (UE) 2025/38) a été conçu pour organiser une réponse coordonnée aux cyberincidents majeurs dans l’Union européenne. Ce cadre repose sur plusieurs composantes complémentaires :
Le European Cybersecurity Shield, qui est un réseau interconnecté de centres opérationnels (CSIRT, CERT) pour la détection, l’analyse et le partage rapide d’alertes et d’informations sur les menaces cyber.
Le Cybersecurity Emergency Mechanism, qui structure la préparation, la coordination et la conduite d’exercices conjoints de cybersécurité, renforçant la résilience collective avant une crise.
La Réserve européenne de cybersécurité dédiée à la réponse immédiate, mobilisant des prestataires spécialisés pour intervenir rapidement lors d’incidents critiques.

Ce triptyque constitue une chaîne de défense complète, allant de la détection et du signalement à la réponse et la remédiation, assurant une large couverture face aux cybermenaces.