L’Union européenne va renforcer la cybersécurité de ses chaînes d’approvisionnement

La Commission européenne a présenté, le 20 janvier 2026, un nouveau paquet législatif relevant du Cybersecurity Act, consacré à la sécurité de la chaîne d’approvisionnement. La plupart des textes-cadres de l’UE sur la sécurité informatique évoquent déjà cette problématique, mais sans imposer de vision globale et contraignante, en particulier pour les actifs sensibles et stratégiques.

Ce nouveau paquet législatif vise à combler ce manque. Il s’appuie sur trois piliers :

• des évaluations visant à repérer les vulnérabilités et les risques pesant sur la chaîne d’approvisionnement, y compris ceux liés à des facteurs non techniques, comme l’environnement juridique ou politique de certains fournisseurs ;
• l’identification d’« actifs ICT clés » (« key ICT assets ») : des composants, équipements ou services jugés critiques pour les secteurs « essentiels » ou « importants » (au sens de NIS 2) ;
• la mise en place de mesures d’atténuation ciblées, incluant l’interdiction d’utiliser des composants fournis par des fournisseurs « à haut risque ».

Le texte prévoit la possibilité d’exclure un pays en fonction « de préoccupations en matière de cybersécurité ». Le paquet législatif permettrait donc d’interdire, au sein des chaînes d’approvisionnement de l’UE, des fabricants jugés problématiques, comme les chinois Huawei et ZTE.