L'ENISA, l’Agence de l'Union européenne pour la cybersécurité, révèle l'état de la cybersécurité dans l'Union.
La rédaction ·
Face à l’évolution constante de l’écosystème cybernétique, l’édition 2026 du rapport biennal introduit une « boussole stratégique », reflétant les grandes orientations de l’écosystème de cybersécurité de l’UE et formulant des recommandations politiques concrètes identifiant les axes d’amélioration.
L'évaluation des menaces au niveau de l'Union européenne montre que le niveau des cybermenaces pesant sur l'UE demeure important. Globalement, la posture de l'UE en matière de cybersécurité s'est améliorée, mais l'ensemble de l'écosystème reste en pleine mutation.
L’indice de cybersécurité de l’UE, élaboré par l’ENISA conformément à l’article 18, paragraphe 3, de la deuxième directive NIS, a permis d’évaluer le niveau de maturité des capacités et des ressources en matière de cybersécurité dans les États membres. La valeur moyenne globale de l’indice pour l’UE en 2026 est de 71,53 points, sur une échelle de 0 à 100. Les États membres sont globalement alignés : la plupart d’entre eux ont atteint un niveau de maturité en matière de cybersécurité, voire un niveau supérieur, et progressent vers un niveau élevé commun de cybersécurité dans toute l’UE. Analyse détaillée :
La majorité des États membres ont atteint un niveau de maturité ou un niveau avancé en matière de mise en œuvre des politiques au niveau national (66,72 points).
La quasi-totalité des États membres indiquent avoir atteint un niveau avancé en matière de gestion des chaînes d’approvisionnement de leurs entités essentielles et importantes (89,91 points).
Le niveau de maturité des équipes d'intervention en cas d'incident de sécurité informatique (CSIRT) est établi (54,76 points), bien qu'inégal selon les États membres.
La présence de la cybersécurité dans l'éducation, notamment aux niveaux primaire et secondaire, peut encore être améliorée (73,59 points dans l'enseignement supérieur, 55,44 dans l'enseignement primaire et secondaire).
Les écosystèmes de certification nationale sont divisés entre matures et moins matures, les États membres se situant aux deux extrémités de l'échelle de maturité (55,56 points).
La plupart des États membres ont atteint une position avancée sur le sujet des priorités et des initiatives en matière de recherche et développement en cybersécurité (79,24 points), démontrant une cohérence croissante dans le paysage de la recherche et de l’innovation.
Une boussole pour l'avenir de la cybersécurité de l'UE
Le rapport définit cinq orientations clés pour l'avenir de l'UE, sur la base desquelles des recommandations politiques ont été élaborées :
Passer à une mise en œuvre effective : il convient de s’attacher à faciliter les aspects transfrontaliers et translégislatifs afin que les entités opérant dans plusieurs États membres bénéficient d’un environnement cohérent, fonctionnel et sans heurts.
Adopter une capacité opérationnelle globale en cas de crise : le Plan directeur 2025 jette les bases d’une coopération plus structurée. Toutefois, certains aspects liés à l’implication et aux capacités de tous les acteurs concernés, ainsi qu’au partage d’informations, nécessitent des ajustements et des améliorations.
Renforcer la préparation et la résilience des infrastructures critiques : Depuis le rapport de 2024, la maturité en cybersécurité des secteurs critiques semble progresser régulièrement. La conformité réglementaire est le principal moteur des investissements en cybersécurité au sein des organisations de ces secteurs (70 %). Les progrès restent toutefois inégaux, car les réalités opérationnelles des secteurs diffèrent et l’IA peut accentuer les disparités d’exposition. Il sera donc nécessaire de développer la maturité sectorielle en fonction du niveau de criticité et d’adopter des stratégies de résilience plus globales, notamment en surmontant les limitations des systèmes existants, en gérant les risques liés à la chaîne d’approvisionnement et en faisant face à la rapidité et à l’ampleur des menaces permises par l’IA.
Gestion des risques et des dépendances au niveau de l'UE tout au long des chaînes d'approvisionnement et aux frontières : les risques liés aux chaînes d'approvisionnement et les dépendances transfrontalières revêtent une importance croissante, avec des implications qui dépassent le simple cadre technique. Depuis 2024, la plupart des États membres ont renforcé leurs politiques de divulgation des vulnérabilités et la proportion de pays dotés d'une politique nationale de divulgation des vulnérabilités est passée de 7 à 17. L'intelligence artificielle a profondément transformé la gestion des vulnérabilités en industrialisant leur détection et en exigeant des capacités accrues. La cybersécurité doit être intégrée de manière cohérente à chaque étape de la chaîne de valeur et d’approvisionnement, du développement sécurisé à l'exploitation sécurisée.
Viser une résilience sociétale à long terme grâce à la sensibilisation, aux compétences et à l'éducation : les Perspectives mondiales de la cybersécurité 2025 du Forum économique mondial montrent un creusement du déficit de compétences en cybersécurité, avec une augmentation de 8 % depuis 2024. La sensibilisation et les compétences en cybersécurité constituent un défi pour la résilience à long terme et nécessitent un équilibre entre les initiatives dédiées à la sensibilisation, à l'éducation, au recrutement et à la fidélisation des talents, ainsi qu'à la formation continue et au perfectionnement, tout en tenant compte de l'impact de l'IA .
Vue d'ensemble de l'écosystème de cybersécurité de l'UE
L'activité d'intrusion est restée importante et diversifiée en 2025 et 2026, tandis que le paysage des menaces se complexifie. L'idéologie est le principal moteur des cyberincidents, la géopolitique continue d'influencer l'activité cybernétique, les activités à motivation financière conservent un impact significatif et les hacktivistes restent majoritaires en termes de volume d'attaques. Parallèlement, l'IA décuple les capacités offensives et défensives, tandis que l'évolution des modèles d'IA accélère la découverte et l'exploitation des vulnérabilités.
Dans ce contexte, le paysage politique de l'UE en matière de cybersécurité est marqué par des tendances convergentes. L'UE dans son ensemble progresse dans la mise en œuvre de législations clés en matière de cybersécurité, à savoir la directive NIS2, le règlement sur la cyber-résilience et le règlement sur la cyber-solidarité. Néanmoins, les aspects transfrontaliers et interlégislatifs prennent une importance croissante, incitant à des efforts de simplification et de réajustement législatifs. Parallèlement, on observe que le contexte géopolitique et les évolutions technologiques ont entraîné le lancement ou la mise à jour de plusieurs initiatives, dont la proposition de règlement sur la cybersécurité 2 et le récent plan d'action de l'UE sur la cybersécurité et l'IA.
À propos du rapport
Le rapport sur l’état de la cybersécurité dans l’Union est un rapport biennal adopté par l’ENISA, en coopération avec la Commission européenne et le groupe de coopération NIS. L’ENISA est mandatée pour produire ce rapport en vertu de l’article 18 de la directive (UE) 2022/2555 (directive NIS 2). Ce rapport offre un aperçu de l’état de la cybersécurité sous différents angles, retrace l’évolution des thèmes abordés dans l’édition précédente et anticipe les enjeux futurs pour l’UE, afin d’aider les États membres et les autres acteurs à s’orienter dans un paysage de la cybersécurité en constante évolution.
https://www.enisa.europa.eu/news/enisa-reveals-the-state-of-cybersecurity-in-the-union
Source : enisa.europa.eu