f97.beL’ATELIER D’ERIK SCHMIDT
← Tous les termes

Glossaire · Secteur de l’énergie & transition énergétique

Directive CER

Directive CER Résilience des entités critiques infrastructure critique résilience UE sécurité

La directive CER est la directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques. CER signifie Critical Entities Resilience. Elle vise les entités qui fournissent des services essentiels aux fonctions importantes de la société, de l'économie, de la santé publique, de la sécurité ou de l'environnement. Un incident touchant ces entités aurait des effets perturbateurs importants sur ces services. La directive crée un cadre global contre tous les types de dangers, qu'ils soient naturels ou d'origine humaine, accidentels ou intentionnels. Elle abroge l'ancienne directive 2008/114/CE concernant les infrastructures critiques européennes, qui se limitait pour l'essentiel à la protection d'infrastructures sélectionnées dans les secteurs de l'énergie et des transports.

Situation juridique et échéances

La directive est entrée en vigueur en janvier 2023. Les États membres devaient la transposer en droit national avant le 17 octobre 2024. Depuis le 18 octobre 2024, elle s'applique en lieu et place de l'ancienne directive. Avant le 17 janvier 2026, les États membres devaient adopter une stratégie nationale de résilience et réaliser une évaluation des risques pour les États membres. Sur cette base, ils devaient identifier, avant le 17 juillet 2026, les entités critiques pour les secteurs et sous-secteurs figurant en annexe. Les obligations des exploitants ne commencent donc pas automatiquement avec la directive. Elles ne commencent que lorsqu'un exploitant apprend qu'il a été désigné comme entité critique. Il dispose alors en principe de neuf mois pour sa propre évaluation des risques. Les obligations de résilience s'appliquent à partir de dix mois après la notification.

Champ d'application : onze secteurs

La directive couvre onze secteurs : énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, administration publique, espace ainsi que production, transformation et distribution de denrées alimentaires. Dans le secteur de l'énergie, les sous-secteurs sont l'électricité, les réseaux de chaleur et de froid, le pétrole, le gaz et l'hydrogène. L'hydrogène manquait dans les versions antérieures de cette entrée. La Commission a publié une liste non exhaustive de services essentiels. Les autorités nationales s'appuient sur cette liste pour l'évaluation des risques et la désignation.

Une particularité importante s'applique aux secteurs bancaire, des infrastructures des marchés financiers et de l'infrastructure numérique. Les entités de ces domaines peuvent certes être désignées comme critiques. Les obligations des exploitants relatives aux mesures de résilience et à la surveillance ne leur sont toutefois en principe pas applicables, car d'autres règles de l'UE y s'appliquent. Le secteur de l'énergie n'est pas exclu.

Une entité n'est pas critique du seul fait qu'elle est grande, coûteuse ou politiquement visible. Ce qui compte, c'est qu'elle fournisse un service essentiel, qu'elle soit active dans l'État membre et qu'un incident perturberait ce service de manière importante. Les autorités tiennent notamment compte du nombre d'utilisateurs dépendants, des interdépendances entre secteurs, des parts de marché, de la portée géographique et de l'existence de solutions de remplacement. Les États membres peuvent fixer des seuils, mais n'y sont pas tenus. Un poste de transformation, une salle de contrôle ou un gestionnaire de réseau de transport peuvent donc être pertinents pour des raisons très diverses. Seul le droit national détermine si une installation donnée est concernée.

Obligations des États et des exploitants

Les États membres désignent des autorités compétentes et un point de contact unique. Ils soutiennent les entités critiques, par exemple par des guides, des méthodes, des exercices, des conseils et des formations pour le personnel. La Commission complète ce dispositif par des bonnes pratiques et des exercices transfrontaliers. Elle informe en outre sur les financements de l'UE.

  • Évaluation des risques : les entités critiques évaluent tous les risques pertinents pour leurs services essentiels, y compris les dépendances vis-à-vis d'autres secteurs. Cela se fait pour la première fois dans un délai de neuf mois après la notification de la désignation, puis en cas de besoin, et au moins tous les quatre ans.

  • Mesures de résilience : elles prennent des mesures techniques, de sécurité et organisationnelles. Il s'agit de prévenir les incidents, de se protéger, de réagir, d'en limiter les conséquences et de rétablir l'exploitation. Les mesures sont décrites dans un plan de résilience ou un document équivalent.

  • Obligation de notification : les incidents qui perturbent ou pourraient perturber de manière importante les services essentiels sont notifiés à l'autorité compétente. La notification initiale intervient au plus tard 24 heures après la prise de connaissance de l'incident, pour autant que ce soit possible sur le plan opérationnel. Un rapport détaillé suit, si nécessaire, au plus tard après un mois.

  • Surveillance : les autorités peuvent vérifier le respect des règles, rendre des ordonnances et infliger des sanctions. Le droit national détermine précisément les sanctions et les compétences.

Pour les entités qui fournissent des services à six États membres ou plus, la directive prévoit une catégorie distincte : les entités critiques revêtant une importance européenne particulière. Pour celles-ci, la Commission peut organiser des missions de conseil.

Délimitation par rapport à NIS2 et KRITIS

La directive CER fait partie du même paquet législatif que la directive NIS2 (UE) 2022/2555, mais traite un axe différent. NIS2 régit la cybersécurité des réseaux et des systèmes d'information. CER vise surtout la résilience physique et la capacité opérationnelle globale. Cela inclut les événements naturels et les effets du changement climatique, le sabotage, le terrorisme, les situations d'urgence sanitaire, les défaillances de personnel, les chaînes d'approvisionnement perturbées, les systèmes auxiliaires défaillants et les menaces hybrides. Les autorités des deux régimes doivent se coordonner. Ainsi, les autorités NIS2 apprennent par exemple quelles entités ont été désignées au titre de CER. Infrastructure critique désigne le bien à protéger. La directive CER est en revanche le cadre juridique qui détermine qui est compétent, comment la procédure se déroule et quelles obligations s'appliquent.

Transposition en Allemagne

L'Allemagne a transposé la directive après l'expiration du délai de l'UE par la loi-cadre KRITIS (KRITIS-Dachgesetz). Elle a été promulguée au Bundesgesetzblatt le 16 mars 2026 et est entrée en vigueur pour l'essentiel le 17 mars 2026. La loi seule ne crée pas encore d'obligations concrètes pour les exploitants. Il appartient à un règlement d'application de déterminer quelles installations sont critiques. La première obligation est l'enregistrement des installations critiques, au plus tôt à compter du 17 juillet 2026. Les exploitants devraient donc vérifier l'état actuel du règlement et des échéances, plutôt que de se fier uniquement au texte de la directive. Pour la cybersécurité, les règles de transposition de NIS2 s'appliquent en parallèle.

Ce que signifie la résilience ici

La résilience est plus que la robustesse. Une installation robuste supporte certaines contraintes. Une entité résiliente identifie les risques, prévient ou limite les incidents, continue de fonctionner dans des conditions dégradées, redevient opérationnelle après une perturbation et tire des enseignements organisationnels de l'incident. La directive n'exige pas une sécurité absolue. Elle exige une prévention compréhensible et proportionnée, fondée sur le risque.

Dans le système électrique, cela signifie techniquement par exemple : sécuriser physiquement les sites, concevoir la conduite et les communications de manière redondante, disposer d'une alimentation de secours, planifier des pièces de rechange pour les grands transformateurs, garantir la capacité de démarrage autonome, établir des plans de reconstitution et s'exercer régulièrement. Sur le plan organisationnel, il s'agit de responsabilités claires, de circuits de notification, de cellules de crise, de gestion des fournisseurs et de coopération avec les autorités. Une défaillance ne doit pas nécessairement résulter d'une cyberattaque. Une inondation dans une installation de commutation, un incendie dans une salle de contrôle, des accès bloqués ou l'absence de personnel clé peuvent aussi la provoquer.

Importance pour le système électrique

Presque tous les autres secteurs dépendent de l'électricité : stations de traitement d'eau, hôpitaux, télécommunications, systèmes de paiement et administration. Le système électrique est donc lui-même critique et constitue en même temps une condition préalable pour d'autres entités critiques. La directive CER rend visibles de telles dépendances. Un gestionnaire de réseau de transport peut être techniquement bien préparé et dépendre néanmoins de services de communication, de fournisseurs de logiciels, de voies de transport ou de transformateurs spéciaux. Une centrale peut dépendre de la logistique des combustibles, de l'eau de refroidissement ou de prestataires.

CER touche à la sécurité d'approvisionnement, mais ne la couvre pas entièrement. La sécurité d'approvisionnement comprend aussi la capacité de production, le développement du réseau, les règles de marché, les réserves et la conduite de l'exploitation. CER concerne en revanche la capacité de résistance des entités qui soutiennent ces fonctions.

Malentendus fréquents

  • CER ne signifie pas seulement clôtures et caméras. Un site bien sécurisé reste vulnérable si des plans de redémarrage font défaut ou si les pièces de rechange proviennent d'une seule chaîne d'approvisionnement fragile.

  • CER n'est pas en premier lieu une obligation de notification. L'effet principal provient de l'évaluation des risques et de la prévention. Les notifications aident surtout à constituer une image de la situation.

  • Résilience n'est pas synonyme de redondance. Une technique doublée peut dépendre des mêmes sites, fournisseurs ou systèmes de commande. Des prestataires différents, une séparation spatiale, des exercices et un rétablissement rapide contribuent aussi à la résilience.

  • CER ne résout pas les questions de financement. Les prix du marché ne reflètent que de façon limitée les dispositifs de sécurité rarement sollicités. Dans le domaine des réseaux régulés, il faut clarifier comment les coûts sont reconnus via les tarifs de réseau. Ce n'est pas la directive qui le règle, mais le droit national de l'énergie et de la régulation.

Mise en perspective

La directive CER n'est pas une norme technique. C'est un cadre réglementaire avec des exigences minimales que les États membres peuvent préciser et renforcer. Pour les exploitants du secteur de l'énergie, trois niveaux sont donc toujours importants : le texte européen, la loi nationale de transposition avec ses règlements d'application et la surveillance du secteur concerné.

Sources

Autres entrées du glossaire

Edited by eCMS on 11.11.2026 17:09

© 2026 Erik Schmidt. All rights reserved. Quotations with a link to the source are welcome.