Avec son nouveau "Cyber Blueprint", l’UE muscle sa gestion des crises cyber

Ce vendredi 6 juin 2025, les ministres des télécommunications des Etats membres de l'Union – rassemblés au sein du Conseil de l'UE – ont adopté la révision du "Cyber Blueprint", un cadre stratégique et opérationnel visant à renforcer la coordination de l'Union en cas de cybercrises ou d'incidents cybernétiques de grande ampleur. 

Présentée par la Commission européenne en février 2025, la nouvelle mouture du Blueprint a été adoptée à un rythme inhabituellement rapide, soulignant l’urgence perçue par les États membres. 

Une nouvelle étape en matière de cybersécurité

"Nous franchissons une étape décisive dans la renforcement de la résilience de l'Europe en matière de cybersécurité", a indiqué Krzysztof Gawkowski, vice-président du Conseil des ministres et ministre de la Numérisation de la Pologne. "Le plan d'action de l'UE pour la gestion des cybercrises précise comment les Etats membres peuvent détecter, réagir, se rétablir et tirer les leçons des incidents de cybersécurité et des cybercrises de grande ampleur susceptibles d'affecter l'ensemble de l'UE", a-t-il ajouté. 

Notons que le Blueprint n'est pas un acte juridique contraignant mais il prend la forme d'une recommandation du Conseil de l'UE. Autrement dit, ce texte n'oblige pas les Etats membres, mais les incite fortement à adopter certains comportements ou à mettre en place des dispositifs spécifiques. 

Coordonner les Etats membres et les institutions

En pratique, ce texte fournit un cadre commun pour coordonner les actions entre les Etats membres, les institutions européennes et les parties prenantes (OIV, OSE...). Il accompagne également la mise en oeuvre des textes contraignants, tels que la directive NIS 2. Par ailleurs, il a une forte valeur politique puisqu'il marque un engagement commun des Etats membres à coopérer davantage face aux crises cyber. 

"En situation de crise, l'improvisation n'a pas sa place, surtout dans le contexte géopolitique actuel, en constante évolution et incertain", a déclaré Henna Virkkunen, vice-présidente exécutive chargée de la souveraineté technologique, de la sécurité et de la démocratie. Dans ce cadre, le nouveau Blueprint précise les interactions entre les multiples parties prenantes : agences européennes, CSIRTs nationaux, EU-CyCLONe, CERT-EU, Europol, etc. Il met en œuvre une approche systémique du cycle de vie de la crise, depuis la détection précoce jusqu’à la résolution et la capitalisation post-crise.

L'Enisa, garante de l'application

L'Agence de l'Union européenne pour la cybersécurité (ENISA) a une place centrale dans la mise en oeuvre de cette recommandation. Elle sera ainsi chargée de renforcer la capacité opérationnelle des Etats, soutenir l'harmonisation des procédures standardisées entre les Etats membres, améliorer le partage d'informations sur les incidents, vulnérabilités et signaux, ainsi que développer une taxonomie commune pour les typologies d'incidents et la gestion de crise. 

Le prochain jalon sera la mise en application concrète du Blueprint lors de l’exercice Cyber Europe 2025. Cet exercice pan-européen permettra de tester les nouveaux mécanismes, d’ajuster les procédures et d’aligner les rôles institutionnels.