Directive REC : ce que les entités critiques doivent faire maintenant

En bref

La directive sur la résilience des entités critiques (REC, ou CER en anglais) — directive (UE) 2022/2557 — a remplacé les règles de 2008 sur les infrastructures critiques européennes. Entrée en vigueur le 16 janvier 2023, elle devait être transposée au plus tard le 17 octobre 2024. Là où NIS2 traite de la cybersécurité, REC couvre tout ce qui, par ailleurs, peut interrompre un service essentiel : sabotage, terrorisme, catastrophes naturelles, accidents et menaces hybrides — pour reprendre les termes de la directive, les risques « naturels ou d’origine humaine, accidentels ou intentionnels ».

Les États membres devaient recenser leurs entités critiques au plus tard le 17 juillet 2026 et le leur notifier dans un délai d’un mois. Dès la notification, le compte à rebours est lancé : 9 mois pour l’évaluation des risques, 10 mois avant que les mesures de résilience ne s’appliquent.

Pour un exploitant notifié en août 2026, cela signifie une évaluation des risques d’ici mai 2027 et des mesures de résilience en place à partir de juin 2027.

Pourquoi maintenant

Les menaces auxquelles répond la directive REC n’ont plus rien de théorique. En janvier 2026, un incendie criminel visant des câbles à haute tension à Berlin a privé d’électricité quelque 45 000 foyers et 2 200 entreprises, par endroits pendant plusieurs jours ; le parquet fédéral allemand enquête sur des soupçons de sabotage. Le service de renseignement néerlandais AIVD constate depuis l’été 2025 une hausse modérée des actes de sabotage et de leur préparation, ainsi que davantage de drones à proximité d’infrastructures vitales. En Belgique, la Sûreté de l’État (VSSE) a observé un pic des signalements de drones au-dessus d’aéroports, de sites militaires et de centrales nucléaires à l’automne 2025.

Qui est concerné

La directive REC couvre onze secteurs. Au sein de ceux-ci, chaque État membre désigne les entités dont une perturbation affecterait de manière importante un service essentiel :

• Énergie, transports, santé, eau potable et eaux résiduaires
• Secteur bancaire, infrastructures des marchés financiers et infrastructures numériques
• Administration publique, espace et production, transformation et distribution de denrées alimentaires

Le secteur bancaire, les infrastructures des marchés financiers et les infrastructures numériques sont dispensés de la plupart des obligations opérationnelles décrites ci-dessous, car DORA et NIS2 les couvrent déjà (article 8). Par ailleurs, au titre de NIS2, toute entité critique désignée est également considérée comme une entité essentielle, quelle que soit sa taille.

Ce qu’une entité critique doit faire

1. 01

   Évaluation des risques — dans les 9 mois

   Évaluer tous les risques pertinents pour le service : naturels, accidentels, hybrides et terroristes. La renouveler chaque fois que nécessaire, et au moins tous les quatre ans (article 12).

2. 02

   Mesures de résilience — au bout de 10 mois

   Des mesures visant à prévenir les incidents ; à assurer la protection physique — la directive cite « des clôtures, des barrières, des outils et procédures de surveillance des enceintes, et des équipements de détection et de contrôle des accès » ; à réagir aux incidents, à y résister et à en atténuer les conséquences ; à se rétablir ; à gérer la sécurité du personnel ; et à sensibiliser (article 13). Ces mesures sont consignées dans un plan de résilience, et un agent de liaison est désigné.

3. 03

   Vérification des antécédents

   Pour les personnes qui occupent des fonctions sensibles, ou qui ont accès à des locaux, à des informations ou à des systèmes de contrôle, les États membres peuvent prévoir une vérification des antécédents — au minimum l’identité et le casier judiciaire (article 14).

4. 04

   Notification d’incident — dans les 24 heures

   Les incidents qui perturbent de manière importante le service essentiel, ou qui pourraient le faire, sont notifiés à l’autorité compétente au plus tard 24 heures après en avoir pris connaissance, suivis le cas échéant d’un rapport détaillé dans un délai d’un mois (article 15).

5. 05

   Supervision

   Les autorités peuvent mener des inspections sur place et des audits, et ordonner des mesures correctives. Les sanctions doivent être « effectives, proportionnées et dissuasives » ; leur montant est fixé au niveau national (articles 21 et 22).

REC et NIS2 : les deux volets d’une même obligation

Où en est chaque pays

Ce que cela change en salle de contrôle

L’essentiel de la directive REC relève de la gouvernance : évaluations des risques, plans, personnes. Mais trois de ses obligations se jouent en salle de contrôle — et ce sont celles dont les exploitants ont le plus de mal à apporter la preuve.

• Détecter, pas seulement protéger. L’article 13 vise des équipements de détection et la surveillance des enceintes, pas seulement des clôtures. Un capteur que personne ne regarde, ce n’est pas de la détection : les alarmes des clôtures, des caméras, des drones et du SCADA doivent parvenir à quelqu’un qui peut agir.
• Savoir dans les 24 heures. Une notification initiale suppose de savoir rapidement ce qui s’est passé, où, ce qui est touché et depuis quand. Lorsque les alarmes d’intrusion, les alertes cyber et les remontées du terrain sont réparties entre des systèmes distincts, la première journée est consacrée à reconstituer la chronologie.
• Apporter la preuve. Les autorités de contrôle peuvent auditer et inspecter. Des mesures qui n’existent que dans un plan sont difficiles à prouver ; des mesures qui laissent une trace — alarmes, interventions, journaux de ronde, décisions — ne le sont pas.

Un logiciel ne rend pas un exploitant conforme. La directive REC est une obligation de gestion : l’évaluation des risques, le plan et les décisions restent les vôtres. Ce qu’une image partagée change, c’est votre capacité à détecter, à réagir et à notifier à temps — et à le prouver.