Infrastructures critiques : les Etats membres contre la Commission européenne

Les gouvernements nationaux de l’UE se sont opposés à plusieurs parties fondamentales du plan de la Commission européenne visant à renforcer la résilience des infrastructures critiques, selon des commentaires écrits consultés par EURACTIV.

La vulnérabilité des infrastructures critiques de l’UE a été mise en lumière à la fin du mois de septembre après la détection de la fuite de deux gazoducs Nord Stream dans la mer Baltique, un acte de sabotage délibéré que les agences de sécurité occidentales ont attribué à la Russie.

Quelques jours plus tard, le sabotage des câbles sous-tendant les services ferroviaires a perturbé le trafic dans plusieurs régions d’Allemagne, des épisodes qui ont suscité un sentiment d’urgence chez les dirigeants de l’UE, qui se sont depuis démenés pour sécuriser les gazoducs, les câbles sous-marins et les réseaux de transport.

La présidente de la Commission, Ursula von der Leyen, a présenté le 5 octobre un plan en cinq points visant à sécuriser les infrastructures critiques de l’UE, qui prévoit notamment la réalisation de tests de résistance et la mise en œuvre rapide de la directive sur la résilience des entités critiques (CER).

Cette proposition a été formulée sous forme de recommandation aux pays de l’UE. Bien que la plupart des États membres aient exprimé leur soutien à l’initiative globale, les critiques n’ont pas manqué contre le projet de la Commission, d’après les commentaires écrits.

Champ d’application

La principale critique à l’égard du texte de la Commission est qu’il va sensiblement au-delà de ce qui a déjà été convenu dans la directive CER, comme l’ont fait remarquer l’Allemagne, la France, la Suède et la Slovénie.

« Toute obligation de la recommandation du Conseil allant au-delà de l’étendue des mesures spécifiées dans la directive CER est rejetée. La recommandation devrait uniquement se concentrer sur l’avancement des mesures énoncées dans la directive CER, et non les étendre », a commenté l’Allemagne.

La France et les Pays-Bas ont également réitéré que la directive CER ne couvre pas les centrales nucléaires.

Paris a fait remarquer que la question des réponses communes aux incidents liés aux infrastructures critiques devrait être volontaire. De même, La Haye a indiqué que la Commission ne devrait pas donner la priorité aux infrastructures transfrontalières, comme l’a proposé la Commission, car la décision devrait être laissée aux pays.

La France et l’Autriche considèrent comme un défi la mise en œuvre rapide de la directive révisée sur la sécurité des réseaux et des systèmes d’information (NIS2). Celle-ci introduira en effet des obligations pour les entités privées qui ne pourront être appliquées sans base juridique.

Capacité

En ce qui concerne la mise en œuvre anticipée des directives CER et NIS2, dont l’entrée en vigueur est légalement prévue en 2024, les Pays-Bas et l’Allemagne ont indiqué qu’elle pourrait ne pas être réaliste et que les autorités nationales font ce qui est possible.

La Hongrie a demandé à la Commission de publier et d’adopter rapidement la législation secondaire relative aux directives NIS2 et CER. La Croatie estime que le renforcement des infrastructures critiques nationales et européennes devrait être financé par le budget de l’UE, avec un nouveau mécanisme financier destiné à soutenir les plus petits États membres.

Infrastructures sous-marines

Une critique notable de la France concerne le fait que la directive CER ne couvre pas les infrastructures maritimes, mais uniquement les infrastructures terrestres, pour lesquelles les câbles internet et les gazoducs sont sous-marins et hors des territoires nationaux.

La Finlande a souligné la nécessité de s’appuyer sur des fournisseurs de confiance pour les systèmes de câbles sous-marins. Un grand nombre de ces câbles étant en fin de vie, des investissements importants devraient être envisagés pour assurer des connexions mondiales.

Il y a deux semaines, EURACTIV a révélé que la Commission envisageait de financer un câble internet reliant la Finlande au Japon via l’Arctique — un projet porté par la société finlandaise Cinia.

L’Irlande a quant à elle fait état des défis que représente pour elle la surveillance des infrastructures sous-marines, en raison de la grande taille de ses eaux territoriales. Elle a également indiqué que les câbles sont pour la plupart privés et que son rôle géographique est celui de passerelle entre l’UE et les États-Unis pour les transferts de données.

Valeur ajoutée

La réponse de la Commission aux infrastructures importantes devrait être coordonnée dans le cadre du dispositif intégré de l’UE pour une réaction au niveau politique dans les situations de crise (IPCR). L’Allemagne estime qu’il n’est pas évident de déterminer si le dispositif IPCR doit constituer une plateforme de coordination permanente ou seulement en cas de perturbations importantes.

Par ailleurs, la Commission a proposé l’élaboration d’un nouveau plan directeur relatif aux incidents et aux crises affectant les infrastructures critiques afin de définir comment l’IPCR coordonnerait sa réponse. Berlin, en revanche, a jugé inacceptable que la Commission puisse déterminer unilatéralement la coopération entre les États membres, estimant que cette décision relève du Conseil.

La France, les Pays-Bas, la Finlande, la Slovaquie, l’Autriche et la Pologne ont tous demandé davantage de clarté concernant le plan directeur, notamment sur sa valeur ajoutée par rapport aux initiatives existantes telles que le protocole opérationnel contre les menaces hybrides (« EU Playbook »).

Partage de l’information

Un autre sujet sensible pour les gouvernements nationaux était le partage d’informations sensibles. L’Italie, les Pays-Bas, la Pologne, la Suède, la Slovaquie et la France ont tous exprimé leur inquiétude quant au partage de renseignements sur les infrastructures critiques. L’interception de ces renseignements pourrait en effet avoir des conséquences désastreuses.

Paris et Bratislava ont exprimé leur réticence à l’égard du partage d’informations sur les vulnérabilités et les risques liés aux câbles sous-marins. En outre, la France a insisté pour qu’une distinction soit faite entre l’interruption d’un ou deux câbles, dont les conséquences ne sont que mineures, et une coupure massive aux conséquences graves.

Tests de résistance

Le Danemark, l’Irlande, la Pologne et les Pays-Bas ont demandé à la Commission de préciser la nature de ces tests de résistance. Il semble y avoir un consensus parmi les États membres sur le caractère volontaire de ces tests de résistance.

Boîte à outils 5G

Le projet de recommandation exhorte les États membres à mettre en œuvre la boîte à outils de l’UE pour la sécurité des réseaux 5G (« EU 5G Toolbox »), une initiative visant à atteindre les fournisseurs d’actifs critiques considérés à haut risque, tels que Huawei.

L’Irlande et la Suède ont réitéré la nature facultative de la boîte à outils, tandis que le Danemark a précisé qu’une diversification stratégique était nécessaire avant une mise en œuvre complète.