Résilience des Entités Critiques, la nouvelle frontière de la surveillance des risques

D'ici le 17 juillet 2026, les autorités sectorielles belges devaient désigner les entités critiques en vertu de la directive (UE) 2022/2557 sur la résilience des entités critiques, avec une notification formelle à ces entités prévue un mois plus tard. Pour les conseils d'administration des secteurs stratégiques, tels que l'énergie, la banque ou les infrastructures numériques, la question n'est plus de savoir s'ils seront affectés, mais s'ils sont prêts à assumer la surveillance que cela exige. 

La résilience des services essentiels, et l'impact potentiel sur la société en cas de perturbation, préoccupent depuis longtemps les décideurs politiques. Pourtant, la manière dont cette préoccupation est formulée a considérablement évolué au cours des deux dernières décennies. La transition de la directive européenne sur les infrastructures critiques de 2008 à la directive CER est plus qu'une simple mise à jour réglementaire : elle marque un changement conceptuel plus large dans la manière dont le risque, la perturbation et la continuité des activités sont compris au sein de l'UE. 

Pour les entreprises opérant dans des secteurs stratégiques, dont beaucoup sont cotées, cette évolution soulève une question importante : la résilience, longtemps considérée principalement comme une question opérationnelle, devient-elle désormais une question de gouvernance ? 

La directive de 2008 est née dans un contexte dominé par les préoccupations liées au terrorisme et à la protection des infrastructures physiques. Sa logique était claire : certains actifs, tels que les centrales électriques, les réseaux énergétiques et les systèmes de transport, étaient critiques, et leur perturbation pouvait avoir de graves conséquences transfrontalières. L'objectif était donc d'identifier ces actifs au niveau européen et d'améliorer leur protection. 

Avec le temps, cependant, ce cadre s'est révélé trop étroit à mesure que l'économie évoluait. Les services essentiels dépendent désormais des réseaux numériques, des infrastructures financières et des systèmes de santé, et le paysage des menaces s'est étendu bien au-delà du terrorisme. Il est également devenu clair que protéger les composants individuels de l'infrastructure ne garantit pas nécessairement la continuité des services qu'ils soutiennent. Un service peut échouer en raison de faiblesses organisationnelles, de perturbations de la chaîne d'approvisionnement ou d'effets en cascade entre secteurs, même lorsqu'aucun élément unique de « infrastructure critique » n'est directement attaqué. Le cadre existant portait sur la protection des actifs, et non sur la résilience des services. C'est ce fossé que la directive CER visait à combler. 

La directive CER déplace le principe d'organisation des infrastructures vers les entités. Plutôt que de définir une catégorie fermée de « services essentiels », elle établit un mécanisme par lequel les États membres identifient des entités critiques : des organisations dans onze secteurs prédéfinis, tels que l'énergie, la banque, les transports, la santé, les infrastructures numériques, dont les services sont jugés essentiels et dont la perturbation aurait un impact « significatif ». 

La directive évite délibérément de fixer les « services essentiels » comme une catégorie juridique stricte. Elle traite plutôt le terme comme un point de référence fonctionnel : des services nécessaires à une activité sociétale ou économique vitale, évalués selon le paysage de risque propre à chaque État membre plutôt que définis une bonne fois pour toutes. Cette flexibilité est utile, mais elle signifie aussi qu'une entreprise ne peut pas déterminer son propre champ d'application simplement en lisant la directive. Cela dépend de la manière dont les autorités nationales appliquent les critères de désignation. 

Ces critères sont basés sur l'impact plutôt que sur les actifs. Les États membres doivent peser, entre autres choses : le nombre d'utilisateurs dépendant du service ; combien d’autres secteurs en dépendent ; l'importance de l'entité sur le marché et la disponibilité d'alternatives ; la portée géographique et la durée probable de la perturbation ; ainsi que les interdépendances avec d'autres secteurs et systèmes. L'analyse est systémique plutôt que statique. Ce qui importe n'est pas de savoir si un actif est important en soi, mais si la perturbation du service qu'il soutient aurait des répercussions significatives dans l'économie et la société. 

Ce changement dans la logique des désignations reflète un changement plus profond dans la philosophie réglementaire. Alors que le cadre de 2008 visait à prévenir ou atténuer des menaces spécifiques, la directive CER adopte une approche « tous risques » : elle suppose que des perturbations se produiront et se concentre sur la capacité d'une entité à les prévenir, à les absorber, à s'adapter et à s'en remettre. Les entités critiques doivent évaluer les risques, mettre en place des mesures techniques et organisationnelles appropriées, assurer la continuité des activités et signaler les incidents majeurs aux autorités compétentes. 

La résilience, en ce sens, n'est pas un état qu'une entreprise atteint une seule fois. C'est une capacité qui doit être continuellement développée et intégrée dans l'organisation. 

La loi belge transposant la directive CER a été adoptée le 19 décembre 2025 et publiée au Journal officiel belge le 19 janvier 2026, abrogeant la précédente loi de 2011 sur la protection des infrastructures critiques. Elle s'applique à onze secteurs, de l'énergie et des transports à la banque, aux infrastructures numériques, à l'eau, à la santé, à l'espace et à la production alimentaire. Chaque secteur est supervisé par sa propre autorité sectorielle et exige que l'autorité nationale compétente adopte une stratégie de résilience fixant les priorités du pays et la coordination avec le NIS2. 

Le calendrier est serré. Les autorités sectorielles avaient jusqu'au 17 juillet 2026 pour désigner les entités critiques dans leur secteur ; la notification formelle à ces entités devait être effectuée dans un mois, au 17 août 2026. À partir de la notification, les entités désignées disposent de délais courts : six mois pour nommer un point de contact, neuf mois pour réaliser une analyse des risques, et dix mois pour mettre en œuvre les mesures de leur plan de résilience. Les entités déjà désignées comme infrastructures critiques sous le régime de 2011 sont automatiquement transférées dans le nouveau statut à partir du 17 juillet 2026, tout en restant soumises à certaines obligations transitoires de l'ancienne loi jusqu'au 17 mai 2027. La phase législative est désormais terminée. Il ne reste que l’identification et la désignation, l'analyse des risques et la planification de la résilience, le tout dans le cadre de ces délais. 

Le non-respect n'est pas un risque documentaire. Les amendes administratives peuvent atteindre 125 000 € par infraction, et des sanctions pénales, y compris l'emprisonnement, s'appliquent en cas de violations graves des mesures internes de résilience. Les inspecteurs sectoriels disposent également de larges pouvoirs de contrôle, y compris un accès non annoncé aux locaux et documents d'une entité, y compris le plan de résilience lui-même.