Règlement (UE) 2025/38 du Parlement européen et du Conseil du 19 décembre 2024 établissant des mesures destinées à renforcer la solidarité et les capacités dans l’Union afin de détecter les cybermenaces et incidents, de s’y préparer et d’y réagir et modifiant le règlement (UE) 2021/694 (règlement sur la cybersolidarité)

1 Le présent règlement établit des mesures destinées à renforcer les capacités dans l’Union afin de détecter les cybermenaces et incidents, de s’y préparer et d’y réagir, en mettant en place: a) un réseau paneuropéen de cyberpôles (ci-après dénommé «système européen d’alerte en matière de cybersécurité») dans le but de mettre en place et de développer des capacités de détection coordonnée et d’appréciation commune de la situation; b) un mécanisme d’urgence dans le domaine de la cybersécurité pour aider les États membres à se préparer aux incidents de cybersécurité importants et aux incidents de cybersécurité majeurs, à y réagir, à en atténuer les effets et à amorcer le rétablissement à la suite de tels incidents, et pour aider d’autres utilisateurs à réagir aux incidents de cybersécurité importants et aux incidents de cybersécurité assimilés à des incidents majeurs; c) un mécanisme européen d’analyse des incidents de cybersécurité afin d’analyser et d’évaluer les incidents de cybersécurité importants ou incidents de cybersécurité majeurs.

2 Le présent règlement poursuit les objectifs généraux consistant à renforcer la position concurrentielle de l’industrie et des services dans l’ensemble de l’économie numérique de l’Union, y compris les microentreprises et les petites et moyennes entreprises ainsi que les jeunes pousses, et à contribuer à la souveraineté technologique et à l’autonomie stratégique ouverte de l’Union dans le domaine de la cybersécurité, notamment en stimulant l’innovation dans le marché unique numérique. Il poursuit ces objectifs en renforçant la solidarité au niveau de l’Union, en consolidant l’écosystème de cybersécurité, en accroissant la cyberrésilience des États membres et en développant les aptitudes, le savoir-faire, les capacités et les compétences de la main-d’œuvre dans le domaine de la cybersécurité.

3 La réalisation des objectifs généraux visés au paragraphe 2 passe par celle des objectifs spécifiques suivants: a) renforcer les capacités communes de détection coordonnée au niveau de l’Union ainsi que l’appréciation commune de la situation concernant les cybermenaces et les incidents; b) améliorer la préparation des entités actives dans des secteurs hautement critiques ou des entités actives dans d’autres secteurs critiques dans l’ensemble de l’Union et renforcer la solidarité en développant des tests de préparation coordonnés et en accroissant les capacités de réaction et de rétablissement pour faire face aux incidents de cybersécurité importants, aux incidents de cybersécurité majeurs ou aux incidents de cybersécurité assimilés à des incidents majeurs, y compris en permettant aux pays tiers associés au programme pour une Europe numérique de bénéficier du soutien prévu par l’Union en ce qui concerne la réaction aux incidents de cybersécurité; c) augmenter la résilience de l’Union et contribuer à une réaction aux incidents efficace en analysant et en évaluant les incidents de cybersécurité importants ou les incidents de cybersécurité majeurs, y compris en tirant les enseignements de l’expérience acquise et, au besoin, en formulant des recommandations.

4 Les actions au titre du présent règlement sont menées dans le respect des compétences des États membres et complètent les activités réalisées par le réseau des CSIRT, EU-CyCLONe et le groupe de coopération SRI.

5 Le présent règlement est sans préjudice des fonctions essentielles des États membres, notamment celles d’assurer l’intégrité territoriale de l’État, de maintenir l’ordre public et de préserver la sécurité nationale. En particulier, la sécurité nationale reste de la seule responsabilité de chaque État membre.

6 Le partage ou l’échange d’informations au titre du présent règlement considérées comme confidentielles en application de la réglementation nationale ou de l’Union se limite au minimum nécessaire et est proportionné à l’objectif de ce partage ou de cet échange. Un tel partage ou échange d’informations préserve la confidentialité des informations concernées et protège la sécurité et les intérêts commerciaux des entités concernées. Il n’implique pas la fourniture d’informations dont la divulgation serait contraire aux intérêts essentiels des États membres en matière de sécurité nationale, de sécurité publique ou de défense.

Aux fins du présent règlement, on entend par: 1) «cyberpôle transfrontière»: une plateforme multinationale, établie par un accord de consortium écrit, qui rassemble, au sein d’une structure de réseau coordonnée, les cyberpôles nationaux d’au moins trois États membres, et qui est conçue pour améliorer le suivi, la détection et l’analyse des cybermenaces pour prévenir les incidents et pour soutenir la production de renseignements sur les cybermenaces, notamment par l’échange de données et d’informations pertinentes, le cas échéant anonymisées, ainsi que par le partage d’outils de pointe et le développement conjoint de capacités de détection, d’analyse, de prévention et de protection en matière de cybersécurité dans un environnement de confiance; 2) «consortium d’hébergement»: un consortium formé par des États membres participants, qui ont accepté de mettre en place un cyberpôle transfrontière et de contribuer à l’acquisition des outils, des infrastructures ou des services nécessaires à ce cyberpôle, ainsi qu’au fonctionnement de celui-ci; 3) «CSIRT»: un CSIRT désigné ou établi conformément à l’article 10 de la directive (UE) 2022/2555; 4) «entité»: une entité au sens de l’article 6, point 38), de la directive (UE) 2022/2555; 5) «entités actives dans des secteurs hautement critiques»: les types d’entité énumérés à l’annexe I de la directive (UE) 2022/2555; 6) «entités actives dans d’autres secteurs critiques»: les types d’entité énumérés à l’annexe II de la directive (UE) 2022/2555; 7) «risque»: un risque au sens de l’article 6, point 9), de la directive (UE) 2022/2555; 8) «cybermenace»: une cybermenace au sens de l’article 2, point 8), du règlement (UE) 2019/881; 9) «incident»: un incident au sens de l’article 6, point 6), de la directive (UE) 2022/2555; 10) «incident de cybersécurité important»: un incident de cybersécurité répondant aux critères énoncés à l’article 23, paragraphe 3, de la directive (UE) 2022/2555; 11) «incident majeur»: un incident majeur tel qu’il est défini à l’article 3, point 8), du règlement (UE, Euratom) 2023/2841 du Parlement européen et du Conseil ; 12) «incident de cybersécurité majeur»: un incident de cybersécurité majeur au sens de l’article 6, point 7), de la directive (UE) 2022/2555; 13) «incident de cybersécurité assimilé à un incident majeur»: dans le cas des institutions, organes et organismes de l’Union, un incident majeur et, dans le cas des pays tiers associés au programme pour une Europe numérique, un incident qui provoque un niveau de perturbation supérieur à la capacité d’un pays tiers associé au programme pour une Europe numérique à y répondre; 14) «pays tiers associé au programme pour une Europe numérique»: un pays tiers qui est partie à un accord avec l’Union permettant sa participation au programme pour une Europe numérique conformément à l’article 10 du règlement (UE) 2021/694; 15) «pouvoir adjudicateur»: la Commission ou, si le fonctionnement et l’administration de la réserve de cybersécurité de l’Union ont été confiés à l’ENISA en vertu de l’article 14, paragraphe 5, l’ENISA; 16) «fournisseur de services de sécurité gérés»: un fournisseur de services de sécurité gérés au sens de l’article 6, point 40), de la directive (UE) 2022/2555; 17) «fournisseurs de services de sécurité gérés de confiance»: les fournisseurs de services de sécurité gérés sélectionnés en vue d’être inclus dans la réserve de cybersécurité de l’Union conformément à l’article 17.

1 Réseau paneuropéen d’infrastructures composé de cyberpôles nationaux et de cyberpôles transfrontières y adhérant sur une base volontaire, le système européen d’alerte en matière de cybersécurité est mis en place pour soutenir le développement de capacités avancées permettant à l’Union de renforcer les capacités de détection, d’analyse et de traitement des données en rapport avec les cybermenaces et la prévention des incidents dans l’Union.

2 Le système européen d’alerte en matière de cybersécurité: a) contribue à améliorer la protection et les réactions aux cybermenaces en soutenant les entités concernées, en particulier les CSIRT, le réseau des CSIRT, EU-CyCLONe et les autorités compétentes désignées ou établies en vertu de l’article 8, paragraphe 1, de la directive (UE) 2022/2555, en coopérant avec elles et en renforçant leurs capacités; b) met en commun les données et informations pertinentes sur les cybermenaces et incidents provenant de différentes sources au sein des cyberpôles transfrontières et partage les informations analysées ou agrégées par l’intermédiaire des cyberpôles transfrontières, le cas échéant avec le réseau des CSIRT; c) collecte et soutient la production d’informations exploitables de haute qualité et de renseignements sur les cybermenaces, en utilisant des outils de pointe et des technologies avancées, et partage ces informations et renseignements sur les cybermenaces; d) contribue à améliorer la détection coordonnée des cybermenaces et l’appréciation commune de la situation dans l’ensemble de l’Union, et participe à l’émission d’alertes, y compris, le cas échéant, en formulant des recommandations concrètes à l’intention des entités; e) fournit des services et des activités à la communauté de la cybersécurité dans l’Union, y compris en contribuant au développement d’outils et de technologies de pointe dans les domaines de l’intelligence artificielle et de l’analyse de données.

3 Les actions mettant en œuvre le système européen d’alerte en matière de cybersécurité sont soutenues par un financement au titre du programme pour une Europe numérique et réalisées conformément au règlement (UE) 2021/694, et notamment à son objectif spécifique 3.

1 Lorsqu’un État membre décide de participer au système européen d’alerte en matière de cybersécurité, il désigne ou, le cas échéant, met en place un cyberpôle national aux fins du présent règlement.

2 Un cyberpôle national est une entité unique agissant sous l’autorité d’un État membre. Il peut s’agir d’un CSIRT ou, le cas échéant, d’une autorité nationale de gestion des crises cyber ou autre autorité compétente désignée ou établie en vertu de l’article 8, paragraphe 1, de la directive (UE) 2022/2555, ou d’une autre entité. Le cyberpôle national: a) peut servir de point de référence et d’accès à d’autres organisations publiques et privées au niveau national pour collecter et analyser des informations sur les cybermenaces et incidents et contribuer aux travaux d’un cyberpôle transfrontière, tel que visé à l’article 5; et b) peut détecter, agréger et analyser des données et des informations liées aux cybermenaces et incidents, tel que le renseignement sur les cybermenaces, en utilisant notamment des technologies de pointe, dans le but de prévenir les incidents.

3 Dans le cadre des fonctions visées au paragraphe 2 du présent article, les cyberpôles nationaux peuvent coopérer avec des entités du secteur privé pour échanger des données et des informations pertinentes aux fins de la détection et de la prévention des cybermenaces et incidents, y compris avec les communautés sectorielles et transsectorielles d’entités essentielles et importantes visées à l’article 3 de la directive (UE) 2022/2555. Le cas échéant et conformément au droit de l’Union et au droit national, les informations demandées ou reçues par les cyberpôles nationaux peuvent comprendre des données de télémétrie, de capteurs et de connexion.

4 Un État membre sélectionné en vertu de l’article 9, paragraphe 1, s’engage à demander que son cyberpôle participe à un cyberpôle transfrontière.

1 Lorsqu’au moins trois États membres s’engagent à veiller à ce que leurs cyberpôles nationaux collaborent pour coordonner leurs activités de détection des incidents de cybersécurité et de surveillance des cybermenaces, ces États membres peuvent créer un consortium d’hébergement aux fins du présent règlement.

2 Un consortium d’hébergement est composé d’au moins trois États membres qui ont accepté de mettre en place un cyberpôle transfrontière et de contribuer à l’acquisition des outils, infrastructures ou services nécessaires à celui-ci ainsi qu’à son fonctionnement, conformément au paragraphe 4.

3 Lorsqu’un consortium d’hébergement est sélectionné conformément à l’article 9, paragraphe 3, ses membres concluent un accord de consortium écrit qui: a) définit les modalités internes de mise en œuvre de la convention d’hébergement et d’utilisation conformément à l’article 9, paragraphe 3; b) met en place le cyberpôle transfrontière du consortium d’hébergement; et c) comprend les clauses spécifiques requises en vertu de l’article 6, paragraphes 1 et 2.

4 Un cyberpôle transfrontière est une plateforme multinationale établie par un accord de consortium écrit, tel que visé au paragraphe 3. Il réunit au sein d’une structure de réseau coordonnée les cyberpôles nationaux des États membres du consortium d’accueil. Il est conçu pour améliorer la surveillance, la détection et l’analyse des cybermenaces, pour prévenir les incidents et pour contribuer à l’obtention de renseignements sur les cybermenaces, notamment par l’échange de données et d’informations pertinentes, le cas échéant anonymisées, ainsi que par le partage d’outils de pointe et le développement conjoint de capacités de détection, d’analyse, de prévention et de protection en matière de cybersécurité dans un environnement de confiance.

5 Un cyberpôle transfrontière est représenté à des fins juridiques par un membre du consortium d’hébergement correspondant agissant en tant que coordinateur, ou par le consortium d’hébergement s’il est doté de la personnalité juridique. La responsabilité de la conformité du cyberpôle transfrontière au présent règlement et à la convention d’hébergement et d’utilisation est attribuée dans l’accord de consortium écrit visé au paragraphe 3.

6 Un État membre peut rejoindre un consortium d’hébergement existant avec l’accord de ses membres. L’accord de consortium écrit visé au paragraphe 3 et la convention d’hébergement et d’utilisation sont modifiés en conséquence. Cela n’affecte pas les droits de propriété du Centre de compétences européen pour l’industrie, les technologies et la recherche en matière de cybersécurité (ECCC) sur les outils, infrastructures ou services déjà acquis conjointement avec ce consortium d’hébergement.

1 Les membres d’un consortium d’hébergement veillent à ce que leurs cyberpôles nationaux partagent, conformément à l’accord de consortium écrit visé à l’article 5, paragraphe 3, des informations pertinentes, le cas échéant anonymisées, telles que des informations relatives aux cybermenaces, aux incidents évités de justesse, aux vulnérabilités, aux techniques et procédures, aux indicateurs de compromission, aux tactiques adverses, aux informations spécifiques aux acteurs de la menace, aux alertes de cybersécurité et aux recommandations concernant la configuration des outils de cybersécurité pour détecter les cyberattaques, eau sein du cyberpôle transfrontière où ce partage d’informations: a) favorise et améliore la détection des cybermenaces et renforce les capacités du réseau des CSIRT à prévenir les incidents et à y réagir ou à en atténuer les effets; b) renforce le niveau de cybersécurité, par exemple en sensibilisant aux cybermenaces, en limitant ou en empêchant leur capacité de se propager, en soutenant une série de capacités de défense, en remédiant aux vulnérabilités et en les révélant, en mettant en œuvre des techniques de détection, d’endiguement et de prévention des menaces, des stratégies d’atténuation, des étapes de réaction et de rétablissement, ou en encourageant la recherche collaborative en matière de menaces entre les entités publiques et privées.

2 L’accord de consortium écrit visé à l’article 5, paragraphe 3, établit: a) un engagement de partager, entre les membres du consortium d’hébergement, les informations visées au paragraphe 1, et les conditions dans lesquelles ces informations doivent être partagées; b) un cadre de gouvernance précisant et encourageant le partage par tous les participants des informations pertinentes, le cas échéant anonymisées, visées au paragraphe 1; c) des objectifs pour la contribution au développement d’outils et de technologies de pointe, notamment dans les domaines de l’intelligence artificielle et de l’analyse de données. L’accord de consortium écrit peut préciser que les informations visées au paragraphe 1 sont à partager conformément au droit de l’Union et au droit national.

3 Les cyberpôles transfrontières concluent entre eux des accords de coopération précisant les principes d’interopérabilité et de partage des informations entre les cyberpôles transfrontières. Ils informent la Commission des accords de coopération conclus.

4 Le partage d’informations visé au paragraphe 1 entre les cyberpôles transfrontières est assuré par un niveau élevé d’interopérabilité. Afin de soutenir cette interopérabilité, l’ENISA, en étroite consultation avec la Commission, publie, sans retard injustifié et, en tout état de cause, au plus tard le 5 février 2026, des lignes directrices en matière d’interopérabilité précisant notamment les formats et protocoles d’échange d’informations, en tenant compte des normes et bonnes pratiques internationales, ainsi que le fonctionnement de tout cyberpôle transfrontière établi. Les exigences d’interopérabilité prévues dans les accords de coopération des cyberpôles transfrontières sont fondées sur les lignes directrices publiées par l’ENISA.

1 Les cyberpôles transfrontières et le réseau des CSIRT coopèrent étroitement, notamment à des fins de partage des informations. À cette fin, ils conviennent des modalités procédurales relatives à la coopération et au partage des informations pertinentes et, sans préjudice du paragraphe 2, aux types d’informations à partager.

2 Lorsque les cyberpôles transfrontières obtiennent des informations relatives à un incident de cybersécurité majeur potentiel ou en cours, ils veillent à ce que des informations pertinentes ainsi que des alertes rapides soient fournies sans retard injustifié aux autorités des États membres et à la Commission par l’intermédiaire du réseau EU-CyCLONe et du réseau des CSIRT aux fins d’une connaissance commune de la situation.

1 Les États membres participant au système européen d’alerte en matière de cybersécurité garantissent un niveau élevé de cybersécurité, y compris en matière de confidentialité et de sécurité des données, ainsi que la sécurité physique du système européen d’alerte en matière de cybersécurité, et veillent également à ce que le réseau soit géré et contrôlé de manière adéquate de sorte qu’il soit possible de le protéger contre les menaces et d’assurer sa sécurité et celle des systèmes, y compris celle des données et des informations partagées par l’intermédiaire du réseau.

2 Les États membres participant au système européen d’alerte en matière de cybersécurité veillent à ce que le partage d’informations visé à l’article 6, paragraphe 1, au sein du système européen d’alerte en matière de cybersécurité avec toute entité autre qu’une autorité ou un organisme public d’un État membre ne porte pas atteinte aux intérêts de l’Union ou des États membres en matière de sécurité.

1 À la suite d’un appel à manifestation d’intérêt pour les États membres qui ont l’intention de participer au système européen d’alerte en matière de cybersécurité, l’ECCC sélectionne les États membres pour participer avec l’ECCC à une acquisition conjointe d’outils, d’infrastructures ou de services en vue de mettre en place ou de renforcer les capacités des pôles nationaux de cybersécurité désignés ou établis en vertu de l’article 4, paragraphe 1. L’ECCC peut octroyer aux États membres sélectionnés des subventions destinées à financer le fonctionnement de tels outils, infrastructures ou services. La contribution financière de l’Union couvre jusqu’à 50 % des coûts d’acquisition des outils, infrastructures ou services et jusqu’à 50 % des coûts opérationnels. Les États membres couvrent les coûts restants. Avant de lancer la procédure d’acquisition des outils, infrastructures ou services, l’ECCC et les État membres sélectionnés concluent un accord d’hébergement et d’utilisation qui régit l’utilisation des outils, infrastructures ou services.

2 Lorsque le cyberpôle d’un État membre ne participe pas à un cyberpôle transfrontière dans un délai de deux ans à compter de la date à laquelle les outils, infrastructures et services ont été acquis ou de la date à laquelle il a reçu une subvention, la date la plus proche étant retenue, l’État membre ne peut prétendre à un soutien supplémentaire de l’Union au titre du présent chapitre tant qu’il n’a pas adhéré à un cyberpôle transfrontière.

3 À la suite d’un appel à manifestation d’intérêt, un consortium d’hébergement est sélectionné par l’ECCC pour participer à une acquisition conjointe d’outils, d’infrastructures ou de services avec ce Centre. L’ECCC peut octroyer au consortium d’hébergement une subvention destinée à financer le fonctionnement des outils, infrastructures et services. La contribution financière de l’Union couvre jusqu’à 75 % des coûts d’acquisition des outils, infrastructures et services, et jusqu’à 50 % des coûts opérationnels. Le consortium d’hébergement couvre les coûts restants. Avant de lancer la procédure d’acquisition des outils, infrastructures ou services, l’ECCC et l’État membre concluent un accord d’hébergement et d’utilisation qui régit l’utilisation des outils, infrastructures ou services.

4 L’ECCC élabore, au moins tous les deux ans, une cartographie des outils, infrastructures ou services nécessaires et de qualité suffisante pour mettre en place ou renforcer les capacités des cyberpôles nationaux et les cyberpôles transfrontières, ainsi que leur disponibilité, y compris auprès d’entités juridiques établies ou réputées établies dans les États membres et contrôlées par des États membres ou par des ressortissants des États membres. Lors de l’élaboration de la cartographie, l’ECCC consulte le réseau des CSIRT, tout cyberpôle transfrontière existant, l’ENISA et la Commission.

1 Un mécanisme d’urgence dans le domaine de la cybersécurité est mis en place afin de favoriser l’amélioration de la résilience de l’Union face aux cybermenaces et d’anticiper et d’atténuer, dans un esprit de solidarité, les effets à court terme d’incidents de cybersécurité importants, d’incidents de cybersécurité majeurs ou d’incidents de cybersécurité assimilés à des incidents majeurs.

2 Dans le cas des États membres, les actions au titre du mécanisme d’urgence dans le domaine de la cybersécurité sont menées sur demande et complètent les efforts et actions des États membres pour se préparer aux incidents, y réagir et s’en remettre.

3 Les actions mettant en œuvre le mécanisme d’urgence dans le domaine de la cybersécurité sont soutenues par un financement au titre du programme pour une Europe numérique et sont mises en œuvre conformément au règlement (UE) 2021/694, et notamment à son objectif spécifique 3.

4 Les actions relevant du mécanisme d’urgence dans le domaine de la cybersécurité sont mises en œuvre principalement via l’ECCC, conformément au règlement (UE) 2021/887. Toutefois, les actions mettant en œuvre la réserve de cybersécurité de l’Union visées à l’article 11, point b), du présent règlement sont mises en œuvre par la Commission et l’ENISA.

Le mécanisme d’urgence dans le domaine de la cybersécurité soutient les types de mesures suivantes: a) actions de préparation, à savoir: i) les tests de préparation coordonnés des entités actives dans des secteurs hautement critiques dans l’ensemble de l’Union, comme indiqué à l’article 12; ii) d’autres actions de préparation pour les entités actives dans des secteurs critiques ou pour les entités actives dans des secteurs hautement critiques, comme précisé à l’article 13; b) les mesures prévues par les fournisseurs de services de sécurité gérés de confiance participant à la réserve de cybersécurité de l’Union établie en vertu de l’article 14 qui soutiennent la réaction aux incidents de cybersécurité importants, aux incidents de cybersécurité majeurs ou aux incidents de cybersécurité assimilés à des incidents majeurs et permettent d’amorcer le rétablissement suite à ces incidents; c) les mesures de soutien à l’assistance mutuelle visées à l’article 18.

1 Le mécanisme d’urgence dans le domaine de la cybersécurité soutient les tests volontaires de préparation coordonnés des entités actives dans des secteurs hautement critiques.

2 Les tests de préparation coordonnés peuvent consister en des actions de préparation, telles que des tests de pénétration, et une évaluation des menaces.

3 Le soutien aux actions de préparation au titre du présent article est fourni aux États membres principalement sous la forme de subventions et sous réserve des conditions prévues dans les programmes de travail pertinents visés à l’article 24 du règlement (UE) 2021/694.

4 Aux fins de contribuer aux tests de préparation coordonnés des entités visés à l’article 11, point a) i), du présent règlement dans l’ensemble de l’Union, la Commission, après consultation du groupe de coopération SRI et de l’ENISA, du réseau EU-CyCLONe et de l’ENISA, recense les secteurs ou sous-secteurs concernés, dans les secteurs hautement critiques énumérés à l’annexe I de la directive (UE) 2022/2555, pour lesquels un appel à propositions en vue de l’octroi de subventions peut être lancé. Les États membres choisissent de participer ou non à ces appels à propositions.

5 Lorsqu’elle détermine les secteurs ou sous-secteurs visés au paragraphe 4, la Commission tient compte de l’évaluation des risques et des tests de résilience coordonnés au niveau de l’Union et de leurs résultats.

6 Le groupe de coopération SRI, en coopération avec la Commission, le haut représentant de l’Union pour les affaires étrangères et la politique de sécurité (ci-après dénommé «haut représentant») et l’ENISA, et, dans le cadre de son mandat, EU-CyCLONe, élaborent des scénarios de risque et des méthodes de risque communs pour les tests de préparation coordonnés visés à l’article 11, point a) i), et, le cas échéant, pour d’autres actions de préparation visées au point a) ii) dudit article.

7 Lorsqu’une entité évoluant dans un secteur hautement critique participe volontairement à des tests de préparation coordonnés et que ces tests donnent lieu à des recommandations de mesures spécifiques que l’entité participante pourrait intégrer dans un plan de mesures correctives, l’autorité de l’État membre responsable des tests de préparation coordonnées examine, le cas échéant, le suivi de ces mesures par les entités participantes en vue de renforcer la préparation.

1 Le mécanisme d’urgence en matière de cybersécurité soutient les actions de préparation qui ne sont pas couvertes par l’article 12. Ces actions comprennent des actions de préparation pour les entités évoluant dans des secteurs non recensés pour des tests de préparation coordonnés conformément à l’article 12. Ces actions peuvent avoir pour finalité de promouvoir la surveillance de la vulnérabilité, le suivi des risques, les exercices et les formations.

2 Le soutien aux actions de préparation au titre du présent article est fourni aux États membres sur demande, principalement sous la forme de subventions et dans les conditions définies dans les programmes de travail pertinents visés à l’article 24 du règlement (UE) 2021/694.

1 Une réserve de cybersécurité de l’Union est créée afin d’aider, à leur demande, les utilisateurs visés au paragraphe 3 à réagir aux incidents de cybersécurité importants, aux incidents de cybersécurité majeurs ou aux incidents de cybersécurité assimilés à des incidents majeurs, ou à fournir une assistance à cet effet, et à amorcer le rétablissement après de tels incidents.

2 La réserve de cybersécurité de l’Union se compose de services de réaction fournis par des fournisseurs de services de sécurité gérés de confiance sélectionnés conformément aux critères énoncés à l’article 17, paragraphe 2. La réserve de cybersécurité de l’Union peut comprendre des services affectés au préalable. Les services affectés au préalable d’un fournisseur de services de sécurité gérés de confiance sont convertibles en services de préparation liés à la prévention et à la réaction aux incidents, dans les cas où ces services affectés au préalable ne sont pas utilisés pour répondre à des incidents pendant la période pendant laquelle ces services sont affectés au préalable. La réserve de cybersécurité de l’Union peut être déployée sur demande dans tous les États membres, institutions, organes et organismes de l’Union et dans les pays tiers associés au régime de droits à l’importation visés à l’article 19, paragraphe 1.

3 Les utilisateurs des services fournis par la réserve de cybersécurité de l’Union sont les suivants: a) les autorités des États membres chargées de la gestion des crises cyber et les CSIRT visés respectivement à l’article 9, paragraphes 1 et 2, et à l’article 10 de la directive (UE) 2022/2555; b) les services de cybersécurité pour les institutions, organes et organismes de l’Union (CERT-UE) conformément à l’article 13 du règlement (UE, Euratom) 2023/2841; c) les autorités compétentes, telles que les CSIRT, et les autorités chargées de la gestion des crises cyber des pays tiers associés au programme pour une Europe numérique, conformément à l’article 19, paragraphe 8.

4 La Commission a la responsabilité générale de la mise en œuvre de la réserve de cybersécurité de l’Union. La Commission définit les priorités et l’évolution de la réserve de cybersécurité de l’Union, en coordination avec le groupe de coopération SRI et, conformément aux exigences des utilisateurs visés au paragraphe 3, elle supervise sa mise en œuvre et elle garantit la complémentarité, la cohérence, les synergies et les liens avec d’autres mesures de soutien prises au titre du présent règlement ainsi qu’avec d’autres actions et programmes de l’Union. Ces priorités sont revues et, le cas échéant, révisées tous les deux ans. La Commission tient le Parlement européen et le Conseil au courant de ces priorités et de révision de celles-ci.

5 Sans préjudice de la responsabilité globale de la Commission pour la mise en œuvre de la réserve de cybersécurité de l’Union visée au paragraphe 4 du présent article et sous réserve d’un accord de contribution telle que définie à l’article 2, point 19), du règlement (UE, Euratom) 2024/2509, la Commission confie le fonctionnement et l’administration de la réserve de cybersécurité de l’Union en tout ou en partie, à l’ENISA. Les aspects qui ne sont pas confiés à l’ENISA continuent de faire l’objet d’une gestion directe par la Commission.

6 L’ENISA prépare, au moins tous les deux ans, une cartographie des services nécessaires aux utilisateurs visés au paragraphe 3, points a) et b), du présent article. La cartographie comprend également la disponibilité de ces services, y compris de la part d’entités juridiques établies ou réputées établies dans les États membres et contrôlées par des États membres ou par des ressortissants d’États membres. Lorsqu’elle cartographie cette disponibilité, l’ENISA évalue les compétences et les capacités de la main-d’œuvre de l’Union en matière de cybersécurité en rapport avec les objectifs de la réserve de cybersécurité de l’Union. Lors de l’élaboration de la cartographie, l’ENISA consulte le groupe de coopération SRI, EU-CyCLONe, la Commission et, le cas échéant, le conseil interinstitutionnel de cybersécurité établi en vertu de l’article 10 du règlement (UE, Euratom) 2023/2841 (IICB). Pour cartographier la disponibilité des services, l’ENISA consulte également les parties prenantes concernées du secteur de la cybersécurité, y compris les fournisseurs de services de sécurité gérés. L’ENISA prépare une cartographie similaire, après avoir informé le Conseil et après avoir consulté EU-CyCLONe, la Commission et, le cas échéant, le haut représentant, afin de recenser les besoins des utilisateurs visés au paragraphe 3, point c), du présent article.

7 La Commission est habilitée à adopter des actes délégués conformément à l’article 23 pour compléter le présent règlement en précisant les types et le nombre de services de réaction nécessaires pour la réserve de cybersécurité de l’Union. Lors de l’élaboration de ces actes délégués, la Commission tient compte de la cartographie visée au paragraphe 6 du présent article, et peut échanger des conseils et coopérer avec le groupe de coopération SRI et l’ENISA.

1 Les utilisateurs visés à l’article 14, paragraphe 3, peuvent adresser à la réserve de cybersécurité de l’Union des demandes d’aide en ce qui concerne la réaction aux incidents de cybersécurité importants, aux incidents de cybersécurité majeurs ou aux incidents de cybersécurité assimilés à des incidents majeurs et à amorcer le rétablissement à la suite de tels incidents.

2 Pour bénéficier de l’aide de la réserve de cybersécurité de l’Union, les utilisateurs visés à l’article 14, paragraphe 3, prennent toutes les mesures appropriées pour atténuer les effets de l’incident pour lequel ils demandent de l’aide, y compris, le cas échéant, la fourniture d’une assistance technique directe et d’autres ressources pour contribuer à la réaction à l’incident ainsi qu’aux efforts de rétablissement.

3 Les demandes de soutien sont transmises au pouvoir adjudicateur comme suit: a) dans le cas des utilisateurs visés à l’article 14, paragraphe 3, point a), du présent règlement, par l’intermédiaire du point de contact unique désigné ou établi en vertu de l’article 8, paragraphe 3, de la directive (UE) 2022/2555; b) dans le cas des utilisateurs visés à l’article 14, paragraphe 3, point b), par lesdits utilisateurs; c) dans le cas des utilisateurs visés à l’article 14, paragraphe 3, point c), par l’intermédiaire du point de contact unique visé à l’article 19, paragraphe 9.

4 dans le cas des demandes des utilisateurs visés à l’article 14, paragraphe 3, point a), les États membres informent le réseau des CSIRT et, le cas échéant, EU-CyCLONe des demandes d’intervention en cas d’incident et de soutien au rétablissement initial formulées par leurs utilisateurs conformément au présent article.

5 Les demandes d’aide en ce qui concerne la réaction à un incident et le rétablissement initial contiennent: a) des informations appropriées concernant l’entité touchée et les effets potentiels de l’incident sur: i) dans le cas des utilisateurs visés à l’article 14, paragraphe 3, point a), les États membres et utilisateurs touchés, y compris le risque de propagation vers un autre État membre; ii) dans le cas des utilisateurs visés à l’article 14, paragraphe 3, point b), les institutions, organes ou organismes de l’Union touchés; iii) dans le cas des utilisateurs visés à l’article 14, paragraphe 3, point c), les pays tiers associés au programme pour une Europe numérique touchés; b) des informations concernant le service requis, accompagnées d’une indication de l’utilisation prévue de l’aide demandée, y compris une indication des besoins estimés; c) des informations appropriées sur les mesures prises pour atténuer l’incident pour lequel l’aide a été demandée, visées au paragraphe 2; d) le cas échéant, si elles sont disponibles, des informations sur les autres formes d’aide dont dispose l’entité touchée.

6 L’ENISA, en collaboration avec la Commission et EU-CyCLONe, élabore un modèle pour faciliter la présentation des demandes d’aide adressées à la réserve de cybersécurité de l’Union.

7 La Commission peut, au moyen d’actes d’exécution, préciser de façon détaillée les modalités procédurales relatives à la manière dont les services d’appui de la réserve de cybersécurité de l’Union sont demandés et la manière dont ces demandes doivent être traitées en vertu du présent article, de l’article 16, paragraphe 1, et de l’article 19, paragraphe 10, y compris les modalités de présentation de ces demandes et de fourniture des réponses et des modèles pour les rapports visés à l’article 16, paragraphe 9. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 24, paragraphe 2.

1 Dans le cas des demandes des utilisateurs visées à l’article 14, paragraphe 3, points a) et b), les demandes d’aide au titre de la réserve de cybersécurité de l’Union sont évaluées par le pouvoir adjudicateur. Une réponse est transmise aux utilisateurs visés à l’article 14, paragraphe 3, points a) et b), sans retard et, en tout état de cause, au plus tard 48 heures après la présentation de la demande afin de garantir l’efficacité du soutien. Le pouvoir adjudicateur informe le Conseil et la Commission des résultats du processus.

2 En ce qui concerne les informations partagées dans le cadre de la demande et de la fourniture des services de la réserve de cybersécurité de l’Union, toutes les parties participant à l’application du présent règlement: a) limitent l’utilisation et le partage de ces informations à ce qui est nécessaire pour s’acquitter de leurs obligations ou fonctions au titre du présent règlement; b) utilisent et partagent toute information confidentielle ou classifiée en vertu du droit de l’Union et du droit national uniquement conformément à ce droit; et c) assurent un échange d’informations efficace, efficient et sécurisé, le cas échéant en utilisant et en respectant les protocoles d’échange d’informations pertinents, y compris le TLP.

3 Lors de l’évaluation des demandes individuelles au titre de l’article 16, paragraphe 1, et de l’article 19, paragraphe 10, le pouvoir adjudicateur ou la Commission, selon le cas, évalue d’abord si les critères visés à l’article 15, paragraphes 1 et 2, sont remplis. Si tel est le cas, le pouvoir adjudicateur ou la Commission évaluent la durée et la nature de l’aide appropriée, compte tenu de l’objectif visé à l’article 1er, paragraphe 3, point b), et des critères suivants, le cas échéant: a) l’ampleur et la gravité de l’incident; b) le type d’entité touchée, la priorité étant accordée aux incidents touchant des entités essentielles visées à l’article 3, paragraphe 1, de la directive (UE) 2022/2555; c) les effets potentiels de l’incident sur l’État membre ou les États membres, les institutions, organes ou organismes de l’Union ou les pays tiers associés au programme pour une Europe numérique touchés; d) l’éventuelle nature transfrontière de l’incident et le risque de propagation à d’autres États membres ou institutions, organes ou organismes de l’Union ou les pays tiers associés au programme pour une Europe numérique; e) les mesures prises par l’utilisateur pour contribuer à la réaction et aux efforts de rétablissement initial, visées à l’article 15, paragraphe 2.

4 Pour classer les demandes par ordre de priorité, dans le cas de demandes concurrentes émanant d’utilisateurs visés à l’article 14, paragraphe 3, les critères visés au paragraphe 3 du présent article sont pris en compte, le cas échéant, sans préjudice du principe de coopération sincère entre les États membres et les institutions, organes et organismes de l’Union. Lorsque deux ou plusieurs demandes sont jugées égales au regard des critères, une priorité plus élevée est accordée aux demandes émanant d’utilisateurs des États membres. Lorsque le fonctionnement et l’administration de la réserve de cybersécurité de l’Union ont été confiés, en tout ou en partie, à l’ENISA en vertu de l’article 14, paragraphe 5, l’ENISA et la Commission coopèrent étroitement pour hiérarchiser les demandes conformément au présent paragraphe.

5 Les services de la réserve de cybersécurité de l’Union sont fournis conformément à des accords spécifiques conclus entre le fournisseur de services de sécurité gérés de confiance et l’utilisateur bénéficiant de l’aide de la réserve de cybersécurité de l’Union. Ces services peuvent être fournis conformément à des accords spécifiques conclus entre le fournisseur de services de sécurité gérés de confiance, l’utilisateur et l’entité touchée. Tous les accords visés au présent paragraphe comportent, entre autres, des conditions de responsabilité.

6 Les accords visés au paragraphe 5 se fondent sur des modèles élaborés par l’ENISA, après consultation des États membres et, le cas échéant, d’autres utilisateurs de la réserve de cybersécurité de l’Union.

7 La Commission, l’ENISA et les utilisateurs de la réserve de cybersécurité de l’Union ne sont pas contractuellement responsables des dommages causés à des tiers par les services fournis dans le cadre de la mise en œuvre de la réserve de cybersécurité de l’Union.

8 Les utilisateurs ne peuvent utiliser les services de la réserve de cybersécurité de l’Union fournis en réponse à une demande au titre de l’article 15, paragraphe 1, que pour soutenir la réaction à des incidents de cybersécurité importants, des incidents de cybersécurité majeurs ou des incidents de cybersécurité assimilés à des incidents majeurs à grande échelle et pour engager le rétablissement à la suite de tels incidents. Ils ne peuvent utiliser ces services que pour: a) les entités actives dans des secteurs hautement critiques ou les entités actives dans d’autres secteurs critiques, dans le cas des utilisateurs visés à l’article 14, paragraphe 3, point a), et des entités équivalentes dans le cas des utilisateurs visés à l’article 14, paragraphe 3, point c); et b) Les institutions, organes et organismes de l’Union, dans le cas des utilisateurs visés à l’article 14, paragraphe 3, point b).

9 Dans les deux mois suivant la fin d’une aide, les utilisateurs qui ont bénéficié d’une aide fournissent un rapport de synthèse sur le service fourni, les résultats obtenus et les enseignements tirés: a) à la Commission, à l’ENISA, au réseau des CSIRT et à EU-CyCLONe dans le cas des utilisateurs visés à l’article 14, paragraphe 3, point a); b) à la Commission, à l’ENISA et à l’IICB dans le cas de l’utilisateur visé à l’article 14, paragraphe 3, point b); c) à la Commission dans le cas des utilisateurs visés à l’article 14, paragraphe 3, point c). La Commission transmet tout rapport de synthèse reçu des utilisateurs visés à l’article 14, paragraphe 3, conformément au premier alinéa, point c), du présent paragraphe, au Conseil et au haut représentant.

10 Lorsque le fonctionnement et l’administration de la réserve de cybersécurité de l’Union ont été confiés, en tout ou en partie, à l’ENISA en vertu de l’article 14, paragraphe 5, du présent règlement, l’ENISA fait régulièrement rapport à la Commission et la consulte à cet égard. Dans ce contexte, l’ENISA transmet immédiatement à la Commission toute demande qu’elle reçoit des utilisateurs visés à l’article 14, paragraphe 3, point c), du présent règlement et, lorsque cela est nécessaire aux fins de la hiérarchisation des priorités en vertu du présent article, toute demande qu’elle a reçue des utilisateurs visés à l’article 14, paragraphe 3, point a) ou b), du présent règlement. Les obligations prévues au présent paragraphe sont sans préjudice de l’article 14 du règlement (UE) 2019/881.

11 Dans le cas des utilisateurs visés à l’article 14, paragraphe 3, points a) et b), le pouvoir adjudicateur fait rapport régulièrement et au moins deux fois par an au groupe de coopération SRI, sur l’utilisation de cette aide et les résultats obtenus.

12 Dans le cas des utilisateurs visés à l’article 14, paragraphe 3, point c), la Commission, régulièrement et au moins deux fois par an, fait rapport au Conseil et informe le haut représentant sur l’utilisation de cette aide et les résultats obtenus.

1 Dans les procédures de passation de marchés menées pour la création de la réserve de cybersécurité de l’Union, le pouvoir adjudicateur agit conformément aux principes énoncés dans le règlement (UE, Euratom) 2024/2509 et aux principes suivants: a) il veille à ce que les services inclus dans la réserve de cybersécurité de l’Union, pris dans leur ensemble, soient tels que la réserve de cybersécurité de l’Union comprenne des services pouvant être déployés dans tous les États membres, compte tenu notamment des exigences nationales relatives à la fourniture de ces services, y compris en ce qui concerne les langues, la certification ou l’accréditation; b) il veille à protéger les intérêts essentiels de l’Union et de ses États membres en matière de sécurité; c) il s’assure que la réserve de cybersécurité de l’Union apporte une valeur ajoutée européenne, en contribuant à la réalisation des objectifs énoncés à l’article 3 du règlement (UE) 2021/694, y compris en favorisant le développement des compétences en matière de cybersécurité dans l’Union.

2 Lors de la passation de marchés de services pour la réserve de cybersécurité de l’Union, le pouvoir adjudicateur inclut les critères et les exigences suivants dans les documents de marché: a) le fournisseur démontre que son personnel possède le plus haut niveau d’intégrité professionnelle, d’indépendance, de responsabilité et de compétence technique requise pour mener à bien les activités dans son domaine spécifique, et il garantit la permanence et la continuité de l’expertise ainsi que les ressources techniques requises; b) le fournisseur, ainsi que toute filiale et tout sous-traitant concernés, se conforment aux règles applicables en matière de protection des informations classifiées et mettent en place des mesures appropriées, y compris, le cas échéant, des accords entre eux, pour protéger les informations confidentielles relatives au service, et en particulier les éléments de preuve, les conclusions et les rapports; c) le fournisseur apporte la preuve suffisante que sa structure de gouvernance est transparente, qu’elle n’est pas susceptible de compromettre son impartialité ni la qualité de ses services ou de provoquer des conflits d’intérêts; d) le fournisseur dispose d’une habilitation de sécurité appropriée, au moins pour le personnel qu’il compte déployer pour ce service, lorsqu’un État membre l’exige; e) le fournisseur dispose du niveau de sécurité approprié pour ses systèmes informatiques; f) le fournisseur possède le matériel et les logiciels nécessaires au service demandé, qui ne contiennent pas de vulnérabilités exploitables constatées, comprennent les dernières mises à jour de sécurité et sont conformes en tout point avec toute disposition applicable du règlement (UE) 2024/2847 du Parlement européen et du Conseil ; g) le fournisseur est en mesure de démontrer qu’il possède une expérience dans la fourniture de services similaires à des autorités nationales, à des entités actives dans des secteurs hautement critiques ou à des entités actives dans d’autres secteurs critiques pertinentes; h) le fournisseur est en mesure de fournir le service dans un bref délai dans les États membres où il peut le faire; i) le fournisseur est en mesure de fournir le service dans une ou plusieurs langues officielles des institutions de l’Union ou d’un État membre, selon ce qui est exigé par, le cas échéant, les États membres ou les utilisateurs visés à l’article 14, paragraphe 3, points b) et c), là où le fournisseur peut fournir le service; j) dès qu’un schéma européen de certification de cybersécurité pour les services de sécurité conforme au règlement (UE) 2019/881 est en place, le fournisseur est certifié conformément à ce schéma dans un délai de deux ans à compter de la date d’application du schéma; k) le fournisseur inclut dans l’offre les conditions de conversion des services inutilisés de réaction aux incidents en services de préparation étroitement liés à la réaction aux incidents, tels que des exercices ou des formations.

3 Aux fins de l’acquisition de services pour la réserve de cybersécurité de l’Union, le pouvoir adjudicateur peut, le cas échéant, élaborer, en étroite coopération avec les États membres, des critères et des exigences supplémentaires par rapport à ceux visés au paragraphe 2.

1 Le mécanisme d’urgence dans le domaine de la cybersécurité apporte une aide à l’assistance technique fournie par un État membre à un autre État membre touché par un incident de cybersécurité important ou un incident de cybersécurité majeur, y compris dans les cas visés à l’article 11, paragraphe 3, point f), de la directive (UE) 2022/2555.

2 L’aide à l’assistance technique mutuelle visée au paragraphe 1 du présent article est apportée sous forme de subventions et aux conditions fixées dans les programmes de travail correspondants visés à l’article 24 du règlement (UE) 2021/694.

1 Un pays tiers associé au programme pour une Europe numérique peut demander une aide à la réserve de cybersécurité de l’Union lorsque l’accord par lequel il est associé au programme pour une Europe numérique prévoit sa participation à la réserve de cybersécurité de l’Union. Ledit accord comprend des dispositions qui imposent au pays tiers concerné associé au programme pour une Europe numérique de se conformer aux obligations énoncées aux paragraphes 2 et 9 du présent article. Aux fins de la participation d’un pays tiers à la réserve de cybersécurité de l’Union, l’association partielle d’un pays tiers au programme pour une Europe numérique peut comprendre son association limitée à l’objectif opérationnel visé à l’article 6, paragraphe 1, point g), du règlement (UE) 2021/694.

2 Dans les trois mois suivant la conclusion de l’accord visé au paragraphe 1 et en tout état de cause avant de recevoir une aide de la réserve de cybersécurité de l’Union, le pays tiers associé au programme pour une Europe numérique fournit à la Commission des informations sur ses capacités en matière de cyberrésilience et de gestion des risques, y compris au moins des informations sur les mesures nationales prises pour anticiper les incidents de cybersécurité importants, les incidents de cybersécurité majeurs et les incidents de cybersécurité assimilés à des incidents majeurs, ainsi que des informations sur les entités nationales responsables, notamment les centres de réponse aux incidents de sécurité informatique ou entités équivalentes, leurs capacités et les ressources qui leur sont allouées. Le pays tiers associé au programme pour une Europe numérique fournit régulièrement et au moins une fois par an des mises à jour de ces informations. La Commission fournit ces informations au haut représentant et à l’ENISA afin de faciliter l’application du paragraphe 11.

3 La Commission évalue régulièrement, et au moins une fois par an, les critères suivants pour chaque pays tiers associé au programme pour une Europe numérique visé au paragraphe 1: a) le respect par ledit pays des dispositions de l’accord visé au paragraphe 1, dès lors qu’elles concernent la participation à la réserve de cybersécurité de l’Union; b) la prise par ledit pays de mesures adéquates pour se préparer aux incidents de cybersécurité importants ou aux incidents de cybersécurité assimilés à des incidents majeurs, sur la base des informations visées au paragraphe 2; et c) la compatibilité de l’octroi d’une aide avec la politique de l’Union à l’égard de ce pays et avec ses relations globales avec ce pays, ainsi qu’avec les autres actions de l’Union dans le domaine de la sécurité. Pour réaliser l’évaluation visée au premier alinéa, la Commission consulte le haut représentant en ce qui concerne le critère visé au point c) dudit alinéa. Lorsque la Commission parvient à la conclusion qu’un pays tiers associé au programme pour une Europe numérique remplit l’ensemble des conditions visées au premier alinéa, elle soumet au Conseil une proposition d’adoption d’un acte d’exécution conformément au paragraphe 4 afin d’autoriser l’octroi à ce pays d’une aide de la réserve de cybersécurité de l’Union.

4 Le Conseil peut adopter les actes d’exécution visés au paragraphe 3. Ces actes d’exécution s’appliquent pour une durée maximale d’un an. Ils peuvent être renouvelés. Ils peuvent prévoir une limite, qui ne peut être inférieure à 75 jours, au nombre de jours pendant lesquels l’aide peut être octroyée en réponse à une demande unique. Le Conseil agit promptement aux fins du présent article et il adopte, en principe, les actes d’exécution visés au présent paragraphe dans un délai de huit semaines à compter de l’adoption de la proposition de la Commission pertinente en vertu du paragraphe 3, troisième alinéa.

5 Le Conseil, statuant sur proposition de la Commission, peut modifier ou abroger à tout moment un acte d’exécution adopté en vertu du paragraphe 4. Lorsque le Conseil estime qu’il y a eu un changement important en ce qui concerne le critère visé au paragraphe 3, premier alinéa, point c), il peut, en statuant à l’initiative dûment motivée d’un ou de plusieurs États membres, modifier ou abroger un acte d’exécution adopté en vertu du paragraphe 4.

6 Dans l’exercice de ses pouvoirs d’exécution au titre du présent article, le Conseil applique le critère visé au paragraphe 3, premier alinéa, et explique son évaluation desdits critères. En particulier, lorsqu’il statue à sa propre initiative conformément au paragraphe 5, deuxième alinéa, le Conseil explique le changement majeur visé audit alinéa.

7 L’aide apportée par la réserve de cybersécurité de l’Union à un pays tiers associé au programme pour une Europe numérique respecte toutes les conditions spécifiques énoncées dans l’accord visé au paragraphe 1.

8 Les utilisateurs de pays tiers associés au programme pour une Europe numérique pouvant bénéficier de services au titre de la réserve de cybersécurité de l’Union sont des autorités compétentes telles que les centres de réponse aux incidents de sécurité informatique ou des entités équivalentes et les autorités chargées de la gestion des crises cyber.

9 Chaque pays tiers associé au programme pour une Europe numérique pouvant bénéficier d’une aide de la réserve de cybersécurité de l’Union désigne une autorité qui joue le rôle de point de contact unique aux fins du présent règlement.

10 Les demandes d’aide de la réserve de cybersécurité de l’Union au titre du présent article sont évaluées par la Commission. Le pouvoir adjudicateur ne peut octroyer de l’aide à un pays tiers que lorsque et aussi longtemps qu’un acte d’exécution du Conseil adopté en vertu du paragraphe 4 du présent article autorisant cette aide audit pays est en vigueur. Une réponse est transmise aux utilisateurs visés à l’article 14, paragraphe 3, point c), sans retard injustifié.

11 À la réception d’une demande d’aide au titre du présent article, la Commission informe immédiatement le Conseil. La Commission tient le Conseil informé de l’évaluation de la demande. La Commission coopère également avec le haut représentant en ce qui concerne les demandes reçues et la mise en œuvre de l’aide accordée aux pays tiers associés au programme pour une Europe numérique au titre de la réserve de cybersécurité de l’Union. En outre, la Commission tient également compte de tout avis fourni par l’ENISA concernant ces demandes.

1 Lorsqu’un incident de cybersécurité important, un incident de cybersécurité majeur ou un incident de cybersécurité assimilé à un incident majeur est la conséquence ou la cause d’une catastrophe au sens de l’article 4, point 1), de la décision no 1313/2013/UE, l’aide apportée au titre du présent règlement pour réagir à un tel incident complète des actions entreprises conformément à, et sans préjudice de, ladite décision.

2 Dans le cas d’un incident de cybersécurité majeur ou d’un incident de cybersécurité assimilé à un incident majeur pour lequel le dispositif intégré de l’Union pour une réaction au niveau politique dans les situations de crise en vertu de la décision d’exécution (UE) 2018/1993 (ci-après dénommé «dispositif IPCR») est activé, l’aide apportée au titre du présent règlement pour réagir à cet incident est traitée conformément aux procédures applicables du dispositif IPCR.

1 À la demande de la Commission ou d’EU-CyCLONe, l’ENISA, avec le soutien du réseau des CSIRT et l’approbation des États membres concernés, analyse et évalue les cybermenaces, les vulnérabilités exploitables constatées et les mesures d’atténuation relatives à un incident de cybersécurité important ou à un incident de cybersécurité majeur spécifique. Après l’analyse et l’évaluation d’un incident et dans le but de tirer les enseignements de l’expérience acquise pour éviter ou atténuer des incidents à l’avenir, l’ENISA remet un rapport d’analyse à EU-CyCLONe, au réseau des CSIRT, aux États membres concernés et à la Commission afin de les aider à s’acquitter de leurs tâches, compte tenu notamment des tâches énoncées aux articles 15 et 16 de la directive (UE) 2022/2555. Lorsqu’un incident a des effets sur un pays tiers associé au programme pour une Europe numérique, l’ENISA remet également le rapport au Conseil. Dans un tel cas, la Commission remet le rapport au haut représentant.

2 Pour préparer le rapport d’analyse visé au paragraphe 1 du présent article, l’ENISA coopère avec toutes les parties prenantes concernées, y compris les représentants des États membres, la Commission, les autres institutions, organes et organismes concernés de l’Union, les entreprises du secteur, y compris les fournisseurs de services de sécurité gérés, et les utilisateurs de services de cybersécurité, et elle recueille leurs retours d’informations. Le cas échéant, l’ENISA, en coopération avec les CSIRT et, le cas échéant, les autorités compétentes désignées ou instituées en vertu de l’article 8, paragraphe 1, de la directive (UE) 2022/2555, coopère également avec les entités touchées par des incidents de cybersécurité importants ou des incidents de cybersécurité majeurs. Les représentants consultés déclarent tout conflit d’intérêts potentiel.

3 Le rapport d’analyse visé au paragraphe 1 du présent article comprend une analyse et un examen de l’incident de cybersécurité important ou de l’incident de cybersécurité majeur, y compris des principales causes, vulnérabilités exploitables constatées et enseignements tirés. L’ENISA veille à ce que le rapport soit conforme au droit de l’Union ou au droit national relatif à la protection des informations sensibles ou classifiées. Si les États membres concernés ou d’autres utilisateurs visés à l’article 14, paragraphe 3, qui sont touchés par l’incident, le demandent, les données et les informations contenues dans le rapport sont anonymisées. Il ne comporte pas de précisions relatives aux vulnérabilités activement exploitées qui n’ont pas encore été corrigées.

4 Le cas échéant, le rapport d’analyse formule des recommandations afin d’améliorer la posture cyber de l’Union et il peut contenir des bonnes pratiques et des enseignements tirés émanant des parties prenantes concernées.

5 L’ENISA peut produire une version publique du rapport d’analyse. Cette version du rapport ne contient que des informations publiques fiables, ou d’autres informations fiables ajoutées avec l’accord des États membres concernés et, pour les informations relatives à un utilisateur visé à l’article 14, paragraphe 3, point b) ou c), avec l’accord de ce dernier.

«2 Les actions entreprises au titre de l’objectif spécifique 3 sont mises en œuvre principalement via le Centre européen de compétences industrielles, technologiques et de recherche en matière de cybersécurité et le Réseau de centres nationaux de coordination, conformément au règlement (UE) 2021/887 du Parlement européen et du Conseil . Toutefois, la réserve de cybersécurité de l’Union est mise en œuvre par la Commission et, conformément à l’article 14, paragraphe 6, du règlement (UE) 2025/38, par l’ENISA.

«8 Par dérogation à l’article 12, paragraphe 1, du règlement financier, les crédits d’engagement et de paiement non utilisés pour les actions menées dans le cadre de la mise en œuvre de la réserve de cybersécurité de l’Union et des mesures de soutien à l’assistance mutuelle en vertu du règlement (UE) 2025/38, poursuivant les objectifs énoncés à l’article 6, paragraphe 1, point g), du présent règlement sont reportés de droit et peuvent être engagés et payés jusqu’au 31 décembre de l’exercice suivant. Le Parlement et le Conseil sont informés des crédits reportés en vertu de l’article 12, paragraphe 6, du règlement financier.».

«5 bis Le paragraphe 5 ne s’applique pas, en ce qui concerne les entités juridiques établies dans l’Union mais contrôlées à partir de pays tiers, à une action de mise en œuvre du système européen d’alerte en matière de cybersécurité lorsque les deux conditions suivantes sont remplies pour ce qui est de l’action concernée: a) il existe un risque réel, compte tenu des résultats de la cartographie réalisée en vertu de l’article 9, paragraphe 4, du règlement (UE) 2025/38, que les entités juridiques établies ou réputées établies dans les États membres et contrôlées par des États membres ou par des ressortissants d’États membres ne disposent pas des outils, des infrastructures ou des services nécessaires et suffisants pour que l’action contribue de manière adéquate à l’objectif du système européen d’alerte en matière de cybersécurité; b) le risque de sécurité lié à une acquisition auprès de ces entités juridiques établies dans l’Union mais contrôlées à partir de pays tiers dans le cadre du système européen d’alerte en matière de cybersécurité est proportionné aux avantages et ne porte pas atteinte aux intérêts essentiels de l’Union et de ses États membres en matière de sécurité.

5 ter Le paragraphe 5 ne s’applique pas, en ce qui concerne les entités juridiques établies dans l’Union mais contrôlées à partir de pays tiers, à toute action de mise en œuvre de la réserve de cybersécurité de l’Union lorsque les deux conditions suivantes sont remplies pour ce qui est de l’action concernée: a) il existe un risque réel, compte tenu des résultats de la cartographie réalisée en vertu de l’article 14, paragraphe 6, du règlement (UE) 2025/38, que les entités juridiques établies ou réputées établies dans les États membres et contrôlées par des États membres ou par des ressortissants d’États membres ne disposent pas des technologies, de l’expertise ou des capacités nécessaires et suffisantes pour que la réserve de cybersécurité de l’Union remplisse ses fonctions de manière adéquate; b) le risque de sécurité lié à la participation de ces entités juridiques établies dans l’Union mais contrôlées à partir de pays tiers dans le cadre de la réserve de cybersécurité de l’Union est proportionné aux avantages et ne porte pas atteinte aux intérêts essentiels de l’Union et de ses États membres en matière de sécurité.»

«6 Lorsque cela est dûment justifié pour des raisons de sécurité, le programme de travail peut aussi prévoir que les entités juridiques qui sont établies dans des pays associés et les entités juridiques qui sont établies dans l’Union mais qui sont contrôlées à partir de pays tiers peuvent être éligibles pour participer à tout ou partie des actions au titre des objectifs spécifiques 1 et 2, uniquement si elles se conforment aux exigences qui doivent être respectées par ces entités juridiques en vue de garantir la protection des intérêts essentiels de l’Union et des États membres en matière de sécurité et de garantir la protection des informations dans les documents classifiés. Ces exigences sont énoncées dans le programme de travail. Le premier alinéa s’applique également, en ce qui concerne les entités juridiques établies dans l’Union mais contrôlées à partir de pays tiers, aux actions menées dans le cadre de l’objectif spécifique 3: a) pour mettre en œuvre le système européen d’alerte en matière de cybersécurité lorsque le paragraphe 5 bis s’applique; et b) pour mettre en œuvre la réserve de cybersécurité de l’Union lorsque le paragraphe 5 ter s’applique.».

«2 Le programme peut octroyer un financement sous l’une ou l’autre des formes prévues dans le règlement financier, y compris en particulier par la passation de marchés en premier lieu, ou des subventions et des prix. Lorsque la réalisation de l’objectif d’une action nécessite l’achat de biens et services innovants, des subventions ne peuvent être octroyées qu’à des bénéficiaires qui sont des pouvoirs adjudicateurs ou des entités adjudicatrices au sens des directives 2014/24/UE et 2014/25/UE du Parlement européen et du Conseil. Lorsque la fourniture de biens ou services innovants qui ne sont pas encore disponibles commercialement à grande échelle est nécessaire à la réalisation des objectifs d’une action, le pouvoir adjudicateur ou l’entité adjudicatrice peut autoriser l’attribution de plusieurs marchés dans le cadre d’une même procédure de passation de marchés. Pour des raisons de sécurité publique dûment justifiées, le pouvoir adjudicateur ou l’entité adjudicatrice peut exiger que le lieu d’exécution du marché soit situé à l’intérieur du territoire de l’Union. Lors de la mise en œuvre des procédures de passation de marchés pour la réserve de cybersécurité de l’Union, la Commission et l’ENISA peuvent agir en tant que centrale d’achat pour passer des marchés pour le compte ou au nom des pays tiers associés au programme, conformément à l’article 10 du présent règlement. La Commission et l’ENISA peuvent également agir en qualité de grossiste, en achetant, en stockant et en revendant ou en donnant des fournitures et des services, y compris des locations, à ces pays tiers. Par dérogation à l’article 168, paragraphe 3, du règlement (UE, Euratom) 2024/2509 du Parlement européen et du Conseil , la demande d’un seul pays tiers suffit pour charger la Commission ou l’ENISA d’agir. Lors de la mise en œuvre des procédures de passation de marchés pour la réserve de cybersécurité de l’Union, la Commission et l’ENISA peuvent agir en tant que centrale d’achat pour passer des marchés pour le compte ou au nom des institutions, organes ou organismes de l’Union. La Commission et l’ENISA peuvent également agir en qualité de grossiste, en achetant, en stockant et en revendant ou en donnant des fournitures et des services, y compris des locations, aux institutions, organes et organismes de l’Union. Par dérogation à l’article 168, paragraphe 3, du règlement (UE, Euratom) 2024/2509, la demande d’une seule institution, d’un seul organe ou d’un seul organisme de l’Union suffit pour charger la Commission ou l’ENISA d’agir. Le programme peut aussi octroyer un financement sous la forme d’instruments financiers dans le cadre d’opérations de mixage.

Dans le cas d’actions mettant en œuvre le système européen d’alerte en matière de cybersécurité, les règles applicables sont celles énoncées aux articles 4, 5 et 9 du règlement (UE) 2025/38. En cas de conflit entre les dispositions du présent règlement et les articles 4, 5 et 9 du règlement (UE) 2025/38, ces derniers prévalent et s’appliquent à ces actions spécifiques. En ce qui concerne la réserve de cybersécurité de l’Union, l’article 19 du règlement (UE) 2025/38 fixe des règles spécifiques pour la participation des pays tiers associés au programme. En cas de conflit entre les dispositions du présent règlement et l’article 19 du règlement (UE) 2025/38, ce dernier prévaut et s’applique à ces actions spécifiques.».

Les subventions au titre du programme sont octroyées et gérées conformément au titre VIII du règlement financier et peuvent couvrir jusqu’à 100 % des coûts éligibles, sans préjudice du principe de cofinancement prévu à l’article 190 du règlement financier. Ces subventions sont octroyées et gérées comme il est précisé pour chaque objectif spécifique. L’aide sous forme de subventions peut être octroyée directement par l’ECCC sans appel à propositions aux États membres sélectionnés en vertu de l’article 9 du règlement (UE) 2025/38 et au consortium d’hébergement visé à l’article 5 du règlement (UE) 2025/38, conformément à l’article 195, paragraphe 1, point d), du règlement financier. L’aide sous forme de subventions pour le mécanisme d’urgence dans le domaine de la cybersécurité peut être octroyée directement par l’ECCC aux États membres sans appel à propositions, conformément à l’article 195, paragraphe 1, point d), du règlement financier. En ce qui concerne les mesures de soutien à l’assistance mutuelle prévues à l’article 18 du règlement (UE) 2025/38, l’ECCC informe la Commission et l’ENISA des demandes de subventions directes sans appel à propositions présentées par les États membres. En ce qui concerne les mesures de soutien à l’assistance mutuelle prévues par l’article 18 du règlement (UE) 2025/38, et conformément à l’article 193, paragraphe 2, deuxième alinéa, point a), du règlement financier, dans des cas dûment justifiés, les coûts peuvent être considérés comme éligibles même s’ils ont été exposés avant le dépôt de la demande de subvention.».

1 Le pouvoir d’adopter des actes délégués conféré à la Commission est soumis aux conditions fixées dans le présent article.

2 Le pouvoir d’adopter des actes délégués visé à l’article 14, paragraphe 7, est conféré à la Commission pour une période de cinq ans renouvelable à compter du 5 février 2025. La Commission élabore un rapport relatif à la délégation de pouvoir au plus tard neuf mois avant la fin de la période de cinq ans. La délégation de pouvoir est tacitement prorogée pour des périodes d’une durée identique, sauf si le Parlement européen ou le Conseil s’oppose à cette prorogation trois mois au plus tard avant la fin de chaque période.

3 La délégation de pouvoir visée à l’article 14, paragraphe 7, peut être révoquée à tout moment par le Parlement européen ou le Conseil. La décision de révocation met fin à la délégation de pouvoir qui y est précisée. La révocation prend effet le jour suivant celui de la publication de ladite décision au Journal officiel de l’Union européenne ou à une date ultérieure qui est précisée dans ladite décision. Elle ne porte pas atteinte à la validité des actes délégués déjà en vigueur.

4 Avant l’adoption d’un acte délégué, la Commission consulte les experts désignés par chaque État membre, conformément aux principes définis dans l’accord interinstitutionnel du 13 avril 2016 «Mieux légiférer».

5 Aussitôt qu’elle adopte un acte délégué, la Commission le notifie au Parlement européen et au Conseil simultanément.

6 Un acte délégué adopté en vertu de l’article 14, paragraphe 7, n’entre en vigueur que si le Parlement européen ou le Conseil n’a pas exprimé d’objections dans un délai de deux mois à compter de la notification de cet acte au Parlement européen et au Conseil ou si, avant l’expiration de ce délai, le Parlement européen et le Conseil ont tous deux informé la Commission de leur intention de ne pas exprimer d’objections. Ce délai est prolongé de deux mois à l’initiative du Parlement européen ou du Conseil.

1 La Commission est assistée par le comité de coordination du programme pour une Europe numérique visé à l’article 31, paragraphe 1, du règlement (UE) 2021/694. Ledit comité est un comité au sens du règlement (UE) no 182/2011.

2 Lorsqu’il est fait référence au présent paragraphe, l’article 5 du règlement (UE) no 182/2011 s’applique.

1 Au plus tard le 5 février 2027 et au moins tous les quatre ans par la suite, la Commission évalue le fonctionnement des mesures prévues par le présent règlement et présente un rapport au Parlement européen et au Conseil.

2 L’évaluation visée au paragraphe 1 porte notamment sur: a) le nombre de cyberpôles nationaux et de cyberpôles transfrontières établis, l’étendue des informations partagées, y compris, si possible, les effets du partage sur les travaux du réseau des CSIRT, et la mesure dans laquelle lesdites mesures ont contribué au renforcement de la détection et de l’appréciation de la situation communes au niveau de l’Union concernant les cybermenaces et les incidents, ainsi qu’au développement de technologies de pointe, l’utilisation de fonds du programme pour une Europe numérique en vue de l’acquisition conjointe d’outils, d’infrastructures ou de services de cybersécurité, et, si cette information est disponible, le niveau de coopération entre les cyberpôles nationaux et les communautés sectorielles et transsectorielles des entités essentielles et importantes visés à l’article 3 de la directive (UE) 2022/2555; b) l’utilisation et l’efficacité des actions entreprises dans le cadre du mécanisme d’urgence dans le domaine de la cybersécurité en faveur de la préparation, y compris des formations, de la réaction à des incidents de cybersécurité importants, à des incidents de cybersécurité majeurs et des incidents de cybersécurité assimilés à des incidents majeurs, et du rétablissement initial suite à ceux-ci, y compris l’utilisation de fonds du programme pour une Europe numérique et les enseignements tirés et les recommandations découlant de la mise en œuvre du mécanisme d’urgence dans le domaine de la cybersécurité; c) l’utilisation et l’efficacité de la réserve de cybersécurité de l’Union en ce qui concerne le type d’utilisateurs, y compris l’utilisation de fonds du programme pour une Europe numérique, l’adoption des services, y compris le type de ceux-ci, le temps moyen de réponse aux demandes et de déploiement de la réserve de cybersécurité de l’Union, le pourcentage des services convertis en services de préparation liés à la prévention des incidents et à la réaction à ceux-ci et les enseignements tirés et les recommandations découlant de la mise en œuvre de la réserve de cybersécurité de l’Union; d) la contribution du présent règlement au renforcement de la position concurrentielle de l’industrie et des services de l’Union dans l’ensemble de l’économie numérique, y compris les microentreprises et les petites et moyennes entreprises ainsi que les jeunes pousses, et la contribution à l’objectif global de renforcement des compétences et des capacités de la main-d’œuvre en matière de cybersécurité.

3 Sur la base des rapports visés au paragraphe 1, la Commission présente au Parlement et au Conseil, s’il y a lieu, une proposition législative de modification du présent règlement.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.