Le rôle des États dans la cybersécurité des institutions critiques

Introduction

Les États jouent un rôle central dans la protection des institutions critiques contre les cybermenaces. Ces infrastructures, telles que les réseaux énergétiques, les systèmes de transport ou les services de santé, sont essentielles au fonctionnement des sociétés modernes. Face à l’augmentation des attaques informatiques, les gouvernements déploient des structures spécialisées et des cadres réglementaires pour coordonner la prévention et la réponse.

En Europe, la directive NIS 2 renforce les obligations des États membres en matière de cybersécurité. En France, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) opère le CERT-FR, un centre dédié à la défense des systèmes numériques d’intérêt national. Ces initiatives visent à protéger les opérateurs d’importance vitale et les services essentiels.

Développement factuel

Les missions des centres opérationnels d’États comme le CERT-FR

Le CERT-FR, entité gouvernementale au sein de l’ANSSI, assure la mise en œuvre opérationnelle de la défense des systèmes numériques. Il intervient prioritairement sur les incidents affectant les ministères, les services de l’État, les opérateurs d’importance vitale et les opérateurs de services essentiels.

Ses missions couvrent la prévention, la détection et la réponse aux incidents. Le CERT-FR élabore des mesures de protection, coordonne le traitement des vulnérabilités signalées, opère un service de supervision de sécurité pour les services de l’État et assure une veille sur les vulnérabilités et incidents informatiques au niveau national.

Il reçoit et traite les déclarations de vulnérabilités et d’incidents d’origine cyber, les qualifie puis les transmet aux entités concernées. Le CERT-FR coordonne également la prévention et la réponse avec des réseaux de CERT et CSIRT de confiance.

Le CERT-FR est l’entité gouvernementale et nationale assurant la mise en œuvre opérationnelle de la fonction d’autorité de défense des systèmes numériques d’intérêt pour la nation dévolue à l’ANSSI.

CERT-FR

Le rôle des CSIRT dans la réponse aux incidents

Les CSIRT, ou Computer Security Incident Response Teams, sont des équipes de sécurité opérationnelle chargées de prévenir et de réagir aux incidents de sécurité informatique. Elles centralisent les signalements d’incidents, analysent les attaques et fournissent des recommandations pour limiter leurs impacts.

En France, le CERT-FR exemplifie ce modèle. Ces structures maintiennent des bases de vulnérabilités connues, diffusent des informations de prévention et coordonnent avec des partenaires externes, comme d’autres CSIRT, fournisseurs d’accès et opérateurs de réseaux.

Les experts composant ces équipes couvrent des domaines variés : malwares, tests d’intrusion, veille sécurité, lutte contre la cybercriminalité et forensics numériques. Elles regroupent les demandes d’assistance suite à des compromissions de sécurité, collectent les signalements et identifient les liens entre événements suspects.

Les cadres réglementaires européens et nationaux

La directive NIS 2, adoptée par l’Union européenne, vise à assurer un niveau élevé commun de cybersécurité. Elle élargit le périmètre aux entités essentielles et importantes, publiques ou privées, dans des secteurs comme l’énergie, le transport, la santé et les services numériques.

Les États membres doivent coordonner sa mise en œuvre avec d’autres directives, comme celle sur la résilience des entités critiques (directive REC). En France, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été voté au Sénat le 12 mars 2025, amendé par la Commission spéciale de l’Assemblée nationale le 10 septembre 2025, et attend un examen en séance publique.

Cette loi s’aligne sur NIS 2, imposant aux entités critiques des obligations telles que la notification d’incidents perturbant les services essentiels, l’organisation de contrôles et tests de réponse aux attaques, et l’évaluation des risques dans un délai de neuf mois après notification par l’État.

La directive prévoit aussi un statut d’« entité critique d’importance européenne particulière » pour celles fournissant des services essentiels dans au moins six États membres. La Commission européenne établit la liste sur notification des États.

Obligations et coordination au niveau étatique

Les États veillent à la sécurité physique et numérique des infrastructures critiques. NIS 2 exige des mesures techniques, opérationnelles et organisationnelles proportionnées, incluant la gestion des risques, la surveillance, la notification d’incidents et le contrôle de la chaîne d’approvisionnement.

La direction générale des entités concernées approuve et supervise ces mesures. Les normes internationales, comme ISO ou le NIST Cybersecurity Framework, structurent les pratiques : identifier, protéger, détecter, répondre et récupérer face aux risques.

À l’échelle mondiale, des partenariats comme ceux entre l’OTAN et l’Union européenne portent sur la cybersécurité, la résilience des infrastructures critiques et les exercices de gestion de crise.

Les États membres veillent à ce que la présente directive [Directive REC] et la directive (UE) 2022/2555 [Directive NIS 2] soient mises en œuvre de manière coordonnée.

Directive REC, article 1

Points clés à retenir

• Les États opèrent des centres comme le CERT-FR pour prévenir, détecter et répondre aux incidents cyber sur les institutions critiques.
• La directive NIS 2 impose aux entités essentielles une gestion des risques, notification d’incidents et tests de résilience.
• En France, un projet de loi sur la résilience des infrastructures critiques avance au Parlement depuis mars 2025.
• Les CSIRT centralisent les signalements, analysent les vulnérabilités et coordonnent avec des partenaires nationaux et internationaux.
• Les normes comme NIST et ISO guident les États et opérateurs dans la structuration de leur cybersécurité.
• La coordination entre sécurité physique et cyber est une priorité des cadres européens.

Conclusion

Les États assurent la cybersécurité des institutions critiques par des structures opérationnelles comme les CSIRT et CERT, des lois nationales alignées sur NIS 2 et une coordination européenne. Ces efforts protègent les services essentiels contre les disruptions cyber. Le projet de loi français illustre l’engagement continu pour renforcer la résilience face aux menaces persistantes.