CELEX:32023R2841R(02)

Le 31 juillet 2026, l'Union européenne a publié une correction officielle (référence CELEX:32023R2841R(02)) du règlement (UE, Euratom) 2023/2841 adopté le 13 décembre 2023.

Ce texte initial visait à renforcer la cybersécurité au sein des institutions européennes en imposant un cadre strict de gestion des risques.

La correction apporte des ajustements mineurs mais précis dans la formulation de certains articles et considérants, sans modifier le fond des obligations.

Par exemple, l'ordre des termes dans des expressions comme « cadre de gestion, gouvernance et contrôle des risques de cybersécurité » a été légèrement réorganisé pour plus de clarté, comme « cadre de gestion des risques, gouvernance et contrôle de la cybersécurité ».

Ces modifications visent à éviter toute ambiguïté dans l'application des règles, notamment sur les responsabilités des entités concernées.

Le règlement 2023/2841, tel que corrigé, impose à chaque entité de l'Union européenne (institutions, agences, organes) de mettre en place un cadre interne de gestion des risques de cybersécurité d'ici le 8 avril 2025.

Ce cadre doit couvrir trois dimensions : la gestion des risques (identifier et évaluer les menaces), la gouvernance (définir les responsabilités et processus de décision) et le contrôle (auditer et améliorer en continu les mesures).

L'objectif est d'atteindre un niveau élevé et commun de cybersécurité pour protéger les données et les systèmes contre les cyberattaques.

Le texte souligne l'importance de la continuité opérationnelle (maintenir les services en cas d'incident) et de la gestion des crises (réagir efficacement aux attaques).

Plusieurs acteurs jouent un rôle central dans la mise en œuvre de ce règlement.

Le Conseil interinstitutionnel de cybersécurité (créé par l'article 10) est chargé d'émettre des lignes directrices avant le 8 septembre 2024.

Ces lignes guident les entités dans trois étapes clés : réaliser un audit initial de cybersécurité, évaluer leur niveau de maturité (capacité à résister aux cybermenaces) et approuver un plan de cybersécurité.

L'ENISA (Agence de l'UE pour la cybersécurité) et la CERT-UE (équipe d'intervention en cas d'urgence informatique) apportent leur expertise technique pour accompagner ce processus.

Les dirigeants suprêmes de chaque entité sont responsables de la supervision et de la validation du cadre interne.

Le calendrier du règlement est structuré en trois phases.

D'abord, avant le 8 septembre 2024, le Conseil interinstitutionnel publie ses lignes directrices.

Ensuite, avant le 8 avril 2025, chaque entité doit finaliser son cadre interne de gestion des risques après avoir réalisé un audit initial.

Enfin, les entités doivent intégrer ce cadre dans leurs processus opérationnels et le faire évoluer en fonction des retours d'expérience.

Le texte ne prévoit pas de sanctions explicites en cas de non-respect, mais les entités sont tenues de rendre des comptes sur leur niveau de conformité.

L'ELI (European Legislation Identifier) et l'ISSN (numéro international standardisé) permettent de suivre les versions officielles du texte.

Ce règlement s'applique à l'ensemble des institutions et organes de l'Union européenne, qu'ils soient situés dans les États membres ou ailleurs (comme les représentations diplomatiques).

Il ne concerne pas les États membres eux-mêmes, mais vise à harmoniser les pratiques de cybersécurité au sein des structures européennes.

Le texte est publié au Journal officiel de l'UE (série L) et est accessible via la base de données EUR-Lex, qui centralise les textes législatifs de l'UE.

La correction de 2026 ne modifie pas la portée géographique du règlement, mais clarifie son application pour éviter les interprétations divergentes.