Une défaillance numérique touchant un opérateur européen peut interrompre des services bien au-delà de son pays d’origine. Cette interdépendance explique l’intérêt d’une réponse commune au sein de l’Union européenne. L’Union a donc progressivement élaboré un cadre commun de cybersécurité. L’Agence de l’Union européenne pour la cybersécurité, ENISA, soutient la coopération, l’expertise et la préparation des acteurs concernés.
La directive NIS de 2016, puis NIS2, entrée en vigueur en 2023 et progressivement transposée dans les droits nationaux, harmonisent les obligations de sécurité dans les secteurs les plus exposés. Ces règles visent notamment à améliorer la gestion des risques, la déclaration des incidents et la coopération entre autorités nationales. D’autres textes concernent la résilience numérique de certains secteurs et la sécurité des produits connectés. L’objectif est de réduire les vulnérabilités créées par des règles nationales trop hétérogènes. Les obligations européennes concernent notamment la gouvernance de la sécurité et les relations avec les prestataires. Un incident chez un fournisseur peut toucher plusieurs organisations simultanément ; la maîtrise de la chaîne de sous-traitance devient donc un enjeu commun à des secteurs très différents.
La mise en œuvre demeure largement confiée aux autorités nationales, dont les moyens et les priorités diffèrent. L’Union ne dispose pas d’un service unique chargé de protéger directement tous les réseaux européens. Sa valeur ajoutée réside surtout dans l’harmonisation des obligations, l’échange d’informations et la coordination des réponses aux crises transfrontalières. L’Union cherche avant tout à réduire les vulnérabilités communes en imposant des exigences comparables et en facilitant la coopération transfrontalière.