Europe
ENISA : l’état de la cybersécurité dans l’UE en 2026, avec un indice de 71,53 et cinq axes pour l’avenir
Le deuxième rapport de l’ENISA sur l’état de la cybersécurité dans l’Union conclut que l’Europe gagne en maturité, avec une moyenne de l’UE de 71,53 sur l’indice de cybersécurité, tandis que le niveau de menace reste « significatif ».
L’Europe gagne en maturité en matière de cybersécurité, mais la menace reste « significative ». C’est la conclusion du deuxième rapport sur l’état de la cybersécurité dans l’Union, présenté le mardi 10 novembre 2026 par l’ENISA, l’Agence de l’Union européenne pour la cybersécurité. Ce rapport est publié tous les deux ans, en application de l’article 18 de la directive NIS2, en coopération avec la Commission européenne et le groupe de coopération NIS des États membres.
Le directeur exécutif de l’ENISA, Juhan Lepassaar, a déclaré qu’« il y a des progrès, mais nous devons désormais nous appuyer sur cette base et actualiser nos stratégies ». Il a relevé que les évolutions dans les technologies les plus avancées, mais aussi les incidents touchant les systèmes de réfrigération dans toute l’UE, mettent en évidence des lacunes opérationnelles et la nécessité d’un partage d’informations rapide et d’une meilleure coordination. Nous avons évoqué ces incidents dans notre article sur les attaques contre les systèmes de réfrigération, tandis que les agences américaines avaient publié un avertissement similaire sur les attaques visant les contrôleurs de réfrigération. Il a demandé une image situationnelle commune plus solide et un meilleur alignement des politiques dans les secteurs critiques.
L’indice : 71,53 en moyenne
Le niveau de maturité des États a été mesuré à l’aide de l’indice européen de cybersécurité (EU-CSI), sur une échelle de 0 à 100. La moyenne de l’UE pour 2026 est de 71,53 points. Deux États membres sont classés au niveau « avancé », 22 au niveau « mûr » et trois au niveau « établi », et aucun ne se situe en dessous. Les cinq premiers pays atteignent en moyenne 79,86 points, et les cinq derniers 60,45.
Les points forts sont la gestion de la chaîne d’approvisionnement par les entités essentielles et importantes (89,91), la recherche et l’innovation (79,24) et la mise en œuvre des stratégies nationales (66,72). Les lacunes concernent les équipes de réponse aux incidents de sécurité informatique (CSIRT, 54,76), la certification nationale (55,56, avec 13 États au niveau faible et 14 au niveau élevé), la participation des entités au partage d’informations entre pairs (26,30), et l’enseignement de la cybersécurité dans les écoles primaires et secondaires, où seuls 12 États atteignent un niveau mûr ou avancé, contre 21 pour l’enseignement supérieur (73,59).
Le niveau de menace est jugé identique à celui du rapport de 2024, car la guerre de la Russie contre l’Ukraine était déjà prise en compte dans l’évaluation précédente, et l’activité cyber actuelle vise surtout les parties directement impliquées, avec des retombées limitées dans l’UE. Les attaques qui touchent l’Union sont pour l’essentiel des attaques par déni de service distribué (DDoS) à faible impact. Parmi les incidents de 2025, 57,3 % avaient des motivations idéologiques, 29,3 % des motivations financières et 5,9 % concernaient l’espionnage.
Une « boussole stratégique » en cinq axes
Le nouveau rapport ajoute une « boussole stratégique » en cinq axes, sur lesquels reposent les recommandations politiques. Le premier est la mise en œuvre effective de la législation, afin que les entreprises présentes dans plusieurs États disposent d’un cadre cohérent. Le deuxième concerne la capacité opérationnelle en cas de crise : le plan directeur européen de gestion des crises cyber de 2025 (Blueprint) n’a encore jamais été utilisé dans une crise réelle, et il n’a pas encore été défini comment les réseaux européens coopéreront de manière structurée avec leurs homologues militaires. Le troisième concerne les infrastructures critiques, où 70 % des organisations affirment que la conformité à la législation est le principal motif d’investissement dans la cybersécurité.
Le quatrième axe concerne les dépendances dans la chaîne d’approvisionnement : le nombre de pays dotés d’une politique nationale de divulgation coordonnée des vulnérabilités est passé de 7 à 17 depuis 2024, et le groupe de coopération NIS a approuvé début 2026 la boîte à outils sur la sécurité de la chaîne d’approvisionnement TIC. Le cinquième concerne la résilience à long terme par la sensibilisation, les compétences et l’éducation, le déficit de compétences en cybersécurité s’étant creusé de 8 % depuis 2024, selon le Global Cybersecurity Outlook 2025 du Forum économique mondial.
Sur le plan politique, le rapport constate la mise en œuvre de la directive NIS2, du Cyber Resilience Act et du Cyber Solidarity Act, ainsi que la proposition d’un second Cybersecurity Act. La réserve européenne de cybersécurité étend désormais son soutien à la Moldavie et à l’Ukraine. Les conclusions complètes figurent dans le communiqué de presse de l’ENISA.
