Pendant des années, la protection des infrastructures critiques a été abordée principalement comme une question de sécurité physique : identifier les ressources stratégiques, les protéger contre les incidents malveillants et réduire leur vulnérabilité. Le nouveau cadre européen adopte une perspective plus large. Il ne se concentre pas uniquement sur l’intégrité de l’infrastructure, mais aussi sur la capacité à continuer d’assurer les services essentiels même lorsqu’un incident en touche une partie. C’est le changement introduit par la directive (UE) 2022/2557 relative à la résilience des entités critiques, dite « directive CER ». La directive définit la résilience comme la capacité à prévenir un incident, à s’en protéger, à y répondre, à y résister, à en atténuer les conséquences, à l’absorber, à s’y adapter et à s’en remettre. En Italie, la directive a été transposée par le Décret législatif du 4 septembre 2024, n° 134, dont les dispositions s’appliquent à compter du 18 octobre 2024. Le décret évoque les « entités critiques » et établit un lien entre la résilience et les services essentiels pour la société, l’économie, la santé, la sécurité publique et l’environnement. Pour les spécialistes de la résilience, c’est là l’aspect le plus intéressant : l’accent n’est plus mis sur la protection des ressources, mais sur la capacité de l’organisation à maintenir ses fonctions critiques.

Une véritable approche « tous risques »

L’évaluation des risques doit prendre en compte l’ensemble des événements susceptibles de compromettre un service essentiel : catastrophes naturelles, événements d’origine humaine, urgences sanitaires, menaces hybrides, événements transfrontaliers et autres menaces hostiles. L’approche est donc explicitement « tous risques » et va au-delà d’un plan élaboré pour un seul scénario. Pour un responsable de la résilience, cela signifie déplacer l’attention de la cause de l’incident vers ses conséquences opérationnelles. Il n’est pas nécessaire d’élaborer un plan distinct pour chaque événement possible. Il s’agit de déterminer quelles fonctions doivent être maintenues, quelles ressources sont réellement indispensables, quelles dépendances peuvent être supprimées et quelles capacités permettent de continuer à fonctionner dans des conditions défavorables.

Les interdépendances sont prises en compte dans l’évaluation des risques

La modification sans doute la plus intéressante concerne les interdépendances. Dans le cadre de l’évaluation des risques (article 12 de la directive), l’entité critique ne peut se limiter à ce qui se passe à l’intérieur de son propre périmètre. Elle doit examiner dans quelle mesure d’autres secteurs dépendent du service qu’elle fournit et dans quelle mesure elle-même dépend de services essentiels d’autres secteurs, y compris dans les États membres voisins. Il s’agit d’une reconnaissance juridique d’une réalité évidente. Un réseau électrique dépend des télécommunications et des systèmes numériques. Les télécommunications dépendent de l’énergie. Les transports dépendent de l’énergie, des communications et des systèmes d’information. Les hôpitaux dépendent à la fois de l’électricité, de l’eau, des télécommunications, de l’approvisionnement et des transports. Une panne locale peut se propager rapidement à d’autres systèmes. Une précision méthodologique. La norme ne fait pas mention de dépendances de « deuxième et troisième niveaux ». Pour répondre sérieusement à cette exigence, toutefois, s’arrêter au premier niveau suffit rarement. Il s’agit d’une conclusion de bonne pratique, et non d’une obligation légale.

Du plan d’urgence au plan de résilience

Le décret impose aux entités critiques d’adopter des mesures techniques, de sécurité et organisationnelles adaptées et proportionnées. Ces mesures portent sur la prévention des incidents, la protection physique, la réaction et l’atténuation (y compris la gestion des crises), la remise en état, la continuité des activités et l’identification de chaînes d’approvisionnement alternatives afin de rétablir le service essentiel. L’entité critique doit élaborer un plan de résilience décrivant les mesures adoptées et le mettre à jour lorsque cela s’avère nécessaire, et en tout état de cause au moins tous les trois ans. Il n’est pas obligatoire de rédiger un nouveau document distinct : la directive parle de plan ou de « document équivalent » ; il est donc possible d’utiliser des plans de crise, de sécurité, de reprise ou d’autres documents, à condition qu’ils répondent aux exigences. Il s’agit d’une approche pragmatique. La résilience ne résulte pas d’une prolifération de plans, mais de la capacité à intégrer ceux qui existent déjà et à évaluer leur efficacité dans leur ensemble.

La résilience concerne également les personnes

Les mesures doivent prendre en compte le personnel, les fonctions critiques, les acteurs externes exerçant des activités importantes, les critères d’accès, la vérification des antécédents personnels pour les postes sensibles, ainsi que la formation et la sensibilisation. C’est un signe supplémentaire : la résilience est désormais une capacité organisationnelle à part entière. Une infrastructure peut être techniquement intacte et ne pas parvenir à fournir le service si le personnel fait défaut, si les rôles à tenir en cas de crise ne sont pas clairement définis, si les compétences essentielles sont concentrées entre les mains d’un petit nombre de personnes ou si les personnes chargées d’intervenir ne sont pas formées. Les personnes, les processus, la technologie, les sites et les fournisseurs constituent les composantes d’un système unique.

CER et NIS2 : la frontière entre le monde physique et le monde numérique s’estompe

La directive CER a été élaborée parallèlement à la directive NIS2, consacrée à la cybersécurité, et ce choix reflète une autre transformation : les infrastructures critiques deviennent de plus en plus cyber-physiques. Une centrale électrique, un réseau d’approvisionnement en eau, un port ou un réseau ferroviaire dépendent autant de systèmes numériques que de composants physiques. Une cyberattaque peut avoir des conséquences opérationnelles et physiques, tandis qu’un incendie, une inondation ou une coupure de courant peuvent compromettre les systèmes informatiques et de télécommunications. En Italie, la directive NIS 2 a été transposée par le décret législatif n° 138/2024 et la directive CER par le décret législatif n° 134/2024, adoptés le même jour. Leurs objectifs sont différents, mais ils se complètent : les entités identifiées comme critiques au sens de la CER sont également considérées comme essentielles au regard de la NIS2. D’un point de vue opérationnel, cette distinction réglementaire ne doit pas entraîner de séparation organisationnelle. En cas de crise, la cause peut être informatique ou physique, mais la question reste la même : quels sont les services concernés, quelles sont les dépendances impliquées et quelles capacités doivent être mobilisées pour maintenir les fonctions essentielles ?