ANNEXE

La présente annexe présente les objectifs, les principes, les principaux acteurs concernés et les interactions avec les autres mécanismes de réaction aux crises et de gestion des situations d’urgence existants, et décrit le fonctionnement d’un schéma directeur visant à coordonner la réponse aux incidents affectant des infrastructures critiques ayant une dimension transfrontière notable (ci-après dénommé «schéma directeur de l’UE pour les infrastructures critiques») et, le cas échéant, à améliorer la coopération entre les États membres et les institutions, organes et organismes compétents de l’Union en ce qui concerne ces incidents, conformément aux règles et procédures applicables. Le présent schéma directeur de l’UE pour les infrastructures critiques n’affecte en aucune manière le rôle et le fonctionnement d’autres dispositifs.

Partie I: Objectifs, principes, acteurs et autres instruments

1.   Objectifs

Le schéma directeur de l’UE pour les infrastructures critiques vise à promouvoir les trois principaux objectifs suivants lors de la réponse à un incident affectant une infrastructure critique ayant une incidence transfrontière notable, le cas échéant:

a)

une appréciation commune de la situation, étant donné qu’une bonne compréhension de l’incident affectant une infrastructure critique ayant une incidence transfrontière notable dans les États membres, de son origine et de ses conséquences potentielles pour toutes les parties prenantes concernées au niveau opérationnel et stratégique/politique est essentielle pour une réponse coordonnée appropriée;

b)

une communication publique coordonnée, car celle-ci contribue à atténuer les effets négatifs d’un incident affectant une infrastructure critique ayant une incidence transfrontière notable et à réduire au minimum les divergences dans les messages transmis au public entre les États membres, dans le plein respect des compétences nationales en matière de communication de crise. Lorsqu’elle est dans l’intérêt du public et qu’elle n’entrave pas les opérations de gestion des crises et des situations d’urgence, une communication publique claire est également importante pour atténuer les conséquences de la désinformation;

c)

une réponse coordonnée et efficace, étant donné que le renforcement de la réponse des États membres et de la coopération entre ceux-ci et avec les institutions, organes et organismes compétents de l’Union peut contribuer à atténuer les effets d’un incident affectant une infrastructure critique ayant une incidence transfrontière notable et à permettre le rétablissement rapide des services essentiels de manière à réduire au minimum la vulnérabilité à d’autres incidents importants.

2.   Principes

Proportionnalité

Les incidents qui perturbent des infrastructures critiques et/ou la fourniture de services essentiels n’atteignent souvent pas le seuil établi pour constituer un incident affectant une infrastructure critique ayant une incidence transfrontière notable, conformément au point 2) de la présente recommandation. En tant que tels, ils peuvent, en principe, être traités efficacement au niveau national. Par conséquent, l’application du schéma directeur de l’UE pour les infrastructures critiques devrait être limitée aux incidents affectant une infrastructure critique ayant une incidence transfrontière notable.

Subsidiarité

C’est aux États membres qu’il appartient au premier chef de répondre aux perturbations d’une infrastructure critique ou des services essentiels fournis par des entités critiques, conformément au droit de l’Union. Toutefois, les institutions, organes et organismes compétents de l’Union, notamment le Service européen pour l’action extérieure (SEAE) peuvent jouer un rôle complémentaire important en cas d’incident affectant une infrastructure critique ayant une incidence transfrontière notable, étant donné qu’un tel incident peut avoir des conséquences sur plusieurs pans de l’activité économique au sein du marché unique, voire sur tous les pans de celle-ci, sur la vie des citoyens vivant dans l’Union, sur la sécurité de l’Union et sur ses relations internationales avec ses partenaires, sans préjudice de la responsabilité qui incombe aux États membres en matière de sauvegarde de la sécurité nationale et de la défense.

Complémentarité

Le schéma directeur de l’UE pour les infrastructures critiques devrait prendre en considération et refléter le fonctionnement des mécanismes de gestion des crises et des situations d’urgence existants à l’échelon de l’Union, à savoir le dispositif intégré du Conseil pour une réaction au niveau politique dans les situations de crise (IPCR), le processus interne de coordination des crises de la Commission (ARGUS), le mécanisme de protection civile de l’Union (MPCU), soutenu par le centre de coordination de la réaction d’urgence (ERCC) créé dans le cadre du MPCU par la décision no 1313/2013/UE du Parlement européen et du Conseil (1), et le mécanisme de réaction aux crises du SEAE. Il devrait également s’appuyer sur des dispositifs sectoriels, y compris les dispositions relatives à la gestion coordonnée des incidents de cybersécurité majeurs prévues par la directive (UE) 2022/2555 du Parlement européen et du Conseil (2), le cadre EU-SCICF recommandé par le Comité européen du risque systémique (CERS) (3), le réseau des points de contact nationaux pour les transports (4), la cellule européenne de coordination de l’aviation en cas de crise (5) et les groupes de coordination pour l’électricité (6), le gaz (7) et le pétrole (8).

Le schéma directeur de l’UE pour les infrastructures critiques devrait en outre s’appuyer sur les structures et mécanismes existants au niveau de l’Union, y compris les groupes compétents du Conseil (à savoir le groupe Prociv-CER) et ceux établis par la directive (UE) 2022/2557 du Parlement européen et du Conseil (9), et utiliser ces structures et mécanismes, notamment en ce qui concerne la coopération entre les autorités compétentes des États membres, avec la Commission et au sein du groupe sur la résilience des entités critiques (CERG) établi par la directive (UE) 2022/2557. Il devrait également tenir compte des responsabilités des institutions, organes et organismes compétents de l’Union au titre du cadre juridique qui leur est applicable. Les activités de réaction aux crises affectant des infrastructures critiques sont complémentaires par rapport aux autres mécanismes de gestion des crises et des situations d’urgence au niveau de l’Union, au niveau national et au niveau sectoriel, qui soutiennent la coordination multisectorielle.

Confidentialité des informations

Le schéma directeur de l’UE pour les infrastructures critiques devrait tenir compte de l’importance de préserver la confidentialité des informations classifiées et des informations sensibles non classifiées relatives aux infrastructures critiques et aux entités critiques.

Aucun État membre n’est tenu de fournir des informations dont la divulgation serait contraire aux intérêts essentiels de sa sécurité nationale, de sa sécurité publique ou de sa défense. Sans préjudice de l’article 346 du TFUE, les informations considérées comme confidentielles en application de la réglementation de l’Union ou nationale, telle que les règles applicables au secret des affaires, ne devraient faire l’objet d’un échange avec la Commission et d’autres autorités concernées que si cet échange est nécessaire à l’application de la présente recommandation. Les informations échangées devraient se limiter à ce qui est nécessaire et proportionné à l’objectif de cet échange. L’échange d’informations devrait préserver la confidentialité de ces informations ainsi que la sécurité et les intérêts commerciaux des entités critiques, tout en respectant la sécurité des États membres.

3.   Acteurs concernés

Chaque État membre et les institutions, organes et organismes compétents de l’Union visés aux points a) à g) ci-dessous devraient identifier, conformément aux règles et procédures qui leur sont applicables, les acteurs pertinents pour chaque incident affectant une infrastructure critique ayant une incidence transfrontière notable, le cas échéant en fonction du secteur concerné et du type d’incident.

a)   États membres

—

Les autorités compétentes [par exemple, les autorités chargées des infrastructures critiques, les autorités sectorielles concernées, les points de contact uniques désignés ou mis en place conformément à l’article 9, paragraphe 2, de la directive (UE) 2022/2557 et les autorités désignées ou mises en place conformément à l’article 9, paragraphe 1, de la directive (UE) 2022/2557];

—	d’autres parties prenantes, y compris des entités ou des personnes occupant des fonctions spécifiques dans le secteur privé, comme les exploitants d’infrastructures critiques, y compris celles recensées en tant qu’entités critiques;

—	les ministres chargés de la résilience des infrastructures critiques et/ou le ou les ministres responsables du ou des secteurs les plus touchés par l’incident affectant une infrastructure critique ayant une incidence transfrontière notable en question.

b)   Le Conseil

—	La présidence du Conseil;

—	le Coreper, le Comité politique et de sécurité et le dispositif IPCR;

—	les groupes concernés, tels que le groupe «Protection civile – Résilience des entités critiques» (groupe Prociv-CER) et les présidents d’autres groupes pertinents;

—	le secrétariat général du Conseil.

c)   Le Conseil européen

—	Le président du Conseil européen.

d)   La Commission

—	Le service chef de file désigné et la direction générale de la migration et des affaires intérieures en tant que service responsable dans la zone et, en cas d’incident intersectoriel, la direction générale de la migration et des affaires intérieures et d’autres services compétents de la Commission;

—	la direction générale de la communication, y compris le service du porte-parole;

—	la direction générale HERA, l’autorité de préparation et de réaction en cas d’urgence sanitaire;

—	le groupe sur la résilience des entités critiques (CERG), présidé par un représentant de la Commission (direction générale de la migration et des affaires intérieures), et d’autres groupes et comités d’experts pertinents;

—	l’ERCC créé dans le cadre du MPCU (plateforme opérationnelle 24 heures sur 24, 7 jours sur 7, pour la gestion des urgences, établie dans le cadre du MPCU et relevant de la direction générale de la protection civile et des opérations d’aide humanitaire européennes);

—	le comité de sécurité sanitaire institué par l’article 4 du règlement (UE) 2022/2371 du Parlement européen et du Conseil (10);

—	le secrétariat général de la Commission (secrétariat du système ARGUS) et le secrétaire général (adjoint) (système ARGUS), la direction générale des ressources humaines (direction de la sécurité);

—	d’autres groupes d’experts compétents de la Commission qui assistent cette dernière dans la coordination des mesures en situation d’urgence ou de crise;

—

d’autres réseaux de gestion des crises et des situations d’urgence, y compris sectoriels [par exemple, le réseau des points de contact pour les transports géré par la direction générale de la mobilité et des transports, la task force (ou équipe spéciale) interinstitutionnelle chargée des crises cyber (11), la Cellule européenne de coordination de l’aviation en cas de crise];

—	le président et/ou le vice-président/commissaire responsable;

—	d’autres services de la Commission qui pourraient avoir des compétences dans des domaines d’expertise spécifiques.

e)   Le SEAE

—	La capacité unique d’analyse du renseignement (SIAC) composée du Centre de situation et du renseignement de l’UE (INTCEN) et de la direction «Renseignement» de l’État-major de l’Union européenne (EUMS INT);

—	le centre de réaction aux crises (CRC);

—	le haut représentant de l’Union pour les affaires étrangères et la politique de sécurité/vice-président de la Commission (ci-après dénommé «haut représentant»).

f)   Les organes et organismes compétents de l’Union, tels qu’Europol ou l’ENISA, en fonction des secteurs concernés (12)

g)   Autres structures pertinentes

—	Le réseau européen d’organisations de liaison en cas de crises de cybersécurité (EU-CyCLONe) institué par l’article 16 de la directive (UE) 2022/2555;

—	le réseau des centres de réponse aux incidents de sécurité informatiques (CSIRT) institué par l’article 15 de la directive (UE) 2022/2555;

—	le cadre paneuropéen de coordination des cyberincidents systémiques (EU-SCICF) prévu dans la recommandation CERS/2021/17 du CERS.

4.   Interaction avec les autres mécanismes et instruments pertinents de gestion des crises et des situations d’urgence

Le schéma directeur de l’UE pour les infrastructures critiques devrait être un instrument souple qui répertorie les différentes mesures susceptibles d’être prises, en tout ou partie, en faisant appel à différents dispositifs existants, en fonction de la nature et de la gravité de l’incident affectant une infrastructure critique ayant une incidence transfrontière notable et de la nécessité d’une coordination opérationnelle et stratégique/politique.

a)   Dispositif intégré pour une réaction au niveau politique dans les situations de crise (IPCR)

Conformément à la décision d’exécution (UE) 2018/1993 du Conseil (13), dans le cas d’une crise pour laquelle l’IPCR a été activé, les mesures prévues au titre du schéma directeur de l’UE pour les infrastructures critiques pourraient faire partie de la réponse de l’UE au niveau politique. Dans un tel cas, le processus décisionnel de l’IPCR s’appliquera et le schéma directeur de l’UE pour les infrastructures critiques pourrait être utilisé comme un instrument complémentaire fournissant un soutien spécifique concernant les infrastructures critiques à l’IPCR afin d’assurer une réponse bien coordonnée. Le dispositif IPCR est conçu pour permettre une coordination et une réaction rapides au niveau politique de l’Union (Coreper/Conseil) en cas de situations d’urgence ou de crise majeures. L’IPCR est également utilisé pour coordonner, au niveau stratégique/politique, la réponse à l’invocation de la clause de solidarité (article 222 du TFUE) afin d’assurer la cohérence et la complémentarité de l’action de l’Union et des États membres. Les modalités de mise en œuvre par l’Union de la clause de solidarité sont définies par la décision 2014/415/UE du Conseil (14).

b)   Mécanisme de protection civile de l’Union (MPCU)

En vertu de la décision no 1313/2013/UE, le MPCU peut être activé pour répondre à des catastrophes naturelles et d’origine humaine, réelles ou imminentes, à l’intérieur comme à l’extérieur de l’Union (y compris celles découlant d’incidents affectant des infrastructures critiques), avec le soutien opérationnel de l’ERCC. L’ERCC travaille en coopération étroite avec les autorités de protection civile nationales et les organismes compétents de l’Union afin de promouvoir une approche transsectorielle de la gestion des catastrophes.

c)   Boîte à outils hybride de l’UE et protocole opérationnel de l’UE de lutte contre les menaces hybrides

Le protocole opérationnel de l’UE de lutte contre les menaces hybrides (15) (ci-après dénommé «protocole de l’UE de lutte contre les menaces hybrides») décrit les processus et instruments applicables en cas de menaces ou campagnes hybrides tout au long du cycle de gestion des crises et des situations d’urgence.

En cas d’incident majeur affectant une infrastructure critique qui revêt une dimension hybride, les processus et instruments décrits dans le protocole de l’UE de lutte contre les menaces hybrides s’appliquent en complémentarité avec le schéma directeur de l’UE pour les infrastructures critiques, le cas échéant, par exemple pour obtenir des informations, des analyses ou des communications spécifiques sur les aspects hybrides de l’incident affectant une infrastructure critique ayant une incidence transfrontière notable et en ce qui concerne la coopération avec des partenaires extérieurs. En particulier, la boîte à outils hybride de l’UE (16) fournit un cadre pour une réponse coordonnée aux campagnes hybrides. Étant donné que la responsabilité première de la lutte contre les menaces hybrides incombe aux États membres, le processus décisionnel décrit dans les lignes directrices de mise en œuvre du cadre pour une réponse coordonnée de l’Union aux campagnes hybrides s’applique.

d)   Dispositions relatives à la gestion coordonnée des incidents de cybersécurité majeurs prévues par la directive (UE) 2022/2555

La directive (UE) 2022/2555 contient des dispositions relatives à la gestion coordonnée des incidents de cybersécurité majeurs via les réseaux de coopération existants, en particulier EU-CyCLONe et le réseau des CSIRT. EU-CyCLONe et le réseau des CSIRT coopèrent sur la base de modalités procédurales qui précisent les conditions de cette coopération et évitent toute duplication des tâches.

EU-CyCLONe sert d’intermédiaire entre les niveaux technique et politique lors d’incidents de cybersécurité majeurs et de crises, et renforce la coopération au niveau opérationnel et soutient la prise de décision au niveau politique. EU-CyCLONe s’appuie sur les conclusions du réseau des CSIRT et utilise ses propres capacités pour créer une analyse d’impact des incidents de cybersécurité majeurs et des crises. En cas d’incident affectant une infrastructure critique ayant une incidence transfrontière notable qui coïncide avec un incident de cybersécurité majeur ou qui semble être lié à un tel incident, les groupes compétents du Conseil devraient établir une coordination appropriée au niveau opérationnel, y compris en coopération avec EU-CyCLONe. L’objectif de la coordination devrait être de déterminer quel acteur et quel(s) instrument(s) ou mécanisme(s) pourraient contribuer le plus efficacement à répondre à l’incident affectant une infrastructure critique ayant une incidence transfrontière notable, tout en évitant les doubles emplois et les axes de travail parallèles. Cette coordination devrait être cohérente avec les dispositifs pertinents existant au moment de l’incident.

e)   Autres mécanismes et instruments sectoriels ou intersectoriels

Le schéma directeur de l’UE pour les infrastructures critiques ne devrait pas faire double emploi avec d’autres instruments de gestion des crises et des situations d’urgence ou mécanismes de coordination sectoriels ou intersectoriels. Lorsque de tels instruments ou mécanismes existent déjà, le schéma directeur de l’UE pour les infrastructures critiques devrait être utilisé, dans les limites de son champ d’application, comme un instrument complémentaire aux instruments ou mécanismes sectoriels ou intersectoriels, mais ne devrait pas les remplacer. La coordination nécessaire entre les différents acteurs devrait être assurée afin d’éviter de tels doubles emplois. En cas d’activation de l’IPCR, une coordination politique et stratégique aura lieu dans le cadre de l’IPCR. Au sein de la Commission, une coordination des crises au niveau interne est rendue possible par le processus interne de coordination des crises de la Commission, ARGUS, soutenu par l’ERCC.

Partie II: Échange d’informations et réponse coordonnée

Les actions décrites ci-après consistent en des modes de coopération, à savoir des échanges d’informations, une communication coordonnée et des réponses. Cette structure correspond aux modes de fonctionnement du mécanisme du Conseil pour la coordination des crises (IPCR) et tient compte, plus largement, de l’utilisation potentielle des mécanismes de coordination de crise qui existent déjà au niveau de l’Union. Elle montre comment ces modes de coopération s’y intégreraient s’ils étaient utilisés. Toutefois, la plupart de ces mesures peuvent également être prises de manière autonome: elles ne dépendent pas de l’utilisation de ce mécanisme, mais viennent plutôt le compléter. Les mesures sont présentées dans un ordre chronologique, tout en tenant compte du fait qu’en cas de crise de grande ampleur constituant un incident affectant une infrastructure critique ayant une incidence transfrontière notable, plusieurs mesures pourraient être prises simultanément et de manière continue.

1.   Échange d’informations

a)   Au niveau opérationnel

Les États membres touchés par un incident affectant une infrastructure critique ayant une incidence transfrontière notable devraient appliquer leurs propres mesures d’urgence, assurer la coordination avec les mécanismes nationaux de gestion des crises et des situations d’urgence pertinents et veiller à ce que tous les acteurs nationaux, régionaux et locaux concernés se mobilisent, le cas échéant.

S’il y a lieu, en ce qui concerne l’assistance relevant de la protection civile et le MPCU, la coordination entre les États membres et avec la Commission est assurée par l’intermédiaire de l’ERCC et les points de contact des États membres, conformément aux dispositions juridiques du MPCU.

i)   Partage d’informations et notification par les autorités nationales compétentes

Outre les obligations de notification et d’information prévues à l’article 15 de la directive (UE) 2022/2557, et conformément aux cadres juridiques nationaux pertinents, les autorités nationales compétentes chargées des infrastructures critiques dans les États membres touchés par un incident affectant une infrastructure critique ayant une incidence transfrontière notable devraient partager avec la présidence du Conseil et la Commission, par l’intermédiaire de leurs points de contact uniques et sans retard injustifié, à moins d’en être empêchées pour des raisons opérationnelles, les informations pertinentes, qui pourraient comprendre les informations reçues d’entités critiques, du ou des exploitants d’infrastructures critiques ou d’autres sources, concernant les mécanismes de gestion des crises et des situations d’urgence qui ont été activés.

L’échange d’informations concernant un incident affectant une infrastructure critique ayant une incidence transfrontière notable devrait se limiter à ce qui est nécessaire et proportionné à l’objectif de cet échange et devrait avoir lieu via des canaux de communication appropriés avec les services compétents de la Commission. Le cas échéant et s’il y a lieu, le dispositif IPCR et l’ERCC pourraient être utilisés. Les informations devraient être traitées conformément aux procédures et réglementations établies, y compris concernant le traitement des informations classifiées. L’utilisation potentielle de l’ERCC ne devrait pas avoir d’incidence sur les ressources du MPCU ni sur la disponibilité de l’ERCC pour continuer à soutenir pleinement le MPCU.

Ce partage d’informations pourrait notamment concerner, le cas échéant, la nature et la cause de l’incident affectant une infrastructure critique ayant une incidence transfrontière notable, les conséquences observées ou estimées de la perturbation sur l’infrastructure critique et la fourniture de services essentiels, les conséquences de l’incident par-delà les secteurs et les frontières et les mesures d’atténuation, déjà prises ou envisagées, au niveau national ou avec d’autres États membres concernés et la Commission dans le cadre d’accords existants, par exemple les accords de partage d’informations prévus aux articles 9 et 15 de la directive (UE) 2022/2557. Ce partage d’informations devrait être assuré sans détourner les ressources de l’infrastructure critique, ou, dans certains cas, de l’entité critique ou des États membres des activités liées à la gestion de l’incident, qui doivent être prioritaires.

Afin d’assurer le suivi, les services de la Commission notifiés, y compris ceux qui sont responsables du ou des secteurs dans lesquels l’incident affectant une infrastructure critique ayant une incidence transfrontière notable s’est produit, devraient informer le point de contact de la direction générale de la migration et des affaires intérieures et le secrétariat général de la Commission.

Dans le cas où les informations pourraient être pertinentes pour traiter un aspect relatif à la cybersécurité ou être liées à un incident de cybersécurité, la Commission et la présidence du Conseil devraient partager les informations pertinentes avec EU-CyCLONe. Les autorités compétentes au titre de la directive (UE) 2022/2557 et les autorités compétentes au titre de la directive (UE) 2022/2555 devraient également coopérer et échanger des informations concernant de tels incidents, sans retard injustifié.

En ce qui concerne le domaine maritime, les autorités nationales compétentes devraient envisager la possibilité d’utiliser l’environnement commun de partage de l’information (CISE) pour partager des informations dans les meilleurs délais.

ii)   Partage d’informations au niveau de l’Union

La Commission convoque dès que possible une réunion du CERG afin de faciliter les échanges d’informations pertinentes entre les autorités nationales compétentes chargées des infrastructures critiques et les institutions, organes et organismes compétents de l’Union au sujet de l’incident (nature, cause, incidence et conséquences par-delà les secteurs et les frontières), et en informe la présidence du Conseil. Étant donné que cette réunion du CERG sera axée sur l’incident concerné affectant une infrastructure critique ayant une incidence transfrontière notable et ses conséquences, il est rappelé aux États membres qu’ils peuvent demander à la Commission d’inviter des experts nationaux en la matière à cette réunion du CERG afin de faciliter la représentation la plus adéquate possible des États membres. En fonction du centre de gravité de l’incident, les services compétents de la Commission pourraient être étroitement associés à la réunion du CERG, afin de partager les informations recueillies au moyen des instruments sectoriels existants.

En cas d’incidents présentant à la fois une dimension de cybersécurité et une dimension physique non liée à la cybersécurité, le réseau des CSIRT et EU-CyCLONe coopéreront sur la base des modalités procédurales visées à l’article 15, paragraphe 6, de la directive (UE) 2022/2555. La présidence devrait assurer la coordination avec les groupes compétents, les services compétents de la Commission, le SEAE, le CERT-UE, l’ENISA et Europol. S’il y a lieu, le CERT-UE partage les informations pertinentes avec le réseau des CSIRT, tandis que la Commission partage des informations avec EU-CyCLONe. En accord avec les présidences respectives, la Commission (direction générale de la migration et des affaires intérieures et direction générale des réseaux de communication, du contenu et des technologies) peut, le cas échéant, proposer une réunion conjointe du CERG avec EU-CyCLONe et le réseau des CSIRT, et en informe la présidence du Conseil.

En cas d’incident intersectoriel affectant une infrastructure critique ayant une incidence transfrontière notable qui présente des répercussions ou une importance politique considérables au niveau de l’Union, la présidence du Conseil, de sa propre initiative et après consultation de l’État ou des États membres touchés, de la Commission et du haut représentant, ou à la demande d’un ou de plusieurs États membres, peut étudier des possibilités de coordination intersectorielle dans le cadre de l’IPCR. En cas d’activation de l’IPCR, par exemple en mode «partage de l’information», une coordination politique et stratégique aurait lieu dans le cadre de l’IPCR, le schéma directeur de l’UE pour les infrastructures critiques apportant les contributions nécessaires concernant les infrastructures critiques à l’appui des travaux de l’IPCR.

Dans le cas où un incident affectant une infrastructure critique ayant une incidence transfrontière notable touche également un pays tiers, la présidence du Conseil, en concertation avec les États membres touchés et la Commission, devrait examiner la pertinence d’une collaboration avec ce pays tiers ainsi que les modalités de cette collaboration.

iii)   Soutien de la Commission et des agences de l’Union

Le cas échéant et conformément à son mandat, Europol présente un rapport de situation sur l’incident au niveau de l’Union. D’autres agences de l’Union, le cas échéant et agissant conformément à leurs mandats respectifs, communiquent à leurs directions générales de tutelle respectives, qui font à leur tour rapport à la Commission (direction générale de la migration et des affaires intérieures), en tant que présidente du CERG, les informations pertinentes qui contribuent à l’appréciation de la situation ou à la réponse coordonnée à l’incident affectant une infrastructure critique ayant une incidence transfrontière notable. La Commission tient la présidence du Conseil dûment informée.

La Commission peut contribuer à l’appréciation de la situation en utilisant les moyens du programme spatial de l’Union (17), tels que Copernicus, Galileo ou EGNOS, le cas échéant et conformément aux cadres juridiques nationaux et de l’Union applicables.

b)   Au niveau stratégique

i)   Élaboration de rapports sur la base des contributions des États membres

La Commission élabore un rapport dans le domaine de la résilience des infrastructures critiques sur la base des informations (relatives à l’incident affectant une infrastructure critique ayant une incidence transfrontière notable et aux bonnes pratiques existantes concernant le traitement d’un tel incident) partagées par les autorités nationales compétentes lors d’une réunion du CERG ou de réunions conjointes avec les services, groupes d’experts ou réseaux concernés, ainsi que des autres informations disponibles. Ce rapport sera distribué aux membres du CERG, aux membres du groupe Prociv-CER et, en concertation avec la présidence du Conseil, aux autres parties prenantes concernées. Si nécessaire, le rapport sera classifié au niveau approprié et, en tout état de cause, distribué aux destinataires concernés dans les États membres, conformément aux règles et procédures relatives à la sécurité de l’information définies dans les cadres juridiques applicables.

Le cas échéant, ce rapport tiendra compte des résultats des analyses et évaluations des risques et des scénarios de risques pertinents au niveau de l’Union du point de vue de la cybersécurité, y compris ceux réalisés par la Commission, le haut représentant et le groupe de coopération.

En cas d’activation de l’IPCR, ce rapport peut contribuer au rapport sur la connaissance et l’analyse intégrées de la situation (ISAA) élaboré par les services de la Commission et le SEAE.

Le cas échéant, la SIAC présente une évaluation actualisée de l’incident fondée sur des renseignements.

ii)   Activation des mécanismes de coordination de crise de l’Union et utilisation des instruments de l’Union

Conformément aux dispositions juridiques du MPCU, l’ERCC peut commencer à fournir un soutien en matière d’appréciation de la situation concernant l’incident lorsque le MPCU est activé (18). Par ailleurs, les États membres touchés peuvent demander des images satellite de leur territoire en faisant appel au service Copernicus de gestion des urgences.

Lorsque cela est jugé approprié pour partager des informations au sein de la Commission avec le SEAE et les agences compétentes de l’Union, la direction générale chef de file ou la direction générale de la migration et des affaires intérieures, en coordination avec le secrétariat général, active la phase I du processus interne de coordination des crises de la Commission (ARGUS) en ouvrant un événement sur l’outil informatique ARGUS. La Commission veille à ce que les informations pertinentes soient partagées avec les États membres lors des tables rondes de l’IPCR et par l’intermédiaire de la plateforme IPCR.

La présidence du Conseil peut activer le dispositif IPCR en mode «partage de l’information», ce qui entraîne l’élaboration de rapports ISAA par la Commission et le SEAE, avec des contributions des autorités nationales compétentes et d’autres sources, le cas échéant. Même sans activer l’IPCR, une page de surveillance peut être ouverte sur la plateforme internet de l’IPCR par la présidence du Conseil. Le secrétariat général du Conseil, en accord avec la présidence, peut créer une page de surveillance, éventuellement à la demande d’un État membre touché, des services de la Commission ou du SEAE.

D’autres mécanismes et instruments (sectoriels) de gestion des crises et des situations d’urgence de l’Union peuvent être activés conformément aux procédures respectives, le cas échéant. La Commission assurera la coordination entre ces mécanismes et instruments.

Si l’incident physique coïncide avec un incident de cybersécurité majeur, tel qu’il est défini à l’article 6, point 7, de la directive (UE) 2022/2555, ou semble être lié à un tel incident, la présidence du Conseil peut également appliquer les dispositions relatives à la gestion coordonnée des incidents de cybersécurité majeurs prévues par la directive (UE) 2022/2555 pour établir une coordination appropriée associant, entre autres, le groupe horizontal «Questions cyber», le groupe Prociv-CER, le CERG, EU-CyCLONe et le réseau des CSIRT, conformément à leurs propres règles et procédures.

iii)   Coordination de la communication publique

Les États membres touchés par un incident affectant une infrastructure critique ayant une incidence transfrontière notable devraient coordonner, dans la mesure du possible, leur communication publique sur la crise, tout en respectant les compétences et cadres administratifs nationaux en la matière. Le réseau des responsables de la communication de crise de l’IPCR peut être associé, le cas échéant.

Sur la base de l’appréciation commune de la situation, le groupe Prociv-CER, en collaboration avec les États membres touchés et en concertation avec la Commission, peut organiser un échange de vues sur les approches des États membres et de la Commission en matière de communication publique. En tant que de besoin, le groupe Prociv-CER devrait s’efforcer de trouver un terrain d’entente afin de faciliter la coordination entre les États membres.

Il convient à cet égard de garder à l’esprit que les efforts de communication ne devraient pas compromettre les opérations nationales de gestion des crises et des situations d’urgence.

Europol et les autres agences compétentes de l’Union coordonnent leurs activités de communication publique avec le service du porte-parole de la Commission, sur la base d’une appréciation commune de la situation et en concertation avec les États membres touchés. L’ERCC n’aura aucun rôle dans la communication de crise au public dans le cadre du schéma directeur.

Si l’incident affectant une infrastructure critique ayant une incidence transfrontière notable comporte une dimension externe ou hybride, la communication publique est coordonnée avec le SEAE et le service du porte-parole de la Commission, comme le prévoit le protocole opérationnel de l’UE de lutte contre les menaces hybrides.

2.   Réponse (comprenant des actions continues décrites dans le cadre de l’échange d’informations et des actions supplémentaires au niveau stratégique/politique)

a)   Au niveau stratégique

i)   Élaboration continue de rapports sur la situation

Le groupe Prociv-CER devrait être informé de l’élaboration des rapports (par exemple, le rapport ISAA en cas d’activation de l’IPCR ou le rapport fondé sur les contributions des États membres dans le domaine de la résilience des infrastructures critiques élaboré par la Commission) et devrait préparer la réunion du Coreper, si celle-ci n’a pas encore été convoquée, ou la réunion du Comité politique et de sécurité, selon le cas.

La SIAC intensifie son action auprès des services de renseignement des États membres, regroupe les informations provenant de toutes les sources et prépare une analyse et une évaluation de l’incident, ainsi que des mises à jour régulières, si nécessaire.

ii)   Organisation de réunions de coordination

Sur la base de l’appréciation commune de la situation, la présidence du Conseil devrait convoquer, dès que possible, des réunions du groupe Prociv-CER afin d’examiner, dans le domaine de la résilience des infrastructures critiques, les lacunes dans la réponse de l’Union à l’incident affectant une infrastructure critique ayant une incidence transfrontière notable, et d’étudier les possibilités de coordination entre les États membres et les institutions, organes et organismes de l’Union. Si l’IPCR devait être activé, les conclusions de ces réunions, transmises par la présidence, pourraient venir alimenter les tables rondes de crise de l’IPCR. Les tables rondes de crise de l’IPCR peuvent également être l’occasion de mettre en évidence certaines lacunes spécifiques dans la réponse aux incidents affectant des infrastructures critiques ayant une dimension transfrontière notable et de demander, entre autres, au groupe Prociv-CER de remédier à ces lacunes et de rendre compte des résultats lors de futures tables rondes de crise de l’IPCR, afin de soutenir les efforts de coordination politique et stratégique de l’IPCR.

iii)   Activation totale des mécanismes de coordination de crise de l’Union et utilisation des instruments de l’Union

Si l’IPCR est activé par la présidence du Conseil en mode «activation totale»:

La coordination de la réponse au niveau politique de l’Union devrait être assurée par le Conseil, au moyen du dispositif IPCR.

La présidence du Conseil demande la tenue, en temps utile, d’une table ronde informelle réunissant les acteurs nationaux, de l’Union et internationaux concernés, au cours de laquelle l’État ou les États membres touchés peuvent rendre compte de l’incident, la présidence peut rendre compte des conclusions des groupes compétents du Conseil et les services de la Commission peuvent rendre compte de la ou des réunions du groupe compétent convoquées précédemment, ces comptes rendus étant complétés par le SEAE, le cas échéant.

Lors de cette réunion, la SIAC et les agences compétentes de l’Union peuvent être invitées à présenter une mise à jour de la situation en ce qui concerne l’incident affectant une infrastructure critique ayant une incidence transfrontière notable.

Le service chef de file pour l’ISAA (le service chef de file de la Commission ou le SEAE) élabore le rapport ISAA avec les contributions des services compétents de la Commission, des organes et organismes compétents de l’Union et des autorités nationales compétentes. Les États membres sont également invités à apporter leur contribution, par l’intermédiaire de la plateforme internet de l’IPCR.

Si le président de la Commission active la phase II du processus interne de coordination des crises de la Commission (ARGUS), une ou plusieurs réunions du comité de coordination de crise auxquelles participent les services compétents de la Commission, les agences et le SEAE, le cas échéant, sont convoquées à bref délai afin de coordonner tous les aspects de l’incident affectant une infrastructure critique ayant une incidence transfrontière majeure.

En cas d’incident affectant une infrastructure critique ayant une incidence transfrontière notable qui présente un intérêt commun pour l’Union et l’OTAN, les services de la Commission et le SEAE peuvent convoquer une réunion du dialogue structuré UE-OTAN sur la résilience afin de contribuer à l’élaboration d’une appréciation commune de la situation et à un échange d’informations sur les mesures prises par l’Union et l’OTAN, dans le plein respect des compétences de l’Union et des États membres conformément aux traités et des grands principes directeurs de la coopération UE-OTAN, comme convenu par le Conseil européen, en particulier la réciprocité, l’inclusion et l’autonomie décisionnelle, et dans une transparence totale à l’égard de tous les États membres. L’importance que revêt un échange d’informations sans entraves entre l’Union et l’OTAN étant réaffirmée, des informations sur les incidents jugés sensibles par l’État membre touché pourraient être partagées avec l’OTAN, avec le consentement explicite de l’État membre touché. Les États membres seront informés des résultats du dialogue structuré en ce qui concerne l’application du schéma directeur de l’UE pour les infrastructures critiques.

iv)   Communication publique

Le cas échéant, le Conseil devrait faciliter les échanges concernant les approches en matière de communication publique et, si nécessaire, tenter de trouver un terrain d’entente afin de faciliter la coordination entre les États membres et avec la Commission. Le réseau informel des responsables de la communication de crise établi dans le cadre de l’IPCR peut apporter son soutien à ces travaux. Les services de la Commission élaborent également des messages de communication publique, le cas échéant et en concertation avec les États membres touchés.

Si l’incident affectant une infrastructure critique ayant une incidence transfrontière notable comporte une dimension externe ou hybride, la communication publique devrait être coordonnée avec le SEAE et le service du porte-parole de la Commission. L’ERCC n’aura aucun rôle dans la communication de crise au public dans le cadre du schéma directeur.

v)   Soutien aux États membres et réponse efficace

La présidence du Conseil peut convoquer davantage de réunions du groupe Prociv-CER et d’autres groupes compétents pour soutenir les activités menées dans le cadre de l’IPCR, si celui-ci est activé.

Les États membres touchés par l’incident affectant une infrastructure critique ayant une incidence transfrontière notable peuvent demander le soutien technique d’autres États membres de manière bilatérale ou par l’intermédiaire de la présidence du Conseil et/ou du groupe Prociv-CER, par exemple une expertise spécifique afin d’atténuer les effets néfastes de l’incident affectant une infrastructure critique ayant une incidence transfrontière notable.

Les États membres touchés par l’incident affectant une infrastructure critique ayant une incidence transfrontière notable peuvent également demander le soutien technique et/ou financier de la Commission ou des agences compétentes de l’Union. Lorsqu’elle reçoit une telle demande, la Commission, en coordination avec les agences compétentes de l’Union, évalue son éventuel soutien et active, le cas échéant et avec l’accord des États membres touchés, des mesures techniques d’atténuation au niveau de l’Union, conformément aux procédures respectives applicables, et coordonne les capacités techniques nécessaires pour mettre fin aux effets de l’incident affectant une infrastructure critique ayant une incidence transfrontière notable ou les réduire. La Commission et la présidence devraient se tenir mutuellement informées, de manière adéquate, de ces demandes, en vue d’assurer une coordination efficace.

Les pays touchés peuvent activer le MPCU pour demander une assistance, après quoi l’ERCC collaborerait avec les points de contact des États membres, conformément aux dispositions juridiques du MPCU, pour coordonner la fourniture de l’assistance.

Dans le cadre de leurs mandats respectifs et sur demande, Europol et d’autres agences compétentes de l’Union pourraient aider les États membres touchés par un incident affectant une infrastructure critique ayant une incidence transfrontière notable à enquêter sur cet incident.

b)   Au niveau politique

La présidence du Conseil peut examiner la nécessité de convoquer des tables rondes de l’IPCR, des réunions des groupes du Conseil, des réunions du Coreper ou des sessions du Conseil afin de procéder à des échanges de vues sur l’origine possible et les conséquences attendues pour les États membres et pour l’Union de l’incident affectant une infrastructure critique ayant une incidence transfrontière notable, de convenir de lignes directrices communes et d’adopter les mesures nécessaires pour soutenir les États membres touchés par cet incident et en atténuer les effets. Le Conseil européen peut également se pencher sur cette question.

Aperçu schématique du schéma directeur de l’UE pour les infrastructures critiques

---

(1)  Décision no 1313/2013/UE du Parlement européen et du Conseil du 17 décembre 2013 relative au mécanisme de protection civile de l’Union (JO L 347 du 20.12.2013, p. 924).

(2)  Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) no 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2) (JO L 333 du 27.12.2022, p. 80).

(3)  Recommandation du Comité européen du risque systémique du 2 décembre 2021 sur un cadre paneuropéen de coordination des cyberincidents systémiques pour les autorités concernées (CERS/2021/17).

(4)  Communication de la Commission du 23 mai 2022 intitulée «Un plan d’urgence pour les transports» (COM(2022) 211 final).

(5)  Créée en vertu de l’article 19 du règlement d’exécution (UE) 2019/123 de la Commission du 24 janvier 2019 établissant les modalités d’exécution des fonctions de réseau de la gestion du trafic aérien et abrogeant le règlement (UE) no 677/2011 de la Commission (JO L 28 du 31.1.2019, p. 1).

(6)  Décision 2012/C 353/02 de la Commission du 15 novembre 2012 portant création du groupe de coordination pour l’électricité (JO C 353 du 17.11.2012, p. 2).

(7)  Règlement (UE) 2017/1938 du Parlement européen et du Conseil du 25 octobre 2017 concernant des mesures visant à garantir la sécurité de l’approvisionnement en gaz naturel et abrogeant le règlement (UE) no 994/2010 (JO L 280 du 28.10.2017, p. 1).

(8)  Directive 2009/119/CE du Conseil du 14 septembre 2009 faisant obligation aux États membres de maintenir un niveau minimal de stocks de pétrole brut et/ou de produits pétroliers (JO L 265 du 9.10.2009, p. 9).

(9)  Directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil (JO L 333 du 27.12.2022, p. 164).

(10)  Règlement (UE) 2022/2371 du Parlement européen et du Conseil du 23 novembre 2022 concernant les menaces transfrontières graves pour la santé et abrogeant la décision no 1082/2013/UE (JO L 314 du 6.12.2022, p. 26).

(11)  Un groupe informel comprenant les services compétents de la Commission, le SEAE, l’Agence de l’Union européenne pour la cybersécurité (ENISA), la CERT-UE et Europol, coprésidé par la direction générale des réseaux de communication, du contenu et des technologies et le SEAE.

(12)  Par exemple, pour les transports: l’Agence de l’Union européenne pour la sécurité aérienne (AESA), l’Agence européenne pour la sécurité maritime (AESM), l’Agence ferroviaire européenne (AFE); pour la santé: le Centre européen de prévention et de contrôle des maladies (ECDC) et l’Agence européenne des médicaments (EMA); pour l’énergie: l’Agence de coopération des régulateurs de l’énergie (ACER); pour l’espace: l’Agence de l’Union européenne pour le programme spatial (EUSPA); pour le secteur de l’alimentation: l’Autorité européenne de sécurité des aliments (EFSA); pour le secteur maritime: l’Agence européenne de contrôle des pêches (AECP); pour les cyberincidents: les centres de réponse aux incidents de sécurité informatiques (CSIRT), l’équipe d’intervention en cas d’urgence informatique pour les institutions, organes et agences de l’Union (CERT-UE), la BCE, le CERS, les autorités européennes de surveillance (AES).

(13)  Décision d’exécution (UE) 2018/1993 du Conseil du 11 décembre 2018 concernant le dispositif intégré de l’Union européenne pour une réaction au niveau politique dans les situations de crise (JO L 320 du 17.12.2018, p. 28).

(14)  Décision 2014/415/EU du Conseil du 24 juin 2014 concernant les modalités de mise en œuvre par l’Union de la clause de solidarité (JO L 192 du 1.7.2014, p. 53).

(15)  Document de travail conjoint — Protocole opérationnel de l’Union européenne de lutte contre les menaces hybrides (SWD(2023) 116 final).

(16)  Conclusions du Conseil du 21 juin 2022 sur un cadre pour une réponse coordonnée de l’UE aux campagnes hybrides; lignes directrices de mise en œuvre du cadre pour une réponse coordonnée de l’UE aux campagnes hybrides (15880/22).

(17)  Règlement (UE) 2021/696 du Parlement européen et du Conseil du 28 avril 2021 établissant le programme spatial de l’Union et l’Agence de l’Union européenne pour le programme spatial et abrogeant les règlements (UE) no 912/2010, (UE) no 1285/2013 et (UE) no 377/2014 et la décision no 541/2014/UE (JO L 170 du 12.5.2021, p. 69).

(18)  Prenant par exemple la forme de la publication de produits pour le suivi des médias, de messages de protection civile, de notes analytiques, de cartes quotidiennes («Daily Map») de la DG ECHO, de bulletins d’information quotidiens («Daily Flash») de la DG ECHO et d’autres produits sur mesure.