Le 21 septembre 2026, la Cour des comptes européenne publie le rapport spécial 19/2026 intitulé « La cyberdéfense de l'UE n'est que partiellement efficace ». Le constat central est précis : en 2025, sept États membres seulement ont formellement notifié 14 incidents transfrontaliers à l'ENISA et aux pays concernés, alors que l'agence avait elle-même recensé 322 incidents affectant au moins deux États membres (source : rapport spécial 19/2026, Cour des comptes européenne, 21 septembre 2026). L'écart entre la réalité opérationnelle et les flux de notification officiels est de l'ordre de vingt pour un.
Ce que le rapport mesure
Le rapport s'appuie sur un audit du cadre de coopération cyber de l'Union européenne sur la période 2021-2025. La Cour des comptes a examiné le fonctionnement de la directive NIS2, du programme Europe numérique — doté de 1,4 milliard d'euros pour la cybersécurité sur la période 2021-2027 (source : rapport spécial 19/2026) — ainsi que les structures opérationnelles, CyCLONe, ENISA et le réseau des CSIRT nationaux.
Deux conclusions ressortent de l'audit. La première : seuls deux États membres sur vingt-sept ont respecté l'échéance d'octobre 2024 pour la transposition de NIS2 en droit national. La France fait partie des États en retard, avec un renvoi devant la CJUE prononcé le 8 juillet 2026. La deuxième : même dans les pays où NIS2 est transposé, la notification effective d'incidents transfrontaliers reste marginale. Les organisations notifient à leur autorité nationale. La remontée vers ENISA et les autres États membres affectés ne suit pas.
L'aviation européenne : un test grandeur nature raté
Le rapport cite un incident révélateur. À l'automne 2025, une attaque informatique provoque des perturbations en cascade sur le trafic aérien européen. L'Allemagne, la Belgique et l'Irlande comptent parmi les pays affectés. Aucun des trois n'active la coordination européenne prévue par NIS2. CyCLONe, le réseau de liaison des autorités nationales compétentes en matière de cybersécurité, n'est pas mis en alerte.
Ce n'est pas une défaillance humaine isolée. C'est le symptôme d'une architecture incomplète. Le rapport note que le système européen d'alerte en cybersécurité n'était pas encore opérationnel au moment de l'audit. Les accords de coopération techniques entre structures n'étaient pas finalisés. Les responsabilités entre le Centre de situation cyber de la Commission et l'ENISA restaient floues, avec des chevauchements documentés. En situation d'incident réel, « une alerte technique devient un problème de permissions », résume le rapport.
Pourquoi les entités notifient peu au niveau européen
Trois facteurs expliquent l'écart entre 14 notifications formelles et 322 incidents recensés par ENISA.
Le premier est structurel. Les entités NIS2 notifient leur CSIRT ou autorité nationale compétente. La remontée vers ENISA est une étape supplémentaire, à la charge des autorités nationales. Si ces autorités ne relaient pas, l'ENISA ne reçoit rien. Aucun mécanisme ne garantit la transmission automatique.
Le deuxième est juridique. Certains États membres ont des législations de sécurité nationale qui restreignent le partage d'informations sur les incidents entre pays. NIS2 n'a pas encore produit d'harmonisation sur ce point. Un incident affectant une infrastructure critique peut être couvert par le secret de la défense nationale dans un État, et librement partageable dans un autre.
Le troisième est opérationnel. Les entités elles-mêmes ne savent souvent pas si l'incident qu'elles vivent a une dimension transfrontalière. Elles découvrent l'étendue de la compromission en semaines, pas en heures. La notification précoce imposée par NIS2 (24 heures pour l'alerte initiale) précède souvent la qualification complète de l'incident. Les pièges opérationnels de la notification en 24 heures sont documentés : le manque de visibilité sur la propagation transfrontalière en fait partie.
Ce que cela change pour votre organisation
La tentation est de conclure que, puisque la coopération interétatique ne fonctionne pas, les contraintes de notification sont théoriques. C'est l'inverse qu'il faut retenir.
Le mécanisme de remontée européen est défaillant, mais les autorités nationales restent actives. L'ANSSI dispose, depuis le mécanisme REACTIV, de pouvoirs d'imposition de mesures immédiates. La CNIL contrôle les violations de données. Ces deux canaux fonctionnent indépendamment du système de coopération transfrontalière. La notification à l'autorité nationale reste obligatoire et contrôlée.
La deuxième conséquence concerne le renseignement sur les menaces. Le rapport confirme que vous ne pouvez pas compter sur un partage automatique d'information sur les incidents affectant d'autres organisations dans d'autres États membres. Les 322 incidents recensés par ENISA ne sont pas publics dans leur détail. Vos équipes de sécurité travaillent avec un déficit structurel d'information sur les incidents transfrontaliers. Cela renforce l'intérêt de flux de renseignement complémentaires, sectoriels ou commerciaux, pour pallier l'absence d'un système public efficace.
Trois ajustements pratiques
Premier ajustement : ne construisez pas vos délais de notification sur l'hypothèse que d'autres organisations affectées par le même vecteur auront alerté les autorités avant vous. Le mécanisme de coopération ne le garantit pas. Votre obligation commence au moment où vous avez connaissance de l'incident, quelle que soit la situation des autres entités concernées.
Deuxième ajustement : si votre activité vous expose à des risques transfrontaliers, par exemple parce que vos systèmes traitent des données ou des flux pour des entités dans plusieurs États membres, intégrez une étape d'évaluation de la dimension transfrontalière dans votre playbook d'incident. Cette évaluation conditionne les obligations de notification applicables, qui varient selon les pays affectés.
Troisième ajustement : le rapport souligne l'absence de système de déclaration unique pour les incidents multirégimes. Le projet de guichet unique porté par le règlement de simplification numérique de la Commission n'est pas encore opérationnel. En attendant, cartographiez les obligations de notification applicables à votre organisation selon les régimes actifs, CRA, NIS2, RGPD, et identifiez les délais les plus contraignants pour chacun. Un incident peut déclencher plusieurs obligations en parallèle, avec des destinataires différents et des délais distincts.
Ce que le rapport recommande
La Cour des comptes européenne formule quatre recommandations à la Commission. Renforcer la coordination pour éviter les doublons entre l'ENISA et le Centre de situation cyber. Examiner les possibilités d'acquisition et d'analyse conjointe d'informations entre institutions. Garantir que le futur guichet unique de déclaration permet d'identifier les incidents transfrontaliers. Renforcer la capacité d'ENISA en matière de détection et de réponse aux incidents.
Ces recommandations s'adressent aux institutions européennes. Leur mise en oeuvre prendra des années. Pour vos équipes, la conclusion pratique est immédiate : notifiez comme si la coopération interétatique n'existait pas. Elle n'existe pas encore vraiment.