Les événements récents fournissent le contexte le plus éloquent qui soit :
Constat clé
Ces événements ont un point commun : aucune des organisations touchées n’était négligente. Ce qui a manqué, c’est la capacité à tenir quand la rupture survient hors du périmètre. Une infrastructure peut être mise à l’arrêt sans être elle-même attaquée.
Le cadre français de sécurité des activités d’importance vitale a permis, depuis plusieurs années, de structurer des politiques de protection robustes dans les secteurs les plus sensibles. La directive (UE) 2022/2557 sur la résilience des entités critiques (REC) ne remet pas en cause cet acquis. Elle en déplace le centre de gravité.
L’approche traditionnelle repose sur la protection d’actifs, d’installations et de fonctions identifiés comme vitaux. La directive élargit cette lecture en mettant au premier plan la continuité effective du service. L’enjeu n’est plus seulement de savoir ce qu’il faut protéger, mais ce qui doit impérativement continuer à fonctionner malgré une crise, une rupture ou une dégradation prolongée.
Le blackout ibérique illustre précisément ce déplacement. Les actifs du réseau espagnol étaient protégés. Ce qui a manqué, c’est la capacité à absorber un enchaînement de défaillances. La cyberattaque sur MUSE illustre autre chose : une infrastructure critique peut être mise à l’arrêt par la simple défaillance d’un prestataire dont personne n’avait mesuré le caractère systémique. L’incendie du Grésivaudan, le sabotage Tesla et le blackout de Berlin de janvier 2026 démontrent la même chose : aucun dispositif de protection périmétrique interne ne peut prévenir une attaque sur une infrastructure externe dont dépend le site.
À Berlin en janvier 2026, des dizaines de milliers de foyers ne dépendaient que d’un seul point de raccordement. Cette vulnérabilité n’avait été identifiée par personne — jusqu’à ce qu’elle soit exploitée.
Pour les acteurs déjà soumis à des exigences fortes, la directive REC n’est pas un point de départ, mais une étape supplémentaire de maturité. Ces organisations disposent souvent d’une base structurée : gouvernance de sûreté, plans de continuité, procédures de crise, exercices réguliers. Cet avantage est réel. Il ne dispense pas d’un travail de réévaluation.
Le principal enjeu réside dans l’intégration. Dans de nombreuses entreprises, les dispositifs de sûreté, de cybersécurité, de continuité d’activité, de gestion de crise et de pilotage des tiers critiques ont été construits séparément, selon des logiques distinctes. La directive REC oblige à les articuler dans une vision cohérente de la résilience organisationnelle.
Le sabotage des LGV françaises en juillet 2024 est révélateur. La SNCF disposait de plans de continuité. Elle n’avait pas anticipé la simultanéité de quatre attaques coordonnées sur des postes de signalisation stratégiques. L’incendie de l’usine Diehl illustre une dimension supplémentaire : une entreprise industrielle stratégique peut être ciblée non pas seulement pour neutraliser sa production, mais pour fragiliser une chaîne d’approvisionnement critique.
La question centrale pour tout opérateur critique devient : les dispositifs existants permettent-ils non seulement de protéger, mais aussi de maintenir le service essentiel, de fonctionner en mode dégradé et de reprendre rapidement dans un contexte de crise complexe ?
La directive REC doit également retenir l’attention d’entreprises qui ne se considèrent pas spontanément comme concernées. L’épisode des aéroports européens de septembre 2025 est particulièrement instructif. Collins Aerospace n’est pas un aéroport. C’est un prestataire logiciel dont la défaillance a suffi à paralyser simultanément plusieurs infrastructures critiques dans plusieurs pays.
L’incendie du Grésivaudan en 2022 et le sabotage du pylône Tesla en 2024 illustrent le même mécanisme dans une filière industrielle. Dans les deux cas, la dépendance à une alimentation externe non redondée a suffi à provoquer l’arrêt — depuis l’extérieur du périmètre.
La logique de la directive conduit à apprécier le caractère critique d’une entité à partir de son impact potentiel sur la continuité d’un service essentiel, et non à partir d’une qualification historique. Une organisation n’a pas besoin d’être classée « vitale » pour le devenir dans les faits.
Attendre la stabilisation complète du cadre national serait une erreur d’appréciation. Le projet de loi français, voté au Sénat en mars 2025, est toujours en cours d’examen à l’Assemblée nationale. Mais la philosophie du texte est suffisamment claire pour agir. L’Allemagne, qui a transposé la directive fin janvier 2026, illustre ce que signifie agir sans attendre.
Plusieurs démarches méritent d’être engagées sans délai :
La préparation à REC ne peut pas être traitée comme un chantier de conformité spécialisé. Elle engage des arbitrages de gouvernance, de priorisation et d’organisation qui relèvent directement de la direction générale, en lien avec les fonctions sécurité, cyber, continuité, juridique et communication de crise.
Les organisations les plus robustes ne sont pas celles qui accumulent les procédures. Ce sont celles qui disposent d’une lecture claire de leurs fonctions essentielles, d’une chaîne de décision maîtrisée et d’une capacité démontrée à absorber un choc sans rupture majeure de service. La solidité d’un dispositif de résilience se vérifie dans les premières heures d’un incident, pas dans l’épaisseur d’un plan.
En février 2026, les dirigeants de l’industrie électrique européenne ont posé la question en termes clairs devant la Conférence de Munich : la résilience énergétique mérite d’être traitée avec la même urgence que la défense. Dans un contexte où les menaces sont plus fréquentes, plus hybrides et plus systémiques qu’elles ne l’ont jamais été, la directive REC doit être abordée pour ce qu’elle est : un cadre structurant pour renforcer durablement la robustesse des organisations qui tiennent une fonction essentielle dans l’économie et la société.
En résumé
REC n’est pas un exercice réglementaire supplémentaire. C’est un test de robustesse pour les organisations qui tiennent une fonction essentielle — et un signal clair que protéger ne suffit plus : il faut désormais être capable de tenir.de confusion.
C’est pourquoi elle doit être pensée comme un objet à part entière de la préparation, comme une séquence stratégique autonome, avec ses règles, ses priorités et ses exigences propres.
Notre équipe accompagne les organisations dans la structuration de leur démarche de résilience, en articulation avec leurs obligations réglementaires et leurs enjeux sectoriels.