Summary

  • Lors de l’audit couvrant 2022 à 2025, treize États membres avaient choisi les deux premiers centres transfrontaliers, ATHENA et ENSOC. La Cour des comptes européenne les a trouvés non opérationnels et le système européen d’alerte cyber ne fonctionnait pas encore.
  • Les candidatures aux marchés ont été ouvertes en mai et juillet 2024; les entreprises retenues pour la deuxième étape n’ont été prévenues qu’en avril 2025. Quelques lots d’ENSOC ont avancé en août 2025, mais aucun lot n’avait donné lieu à un contrat signé à la date de l’audit.
  • Le passage du centre commun aux équipes nationales et à EU-CyCLONe exige aussi des accords de coopération, des termes communs pour qualifier un incident et des normes d’interopérabilité. La preuve à attendre est un test daté du service et de la transmission d’une alerte entre ces réseaux.

Une adhésion ne détecte aucune intrusion

L’idée est facile à défendre. Un logiciel malveillant peut traverser une frontière avant que deux administrations aient fini d’échanger leurs formulaires. Le système européen d’alerte en matière de cybersécurité devait ajouter des centres nationaux et transfrontaliers capables de mettre en commun les signaux, de les analyser et de prévenir les autres. Treize États avaient rejoint les deux premiers regroupements. L’adhésion donnait une forme politique au projet; elle ne donnait pas encore un outil commun au personnel de permanence.

ATHENA et ENSOC ont commencé leurs travaux en janvier 2024. Ils disposaient de subventions pour établir et exploiter les centres. Leurs outils avancés de détection relevaient d’une autre voie: des achats conjoints menés selon une procédure restreinte à deux étapes. La restriction protège les détails techniques sensibles. Elle laisse néanmoins une question brutale lorsque l’achat s’enlise: qui fixe à temps ce qu’il faut acheter?

La première étape d’ENSOC a commencé en mai 2024; celle d’ATHENA, en juillet. Les candidats avaient un mois pour se présenter. Les candidats sélectionnés n’ont reçu la réponse qu’en avril 2025. Ensuite, les membres des centres et le Centre européen de compétences en matière de cybersécurité, l’ECCC, n’avaient pas achevé les spécifications nécessaires pour obtenir des offres. La deuxième étape n’a débuté qu’en août 2025 pour certains lots d’ENSOC; celle d’ATHENA était envisagée au début de 2026. À la date examinée par les auditeurs, aucun lot n’avait abouti à un contrat signé.

Le calendrier a laissé une trace officielle: les conventions de subvention ont été prolongées pour tenir compte de quinze mois de retard pour ATHENA et de dix-huit pour ENSOC. Les auditeurs ont trouvé les deux centres à l’arrêt sur le plan opérationnel et le nouveau système d’alerte sans fonctionnement effectif. Ce constat porte sur ces centres et ce moment précis. Une date de mise en service accompagnée d’un essai de transmission montrerait quand la situation a changé.

Le vocabulaire est une pièce de l’équipement

Même un achat terminé n’assurerait pas la circulation d’un avertissement. L’Europe possède déjà des équipes nationales de réponse aux incidents, leur réseau CSIRTs, et EU-CyCLONe pour la liaison lors des grandes crises. Le Cyber Blueprint de 2025 a clarifié une grande partie des responsabilités. Les procédures entre les CSIRTs et EU-CyCLONe, elles, n’étaient toujours pas formalisées: quand un incident devient-il potentiellement majeur, sous quel degré de gravité, et qui reçoit l’avis? Les autorités des trois pays visités par les auditeurs, l’Irlande, la Grèce et l’Italie, ont toutes évoqué l’absence d’un vocabulaire partagé.

Les nouveaux centres ajoutent une autre voie aux informations sur les menaces, les vulnérabilités et les indices de compromission. Un cercle de confiance peut accélérer un échange entre États. Il peut également multiplier les transmissions dont personne ne sait qui doit confirmer la réception. L’audit relève un chevauchement avec les équipes CSIRTs et l’absence de frontière claire entre leurs tâches. Les centres devaient communiquer entre eux, puis avec les structures de réaction existantes. Les accords et les normes nécessaires à cet échange n’étaient pas prêts.

La sécurité nationale explique une partie de la prudence. Une alerte peut contenir des informations que l’État ne souhaite pas diffuser sans limite. Cette contrainte réclame des règles de partage plus précises: quelles données, à quel niveau de gravité, à quel destinataire et avec quelle preuve de réception. Sans ce travail, « partager sans délai » reste une belle formule juridique que l’on ne peut pas programmer dans un système.

La page officielle des marchés de l’ECCC affiche encore des appels concernant l’infrastructure de la plateforme ATHENA et le site d’hébergement espagnol d’ENSOC, avec des échéances de candidature en septembre 2026. Elle atteste une activité d’achat postérieure au travail de terrain de la Cour. Elle ne donne pas, à elle seule, la date d’acceptation opérationnelle de l’ensemble du système. Le marché signé, l’outil installé et le message effectivement transmis sont trois preuves différentes.

Ce qu’un responsable peut vraiment utiliser

La Cour des comptes européenne a publié son rapport en septembre 2026 sur une période allant de 2022 à 2025. D’autres capacités européennes existaient pendant que les deux nouveaux centres attendaient leur équipement: équipes de réponse, liaison de crise et réserve de prestataires précontractés. L’enjeu de l’audit est l’ajout promis par le système d’alerte, pas l’existence de toute défense cyber en Europe.

Pour une personne qui gère un incident, le nom d’un consortium n’est pas une instruction d’escalade. Elle doit connaître le canal en service, la définition commune d’un incident majeur, le destinataire et la confirmation de réception. Une page de présentation peut énumérer des partenaires; elle ne peut pas démontrer ce trajet. C’est là que l’on mesure la distance entre une politique de coopération et une capacité publique.

Sources : Rapport spécial 19/2026 de la Cour des comptes européenne ; marchés de l’ECCC.