Résumé

  • Lors du dialogue UE–Ukraine sur le cyberespace, tenu à Bruxelles le 9 octobre, des représentants de CERT-EU et du Service d’État ukrainien des communications spéciales et de la protection de l’information (SSSCIP) ont signé un arrangement administratif visant à amorcer des échanges entre CERT-EU et CERT-UA.
  • Le compte rendu publié par la Commission le 13 octobre mentionne NIS2, le Cyber Resilience Act et la mise en œuvre de la boîte à outils européenne de cybersécurité 5G. Il ne dit toutefois pas que le nouvel échange fonctionne déjà et ne fixe aucune étape de mise en œuvre pour le volet 5G.

Une signature ne vaut pas encore échange opérationnel

L’Union européenne et l’Ukraine ont ajouté un nouveau lien institutionnel à leur coopération en matière de cybersécurité. Le 9 octobre, à Bruxelles, des représentants de CERT-EU et du SSSCIP ont signé un arrangement administratif. Selon la Commission européenne, celui-ci doit amorcer des échanges entre CERT-EU et CERT-UA afin de renforcer la capacité des deux côtés à prévenir, détecter et atténuer les incidents cyber dans leurs périmètres respectifs.

Il s’agit d’une étape concrète, mais le communiqué décrit un canal envisagé, pas un résultat opérationnel déjà constaté. Il ne précise ni la date de début des échanges, ni les informations concernées, ni le traitement des demandes et des transmissions ultérieures, ni les modalités d’évaluation de l’arrangement. Ces éléments peuvent exister dans d’autres documents : leur absence du compte rendu ne prouve pas que les procédures ou les garanties manquent. Elle signifie seulement que le dossier public ne permet pas encore d’évaluer ce que le canal changera dans la pratique.

Les deux équipes servent des groupes institutionnels distincts. CERT-EU se présente comme un prestataire interinstitutionnel, hébergé sur le plan administratif au sein de la Commission et gouverné par le Conseil interinstitutionnel de cybersécurité. Il contribue à protéger les infrastructures numériques des institutions, organes, bureaux et agences de l’UE, notamment en coordonnant l’échange d’informations et la réponse aux incidents. CERT-UA se décrit comme l’équipe nationale ukrainienne de réponse aux incidents, attaques et menaces cyber, au sein du SSSCIP.

D’après les informations publiées, l’arrangement relie ces équipes par l’intermédiaire de leurs services de tutelle ; il ne crée pas une équipe commune et ne fusionne pas leurs autorités.

Un nouveau binôme dans un cadre de coopération plus ancien

L’arrangement de 2026 ne marque pas le début de toute coopération entre l’UE et l’Ukraine en matière de réponse aux incidents. Le rapport de la Commission sur l’Ukraine publié en 2024 indique qu’un arrangement de travail entre l’ENISA, le Centre national ukrainien de coordination de la cybersécurité et le SSSCIP a été signé le 9 novembre 2023 et était alors mis en œuvre. Ce premier dispositif réunissait d’autres institutions. L’annonce de 2026 ajoute une voie CERT-EU–SSSCIP, dont CERT-UA est le correspondant opérationnel mentionné.

Les sources publiques ne disent pas que l’ancien canal a été remplacé ni que les deux dispositifs ont le même périmètre.

Le dialogue portait sur un agenda plus large que l’arrangement signé. L’UE et l’Ukraine ont discuté de l’alignement de l’Ukraine sur la directive NIS2 et le Cyber Resilience Act, de la mise en œuvre de la boîte à outils 5G, de la gestion des crises cyber, de la cyberdéfense et de la coopération contre la cybercriminalité. La Commission qualifie la sécurité des réseaux 5G de priorité, mais son compte rendu ne donne ni nouvelle évaluation, ni échéance, ni étape achevée. Une discussion montre que le sujet figurait à l’ordre du jour ; elle ne prouve pas qu’il a été mis en œuvre.

Des responsables des affaires étrangères, du numérique, de la défense et de la sécurité des deux côtés ont participé à la réunion, avec les États membres de l’UE en qualité d’observateurs. Cette diversité peut soutenir la coordination, mais le communiqué attribue la signature aux seuls représentants de CERT-EU et du SSSCIP. Il ne faut pas présenter les autres participants comme signataires ou comme détenteurs d’un contrôle opérationnel partagé sur l’échange envisagé.

Les éléments qui rendraient le canal vérifiable

La prochaine preuve utile serait plus précise qu’une nouvelle déclaration d’intention. Un arrangement publié ou une note de mise en œuvre pourrait indiquer le périmètre de l’échange, les équipes responsables, les voies d’escalade et les modalités de suivi. Un compte rendu opérationnel pourrait montrer quand le canal démarre, comment les périmètres de chaque équipe sont définis et s’il produit une réponse mesurable. Le volet 5G nécessiterait, lui aussi, un document distinct pour établir les progrès.

La conclusion doit rester limitée : un arrangement administratif signé ouvre une voie vers l’échange d’informations entre deux services de réponse aux incidents distincts. La Commission n’en a pas encore décrit publiquement le fonctionnement avec assez de précision pour que l’on puisse en évaluer les frontières opérationnelles ou les résultats.

Sources

  1. Commission européenne, compte rendu du cinquième dialogue UE–Ukraine, 13 octobre 2026
  2. Ministère ukrainien des Affaires étrangères, cinquième dialogue UE–Ukraine, 12 octobre 2026
  3. CERT-EU, présentation
  4. CERT-UA, présentation
  5. Commission européenne, rapport 2024 sur l’Ukraine
  6. Règlement (UE, Euratom) 2023/2841