CER et CRA dans les États de l’UE
La transposition de la directive CER sur la résilience des entités critiques et les mesures nationales pour le règlement sur la cyberrésilience.
Version toujours à jour: https://www.cybersecuritydatabase.org/fr/reports/cer-cra/
Directive CER (résilience des entités critiques)
Au 29 octobre 2026, 23 États membres sur 27 ont une loi de transposition de la directive CER en vigueur ; 3 l’ont fait avant l’échéance du 17 octobre 2024. Manquent encore : Bulgarie, Espagne, France et Suède.
- 23 / 27États membres avec l’acte national en vigueur
- 3dans les délais
- 8mois de retard médian pour les transpositions tardives
- 4États membres encore sans acte en vigueur
Carte de l’état de la transposition
- Transposée, en vigueur 23
- Projet au parlement 2
- Texte en préparation 2
- Hors UE
Situation pays par pays
| Pays | État | Acte national | En vigueur depuis | Retard |
|---|---|---|---|---|
| Allemagne | Transposée, en vigueur | Gesetz zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen (KRITIS-Dachgesetz) · BGBl. 2026 I Nr. 66 | 17 mars 2026 | 16 mois de retard |
| Autriche | Transposée, en vigueur | Bundesgesetz über die Resilienz kritischer Einrichtungen (Resilienz kritischer Einrichtungen-Gesetz – RKEG) · BGBl. I Nr. 60/2025 | 1 mars 2026 | 16 mois de retard |
| Belgique | Transposée, en vigueur | Loi du 19 décembre 2025 relative à la résilience des entités critiques · Moniteur belge, 19.01.2026 | 19 janvier 2026 | 15 mois de retard |
| Bulgarie | Texte en préparation | Проект на Закон за устойчивост на критичните субекти | – | 24 mois et toujours en retard |
| Chypre | Transposée, en vigueur | Οι περί Πολιτικής Άμυνας (Ανθεκτικότητα των Κρίσιμων Οντοτήτων) Κανονισμοί του 2025 · Κ.Δ.Π. 204/2025 | 11 juillet 2025 | 8 mois de retard |
| Croatie | Transposée, en vigueur | Zakon o kritičnoj infrastrukturi · NN 89/2025 | 21 juin 2025 | 8 mois de retard |
| Danemark | Transposée, en vigueur | Lov om kritiske enheders modstandsdygtighed · Lov nr. 433 af 6. maj 2025 | 1 juillet 2025 | 8 mois de retard |
| Espagne | Texte en préparation | Proyecto de Ley de protección y resiliencia de las entidades críticas · BOCG, Congreso, serie A, núm. 88-1 (121/000088) | – | 24 mois et toujours en retard |
| Estonie | Transposée, en vigueur | Hädaolukorra seaduse muutmise ja sellega seonduvalt teiste seaduste muutmise seadus · RT I, 08.10.2024, 1 | 18 octobre 2024 | dans les délais |
| Finlande | Transposée, en vigueur | Laki yhteiskunnan kriittisen infrastruktuurin suojaamisesta ja häiriönsietokyvyn parantamisesta · 310/2025 | 1 juillet 2025 | 8 mois de retard |
| France | Projet au parlement | Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité | – | 24 mois et toujours en retard |
| Grèce | Transposée, en vigueur | Νόμος 5236/2025 · ΦΕΚ Α' 175/10.10.2025 | 10 octobre 2025 | 11 mois de retard |
| Hongrie | Transposée, en vigueur | 2024. évi LXXXIV. törvény a kritikus szervezetek ellenálló képességéről · 2024. évi LXXXIV. törvény | 30 décembre 2024 | 2 mois de retard |
| Irlande | Transposée, en vigueur | European Union (Resilience of Critical Entities) Regulations 2024 · S.I. No. 559 of 2024 | 17 octobre 2024 | dans les délais |
| Italie | Transposée, en vigueur | Decreto legislativo 4 settembre 2024, n. 134 · GU n. 223 del 23.09.2024 | 18 octobre 2024 | dans les délais |
| Lettonie | Transposée, en vigueur | Grozījumi Nacionālās drošības likumā | 28 juin 2025 | 8 mois de retard |
| Lituanie | Transposée, en vigueur | Lietuvos Respublikos krizių valdymo ir civilinės saugos įstatymo Nr. VIII-971 pakeitimo įstatymas | 15 novembre 2024 | 1 mois de retard |
| Luxembourg | Transposée, en vigueur | Loi du 5 mai 2026 sur la résilience des entités critiques et portant modification de la loi modifiée du 23 juillet 2016 portant création d'un Haut-Commissariat à la Protection nationale · Mémorial A n° 226 | 5 mai 2026 | 18 mois de retard |
| Malte | Transposée, en vigueur | Resilience of Critical Entities and Infrastructures (Identification, Designation and Protection) Order, 2026 · S.L. 460.43 (L.N. 5 of 2026) | 23 janvier 2026 | 15 mois de retard |
| Pays-Bas | Transposée, en vigueur | Wet weerbaarheid kritieke entiteiten (Wwke) · Stb. 2026, 188 | 15 août 2026 | 21 mois de retard |
| Pologne | Transposée, en vigueur | Ustawa z dnia 29 maja 2026 r. o zmianie ustawy o zarządzaniu kryzysowym oraz niektórych innych ustaw · Dz.U. 2026 poz. 815 | 4 juillet 2026 | 20 mois de retard |
| Portugal | Transposée, en vigueur | Decreto-Lei n.º 22/2025 | 19 mars 2025 | 5 mois de retard |
| Roumanie | Transposée, en vigueur | Legea nr. 294/2024 privind reziliența entităților critice · Legea nr. 294/2024 | 2 décembre 2024 | 1 mois de retard |
| Slovaquie | Transposée, en vigueur | Zákon o kritickej infraštruktúre a o zmene a doplnení niektorých zákonov · 367/2024 Z. z. | 1 janvier 2025 | 2 mois de retard |
| Slovénie | Transposée, en vigueur | Zakon o kritični infrastrukturi (ZKI-1) · Uradni list RS, št. 102/2024 | 18 décembre 2024 | 2 mois de retard |
| Suède | Projet au parlement | Prop. 2025/26:303 En ny lag för ökad motståndskraft hos kritiska verksamhetsutövare | – | 24 mois et toujours en retard |
| Tchéquie | Transposée, en vigueur | Zákon o kritické infrastruktuře · 266/2025 Sb. | 19 août 2025 | 10 mois de retard |
Procédures d’infraction de la Commission
Combien des États visés ont ensuite mis en vigueur la loi nationale, et combien seulement après l’étape indiquée.
| Étape | Date | États visés | En règle aujourd’hui | En règle après cette étape | Toujours sans loi |
|---|---|---|---|---|---|
| Lettres de mise en demeure (s’ouvre dans un nouvel onglet) | 28 novembre 2024 | 24 | 20 | 19 | Bulgarie, Espagne, France et Suède |
| Avis motivés (s’ouvre dans un nouvel onglet) | 17 juillet 2025 | 13 | 9 | 7 | Bulgarie, Espagne, France et Suède |
| Avis motivés (s’ouvre dans un nouvel onglet) | 21 novembre 2025 | 2 | 2 | 1 | – |
| Saisine de la Cour de justice de l’UE (s’ouvre dans un nouvel onglet) | 29 avril 2026 | 7 | 3 | 3 | Bulgarie, Espagne, France et Suède |
Règlement sur la cyberrésilience (CRA)
Le CRA est un règlement d’application directe, mais chaque État doit désigner les autorités et fixer les sanctions. Au 29 octobre 2026, 3 États sur 27 ont des mesures nationales en vigueur et 2 seulement en partie ; 13 n’ont encore présenté aucun acte.
- 3 / 27États membres avec l’acte national en vigueur
- 24États membres encore sans acte en vigueur
Carte de l’état de la mise en œuvre
- Mesures en vigueur 3
- Mesures partielles en vigueur 2
- Projet au parlement 3
- Texte en préparation 6
- Aucune mesure identifiée 13
- Hors UE
Prochaines dates du CRA
- Les États membres s'efforcent de disposer d'un nombre suffisant d'organismes notifiés
- Le règlement s'applique intégralement
- Fin de validité des certificats d'examen UE de type délivrés pour la cybersécurité en vertu d'autres actes de l'UE
- Rapport de la Commission sur l'efficacité de la plateforme unique de signalement
- Premier rapport d'évaluation et de réexamen du règlement (puis tous les quatre ans)
Situation pays par pays
| Pays | État | Autorités | En vigueur depuis |
|---|---|---|---|
| Allemagne | Projet au parlement | Surveillance du marché, autorité notifiante et CSIRT pour les signalements : Office fédéral de la sécurité des technologies de l'information (BSI). | – |
| Autriche | Texte en préparation | Autorité notifiante : Chancellerie fédérale (Bundeskanzleramt). Surveillance du marché : à désigner. | – |
| Belgique | Aucune mesure identifiée | – | – |
| Bulgarie | Aucune mesure identifiée | – | – |
| Chypre | Aucune mesure identifiée | Autorité notifiante et, à l'avenir, surveillance du marché : Autorité de sécurité numérique (auprès du commissaire aux communications), selon le commissaire. Signalements : CSIRT national de l'Autorité. | – |
| Croatie | Aucune mesure identifiée | – | – |
| Danemark | Texte en préparation | Selon le projet : notification, surveillance du marché et coordination nationale confiées à la Styrelsen for Samfundssikkerhed (Agence danoise de résilience) ; les autorités de surveillance de l'IA pour les produits qui sont des systèmes d'IA à haut risque ; le DANAK évalue les organismes d'évaluation de la conformité. Signalements : CSIRT national (Centre pour la cybersécurité). | – |
| Espagne | Texte en préparation | Selon le projet : autorité notifiante, le Centre cryptologique national (CCN) ; surveillance du marché, le secrétariat d'État aux Télécommunications et aux Infrastructures numériques (SETID), avec l'INCIBE comme laboratoire technique d'appui ; bureau de liaison unique, la direction générale de la Consommation. | – |
| Estonie | Aucune mesure identifiée | – | – |
| Finlande | Mesures en vigueur | Surveillance du marché, autorité notifiante et signalements : Traficom (Centre national de cybersécurité NCSC-FI). | 1 juin 2026 |
| France | Mesures partielles en vigueur | Autorité notifiante et CSIRT : ANSSI. Surveillance du marché : ANFR avec l'appui technique de l'ANSSI, selon le ministère (pas encore fixée par un texte). | – |
| Grèce | Aucune mesure identifiée | – | – |
| Hongrie | Mesures en vigueur | Surveillance du marché et autorité notifiante : Autorité de surveillance des activités réglementées (SZTFH). | 6 janvier 2026 |
| Irlande | Aucune mesure identifiée | Signalements : National Cyber Security Centre (NCSC). Surveillance du marché et autorité notifiante : à désigner. | – |
| Italie | Projet au parlement | Selon le projet : l'Agence pour la cybersécurité nationale (ACN) est autorité notifiante et de surveillance du marché, avec l'appui possible de la Guardia di Finanza ; l'organisme national d'accréditation évalue et contrôle les organismes d'évaluation de la conformité ; les autorités de l'IA pour les produits qui sont aussi des systèmes d'IA à haut risque ; Banca d'Italia, CONSOB et IVASS pour les entités qu'elles surveillent ; le Garante (protection des données) dans ses compétences. Signalements des consommateurs : CSIRT Italia. | – |
| Lettonie | Aucune mesure identifiée | – | – |
| Lituanie | Aucune mesure identifiée | – | – |
| Luxembourg | Aucune mesure identifiée | – | – |
| Malte | Mesures en vigueur | Autorité notifiante : Malta Digital Innovation Authority (MDIA), l'évaluation et le contrôle des organismes étant confiés au National Accreditation Board. Surveillance du marché (à partir du 11 décembre 2027) : MDIA. CSIRT coordinateur (à partir du 11 décembre 2027) : le CSIRT national (CSIRTMalta, au sein de MITA). | 11 septembre 2026 |
| Pays-Bas | Projet au parlement | Surveillance du marché et autorité notifiante : Inspection nationale des infrastructures numériques (RDI). | – |
| Pologne | Aucune mesure identifiée | – | – |
| Portugal | Aucune mesure identifiée | – | – |
| Roumanie | Aucune mesure identifiée | – | – |
| Slovaquie | Mesures partielles en vigueur | Surveillance du marché : Office de la sécurité nationale (NBÚ), depuis le 1er janvier 2026. L'Office de normalisation, de métrologie et d'essais (ÚNMS) peut sanctionner les organismes notifiés. | – |
| Slovénie | Texte en préparation | – | – |
| Suède | Texte en préparation | Surveillance du marché et autorité notifiante : désignées par le gouvernement ; la commission d'enquête fait des propositions dans son rapport. | – |
| Tchéquie | Texte en préparation | Autorité notifiante et signalements : NÚKIB. Surveillance du marché : autorités sectorielles existantes (par exemple l'Inspection tchèque du commerce). | – |