Directive REC résilience des entités critiques

Définition

La directive REC, sur la résilience des entités critiques, est le texte européen adopté en parallèle de NIS2 pour couvrir la protection physique et opérationnelle des infrastructures critiques, en complément de la dimension cybersécurité traitée par NIS2. Alors que NIS2 se concentre sur la sécurité des réseaux et systèmes d'information, la directive REC vise à renforcer la résilience globale des entités critiques face à un spectre large de menaces incluant les catastrophes naturelles, le terrorisme, les menaces internes ou les perturbations de la chaîne d'approvisionnement physique, dans des secteurs tels que l'énergie, les transports, la banque ou la santé. Les deux directives sont conçues de manière complémentaire et coordonnée : les entités identifiées comme critiques au titre de REC recoupent largement celles qualifiées d'essentielles au titre de NIS2, et les États membres sont invités à assurer une cohérence entre les stratégies nationales relevant des deux textes. Concrètement, une entité soumise à la directive REC doit réaliser une évaluation de ses risques, mettre en œuvre des mesures de résilience adaptées, notifier les incidents significatifs à l'autorité compétente et peut faire l'objet de contrôles de sécurité renforcés. Pour les organisations concernées, cela implique une approche intégrée de la résilience, articulant sécurité physique et cybersécurité au sein d'une même gouvernance des risques.