Résilience des entités critiques : mon entreprise est-elle concernée?

Qu’est-ce qu’une « entité critique » ?

Ces entités sont des fournisseurs de services indispensables au bon fonctionnement de notre société, tels que l’énergie, les transports, la santé ou encore les banques. Cette nouvelle loi marque une étape importante pour mieux protéger ces infrastructures essentielles face aux risques naturels, technologiques ou humains.
Cette législation se situe principalement dans le domaine de la prévention. Il s’agit d’organiser la prise de mesures de résilience par l’entité critique et, si nécessaire, de mesures de protection par les autorités compétentes, afin de prévenir ou d’empêcher tout événement de nature à perturber de manière significative la fourniture des services essentiels par l’entité critique. Au cas où un incident surviendrait malgré tout, cette législation tente de fournir aux entités critiques les outils nécessaires pour s’en protéger.

Qui est concerné ?

En tant que fournisseurs de services essentiels, les entités critiques jouent un rôle indispensable dans le maintien des fonctions sociétales ou des activités économiques vitales sur le marché intérieur, dans une économie de plus en plus interdépendante au sein de l’Union européenne. La loi vise à veiller au maintien et à la résilience des fonctions vitales, entre autres la production et le transport d’énergie, les infrastructures et systèmes de transport vitaux, les moyens de paiements électroniques, les connexions de communication électronique, les institutions de soins de santé ou encore la fourniture d’eau potable. Une liste annexée à la loi désigne les 11 secteurs d’activités concernés, et détaille les sous-secteurs afférents, ainsi que les autorités sectorielles dont ils relèvent.
Les entités critiques seront tenues de réaliser des évaluations des risques, d’établir des plans de résilience, d’organiser des exercices et de signaler les incidents aux autorités compétentes, Par conséquent, elles devront préparer un plan d’urgence interne dans le cadre de leur plan de résilience.

Évaluation des risques et protection physique

L'entité critique procèdera à une évaluation de tous les risques pertinents susceptibles de perturber la fourniture de ses services essentiels, dans les neuf mois suivant la réception de sa notification comme entité critique, et par la suite chaque fois que cela est nécessaire, et au moins tous les quatre ans.
L'évaluation des risques de l'entité critique prend en considération les risques pertinents qui pourraient conduire à un incident, tels que des risques naturels et d'origine humaine, en ce compris les risques intersectoriels ou transfrontaliers, les accidents, les catastrophes naturelles, les urgences de santé publique, les menaces hybrides et les autres menaces antagonistes, notamment les infractions terroristes.