Directive REC : la résilience des entités critiques

Le 17 juillet 2026, chaque État membre devait avoir recensé ses entités critiques au titre de la directive (UE) 2022/2557, dite « REC ». La France n’a pas pu le faire : le texte qui doit la transposer, déposé au Sénat le 15 octobre 2024, n’était toujours pas promulgué à cette date. Huit jours plus tôt, le 9 juillet 2026, la Commission européenne avait saisi la Cour de justice de l’Union européenne contre la France — aux côtés de l’Espagne, de l’Irlande et des Pays-Bas — pour défaut de notification des mesures de transposition de la directive NIS2, portée par le même projet de loi, en demandant somme forfaitaire et astreintes journalières.

Ce retard n’exonère de rien. Les directives nationales de résilience, les plans types et les nouvelles obligations sont en préparation au SGDSN, et les opérateurs concernés travaillent déjà. Voici ce que la directive REC impose réellement, comment la France entend la transposer, et ce que cela change pour les directions sûreté, les DSI et — c’est le point que presque personne ne traite — pour les DPO.

Directive REC : de la protection à la résilience

La directive (UE) 2022/2557 du 14 décembre 2022 sur la résilience des entités critiques a été adoptée le même jour que NIS2 et que la directive accompagnant DORA. Elle abroge la directive 2008/114/CE, qui se limitait au recensement des infrastructures critiques européennes dans l’énergie et les transports.

Le changement de vocabulaire n’est pas cosmétique. La directive de 2008 parlait de protection : ériger des barrières, contrôler les accès, dissuader. La directive REC parle de résilience, c’est-à-dire de la capacité à « prévenir un incident, s’en protéger, y réagir, y résister, l’atténuer, l’absorber, s’y adapter et s’en rétablir ». On ne demande plus seulement à un opérateur d’empêcher l’événement ; on lui demande de continuer à fournir son service pendant et après.

Ce déplacement s’explique par le contexte : sabotage des gazoducs Nord Stream, dépendances de chaînes d’approvisionnement révélées par la pandémie, effets du changement climatique sur les infrastructures. La menace n’est plus seulement intentionnelle et frontale.

Deuxième point structurant : la directive REC est le pendant physique de NIS2. L’article 1(2) impose expressément aux États membres de mettre en œuvre les deux textes « de manière coordonnée ». Et l’articulation est asymétrique : toute entité désignée critique au titre de la directive REC est automatiquement considérée comme entité essentielle au sens de NIS2, avec toutes les obligations de cybersécurité qui en découlent. L’inverse n’est pas vrai.

Onze secteurs, et une liste européenne de services essentiels

La directive couvre onze secteurs listés en annexe : énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux résiduaires, infrastructures numériques, administration publique, espace, et production, transformation et distribution de denrées alimentaires.

Pour éviter que chaque État n’interprète ces secteurs à sa manière, la Commission a adopté le règlement délégué (UE) 2023/2450 du 25 juillet 2023, qui établit une liste — non exhaustive — des services essentiels au maintien de fonctions sociétales ou d’activités économiques vitales. C’est à partir de cette liste que les États membres devaient conduire, au plus tard le 17 janvier 2026, leur évaluation nationale des risques et adopter leur stratégie de résilience, puis identifier leurs entités critiques au plus tard le 17 juillet 2026.

L’article 17 crée par ailleurs un statut d’entité critique d’importance européenne particulière : celle qui fournit des services essentiels dans au moins six États membres. La Commission peut, avec l’accord de l’État concerné, diligenter auprès d’elle des missions de conseil.

Comment la France transpose : la refonte du dispositif SAIV

La France a un avantage et un handicap. L’avantage : elle applique depuis 2006 un dispositif de sécurité des activités d’importance vitale (SAIV), codifié aux articles L. 1332-1 et suivants du code de la défense, qui a largement inspiré la directive — dont l’accord politique a d’ailleurs été trouvé sous présidence française du Conseil, en juin 2022. Le handicap : greffer les obligations européennes sur un dispositif existant suppose une réécriture législative complète, et c’est précisément là que le calendrier a dérapé.

Le titre I^er du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité remplace intégralement le chapitre II du titre III du livre III de la première partie du code de la défense. L’actuel chapitre « Protection des installations d’importance vitale » devient « Résilience des activités d’importance vitale » et s’étend désormais des articles L. 1332-1 à L. 1332-22, répartis en trois sections.

État d’avancement au 4 septembre 2026 : adopté par le Sénat en première lecture le 12 mars 2025, amendé et adopté par la commission spéciale de l’Assemblée nationale le 10 septembre 2025, le texte attend toujours son examen en séance publique. La procédure accélérée avait pourtant été engagée dès le 15 octobre 2024.

Ce qui change dans le corpus documentaire

Pour un opérateur d’importance vitale déjà désigné, la mutation est d’abord documentaire :

Dispositif actuel	Dispositif REC
Plan de sécurité opérateur (PSO)	Plan de résilience opérateur (PRO)
Plan particulier de protection (PPP)	Plan particulier de résilience (PPR)

Les directives nationales de sécurité (DNS), qui déclinent les exigences par secteur, seront quant à elles mises à jour — plusieurs praticiens anticipent leur transformation en « directives nationales de résilience », mais ce point n’est pas tranché dans les travaux parlementaires publiés.

Le PRO n’est pas un PSO renommé. Il absorbe une partie du plan de continuité d’activité et doit, selon le projet de loi, être établi dans un délai de dix mois suivant la désignation de l’opérateur — l’analyse des risques devant être conduite, elle, dans les neuf mois. Les PSO existants n’ont pas vocation à être assimilés à des PRO : de nouveaux plans types, portés par une mise à jour de l’instruction générale interministérielle n° 6600, sont attendus.

Combien d’opérateurs concernés ?

C’est là qu’il faut se méfier des chiffres qui circulent. La France compte environ 300 opérateurs d’importance vitale, exerçant leur autorité sur environ 1 500 points d’importance vitale (source : Sénat, 2025). L’élargissement du champ à de nouveaux sous-secteurs — réseaux de chaleur et de froid, hydrogène, assainissement — ne devrait entraîner qu’une augmentation de quelques dizaines d’opérateurs.

Ne confondez pas avec NIS2, qui fait passer le périmètre régulé de quelques centaines à environ 15 000 entités en France. La directive REC reste un dispositif étroit et discrétionnaire : le critère de non-substituabilité demeure déterminant. En cas de défaillance, l’absence des activités de l’opérateur doit menacer la continuité de la vie de la Nation. Si vous vous demandez si vous êtes concerné, la réponse est presque toujours non — sauf si l’État vous l’a déjà dit. Pour NIS2, en revanche, la question mérite un examen sérieux : voyez notre analyse des entités concernées par NIS2.

Les cinq obligations nouvelles pour les opérateurs

Le projet de loi français décline les articles 12 à 15 de la directive en cinq blocs, aux nouveaux articles L. 1332-3 à L. 1332-7 du code de la défense.

1. Analyse des risques et plan de résilience opérateur (L. 1332-3). L’opérateur réalise une analyse des risques portant sur son activité vitale et met en œuvre les mesures de résilience adéquates, consignées dans un plan validé par l’autorité administrative — laquelle dispose d’un pouvoir d’astreinte pouvant atteindre 5 000 euros par jour de retard. L’article 13 de la directive détaille les catégories de mesures attendues : prévention, protection physique des locaux, réaction et atténuation, rétablissement, gestion de la sécurité du personnel, sensibilisation.

2. Identification des dépendances (L. 1332-4). C’est l’apport le plus concret du texte. L’opérateur doit cartographier ses dépendances d’approvisionnement et celles envers ses propres prestataires. L’analyse de risques classique s’arrêtait au périmètre de l’installation ; il faut désormais remonter la chaîne. Le même mouvement traverse NIS2 sur la sous-traitance, DORA pour les prestataires TIC et l’article 28 du RGPD. Quatre textes, une seule question : savez-vous de qui vous dépendez ?

3. Plan particulier de résilience pour les points d’importance vitale (L. 1332-5). Il remplace le plan particulier de protection et détaille les dispositifs de surveillance, d’alarme, de protection matérielle et les conditions d’accès.

4. Enquêtes administratives de sécurité (L. 1332-6). Le champ des fonctions pouvant faire l’objet d’une enquête administrative à la demande de l’opérateur est élargi, conformément à l’article 14 de la directive. Il ne s’agit plus seulement de l’accès physique aux points d’importance vitale, mais aussi des postes donnant accès à des informations ou à des systèmes ayant un impact sur la résilience — y compris à distance. Le Service national des enquêtes administratives de sécurité réalise déjà quelque 700 000 enquêtes par an, dont environ 70 000 au titre de l’accès aux points d’importance vitale, la Direction du renseignement et de la sécurité de la défense en conduisant de son côté près de 300 000 pour les PIV du ministère des armées. L’élargissement du champ des fonctions criblées portera mécaniquement ce volume à la hausse.

5. Notification des incidents (L. 1332-7). Obligation entièrement nouvelle côté physique. L’opérateur doit notifier à l’autorité administrative les incidents susceptibles de compromettre la continuité de ses activités d’importance vitale ou de présenter un danger grave pour la population ou l’environnement, selon des modalités renvoyées à un décret. Jusqu’ici, le suivi des incidents relevait de la bonne pratique, encadrée par l’instruction générale interministérielle n° 6600, sans obligation générale de remontée. L’autorité pourra en outre informer le public si elle l’estime nécessaire.

Contrôles et sanctions : 10 M€ ou 2 % du chiffre d’affaires mondial

L’article 22 de la directive impose aux États des sanctions « effectives, proportionnées et dissuasives ». La France crée une commission des sanctions placée auprès du Premier ministre (nouveaux articles L. 1332-14 à L. 1332-19 du code de la défense), saisie par l’autorité administrative des manquements constatés, avec audition de l’opérateur et garanties d’indépendance de ses membres. La commission spéciale de l’Assemblée nationale a d’ailleurs modifié sa composition pour desserrer ce rattachement, les personnalités qualifiées étant désormais désignées respectivement par le Premier ministre, le président de l’Assemblée nationale et le président du Sénat.

Le plafond envisagé au nouvel article L. 1332-17 est de dix millions d’euros ou, pour une entreprise, 2 % du chiffre d’affaires annuel mondial. La commission peut rendre la sanction publique. L’entrave aux contrôles constitue un manquement autonome (L. 1332-14), soumis au même plafond.

Ces montants sont calqués sur le plafond applicable aux « entités essentielles » de NIS2, prévu à l’article 34(4) de cette directive — les entités importantes relevant, elles, d’un plafond de 7 M€ ou 1,4 %. Voyez notre article sur les sanctions NIS2. Ils rappellent, sans les atteindre, ceux de l’article 83(5) du RGPD. La nouveauté, pour des opérateurs habitués à un dispositif SAIV essentiellement fondé sur le dialogue avec le préfet et le SGDSN, c’est le passage à une logique répressive formalisée, avec dossier d’instruction et commission indépendante.

Le point aveugle : là où le DPO est concerné

Les analyses disponibles sur la directive REC traitent de sûreté physique et de continuité d’activité. Presque aucune ne traite des données personnelles. C’est une erreur, car trois des cinq nouvelles obligations créent ou modifient des traitements.

Les enquêtes administratives de sécurité

C’est le sujet le plus délicat. Une nuance juridique d’abord, souvent mal comprise : l’enquête est conduite par l’État, dans le cadre de l’article L. 114-1 du code de la sécurité intérieure et, pour les points d’importance vitale, de l’article L. 1332-2-1 du code de la défense. L’opérateur qui la sollicite ne reçoit pas les données consultées — il reçoit un avis, favorable ou défavorable. Les données relatives aux condamnations et infractions au sens de l’article 10 du RGPD sont traitées par l’autorité publique, pas par l’employeur.

Mais l’opérateur, lui, traite bien des données personnelles :

• la liste des postes sensibles et l’identité de leurs titulaires, avec la finalité qui la justifie ;
• les demandes d’enquête transmises, qui supposent la collecte d’un état civil complet ;
• les avis reçus et les décisions prises en conséquence — refus d’affectation, retrait d’habilitation, mutation.

Ce dernier point est le plus sensible. Un avis défavorable non motivé qui conduit à écarter un salarié d’un poste produit un effet juridique déterminant sur une personne. La base légale est l’obligation légale de l’article 6(1)© du RGPD, à condition que l’obligation soit effectivement inscrite dans la loi — ce qui suppose, précisément, que la loi soit promulguée. En attendant, un opérateur qui étendrait unilatéralement le criblage à de nouveaux postes s’appuierait sur un intérêt légitime autrement plus fragile, sous le regard de l’article L. 1121-1 du code du travail et de son exigence de proportionnalité.

Trois réflexes pour le DPO :

• inscrire le traitement au registre des activités de traitement avec une durée de conservation distincte pour les avis et pour les décisions ;
• informer les personnes concernées en amont, dans la fiche de poste et dans la notice d’information RH, et non au moment de la demande d’enquête ;
• documenter la consultation du CSE, l’extension des postes soumis à criblage constituant un projet important modifiant les conditions de travail. Voir notre guide sur les données personnelles en droit du travail.

Un incident, quatre horloges

Un incendie dans un centre de données, un ransomware sur un système industriel, une intrusion physique suivie d’une exfiltration : le même événement peut déclencher simultanément quatre obligations de notification, avec quatre délais, quatre destinataires et quatre contenus différents.

Texte	Délai	Destinataire
RGPD, art. 33(1)	72 heures	CNIL (si violation de données personnelles)
NIS2, art. 23	24 h (alerte précoce), 72 h (notification), 1 mois (rapport final)	ANSSI
Directive REC / L. 1332-7	Fixé par décret	Autorité administrative (SGDSN, préfecture)
DORA, art. 19	Initiale, intermédiaire, finale	Autorité sectorielle

Les qualifications ne se recouvrent pas. Un incident REC peut ne comporter aucune donnée personnelle — une rupture d’approvisionnement, par exemple. Une violation de données au sens de l’article 33 du RGPD peut n’avoir aucun effet sur la continuité du service essentiel. Dans mon expérience de conseil auprès d’opérateurs soumis à plusieurs de ces régimes, l’erreur la plus fréquente n’est pas de rater un délai : c’est de laisser trois équipes différentes — sûreté, RSSI, DPO — qualifier le même incident indépendamment, et produire trois récits incompatibles que le régulateur finira par comparer. Une procédure unique de qualification, avec un arbre de décision et un point d’entrée commun, est la seule réponse tenable. Nos analyses sur la notification de cyberattaque et la gestion des incidents de sécurité détaillent ce mécanisme.

Le plan de résilience et l’article 32 du RGPD

Les mesures techniques et organisationnelles du plan de résilience opérateur — contrôle d’accès, protection physique des locaux, capacité de rétablissement, tests — recouvrent largement les exigences de l’article 32 du RGPD, qui impose notamment « des moyens permettant de rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique » (art. 32(1)©).

Autrement dit : le PRO est aussi, pour partie, une pièce de conformité RGPD. L’opérateur qui le rédige sans y associer son DPO se prive d’un élément de preuve utile en cas de contrôle CNIL — et prend le risque d’y inscrire des mesures qui contredisent son analyse d’impact. C’est typiquement le genre de recoupement entre registre, analyses de risque et mesures de sécurité que Legiscope automatise, pour éviter que les mêmes mesures ne soient décrites différemment dans trois documents.

REC, NIS2, DORA, CRA : qui fait quoi

Texte	Objet	Cible
Directive REC	Résilience physique et opérationnelle	Entités critiques, 11 secteurs
NIS2	Cybersécurité des systèmes d’information	Entités essentielles et importantes, 18 secteurs
DORA	Résilience opérationnelle numérique	21 catégories d’entités financières
CRA	Sécurité des produits comportant des éléments numériques	Fabricants, importateurs, distributeurs

Trois règles d’articulation à retenir. D’abord, toute entité critique REC est ipso facto entité essentielle NIS2. Ensuite, DORA prime sur NIS2 pour les entités financières qu’il couvre, au titre de l’article 4 de NIS2 — voyez notre analyse de l’articulation DORA / NIS2. Enfin, le CRA porte sur les produits mis sur le marché, non sur l’organisation qui les exploite : il peut viser un opérateur en tant que fabricant, jamais en tant qu’entité critique. L’articulation CRA / NIS2 éclaire ce point.

Que faire d’ici la promulgation

Six actions utiles quel que soit le calendrier parlementaire :

1. Vérifier votre statut. Si vous n’êtes pas déjà OIV, la probabilité de le devenir est faible. Vérifiez en revanche votre statut NIS2, qui concerne un périmètre cinquante fois plus large. Notre checklist de conformité NIS2 et la procédure d’enregistrement auprès de l’ANSSI donnent le cadre.
2. Cartographier les dépendances. Fournisseurs, sous-traitants, prestataires de maintenance, dépendances énergétiques et logicielles. Aucun texte ne vous demandera moins que cela.
3. Auditer votre PSO. Identifier ce qui relève de la protection, ce qui relève de la continuité, et ce qui manque en matière de rétablissement — la partie la plus souvent absente.
4. Recenser les postes sensibles avant d’étendre le criblage. Établir la liste, la motiver poste par poste, préparer l’information des personnes et la consultation du CSE. Ne rien mettre en œuvre avant l’entrée en vigueur du fondement légal.
5. Unifier la qualification des incidents. Une procédure, un arbre de décision, un point d’entrée. Puis la tester lors d’un exercice de crise.
6. Associer le DPO au chantier résilience. Pas en relecture finale : en conception.

Ce qu’il faut retenir

• La directive REC (UE) 2022/2557 est le pendant physique de NIS2. Elle couvre onze secteurs, remplace la directive 2008/114/CE et impose une logique de résilience — prévenir, résister, se rétablir — là où le droit antérieur se limitait à la protection.
• La France transposera par une refonte du dispositif SAIV, en vigueur depuis 2006. Le chapitre « Protection des installations d’importance vitale » du code de la défense devient « Résilience des activités d’importance vitale » et s’étend aux articles L. 1332-1 à L. 1332-22. Le plan de sécurité opérateur devient plan de résilience opérateur, le plan particulier de protection devient plan particulier de résilience.
• Le retard est majeur. Échéance de transposition au 17 octobre 2024, identification des entités critiques au 17 juillet 2026 : aucune n’a été tenue. Le 9 juillet 2026, la Commission a saisi la CJUE contre la France sur le volet NIS2 du même projet de loi, en demandant somme forfaitaire et astreintes.
• Le périmètre reste étroit : environ 300 OIV et 1 500 PIV, augmentés de quelques dizaines seulement. Ne le confondez pas avec NIS2 et ses quelque 15 000 entités.
• Les sanctions changent de nature : commission des sanctions placée auprès du Premier ministre, amendes jusqu’à 10 M€ ou 2 % du chiffre d’affaires annuel mondial — le plafond « entités essentielles » de NIS2 — avec publicité possible.
• Trois obligations sur cinq concernent le DPO : enquêtes administratives de sécurité, notification d’incidents à articuler avec l’article 33 du RGPD, et plan de résilience recoupant l’article 32(1)©.

FAQ

Quelle différence entre la directive REC et NIS2 ?

NIS2 traite de la cybersécurité des réseaux et systèmes d’information ; la directive REC traite de la résilience physique et opérationnelle des entités qui fournissent des services essentiels. Les deux ont été adoptées le même jour et l’article 1(2) de la directive REC impose une mise en œuvre coordonnée. Point clé : toute entité désignée critique au titre de la directive REC est automatiquement une entité essentielle au sens de NIS2, et doit donc respecter les deux corpus.

Mon entreprise est-elle concernée par la directive REC ?

Sauf si vous êtes déjà opérateur d’importance vitale, très probablement non. La désignation relève d’une décision discrétionnaire de l’État fondée sur la non-substituabilité : la défaillance de l’opérateur doit menacer la continuité de la vie de la Nation. La France compte environ 300 OIV et l’élargissement lié à la directive REC ne devrait en ajouter que quelques dizaines. La question pertinente pour la grande majorité des entreprises porte sur NIS2, pas sur la directive REC.

Que risque une entreprise en cas de manquement ?

Le projet de loi prévoit, au nouvel article L. 1332-17 du code de la défense, des amendes administratives pouvant atteindre dix millions d’euros ou 2 % du chiffre d’affaires annuel mondial, prononcées par une commission des sanctions placée auprès du Premier ministre, avec possibilité de publication. L’entrave aux contrôles constitue un manquement autonome relevant du même plafond. Ces montants restent des maxima : la commission devra motiver la proportionnalité de chaque sanction.

Le retard de transposition suspend-il les obligations ?

Non, et c’est un contresens répandu. Les obligations des articles 12 à 15 de la directive s’adressent aux entités une fois désignées par l’État, ce qui suppose la loi nationale. Mais l’État, lui, est en manquement caractérisé, et la CJUE juge de longue date qu’une directive non transposée dans les délais peut produire un effet direct vertical au bénéfice des particuliers lorsque ses dispositions sont claires, précises et inconditionnelles. Pour les opérateurs, la conséquence pratique est simple : le travail préparatoire — cartographie des dépendances, refonte des plans — a une valeur immédiate, et les délais prévus par le projet de loi pour l’analyse des risques (neuf mois) et le plan de résilience opérateur (dix mois) courront à compter de la désignation, pas de la promulgation.

Faut-il attendre les plans types du SGDSN pour commencer ?

Pour la forme des documents, oui : les PSO existants n’ont pas vocation à être assimilés à des PRO, et les trames doivent venir avec la mise à jour de l’instruction générale interministérielle n° 6600. Pour le fond, non. L’analyse des dépendances d’approvisionnement, l’inventaire des postes sensibles et la procédure unifiée de qualification des incidents ne dépendent d’aucun plan type et représentent l’essentiel de la charge de travail.

---

Vous suivez ces sujets ? Chaque semaine, je publie une analyse des textes et décisions qui comptent en protection des données et conformité numérique — transposition NIS2 et REC, référentiels ANSSI, jurisprudence CNIL. Inscrivez-vous à la newsletter.