Déploiements expérimentaux et opérationnels, ouverture à des pays tiers, élargissement de périmètre par attribution de marchés… La Réserve européenne de cybersécurité monte doucement en puissance. Bruxelles en avait annoncé la mise en place fin août 2025, avec une enveloppe de 36 M€.

Objectif : constituer, grâce à des MSSP, une capacité de réponse mobilisable face aux incidents cyber importants. Le dispositif cible trois types de bénéficiaires : Entités critiques des États membres Institutions, organes et organismes de l’UE Pays tiers associés au programme pour une Europe numérique Un pool de 47 prestataires comme première base opérationnelle Pour assurer une disponibilité immédiate le temps de lancer des appels d’offres, la réserve a démarré avec un pool de 47 prestataires, sélectionnés dans le cadre du dispositif pilote dit « action de soutien à la cybersécurité ». Également conduit par l’ENISA, il était toutefois axé autant sur la préparation que sur la réponse.

Son budget global s’est élevé à 28,3 M€, à raison de 4 M€ pour un lot au niveau de l’UE et de 24,3 M€ répartis en 27 lots de même montant pour les États membres. La France a un seul représentant dans la liste des prestataires : Airbus Protect. La filiale sûreté et (cyber)sécurité du groupe aéronautique et spatial fait partie des attributaires du lot UE, ainsi que de ceux pour l'Autriche et la Belgique.

Elle a remporté seule les lots de la France, de l'Allemagne et du Luxembourg. 4 appels d'offres pour étendre le périmètre de la réserve L'ENISA a lancé des appels d'offres* pour remplacer les contrats pilotes arrivant à échéance. Elle a fait de même pour ouvrir la réserve aux organes de l'UE et aux pays tiers.

Le lot « organes de l'UE » a échu à Certisign (Roumanie), NVISO (Belgique) et Span (Croatie). Montant prévisionnel : 1,2 M€ HT sur 3 ans. Les résultats de l'appel d'offres « pays tiers » - organisé entre décembre 2025 et février 2026 - n'ont pas été publiés.

Il y en a pour 1,5 M€ sur 3 ans. Les contrats-cadres seront attribués à un maximum de 5 opérateurs économiques. Un appel d'offres combinant l'implémentation de la réserve et de l'action de soutien à la cybersécurité a eu lieu en septembre-octobre 2025.

Montant : 3,6 M€ sur 3 ans, en 4 lots de 900 k€ pour 4 bénéficiaires : Bulgarie, Malte, Pays-Bas, Pologne. Un fournisseur bulgare, un roumain, un luxembourgeois et deux espagnols sont coattributaires en Bulgarie. Un prestatire belge, un luxembourgeois et deux espagnols le sont aux Pays-Bas.

Plus récemment (mai-juillet 2026) s'est tenu un appels d'offres d'une autre envergure : 18 M€ sur 4 ans, répartis à parts égales entre 9 États membres. Nommément, Autriche, Belgique, Danemark, Estonie, Finlande, Luxembourg, République tchèque, Slovaquie, Suède. L'ENISA prépare, en complément, une procédure d'acquisition de services juridiques dans le contexte de l'implémentation de la réserve.

Une « intervention terrain » lors des élections parlementaires en Moldavie En juin 2026, l'UE a ouvert la réserve à l'Ukraine. Elle avait fait de même en juillet 2025 pour la Moldavie. En ligne de mire, les élections parlementaires du mois de septembre.

À cette occasion, le pays subi une campagne de déstabilisation hybride imputée à des acteurs prorusses. Une unité d'intervention issue de la réserve est intervenue pour, entre autres, isoler des flux malveillants ciblant le réseau électrique et assurer la remédiation des serveurs institutionnels. Une mise à l'épreuve de la réserve a par ailleurs eu lieu en juin 2026 sous l'ombrelle de CyberEurope.

Il s'agissait d'un exercice de réponse à un incident à grande échelle sur les transports maritimes et ferroviaires. Des obstacles, dont la « fongibilité » des prestations La réserve instaure un mécanisme de fongibilité : les crédits non utilisés pour la réponse aux incidents peuvent être convertis en prestations de préparation. C'est devenu l'usage prédominant, a constaté la Cour des comptes européenne.

Cette orientation est apparue dès la phase pilote. Elle s'est ensuite enracinée : la majorité des États membres ont préférer affecter toute leur quote-part à la préparation. L'absence de taxonomie harmonisée pour la qualification des incidents « importants » ou « majeurs » n'a pas aidé.

L'ENISA et la Commission européenne y travaillent, tout comme elles cherchent à lever l'insécurité juridique qui pousse les pays à masquer l'ampleur réelle des cyberattaques. * Le prix pèse 30 % de la note. La qualité, le reste, un tiers des points concernant la proposition de réponse à 3 scénarios d'attaque. Entre autres éléments notables, pour chaque profil d'expert recherché (préparation, gestion d'incident, exercices/formations), au moins un membre de l'équipe doit avoir le niveau C1 dans la langue officielle du pays destinataire des services.

L'ensemble des systèmes utilisés pour la gestion et la réponse doivent être hébergés dans l'Espace économique européen. Illustration générée par IA