La Commission européenne publie des lignes directrices non contraignantes destinées à préciser les mesures que peuvent prendre les entités critiques pour renforcer leur résilience, en application de la directive (UE) 2022/2557. Ces lignes directrices, élaborées après consultation des États membres, des parties prenantes et du groupe sur la résilience des entités critiques (GREC), couvrent l'ensemble des secteurs visés par la directive : énergie, transports, santé, eau potable, eaux résiduaires, administration publique, espace, ainsi que production, transformation et distribution de denrées alimentaires.

Le texte précise que les mesures adoptées doivent être appropriées et proportionnées aux résultats des évaluations des risques réalisées tant par les États membres que par les entités elles-mêmes. Il invite ces entités à adopter une approche globale, tenant compte des interdépendances sectorielles et transfrontalières, et à intégrer leur plan de résilience dans un document formalisé. La cohérence avec d'autres cadres réglementaires sectoriels est expressément requise, notamment avec la directive SRI 2, le RGPD et diverses réglementations relatives à l'énergie, à l'aviation ou aux opérations pétrolières et gazières en mer. L'utilisation de systèmes d'intelligence artificielle à haut risque dans les mesures de résilience doit respecter les exigences du règlement européen sur l'IA.

Les lignes directrices sont structurées autour de six catégories de mesures correspondant à l'article 13, paragraphe 1, de la directive : prévention (réduction des risques climatiques, prévention des erreurs humaines, cyberhygiène) ; protection physique (sécurisation des périmètres, contrôle des accès, gestion des menaces liées aux drones) ; intervention, résistance et atténuation (gestion des crises, redondances, continuité des approvisionnements, maintenance prédictive) ; rétablissement (plans de continuité des activités, protocoles de redémarrage progressif, résilience des chaînes d'approvisionnement) ; gestion de la sécurité liée au personnel (vérification des antécédents, contrôle des accès, formation et qualifications) ; et sensibilisation (programmes de formation, exercices, supports d'information adaptés à différents publics).

Le texte souligne que ces orientations ne sont pas exhaustives et ne préjugent pas de l'interprétation du droit de l'Union par la Cour de justice. Les spécificités de certaines infrastructures, notamment maritimes, font l'objet de considérations particulières.