Secteur privé

Comment les entreprises sont concernées en cas de défense collective

1) Le soutien de la nation hôte (Host Nation Support) et la hiérarchisation des ressources

En cas de défense collective, l’Allemagne soutient les forces alliées pendant leur séjour et leur transit. Cela concerne l’approvisionnement, le transport, l’hébergement, le carburant, la restauration, les réparations et le soutien médical. Pour les entreprises, cela signifie que la logistique et les chaînes d’approvisionnement sont mises sous pression, car les capacités de transport, les infrastructures et certains biens sont prioritaires. Ce qui relève de l’efficacité en temps de paix devient en cas de défense collective une question de capacité à tenir et de capacité de pilotage. La question centrale est : quelles prestations restent disponibles, lesquelles sont réorientées, et comment les entreprises sécurisent-elles leurs fonctions essentielles face à de nouvelles priorités ?

2) Le sabotage et les attaques hybrides, un scénario réaliste

La défense collective ne commence pas avec des hostilités ouvertes. Sabotage, cyberattaques, désinformation, pannes d’énergie ou informatiques, perturbations sur le rail et la route, attaques contre des nœuds ou du personnel : tout cela peut survenir dès la phase de mise en œuvre des mesures militaires. Dans de telles situations, les entreprises sont doublement concernées : comme cibles et comme co-porteuses de fonctions critiques. Quiconque fournit de l’électricité, des données, des transports, de l’eau, des soins, de la production ou de l’approvisionnement devient une cible et, en même temps, une condition de la capacité d’action de l’État.

3) La résilience, une obligation opérationnelle et non un supplément

La résilience ne signifie pas seulement protection, mais surtout continuité : la capacité de rester opérationnel malgré les perturbations, de fixer des priorités, de simplifier les processus et de réagir de façon concertée avec les autorités et les partenaires. En cas de défense collective, la résilience ne se joue pas à la marge, mais au cœur. Elle naît des redondances, de responsabilités claires, de procédures exercées et d’une communication fiable, en interne comme en externe.

4) Pénuries de personnel dues à la mobilisation de personnes clés

En cas de défense collective, ce n’est pas seulement la situation des biens et des infrastructures qui change, mais aussi la disponibilité du personnel. Une partie des effectifs peut être mobilisée pour des fonctions publiques, par exemple pour des missions de protection civile ou en tant que réservistes. Le personnel clé dans la technique, l’informatique, la logistique, la maintenance, la médecine ou la direction peut notamment faire défaut à court terme ou être affecté ailleurs. Pour les entreprises, cela signifie que la planification de la résilience doit aussi être une planification du personnel – avec des règles de suppléance, des processus essentiels hiérarchisés, des remplaçants qualifiés et la question de savoir quelles fonctions doivent être assurées en toutes circonstances.

Ce que les entreprises peuvent préparer dès maintenant

Comprendre le scénario et les dépendances

Les entreprises devraient examiner leur propre rôle en cas de défense collective non pas de manière abstraite, mais fonction par fonction. Quelles prestations sont critiques pour le système ? Quelles dépendances existent vis-à-vis de l’électricité, de l’informatique, du personnel, des fournisseurs, du transport, de l’eau, du carburant ? Quels nœuds sont vulnérables ? Où se trouvent les points de défaillance uniques ?

Renforcer l’organisation de crise et la capacité de décision

Une cellule de crise ne suffit pas. Ce qui compte, ce sont des circuits de décision clairs, des règles de suppléance, des processus essentiels hiérarchisés et une logique de communication qui fonctionne même en cas de panne. Qui informe qui, par quels canaux, à partir de quels seuils ?

Penser la cybersécurité et la sécurité de l’information comme capacité opérationnelle

La cyberdéfense n’est pas une tâche informatique, mais une tâche de direction. La défense collective accroît la probabilité d’attaques ciblées contre les chaînes d’approvisionnement, les identités, les systèmes de contrôle industriels et les réseaux de communication. Les entreprises ont besoin de normes robustes, d’une capacité hors ligne pour les processus critiques et de plans de reprise exercés.

Coopérer plutôt que planifier en parallèle

En cas de défense collective, la résilience ne fonctionne pas en solitaire. Ce qui compte, c’est la connexion avec les autorités et les exploitants, des formats d’échange, des tableaux de situation partagés dans la mesure du possible et des interfaces clarifiées avec les niveaux communal et régional. Mieux la coopération est préparée, moins il y a de frictions sous pression.

La défense de l’ensemble de la société ne concerne pas les entreprises en tant que spectatrices. Elle les concerne en tant que garantes de l’approvisionnement, de la mobilité et du bon fonctionnement. Qui est préparé ne protège pas seulement sa propre entreprise. Il stabilise le système dans lequel nous vivons tous.

Lois de prévoyance et de garantie d’approvisionnement

Résilience cyber & physique : Directive européenne NIS2 et directive CER

NIS2 et CER sont deux directives européennes complémentaires qui créent ensemble un cadre européen harmonisé pour la résilience des infrastructures critiques. La directive NIS2 régit la cyber-résilience, la directive CER la résilience physique. Toutes deux poursuivent des objectifs uniformes dans l’UE, mais sont mises en forme et transposées en droit national par chaque État. En Allemagne, la directive NIS2 est transposée par la révision de la loi sur le BSI(BSIG-neu) , la directive CER par la loi-cadre KRITIS (KritisDG).

Pour les entreprises, cela signifie que quiconque est considéré comme infrastructure critique doit penser la résilience de manière globale et est tenu de se protéger de façon appropriée contre les menaces tant numériques que physiques. Cela inclut des mesures de sécurité de la chaîne d’approvisionnement, la gestion et la notification des incidents, ainsi que la continuité de l’activité même sous menace ou attaque active. Le législateur exige expressément l’approche dite « tous risques », c’est-à-dire la prise en compte d’un large éventail de risques et de mesures appropriées pour y faire face.

Les deux directives étant harmonisées à l’échelle de l’UE, cela vaut non seulement pour le marché allemand, mais pour l’essentiel pour tous les sites et relations de fourniture au sein de l’UE. Les entreprises présentes dans plusieurs pays doivent en outre tenir compte de toutes les spécificités nationales.

La NIS2 accorde une importance particulière à la notification précoce des cyberattaques à des organismes centraux. Comme il est relativement facile d’attaquer plusieurs cibles simultanément dans le cyberespace, les notifications aux autorités compétentes et leurs alertes doivent aussi aider les entreprises d’infrastructures critiques à être informées tôt de telles vagues d’attaques, éventuellement avant d’être elles-mêmes touchées.

Énergie : Loi sur la sécurité énergétique (EnSiG)
L’EnSiG est pertinente pour le secteur privé, car les pénuries d’énergie frappent immédiatement la production, la logistique, l’informatique et les chaînes d’approvisionnement. La loi crée la base permettant, en situation de crise, de piloter les flux d’énergie et les priorités afin que les secteurs économiques particulièrement critiques puissent continuer à fonctionner – les entreprises devraient donc intégrer le fonctionnement d’urgence, les redondances et la logique de hiérarchisation.

Eau : Loi sur la garantie de l’approvisionnement en eau (WasSiG)
Pour les entreprises, l’eau est un facteur de production et d’hygiène ; les pannes affectent les processus, le refroidissement, le nettoyage et la capacité de livraison. La WasSiG est pertinente, car elle fixe le cadre de crise dans lequel la disponibilité de l’eau est hiérarchisée et l’adaptation des entreprises devient planifiable.

Alimentation : Loi sur la garantie et la prévoyance alimentaires (ESVG)
L’ESVG fixe le cadre de crise pour la garantie de l’approvisionnement lorsque la logique normale du marché et des chaînes d’approvisionnement ne suffit plus. Elle crée ainsi de la prévisibilité quant aux rôles, à la hiérarchisation et aux possibilités d’intervention de l’État, sans remplacer la responsabilité opérationnelle des entreprises.

Loi sur la poste (PostG) et loi sur les télécommunications (TKG)

• PostG : Les entreprises utilisent les services postaux et de colis pour leurs chaînes d’approvisionnement, leurs pièces de rechange, leurs contrats et leurs documents, et en dépendent souvent davantage en mode crise. La PostG est le cadre sectoriel dans lequel ces services sont organisés.
• TKG : presque toutes les chaînes de valeur (informatique, logistique, production, paiement) dépendent des télécommunications. La TKG constitue le socle réglementaire des réseaux et services qui permettent la continuité des activités.

Transports et logistique : Loi sur la garantie des transports (VerkSiG)
Les chaînes d’approvisionnement et la continuité des activités dépendent de prestations de transport prévisibles, qui peuvent être hiérarchisées ou restreintes en cas de crise. La VerkSiG est pertinente, car elle crée la base juridique pour organiser les prestations de transport de manière ordonnée en situation de crise, au lieu de laisser les pénuries entièrement au marché.