Directive REC : ce qui change pour les fournisseurs d'entités critiques

Ce qu'il faut retenir

Le 17 juillet 2026, chaque État membre de l'Union européenne devait avoir désigné ses entités critiques au titre de la directive REC. La France n'a pas tenu la date et fait l'objet d'un recours devant la Cour de justice de l'Union européenne. Mais la directive n'attend pas la loi française pour produire ses effets. Si vous fournissez un opérateur d'énergie allemand, un hôpital belge ou un logisticien italien, les exigences de résilience de votre client vont descendre jusqu'à vous, par le contrat. Voici par quel mécanisme, et ce qu'il faut préparer avant de signer quoi que ce soit.

Que s'est-il passé le 17 juillet 2026 ?

C'était la date limite fixée par la directive européenne REC pour que chaque État membre établisse la liste de ses entités critiques. Les organisations désignées reçoivent une notification officielle, puis disposent de dix mois pour se mettre en conformité.

La directive REC, pour résilience des entités critiques, est la directive (UE) 2022/2557 du 14 décembre 2022. Son acronyme anglais est CER, pour Critical Entities Resilience. Elle est entrée en vigueur le 16 janvier 2023 et s'applique depuis le 18 octobre 2024.

Son principe est simple. Certaines organisations fournissent des services sans lesquels la société s'arrête : l'électricité, l'eau potable, les soins, les transports, l'alimentation. L'Europe veut s'assurer que ces services continuent, quoi qu'il arrive.

La nuance qui compte, et que beaucoup de lecteurs manquent, tient à la comparaison avec sa jumelle. La directive NIS 2 traite la cybersécurité. La directive REC traite tout le reste : incendie, inondation, sabotage, canicule, intrusion, défaillance d'un fournisseur, crise sanitaire. Les deux textes ont été adoptés le même jour et forment un paquet. L'un protège les systèmes d'information, l'autre protège le monde physique et l'organisation elle-même.

Échéance	Ce qui devait se passer	Base juridique
17 octobre 2024	Transposition de la directive dans le droit de chaque État membre	Article 26
17 janvier 2026	Stratégie nationale de résilience et évaluation des risques par l'État	Articles 4 et 5
17 juillet 2026	Désignation des entités critiques par chaque État membre	Article 6 paragraphe 1
Un mois après la désignation	Notification individuelle à l'entité désignée	Article 6 paragraphe 3
Dix mois après la notification	Entrée en vigueur des obligations de fond	Article 6 paragraphe 3
Neuf mois après la notification	Première évaluation des risques par l'entité	Article 12

Retenez ce point, car la plupart des articles disponibles en ligne se trompent dessus. Il n'existe aucune date unique de conformité, ni en mai 2027 ni ailleurs. Le compteur de dix mois démarre à la notification individuelle, entité par entité, État par État. Une entreprise désignée en août 2026 et une autre désignée en février 2027 n'auront pas la même échéance.

La France n'a pas tenu la date

Le 29 avril 2026, la Commission européenne a annoncé saisir la Cour de justice de l'Union européenne d'un recours contre sept États membres pour défaut de transposition de la directive REC : la Bulgarie, la France, le Luxembourg, les Pays-Bas, la Pologne, l'Espagne et la Suède. Vingt États membres ne sont pas concernés par ce recours.

En France, la transposition passe par un texte unique, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit loi Résilience. Il transpose simultanément la directive REC, la directive NIS 2 et le volet directive du paquet DORA. Adopté par le Sénat en mars 2025, voté en commission spéciale à l'Assemblée nationale en septembre 2025, il n'a jamais atteint la séance publique. Selon une dépêche AEF Info du 1er juillet 2026, la ministre du Numérique Anne Le Hénanff espère un examen en septembre 2026.

Conséquence pratique : la France n'a pas pu désigner ses entités critiques au 17 juillet 2026, faute de cadre légal. Ce qui ne suspend rien du tout pour les entreprises françaises qui travaillent avec des clients européens.

Qu'est-ce qu'une entité critique, et pourquoi ce n'est probablement pas vous ?

Une entité critique est une organisation désignée nominativement par son État parce qu'elle fournit un service essentiel dont l'interruption aurait des conséquences graves. On ne le devient pas en cochant des critères sur un site : on le devient parce qu'un État vous inscrit sur une liste et vous envoie une notification.

L'article 6 paragraphe 2 pose trois conditions cumulatives. L'organisation fournit un ou plusieurs services essentiels. Elle exerce son activité sur le territoire de l'État membre et son infrastructure critique s'y trouve. Et une interruption produirait des effets perturbateurs importants, appréciés selon des critères listés à l'article 7 : nombre d'utilisateurs dépendants, durée de la perturbation, zone géographique touchée, part de marché, existence ou non d'une solution de remplacement.

La directive couvre onze secteurs, listés en annexe.

Secteur	Exemple concret d'entité concernée
Énergie	Gestionnaire de réseau électrique, exploitant d'oléoduc, producteur d'hydrogène
Transports	Gestionnaire d'aéroport, entreprise ferroviaire, autorité portuaire
Secteur bancaire	Établissement de crédit
Infrastructures des marchés financiers	Plate-forme de négociation, contrepartie centrale
Santé	Établissement de soins, fabricant de médicaments, distributeur pharmaceutique
Eau potable	Fournisseur et distributeur d'eau destinée à la consommation humaine
Eaux résiduaires	Exploitant de station d'épuration
Infrastructures numériques	Fournisseur de cloud, opérateur de centre de données, service DNS
Administration publique	Entité de l'administration centrale
Espace	Exploitant d'infrastructure au sol de services spatiaux
Alimentation	Producteur industriel à grande échelle, grossiste, logisticien alimentaire

Si vous êtes un sous-traitant industriel, un prestataire de maintenance, un éditeur de logiciel métier, un transporteur ou un fournisseur de pièces, vous ne figurez pas dans ce tableau. C'est exactement le point de départ du problème.

Point de vigilance : trois secteurs sont désignés mais largement exemptés

L'article 8 de la directive écarte l'article 11 et les chapitres III, IV et VI pour trois secteurs : la banque, les infrastructures des marchés financiers et les infrastructures numériques. Concrètement, les entités de ces trois secteurs sont bien recensées comme critiques, mais elles échappent à l'essentiel des obligations de fond : évaluation des risques d'entité, mesures de résilience, plan de résilience, notification d'incident, supervision.

La raison est logique. Ces secteurs sont déjà couverts par d'autres textes jugés au moins équivalents : le règlement DORA pour la finance, la directive NIS 2 pour le numérique. L'Europe a voulu éviter le doublon.

Beaucoup d'articles de vulgarisation annoncent les onze secteurs sans jamais mentionner cette exemption. Un lecteur du secteur bancaire en tire une conclusion inverse de la réalité. Si vous fournissez une banque, votre pression réglementaire vient de DORA, pas de la directive REC.

Pourquoi la directive REC atteint vos contrats alors qu'elle ne vous vise pas ?

Parce que trois obligations imposées à votre client ne peuvent pas être remplies sans vous. Il devra démontrer qu'il peut se passer de vous, intégrer vos salariés dans son périmètre de sécurité, et pouvoir faire vérifier leurs antécédents. Aucune de ces trois obligations ne crée d'obligation légale directe à votre charge. Toutes les trois arriveront chez vous sous forme contractuelle.

Ce que la directive impose à votre client	Article	Ce qui arrive chez vous
Prévoir d'autres chaînes d'approvisionnement pour reprendre le service	Article 13 paragraphe 1 point d	Questionnaire sur votre continuité, référencement d'un second fournisseur, clause de reprise
Intégrer le personnel des prestataires extérieurs dans la définition des fonctions critiques	Article 13 paragraphe 1, dernier alinéa	Nominativement, vos intervenants entrent dans son plan de résilience
Pouvoir demander une vérification des antécédents	Article 14	Contrôle du casier judiciaire de vos salariés affectés au contrat

Votre client doit prouver qu'il peut se passer de vous

L'article 13 paragraphe 1 point d exige des entités critiques qu'elles prennent des mesures pour se rétablir après un incident, en prenant dûment en considération des mesures assurant la continuité des activités et la détermination d'autres chaînes d'approvisionnement.

Traduisons. Votre client doit être capable de démontrer à son autorité de contrôle qu'il a une solution le jour où vous ne livrez plus. Cette démonstration prend deux formes, et une seule vous arrange. Soit il vous demande de prouver que vous tenez, soit il référence un second fournisseur à côté de vous. Dans les faits, il fera souvent les deux.

La même logique se retrouve à l'article 12 paragraphe 2 : l'évaluation des risques de votre client doit tenir compte de sa dépendance à d'autres entités, y compris situées dans des États membres voisins et dans des pays tiers. Un fournisseur hors Union européenne est donc explicitement dans le champ de l'analyse.

Vos salariés entrent dans son périmètre

Le dernier alinéa de l'article 13 paragraphe 1 est court et souvent ignoré. Les États membres veillent à ce que les entités critiques tiennent compte du personnel des prestataires de services extérieurs lorsqu'elles définissent les catégories de personnel qui exerce des fonctions critiques.

Autrement dit, la frontière juridique entre votre société et celle de votre client ne protège plus grand-chose. Si votre technicien intervient sur un équipement critique, il est traité comme un maillon critique du dispositif de votre client, au même titre que ses propres salariés.

Vos salariés peuvent faire l'objet d'une vérification d'antécédents

L'article 14 autorise les entités critiques à demander la vérification des antécédents de trois catégories de personnes. Celles qui occupent des fonctions sensibles au sein de l'entité critique ou au bénéfice de celle-ci. Celles qui disposent d'un accès direct ou à distance à ses locaux et à ses systèmes. Et les candidats à un recrutement sur ces postes.

L'expression "au bénéfice de celle-ci" est décisive : elle englobe les prestataires. La vérification comprend au minimum la confirmation d'identité et le contrôle du casier judiciaire, le cas échéant via le système européen d'information sur les casiers judiciaires, les autorités centrales devant répondre sous dix jours ouvrables.

Pour un prestataire de télémaintenance qui accède à distance aux automates d'une usine, c'est une transformation concrète de la relation commerciale. Ce n'est plus seulement votre prix et votre délai qui sont évalués. C'est aussi qui vous envoyez.

Comment savoir si vous êtes concerné ?

Vous ne recevrez aucune notification. Les États ne notifient que les entités critiques elles-mêmes. Vous découvrirez votre exposition par un questionnaire, une clause dans un renouvellement de contrat, ou une question inhabituelle dans un appel d'offres.

La méthode la plus rapide consiste à relire votre portefeuille client sous un angle unique. Pour chaque client représentant une part significative de votre chiffre d'affaires, posez-vous deux questions. Ce client appartient-il à l'un des onze secteurs listés plus haut, hors banque, marchés financiers et numérique ? Et dans quel État membre est-il établi ?

Un client allemand, belge, italien ou danois relève d'un droit national déjà en vigueur. Un client français relève d'une loi qui n'existe pas encore, mais dont l'anticipation a déjà commencé dans les grandes organisations. En mission, je constate que les directions achats des grands groupes n'attendent pas la promulgation pour réviser leurs modèles de contrat.

Exemple terrain

Un prestataire logistique français d'une soixantaine de salariés livre trois plateformes agroalimentaires, dont une en Belgique. Il n'a jamais entendu parler de la directive REC. En 2026, son client belge lui transmet un questionnaire de trente-quatre questions portant sur ses délais de reprise, ses sites de repli, sa dépendance à un unique logiciel de gestion d'entrepôt et l'identité des chauffeurs affectés au contrat. Le commercial répond seul, en une heure, en donnant des chiffres qui lui semblent raisonnables. Personne dans l'entreprise n'a jamais vérifié ces chiffres. Six mois plus tard, ces réponses sont devenues des engagements contractuels annexés au renouvellement.

C'est le scénario le plus fréquent, et le plus coûteux.

Que répondre quand le questionnaire de votre client arrive ?

Ne donnez jamais un chiffre que vous n'avez pas testé. C'est la seule règle vraiment importante. Un questionnaire de résilience non préparé se transforme en engagement contractuel, et un engagement contractuel non tenu se transforme en pénalité, puis en perte du contrat.

Le piège du délai qu'on n'a jamais vérifié

La question qui revient toujours est celle du délai de reprise. Pour y répondre proprement, il faut distinguer trois notions que la plupart des entreprises confondent, y compris de bonne foi.

Le DMIA, ou Délai Maximal d'Interruption Admissible, est la durée au bout de laquelle l'arrêt d'une activité devient inacceptable pour l'organisation. Il s'applique à une activité métier, jamais à un logiciel ou à un serveur.

Le BRTO, ou Business Recovery Time Objective, est le besoin exprimé par les équipes opérationnelles : sous quel délai telle application doit-elle redémarrer pour que l'activité tienne.

Le RTO, ou Recovery Time Objective, est autre chose. C'est la capacité technique réelle de votre informatique à remettre cette application en service. Pas un souhait, une capacité mesurée.

L'écart entre le besoin et la capacité est votre risque résiduel. Tant que vous ne l'avez pas mesuré, vous ne pouvez rien signer. J'ai détaillé cette distinction dans mon article sur le Recovery Time Objective.

Le seul moyen fiable d'établir ces délais est le Bilan d'Impact sur l'Activité, ou BIA. C'est un exercice d'entretien avec vos opérationnels qui identifie vos activités critiques et les délais réels. C'est exactement ce que je fais dans ma mission BIA.

La perte de données que personne n'a chiffrée

Même logique côté données. Le BRPO, ou Business Recovery Point Objective, est le volume de données que le métier accepte de perdre, exprimé en durée : une heure de saisie, une journée, une semaine. Le RPO, ou Recovery Point Objective, est la réponse technique : la fréquence réelle de vos sauvegardes.

Si vos équipes disent qu'elles ne peuvent pas perdre plus d'une heure de commandes et que votre sauvegarde tourne une fois par nuit, vous avez un écart de plusieurs heures. Ce n'est pas grave en soi. Ce qui est grave, c'est de le découvrir après avoir signé.

La notification en 24 heures qui redescend jusqu'à vous

L'article 15 impose à votre client de notifier à son autorité compétente tout incident perturbant de manière importante la fourniture de son service essentiel. La première notification doit intervenir au plus tard vingt-quatre heures après qu'il en a pris connaissance, suivie d'un rapport détaillé sous un mois.

Votre client ne peut pas tenir ce délai s'il apprend l'incident par vous trois jours plus tard. Attendez-vous donc à une clause d'alerte à quelques heures, parfois deux ou quatre. Cette clause suppose que quelqu'un chez vous soit joignable, sache qualifier l'incident et sache qui appeler. Ce n'est pas un sujet de contrat, c'est un sujet d'organisation.

Ce qu'on vous demande	Ce que ça veut dire vraiment	Ce qu'il faut avoir avant de signer
Votre délai de reprise	Une capacité technique mesurée, pas une intention	Un BIA et un test de reprise documenté
Votre perte de données acceptable	La fréquence réelle de vos sauvegardes	Une restauration testée, pas une sauvegarde qui tourne
Votre plan de continuité	Un document à jour et exerçable	Un plan testé au moins une fois dans l'année
Votre délai d'alerte en cas d'incident	Une astreinte réelle, jour et nuit	Une procédure d'escalade et des personnes nommées
Vos dépendances critiques	Vos propres fournisseurs et logiciels uniques	Une cartographie de vos points de rupture

Un plan qui n'a jamais été testé ne vaut rien devant un client qui, lui, sera audité. Le format le plus rapide pour vérifier qu'un dispositif tient est l'exercice sur table, une demi-journée de discussion structurée autour d'un scénario. C'est le format que je propose dans mon offre d'exercice tabletop. Et si vous partez de zéro, c'est la construction d'un Plan de Continuité d'Activité opérationnel qu'il faut engager, pas la rédaction d'un document destiné à rassurer un acheteur.

Questions fréquentes sur la directive REC et les fournisseurs

La directive REC s'applique-t-elle directement aux fournisseurs et sous-traitants ?

Non. La directive REC ne crée d'obligations qu'à la charge des États membres et des entités critiques qu'ils désignent. Les fournisseurs et sous-traitants ne sont jamais désignés et ne reçoivent aucune notification. Leur exposition est indirecte et contractuelle : elle découle des obligations de leur client, en particulier l'article 13 paragraphe 1 point d sur les chaînes d'approvisionnement alternatives et l'article 14 sur la vérification des antécédents.

Mon entreprise est française et la loi n'est pas votée. Suis-je tranquille ?

Non, pour deux raisons. Vingt États membres ne font pas l'objet du recours engagé par la Commission en avril 2026 : si vous fournissez un client établi dans l'un d'eux, son droit national s'applique déjà à lui, et ses exigences descendront jusqu'à vous quel que soit le calendrier français. Ensuite, la loi Résilience est attendue pour l'automne 2026 selon les déclarations gouvernementales. Le délai qui reste est un délai de préparation, pas une dispense.

Quelle différence entre la directive REC et la directive NIS 2 ?

Les deux directives ont été adoptées le 14 décembre 2022 et forment un paquet. NIS 2 traite la cybersécurité des réseaux et des systèmes d'information. La directive REC traite tous les autres risques : catastrophes naturelles, sabotage, intrusion, terrorisme, accident industriel, défaillance de la chaîne d'approvisionnement. Une même organisation peut relever des deux textes, sur des périmètres différents.

Quelles sanctions en cas de manquement ?

L'article 22 renvoie intégralement au droit national. Chaque État membre détermine son régime de sanctions, qui doit être effectif, proportionné et dissuasif. Contrairement à NIS 2, la directive REC ne fixe aucun plafond harmonisé au niveau européen. Les comparaisons chiffrées que l'on trouve en ligne entre les deux textes sont donc des conjectures. Pour un fournisseur, le risque n'est de toute façon pas administratif mais commercial : la perte du contrat.

Faut-il être certifié ISO 22301 pour répondre à ces exigences ?

Non, la directive n'impose aucune certification. Son article 16 encourage seulement le recours à des normes européennes et internationales pertinentes. Cela dit, un système de management de la continuité d'activité conforme à l'ISO 22301 couvre l'essentiel de ce qu'un client vous demandera, et la certification constitue une réponse immédiate à un questionnaire de résilience.

Passez à l'action

Si vous fournissez une organisation susceptible d'être désignée entité critique, deux choses sont utiles avant que le questionnaire n'arrive. Savoir quelles sont vos activités réellement critiques et sous quel délai elles doivent redémarrer. Et avoir testé au moins une fois que votre dispositif tient.

Je suis Thomas Scorticati, consultant indépendant en continuité d'activité et gestion de crise, certifié MBCI par le Business Continuity Institute. J'accompagne les organisations qui doivent répondre à ce type d'exigence sans se surengager.

Si vous voulez faire le point sur votre exposition, réservez un créneau de 30 minutes via Calendly. Gratuit, sans engagement.

Sources et références

Directive (UE) 2022/2557 sur la résilience des entités critiques (EUR-Lex, texte intégral en français)

Saisine de la Cour de justice contre sept États membres pour défaut de transposition de la directive REC (Commission européenne, 29 avril 2026)

Examen du projet de loi Résilience espéré en septembre (AEF Info, 1er juillet 2026)

À lire également

Besoin d'accompagnement ?

Découvrez nos offres dédiées à la mise en place d'un PCA, à l'accompagnement ISO 22301 ou aux exercices de crise immersifs. Pour en savoir plus sur ma démarche, consultez la page À propos.