.png)
La directive NIS2 (Network and Information Systems Directive 2) est le nouveau cadre réglementaire de l'UE pour la sécurité de l'information dans les industries importantes.
Elle place la barre plus haut pour les normes de sécurité de l'information, étend le champ d'application du NIS original, introduit des activités de contrôle strictes pour la conformité, ainsi que des sanctions potentielles en cas d'infraction. L'objectif est de mieux protéger l'infrastructure d'information de l'Europe.
Il est particulièrement important de noter que la NIS2 ne se contente pas de fixer des normes de cybersécurité organisationnelle, mais qu'elle rend les cadres supérieurs responsables de leur respect. La négligence ou un engagement insuffisant à l'égard de ces réglementations pourrait avoir des répercussions juridiques importantes. Si vous ne faites pas preuve de diligence dans la mise en œuvre de mesures de cybersécurité robustes conformes aux normes NIS2, la direction générale peut être tenue personnellement responsable de toute défaillance de sécurité qui en résulterait.
Les dirigeants d'une organisation devraient y voir une opportunité stratégique d'améliorer leur cyberdéfense et leur vigilance - et pas seulement les risques et les tâches à accomplir. Ce billet traite du NIS2 en général et explique pourquoi le fait d'en faire un engagement de la haute direction peut être la voie de la durabilité et du succès de vos opérations à l'ère numérique.
La directive NIS2, qui succède à la directive NIS initiale, fait partie des plans ambitieux de l'Union européenne visant à garantir un niveau commun élevé de cybersécurité dans tous les États membres. Initialement proposée en 2013, la directive NIS visait à mettre en place une approche unifiée de la cybersécurité. Mais à mesure que les cybermenaces devenaient plus complexes et plus répandues, la nécessité d'un cadre plus solide est apparue clairement, ce qui a conduit à l'introduction de la NIS2. Cette directive améliorée vise un plus large éventail de secteurs et impose des responsabilités plus lourdes aux cadres supérieurs pour garantir la mise en œuvre de normes de cybersécurité plus élevées, reflétant ainsi l'importance de la cybersécurité à l'ère numérique moderne.
En dépit de ses bonnes intentions, la directive NIS initiale a souffert de plusieurs lacunes qui ont entravé son efficacité dans la mise en place d'une approche unifiée de la cybersécurité au sein de l'UE. Parmi ces lacunes, on peut citer
Toutes ces lacunes sont abordées et "corrigées" dans le NIS2. Cela signifie également que de nombreux points sont désormais définis en détail dans la directive proprement dite et que les États membres ont moins de marge de manœuvre dans leur législation nationale.
La directive NIS2 n'énumère pas d'exigences détaillées en matière de sécurité pour les organisations, mais elle énumère 13 domaines principaux de la sécurité de l'information, pour lesquels les organisations doivent disposer de procédures documentées. Il s'agit des thèmes clés de la directive NIS2 pour les organisations régulières. Ces procédures peuvent ensuite être demandées aux autorités ou faire l'objet d'un examen de mise en œuvre, par exemple dans le cadre d'un audit de sécurité.
La norme NIS2 exige que les organisations disposent de mesures documentées pour :
Le NIS2 prévoit également des mesures supplémentaires pour la gestion des incidents et la gestion de la chaîne d'approvisionnement.
Il est important de noter que la NIS2 reconnaît que des incidents se produisent et qu'ils continueront à se produire. L'objectif de la directive n'est pas d'attribuer des responsabilités, mais d'assurer la transparence, de maintenir la confiance et de promouvoir le partage des informations et des meilleures pratiques afin de renforcer la résilience globale en matière de sécurité.
Les organisations sont tenues de signaler aux autorités et aux utilisateurs des services tout incident de sécurité important susceptible de compromettre leur fonctionnement ou les données qu'elles détiennent, 24 heures, 72 heures et 30 jours après la détection de l'incident.
Les premiers rapports doivent contenir des informations de base ainsi qu'une évaluation de l'étendue des effets. La dernière notification doit comprendre une description détaillée de ce qui s'est passé, ainsi qu'une analyse des causes profondes et des mesures prises à la suite de l'incident.
La NIS2 vous impose de veiller à ce que votre chaîne d'approvisionnement ne soit pas le maillon faible de la matrice de cybersécurité. Il ne s'agit plus seulement de vos opérations immédiates ; votre mandat réglementaire s'étend également à vos fournisseurs tiers et à vos prestataires de services.
Les organisations doivent avoir une bonne compréhension de leur propre chaîne d'approvisionnement, notamment en répondant à des questions telles que : quels sont les acteurs essentiels à la fourniture de nos services, quel type d'assurance avons-nous quant à leur niveau de sécurité et comment contrôlons-nous leur sécurité et les engageons-nous à prendre certaines mesures?
Cet effet élargira également l'effet du NIS2 non seulement aux entreprises qui sont directement concernées par le NIS2, mais aussi à leurs principaux fournisseurs.
Le NIS initial présentait des lacunes évidentes en matière de contrôle. Le NIS2 tente d'éviter cela en définissant des méthodes minimales claires pour la supervision au niveau de la directive et en laissant seulement la possibilité d'en ajouter d'autres dans les lois nationales.
Les législations nationales mettant en œuvre le NIS2 définiront bien sûr quelles sont les autorités qui supervisent la mise en œuvre du NIS2 dans le pays suivant, et si la supervision est par exemple séparée en différentes autorités par industrie.
La directive définit des méthodes minimales pour effectuer la supervision :
En cas de non-conformité, par exemple, les méthodes suivantes seront utilisées :
La NIS2 est très claire sur le fait que l'encadrement supérieur de l'organisation peut être tenu pour responsable du non-respect des exigences de sécurité de l'article 21. Ainsi, selon la NIS2, le rôle de l'encadrement supérieur en matière de sécurité de l'information est au moins de.. :
En outre, dans un bon travail de sécurité de l'information, l'encadrement supérieur participe généralement au moins en allouant des ressources, en fixant des objectifs de sécurité et en démontrant son engagement envers la sécurité de l'information en général.
Cela signifie que le rôle de l'encadrement supérieur s'accompagne d'une responsabilité à la fois réglementaire et éthique. Le NIS2 estime que l'implication et l'engagement actifs de l'encadrement supérieur sont essentiels pour atteindre ses objectifs.
L'une des façons d'aborder le NIS2 consiste à comparer les normes de meilleures pratiques les plus courantes (par exemple ISO 27001 ou NIST CSF) et à rechercher des contrôles plus détaillés sur la façon de mettre en œuvre les 13 domaines de sécurité.
Vous pouvez aborder la question sous l'angle de "ce que nous avons déjà fait", du moins en partie, afin de vous mettre rapidement au diapason.
L'inconvénient évident de cette approche est souvent qu'elle n'aboutira pas à un développement durable de votre sécurité de l'information et qu'elle finira par être un exercice de documentation.
La mise en place d'un SGSI (système de gestion de la sécurité de l'information) crée une approche systématique de la sécurité de l'information en rassemblant les informations relatives à la sécurité de l'information en un seul endroit, en vous aidant à comprendre votre niveau de sécurité actuel et en permettant un contrôle approfondi des mesures de sécurité.
Vous pouvez ainsi maintenir la conformité à long terme et réduire les risques de cybersécurité en améliorant continuellement vos mesures de sécurité.
La certification de votre SGSI (par exemple selon la norme ISO 27001) signifie qu'un auditeur externe accrédité a examiné votre SGSI et s'est assuré qu'il est conforme aux exigences et aux contrôles du cadre sélectionné.
Cette approche offre des avantages tels que la preuve indéniable d'un bon niveau de sécurité, que vous pouvez utiliser non seulement pour les efforts de supervision NIS2, mais aussi pour tout type d'efforts de vente ou de collaboration impliquant des perspectives de sécurité de l'information.
Pour conclure, il est bon de comprendre que la directive NIS2 s'inscrit dans le cadre plus large de la croissance de la transformation numérique dans l'Union européenne. Elle exige de la clarté de la part des organisations - en documentant la manière dont elles ont mis en œuvre les différents aspects de la sécurité de l'information, et en soutenant ces choix. Elle engage également les cadres supérieurs à s'impliquer dans la sécurité de l'information à un niveau totalement nouveau.
Les mesures de sécurité étendues de la directive et les exigences en matière de notification des incidents soulignent un changement de priorité vers l'amélioration de la transparence, de la responsabilité et de la résilience globale contre les cybermenaces. Si la mise en œuvre du NIS2 implique indubitablement un engagement substantiel, les avantages l'emportent largement sur les dépenses.
La mise en place d'un système de gestion de la sécurité de l'information (SGSI), qu'il soit fondé sur d'autres bonnes pratiques ou qu'il vise la certification ISO 27001, est un moyen éprouvé de réussir. Cependant, n'oubliez pas qu'il s'agit d'un parcours et non d'une course. L'adoption d'une stratégie progressive adaptée au contexte, aux capacités et aux moyens de votre organisation vous permettra d'obtenir des résultats durables et contribuera à votre intégrité numérique à long terme.
