La nouvelle législation sur la cybersécurité de l’Union européenne, connue sous le nom de NIS2, entrera en vigueur dans quelques mois. Avec une date limite de conformité fixée au 17 octobre, cette loi vise à renforcer la capacité du bloc à lutter contre l’augmentation des cybercriminalités en veillant à ce que tous les États membres appliquent les mêmes règles et procédures de cybersécurité.
Conformément à cette directive, chaque État membre de l’UE doit mettre en place sa propre équipe de réponse aux incidents de sécurité informatique (CSIRT) ainsi qu’une autorité nationale pour les réseaux et systèmes d’information, si cela n’a pas encore été fait. Parallèlement, l’UE créera un Groupe de coopération NIS pour faciliter la collaboration sur les questions de cybersécurité entre ses États membres.
En plus d’une surveillance accrue des États membres, la directive NIS2 obligera également les entreprises basées dans l’UE opérant dans des secteurs critiques tels que l’énergie, le transport, l’eau, les services financiers et la santé à mettre en œuvre des mesures de cybersécurité strictes et à signaler les menaces cybernétiques graves aux autorités compétentes.
Étant donné que de nombreuses entreprises sont victimes de violations de cybersécurité en raison de failles dans leurs chaînes d’approvisionnement, les fournisseurs de services informatiques, tels que les moteurs de recherche, les entreprises de cloud computing et les détaillants en ligne, devront également se conformer à ces règles. De ce fait, de nombreuses entreprises britanniques qui vendent leurs produits et services dans l’UE seront concernées par NIS2, indépendamment du Brexit. Alors, comment peuvent-elles se conformer à NIS2 dans un délai aussi court ?
Technologie Importance pour les entreprises britanniques
La mise en œuvre de NIS2 par l’Union européenne aura un effet d’entraînement sur les entreprises britanniques, similaire à celui du Règlement général sur la protection des données (RGPD), selon Neil Thacker, directeur de la sécurité de l’information (CISO) EMEA chez Netskope, une entreprise de logiciels cloud.
Cette loi oblige les organisations européennes à renforcer la cybersécurité de leurs chaînes d’approvisionnement. Ainsi, si des entreprises britanniques fournissent leurs produits et services à des clients basés dans l’UE, elles doivent se conformer aux exigences de NIS2. Thacker souligne que cela est essentiel pour leur permettre de « maintenir leurs opérations et leurs relations avec les clients et partenaires de l’UE ».
En raison de l’interconnexion de l’économie mondiale actuelle, Thacker ajoute que NIS2 encourage généralement les organisations opérant en dehors de l’UE à adopter un ensemble similaire de politiques de gestion des risques pour renforcer leur posture de cybersécurité collective. Cela contribuera à établir un « standard unifié de cybersécurité » à l’échelle mondiale, et les politiques imposées par NIS2 « deviendront rapidement la norme dans le monde entier », dit-il.
Bien que le Brexit ait modifié le paysage juridique, les entreprises britanniques pourraient encore être tenues de se conformer à NIS2 en raison de son effet d’entraînement. Cette conformité est motivée par la nécessité d’une cohérence en matière de cybersécurité, d’accès au marché et de coopération internationale tout au long de la chaîne d’approvisionnement mondiale.
Se conformer à la directive NIS2 ne se limite pas à une simple formalité pour les entreprises britanniques commerçant en Europe. Ben Todd, vice-président régional des ventes de sécurité EMEA chez Dynatrace, une entreprise de sécurité cloud, soutient que cela peut les aider à long terme.
Il affirme que cela permettra aux entreprises britanniques de rationaliser leurs opérations à travers le bloc, de maintenir leur accès à ce marché florissant et de contribuer à une économie mondiale forte et sécurisée. Todd déclare : « En fait, l’alignement avec NIS2 peut aider les entreprises britanniques à éviter d’éventuelles barrières commerciales et à renforcer la confiance avec les partenaires et clients de l’UE. »
Technologie Se conformer à la directive
La première étape pour atteindre la conformité NIS2 consiste à comprendre ses exigences et comment elles s’appliquent à chaque entreprise, selon Crystal Morin, stratège en cybersécurité chez Sydsig, une entreprise de sécurité cloud.
Après avoir compris ces politiques et leur pertinence organisationnelle, elle recommande aux dirigeants d’entreprise et de sécurité de collaborer pour s’assurer qu’ils ont mis en œuvre les bonnes politiques et procédures.
Si ce n’est pas le cas, ils doivent élaborer un plan d’implémentation complet avant la date limite de conformité d’octobre. Morin ajoute : « Cela pourrait inclure l’utilisation de l’encryption de bout en bout, un plan de reprise après sinistre, et/ou la désignation d’agents de sécurité. »
En ce qui concerne la recherche sur la directive NIS2, Thacker recommande aux entreprises britanniques de se concentrer sur l’examen des Articles 20 et 21 du Chapitre 3. Ces sections détaillent les mesures de gouvernance et de gestion des risques en matière de cybersécurité que les entreprises britanniques ayant des intérêts commerciaux dans l’UE doivent adopter, allant de la gestion des incidents de cybersécurité aux questions de sécurité de la chaîne d’approvisionnement.
Bien qu’il soit essentiel que les entreprises comprennent et mettent en œuvre ces exigences, Thacker avertit que cela ne doit pas être considéré comme un simple exercice de lecture. Au contraire, les entreprises doivent continuellement améliorer leurs contrôles et mesures de cybersécurité à mesure que de nouveaux risques émergent.
C’est ici que quelques principes et pratiques clés en matière de cybersécurité peuvent être utiles, le premier étant le modèle de confiance zéro. Thacker explique que développer et appliquer une stratégie de confiance zéro permettra aux entreprises de vérifier l’identité de toute personne tentant d’accéder à leurs réseaux et actifs informatiques, les protégeant ainsi des parties malveillantes.
Deuxièmement, il recommande d’étendre les procédures de configuration des appareils pour inclure les dispositifs de l’internet des objets (IoT) et de technologie opérationnelle (OT), ainsi que les dispositifs traditionnels, afin d’atteindre une « couverture de sécurité complète ».
Troisièmement, Thacker suggère que les entreprises renforcent leurs programmes de gestion des identités et des accès en les combinant avec des mesures de gestion des actifs et en utilisant un coaching en temps réel pour améliorer la sensibilisation des employés aux problèmes de cybersécurité.
Enfin, il exhorte les entreprises à adopter une approche multifacette de la gestion des menaces. Plutôt que de se limiter à des techniques de détection de logiciels malveillants basées sur des signatures, Thacker propose d’ajouter des tactiques de menace interne et d’ingénierie sociale à l’équation.
Il déclare : « L’objectif est d’améliorer la maturité globale des pratiques de cybersécurité de votre organisation, en s’appuyant sur les fondamentaux existants et en les renforçant pour répondre aux normes NIS2. »
Un élément fondamental du parcours de conformité NIS2 est d’obtenir l’adhésion et le soutien des membres de la direction, selon Rayna Stamboliyska, PDG de la société de conseil RS Strategy. Elle souligne que cela est particulièrement important pour les entreprises qui n’étaient pas soumises à NIS1 par le passé ou qui ne considèrent pas actuellement la cybersécurité comme une priorité.
Dans le cadre de ce processus, Stamboliyska conseille aux équipes de cybersécurité et à la direction de déterminer les services, processus et actifs critiques qui doivent être couverts par les approches de gestion et de mitigation des risques de NIS2.
« Tout au long de votre parcours de conformité, vous devez impliquer la direction, car NIS2 met l’accent sur la gouvernance et la sensibilisation qui englobent l’ensemble de la direction de l’entreprise et pas seulement l’équipe de cybersécurité », dit-elle.
En plus d’impliquer les dirigeants dans le processus de conformité, elle souligne que les équipes de cybersécurité doivent également s’assurer que leurs procédures de gestion et de signalement des incidents respectent les directives de NIS2. Cela est dû au fait que la directive impose des « délais et exigences précis » concernant ces questions.
Rob O’Connor, responsable technologique et CISO chez Insight, un fournisseur de solutions technologiques pour entreprises, affirme que les entreprises qui ont dû réorganiser leurs opérations pour se conformer au RGPD ne devraient pas avoir de difficultés avec la conformité à NIS2.
« Elles auront mis en place des mesures de sécurité renforcées, une meilleure encryption et amélioré leur reporting », dit-il. « Elles auront révisé leurs plans de continuité des activités pour s’assurer qu’elles sont mieux préparées à se remettre d’incidents. »
Cependant, pour les entreprises qui découvrent ce processus, O’Connor recommande d’évaluer leurs processus de gestion des menaces cybernétiques existants et de trouver des moyens de les améliorer à la lumière de NIS2. Après avoir identifié les lacunes, elles devraient créer et mettre en œuvre un plan de réponse aux incidents robuste conformément à la directive.
Il ajoute qu’elles devraient s’efforcer de signaler les incidents cybernétiques aux organismes de réglementation le plus rapidement possible, d’adopter l’encryption et l’authentification multi-facteurs pour une protection accrue, ainsi que de fournir une formation à la sensibilisation à la cybersécurité à l’échelle de l’organisation.
Technologie Défis à surmonter
Les entreprises qui commencent leur parcours de conformité NIS2 peuvent rencontrer divers défis en cours de route. Sebastian Gerlach, directeur senior des politiques et de l’habilitation du secteur public en EMEA chez Palo Alto Networks, décrit cela comme un changement de paradigme pour les petites et moyennes entreprises.
« Souvent dépourvues des ressources et de l’expertise juridique de leurs homologues plus grandes, ces entités font face à une courbe d’apprentissage plus raide pour comprendre et se conformer aux nouvelles réglementations », déclare Gerlach.
Bharat Mistry, directeur technique pour le Royaume-Uni et l’Irlande chez Trend Micro, une plateforme de sécurité cloud, convient que de nombreuses entreprises britanniques risquent de rencontrer des difficultés pour se conformer à NIS2 en raison du niveau d’investissement, de recrutement et de formation qu’il exige.
Il avertit que la mise à jour des infrastructures informatiques obsolètes, l’intégration de nouvelles technologies dans les systèmes existants et la mise en place de procédures sophistiquées de réponse aux incidents sont des étapes nécessaires mais complexes que les entreprises doivent réaliser dans le cadre de la directive NIS2. Mistry ajoute : « De plus, garantir la conformité de la chaîne d’approvisionnement et traiter les défis spécifiques à chaque secteur ajoutent des difficultés supplémentaires, en particulier pour les chaînes d’approvisionnement numériques ou logicielles. »
De plus, les équipes de sécurité informatique peuvent avoir du mal à convaincre les dirigeants de l’importance d’investir dans des défenses de cybersécurité et des formations de sensibilisation. Cependant, c’est un combat qu’elles doivent gagner pour s’assurer que l’entreprise respecte ses obligations en matière de NIS2.
Tom Ascroft, CISO chez Unit4, un éditeur de logiciels d’entreprise, note que NIS2 exige que les membres du conseil d’administration et la direction comprennent les menaces cybernétiques en suivant des cours et des formations dans l’industrie.
« Fournir une formation à ce niveau peut être difficile à adapter au bon niveau », dit-il. « Cela dit, c’est une occasion de renforcer davantage votre posture de sécurité en soulignant ce besoin et en engageant ces parties prenantes. »
Malgré ces défis, les entreprises doivent prendre toutes les mesures nécessaires pour les surmonter et atteindre la conformité NIS2 d’ici la date limite d’octobre. Sinon, elles risquent de faire face à des amendes lourdes et aux dommages réputationnels qui accompagnent les actions réglementaires.
« Ceux qui n’ont pas déjà de plans de surveillance continue ou de réponse aux incidents doivent se mettre en mouvement immédiatement », conclut Morin. « Les pénalités pour non-conformité sont sévères et ne valent pas le risque ; jusqu’à 10 000 000 € ou 2 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé. »
