La directive NIS2, qui vise à renforcer et harmoniser la cybersécurité pour les entreprises membres de l’UE, entrera en vigueur en octobre 2024. Systématisation de la MFA, mise en place du chiffrement pour protéger les données, sécurisation des réseaux, formation des collaborateurs… Les démarches à effectuer sont nombreuses, et peuvent paraître laborieuses pour les entreprises. Pourtant, il existe des mesures pour se préparer dès maintenant à ces nouvelles directives. Découvrez nos conseils pour commencer à se conformer à NIS2 et faciliter son application en entreprise.
La directive NIS2 renforce les normes de cybersécurité pour les entreprises des États membres de l’Union Européenne. La France a jusqu'au second semestre de 2024 pour transposer la directive dans sa législation nationale et jusqu'à la mi-avril 2025 pour élaborer une liste des Entités Essentielles (EE) et Entités Importantes (EI) visées par la directive.
Ensuite, NIS2 devra s’appliquer dans toutes les entreprises concernées, sous peine de sanctions financières et pénales, engageant la responsabilité directe des dirigeants. Les entreprises sont donc incitées à prendre dès aujourd’hui des mesures concrètes pour se conformer à NIS2, et faciliter ainsi son application en entreprise.
NIS2 vise à compléter la directive NIS1, entrée en vigueur en août 2016, en élargissant notamment son champ d’application.
En effet avec NIS1, seuls les banques, les institutions financières, les acteurs de l’énergie, des transports, de la santé, des infrastructures numériques et des réseaux d’eau étaient concernés par les directives à appliquer.
NIS2 élargit son périmètre en y ajoutant d’autres acteurs tels que les ESN, ou encore les administrations publiques. La nouvelle directive prévoit également une segmentation entre les Entités Essentielles (EE) et les Entités Importantes (EI). Cette classification vise à ajuster les responsabilités des entreprises en fonction de leur degré de criticité en cas d'incidents de cybersécurité et des conséquences que leurs dysfonctionnements pourraient engendrer.
Retrouvez la liste complète des secteurs concernés par NIS2 ici.
Pour plus de détails sur les mesures prévues par NIS2 consultez notre article :
NIS2 : Quels impacts pour mon organisation ?
D’après une étude de Verizon, 81 % des violations de données mondiales seraient liées à une problématique de mots de passe ² . Face à ce constat, l'authentification multifacteur ne semble plus être une option.
En imposant aux entreprises la MFA pour protéger les accès sensibles, NIS2 ajoute une couche de sécurité supplémentaire sur les authentifications. L’objectif est de réduire le risque d'accès non autorisé avec une étape supplémentaire lors de la demande d’accès aux services sensibles.
Il devient donc essentiel pour les organisations de combiner la MFA avec une politique IAM robuste pour se conformer à NIS2 et renforcer leur résilience face aux cybermenaces.
Pour démocratiser la MFA et renforcer les authentifications en entreprise, plusieurs méthodes existent : les OTP (codes à usage unique), le second facteur envoyé par mail ou SMS, ou encore les applications MFA qui génèrent des codes de manière autonome, comme Google Authenticator ou Authy.
Pour faciliter l’application de NIS2 en entreprise, il est conseillé de prendre dès maintenant plusieurs mesures.
Voici 7 conseils, pour une transition vers NIS2 sereine :
La première étape pour se conformer à NIS2 consiste à déterminer les services essentiels au bon fonctionnement de l’entreprise. Le but est de hiérarchiser les efforts de sécurisation en se focalisant sur les ressources les plus critiques. Un audit devra ensuite être fait, afin d’identifier les failles de sécurité existantes et évaluer le niveau de sécurité de chaque service, dans le but de répondre aux exigences de NIS2.
Pour protéger efficacement le SI d’une organisation, il est indispensable de segmenter les droits et les accès utilisateurs. La mise en place d'un gestionnaire de mots de passe professionnel vous permettra de gérer finement ces droits d'accès aux différentes ressources de la société. Il peut également être utile de le relier à votre annuaire d'entreprise afin de calquer la segmentation de celui-ci sur la gestion de vos mots de passe. Cela assurera une distribution appropriée des autorisations au sein de l'entreprise, en veillant à ce qu'elles soient alignées sur les besoins opérationnels tout en limitant les risques de sécurité.
Côté authentification, le mot de passe seul n’est plus suffisant pour protéger les accès sensibles, et ce n’est pas NIS2 qui dira le contraire !
Déployer dès maintenant la MFA fera donc gagner un temps précieux aux organisations, qui pourront par exemple miser sur un déploiement progressif pour une meilleure acceptation collaborateurs.
Afin de se conformer aux directives de NIS2 et garantir la sécurité des données sensibles, la mise en place du chiffrement est incontournable.
Cela peut être fait par le biais de protocoles de chiffrement tels que SSL / TLS qui sécurisent les échanges de données entre les utilisateurs et les serveurs.
Pour les organisations utilisant des applications de messagerie instantanée ou de partage de fichiers, déployer dès maintenant le chiffrement de bout en bout est préconisé car il assure une protection des données tout au long de leur parcours, depuis l'émetteur jusqu'au destinataire.
Le chiffrement peut également être intégré à 3 niveaux :
Au-delà des mesures techniques pour se conformer à NIS2, la sensibilisation des collaborateurs aux bonnes pratiques cyber est indispensable. Cela passe par une éducation rigoureuse, en tenant compte des menaces émergentes et des réflexes à adopter en entreprise pour s’en protéger.
En outre, l'entraînement des collaborateurs aux procédures du PCA les familiarise avec les étapes à suivre en cas d'incident, pour un déroulé plus fluide lors d’une éventuelle cyberattaque, par exemple.
Cette sensibilisation active contribue à renforcer l'efficacité globale du plan de sécurité, en faisant des collaborateurs des acteurs informés et réactifs face aux menaces potentielles.
Sources :
¹ https://cyber.gouv.fr/publications/recommandations-relatives-lauthentification-multifacteur-et-aux-mots-de-passe
² https://www.cnil.fr/fr/mots-de-passe-une-nouvelle-recommandation-pour-maitriser-sa-securite