Aujourd’hui on vous propose d’entrer dans le détail des nombreuses réglementations cyber prévues pour cette fin d’année 2024 / début 2025. Qui est concerné ? Quels outils et mesures de sécurité mettre en place en priorité ? Dans quel timing ? On analyse tout cela ensemble dans cet article dédié.
_____
Depuis plusieurs années déjà, la France et l’Europe connaissent un contexte réglementaire mouvant en matière de cybersécurité. La fin d’année 2024 et le début d’année 2025 s’inscrivent dans cette continuité, avec de nouvelles directives et réglementations clés qui doivent entrer en vigueur, notamment NIS2, DORA et le CRA. Ces nouvelles lois imposent un certain nombre d’obligations aux entreprises et organisations en matière de cybersécurité. C’est l’ensemble de l’écosystème cyber qui se renforce au niveau européen.
L’objectif est simple : sécuriser de façon pérenne un grand nombre d’entreprises et d’organisations dans toute l'Europe.
Pour les professionnels, que vous soyez dirigeants d’une PME de plus de 50 salariés ou expert de la sécurité des systèmes d’information, comprendre, mettre en œuvre les bonnes pratiques et anticiper ces changements est nécessaire.
NIS2, DORA et le CRA constituent les principales réglementations européennes en cybersécurité récemment adoptées ou sur le point d'entrer en vigueur. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité paru le 15 octobre 2024, vise à transposer en droit français la directive sur la résilience des entités critiques mais aussi NIS2 et DORA, nous donnant davantage de détails (874 pages) sur ce qui attend les entreprises et organisations européennes.1 Examinons en détail chacune de ces directives clés et leurs implications.
Date d'application : 17 octobre 2024
La France, comme les autres pays de l'UE, devait avoir transposé la directive NIS 2 pour le 17 octobre 2024, mais suite aux récents événements politiques du pays, le calendrier de transposition de la directive NIS 2 a été ajusté. La transposition est désormais reportée au 17 janvier 2025, date limite pour informer la Commission européenne des mesures adoptées. La France à ensuite jusqu'au 17 avril 2025 pour soumettre la liste des entreprises assujetties à cette nouvelle réglementation.
C’est ensuite à compter de la publication des décrets d’application ou des arrêtés que les mesures techniques de NIS 2 deviendront obligatoires entre entités régulées et prestataires sous-traitants. (Il faudra donc se tenir informé. Nous mettrons à jour cet article dès que nous aurons plus d’informations à ce sujet).
Vincent Strubel, Directeur Général de l’ANSSI (Agence Nationale de Sécurité des Systèmes d’Information) a également indiqué que la conformité totale à NIS2 devra se faire dans une période de trois ans. Attention, cela ne signifie pas que la mise en conformité peut attendre. En effet, il a également fixé un minimum requis de mesures à mettre en œuvre dès à présent, à savoir : « l’enregistrement auprès de l’ANSSI de l’entité régulée sur le portail monespaceNIS 2, les notifications des incidents et de montrer les investissements dans les solutions de sécurité ».
Secteurs concernés : Pour accéder à la liste complète des secteurs concernés par NIS 2, rendez-vous ici.
Parmi ces nombreux secteurs concernés par l’entrée en vigueur de NIS2 les organisations concernées seront :
Pour les collectivités seront concernées 1489 entités, collectivités territoriales et groupements de collectivités territoriales (661). Les communes de moins de 30 000 habitants (99% des communes) ne seront concernées que par leur intercommunalité de rattachement.
NIS2 vient également réglementer toute la chaîne d’approvisionnement (ce qui n’était pas le cas avec la première version NIS1 de la directive). En effet, pour une protection à 360° des organisations il est nécessaire d’imposer certaines mesures de cybersécurité aux différents partenaires, sous-traitants, prestataires qui peuvent être vecteur d’attaque, telles que des attaques par rebond.
Faites le test sur le site monespaceNIS 2 de l'ANSSI pour déterminer si votre organisation est régulée par la directive NIS 2 et à quelle catégorie elle appartient.
Synthèse des mesures concrètes à mettre en œuvre :
Sanctions : En cas de non-conformité, des sanctions pouvant aller jusqu'à 10 millions d'euros ou 2% du chiffre d'affaires mondial pour les entités essentielles pourront être appliquées. Pour les entités importantes, les sanctions pourront s’élever à 7 millions d’euros ou 1,4 % du chiffre d’affaires annuel mondial de l’entreprise.
Dora signifie “Digital Operational Resilience Act” et vise à assurer la stabilité financière du marché européen. Ainsi les établissements de crédit, de paiement et les entreprises d’investissement doivent se conformer à plusieurs exigences de sécurité afin de protéger leurs réseaux informatiques.
Date d'application : 17 janvier 2025
Secteurs concernés : Finance, banque, assurance.
Synthèse des mesures concrètes à mettre en œuvre :
Sanctions : En cas de non-conformité, les sanctions pourront aller jusqu'à 1% du chiffre d'affaires annuel moyen.
Le CRA (European Cyber Resilience Act)2 “vise à protéger les consommateurs et les entreprises qui achètent ou utilisent des produits ou des logiciels comportant un composant numérique.” L’objectif est ainsi de renforcer la sécurité des produits informatiques et logiciels en établissant des standards de sécurité minimaux et assurant des mises à jour de sécurité pendant cinq ans après la mise sur le marché du produit connecté par le fournisseur.
Date d'application : Le CRA a été adopté le 10 octobre 2024.
Il entrera en vigueur 20 jours après sa publication. Il faudra ensuite 36 mois avant que le CRA ne s’applique complètement.
Secteurs concernés : Fabricants, importateurs et distributeurs de produits connectés.
Synthèse des mesures concrètes à mettre en œuvre :
Sanctions : En cas de non-conformité, les sanctions pourront aller jusqu'à 15 millions d'euros ou 2,5% du chiffre d'affaires annuel mondial.
Voyons ensemble comment se préparer concrètement à l’arrivée de ces différentes réglementations et élever le niveau de sécurité de votre organisation.
La notification rapide des incidents de cybersécurité fait partie des obligations centrales de ces nouvelles réglementations. Il vous sera essentiel de développer des procédures de détection et de réponse aux incidents qui soient conformes aux délais réglementaires (24h pour NIS2 et le CRA, 4h pour DORA).
Pour vous y conformer :
En mettant en place cela, vous serez en mesure de répondre efficacement aux exigences de notification et de gestion des incidents de NIS2, DORA et du CRA, tout en renforçant votre capacité globale à faire face aux cybermenaces.
La sécurisation de l’ensemble de la chaîne de valeur des organisations est également un élément central des nouvelles réglementations cyber à venir. Pour cause, les fournisseurs, partenaires, prestataires représentent des maillons clés de la cybersécurité des entreprises.
Pour assurer la sécurité de votre organisation à tous les niveaux et être en conformité avec les réglementations à venir :
Les Plans de Reprise d'Activité (PRA) et les Plans de Continuité d'Activité (PCA) sont essentiels pour assurer la résilience opérationnelle exigée par NIS2, DORA et le CRA.
Voici comment développer et maintenir vos PRA/PCA :
La mise en place des différentes mesures de sécurité serait vaine sans sensibilisation, formation et mise à disposition d’outils adaptés à l’ensemble de vos collaborateurs.
Pour cela vous pouvez :
Vous renforcerez ainsi la cybersécurité globale de votre entreprise et ferez de vos collaborateurs de véritables maillons forts de votre sécurité (ou a minima des collaborateurs vigilants).
Les tests et audits réguliers sont essentiels pour évaluer l'efficacité de vos mesures de sécurité et assurer la conformité aux réglementations NIS2, DORA et CRA.
Pour vous conformer :
Avec l’arrivée de NIS2, DORA ou encore le Cyber Resilient Act (CRA), l’écosystème cyber européen se structure pour renforcer la sécurité des entreprises et des états.
Dès à présent, chaque entreprise doit préparer sa mise en conformité pour éviter les sanctions mais aussi simplement pour élever le niveau de sécurité de son organisation et assurer sa pérennité dans un environnement de menaces cyber de plus en plus complexes.
Vous n’êtes pas concerné par ces réglementations ? Pour le bien de votre entreprise sécurisez-vous quoi qu’il arrive.
Sources :
2. https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:52022PC0454