Par Sandrine Molgatini, DPO et Consultante en protection des données
Alors que la France est particulièrement touchée par les menaces cyber, la France est en train de se doter d’une législation très structurante en matière de cybersécurité, en transposant la directive 2022/2555 du 14 décembre 2022 dite « NIS 2 » (« Network and Information System Security » en anglais, « Sécurité des Réseaux et des systèmes d’Information » en français).
De nombreuses entités concernées
Cette directive européenne remplace la directive « NIS 1 » pour sensiblement renforcer la cybersécurité en imposant de nouvelles obligations à des organisations de secteurs d’activités « hautement critiques » ou « critiques », établies dans l’Union européenne ou y fournissant des services.
Onze secteurs hautement critiques sont visés : énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructure numérique, gestion des services TIC interentreprises, administration publique, espace. Les secteurs critiques, eux, sont au nombre de sept : services postaux et d’expédition, gestion des déchets, produits chimiques, denrées alimentaires, industries, fournisseurs numériques, recherche.
Deux types d’entités publiques ou privées de ces secteurs sont régulées :
– Entité essentielle : entité d’un secteur hautement critique employant au moins 250 personnes et ayant un chiffre d’affaires annuel supérieur 50 millions d’euros ou un bilan annuel excédant les 43 millions d’euros ;
– Entité importante : entité qui n’est pas une entité essentielle et qui emploie au moins 50 personnes et a un chiffre d’affaires annuel ou un bilan annuel supérieur à 10 millions d’euros.
Cependant le projet de loi de transposition en droit français prévoit un cumul de seuils différent (une surtransposition ?), de nature à engendrer une augmentation du nombre d’entreprises concernées :
– Entité essentielle : entité d’un secteur d’activité hautement critique qui emploie au moins 250 personnes ou dont le chiffre d’affaires annuel excède 50 millions d’euros et dont le total du bilan annuel excède 43 millions d’euros ;
– Entité importante, lorsqu’elle n’est pas une entité essentielle : entité d’un secteur d’activité hautement critique ou critique et qui emploie au moins 50 personnes ou dont le chiffre d’affaires et le total du bilan annuel excèdent chacun 10 millions d’euros ;
Attention : la directive s’applique à certaines entités, quelle que soit leur taille : opérateurs de communications électroniques, prestataires de services de confiance, registre des noms de domaine de premier niveau, fournisseurs de services DNS, fournisseurs de services d’enregistrement de noms de domaine, certaines administrations publiques, entités identifiées comme essentielles ou critiques. De plus, certaines entités sont automatiquement qualifiées d’entités essentielles.
En outre, une entreprise économiquement dépendante d’une autre société peut être soumise à la directive (« entreprises partenaires et entreprises liées »).
Les Etats membres disposent d’une marge de manœuvre dans la transposition. Par exemple, ils peuvent décider de réguler les entités de l’administration publique au niveau local ainsi que les établissements d’enseignement, ou décider de désigner telle entité comme essentielle et non comme importante.
Enfin, les fournisseurs et prestataires de services directs des entités visées seront indirectement concernés et devront se conformer aux exigences de cybersécurité imposées par leurs clients concernés par NIS 2.
Au final, de très nombreuses organisations vont se retrouver dans le champ de NIS 2.
Des obligations renforcées
Les entités désignées essentielles ou importantes devront se conformer à de nombreuses obligations.
En matière de gouvernance, les organes de direction vont devenir co-responsables de la cybersécurité (formation, approbation et supervision des mesures…). En matière de déclarations, les entités vont devoir communiquer des informations générales à l’ANSSI mais aussi notifier en plusieurs étapes les incidents importants (avec une « alerte précoce » dans les 24 heures).
Les entités visées devront adopter des mesures pour gérer les risques et les incidents, par exemple des politiques d’analyse des risques et de sécurité, la gestion des incidents et la continuité des activités, la sécurité de la chaîne d’approvisionnement (fournisseurs et prestataires de services directs), la sécurité de l’acquisition, du développement et de la maintenance des SI, les politiques de contrôle d’accès et de gestion des actifs, la sécurité des ressources humaines, ou encore l’utilisation de solutions d’authentification à plusieurs facteurs ou d’authentification continue, de communications sécurisées, et de systèmes internes sécurisés de communication d’urgence. Le niveau de sécurité imposé sera adapté à la maturité et au profil de l’entité concernée (entité essentielle versus entité importante).
Enfin, le Règlement d’exécution de la Commission européenne 2024/2690 du 17 octobre 2024 complète la directive concernant les mesures de gestion des risques et la définition des incidents importants, dans certains secteurs : registres des noms de domaine de premier niveau, services DNS, cloud computing, centres de données, réseaux de diffusion de contenu, services gérés, services de sécurité gérés, places de marché en ligne, moteurs de recherche en ligne, réseaux sociaux, services de confiance.
Pouvoirs de l’ANSSI et sanctions
L’ANSSI aura le pouvoir notamment de mener des contrôles et de prononcer des sanctions telles qu’une amende (jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, ou jusqu’à 7 millions d’euros ou 1,4% du chiffre d’affaires mondial pour les entités importantes), la suspension d’activités ou de services ou l’interdiction temporaire pour les dirigeants d’exercer des fonctions de direction.
Etat de la transposition
La Commission européenne a initié une procédure contre la France pour retard de la transposition en droit français car cette dernière aurait dû intervenir au plus tard en octobre 2024. L’examen au Parlement du Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui vise à transposer les directives « NIS 2 », « REC » et « DORA », ne sera pas finalisé avant, au mieux, septembre 2026. De plus, la loi devra être complétée par des décrets et arrêtés ministériels.
Compte-tenu de ce retard, l’ANSSI a déjà organisé des évènements et mis en place un site web pour ces entités : La directive NIS 2 — ANSSI qui inclut, notamment, un test pour qu’une organisation détermine si elle sera concernée par NIS 2, et le « Référentiel Cyber France (ReCyF, document de travail listant les exigences de NIS 2.
Pourquoi se préparer dès maintenant ?
Mettre en œuvre les mesures requises va prendre beaucoup de temps, il importe donc de se préparer sans attendre la publication des textes de transposition. Il est ainsi recommandé de :
– vérifier si votre organisation est visée par la directive ;
Si oui ;
– se pré-enregistrer sur le téléservice de l’ANSSI ;
– consulter et analyser les documents de l’ANSSI ;
– effectuer une cartographie des risques cyber et des actifs critiques ;
– évaluer le niveau de maturité de la gouvernance en cybersécurité ;
– élaborer les politiques et procédures ;
– former le personnel ;
– prévoir des clauses de cybersécurité spécifiques avec les fournisseurs et prestataires de services directs ;
– prévoir des audits internes et ;
– prévoir des tests de crise.
Quant aux fournisseurs et prestataires de services directs des entités régulées, qui vont devoir se conformer aux exigences de cybersécurité de leurs clients concernés, ils devraient eux aussi anticiper la transposition de la directive.
Si les entités concernées attendent la publication des textes français pour agir, elles prennent le risque d’entamer une démarche de mise en conformité dans la précipitation avec pour conséquences probables des délais d’attente notamment dans l’enregistrement auprès de l’ANSSI, la fourniture de prestations et produits de cybersécurité ou encore les discussions contractuelles avec les fournisseurs et prestataires de services directs.
Alors même que l’actualité nous montre que la menace cyber impacte le quotidien de tous et est plus que jamais un enjeu de souveraineté, il est urgent de ne plus attendre…
