NIS2 ; risques et opportunités pour les entreprises

Introduction et références réglementaires

NIS est un acronyme qui signifie « Sécurité des réseaux et de l'information ».

Par cet acronyme, la Communauté européenne entendait désigner l'effort législatif visant à définir une approche standardisée de la cybersécurité dans tous les États membres de l'UE.

En 2018, le premier règlement européen, appelé NIS1 (directive UE 2016/1148), a été adopté ; transposé au niveau national par le décret législatif 65 du 18/05/2018.

Le décret NIS prévoyait également l'adoption d'une « stratégie nationale de cybersécurité » par la création du CSIRT italien (Computer Security Incident Response Team) doté de missions techniques liées à la prévention, à la réponse et à la surveillance des cyberincidents, en collaboration avec les CSIRT européens.

La NIS1 a ensuite été remplacée par la NIS2 (directive européenne 2022/2555) ; transposée au niveau national par le décret législatif 138 du 4 septembre 2024.

La NIS 2 vise à remédier aux limites de la NIS 1, qui laissait une trop grande marge de manœuvre aux États membres lors de la transposition, ce qui a empêché d'atteindre l'objectif d'harmonisation et a également exclu certaines catégories d'entités qui auraient dû être réglementées en raison de leur importance pour le marché européen.

Par ailleurs, la norme NIS2 a été introduite pour répondre à l'augmentation du taux de numérisation qui a eu lieu dans tous les États membres et qui a été accélérée par la pandémie, laquelle a accru la surface d'attaques cybernétiques sans augmentation correspondante des systèmes de sécurité.

Enfin, un autre objectif de NIS2 est d'obliger les opérateurs de services essentiels et importants et les fournisseurs de services numériques à adopter des mesures de sécurité adéquates et à signaler rapidement les incidents aux autorités compétentes et aux utilisateurs de leurs services.

La nouvelle directive a été alignée sur d'autres réglementations sectorielles européennes spécifiques, notamment :

- la Directive relative à la résilience opérationnelle numérique du secteur financier (DORA). Il s'agit du règlement approuvé le 10/11/2022 visant à renforcer les mesures de sécurité en faveur de la résilience et de la cybersécurité du secteur financier par la mise en œuvre d'une série de mesures de sécurité obligatoires garantissant l'intégrité des informations et la cybersécurité des services ;

- la directive relative à la résilience des entités critiques (CER) ; visant à garantir la clarté et la cohérence juridiques entre les différentes directives.

Les entreprises concernées ont été divisées en :

• Entités essentielles (énergie ; transports ; santé ; approvisionnement en eau ; administration publique ; finances ; espace ; infrastructure numérique)
• Entités importantes (recherche ; produits chimiques ; alimentation ; production industrielle ; fournisseurs de services numériques ; services postaux ; déchets)
• Organismes publics : Gouvernement central (organes constitutionnels et organes relevant de la compétence constitutionnelle ; cabinet du Premier ministre et ministères ; administrations fiscales ; autorités administratives indépendantes) | Gouvernement régional (régions et provinces autonomes) | Gouvernement local (métropoles ; communes de plus de 100 000 habitants ; chefs-lieux de région ; autorités sanitaires locales) | Autres entités publiques (organismes de régulation économique ; prestataires de services économiques ; associations ; services sociaux ; prestataires de services récréatifs et culturels ; organismes et instituts de recherche ; instituts de zooprophylaxie expérimentale) | Autres types d’entités (entités assurant les transports publics locaux ; établissements d’enseignement menant des activités de recherche ; entités menant des activités d’intérêt culturel ; sociétés de portefeuille ; sociétés de portefeuille et sociétés cotées en bourse)
• Fournisseurs : les organisations qui fournissent des services essentiels aux entités concernées par NIS2 doivent renforcer leur sécurité numérique, même si elles sont explicitement incluses dans les secteurs obligatoires.

Contenu de NIS2

Les obligations générales inhérentes au contenu de la NIS2 peuvent être résumées sur la base de quatre piliers principaux :

Gouvernance : La direction doit approuver les mesures de gestion des risques adoptées par l'organisation et évaluer leur efficacité au fil du temps ; suivre une formation régulière sur les questions de cybersécurité et proposer une formation similaire aux employés.

Gestion des risques : l’organisation doit évaluer les risques liés à la sécurité et au réseau et adopter des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées afin de prévenir ou de minimiser l’impact des incidents sur les bénéficiaires de ses services.

Continuité des activités : l’organisation doit adopter des solutions pour assurer la continuité de ses activités (par exemple, des sauvegardes, un plan de reprise après sinistre et une procédure de gestion de crise) ; ces solutions visent à minimiser l’impact de toute interruption des services fournis.

Chaîne d'approvisionnement : l'entreprise doit évaluer les vulnérabilités de chaque fournisseur direct ainsi que la qualité globale des produits et des pratiques de cybersécurité de ses fournisseurs. Cette évaluation portera sur les fournisseurs de services TIC et les autres fournisseurs critiques susceptibles d'interrompre le service pour lequel l'organisation a été incluse dans le périmètre NIS2.

Les entreprises devront donc être en mesure de mesurer et de rendre compte de :

• Analyse des risques et politiques de sécurité des systèmes d'information
• Procédures de gestion des incidents
• Solutions de continuité des activités (sauvegarde et reprise après sinistre) et procédures de gestion de crise et de communication
• Politiques de sécurité de la chaîne d'approvisionnement (fournisseurs et prestataires de services)
• Sécurité dans l'acquisition, le développement, la maintenance et la gestion des vulnérabilités des systèmes d'information et des réseaux

Chronologie de NIS2

Les entreprises et les administrations publiques devront procéder à une évaluation afin de déterminer si elles sont soumises ou non aux obligations de la directive NIS2.

Du 1er décembre 2024 au 28 février 2025, les entreprises devront s'authentifier sur le portail de l'ACN (Agence nationale de cybersécurité) à l'aide de leurs identifiants SPID. Durant cette période, les utilisateurs désignés comme /Service d'enregistrement devront s'inscrire.

En particulier, les entreprises sont tenues de :

• Indiquez si l'entité fait partie d'un groupe de sociétés et fournissez le code fiscal de la société mère, le cas échéant.
  
• Énumérez les sociétés apparentées et indiquez leurs codes fiscaux.
  
• Indiquez les codes ATECO décrivant l'activité de l'entité.
• Indiquez les réglementations sectorielles pertinentes de l'Union européenne.
• Fournissez les chiffres d'affaires, le bilan et le nombre d'employés afin de déterminer la catégorie de l'entreprise.
• Énumérez les types d'entités auxquelles appartient l'entreprise.

D’ici le 17 janvier 2025 : les opérateurs de registres de noms de domaine de premier niveau ; les fournisseurs de systèmes de noms de domaine et de services d’enregistrement de noms de domaine ; les fournisseurs de services de cloud computing ; les centres de données ; les fournisseurs de réseaux de diffusion de contenu ; les fournisseurs de services gérés ; les fournisseurs de services de sécurité gérés ; ainsi que les fournisseurs de places de marché en ligne ; les fournisseurs de moteurs de recherche en ligne et les fournisseurs de plateformes de services de réseaux sociaux devront s’être inscrits sur la plateforme.

Au plus tard le 31 mars 2025, l'ACN a établi une liste des entités essentielles et importantes sur la base des inscriptions reçues via la plateforme.

Entre le 1er avril 2025 et le 15 avril 2025, l'ACN a informé les entités concernées de leur inscription ou non sur la liste des entités essentielles ou importantes.

Au plus tard le 15 avril 2025, les entités ayant reçu la notification étaient tenues de désigner, par un acte spécifique, une entité chargée de remplir les obligations du décret.

Ensuite, les entités concernées par la directive devront se conformer à des exigences supplémentaires :

• d’ici le 1er janvier 2026 ; obligation de déclaration des incidents
• d’ici le 1er octobre 2026 ; les obligations relatives aux organes administratifs et aux mesures de sécurité doivent être remplies

Chaque année, l'ACN mettra à jour la liste des entités concernées. Les entreprises et les administrations publiques auront la possibilité de s'inscrire chaque année, entre janvier et février, si elles estiment faire partie des entités concernées.

Des risques pour les entreprises, mais aussi des opportunités

Suite à l'entrée en vigueur de la directive NIS2 et à l'identification des opérateurs concernés, les autorités compétentes pourront procéder à une surveillance et à des contrôles inopinés afin de vérifier leur conformité. En cas de non-conformité, des sanctions seront appliquées aux entreprises concernées.

Les sanctions sont très sévères : pour les grandes entreprises, jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial ; pour les entreprises de taille moyenne, jusqu’à 7 millions d’euros ou 1,4 % du chiffre d’affaires mondial.

Bien que la mise en conformité avec la réglementation exige un effort et un investissement conséquents de la part des entreprises, il convient également de souligner que cette réglementation vise à apporter une solution concrète au problème des cyberattaques, auquel les entreprises italiennes restent très vulnérables et qu'elles ont souvent tendance à dissimuler pour des raisons d'image. Sur le plan économique, le préjudice moyen estimé pour chaque cyberattaque dépasse 2 millions d'euros, quel que soit le chiffre d'affaires de l'entreprise.

Comment ERA peut vous aider à gérer la conformité à la norme NIS2

Malgré tout ce qui précède, qui pourrait laisser penser que les entreprises sont extrêmement intéressées et impliquées dans les questions de cybersécurité, il n'est pas rare, notamment parmi les PME, de trouver des entreprises qui n'ont rien fait ou presque sur ces questions et qui sont actuellement incapables de définir leur position en termes de risques auxquels elles sont exposées, tant d'un point de vue technique qu'en termes de conformité aux différentes réglementations existantes.

Certaines entreprises abordent la question de la cybersécurité par le biais de leurs assurances. Cependant, les assureurs hésitent souvent à offrir ce type de protection aux entreprises qui n'ont jamais entrepris de démarches concrètes en matière de cybersécurité. En effet, il n'existe aucune méthode fiable pour estimer précisément les dommages causés par une cyberattaque. De ce fait, les offres « NIS2 » se concentrent sur l'évaluation des risques cybernétiques, mais laissent aux entreprises le soin de prendre les mesures nécessaires pour combler les éventuelles lacunes. ERA propose un service plus complet, s'appuyant sur un réseau de fournisseurs hautement qualifiés à des conditions commerciales très compétitives.

Plus précisément, le soutien d'ERA comprend :

• Une évaluation de la structure organisationnelle et technique de l'entreprise ; à l'aide de questionnaires d'auto-évaluation utilisant des indicateurs prédéfinis ;
• Cours de sensibilisation et de formation ; avec des cours de base pour tout le personnel et des modules avancés pour les cadres supérieurs et intermédiaires ; conformément aux directives NIS2 ;
• Tests spécifiques et hautement qualifiés en matière d'analyse de vulnérabilité ; traitement du phishing et évaluation des risques liés aux ransomwares ;
• Soutien de consultants spécialisés pendant la phase de remédiation suivant l'évaluation ;
• Un soutien spécialisé de consultants dédiés pour orienter les décisions stratégiques dans le domaine de la cybersécurité.

Notre solution comprend l'analyse de la conformité à la réglementation NIS2, qui est certainement la préoccupation la plus urgente ; mais elle peut également accompagner le client dans la gestion de projet de la phase de remédiation, c'est-à-dire la phase au cours de laquelle le client doit remédier aux différents « défauts » identifiés lors du processus de diagnostic ; et c'est la phase au cours de laquelle les difficultés de certaines entreprises sont les plus apparentes, tant en termes de compétences internes que de disponibilité de temps et de ressources.