Pour que l’économie européenne tienne face aux attaques, aux sabotages et aux crises, l’Europe a adopté en 2022 deux directives (NIS2 et REC) qui imposent aux organisations vitales selon leurs activités un niveau d’exigence commun en matière de protection et de résilience. Les pays européens, dont la France, avaient jusqu’en 2024 pour transposer ces directives dans leur loi nationale.

NIS2 et REC, de quoi parle-t-on ?

NIS2 est la directive européenne relative à la sécurité des réseaux et des systèmes d’information. Elle doit s’appliquer aux entités essentielles ou importantes (selon leur taille et leur secteur d’activité) et impose des exigences de cybersécurité : responsabilité des directions, risques documentés, alerte rapide des autorités en cas d’incident, sécurité des fournisseurs, …  

REC est la directive sur la résilience des entités critiques. Elle vise la protection et la continuité des services essentiels (énergie, transport, santé, eau, …).

Où en est-on ?

La France devait transposer ces deux directives à l’automne 2024 : elle ne l’a pas fait.

Le projet de loi national, qui réunit les deux textes, n’est ni voté ni promulgué, et les textes qui en préciseront l’application (seuils, délais, modalités) restent à écrire. Certains points sont âprement disputés, comme le chiffrement et l’accès aux données.

Parallèlement, l’ANSSI propose le ReCyF (Référentiel de Cybersécurité France), un document qui détaille 20 objectifs de sécurité (15 pour les entités importantes) et les mesures pour les atteindre, mais sans valeur réglementaire.

Les entreprises françaises n’ont pas le luxe d’attendre : les textes d’application risquent d’imposer des délais difficilement tenables.

Qui contrôle ?

Pour NIS2, le contrôle reviendra à « l’autorité nationale de sécurité des systèmes d’information », c’est-à-dire l’ANSSI. Elle a la charge d’établir la liste des entités essentielles et importantes, et ses agents contrôleront la mise en application de la loi. Pour REC, des « agents de l’État spécialement désignés et assermentés à cette fin » auront la charge de constater les manquements.

En cas de manquement, des sanctions sont prévues.

Dans le projet de loi français, une commission instituée auprès du Premier ministre (complétée, pour la cybersécurité, par trois personnalités qualifiées) sera chargée de prononcer les sanctions.

Quels sont les obstacles internes ?

Les obstacles internes sont souvent les plus rudes. Être conforme ne dépend pas seulement de l’activité d’une entité, mais aussi de son organisation et de la maîtrise de ses ressources (sites, équipements, données, systèmes d’information, …) et de celle de son environnement (fournisseurs, sous-traitants, …).

La mise en application requiert de multiples projets de mise à niveau ou de transformation. Chaque direction (métiers, sécurité, sûreté, juridique, numérique, achats, …) a sa vision, ses priorités, son calendrier et son budget, et personne ne détient une cartographie complète des ressources et de l’environnement. Il faut arbitrer entre les projets en cours, convaincre les comités exécutifs de financer des risques invisibles, mobiliser de nombreux collaborateurs, faire adopter de nouvelles pratiques, voire transformer l’organisation.

Dans un contexte réglementaire indéfini et mouvant, chaque indécision peut coûter cher et le plus difficile est souvent d’accorder les équipes plutôt que de maîtriser la technique.

Quels chantiers lancer sans attendre ?

Plusieurs chantiers peuvent démarrer sans risque (ou presque) :

• une gouvernance portée par la direction, qui engage sa responsabilité au titre de la directive,
• une gestion des risques documentée,
• la détection et l’alerte rapide des autorités en cas d’incident (la directive prévoit une première alerte sous 24 heures),
• la maîtrise des fournisseurs et des sous-traitants dont l’entreprise dépend,
• la protection et la résilience des sites dont l’arrêt stopperait un service essentiel.

Le ReCyF est-il une norme ?

Non : le ReCyF donne la direction à suivre, mais il n’a pas valeur de loi. Il convient de viser son niveau d’exigence sans le traiter comme une obligation, et de rester prudent sur :

• les sujets qui divisent parlementaires, entreprises et services de l’État (comme le chiffrement et les accès aux données de l’article 16 bis),
• les textes d’application (seuils, délais, modalités…) qui ne viendront qu’après la loi,
• les corrections que devra apporter l’ANSSI pour que le ReCyF soit complètement aligné sur la loi.

Quelle feuille de route ?

1. Cartographier les services essentiels, les systèmes qui les soutiennent, les sites critiques et les fournisseurs. Sans cela, rien d’autre n’est possible.
2. Évaluer les écarts avec les objectifs de sécurité du ReCyF.
3. Prioriser les mesures qui servent à la fois NIS2 et REC : inventaires, gouvernance, gestion de crise, …
4. Engager sans attendre les mesures utiles dans tous les cas de figure (renforcement de la sécurité et de la résilience).
5. Simuler des incidents afin de vérifier que la chaîne d’alerte fonctionne (ce que les autorités regarderont probablement en premier) et que les autres mesures sont opérationnelles.

Le pari de l’anticipation

Reste une certitude : la loi finira par arriver. Les entreprises qui auront cartographié leurs ressources et leur environnement, éprouvé leur chaîne d’alerte, aligné leurs équipes et anticipé les mesures de protection et de résilience n’auront alors qu’à ajuster. Les autres devront tout faire en même temps, sous le regard des autorités et de leur conseil d’administration.

Jean-Paul FERMIGER – Expert Architecte ITS Services – Pôle d’Excellence Cirrus