NIS2

NIS2 : la directive sur la sécurité des réseaux et de l’information (NIS) comble ses lacunes

En 2016, la Commission européenne a adopté la directive européenne sur la sécurité des réseaux et de l’information (NIS). La directive NIS a été la première législation européenne en matière de cybersécurité et son objectif était de renforcer la cybersécurité dans l’ensemble de l’Union européenne.

En mai 2022, afin de répondre aux menaces croissantes posées par la numérisation croissante et la montée en puissance des cyberattaques, la Commission a annoncé le remplacement de la directive NIS et donc le renforcement des exigences de sécurité, ainsi que l’introduction de mesures de surveillance plus strictes et d’exigences d’application plus rigoureuses, y compris des sanctions harmonisées dans l’ensemble de l’Union européenne.

La directive NIS2 vise à renforcer les aspects suivants :

1. L’évolutivité

L’interconnexion croissante, la numérisation rapide et la connectivité omniprésente signifient qu’il est important pour de plus en plus d’entreprises de se protéger contre les cyber risques. La redéfinition du champ d’application initial pour couvrir plus clairement les « services essentiels » - notamment les transports, les banques et l’administration publique, ainsi que les entités opérant dans des services tels que la production alimentaire, les services postaux et la gestion des déchets - signifie que des mesures de cyber-résilience devront être prises à une échelle beaucoup plus large sur l’ensemble du continent.

2. La gouvernance

L’amélioration de la gouvernance de la sécurité et la responsabilisation des cadres supérieurs d’une entreprise en matière de cyber-résilience constituent une autre étape importante. La cybersécurité doit être une question relevant du conseil d’administration et de la direction générale et ne doit pas être déléguée à des équipes techniques. La responsabilisation des responsables de la sécurité de l’information (RSSI) leur donnera plus d’importance, mais on attend aussi d’eux qu’ils communiquent efficacement avec les cadres supérieurs et qu’ils soient des leaders techniques et commerciaux.

3. Amendes et sanctions

La directive NIS2 prévoit un ensemble plus complet de pouvoirs à conférer aux autorités compétentes. Elles pourront imposer des pénalités au moins égales à un montant fixe ou à 2 % du chiffre d’affaires mondial pour les entités essentielles. Il s’agit d’une incitation importante pour les entreprises à s’assurer qu’elles respectent leurs obligations. Ces nouvelles sanctions potentielles constitueront un levier majeur pour la résilience dans l’UE et au-delà.

4. Obligations en matière de réponse aux incidents

Les lacunes ont été comblées et des révisions ont été apportées aux obligations en matière de réponse aux incidents. Par exemple, un « impact significatif » sur une entité ne sera plus une mesure définie (nombre d’utilisateurs touchés), mais plutôt une perturbation des services essentiels ou une perte financière ou matérielle. Par ailleurs, les notifications ont été ramenées de 72 à 24 heures, et les rapports seront adressés aux utilisateurs des services et éventuellement au public.

Renforcer la cybersécurité dans l’Union européenne

Fort d’une expérience de plusieurs dizaines d’années dans l’accompagnement des entreprises et des organismes publics dans leur mise en conformité, Thales propose des produits et des services intégrés qui permettent à votre organisation de renforcer ses capacités en matière de cybersécurité, d’assurer la sécurité des chaînes d’approvisionnement, de rationaliser les obligations de rapport et de se conformer à des mesures de surveillance et à des exigences d’application plus strictes, y compris des sanctions harmonisées dans toute l’Union européenne. De plus, Thales travaille en étroite collaboration avec des partenaires pour offrir des solutions complètes pouvant réduire l’étendue du fardeau de conformité.

Protection contre les cybermenaces à chaque étape du processus

Thales propose des solutions complètes de protection des données qui aident les organisations à agir conformément à la directive NIS2 et à en assumer la responsabilité.

• Protection des données relatives aux transactions et des données personnelles au repos : CipherTrust Manager, les modules de sécurité matériels (HSM) Luna et la marketplace Data Protection on Demand (DPoD) de Thales aident les organisations à gérer de manière centralisée les clés de chiffrement et offrent une variété de solutions de chiffrement, de tokénisation et de masquage de données pour protéger les données relatives aux transactions et les données personnelles figurant dans les fichiers, les dossiers, les applications et les bases de données sur site, dans le cloud et au sein d’environnements hybrides.
• Chiffrer les données financières et personnelles en transit : les dispositifs de chiffrement à haut débit (HSE) de Thales chiffrent toutes les données qui traversent les réseaux.
• Développement et entretien de systèmes et d’applications sécurisés : les HSM Luna de Thales, disponibles sur site ou dans le cloud comme Luna Cloud HSM on DPoD, permettent aux organisations de stocker en toute sécurité le matériel de signature dans un dispositif matériel de confiance, garantissant ainsi l’authenticité et l’intégrité de tous les fichiers de code d’application.
• Mise en place de mesures robustes pour le contrôle des accès : les produits CipherTrust de Thales peuvent être configurés pour offrir un accès administrateur multifacteur ou unique aux systèmes d’entreprise sur site et dans le cloud. En outre, grâce à SafeNet Trusted Access, vous pouvez gérer de manière centralisée les identités utilisateur uniques et les politiques d’authentification basées sur les risques, et également ajouter/révoquer l’accès aux systèmes dans un environnement informatique hybride.
• Suivi et surveillance de tous les accès aux données sensibles : tous les produits du portefeuille de protection des données CipherTrust de Thales produisent des enregistrements d’audit qui répertorient toutes les opérations du cycle de vie des clés de chiffrement (création/suppression/rotation/révocation) et revêtent d’autres fonctions administratives pouvant servir à reconstruire les événements.