NIS 2 : un défi majeur pour les entreprises en 2024

A quelques mois de son entrée en vigueur en octobre 2024, la directive NIS 2 (Network and Information Security) constitue un changement important dans les règles de sécurité informatique, visant à mieux protéger contre des cyberattaques de plus en plus avancées. Cette initiative vient comme une réponse nécessaire à l'évolution rapide des cybermenaces, et les nécessités de visibilité réseau améliorée.

Face au niveau de sophistication croissant des cyberattaquants, qui disposent d'outils toujours plus innovants, ciblant un nombre de plus en plus important d'organisations, la directive étend ses objectifs et sa portée afin de prescrire un meilleur niveau de protection.

Or pour beaucoup, elle reste difficile à comprendre. Elle soulève en effet de nombreuses questions allant de ses entreprises concernées, en passant par la manière dont les incidents doivent être rapportés ou encore les risques encourus en cas de non-conformité.

Afin de saisir son périmètre d'application et les démarches à suivre pour être prêt, il convient dans un premier temps de connaître les sources d'informations fiables auxquelles il est recommandé de se référer.

Décryptage de la NIS 2

L'essence même de la NIS 2 est de fortifier la sécurité des réseaux et des systèmes d'information au coeur de l'Union Européenne. Ce nouveau chapitre législatif met l'accent sur les secteurs dits « essentiels » tels que la santé, l'énergie, et les transports, qui sont le pilier du fonctionnement sociétal et requièrent donc une protection robuste et une coopération étendue à l'échelle européenne.

La directive distingue avec précision son domaine d'application, excluant spécifiquement certaines entités de l'administration publique directement liées à la sécurité nationale, publique, la défense, ou l'application de la loi. En effet, elle reconnaît que la gestion de la cybersécurité dans ces domaines relève de la compétence exclusive des États membres. Cependant, elle inclut d'autres entités de l'administration publique qui, bien qu'éloignées de ces domaines sensibles, jouent un rôle important dans le maintien des services essentiels et sont donc soumises aux obligations de la directive.

Les implications de NIS 2 pour les entreprises et organisations sont considérables, les poussant à adopter des mesures de sécurité plus strictes pour se protéger contre les cyberattaques, y compris le renforcement de la visibilité réseau et la préparation aux diverses formes d'attaques.

Comprendre ces exigences peut sembler complexe, mais des informations précises et actuelles sont accessibles via des sources officielles telles que l'ANSSI, Légifrance ou encore EUR-Lex. La collaboration avec des experts en cybersécurité est également essentielle pour s'assurer que les démarches de conformité sont bien comprises et correctement mises en oeuvre.

Une nécessité d'action et de transparence

Selon leur taille et leur secteur, les organisations doivent agir différemment face à la nouvelle règle NIS 2 de l'UE. Les grandes organisations, surtout celles dans des secteurs clés comme la santé et les transports, ou celles exploitant le cloud et générant de gros revenus, doivent s'adapter rapidement pour éviter des problèmes de sécurité et des amendes.

Les petites entreprises de moins de 50 employés et au chiffre d'affaires plus faible, moins dépendantes du cloud et hors d'Europe, ne sont pas concernées. Toutefois, toutes les organisations doivent être proactives pour assurer leur sécurité et respecter cette directive européenne.

Le processus de reporting des incidents, perçu souvent comme complexe et contraignant, revêt une importance critique sous la NIS 2. Ce n'est plus simplement une question de conformité, mais un élément central de la stratégie de sécurité des organisations. Avec cette nouvelle version, les incidents, qu'ils soient mineurs ou majeurs, doivent être signalés rapidement (sous 24h) et précisément après la détection d'un incident afin d'atténuer les impacts potentiels.

Cette première notification doit être suivie, dans un délai de 72 heures, par une évaluation détaillée de l'incident, offrant une vue complète sur l'ampleur des dommages et facilitant la coordination des efforts de réponse.

La soumission d'un rapport final détaillant l'incident (dans un délai d'un mois) est également requis, avec les causes, les réponses apportées et les leçons apprises. Dans l'ensemble, il s'agit d'un « reporting » essentielle pour améliorer la sécurité organisationnelle et la résilience sectorielle face aux cybermenaces.

Conséquences et gouvernance de la sécurité

Les conséquences d'un non-respect des exigences de la NIS 2 ne se limitent pas uniquement à d'importantes sanctions financières. Elles peuvent également porter atteinte à la réputation de l'entreprise, entraîner une perte de confiance de la part des clients et des partenaires, et, dans les cas les plus graves, compromettre la continuité des opérations commerciales.

Face à des amendes pouvant s'élever jusqu'à 10 millions € ou 2 % du chiffre d'affaires annuel mondial pour les entités essentielles, et 7 millions € ou 1,4 % du chiffre d'affaires pour les entités importantes, l'enjeu est de taille. Ces mesures incitatives visent à encourager une culture de la cybersécurité plus robuste et proactive au sein des organisations.

Naviguer dans le paysage complexe de la NIS 2 demande une gouvernance de sécurité informatique solide, caractérisée par une stratégie bien définie et la mise en place de processus permettant une détection rapide des menaces et une réponse coordonnée. L'adoption d'une Source Unique de Vérité (SSOT) et l'automatisation des réponses aux incidents sont des pierres angulaires dans la construction d'une posture de sécurité résiliente.

À cet égard, l'exploitation d'outils tels que les SIEM pour la collecte et l'analyse d'événements de sécurité, les SOAR pour l'orchestration et l'automatisation des réponses aux incidents, et les EDR pour une protection endpoint complète, s'avère essentielle. Cependant, pour que ces outils soient pleinement efficaces, une visibilité réseau étendue est indispensable.

Rôle de la visibilité réseau

Dans le contexte de la NIS 2, renforcer la visibilité réseau prend une importance capitale, car elle constitue le socle sur lequel repose la capacité des organisations à se conformer efficacement à la réglementation.

Cette visibilité approfondie sur les activités réseau est cruciale pour détecter efficacement les menaces, répondre aux incidents avec agilité et se plier aux normes de sécurité exigeantes de la directive. La surveillance en temps réel facilite non seulement la détection proactive des comportements inhabituels, pertes de paquets, ralentissements de bande passante ou goulets d'étranglement comme de potentielles tentatives d'infiltration.

Plus encore, cette visibilité s'avère indispensable pour documenter et attester de la conformité aux dispositions de la NIS 2, permettant une gestion des risques en cybersécurité efficace et une adaptation continue face aux nouvelles menaces. Il est en effet impossible de sécuriser et gérer ce que l'on ne voit pas.

En définitive, intégrer de manière stratégique une stratégie de visibilité réseau robuste est une étape clé pour renforcer la résilience des organisations face à l'évolution des cybermenaces, tout en se conformant aux attentes réglementaires européennes comme NIS2.

Un défi transatlantique et une vision globale

Au-delà des frontières de l'Union Européenne, la directive NIS 2 pose également un défi de taille pour les entreprises opérant à l'international, notamment celles actives des deux côtés de l'Atlantique. La coexistence de réglementations divergentes entre l'UE et les États-Unis requiert une approche stratégique et adaptable pour assurer la conformité transatlantique.

Les organisations doivent se montrer agiles, en intégrant les meilleures pratiques et cadres réglementaires de chaque région, tout en maintenant une cohérence globale dans leur politique de cybersécurité.

Comment, alors, pouvons-nous tirer parti de la collaboration internationale et du partage de connaissances pour naviguer dans cette nouvelle directive ?

En s'alignant sur des standards reconnus comme le NIST, CIS, et MITRE ATT&CK, et en favorisant un dialogue constant avec les régulateurs, les entreprises peuvent naviguer plus sereinement dans ce paysage réglementaire complexe. Cette approche holistique n'est pas seulement une question de conformité ; elle est également synonyme de renforcement de la sécurité numérique à l'échelle mondiale.

En conclusion, la mise en application de la NIS 2 représente une opportunité pour les organisations d'améliorer leur infrastructure de cybersécurité. L'intégration d'une visibilité réseau accrue joue un rôle déterminant dans cette démarche, permettant une détection et une réponse aux incidents plus rapides et plus efficaces.

En adoptant une démarche proactive, en s'entourant d'experts et en mettant en place une gouvernance solide, les entreprises peuvent non seulement répondre aux exigences réglementaires mais aussi renforcer leur résilience face à un paysage de cybermenaces en constante évolution.

L'accent mis sur la visibilité réseau est donc non seulement une réponse aux obligations de la NIS 2 mais aussi une stratégie essentielle pour anticiper et se défendre contre les cyberattaques futures. L'avenir de la cybersécurité est un voyage collaboratif, nécessitant un engagement sans faille de tous les acteurs pour naviguer dans cette ère numérique de manère sûre et sécurisée.

David Petrella, Security Product Specialist - Europe South - NETSCOUT.