Directive NIS : ce que l’Europe prépare pour les acteurs du Web

Selon un document consulté par Reuters, la directive NIS (Network and Information Security) prochainement adoptée en Europe, prévoit bien des obligations en matière de déclaration d’incidents de sécurité pour les entreprises et plateformes du numérique. Au même titre que les entreprises de secteurs jugés « critiques » par les eurodéputés, comme l’énergie, les transports, les services bancaires et financiers ou encore la santé. Mais avec des obligations moins lourdes sur le plan financier.

Le signalement d’incidents majeurs de sécurité

Toute entreprise considérée comme une plateforme de services numériques – sa définition est en cours de discussion – serait concernée par la proposition de directive. Un fournisseur de Cloud, ou toute autre entreprise fournissant un service pour le compte d’un opérateur d’infrastructure, serait soumis aux mêmes règles que celles qui s’appliquent à cet opérateur, selon le document obtenu par Reuters. En revanche, le régime appliqué aux services numériques n’ayant pas de lien direct avec des infrastructures physiques serait moins drastique.

Tous, moteurs de recherche, réseaux sociaux, marchands en ligne et fournisseurs de services Cloud pourraient être amenés à signaler leurs incidents majeurs de sécurité aux autorités nationales. Le caractère obligatoire ou volontaire de cette démarche reste à déterminer. Les États membres discuteront à nouveau de la directive en devenir en septembre 2015, avant parution du texte final.

Des contraintes administratives supplémentaires

Envisagée depuis 2013, l’extension des obligations de sécurité aux entreprises de la société de l’information est loin de faire l’unanimité. Pour l’Afdel (Association française des éditeurs de logiciels et solutions Internet), une extension indifférenciée porterait atteinte à la compétitivité des entreprises du numérique « sans atteindre les objectifs poursuivis en termes de sécurité ».

Un point de vue partagé fin 2014 par le syndicat patronal des ESN (anciennement SSII) Syntec Numérique, qui craint la lourdeur des obligations imposées, notamment pour les petites entreprises, et le « détournement des ressources nécessaires aux opérateurs d’importance vitale (OIV) vers les services de messagerie entre particuliers, les réseaux sociaux et les jeux en ligne ». En France, les OIV – soit quelque 220 organisations – doivent fournir à l’Anssi (Agence nationale de sécurité des systèmes d’information) des informations nécessaires à l’évaluation de la sécurité de leurs systèmes.

Lire aussi :

L’Anssi met son nez dans la sécurité des grandes entreprises
Europe : tous les acteurs de l’IT vont-ils devenir des opérateurs d’infrastructures critiques ?

crédit photo © Pavel Ignatov – Shutterstock