La directive relative à la sécurité des réseaux et de l’information 2 (NIS2), entrée en vigueur en janvier 2023, marque un tournant majeur dans l’approche de l’Union européenne en matière de cybersécurité. S'appuyant sur la directive NIS initiale, la directive NIS2 a introduit des mesures de sécurité plus strictes, des délais plus courts pour le signalement des incidents et met davantage l'accent sur la sécurité de la chaîne d'approvisionnement. Les organisations qui ne se conforment pas à cette directive s'exposent désormais à des amendes pouvant atteindre 10 millions d'euros ou 2 % de leur chiffre d'affaires mondial, le montant le plus élevé étant retenu.
Une récente enquête menée par SANS fournit des informations précieuses sur la manière dont les organisations se préparent à la NIS2 et sur les défis auxquels elles sont confrontées. Cette enquête a recueilli les réponses d’environ 500 professionnels, allant des administrateurs et analystes de sécurité aux responsables de la sécurité (CSO) et directeurs techniques (CTO). Elle rend compte d’un large éventail de points de vue provenant de toute l’Europe, ainsi que de contributions supplémentaires en provenance d’Amérique du Nord et d’Asie, reflétant ainsi la portée mondiale de la directive NIS2 pour les organisations opérant dans l’UE ou fournissant des services à celle-ci.
Comprendre le paysage des menaces :
L’enquête révèle que près de la moitié des personnes interrogées (47 %) considèrent que le niveau actuel de cybermenace est « élevé », tandis que 37 % le jugent « grave ou critique ». Cela souligne l’inquiétude croissante des organisations face à la nature évolutive des cybermenaces. Mais malgré ces défis, un certain optimisme règne quant au rôle de la directive NIS2 dans l’amélioration de la cybersécurité. Une proportion significative de 60 % des personnes interrogées considère cette directive comme une évolution positive et nécessaire pour améliorer la sécurité des infrastructures critiques et des services numériques.
Progrès et défis liés à la mise en œuvre :
La mise en œuvre des exigences de la directive NIS2 n’est toutefois pas une mince affaire. Selon l’enquête, 35 % des organisations ont déjà entamé le processus, tandis que 50 % supplémentaires travaillent activement à la mise en conformité. Cependant, le chemin n’est pas sans obstacles. Près de la moitié des organisations citent le manque de ressources comme un défi majeur, 37 % d’entre elles étant confrontées à des budgets insuffisants pour financer les mesures de sécurité nécessaires. En outre, 32 % font état de difficultés liées à un manque de compétences en interne, ce qui souligne une fois de plus le besoin évident de formations spécialisées et d’expertise.
Focus sectoriel :
Certains secteurs sont considérés comme particulièrement vulnérables aux cybermenaces au regard de la nouvelle directive. L’enquête a identifié l’énergie, la santé et l’administration publique comme les trois secteurs les plus susceptibles d’être confrontés à des incidents de cybersécurité majeurs, l’énergie arrivant en tête avec 52 %. Ce constat reflète l’importance cruciale de protéger les services essentiels qui, s’ils étaient perturbés, pourraient avoir des répercussions sociétales et économiques de grande ampleur.
Réponse aux incidents et signalement :
L’un des éléments centraux de la directive NIS2 réside dans l’importance accordée à une réponse rapide et efficace aux incidents. L’enquête montre que 70 % des organisations ont mis en place des plans formels de réponse aux incidents, ce qui est essentiel pour détecter rapidement les cyberincidents et s’en remettre en temps voulu. Pourtant, environ 30 % des organisations ne disposent toujours pas de mécanismes de signalement structurés, une lacune qui pourrait entraver le respect de l’exigence stricte de la directive NIS2 imposant de signaler les incidents dans les 24 heures. Heureusement, 26 % des incidents connus sont maîtrisés dans les 6 à 24 heures suivant leur détection, même si la remédiation complète prend souvent entre 2 et 7 jours. Cela suggère que, bien que les premières interventions soient rapides, le processus global de résolution des incidents peut encore être amélioré.
Écarts de préparation entre l’informatique et les systèmes de contrôle industriels (ICS)/technologies opérationnelles (OT) :
L’enquête met en évidence une disparité notable en matière de préparation entre les systèmes informatiques et les environnements de systèmes de contrôle industriels (ICS) ou de technologies opérationnelles (OT). Alors que 75 % des organisations réalisent des évaluations de sécurité annuelles pour leurs systèmes informatiques, seules 38 % font de même pour leurs environnements ICS/OT. Cet écart est particulièrement préoccupant pour les fournisseurs d’infrastructures critiques, car il souligne la nécessité de mener des évaluations plus fréquentes et sur mesure afin de protéger les opérations industrielles.
Le rôle de la formation et de la sensibilisation :
L’une des mesures les plus concrètes pour se conformer à la directive NIS2, citée par 26 % des personnes interrogées, consiste à améliorer la sensibilisation de base à la cybersécurité et la formation des employés. Des programmes de formation réguliers peuvent réduire considérablement le risque d’attaques par ingénierie sociale, telles que le phishing, qui reste un vecteur de menace très répandu. Il est essentiel d’investir dans des initiatives globales de sensibilisation à la sécurité pour instaurer une culture d’entreprise plus résiliente.
Recommandations clés pour atteindre la conformité :
Pour s’y retrouver dans les complexités de la directive NIS2, les organisations doivent donner la priorité à plusieurs actions clés. Le renforcement de la sécurité de la chaîne d’approvisionnement est crucial, car il s’agit toujours du principal sujet de préoccupation : 25 % des personnes interrogées le citent comme l’aspect le plus difficile de la directive. Cela implique notamment de mettre en place des processus de sélection des fournisseurs plus rigoureux, de réaliser des audits réguliers et de veiller à ce que les exigences en matière de cybersécurité soient intégrées dans les contrats avec les fournisseurs.
Les organisations sont également encouragées à mettre en place des équipes dédiées à la réponse aux incidents afin d’améliorer leur capacité à gérer efficacement les événements de sécurité. Cela peut s’avérer particulièrement utile pour réduire les délais d’intervention et minimiser l’impact des incidents tant sur les environnements informatiques que sur les environnements ICS/OT. De plus, l’allocation de ressources adéquates et l’augmentation des budgets consacrés à la cybersécurité peuvent favoriser l’adoption d’outils avancés tels que les systèmes de gestion des informations et des événements de sécurité (SIEM) et les solutions de détection et de réponse étendues (XDR).
Perspectives d’avenir – Passer de la prise de conscience à l’action :
La date limite initiale de mise en conformité avec la directive NIS2 étant passée le 18 octobre 2024 et la législation nationale devant être adoptée dans un avenir proche, il est impératif que les organisations s’assurent de respecter les exigences de la directive. Cela implique d’aligner la direction sur les objectifs de la directive, de mobiliser les ressources nécessaires et de veiller à ce que toutes les parties prenantes comprennent les conséquences d’une non-conformité. Ce faisant, les organisations respecteront non seulement leurs obligations réglementaires, mais renforceront également leur posture globale en matière de cybersécurité et deviendront plus résilientes face aux menaces modernes.
Rapport complet :Préparation à la directive NIS2 : conformité, défis et recommandations