Le paysage réglementaire de la cybersécurité dans l'UE se resserre. Avec la mise en place de nombreux cadres nouveaux et actualisés, les organisations doivent désormais répondre à des exigences plus strictes et plus complètes que jamais.

Dans le même temps, de nombreuses entreprises se trouvent dans l'obligation de se conformer à plusieurs cadres. Une entreprise peut traiter des données personnelles(GDPR), fournir des services numériques(NIS2), opérer dans le domaine financier(DORA) et utiliser des produits connectés (CRA), tout cela en même temps. Cela crée de la complexité, en particulier lorsque les cadres se chevauchent dans des domaines tels que la gestion des risques, la réponse aux incidents ou la gouvernance.

Cet article se concentre sur les cadres de cybersécurité les plus pertinents réglementés par l'UE à l'heure actuelle, à savoir NIS2, DORA, GDPR et CRA, ainsi que la norme ISO 27001 en tant que référence volontaire.

Nous verrons à qui s'applique chaque cadre, ce qu'il exige, comment ils sont liés les uns aux autres et comment les organisations peuvent les gérer efficacement grâce à Cyberday.

Si vous vous demandez quelles sont les priorités, ce qui est légalement requis, et où les différents cadres se soutiennent mutuellement, cet article est pour vous.

Principaux cadres et réglementations que les organisations basées dans l'UE doivent prendre en compte

Voici une comparaison rapide des principaux cadres de cybersécurité de l'UE, qui met en évidence leurs domaines d'intervention, leur caractère obligatoire et ce qu'ils exigent généralement des organisations.

‍

NIS2 (directive sur la sécurité des réseaux et de l'information)

La directive NIS2 est la principale réglementation de l'UE en matière de cybersécurité pour les secteurs critiques et importants. Elle élargit considérablement le champ d'application de la directive NIS initiale, en appliquant des exigences plus strictes et en couvrant un plus grand nombre de secteurs.

À qui s'adresse le NIS2 ?

La NIS2 touche des entités essentielles et importantes dans des secteurs tels que l'énergie, les transports, la santé, les services TIC, l'infrastructure numérique, la gestion des déchets et l'administration publique.

En règle générale, elle s'applique aux organisations employant plus de 50 personnes ou réalisant un chiffre d'affaires annuel supérieur à 10 millions d'euros, mais des organisations plus petites peuvent également entrer dans son champ d'application si elles fournissent des services essentiels à la société ou à l'économie.

Voici la liste complète des personnes concernées par le NIS2 à qui s'applique le NIS2.

Quelles sont les exigences du NIS2 ?

Les organisations doivent mettre en œuvre un ensemble de pratiques de gestion des risques et de gouvernance pour renforcer leur résilience face aux cybermenaces. Les principales exigences sont les suivantes

• Mesures de gestion des risques couvrant les politiques, les procédures et les contrôles techniques
• Déclaration d'incident dans les 24 heures suivant la prise de connaissance d'un événement significatif
• Audits de sécurité et évaluations de la vulnérabilité réguliers
• Pratiques de gestion des risques de la chaîne d'approvisionnement
• Une responsabilité claire : l'encadrement supérieur est responsable des décisions en matière de cybersécurité

Pourquoi le NIS2 est-il important ?

Le NIS2 est obligatoire dans toute l'UE et entraîne des attentes - et des sanctions - plus élevées qu'auparavant. La non-conformité peut entraîner des amendes importantes et même engager la responsabilité personnelle des dirigeants d'entreprise. La directive vise à harmoniser la préparation à la cybersécurité dans l'UE et à renforcer la coopération entre les autorités nationales.

Quels sont les recoupements entre le NIS2 et d'autres cadres ?

De nombreuses exigences de la norme NIS2 sont étroitement liées à celles de la norme ISO 27001, en particulier dans des domaines tels que la gestion des risques, la gouvernance et la réponse aux incidents. Si votre organisation travaille déjà avec la norme ISO 27001, une grande partie du travail de base est déjà en place, car ces deux normes se chevauchent beaucoup. Avec une conformité totale à la norme ISO 27001, la conformité à la norme NIS2 est de l'ordre de 80 %.

Il existe également des liens étroits avec le DORA pour les entités du secteur financier et le GDPR en ce qui concerne les violations de données à caractère personnel.

Quelles sont les réglementations similaires au NIS2 en dehors de l'UE ?

Parmi les cadres comparables, citons le cadre de cybersécurité du NIST aux États-Unis et les réglementations NIS du Royaume-Uni, qui se poursuivent après le Brexit avec une approche similaire.

Quel est le délai de mise en conformité avec le NIS2 ?

La directive est entrée en vigueur en janvier 2023 et les États membres de l'UE doivent la mettre en œuvre au niveau national d'ici le 17 octobre 2024. Les organisations concernées devront s'y conformer dès que les lois nationales entreront en vigueur.

Le système NIS2 est-il pris en charge par Cyberday?

Oui. Le SGSI de Cyberday comprend un support complet pour NIS2 - y compris les tâches, les modèles de documentation et la préparation à l'audit. Une grande partie de nos clients travaillent dans des industries NIS2 ou sont des fournisseurs clés pour des organisations dans le champ d'application NIS2. C'est pourquoi plus de 70% des clients de Cyberday utilisent le cadre NIS2.

GDPR (General Data Protection Regulation)

Le règlement général sur la protection des données (RGPD) est le règlement phare de l'UE en matière de confidentialité et de sécurité des données. Il établit la norme sur la façon dont les organisations doivent traiter les données personnelles, qu'elles soient basées dans l'UE ou qu'elles traitent simplement des données de résidents de l'UE.

À qui s'applique le GDPR ?

Le GDPR s'applique à toutes les organisations - indépendamment deleur taille ou de leur secteur - qui collectent ou traitent des données personnelles d'individus dans l'UE. Cela inclut les entreprises basées en dehors de l'UE si elles ciblent ou suivent les utilisateurs de l'UE (par exemple, via des sites web, des applications ou des services).

Quelles sont les exigences du GDPR ?

Le GDPR énonce des principes et des droits spécifiques concernant le traitement des données personnelles. Les principales exigences sont les suivantes

• Base juridique du traitement des données à caractère personnel
• Droits de la personne concernée (accès, correction, suppression, etc.)
• Protection des données dès la conception et par défaut
• Nomination d'un délégué à la protection des données (DPD) dans certains cas
• Notification obligatoire des violations de données dans les 72 heures
• Tenir un registre des activités de traitement (ROPA)

Pourquoi le GDPR est-il important ?

Le GDPR est obligatoire dans toute l'UE et est devenu la référence mondiale en matière de réglementation sur la protection de la vie privée. Les sanctions peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Au-delà de la conformité, le GDPR renforce la confiance des clients et des partenaires commerciaux grâce à des pratiques transparentes en matière de données.

Quels sont les recoupements entre le GDPR et d'autres cadres ?

Le GDPR recoupe le NIS2 lorsque des données personnelles sont impliquées dans un incident de sécurité. Il s'aligne également sur la norme ISO 27001 en ce qui concerne les contrôles relatifs à la gestion des accès, à l'évaluation des risques et à la réponse aux incidents. Les organisations qui utilisent DORA, CRA ou d'autres cadres rencontreront également des principes communs en matière de gouvernance de la sécurité et de signalement des violations.

Quelles sont les réglementations similaires au GDPR en dehors de l'UE ?

Plusieurs pays ont introduit des lois inspirées du GDPR :

• CCPA/CPRA (Californie, États-Unis)
• LGPD (Brésil)
• PIPEDA (Canada)

Ils partagent des concepts tels que les droits des personnes concernées et la transparence, mais sont souvent moins stricts.

Quel est le délai de mise en conformité avec le GDPR ?

Le GDPR est entré en vigueur le 25 mai 2018. La conformité est permanente et attendue à partir du moment où une organisation commence à traiter des données à caractère personnel provenant de l'UE.

Le GDPR est-il pris en charge dans le cadre du Cyberday?

Oui. Le SGSI Cyberday offre une couverture complète du GDPR avec des tâches prêtes à l'emploi, des outils de documentation et une cartographie des risques. Le GDPR est utilisé par plus de 75% des organisations dans Cyberday, ce qui en fait le deuxième cadre le plus répandu. Il s'applique à tout le monde et beaucoup l'utilisent en même temps que d'autres cadres, ce qui explique sa large adoption, même s'il s'agit rarement du cadre principal.

DORA (Digital Operational Resilience Act)

DORA est le règlement de l'UE sur la cybersécurité qui s'adresse spécifiquement au secteur financier. Elle vise à garantir que les institutions financières puissent résister et se remettre des perturbations opérationnelles, en particulier celles causées par les risques liés aux TIC (technologies de l'information et de la communication).

À qui s'applique la loi DORA ?

La loi DORA s'applique à presque tous les types d'entités financières opérant dans l'UE, y compris :

• Banques et établissements de crédit
• Sociétés d'assurance et de réassurance
• Entreprises d'investissement et gestionnaires d'actifs
• Fournisseurs de services cryptographiques
• Établissements de paiement et fournisseurs de monnaie électronique
• Fournisseurs de services TIC tiers critiques (y compris les fournisseurs de services en nuage)

Si votre organisation fait partie de l'écosystème financier sous quelque forme que ce soit, DORA s'applique probablement.

Quelles sont les exigences de la loi DORA ?

Le DORA définit des règles claires pour la gestion des risques liés aux TIC. Ses principales exigences sont les suivantes

• Un cadre solide de gestion des risques liés aux TIC
• Classification et notification des incidents majeurs liés aux TIC
• Tests continus de résilience opérationnelle numérique
• Gestion des risques liés aux tiers pour les fournisseurs de services TIC
• Des rôles et des responsabilités clairs au niveau de la direction

Pourquoi DORA est-il important ?

Le DORA est obligatoire pour les entités financières du champ de l'enquête et place la barre très haut en matière de résilience opérationnelle. Il s'aligne sur l'objectif de l'UE de renforcer la capacité du système financier à prévenir les cyber-perturbations et à y répondre. La conformité sera essentielle pour maintenir les licences et éviter les sanctions réglementaires.

Quels sont les recoupements entre DORA et d'autres cadres ?

DORA recoupe NIS2 pour l'infrastructure TIC critique et la gestion des incidents, et partage les fondements de la gestion des risques avec ISO 27001. Si votre organisation met déjà en œuvre les normes ISO ou NIS2, vous disposez d'une base solide sur laquelle vous pouvez vous appuyer. Il est également lié au GDPR lorsque des données personnelles sont affectées lors d'un incident.

Quelles sont les réglementations similaires à DORA en dehors de l'UE ?

La réglementation la plus comparable est la règle de cybersécurité de la SEC aux États-Unis pour les institutions financières. DORA ressemble également à la règle de cybersécurité du NYDFS à New York et à d'autres règles émergentes de résilience opérationnelle en Asie et au Royaume-Uni.

Quel est le délai de mise en conformité avec la loi DORA ?

La loi DORA est entrée en vigueur en janvier 2023. Toutes les entités financières doivent s'y conformer pleinement d'ici le 17 janvier 2025. Les efforts de mise en œuvre devraient déjà être en cours.

DORA est-elle soutenue dans le cadre du Cyberday?

Oui. DORA est disponible en tant que cadre dédié dans Cyberday, avec des tâches, des politiques et des outils de documentation conçus pour la conformité du secteur financier. Le secteur financier et ses fournisseurs de services TIC constituent un segment clé de Cyberday, avec environ 20 % des clients utilisant le cadre DORA.

Loi sur la cyber-résilience (CRA)

La loi sur la cyber-résilience loi sur la cyber-résilience est un règlement de l'UE visant à améliorer la cybersécurité des produits numériques. Elle vise à garantir que le matériel et les logiciels mis sur le marché de l'UE sont dotés de fonctions de sécurité intégrées et de responsabilités tout au long de leur cycle de vie.

À qui s'applique l'ARC ?

L'ARC s'applique aux fabricants, aux importateurs et aux distributeurs de produits contenant des éléments numériques, notamment :

• Applications logicielles
• Dispositifs connectés (IoT)
• Systèmes d'exploitation
• Logiciel de contrôle industriel
• Logiciels embarqués dans des produits matériels

Les produits déjà couverts par d'autres lois européennes, tels que les appareils médicaux, les véhicules ou les équipements aéronautiques, sont exclus. Si votre entreprise développe, vend ou distribue des produits numériques dans l'UE, la CRA s'appliquera probablement.

Quelles sont les exigences de l'ARC ?

L'ARC introduit des obligations de sécurité tout au long du cycle de vie des produits. Les principales exigences sont les suivantes

• Pratiques de développement sécurisées par conception et par défaut
• Un processus documenté de traitement des vulnérabilités
• Rapport d'incident pour les vulnérabilités activement exploitées
• Mises à jour de sécurité et assistance permanente pour les produits
• Documentation technique démontrant la conformité

Certaines catégories de produits "critiques" doivent faire l'objet d'une évaluation de la conformité par un tiers, tandis que d'autres peuvent déclarer eux-mêmes leur conformité.

Pourquoi l'ARC est-elle importante ?

L'ARC est obligatoire et introduit une responsabilité légale pour les produits non sécurisés. Elle confère aux vendeurs la responsabilité de garantir la cybersécurité dès le premier jour, et non pas après coup. Cela permet de réduire le risque que représentent les outils numériques mal sécurisés à l'échelle de l'UE et de créer une pression du marché en faveur de l'innovation sécurisée.

Quels sont les recoupements entre l'ARC et d'autres cadres ?

L'ARC recoupe la norme ISO 27001 en ce qui concerne la sécurité du développement, la gestion de la vulnérabilité et la réponse aux incidents. Il s'aligne également sur la norme NIS2 lorsque les produits numériques font partie d'une infrastructure critique, et sur la norme DORA dans le secteur financier. À l'instar du GDPR, il introduit des obligations de signalement des incidents, mais liées aux vulnérabilités des produits.

Quelles sont les réglementations similaires à l'ARC en dehors de l'UE ?

• Loi américaine sur l'amélioration de la cybersécurité de l'IdO (marchés publics)
• Loi britannique sur la sécurité des produits et des infrastructures de télécommunications (PSTI)
• Diverses normes mondiales relatives au développement de logiciels sécurisés et à l'étiquetage des produits

Quel est le délai de mise en conformité avec l'ARC ?

L'ARC est entré en vigueur le 10 décembre 2024. La plupart des obligations s'appliqueront à partir du 11 décembre 2027. Les fabricants et les distributeurs doivent commencer à évaluer les produits concernés et préparer la documentation technique bien à l'avance.

L'ARC est-elle soutenue dans le cadre de Cyberday?

Oui. Nous venons de finaliser le soutien total à la loi sur la résilience cybernétique dans le cadre de Cyberday. Cela inclut des tâches et des contrôles pour le traitement des vulnérabilités, le signalement des incidents, les pratiques de développement sécurisées et la documentation technique.
‍
‍

ISO 27001 (gestion de la sécurité de l'information)

LA NORME ISO/IEC 27001 est la principale norme internationale pour les systèmes de gestion de la sécurité de l'information (SGSI). Contrairement à la réglementation européenne, elle n'est pas obligatoire, mais elle est largement adoptée dans tous les secteurs d'activité pour prouver l'existence de pratiques de sécurité solides et soutenir la conformité à la réglementation.

À qui s'applique la norme ISO 27001 ?

La norme ISO 27001 est volontaire, mais elle est précieuse pour toute organisation - grande ou petite - qui souhaite gérer la sécurité de l'information de manière systématique. Elle est utile à toute organisation qui doit prouver sa sécurité à ses clients ou à ses partenaires.

Quelles sont les exigences de la norme ISO 27001 ?

La norme définit une approche structurée pour identifier, gérer et réduire les risques liés à la sécurité de l'information. Les éléments clés sont les suivants :

• Un système formel de gestion de la sécurité de l'information (SGSI)
• Évaluation des risques et planification du traitement des risques
• Des objectifs et des politiques de sécurité clairs
• Attribution des rôles et des responsabilités
• Mise en œuvre des contrôles pertinents de l'annexe A (mise à jour en 2022)
• Audits internes et amélioration continue

Les organisations peuvent être certifiées ISO 27001 en passant un audit formel.

Pourquoi la norme ISO 27001 est-elle importante ?

Bien qu'elle ne soit pas légalement obligatoire, la norme ISO 27001 est souvent considérée comme l'étalon-or en matière de sécurité de l'information. Elle est reconnue à l'échelle mondiale et souvent exigée dans les transactions interentreprises, les processus d'approvisionnement et les évaluations des fournisseurs. Elle permet également de se préparer aux réglementations obligatoires telles que NIS2, DORA et GDPR en couvrant les domaines de contrôle qui se chevauchent.

Comment la norme ISO 27001 se recoupe-t-elle avec d'autres cadres ?

La norme ISO 27001 fournit une structure de base pour la sécurité, de sorte qu'il y a de nombreux recoupements avec cette norme :

• NIS2 - gestion des risques, gouvernance, traitement des incidents
• DORA - Risque TIC et résilience opérationnelle
• GDPR - contrôle de l'accès aux données, réponse aux violations
• CRA - développement sécurisé et gestion de la vulnérabilité

L'adoption de la norme ISO 27001 facilite grandement la conformité à plusieurs cadres.

Quelles sont les réglementations similaires à la norme ISO 27001 en dehors de l'UE ?

La norme ISO 27001 étant internationale, il n'existe pas d'équivalent direct, mais elle est souvent bien adaptée :

• Cadre de cybersécurité du NIST (États-Unis)
• SOC 2 (pour les prestataires de services aux États-Unis)

Quel est le délai de mise en conformité avec la norme ISO 27001 ?

Il n'y a pas de date limite fixe - les organisations peuvent adopter et certifier selon leur propre calendrier. Toutefois, celles qui utilisent l'ancienne version 2013 doivent passer à la révision 2022 d'ici octobre 2025 pour que leur certification reste valide.

La norme ISO 27001 est-elle prise en charge par Cyberday?

Oui. Cyberday prend en charge l'intégralité de la norme ISO 27001:2022, y compris tous les contrôles mis à jour de l'annexe A, la documentation requise et le suivi des audits internes. Plus de 600 organisations utilisent la norme ISO 27001 dans Cyberday, ce qui en fait le cadre de cybersécurité le plus populaire.

Autres règlements pertinents dans l'UE

D'autres réglementations européennes et mondiales ont un lien avec la cybersécurité, mais ne sont pas au cœur de cet article. En voici quelques-unes qui méritent d'être gardées à l'œil :

Loi européenne sur l'IA

L'UE loi sur l'IA réglemente le développement et l'utilisation des systèmes d'intelligence artificielle en fonction des niveaux de risque. Bien qu'il ne s'agisse pas d'une loi sur la cybersécurité à proprement parler, elle introduit des exigences en matière de sécurité, en particulier pour les systèmes à haut risque.

Pertinent pour les organisations qui :

• Développer ou utiliser des systèmes d'IA dans des secteurs réglementés
• Traiter les données sensibles grâce à l'IA
• Déployer l'IA dans des rôles décisionnels (par exemple, recrutement, évaluation du crédit)

Principaux recoupements avec la cybersécurité :

• Robustesse et précision des modèles d'IA
• Évaluation des risques et de la sécurité
• Traitement des incidents si l'IA cause un dommage ou un dysfonctionnement

Si votre organisation utilise l'IA, il est utile de suivre l'évolution de la forme finale de la loi sur l'IA et de son calendrier.

Loi sur la cyber-solidarité (CSA)

La loi sur la cyber-solidarité n'est pas un cadre auquel les organisations doivent se conformer directement. Il s'agit plutôt d'une initiative européenne visant à renforcer les capacités transfrontalières de détection des cybermenaces, de réponse aux incidents et de gestion des crises.

Il établit des éléments tels que

• Une réserve de cybersécurité de l'UE
• Un cyber-bouclier européen (réseau de centres d'opérations de sécurité)
• Financement et soutien à la coordination en cas d'incidents de grande ampleur

Bien qu'elle ne soit pas mise en œuvre en interne, la CSA pourrait avoir une incidence sur la manière dont votre organisation interagit avec les autorités nationales ou reçoit un soutien lors d'événements cybernétiques majeurs.

Réglementations spécifiques à l'industrie

En fonction de votre secteur, les cadres suivants peuvent également s'appliquer - soit en raison d'exigences légales, soit en raison d'attentes de l'industrie :

• PSD2 (UE) : Réglementation des services de paiement prévoyant des exigences strictes en matière d'authentification des clients et de prévention des fraudes.
• PCI DSS (Global) : S'applique à toute entité qui traite ou stocke des données relatives aux titulaires de cartes.
• EU MDR (UE) : Exige des contrôles de cybersécurité dans les dispositifs médicaux.
• TISAX (UE) : Une norme largement adoptée par l'industrie automobile pour la gestion des évaluations de la sécurité de l'information.

Ces cadres sont plus spécialisés, mais ils sont souvent associés aux cadres principaux (comme NIS2 ou ISO 27001) dans le cadre d'un effort de mise en conformité plus large.

Simplifier la conformité avec Cyberday

Gérer les exigences de cybersécurité de plusieurs cadres n'est pas forcément synonyme de travail en double. Cyberday est conçu pour aider les organisations à mettre en œuvre et à maintenir des cadres de sécurité de manière centralisée, efficace et évolutive.

Chacun des cadres fondamentaux abordés dans cet article - NIS2, GDPR, DORA, CRA (bientôt), ISO 27001 - estdisponible sous la forme d'une structure prête à l'emploi dans Cyberday, avec des tâches, des modèles de documentation, des politiques et des outils d'audit. Une fois activé, Cyberday identifie automatiquement les exigences qui se chevauchent entre les cadres et vous permet de gérer les tâches partagées une seule fois.

Chevauchement réel = gain de temps réel

Voici ce que cela donne en pratique :

Si vous mettez en œuvre NIS2 dans son intégralité, vous êtes déjà couvert :

• ~40% des tâches ISO 27001
• ~45% des tâches liées au GDPR
• ~45% des tâches DORA

C'est une avance considérable pour les organisations qui travaillent avec plusieurs réglementations, et une bonne raison d'éviter de traiter chaque cadre en vase clos.

Un environnement, des cadres multiples

Cyberday offre à votre équipe :

• Une liste de tâches claire pour chaque cadre actif
• Cartographie automatique des exigences qui se chevauchent
• Une vue unique de votre documentation de conformité et de l'état d'avancement des audits
• Des conseils intégrés pour que vos efforts en matière de sécurité restent en phase avec l'évolution de la réglementation

Que vous partiez du GDPR ou que vous passiez à DORA et NIS2, Cyberday vous permet de rester en conformité sans repartir de zéro à chaque fois. Commencez votre essai gratuit dès aujourd'hui !

‍