Explication du règlement d'application NIS2

La directive sur les réseaux et les systèmes d'information 2, mieux connue sous le nom de NIS2, définit des obligations communes en matière de cybersécurité dans toute l'UE. En soi, la directive reste volontairement très générale. Elle définit qui est concerné, quelles sont les responsabilités applicables et comment l'application est mise en œuvre, mais évite de prescrire des contrôles techniques détaillés.

Cette lacune est comblée par le règlement d'exécution NIS2. L'annexe technique et méthodologique du règlement détaille les obligations générales de la directive NIS2 en contrôles concrets, processus et exigences en matière de preuves. Pour les organisations concernées, c'est là que les exigences abstraites se transforment en travail quotidien de cybersécurité.

Le règlement d'application NIS2 est le recueil de règles techniques spécifiques permettant de mettre en œuvre la loi-cadre générale (NIS2).

Ce règlement vise à réduire l'ambiguïté. Dans le cadre initial de la directive NIS, les « mesures appropriées » avaient une signification différente selon les pays. Le règlement d'exécution établit une base commune afin que les organisations et les autorités de contrôle travaillent à partir du même point de référence, tout en permettant la proportionnalité et la neutralité technologique.

Pour en savoir plus : Qu'est-ce que la directive 2 sur les réseaux et les systèmes d'information ?

Quelle est la différence entre la NIS2 et le règlement d'application de la NIS2 ?

La directive NIS2 est la législation principale. Elle définit le champ d'application pour 18 secteurs critiques (de l'énergie et la santé à l'espace et l'administration publique). Elle impose aux États membres de veiller à ce que les entreprises de ces secteurs :

• S'inscrire auprès des autorités.
• Mettre en œuvre des mesures de sécurité « appropriées ».
• Signaler les incidents « importants » dans les 24/72 heures.
• Risquez des amendes en cas de non-respect.

Cependant, la directive est de haut niveau. Elle stipule que vous devez mettre en place une gestion des risques, mais ne précise pas explicitement comment (par exemple, quel algorithme de chiffrement utiliser ou quoi faire lors de la surveillance des vulnérabilités). C'est là qu'intervient le règlement d'exécution NIS2.

Une base commune à l'échelle de l'UE

L'un des principaux objectifs du règlement d'exécution est l'harmonisation. Au lieu de 27 interprétations différentes de ce qu'est une bonne cybersécurité, il définit un ensemble minimal de domaines et de pratiques que toutes les organisations concernées doivent respecter.

Cela est particulièrement important pour les organisations opérant au-delà des frontières. Une base commune réduit les conflits entre les attentes des autorités de surveillance et rend les audits plus prévisibles. Pour les autorités, cela permet une surveillance et une coopération plus cohérentes. Dans la pratique, le règlement devient le pilier technique de l'ensemble du régime NIS2.

Portée et proportionnalité dans la pratique

Le règlement d'exécution ne modifie pas les entités relevant du champ d'application de la directive NIS2. Ce champ d'application est déjà défini par la directive et les lois nationales de transposition. Le règlement définit quant à lui la manière dont les organisations concernées doivent gérer la cybersécurité du point de vue de la gestion des risques. Il clarifie la directive en ajoutant des précisions aux exigences générales qu'elle énonce. 

Par exemple, alors que la directive NIS2 attend globalement des organisations concernées qu'elles mettent en œuvre le chiffrement dans leurs réseaux et systèmes d'information, le règlement d'exécution décrit en détail comment le chiffrement doit être mis en œuvre. Il couvre l'élaboration et le maintien d'une politique de chiffrement au niveau de la direction ainsi que les mesures techniques spécifiques à mettre en œuvre au niveau opérationnel. Cette logique s'applique à tous les thèmes couverts par le règlement. 

Le règlement reconnaît également explicitement que les organisations sont toutes différentes. Un fournisseur de services cloud multinational, un service régional de distribution d'eau et un hôpital ne sont pas confrontés aux mêmes menaces et ne disposent pas des mêmes ressources. Les mesures doivent être proportionnées à la taille de l'organisation, à la criticité des services, à la sensibilité des données et à l'impact potentiel des incidents.

Dans le même temps, la proportionnalité ne doit pas servir de prétexte pour négliger les principes fondamentaux. La législation fixe un seuil minimum clair. Les organisations plus petites ou moins critiques peuvent justifier des mises en œuvre moins strictes dans certains domaines, mais elles doivent tout de même couvrir tous les domaines essentiels. Les organisations plus critiques doivent aller plus loin, avec des contrôles plus stricts, une couverture plus large et une assurance plus formelle.

Domaines clés de la gestion des risques liés à la cybersécurité

Au cœur du règlement d'exécution se trouve un ensemble structuré de domaines de gestion des risques liés à la cybersécurité. La directive NIS2 énumère ces thèmes à un niveau élevé. Le règlement les transforme en domaines pratiques que les organisations peuvent évaluer, mettre en œuvre et pour lesquels elles peuvent recueillir des preuves.

Les domaines typiques comprennent :

• gouvernance et organisation
• évaluation des risques
• politiques et procédures
• gestion des actifs
• contrôle d'accès
• sécurité opérationnelle
• sécurité des réseaux et des systèmes
• gestion des incidents
• continuité des activités et reprise après sinistre
• sécurité de la chaîne d'approvisionnement
• cryptographie

Pour chaque domaine, la réglementation décrit les attentes en matière de processus, de documentation et de contrôles techniques. Le niveau de détail n'est pas le même que celui d'une norme technique complète telle que ISO/IEC 27001, mais il est suffisamment précis pour guider les audits et les inspections.

L'objectif est de couvrir l'ensemble du cycle de vie des cyberrisques, depuis la responsabilité de la direction et l'identification des risques jusqu'à la prévention, la détection, la réponse et la reprise.

Ces domaines ne constituent pas des listes de contrôle indépendantes. La gouvernance détermine les priorités, l'évaluation des risques guide les choix en matière de contrôle, les mesures opérationnelles réduisent la probabilité et la planification des incidents et de la continuité réduit l'impact. Les organisations sont tenues de les traiter comme les éléments d'un système de gestion des risques unique et cohérent.

Gouvernance et responsabilité de gestion

La directive NIS2 met fortement l'accent sur la responsabilité des dirigeants, et le règlement d'application la rend opérationnelle. Les organes de direction ne sont pas seulement responsables sur le papier. Ils sont tenus de superviser activement la cybersécurité.

Cela comprend la communication régulière d'informations sur les risques, les incidents et l'efficacité des contrôles, la documentation des stratégies et des plans de traitement des risques, ainsi que des examens périodiques. Les organisations doivent être en mesure de démontrer clairement la répartition des responsabilités, depuis la direction générale de la cybersécurité jusqu'à la coordination des incidents, en passant par les risques liés aux fournisseurs et la communication réglementaire.

La sensibilisation de la direction est également une exigence. Les dirigeants doivent comprendre les risques cybernétiques en termes commerciaux, et ne pas se contenter de les déléguer aux équipes techniques. Les preuves peuvent inclure les registres de formation, les comptes rendus de réunion, les décisions budgétaires et les processus d'escalade. Pour les autorités de contrôle, cela permet d'évaluer si l'implication de la direction est réelle ou purement formelle.

Gestion et signalement des incidents

La notification des incidents est l'une des obligations les plus visibles de la directive NIS2. Le règlement d'exécution précise ce qui doit être signalé, quand et comment.

Il définit les critères applicables aux incidents à signaler en fonction de leur impact sur la disponibilité, l'intégrité ou la confidentialité, du nombre d'utilisateurs concernés, de leur durée et de leur portée géographique. Il définit également un processus de signalement par étapes, qui commence généralement par une alerte précoce, suivie d'une notification plus complète, puis d'un rapport final une fois que les causes profondes ont été identifiées.

Pour les organisations, cela signifie que les plans d'intervention en cas d'incident doivent inclure des points de décision clairs. Les équipes techniques doivent savoir quand escalader un incident. Les services juridiques, de conformité et de gestion doivent être impliqués dès le début afin d'évaluer les seuils de signalement. La réglementation prévoit également que ces processus soient testés dans le cadre d'exercices et améliorés en fonction des enseignements tirés.

Continuité des activités et gestion de crise

Le règlement d'application établit un lien étroit entre la cybersécurité et la résilience. Il ne suffit pas de prévenir les incidents. Les organisations doivent également démontrer leur capacité à maintenir ou à rétablir les services essentiels.

Cela comprend l'analyse d'impact sur les activités, les objectifs de reprise définis, les stratégies de continuité et les plans de reprise testés. Les dépendances vis-à-vis des systèmes, des données et des fournisseurs doivent être comprises. Les dispositifs de sauvegarde, de redondance et de repli doivent être adaptés à la criticité des services.

La gestion de crise est considérée comme une compétence à l'échelle de l'entreprise. Les équipes de direction, de communication, juridiques et opérationnelles ont toutes des rôles bien définis. Les exercices doivent refléter des scénarios cybernétiques réalistes, et les autorités peuvent demander des preuves des tests effectués et des améliorations apportées par la suite. Les plans de continuité doivent fonctionner dans la pratique, et ne pas rester lettre morte.

Chaîne logistique et risques liés aux tiers

La sécurité de la chaîne d'approvisionnement est l'un des principaux axes de la directive NIS2, et le règlement d'exécution ajoute des attentes concrètes. Les organisations sont tenues de classer leurs fournisseurs en fonction de leur importance et d'appliquer des niveaux de contrôle appropriés.

Pour les fournisseurs critiques tels que les prestataires de services gérés ou les éditeurs de logiciels essentiels, cela peut inclure des évaluations de sécurité, des certifications, des audits ou des tests techniques. Les clauses contractuelles ne sont pas considérées comme suffisantes à elles seules. Une surveillance continue et la mise en place d'un plan d'urgence sont également nécessaires.

Les organisations doivent être en mesure d'expliquer comment elles réagiraient si un fournisseur clé était victime d'un cyberincident. Cela inclut les stratégies de sortie, les fournisseurs alternatifs, la portabilité des données et la surveillance des interfaces partagées. Le risque lié aux fournisseurs doit être intégré dans la gestion globale des risques et la gouvernance, et non pas uniquement traité par le service des achats.

Documentation et preuves

Le règlement d'application fait de la documentation un élément central de la conformité. Les autorités de contrôle s'attendront à voir les politiques, les procédures, les évaluations des risques, les inventaires des actifs, les registres des incidents, les preuves de formation et les résultats du suivi.

La proportionnalité s'applique toujours. Les organisations plus importantes ou plus critiques disposeront d'une documentation plus formelle. Les plus petites pourront s'appuyer sur des formats plus simples. Ce qui importe, c'est la cohérence entre ce qui est documenté et ce qui est fait.

La documentation est considérée comme une preuve de la pratique réelle. Si une politique définit des sauvegardes quotidiennes et des tests réguliers, les journaux et les rapports doivent le confirmer. Si une évaluation des risques met en évidence les ransomwares, les contrôles associés doivent être visibles. La documentation doit être conservée, révisée et mise à jour à mesure que les risques, les systèmes et les incidents évoluent.

Alignement avec d'autres cadres et normes

La plupart des organisations concernées suivent déjà des cadres établis tels que ISO/IEC 27001, ISO/IEC 22301, CIS Controls ou des programmes nationaux. Le règlement d'exécution NIS2 est conçu pour être compatible avec ceux-ci. Il n'oblige pas les organisations à abandonner leurs cadres actuels. Il crée plutôt un point de référence réglementaire commun qui peut être mis en correspondance avec les contrôles existants.

Les concepts fondamentaux tels que l'évaluation des risques, le cycle de vie des incidents, la classification des actifs et les objectifs de reprise sont bien connus. Les certifications peuvent souvent servir de preuves à l'appui, mais elles ne garantissent pas automatiquement la conformité à la directive NIS2. Des domaines tels que le signalement des incidents, la surveillance de la chaîne d'approvisionnement et la responsabilité de la direction nécessitent généralement une attention particulière.

Le règlement fournit une référence commune qui aide les organisations à mettre en correspondance les contrôles existants avec les attentes réglementaires et à identifier les lacunes sans avoir à reconstruire l'ensemble de leur programme de sécurité.

Ce que cela signifie concrètement

Le règlement d'application NIS2 transforme des obligations juridiques abstraites en exigences opérationnelles. Il clarifie ce que les autorités nationales attendent de voir et d'évaluer.

Pour les organisations, il sert principalement de référence de base. Il peut être utilisé pour examiner les pratiques actuelles, identifier les lacunes et hiérarchiser les améliorations. L'intégration des exigences NIS2 dans les systèmes de gestion existants est généralement plus efficace que la création de structures parallèles.

Au-delà de la conformité, la réglementation favorise également une meilleure résilience. Elle rassemble la gouvernance, la gestion des risques, les opérations et la gestion des incidents dans un modèle unique. À terme, cela devrait conduire à des pratiques de cybersécurité plus cohérentes dans toute l'UE et à une compréhension commune plus claire de ce qui constitue une « bonne » pratique.