NIS2 et cybersécurité : les clés de lecture de Lionel Mourer (Metsys)

Pouvez-vous nous rappeler ce qu’est la directive NIS 2, à quels types d’entreprises elle s’adresse et quelles sont les principales nouveautés à retenir ?

La directive NIS 2 (Network and Information Security 2) est une mise à jour de la directive européenne NIS 1 (2016). Elle vise à renforcer la cybersécurité au sein de l’Union européenne en élargissant le champ d’application, en augmentant les exigences de sécurité et en améliorant la coordination entre États membres.

Elle est entrée en vigueur le 16 janvier 2023 et chaque État membre doit la transposer dans son droit national. En France, la transposition est encore en cours et devrait être effective d’ici l’été 2025. Les mesures concrètes ne seront alors pleinement opérationnelles qu'après promulgation de la loi et publication des décrets.

La directive NIS 2 cible deux grandes catégories d'entités, réparties selon leur taille¹ (plus de 50 employés ou plus de 10 M€ de CA) et leur domaine d’activité :

• Les entreprises essentielles (EE), au sein des secteurs de l’énergie, du transport, de la banque, de la santé, de l’eau potable et des eaux usées, des infrastructures numériques (opérateurs de cloud, DNS, etc.) et des administrations publiques majeures.
• Les entreprises importantes (EI), au sein des secteurs de l’industrie (chimie, agroalimentaire, fabrication de machines, etc.), des fournisseurs de services numériques (places de marché en ligne, moteurs de recherche, réseaux sociaux), des services postaux et de messagerie, de la gestion des déchets et des fabricants de dispositifs médicaux ou de composants informatiques critiques.

En quoi cette directive est-elle une opportunité pour renforcer la gouvernance cyber et la maturité globale en cybersécurité ?

Au-delà des contraintes de conformité, la directive NIS 2 peut être une véritable opportunité stratégique pour les entreprises. En effet, NIS 2 permet de :

• Structurer et de renforcer la gouvernance cyber, au travers de :
  • La clarification des rôles et responsabilités : la directive exige que la direction s’implique directement dans la gestion des risques cyber. Cela permet de structurer la gouvernance avec des responsabilités claires (RSSI, DPO, RPCA, etc.).
  • L’implication de la direction générale : la responsabilité juridique des dirigeants crée une incitation forte à intégrer la cybersécurité dans la stratégie d’entreprise, pas seulement dans l’IT.
  • La formalisation de processus : via l’obligation de documenter des politiques, des procédures, des modes opératoire et guides, etc., permettant de passer d’une cybersécurité réactive à une approche proactive et managée.
• Faire progresser globalement la maturité cyber, au travers de :
  • L’évaluation régulière des risques : NIS 2 impose une approche systématique d’analyse de risques (obligatoire pour les EE, conseillée pour les EI), utile pour prioriser les investissements liés aux enjeux structurants et adapter les protections à l’évolution des menaces,
  • L’exigence de mesures concrètes : gestion des vulnérabilités, sécurité de la chaîne d’approvisionnement, chiffrement, supervision, etc., poussant à moderniser les pratiques et les outils,
  • L’acculturation cyber : la directive incite à mettre en place des actions de sensibilisation et de formation, contribuant à ancrer une culture de sécurité à tous les niveaux de l’organisation.

Également, NIS 2 permet dans certains cas de créer un avantage concurrentiel. En effet, être conforme à la directive est un gage de sérieux pour les clients et partenaires en rassurant sur la capacité à gérer des données et des systèmes critiques.

Enfin, NIS 2 crée un socle de gouvernance et de gestion du risque transposable à d'autres normes (ISO 27001, ISO 2301, etc.) et directives, lois ou règlements, tels que la directive DORA (Digital Operational Resilience Act), le CRA (Cyber Resilience Act), le projet de loi SREN (sécurisation du numérique), la directive CER (Critical Entities Resilience), l’IA Act, etc).
 

Quelles sont les erreurs ou incompréhensions fréquentes que vous observez dans la mise en œuvre de NIS 2 ?

Certaines organisations abordent la directive NIS 2 de manière partielle ou maladroite. 

Ainsi, il est plus pertinent de ne pas prendre NIS 2 comme une fin en soi, mais comme un cadre de maturité permettant de piloter durablement la cybersécurité au sein de l’organisation.

Quels enseignements tirez-vous des premières démarches de mise en conformité déjà engagées par certaines entreprises ?

• Les démarches les plus efficaces sont traitées comme des projets de gouvernance, et (surtout) pas d’IT :
  • Les entreprises qui avancent bien ont dès le départ cadré NIS 2 comme un projet d’entreprise, souvent rattaché à la direction générale, à la conformité ou à la gestion des risques.
  • Elles ont nommé un pilote transverse (RSSI, Risk Manager ou Responsable conformité), avec une équipe projet mobilisant DSI, métiers, juridique, achats, RH, etc.
• Les entreprises sous-estiment l'effort documentaire et de preuve :
  • Beaucoup découvrent tardivement qu’il ne suffit pas d’avoir des mesures techniques : il faut démontrer leur existence et leur effectivité au travers de “preuves” (journaux d’incidents, comptes-rendus de tests de PRA, preuves de sensibilisation, etc.).
  • Celles qui s’appuient sur un SMSI ISO 27001 partent avec un gros avantage (même s’il faut adapter certains volets à NIS 2, comme la chaîne d’approvisionnement ou la gouvernance des incidents majeurs).
• La cartographie des dépendances critiques est souvent mal maîtrisée :
  • Beaucoup peinent à identifier précisément leurs systèmes critiques, leurs prestataires IT essentiels ou leurs dépendances logicielles (sans parler du Shadow IT…).
  • Les meilleures pratiques vues : construire une cartographie technique et métier croisée, et intégrer des clauses cybersécurité dans les contrats.
• L’analyse de risques est le point faible le plus fréquent : 
  • Même chez des organisations avancées, l’analyse de risques est souvent mal reliée aux métiers ou à la stratégie, trop IT centrée, non documentée, ou simplement copiée-collée d’un référentiel générique.
  • Les entreprises qui réussissent travaillent avec des méthodes connues et reconnues (ISO 27005, EBIOS RM, MEHARI, etc.), en impliquant les métiers dans les ateliers, la sensibilisation des dirigeants et métiers reste trop faible. Certaines entreprises respectent “à la lettre” les exigences, mais sans appropriation réelle : les dirigeants sont peu conscients de leur responsabilité, les métiers sont peu (voire pas) impliqués dans la gestion des risques, les plus avancées ont mis en place des formations sur-mesure, des revues régulières avec les COMEX, et des exercices de simulation de crise.

Quel conseil donneriez-vous à une entreprise qui se demande encore par où commencer et comment METSYS peut l’aider ?

Pour une entreprise qui débute sa mise en conformité avec NIS 2, METSYS propose une approche pragmatique :

• Effectuer un diagnostic initial : évaluez le niveau de maturité actuel de cybersécurité d’un point de vue global et sur les thématiques de NIS 2. Pour ce faire, METSYS utilise un outil interne permettant de “scorer” la maturité d’une organisation vis-à-vis de la sécurité de l’information et de NIS 2.
• Nommer un responsable : désignez un référent cybersécurité qui pilotera l’application des exigences de NIS 2. Classiquement, il s’agit du RSSI ou d’une personne au sein d’une entité de gestion des risques ou de contrôle interne. METSYS peut intervenir en RSSI as a service, en temps plein ou partagé pour porter cette fonction.
• Etablir une stratégie de gestion des risques : définissez un cadre clair et utiliser des méthodologies éprouvées pour prévenir et gérer les risques. Dans ce cas, METSYS peut réaliser l’analyse des risques, et identifier des remédiations permettant de diminuer les plus critiques.
• Renforcer les protections : implémentez des outils de sécurité robustes, comme l’authentification multi-facteurs, les EDR / XDR, le DLP, etc. En s’appuyant sur ses partenaires éditeurs ou constructeurs spécialisés en cybersécurité, METSYS peut réaliser les études, l’intégration et le déploiement de solutions de sécurité.
• Superviser les actifs et réagir aux incidents de sécurité : en assurant une surveillance continue des systèmes au sein de l’organisation et en remontant des alertes en cas de suspicion d’incidents de sécurité. METSYS peut intervenir pour gérer la sécurité des systèmes au travers de son service de MSSP (Managed Security Services Provider) et aider les organisations à gérer leurs incidents de sécurité de l’information.
• Acculturer les équipes : sensibilisez et former les collaborateurs aux bonnes pratiques et aux obligations en matière de cybersécurité. METSYS peut intervenir en sensibilisation présentiel ou en utilisant des outils (phishing, scénettes, etc).

¹ Toutefois, certaines micro-entreprises pourront être concernées si elles sont critiques (à la discrétion du régulateur).

² OSE : Opérateurs de services essentiels ; FSN = Fournisseurs de services numériques