Avec l’entrée en vigueur de la directive NIS 2, les États membres sont désormais tenus de renforcer la protection de leurs infrastructures critiques. La directive NIS2 partage des ambitions similaires à celles du Règlement Général sur la Protection des Données (RGPD) de l’Union européenne. Lors de son entrée en vigueur en 2018, le RGPD a eu un impact considérable, non seulement en Europe mais également à l’échelle mondiale, en renforçant la protection des données personnelles. De la même manière, NIS2 aura un impact similaire sur la posture de cybersécurité des opérateurs d’infrastructures critiques et des fournisseurs dont ils dépendent.
Tribune par Bernard Montel, Directeur Technique EMEA & Security Strategist chez Tenable – En France, malgré un socle législatif solide, notamment avec la Loi de Programmation Militaire de 2018 et la première directive NIS, la mise en conformité avec NIS 2 reste un défi de taille et un cap à franchir. La France accuse en effet un certain retard en raison de la complexité de la transposition de cette nouvelle directive, qui implique non seulement des consultations étendues avec les secteurs concernés, mais aussi une harmonisation des différentes législations existantes, comme celles des opérateurs de services essentiels.
Un champ d’application élargi
NIS 2 concerne plus de 10 000 entités essentielles (EE) et importantes (EI) en France, ainsi que plus de 150 000 au niveau européen, qui sont directement concernées ainsi que tous les prestataires qui ont accès à leurs infrastructures. De par son envergure, la nouvelle directive marque clairement un véritable changement de paradigme pour l’Europe en matière de cybersécurité.
L’extension de la directive signifie que de nombreuses organisations plus petites, auparavant hors du champ d’application, devront désormais s’y conformer. Bien que 70 % des entités touchées par NIS 2 utilisent des systèmes industriels basés sur des technologies opérationnelles (OT), une grande partie d’entre elles, voire la totalité, repose également fortement sur la technologie cloud. Les fournisseurs tiers devront faire l’objet d’une attention particulière. Il sera nécessaire de revoir l’ensemble de l’infrastructure pour identifier les points de vulnérabilité et les risques cyber.
Une force motrice du changement
Au-delà des difficultés rencontrées au niveau de son implémentation, la directive NIS 2 ne se limite pas à fixer des règles pour chaque État membre. Elle vise à harmoniser les pratiques de cybersécurité à travers l’Europe sous la supervision de l’ENISA, afin de mieux répondre aux cybermenaces croissantes et protéger les infrastructures critiques. En élargissant son périmètre à des secteurs stratégiques tels que la santé, les télécommunications et les services numériques, elle prend en compte l’interconnexion croissante des infrastructures et les risques cyber qui touchent désormais une large part de l’économie. Toutefois, cette harmonisation pose des défis pour les entreprises, en particulier celles opérant dans plusieurs pays, car elle exige une gestion rigoureuse des conformités nationales. Les PME, souvent limitées en ressources, devront faire preuve d’ingéniosité pour s’adapter, et certaines modalités d’application restent floues, ce qui rend la navigation dans ce cadre réglementaire d’autant plus cruciale pour le succès de la directive.
Un des autres grands changements que la NIS2 va imposer aux entreprises est de revoir profondément leur stratégie de cybersécurité, les incitant ainsi à bâtir une résilience sur le long terme. Avec cette approche, il ne s’agit plus uniquement de respecter des normes pour mieux se protéger, mais de transformer la cybersécurité en un véritable pilier stratégique de l’entreprise. Cette transformation passe par des investissements dans des technologies de détection avancée, des programmes de formation continue pour les équipes, et des plans de réponse aux incidents robustes.
Pour relever ces défis, l’innovation technologique devient un atout incontournable. En adoptant des solutions capables d’anticiper les cybermenaces, d’évaluer les vulnérabilités en temps réel et d’automatiser les réponses, les entreprises peuvent non seulement se conformer aux exigences de NIS 2, mais aussi renforcer leur résilience. Cette stratégie proactive améliore la visibilité sur les infrastructures, réduit les interruptions opérationnelles et minimise les coûts liés aux incidents de sécurité. En tirant parti d’outils d’analyse avancés et de plateformes unifiées de gestion des risques, la cybersécurité devient un levier de performance, garantissant ainsi une compétitivité accrue dans un environnement de menaces complexes.
La réalité de la régulation
La directive NIS 2, quant à elle, impose un changement d’orientation pour la cybersécurité en Europe. Avec ses 10 mesures et obligations essentielles, chacune vise à traiter les différents « risques » auxquels les organisations sont confrontées et qui doivent être contrés. Cela oblige les entreprises à repenser leur approche, en passant d’une posture réactive à une attitude anticipative, en intégrant la prévention des risques au cœur de leur stratégie. En répondant à ces nouvelles exigences, les organisations ne se contenteront pas de respecter une réglementation stricte, elles se positionneront comme des leaders dans la définition des nouveaux standards de sécurité. Ce défi est immense, mais nécessaire pour assurer la pérennité et la résilience de l’économie numérique en Europe. Cependant, il est essentiel de rappeler que les organisations ne doivent pas se laisser bercer par un faux sentiment de sécurité en cochant simplement les cases requises.
Bien que le respect des principes de NIS2 renforce les défenses, cela ne garantit pas toujours une sécurité totale. Les organisations doivent examiner les risques dans leur globalité et adopter une approche préventive pour réduire la menace à laquelle elles sont confrontées. NIS 2 représente une avancée notable dans l’harmonisation des pratiques de cybersécurité à l’échelle européenne, mais ne constitue qu’un point de départ face à des menaces qui ne cessent de croître en sophistication et en rapidité. Les entreprises peinent déjà à suivre le rythme imposé par ces nouvelles régulations, rendant encore plus urgente la nécessité d’une coopération internationale. La cybersécurité ne peut plus être envisagée comme un enjeu localisé ou fragmenté : pour véritablement protéger les infrastructures critiques et assurer une résilience durable, une approche collaborative et transcendant les frontières de l’Union européenne, s’impose. C’est à ce prix que l’Europe, et plus largement le monde, pourra construire un véritable rempart contre des cybermenaces qui ignorent toute limite géographique.
