Pendant des années, la cryptographie a été considérée comme une « bonne pratique » : un domaine que les équipes de sécurité savaient qu’elles devaient maîtriser, mais que les autorités de régulation vérifiaient rarement dans les moindres détails. Ce n’est plus le cas aujourd’hui, puisque des réglementations telles que la directive relative aux réseaux et aux systèmes d’information (NIS) intègrent désormais la cryptographie dans leur champ d’application. En effet, la directive NIS 2, dernière version de la directive NIS, est la première législation européenne en matière de cybersécurité à mentionner explicitement la cryptographie, la faisant passer d’une aspiration interne à une exigence légale dont les conséquences se répercutent jusqu’au conseil d’administration.
Cette évolution revêt une importance capitale pour tous les responsables de la sécurité dont l’organisation est concernée par la conformité. Dans le cadre de la directive NIS2, une politique de cryptographie documentée n’est pas un simple « plus » que l’on peut s’engager à mettre en place ultérieurement. Il s’agit d’un élément que l’on pourra vous demander de présenter et de justifier, sous le coup de mesures coercitives comprenant des amendes importantes et la responsabilité personnelle des dirigeants. Comprendre les exigences de la directive et élaborer une stratégie qui y réponde fait désormais partie intégrante de la fonction.
Qu'est-ce que la directive NIS2 et quel est son champ d'application ?
La directive NIS2 (directive (UE) 2022/2555) est la version actualisée de la directive de l’Union européenne relative à la cybersécurité. Elle remplace la directive NIS initiale et se caractérise par un champ d’application nettement plus large, l’obligation de signaler les incidents et la responsabilité directe de la direction. Concrètement, elle soumet une part bien plus importante de l’économie de l’UE à un ensemble commun d’obligations en matière de cybersécurité.
Son champ d'application est considérable. La directive NIS 2 couvre environ 160 000 entités réparties dans 18 secteurs critiques, et classe ces organisations en deux catégories :
- Les entités essentielles opèrent dans des secteurs à haute criticité tels que l'énergie, les transports, le secteur bancaire, la santé, l'eau, les infrastructures numériques et l'administration publique.
- Des entités importantes opèrent dans d'autres secteurs réglementés, notamment les services postaux, la gestion des déchets, l'industrie chimique, la production alimentaire et les fournisseurs de services numériques.
Ces deux niveaux s'accompagnent d'obligations. La transposition nationale s'est déroulée de manière inégale depuis l'échéance d'octobre 2024, mais le pouvoir d'exécution et l'effet direct ne cessent de s'étendre à mesure que les États membres finalisent leurs lois d'application. Attendre une clarté parfaite dans toutes les juridictions n'est pas une stratégie sûre alors que les obligations sous-jacentes s'appliquent déjà.
Article 21, paragraphe 2, point h) : le mandat en matière de cryptographie
Le cœur de l’obligation en matière de cryptographie réside dans l’article 21. Celui-ci impose aux entités concernées de mettre en œuvre dix catégories de mesures de gestion des risques liés à la cybersécurité, dont l’une mentionne explicitement la cryptographie : des politiques et procédures documentées relatives à l’utilisation de la cryptographie, appliquées en fonction de la taille et du profil de risque de l’entité. Cette exigence est renforcée par des mesures de sécurité de plus haut niveau, telles que l’authentification multifactorielle et les communications sécurisées, prévues à l’article 21, paragraphe 2, point j).
Pour les entités chargées des infrastructures numériques et des services de confiance, les attentes vont plus loin grâce à un règlement d'application directement applicable. Ces exigences détaillées décrivent ce que doit contenir concrètement une politique de cryptographie aboutie, et il convient de les lire attentivement car elles définissent les critères sur lesquels se baseront les auditeurs.
Fondamentalement, cette politique a pour objectif de protéger la confidentialité, l'authenticité et l'intégrité des données, dans le cadre défini par la classification des actifs et l'évaluation des risques propres à l'entité. À partir de cette classification, la politique doit en déduire deux éléments :
- Le type, le niveau de sécurité et la qualité de la protection cryptographique requis pour chaque catégorie d'actifs, qu'il s'agisse de données au repos ou de données en transit.
- La liste précise qui en découle : quels protocoles, quels algorithmes, quel niveau de cryptage, ainsi que les solutions et les pratiques d'utilisation autorisées.
C'est également le seul endroit de la pile NIS2 où l'agilité cryptographique apparaît comme une exigence explicite. Le cas échéant, la politique devrait adopter une approche fondée sur l'agilité cryptographique, afin que les algorithmes puissent être modifiés à mesure que l'état de l'art évolue.
Le troisième élément concerne la gestion des clés et couvre l’ensemble de leur cycle de vie. Une politique conforme aborde les aspects suivants : la génération ; l’émission et l’obtention de certificats de clés publiques ; la distribution et l’activation ; le stockage et l’accès autorisé ; la rotation ; la gestion des compromissions ; la révocation ; la récupération ; la sauvegarde et l’archivage ; la destruction ; la journalisation et l’audit ; ainsi que les dates d’activation et de désactivation qui définissent la durée de validité des clés. Enfin, la politique doit être révisée à intervalles réguliers à la lumière des dernières avancées en matière de cryptographie, afin qu’elle ne devienne pas obsolète sans que l’on s’en aperçoive.
Pourquoi il s'agit là de l'une des exigences les plus faciles à vérifier de la directive
La cryptographie occupe une place particulière dans la directive NIS 2 en raison de son caractère concret. Si de nombreuses mesures de gestion des risques sont sujettes à interprétation, une politique écrite en matière de cryptographie est soit en place et appliquée, soit inexistante. Il n’y a aucune marge de manœuvre. Cela fait de l’article 21, paragraphe 2, point h), l’une des exigences les plus facilement vérifiables de la directive, et l’une des plus simples à contrôler pour une autorité de régulation.
Les enjeux de ce test sont considérables. Tout manquement est passible d’amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, le montant le plus élevé étant retenu, et jusqu’à 7 millions d’euros ou 1,4 % pour les entités importantes. Au-delà des risques financiers, certaines autorités nationales peuvent engager la responsabilité personnelle des dirigeants et même suspendre leurs fonctions de direction. En d’autres termes, la responsabilité ne se limite pas à l’équipe de sécurité : elle s’étend aux personnes qui approuvent et supervisent les mesures de gestion des risques.
Élaboration d'une stratégie de cryptographie conforme à la norme NIS2
Une réponse efficace à la directive NIS2 ne se résume pas à une seule mesure de contrôle. Il s'agit d'une stratégie qui couvre les domaines dans lesquels la directive touche directement à la cryptographie. Six domaines de contrôle constituent l'essentiel de cette stratégie :
- Politique en matière de cryptographie et de chiffrement. Une politique documentée définissant les algorithmes approuvés et les longueurs minimales de clé, accompagnée de preuves attestant de son application dans l'ensemble du parc informatique.
- Confidentialité des données au repos et en transit. Chiffrement de pointe pour les données stockées et transmises, s'appuyant sur une autorité de certification ( PKI ) interne ou gérée qui délivre les certificats.
- Authentification multifactorielle et continue. Authentification continue pour les systèmes critiques et les accès administratifs, généralement mise en œuvre via une authentification par certificat.
- Communications sécurisées. Canaux authentifiés et chiffrés pour les communications internes et d'urgence, y compris les messages signés et les pièces jointes.
- Sécurité cryptographique de la chaîne d'approvisionnement. Évaluation des fournisseurs quant à la solidité de leurs pratiques cryptographiques et de leurs dispositions en matière de conservation des clés, conformément à l'article 21, paragraphe 2, point d).
- Gestion et rotation des clés. Génération, rotation et stockage des clés documentés, s'appuyant, le cas échéant, sur des modules de sécurité de type « hardware », ainsi que des procédures de destruction assorties d'une piste d'audit complète.
Ensemble, ces domaines transforment une obligation légale en un modèle opérationnel. Chacun d’entre eux fournit le type d’éléments probants recherchés dans le cadre d’un contrôle prudentiel.
De la politique sur le papier aux contrôles effectifs
Voici le point que les responsables de la sécurité négligent le plus souvent : un document de politique ne représente que la moitié de ce qui est exigé. Les contrôles de surveillance NIS2 se concentrent à la fois sur la politique documentée et sur les preuves opérationnelles, et non pas uniquement sur l’intention. Un classeur décrivant les bonnes pratiques mais qui n’a jamais été testé ne contribue guère à réduire l’exposition aux risques. Les entités doivent établir, mettre en œuvre et appliquer des politiques et des procédures afin d’évaluer si les mesures de gestion des risques sont effectivement mises en œuvre et maintenues. Les contrôles doivent être opérationnels, et vous devez être en mesure de le démontrer.
Se préparer à un contrôle prudentiel au titre de la directive NIS 2
Les audits NIS2 peuvent être menés de manière proactive ou déclenchés par un incident ; la préparation ne peut donc pas se faire à la dernière minute. La manière la plus fiable de s'y préparer consiste à transformer les questions posées par les auditeurs en une liste de contrôle permanente :
- Documentation relative à la politique de cryptographie : un document écrit définissant la politique en matière de cryptographie et de chiffrement, qui couvre les algorithmes approuvés, les longueurs de clé et les critères de dépréciation.
- Preuve de la couverture du chiffrement : preuve que les données sensibles sont chiffrées au repos et en transit, y compris au sein des systèmes internes, et pas seulement dans les systèmes exposés vers l'extérieur.
- Inventaire des certificats et des clés : chaque certificat et chaque clé cryptographique est répertorié, avec le nom de son titulaire et sa date d'expiration.
- Application de l'authentification multifactorielle (MFA) : l'authentification multifactorielle ou continue est obligatoire pour tous les accès aux systèmes administratifs et critiques.
- Évaluation cryptographique des fournisseurs : les fournisseurs directs et les prestataires de services sont évalués sur la solidité de leurs pratiques cryptographiques et de la gestion de leurs clés.
- Validation par l'organe de direction : approbation formelle et contrôle des mesures de gestion des risques liés à la cryptographie par l'organe de direction.
Il est également nécessaire de vérifier si d’autres réglementations rendues obligatoires par la directive NIS2 s’appliquent à votre organisation, et d’intégrer la détection des certificats, la gestion des certificats et l’agilité cryptographique au sein d’un même programme. Les entités les mieux préparées sont celles qui maintiennent leur inventaire, leur couverture et leurs évaluations de fournisseurs dans un état tel qu’elles pourraient les remettre à un auditeur dès demain, plutôt que le jour même où un rapport d’incident doit être remis.
Comment Keyfactor vous aider
KeyfactorLa plateforme de [nom] est conçue pour transformer les exigences cryptographiques de la directive NIS2 en contrôles effectifs et étayés par des preuves, plutôt qu’en simples aspirations sur le papier.
- Communications sécurisées et signées. SignServer Prend en charge les canaux authentifiés et chiffrés, y compris les messages et pièces jointes signés, pour les communications internes et d'urgence.
- PKI- un chiffrement et une authentification par certificat. EJBCA offre un chiffrement de pointe pour les données au repos et en transit, s’appuyant sur une autorité de certification ( PKI ) interne ou gérée qui délivre les certificats garantissant la confidentialité et l’authentification par certificat.
- Une politique de cryptographie et une gestion des clés documentées et appliquées. Keyfactor Command fournit une politique de cryptographie documentée couvrant les algorithmes approuvés et les longueurs minimales de clés, ainsi que des procédures de génération, de rotation et de destruction des clés, étayées par une piste d'audit complète et appliquées à l'ensemble du parc informatique.
Pour une présentation plus détaillée de la manière dont ces contrôles s'inscrivent dans le cadre des principales réglementations applicables aux fabricants, téléchargez le « Guide de conformité cryptographique pour le secteur manufacturier » d'Keyfactor.
Passez à l'action et préparez-vous
La directive NIS2 a redéfini la frontière entre les bonnes pratiques de sécurité et les obligations légales, et la cryptographie se situe désormais clairement du côté des obligations légales. Avec des amendes pouvant atteindre plusieurs millions et la responsabilité personnelle des dirigeants en jeu, les responsables de la sécurité ne peuvent plus considérer la stratégie de cryptographie comme une tâche à traiter ultérieurement.
Les premières étapes concrètes sont claires. Assurez-vous que votre inventaire des certificats et des clés, votre couverture de chiffrement et vos évaluations cryptographiques des fournisseurs soient prêts pour un audit, obtenez l’approbation officielle de la direction et veillez à ce que l’ensemble du programme fasse l’objet d’un examen régulier à la lumière des dernières avancées techniques. Si vous souhaitez disposer d’un référentiel structuré sur lequel vous appuyer, téléchargez le « Guide de conformité cryptographique pour le secteur manufacturier » et demandez une démonstration pour découvrir comment Keyfactor peut vous aider à le mettre en œuvre.
Vous avez des questions sur la norme NIS2 ? Nous avons les réponses.
Qu'est-ce que la directive NIS2 ?
La directive NIS2 (directive (UE) 2022/2555) est la version actualisée de la directive européenne sur la cybersécurité. Elle remplace la directive NIS initiale et se caractérise par un champ d'application plus large, l'obligation de signaler les incidents et la responsabilité directe des dirigeants dans 18 secteurs.
La norme NIS2 exige-t-elle un chiffrement ?
L'article 21, paragraphe 2, point h), exige la mise en place de politiques et de procédures documentées relatives à l'utilisation de la cryptographie et, le cas échéant, du chiffrement, appliquées en fonction de la taille et du profil de risque de l'entité. Il s'agit de la première loi européenne en matière de cybersécurité à mentionner explicitement la cryptographie.
Qui doit se conformer à la directive NIS 2 ?
Les entités essentielles des secteurs à haute criticité, tels que l'énergie, les transports, le secteur bancaire, la santé et les infrastructures numériques, doivent se conformer à ces exigences, tout comme les entités importantes d'autres secteurs réglementés, tels que les services postaux, la gestion des déchets, l'industrie chimique et la production alimentaire.
Quelles sont les sanctions prévues par la directive NIS2 ?
Les entités « essentielles » s'exposent à des amendes pouvant aller jusqu'à 10 millions d'euros ou 2 % de leur chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les entités « importantes » s'exposent à des amendes pouvant aller jusqu'à 7 millions d'euros ou 1,4 %.
Les dirigeants peuvent-ils être tenus personnellement responsables en vertu de la directive NIS 2 ?
Oui. Certaines autorités nationales peuvent engager la responsabilité personnelle des dirigeants pour défaut de surveillance des mesures de cybersécurité, et elles peuvent même suspendre leurs fonctions de direction.
Que doit comporter une politique de cryptographie NIS2 ?
Cela nécessite une classification des actifs, des algorithmes et des protocoles approuvés, des longueurs minimales de clé, des critères de dépréciation, ainsi que la preuve de la mise en œuvre de ces mesures à l'échelle de l'ensemble du parc informatique. Tout cela s'appuie sur un processus documenté de gestion et de rotation des clés couvrant l'intégralité du cycle de vie des clés.
Comment la directive NIS2 aborde-t-elle la question de la sécurité de la chaîne d'approvisionnement ?
L'article 21, paragraphe 2, point d), impose aux entités d'évaluer leurs fournisseurs, notamment la solidité de leurs pratiques cryptographiques et leurs modalités de conservation des clés.
Que doivent faire en priorité les responsables de la sécurité pour se préparer à la directive NIS 2 ?
Élaborer une politique écrite en matière de cryptographie et de chiffrement, dresser l'inventaire de tous les certificats et clés en précisant le nom de leurs titulaires et leurs dates d'expiration, et obtenir l'approbation officielle de la direction concernant les mesures de gestion des risques.
