Directive NIS2 :

Vue d'ensemble

La directive NIS2 (directive (UE) 2022/2555) est la nouvelle directive de l'Union européenne en matière de cybersécurité, qui s'applique à environ 160 000 entités réparties dans 18 secteurs critiques. Elle remplace la directive NIS initiale et prévoit un champ d'application nettement plus large, l'obligation de signaler les incidents ainsi qu'une responsabilité directe de la direction. 

Concrètement, l’article 21 impose aux entités concernées de mettre en œuvre dix catégories de mesures de gestion des risques liés à la cybersécurité, dont l’une mentionne explicitement la cryptographie : des politiques et procédures documentées relatives à l’utilisation de la cryptographie et, le cas échéant, du chiffrement, appliquées en fonction de la taille et du profil de risque de l’entité, et associées à une authentification multifactorielle et à des communications sécurisées. 

Pourquoi est-ce important ? 

La directive NIS 2 s'applique à une grande partie de l'économie de l'UE dans 18 secteurs, et bien que la transposition nationale ait progressé de manière inégale depuis la date butoir d'octobre 2024, les pouvoirs d'exécution et l'effet direct ne cessent de s'étendre à mesure que les États membres finalisent leurs lois d'application. 

Tout manquement à cette obligation est passible d’amendes pouvant aller jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles (7 millions d’euros ou 1,4 % pour les entités importantes), le montant le plus élevé étant retenu, et certaines autorités nationales peuvent engager la responsabilité personnelle des dirigeants et suspendre leurs fonctions de direction. L’article 21, paragraphe 2, point h), constitue l’une des exigences les plus concrètes et les plus vérifiables de la directive, ce qui en fait également l’une des plus faciles à contrôler pour une autorité de régulation. 

En quoi cela s'applique-t-il à la cryptographie ? 

La directive NIS 2 aborde la cryptographie de manière particulièrement directe à l'article 21, paragraphe 2, point h), renforcée par les dispositions relatives à l'authentification multifactorielle et à la chaîne d'approvisionnement figurant ailleurs dans cet article. Les principaux domaines de contrôle ayant des implications cryptographiques directes sont les suivants : 

Préparation à l'audit 

Les contrôles de surveillance NIS2, qu'ils soient proactifs ou déclenchés par un incident, se concentrent sur les politiques documentées et les preuves opérationnelles plutôt que sur la seule intention. Principaux domaines généralement évalués par les contrôleurs et les autorités nationales : 

• Documentation relative à la politique de cryptographie :L'organisation dispose-t-elled'une politique écrite en matière de cryptographie et de chiffrement précisant les algorithmes approuvés, les longueurs de clé et les critères de dépréciation ? 

• Preuves relatives au chiffrement :L'organisation est-elle en mesure dedémontrer qu'elle chiffre les données sensibles au repos et en transit, y compris au sein de ses systèmes internes, et pas uniquement sur les systèmes exposés vers l'extérieur ? 

• Inventaire des certificats et des clés :tous les certificats et clés cryptographiques en cours d'utilisation sont-ilsrépertoriés, avec indication de leurs titulaires et de leurs dates d'expiration ? 

• Application de l'authentification multifactorielle (MFA) sur les systèmes critiques :l'authentification multifactorielle (MFA) ou l'authentification continue est-elleimposée pour tous les accès administratifs et aux systèmes critiques ? 

• Évaluation cryptographique des fournisseurs :la solidité des pratiques cryptographiques et des dispositifs de conservation des clés des fournisseurs directs et des prestataires de services fait-ellel'objet d'une évaluation ? 

• Validation par l'organe de direction :L'organe de direction a-t-ilofficiellement approuvé et supervisé les mesures de gestion des risques cryptographiques, conformément aux exigences de la directive NIS 2 en matière de gouvernance et de supervision de la direction ? 

TRANSMETTEZ CELA À LA DIRECTION

La NIS2 est la première législation européenne en matière de cybersécurité qui mentionne explicitement la cryptographie. L'article 21, paragraphe 2, point h), fait de la mise en place de politiques et de procédures documentées relatives à l'utilisation de la cryptographie et du chiffrement une obligation légale, et non plus une simple « bonne pratique ». Si nous ne sommes pas en mesure de présenter cette politique et de prouver qu'elle est appliquée, nous nous exposons à des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu.

Cette mesure a également des répercussions au sein des conseils d'administration : la norme NIS2 permet aux autorités nationales de tenir les dirigeants personnellement responsables en cas de manquement à leur obligation de veiller au respect de ces mesures. Notre inventaire des certificats et des clés, notre couverture de chiffrement et nos évaluations cryptographiques des fournisseurs doivent être prêts à être remis à un auditeur dès demain, et non pas le jour où un rapport d'incident doit être remis.