Ce jeudi 28 octobre, le parlement européen approuvait la révision de la directive Network and Information System Security. Cette dernière est entrée en vigueur en juillet 2016. Elle renforçait alors les mesures de cybersécurité à l’égard des opérateurs de services essentiels.
Un bilan positif mais une application encore trop restreinte
L’ANSSI tire un bilan très positif de cette directive. Elle souligne le progrès incontestable en termes de sécurité informatique en Union Européenne (UE). Tout d'abord grâce aux mesures de sécurité imposées aux opérateurs de services essentiels, ou « OSE » (nucléaire, télécommunications, transports etc.). Ensuite, grâce à la coopération entre les autorités de sécurité des systèmes d’information des États membres.
Cela dit, l’autorité dresse un panorama de la menace informatique et relève des axes qui permettraient à l’UE de se positionner à la hauteur de ces menaces. Parmi ces points, la mise en place d’une gouvernance du risque numérique au sein des OSE afin que leur processus de gestion des risques soit véritablement adapté à chaque opérateur. L’ANSSI souhaite également davantage de coopération interétatique, pour identifier plus précisément les OSE, et échanger des informations autour de la gestion des crises cyber.
Les évolutions envisagées : vers une harmonisation des mesures de cybersécurité
La directive révisée encadrera plus strictement les mesures au sein des entreprises fournissant des services essentiels, des administrations et des États.
Cette révision a également pour ambition d’instaurer un socle minimal de cybersécurité dans les organismes fournissant des services « importants » (la fabrication des dispositifs médicaux, le secteur alimentaire, l’électronique, etc.).
Ces mesures prévoient notamment :
- La gestion des incidents et des vulnérabilités. Cela implique la mise en place de processus précis et de procédures de réponse ou de détection d'une attaque informatique ;
- Le recours au chiffrement des communications et des données des organismes. Des outils de chiffrement approuvés par l’ANSSI sont disponibles à cet égard ;
- L’accroissement de la communication entre les autorités européennes de sécurité des systèmes d’information.
L’élargissement de ces mesures aux opérateurs de services importants représente un véritable challenge. Vous pouvez contacter notre cabinet d’expertises pour un accompagnement personnalisé sur ce sujet.