Conformité à la directive NIS2 : la voie à suivre après l’échéance du 18 octobre 2024

La directive relative à la cybersécurité 2 (NIS2) et la loi belge y afférente loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d’information d’intérêt général pour la sécurité publique ont pour mission de remodeler le paysage cybersécuritaire des entreprises en Belgique et dans l’Union européenne, ainsi que de toute société désireuse d’y exercer des activités. À la veille de l’échéance de mise en conformité fixée au 18 octobre 2024, les entreprises sont encore nombreuses à se débattre pour comprendre leur champ d’application et leurs exigences respectives et pour faire les démarches nécessaires afin de s’y conformer. Cet article expose les principaux aspects de la directive NIS2, ce que vous et votre organisation devez entreprendre et comment ces efforts de mise en conformité peuvent être maximisés à court terme.

Qu’est-ce que la directive NIS2 et pourquoi revêt-elle un caractère critique pour les entreprises belges ?

La directive NIS2 vise à améliorer la réponse des organisations aux cyberattaques, en renforçant la coopération et l’échange d’informations. Son champ d’application est donc plus étendu et englobe un large panel d’industries, non seulement les entreprises actives dans des secteurs de haute criticité comme l’énergie, les transports, la finance ou les soins de santé, mais aussi celles relevant d’autres secteurs comme les fournisseurs de services numériques, les services postaux, la gestion des déchets et d’autres services essentiels pour notre société. La directive instaure des mesures cruciales pour la gestion des risques liés à la cybersécurité et l’obligation de notifier les incidents significatifs.

Les principales exigences relatives à la cybersécurité selon la directive NIS2

Pour être en conformité, vous devez satisfaire à plusieurs exigences essentielles :

1. Gestion des risques : instaurer des mesures consistantes pour gérer les risques de cybersécurité, en ce compris des plans de réponse aux incidents, la gestion des vulnérabilités et des évaluations de risques régulières.
2. Signalement des incidents : signaler les incidents significatifs au Centre pour la Cybersécurité Belgique (CCB) dans les 24 heures suivant leur détection, avec production d’un rapport de suivi détaillé dans les 72 heures. À cet égard, il est important d’enregistrer dès à présent votre organisation si vous devez respecter la directive NIS2.
3. Sécurité de la chaîne d’approvisionnement : assurer la sécurité de l’ensemble de la chaîne d’approvisionnement, y compris les prestataires de services tiers et les partenaires.
4. Gouvernance et responsabilité : mettre en place des structures de gouvernance claires, désigner les personnes qui seront responsables de la cybersécurité et assurer régulièrement la formation du personnel. Par ailleurs, les conseils d’administration et la direction doivent être formés à la cybersécurité pour pouvoir assumer leurs responsabilités et les obligations qui leur incombent en vertu de la législation NIS2. La prise de décisions managériales quant aux stratégies et mesures de cybersécurité au niveau du conseil d’administration requiert une connaissance de base de la gestion des risques et de la cybersécurité.
5. Coopération et partage d’informations : prendre part à des réseaux de partage d’informations et collaborer avec les autorités nationales sur les questions de cybersécurité.

La directive NIS2 reprend en outre les recommandations suivantes pour ce qui a trait aux mesures de gestion des risques de cybersécurité :

Cinq étapes pour renforcer votre position en matière de cybersécurité afin de vous conformer à la directive NIS2

Parvenir à respecter la directive NIS2 peut s’apparenter à un défi, mais en vous focalisant sur certains domaines clés, vous aiderez votre entreprise à satisfaire aux réglementations de cybersécurité en vigueur tout en renforçant sa résilience globale. La priorisation des investissements garantit votre conformité sans faire exploser votre budget.

Évaluez votre position actuelle en matière de cybersécurité

Pour comprendre où en est votre organisation au stade actuel et programmer adéquatement les étapes ultérieures, il est important de commencer par identifier les vulnérabilités les plus critiques et les domaines où les mesures existantes ne suffisent pas.

• La première étape d’une gestion efficace de la cybersécurité consiste à connaître votre organisation et à comprendre tous les processus, les services et les actifs critiques qu’elle recèle. Le fait d’avoir une vision claire des ‘joyaux de votre couronne’ vous permettra d’adopter des mesures et de mener des actions ciblées dans les domaines qui vous impacteraient le plus en cas d’incident ou de cyberattaque.
• Procéder à une analyse des lacunes : effectuez une évaluation de vos lacunes au regard de la directive NIS2 afin d’identifier les domaines à améliorer et les risques qu’ils comportent. L’analyse des lacunes est cruciale pour comprendre l’état actuel de la cybersécurité de l’entreprise en regard des exigences imposées par la directive NIS2. Ce processus vous permettra d’identifier les domaines où les politiques et pratiques en vigueur sont défaillantes, ainsi que les améliorations qui s’imposent. Comparez ensuite les lacunes identifiées aux principales recommandations et aux meilleures pratiques, en vous concentrant sur les domaines les plus critiques.
• Disposer d’un plan (d’investissement) stratégique : concentrez-vous sur les investissements qui apportent une valeur ajoutée réelle aux exigences fixées par la loi, en garantissant ainsi une gestion globale des cyberrisques.

Renforcez les capacités de réponse aux incidents

Il ne s’agit pas de savoir si cela arrivera, mais quand et ceci s’applique aussi à la cybersécurité et aux incidents ou infractions potentiels. Votre organisation doit être préparée à détecter et signaler les incidents de cybersécurité, ainsi qu’à y répondre rapidement. Cela implique :

• la constitution d’une équipe dédiée pour répondre aux incidents (s’il n’en existe pas déjà une en place)
• la mise en œuvre d’un dispositif de surveillance des systèmes critiques
• l’organisation de simulations et d’exercices pour s’assurer que les équipes sont prêtes à faire face à des incidents réels
• le passage en revue des procédures de signalement des incidents afin de satisfaire à l’exigence de signalement dans les 24 heures.

Actualisez vos politiques et votre gouvernance

Les procédures administratives n’ont jamais enrayé un incident réel, mais il est crucial de définir les fondamentaux et les règles de base auxquels se référer dans votre organisation. Vous devez disposer d’un cadre et d’un ensemble de politiques qui soient conformes aux exigences de la directive NIS2. Veillez à pouvoir, dans un premier temps, mettre en place une structure de gouvernance minimale et garantir la responsabilité en matière de cybersécurité. Cela implique :

• l’attribution sans équivoque de la responsabilité en termes de cybersécurité au niveau exécutif
• la désignation d’une personne précise comme responsable de la cybersécurité, même s’il s’agit d’un membre du personnel existant
• l’élaboration ou l’actualisation de politiques de sécurité de base pour certains domaines clés comme la gestion des mots de passe, le contrôle des accès et la réponse aux incidents
• la formation régulière du personnel aux meilleures pratiques de cybersécurité
• la mise en place d’un audit interne ou d’une fonction de contrôle pour passer en revue les pratiques en matière de cybersécurité.

Renforcez la sécurité de la chaîne d’approvisionnement

La directive NIS2 insiste sur la sécurisation de la chaîne d’approvisionnement. Il importe dès lors, pour une organisation, de répondre aux exigences propres à la sécurité de cette chaîne. Vous devez :

• comprendre la position que vous occupez au sein de la chaîne d’approvisionnement au sens large et vos exigences vis-à-vis des intervenants externes en amont
• identifier les principaux tiers prestataires de services et leur demander des preuves de leurs mesures de cybersécurité (certifications, rapports d’audit...) afin d’évaluer leur position en matière de sécurité vous focaliser avant tout sur vos fournisseurs à haut risque utiliser une liste de contrôle de base pour évaluer les risques résultant de tiers, et hiérarchiser vos fournisseurs en fonction de la sensibilité des données ou des services qu’ils vous procurent
• inclure des exigences de cybersécurité dans vos contrats de fourniture et faire afin de pouvoir satisfaire aux exigences formulées à votre égard par vos partenaires ou vos clients
• développer un processus de surveillance continue des risques résultant de tiers, dès lors que le non-respect des contrats aura un impact plus direct sur les activités de l’entreprise que n’importe quelle lacune liée à la directive NIS2 vis-à-vis du CCB.

Exploitez les ressources et les conseils de guidance disponibles

Le Centre pour la Cybersécurité Belgique (CCB) et l’Agence de l’Union européenne pour la cybersécurité (ENISA) mettent à disposition des directives, des cadres et des ressources, notamment les ‘CyberFundamentals’, pour aider les entreprises à respecter la directive NIS2. Ne cherchez pas à réinventer la roue ni à utiliser des modèles complexes. Tirez parti de ce matériel pour accélérer vos efforts de mise en conformité.

Objectif à long terme : établir un programme de cybersécurité durable

L’échéance de la mise en conformité avec la directive NIS2 approchant à grands pas, les entreprises sont tenues d’agir rapidement. Les actions principales incluent la réalisation d’une analyse des lacunes, la mise en évidence des capacités de réponse aux incidents, la sécurisation de votre chaîne d’approvisionnement et l’actualisation de vos structures de gouvernance. En priorisant ces actions, votre organisation peut améliorer sensiblement sa position en matière de cybersécurité et éviter les conséquences d’une non-conformité.
En se concentrant sur les actions essentielles à court terme, votre organisation peut faire des progrès significatifs. Une approche phasée à long terme, qui vise à mettre en place un programme de cybersécurité mature, garantira une conformité durable et améliorera votre résilience.

Le rôle de la technologie dans la conformité à la directive NIS2

Divers outils abordables comme les logiciels open source, la surveillance via le cloud et les plateformes de gestion des risques de base permettent d’automatiser certaines tâches comme l’analyse des vulnérabilités et la détection des incidents, en réduisant les efforts manuels et en abaissant les coûts de mise en conformité. Mais ces solutions doivent être sous-tendues par des politiques et des processus solides, ainsi que par une équipe dûment formée.

Pas de baguette magique pour la mise en conformité

Vous devez prendre conscience qu’il n’existe pas de baguette magique ni de solution miracle qui permettrait à votre organisation d’être conforme du jour au lendemain. La directive NIS2 préconise une attitude présumant qu’une organisation fait ce qu’elle doit et peut faire, à la fois pour prévenir les incidents et pour les gérer correctement si l’un d’eux survenait. Cette solution technologique doit être complétée par des politiques et des processus solides, bénéficier de l’appui d’un personnel formé et prendre en considération votre environnement au sens large.

Comment Grant Thornton peut vous aider à vous mettre en conformité et à accéder à la cybermaturité

La mise en œuvre de la directive NIS2 dans tous ses tenants et aboutissants peut apparaître insurmontable. Chez Grant Thornton, nous fournissons des services personnalisés pour guider les organisations de toute taille vers cette mise en conformité.

Grâce à notre réseau étoffé au sein de l’Union européenne et à notre expérience de premier plan, nous aidons les entreprises à éviter les pièges et à se conformer aux exigences telles que le signalement des incidents et la gestion des risques de tiers.

Nous proposons des solutions flexibles qui répondent à vos besoins spécifiques afin de vous aider à vous mettre et rester en conformité, dès aujourd’hui et au-delà des échéances successives.