L'abonnement à l'Informé est à usage individuel
Un autre appareil utilise actuellement votre compte
Continuer la lectureCybersécurité : ce que pourrait coûter NIS2 aux nouvelles entités concernées
Dans une note interne, le gouvernement tente de quantifier les conséquences de la directive Network and Information Security 2. L’Informé dévoile ce document.
Les grandes manœuvres sont en cours autour du prochain projet de loi sur la cybersécurité. Transposition de la directive européenne Network and Information Security 2 (dite NIS 2), cette future législation, révélée dans nos colonnes ce jeudi 4 avril, sera prochainement déposée à l’Assemblée nationale...
Avec la transposition de la directive NIS 2, notre droit interne va voir son champ d’application considérablement augmenter et concerner bien plus d’acteurs. À en croire cette pièce explicative, « en France, cela se traduit par une augmentation du nombre d’entités régulées de 500 à 15 000 entités environ, et une augmentation du nombre de secteurs régulés de 6 à 18 secteurs ». Autrefois, la législation européenne cyber s’appliquait en effet aux seuls secteurs des eaux potables, de l’énergie, de la finance, de certaines infrastructures numériques, de la santé et des transports. Dans le cadre de NIS 2, de nouveaux secteurs viennent grossir les rangs, avec en tête notamment les administrations publiques, les services postaux, la gestion des déchets, la recherche, l’espace, l’agroalimentaire et davantage encore de fournisseurs numériques (qui comptent maintenant les moteurs de recherche, les places de marché, les réseaux sociaux et l’univers des noms de domaine).
Ces acteurs seront classés en deux catégories selon leur taille, leur chiffre d’affaires et leur criticité. La première regroupera les entités importantes (EI) : celles-ci « se verront imposer des exigences de sécurité de base », calibrées surtout pour limiter les risques de rançongiciels. Pour ce qui les concerne, explique la note transmise aux différents ministères, « une certaine latitude leur sera laissée pour mettre en œuvre les recommandations de sécurité les plus adaptées à leur connaissance des impacts potentiels d’une attaque, à leur environnement éventuellement spécifique, ainsi qu’à leurs moyens ». Le second groupe réunira les entités essentielles (EE), celles pour lesquelles les mesures de cybersécurité seront bien plus robustes compte tenu de leur rôle dans la société, mais aussi des dommages collatéraux consécutifs à une éventuelle attaque informatique. Tous se verront imposer des obligations cyber très vastes (gouvernance, mesures de protection, capacité de défense et de résilience), le tout sous la menace de sanctions potentiellement très élevées en cas de manquement (jusqu’à 2 % du chiffre d’affaires pour les entités essentielles et 1,4 % pour les entités importantes). Ces amendes administratives, infligées par une commission indépendante, risquent d’être douloureuses pour des entreprises déjà victimes d’une attaque cyber ; mais l’Anssi et le SGDSN tempèrent : « le régime de sanction établi par ce projet de loi vise avant tout un objectif dissuasif, en permettant de matérialiser le coût invisible des attaques – bien supérieur généralement aux seules sanctions – et d’aider les acteurs à prendre les bonnes décisions d’investissement. »
Les collectivités territoriales se verront donc désormais imposer une flopée de nouvelles obligations. Il faut dire que, dans la même note gouvernementale, on apprend déjà que l’Agence pour la sécurité des systèmes d’information a traité 187 incidents concernant ces acteurs publics entre janvier 2022 et juin 2023. « Ces incidents représentent 17 % de l’ensemble des incidents traités par l’agence sur la période », et de son analyse, leurs conséquences peuvent être « majeures ». Selon les premières données chiffrées, « 661 collectivités territoriales ou groupements de collectivités territoriales devraient être concernés au titre des entités essentielles », dont 22 régions et pays et territoires d’outre-mer, pas moins de 97 départements, 263 les métropoles, communautés urbaines et communautés d’agglomération de métropole et d’outre-mer et enfin 279 communes de plus de 30 000 habitants. Ce n’est pas tout : « 992 communautés de communes de métropole et d’outre-mer seront quant à elles concernées au titre des entités importantes ». De ces chiffres, il a été calculé que « la très grande majorité des communes (99 % ont moins de 30 000 habitants) ne [seront] donc concernées que par leur intercommunalité de rattachement ». Une certitude, avec de tels critères, un grand nombre d’agglomérations entrera dans le champ de ces nouvelles obligations (Strasbourg, Lyon, Marseille, Paris, Lille, Rennes, Annecy, etc.). Ce chantier va nécessairement exiger un effort financier de la part de chaque acteur pour développer sa musculature cyber. Sans aucune explication détaillée, la note estime à la louche à 400 000 € le coût moyen de mise en conformité pour chaque entité, quelle qu’elle soit. En partant de tels chiffres, « une subvention moyenne de 25 % pour les collectivités territoriales supposerait un budget global triennal de 60 millions €/an ». Et pour parer au plus pressé, « les parcours de cybersécurité proposés dans le cadre du plan de relance (coût unitaire de 100 000 €) peuvent constituer une première étape vers la mise en conformité ». Contacté, l’Anssi n’a pas répondu à nos questions au moment de la publication de cette actualité.
Pour rassurer l’ensemble des acteurs, cette notice explicative prévient que si la directive NIS 2 doit être transposée dans chaque État membre d’ici le 17 octobre 2024, l’Agence nationale de la sécurité des systèmes d’information (Anssi), gendarme de cette régulation, compte laisser un délai aux acteurs « pour se mettre en conformité ». Une doctrine qu’avait déjà appliquée la Commission nationale informatique et libertés (CNIL) lors d’application du règlement général sur la protection des données (RGPD) le 25 mai 2018. Selon nos informations, une réunion interministérielle sur le sujet sera organisée le mardi 9 avril afin d’impliquer l’ensemble des portefeuilles gouvernementaux. De sources concordantes, l’objectif est que le texte passe avant l’été. Le projet de loi devra être accompagné d’une analyse juridique du Conseil d’État, mais également d’une solide étude d’impact sur ses conséquences économiques, notamment en termes d’embauches, pièces encore absentes pour l’instant.
