La Directive (UE) 2022/2555, plus connue sous le nom de NIS2 (Network and Information Security 2), marque une révolution dans le paysage réglementaire européen de la cybersécurité. Adoptée le 14 décembre 2022 et publiée au Journal officiel de l’Union européenne, elle abroge et remplace la première directive NIS pour répondre à l’évolution des menaces cyber et aux limites de son prédécesseur.
Alors que les cyberattaques se multiplient et que les systèmes d’information restent trop souvent vulnérables, NIS2 impose un cadre commun ambitieux pour élever le niveau de cybersécurité dans toute l’Union européenne. Son objectif ? Protéger les services essentiels (énergie, santé, transports, etc.) et renforcer la résilience des infrastructures critiques face à des acteurs malveillants de plus en plus organisés.
Un périmètre élargi : beaucoup d'organisations concernées
NIS2 étend considérablement le champ d’application par rapport à NIS1, passant d’un périmètre sectoriel restreint à une couverture quasi exhaustive des secteurs vitaux et stratégiques. 18 secteurs ont ainsi été classés en deux catégories :
- Secteurs hautement critiques. Par exemple : administrations publiques, énergie, infrastructures numériques ;
- Autres secteurs critiques. Par exemple : industries manufacturières, services postaux, recherche.
De plus, NIS2 introduit une typologie d’entités basée sur leur taille et leur impact potentiel :
- Entités essentielles : ≥ 250 salariés ou CA annuel > 50M€ et bilan > 43M€ ;
- Entités importantes : ≥ 50 salariés ou CA/bilan annuel > 10M€.
Cela porte le nombre d'entités assujetties en France à environ 15 000, contre à peine 500 auparavant.
Les obligations clés imposées par NIS2
NIS2 introduit 3 obligations clés pour les entités concernées.
L'enregistrement auprès de l'autorité nationale
Chaque Etat membre désigne une autorité nationale compétente qui tient l'annuaire des entités concernées et intervient dans le cadre des incidents transnationaux.
Toute organisation répondant aux critères d'application doit se déclarer auprès de celle-ci.
La gestion des risques cyber
Toutes les entités concernées doivent mettre en place des processus de gestion des risques cyber. Ces mesures interviennent à plusieurs niveaux : juridique, organisationnel et technique.
La déclaration d'incident
Toutes les organisations concernées doivent déclarer les incidents cyber importants à l'autorité nationale et l'informer de toute évolution de la situation.
Sanctions et supervision
NIS2 renforce considérablement les sanctions en cas de non-respect des obligations. Les montants maximaux sont :
- Jusqu’à 2 % du chiffre d’affaires mondial pour les entités essentielles ;
- Jusqu’à 1,4 % du chiffre d’affaires mondial pour les entités importantes.
Les autorités nationales disposent de pouvoirs de contrôle et peuvent imposer des mesures correctives comme une mise en conformité sous astreinte.
Conséquences pour la gestion des vulnérabilités
La mise en oeuvre d'une veille active sur les vulnérabilités est un prérequis pour les entités essentielles et les entités importantes. La mise en oeuvre d'un processus complet de gestion des vulnérabilités est un prérequis pour les entités essentielles.
Ainsi, toutes les entités concernées par NIS2 doivent mettre en place un protocole de veille sur les vulnérabilités applicatives, notamment depuis les CSIRT et CERT nationaux ou un prestataire mandaté à cet effet. Dans ce dernier cas, une qualification ainsi qu'un suivi dans le temps sont généralement réalisés par celui-ci afin de permettre à l'entité d'adapter sa réponse.
Une obligation légale de gestion proactive des vulnérabilités
L'ANSSI a publié un référentiel d'exigences (ReCyF) qui sera invoqué en cas de contrôle pour démontrer sa conformité. Celui-ci a un impact direct sur la gestion des vulnérabilités.
En effet, les exigences de veille et de réactivité qui y sont inscrites requièrent un processus bien établi entre les responsables sécurité et les équipes d'infrastructure numérique.
En fonction de la nature de la vulnérabilité, l'entité doit :
- Sans délai : préparer la mise en oeuvre d'un correctif ou de mesures de limitation du risque ;
- Sans retard injustifié : mettre en oeuvre le correctif dans son système d'information.
Cela requière un processus appliqué et documenté prévoyant tout le cycle de vie d'une vulnérabilité :
- Détection : Surveillance active des vulnérabilités (scanners et threat intelligence) ;
- Évaluation : Analyse de la criticité (CVSS, impact potentiel sur les services) et du niveau de risque effectif ;
- Priorisation : Classement par niveau de risque effectif ;
- Correction : Application des correctifs ou mise en place de mesures compensatoires ;
- Suivi : Vérification de l’efficacité des correctifs et mise à jour des systèmes.
Le référentiel d'exigences ReCyF décrit l'obligation de suivre des flux de veille qui incluent notamment les alertes des CSIRTs nationaux. Notre couche de renseignement sur les vulnérabilités, VulnPilot, priorise automatiquement les vulnérabilités qui font l'objet de telles alertes à l'instar de celles du CERT-FR :
Contactez-nous et découvrez comment VulnPilot peut vous aider à assurer votre conformité NIS2 tout en renforçant votre réponse face aux vulnérabilités applicatives.
La proactivité revête une importance particulière : les autorités demandent la détection et la prise de mesures rapides dans un objectif de correction des vulnérabilité avant leur exploitation par un acteur de menace.
La collaboration avec les CSIRTs et les autorités
NIS2 renforce la coopération entre les entités privées et les autorités publiques.
Les entités doivent collaborer avec les CSIRT (centres de réponse aux incidents de sécurité informatique) nationaux afin de les informer des incidents. Ce contact est formalisé en 3 étapes :
- Alerte précoce : à envoyer dans les 24h qui suivent la détection, elle permet de porter à la connaissance du CSIRT national l'existence d'un incident ;
- Notification d'incident : elle doit être envoyée dans les 72h et met à jour les informations de l'alerte précoce ainsi que les indicateurs de compromission ;
- Rapport d'incident : il doit parvenir dans le mois qui suit la détection et présenter dans le détail le déroulé de l'incident et les remédiations qui en découlent.
On comprend bien que le niveau de détail d'un rapport d'incident peut impliquer la transmission des détails de l'exploitation de vulnérabilités de type 0-day si celles-ci ont eu lieu. C'est donc, entre autres, un outil pour les CSIRT nationaux européens d'obtenir des informations privilégiées concernant les vulnérabilités inconnues du public ainsi que les vulnérabilités exploitées au large.
On peut donc attendre au niveau européen des informations plus riches sur l'état de l'exploitation des vulnérabilités. Cela est d'autant plus vrai que la directive NIS2 prévoit une collaboration entre les autorités des Etats membres et donc la communication de renseignement dans une communauté plus large.
À l'inverse, les CSIRT nationaux peuvent aussi coopérer avec les entités concernées :
- Ils sont susceptibles de communiquer aux entités des alertes précoces concernant un événement cyber ;
- Ils peuvent assister les entités dans les réponses à incident ;
- Ils peuvent également, sur requête de l'entité concernée, procéder à un scan du système d'information à la recherche de vulnérabilités significatives.
Conclusion
NIS2 introduit des obligations de sécurité de l'information aux entités concernées.
Parmi celles-ci, on y retrouve l'obligation de mettre en place un processus de renseignement sur les vulnérabilités applicatives qui va au-delà de la simple collecte des vulnérabilités. Il est attendu une réelle qualification en termes de risques effectifs pour le système d'information.
Par ailleurs, NIS2 impose une réactivité importante des processus d'application des correctifs et des mesures limitant le risque en introduisant la notion de retard injustifié. Ces mesures sont en ligne avec les time-to-exploit désormais communément admis.
La mise en conformité peut représenter un chantier conséquent pour les organisations les moins préparées à ce jour alors que le champ d'application de la directive s'avère très large. Il convient donc d'anticiper et de ne pas attendre l'entrée en vigueur pour mettre en place ces processus.