NIS 2.0 - Nouvelles règles de cybersécurité dans l’UE

En 2021, la Maison Blanche a publié un décret obligeant les agences du gouvernement fédéral à élaborer un plan de mise en œuvre d’une architecture Zero Trust. Ce décret a été suivi d’un mémorandum qui a mandaté les agences fédérales pour atteindre des objectifs spécifiques de sécurité Zero Trust d’ici la fin de 2024.

L’année dernière, comme vous l’avez peut-être entendu, la SEC des États-Unis a publié de nouvelles règles obligeant les sociétés cotées en bourse à divulguer les violations matérielles de la cybersécurité. En l’occurrence, la SEC n’a pas perdu de temps pour montrer que ses réglementations avaient du mordant, les premières poursuites ayant déjà été engagées.

Ces derniers mois ont donc été assez mouvementés aux États-Unis, mais ce n’est pas le seul endroit au monde où les décideurs politiques poussent, voire imposent, l’adoption des principes de Zero Trust. Cette année, l’Union européenne mettra à jour et renforcera sa directive sur les réseaux et les systèmes d’information (NIS), et comme vous le dira toute personne qui a connu l’arrivée des réglementations RGPD sur la vie privée, la portée des réglementations européennes peut en effet être grande.

NIS 2.0

La directive NIS 2.0 entre en vigueur en octobre 2024, obligeant les organes de direction au sein d’entreprises appartenant à des catégories spécifiques à mettre en œuvre des mesures de gestion des risques de cybersécurité. Les catégories suivantes sont concernées :

• Énergie
• Transport
• Secteur bancaire
• Infrastructures des marchés financiers
• Santé
• Traitement de l’eau potable
• Traitement des eaux usées
• Infrastructure numérique
• Gestion des services TIC (B2B)
• Administrations publiques
• Aérospatial
• Services postaux et de messagerie
• Gestion des déchets
• Fabrication, production et distribution de produits chimiques
• Production, transformation et distribution alimentaires
• Production industrielle
• Fournisseurs de services numériques
• Recherche

Comme vous pouvez le constater, la directive se concentre sur les infrastructures physiques et numériques critiques au sein des États membres de l’UE, mais elle a également une portée. Elle s’applique non seulement aux entreprises au sein de l’UE, mais également à toute entreprise dans le monde qui fournit des services à l’un des secteurs protégés au sein de l’UE. Comme pour les réglementations de la SEC, il existe des règles strictes pour le signalement rapide des incidents.

Le bâton

À ce stade, le tableau est on ne peut plus clair. Les organes gouvernementaux des régions couvrant des centaines de millions de citoyens ont reconnu que le risque de pratiques de cybersécurité inadéquates est suffisamment grave pour justifier des réglementations strictes, voire des sanctions sévères. La carotte est en place depuis de nombreuses années, voici maintenant le bâton !

La carotte

Alors, c’est quoi la carotte ? Quels sont les aspects positifs du renforcement de vos défenses de sécurité ? Bien sûr, cela commence par réduire les risques de cyberattaques et la mise en conformité, mais quoi d’autre ? Les organisations qui mettent en œuvre des pratiques de cybersécurité robustes ont tout à gagner en termes de réduction des coûts, de compétitivité, de continuité des activités et de confiance des clients. Il ne s’agit pas une seule carotte, mais d’une botte entière !

L’aide est à portée de main. La directive NIS 2.0 elle-même comprend des conseils clairs sur la manière d’améliorer votre position en matière de cybersécurité, et vous ne serez pas surpris d’apprendre que la première pratique recommandée en matière de bonne hygiène cybernétique est l’adoption des principes de Zero Trust. Lorsque vous passez en revue ces longues exigences réglementaires et légales, vous constatez que le Zero Trust revient régulièrement comme le Saint Graal. 

« Les utilisateurs doivent se connecter aux applications plutôt qu’aux réseaux »

Zscaler peut également vous aider, car nous concevons et construisons les piliers fondamentaux d’une architecture de Zero Trust depuis 2007. Si vous souhaitez parler à un de nos agents à propos de la mise en œuvre de Zero Trust et de la conformité réglementaire, quel que soit votre secteur d’activité, n’hésitez pas à nous contacter. Vous pouvez également participer à l’un de nos webinaires mensuels d’introduction pour en savoir plus et poser des questions. Cliquez ici et recherchez « commencer ici » pour trouver la prochaine session à laquelle vous inscrire.