Introduction : les enjeux de la cybersécurité européenne

• Données sensibles : cybervols, espionnage, sabotage…
• Nouvelle guerre froide Est/Ouest, USA/Chine, Occident/Russie.
• Hackers organisés, rôle des agences de renseignements.
• APT (Advanced Persistent Threat), les ransomwares, les risques ciblés.
• L’approche de la cybermenace : vers un « cyber Schengen » ?

L’essentiel pour le RSSI

• Pour qui ? : Entités essentielles et Entités Importantes, les nouveaux critères d’éligibilité et d’exclusion.
• Pour quels écosystèmes ? Nouveaux secteurs d'activité et ESN enrôlées.
• Quelles règles ? Des 23 règles de la NIS 1 plus « ce qui lui manquait ».
• Quand ? À partir de 2024 jusqu’à 2026…
• Comment ? Avec un processus de gouvernance et d’homologation maitrisé.
• Quelles sanctions ? Graduées sur le CA, sur l’exemple du RGPD.

Les mesures de sécurité

• Rappel des règles de gouvernance, protection, défense et résilience de la NIS 1.
• Les politiques relatives à l’analyse des risques et à la sécurité des systèmes d’information.
• La gestion des incidents.
• La continuité et la reprise des activités, la gestion des crises.
• La sécurité de la chaîne d’approvisionnement.
• La sécurité de l’acquisition, du développement et de la maintenance des réseaux et des systèmes d’information.
• L’évaluation de l’efficacité des mesures de gestion des risques en matière de cybersécurité.
• Les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité.
• Les politiques et les procédures relatives à l’utilisation de la cryptographie et, le cas échéant, du chiffrement.
• La sécurité des ressources humaines, des politiques de contrôle d’accès et la gestion des actifs.
• L’utilisation de solutions d’authentification à plusieurs facteurs ou d’authentification continue.

La gestion du projet de mise en conformité

• De l’analyse d’écart/état des lieux à la mise en conformité.
• La gouvernance par le risque : pertinence de EBIOS RM dans un projet NIS.
• La reprise des mesures de sécurité existantes, des règles NIS 1 le cas échéant.
• Le processus d’homologation de l’ANSSI adapté à la directive NIS 2.
• Les principaux jalons du projet NIS 2, les ressources nécessaires.

Conclusion : en route vers l’homologation

• Une forte inspiration ISO 27K : lien avec ISO 27001 et nouvelles bonnes pratiques ISO 27002:2022.
• Une cyberrésilience cohérente : lien avec directives et règlements DORA et CER.
• La transposition française : l’évolution parallèle de la LPM et des OIV.
• Des contrôles étatiques différenciés (régulation ex ante ou ex post).
• Un processus de sanction comparable au RGPD, les règles de la graduation des amendes.
• La sécurité de son écosystème et des parties prenantes critiques.