Formation à la sensibilisation

La NIS2 est la deuxième version de la directive de l'UE sur la sécurité des réseaux et des systèmes d'information. Il s'agit d'une loi qui fixe des règles sur la manière dont les organisations des secteurs clés doivent protéger leurs systèmes et leurs données numériques. Elle vise à améliorer la cybersécurité dans l'ensemble de l'UE en veillant à ce que les services « essentiels » et « importants » – comme l'énergie, les transports, la santé, la banque et les services numériques – prennent des mesures claires pour prévenir les incidents de cybersécurité, les détecter rapidement et s'en rétablir efficacement.

La NIS2 s'applique aux moyennes et grandes entreprises des secteurs « essentiels » et « importants », c'est-à-dire, pour l'essentiel, à ce que l'on qualifie d'infrastructure critique. Elle s'applique également à certaines organisations plus petites si elles fournissent des services critiques ou font partie de la chaîne d'approvisionnement des secteurs mentionnés ci-dessus. Si votre organisation relève de l'énergie, de la santé, de l'infrastructure numérique, de l'eau, de la banque ou de nombreux autres secteurs similaires, elle entre probablement dans le champ d'application.

Les exigences minimales de la NIS2 sont les suivantes : • Des politiques relatives à l'analyse des risques et à la sécurité des systèmes d'information. • Des procédures de gestion des incidents. • La continuité des activités, notamment la gestion des sauvegardes, la reprise après sinistre et la gestion de crise. • La sécurité de la chaîne d'approvisionnement, couvrant les relations avec les fournisseurs et prestataires de services directs. • La sécurité dans l'acquisition, le développement et la maintenance des réseaux et des systèmes d'information, y compris le traitement et la divulgation des vulnérabilités. • Des politiques et des procédures pour évaluer l'efficacité de la gestion des risques en matière de cybersécurité. • Des pratiques de base en matière de cyberhygiène et une formation régulière à la cybersécurité. • Des politiques et des procédures relatives à l'utilisation de la cryptographie et du chiffrement. • La sécurité des ressources humaines, des politiques de contrôle d'accès et la gestion des actifs. • L'utilisation de solutions d'authentification et de communication sécurisées, telles que l'authentification multifactorielle ou continue, et des communications vocales, vidéo et textuelles sécurisées.

Mesures de gestion des risques — Toutes les organisations doivent adopter une approche structurée du risque de cybersécurité. Cela comprend l'identification des menaces possibles, la protection des systèmes, la détection précoce des problèmes et la capacité à réagir et à se rétablir. Responsabilité de la direction — La direction générale est tenue directement responsable de la cybersécurité et les autorités lui demandent des comptes en cas de manquements graves. Elle doit approuver les stratégies de sécurité, veiller à ce que les mesures appropriées soient en place et rester informée grâce à une formation régulière. Notification des incidents — Les organisations doivent notifier les incidents de sécurité importants à l'autorité nationale de cybersécurité (CSIRT).

La NIS2 exige que l'ensemble du personnel concerné, y compris la direction, reçoive une formation de base et régulière à la cybersécurité (également appelée « cyberhygiène »). Pour la direction, la formation est obligatoire. Les membres de l'organe de direction doivent suivre des formations pertinentes sur la gestion des risques de cybersécurité et sont censés promouvoir la formation dans l'ensemble de l'organisation. Il n'existe pas de règles strictes quant au format ou au contenu, mais la formation doit correspondre au rôle de la direction dans l'évaluation des risques et la supervision des mesures de cybersécurité. L'équipe de direction, dans son ensemble, doit disposer des compétences nécessaires pour assumer les responsabilités en matière de cybersécurité au titre de la NIS2. Toutes les activités de formation doivent être documentées, par exemple au moyen d'un certificat ou d'une preuve écrite de participation.

La NIS2 exige que le personnel reçoive une formation à la cybersécurité adaptée à son rôle et à ses responsabilités. Toutes les organisations doivent disposer d'une politique claire garantissant que les employés acquièrent les connaissances et les compétences appropriées pour protéger les systèmes et faire face aux menaces numériques. La direction joue un rôle central à cet égard. Elle doit encourager activement que le personnel bénéficie d'une formation similaire à celle que suit la direction. La formation doit être pratique et facile à appliquer, et couvrir des thèmes tels que la détection de l'hameçonnage, le traitement sécurisé des données, l'utilisation correcte des mots de passe et la connaissance de la conduite à tenir en cas d'incident. L'objectif doit être de créer une culture dans laquelle l'apprentissage et la sensibilisation sont continus. Toutes les activités de formation doivent être planifiées, enregistrées et suivies afin de garantir leur efficacité.

Parce que, même avec une technologie robuste, l'erreur humaine reste l'un des plus grands risques. La formation aide le personnel à détecter les menaces rapidement et à agir de manière responsable. Pour la direction, il s'agit d'une question de responsabilité. La formation montre aux régulateurs que l'entreprise prend la sécurité au sérieux et qu'elle prend des mesures concrètes pour réduire les risques.

• Déterminer si l'organisation entre dans le champ d'application. • Désigner une personne ou une équipe responsable de la cybersécurité. • Réexaminer les politiques et procédures actuelles. • Combler les éventuelles lacunes en matière de sécurité. • Mettre en place ou améliorer les plans de notification et de réponse aux incidents. • Instaurer une formation régulière à la cybersécurité. • Tout documenter pour démontrer la conformité. • Consulter votre autorité nationale de cybersécurité pour obtenir des orientations locales.

La NIS2 et le RGPD sont des lois distinctes de l'UE, mais elles se recoupent, ce qui signifie que le travail que vous réalisez sur l'une peut soutenir l'autre. Toutes deux exigent une sécurité robuste pour les données à caractère personnel et les systèmes, et toutes deux imposent une approche fondée sur les risques. Par exemple, dans le cadre de votre conformité au RGPD, vous avez cartographié les flux de données à caractère personnel et les actifs utilisés pour leur traitement, ce que vous pouvez réutiliser pour cartographier les actifs et processus numériques au titre de la NIS2. De même, vos analyses de risques relatives à la protection des données à caractère personnel alimentent également les analyses de risques de cybersécurité pour la fourniture de services critiques, et votre plan de réponse aux incidents au titre du RGPD peut servir de base à l'exigence de la NIS2 de détecter les incidents de sécurité, de les notifier et d'y répondre. Vos efforts de conformité au RGPD et à la NIS2 doivent assurément être alignés afin d'éviter les doublons et de réduire les coûts.