NIS 2 : quelle est cette directive qui veut en finir avec les fuites de données ?

 
Particuliers, entreprises, services publics : les cyberattaques nous concernent tous. C’est pourquoi la nouvelle directive NIS 2 est si importante, on vous explique comment s’y conformer.

Une entreprise sur deux a subi au moins une cyberattaque complète et réussie en 2023, selon un rapport du CESIN. Si le phishing est la menace la plus répandue, le piratage, les demandes de rançons et les escroqueries ne sont pas en reste. TPE, PME, grands comptes et organisations publiques doivent donc plus que jamais se mobiliser et s’adapter. 

Tout juste transposée en France, la nouvelle directive européenne NIS 2 fournit justement un cadre pour sécuriser les systèmes d’information des sociétés. Ces démarches étant complexes, des organismes comme Mailinblack ont prévu des outils intuitifs et clé en main afin de les aider à se protéger en un temps record.

La NIS 2 pour protéger les Français, l’économie nationale et le bon fonctionnement des services essentiels

Impossible d’être passé à côté d’un sujet aussi brûlant que la cybersécurité en 2024. Des hôpitaux paralysés, des mutuelles à l’arrêt pendant des semaines, des opérateurs téléphoniques ayant laissé fuiter des IBAN clients : les cyberattaques n’affectent pas que les entreprises et peuvent avoir de lourdes incidences sur le fonctionnement d’un pays.

Les législateurs ont donc décidé de revoir leur copie et d’enrichir la directive NIS (Directive européenne sur les réseaux et les systèmes d’information) de 2016 avec une seconde version, la NIS 2. Adoptée par l’Union européenne en 2022, puis soumise au Conseil des Ministres en France en octobre dernier, cette directive doit encore être validée par le Parlement avant d’être totalement effective.

En cas d’attaque sur un service essentiel, toute la population est impactée // Source : Dan Roizer via Unsplash

L’objectif : inviter les entreprises privées et publiques à se préparer aux pires scénarii et à s’adapter en continu aux nouvelles pratiques des cybercriminels. Surtout dans les secteurs où les enjeux et les conséquences sont les plus lourdes comme l’énergie, les transports, la finance, la santé, ou encore les infrastructures téléphoniques et numériques. Certes, les géants de ces domaines sont en première ligne, mais les PME et les organisations publiques de taille moyenne, comme les collectivités locales et les start-up, sont également concernées par ces nouvelles mesures. 

Concrètement, que change la NSI 2 ?

Les entreprises concernées doivent dès à présent commencer à se mettre en conformité avec cette nouvelle directive et le chantier est de taille. Toutes les strates et tous les métiers sont en effet impliqués dans ce changement. 

Étape 1 : faire le bilan

Tout d’abord, la directive NSI 2 impose à toutes les organisations concernées une évaluation initiale, puis régulière, des différents risques encourus en matière de cybersécurité.

Insuffler régulièrement aux salariés les bonnes pratiques surtout dans l’usage du matériel informatique de l’entreprise à l’extérieur est essentiel // Source : Brooke Cagle via Unsplash

Ceux-ci concernent autant : 

  • la sphère technique comme le matériel informatique, le réseau, les systèmes de communication internes et externes ;
  • la sécurité physique et numérique pour l’accès aux données sensibles de l’entreprise ;
  • les risques humains et notamment ceux liés à de mauvaises pratiques ou un piètre usage du matériel fourni par l’entreprise. 

Étape 2 : programmer des changements concrets

Une fois les risques identifiés, place à la recherche de pistes d’amélioration et à la mise en place d’actions correctives et de nouveaux process. Ceux-ci peuvent être techniques ou humains.

C’est par ailleurs l’occasion de sensibiliser le personnel et d’organiser des sessions régulières de formations pour tenir à jour les collaborateurs sur l’évolution des menaces susceptibles de les viser. 

Étape 3 : savoir réagir en cas d’attaque

En marge des actions de prévention, les entreprises doivent instaurer un plan de continuité d’activité. Par exemple, les fournisseurs d’électricité doivent prévoir comment délivrer du courant en cas d’attaque, les hôpitaux comment soigner leurs patients même sans accès à leur système d’information et les transports comment maintenir leur réseau actif. 

Prévoir une cellule de gestion de crise pour informer les autorités compétentes et lancer le plan de continuité d’activité // Source : Jason Goodman via Unsplash

Lorsqu’une cyberattaque aboutie, une cellule de crise doit être convoquée afin de réagir au plus vite et d’identifier l’importance de l’incident, ainsi que les personnes et les services affectés. C’est à elle ou au dirigeant que revient également la notification de l’attaque auprès des autorités compétentes, celle-ci devant intervenir sous 24 à 72 heures.

Mailinblack U-Cyber 360° : un outil clé en main pour se conformer à la NSI 2 

Avec ces nouvelles exigences imposées par la directive NIS 2, difficile pour les PME de s’y retrouver tant la tâche est vaste et les enjeux importants. Mailinblack a donc concocté une solution tout-en-un adaptée à tout type d’entreprises, publiques et privées, quelles que soient leur taille et leur secteur d’activité : U-Cyber 360°

En quatre modules distincts, cet outil aide les décideurs et les directions techniques à : 

  • protéger la messagerie électronique, considérée comme l’une des principales portes d’entrées des hackers. Les spams, les tentatives de phishing, et plus largement tous les emails susceptibles de contenir des malwares et des ransomwares sont alors automatiquement bloqués en amont, avant que le collaborateur ne puisse en prendre connaissance ;
  • renforcer la sécurité des accès aux divers logiciels internes et aux fichiers les plus sensibles grâce à un gestionnaire de mots de passe ;
  • sensibiliser activement les collaborateurs aux cyberattaques à travers des simulations réalistes et personnalisées. L’idée est de développer un climat de prudence pour éviter aux salariés de tomber dans les pièges de l’hameçonnage et de l’ingénierie sociale ;
  • former en continu tous les salariés sur la cybersécurité en adaptant le contenu et le niveau de précision aux exigences propres à chaque métier et postes. Ces e-learnings sont actualisés régulièrement par Mailingblack afin de tenir compte des nouvelles menaces et des dernières évolutions technologiques permettant de les contrer. 

Voilà une palette de solutions pratiques pour prévenir efficacement les principaux risques d’attaque et surtout pour être capable de réagir plus rapidement lorsque cela se produit.  

Les derniers articles