La nouvelle directive européenne impose à un nombre bien plus important d’entreprises de renforcer leur sécurité, leur visibilité et leur contrôle
En imposant de nouvelles exigences strictes, la directive révisée sur la sécurité des réseaux et des systèmes d’information (SRI) obligera un nombre bien plus important d’entreprises de l’UE à prendre la cybersécurité au sérieux.
Dans moins d’un an, NIS2 (comme est appelée la nouvelle directive) imposera légalement à un large éventail d’organisations de sécuriser pleinement leurs systèmes internes et de veiller à ce que leurs interfaces externes ne soient pas vulnérables aux attaques et au vol de données.
Elle met fortement l’accent sur la gestion des risques, le signalement et la reprise, avec des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial (le montant le plus élevé étant retenu).
Pourtant, de telles amendes pourraient n’être que la partie émergée d’un iceberg financier bien plus important.
La directive NIS2 s’appliquant à un éventail d’entreprises bien plus large que la précédente, ses effets se répercuteront sur l’ensemble des chaînes d’approvisionnement. La cybersécurité deviendra une priorité dans les processus d’achat et pourrait déterminer quelles entreprises remporteront de nouveaux contrats.
Malheureusement, la plupart des organisations ne disposent pas des compétences internes nécessaires pour gérer les nombreuses exigences de la nouvelle directive, d’autant plus que leurs systèmes s’étendent de plus en plus sur plusieurs environnements cloud et qu’un grand nombre de collaborateurs continuent de travailler à domicile.
Avec NIS2, une visibilité complète devient indispensable
S’appliquant à toute entreprise comptant plus de 50 salariés et réalisant un chiffre d’affaires annuel supérieur à 10 millions d’euros, la directive NIS2 concernera les télécommunications, l’agroalimentaire, la gestion des déchets, les plateformes numériques, les organismes publics et les services de livraison. Elle aura également un impact majeur sur les services essentiels déjà couverts par la directive NIS initiale, tels que l’énergie, la santé, les services bancaires et les transports.
À mesure que la directive NIS2 sera mise en œuvre par les États membres de l’UE, les entreprises concernées devront veiller à ce que toutes les interfaces externes soient protégées, y compris les applications utilisées pour interagir avec les clients et les fournisseurs.
En cas de violation, les entreprises concernées devront soumettre un rapport d’alerte précoce dans les 24 heures suivant la prise de connaissance de l’incident, puis une évaluation initiale dans les 72 heures et un rapport final dans un délai d’un mois.
Par conséquent, il sera essentiel pour les entreprises de disposer d’une visibilité totale sur ce qui se passe dans le cadre de leurs activités numériques et de leurs interactions numériques avec leurs clients, partenaires et fournisseurs.
Dans un monde idéal, le recours à la contrainte réglementaire ne devrait pas vraiment être nécessaire : la plupart des interactions commerciales se déroulent désormais en ligne, si bien que les dirigeants d’entreprise devraient déjà exiger ce niveau de visibilité.
Néanmoins, de nombreuses petites entreprises entrant dans le champ d’application de la nouvelle directive ne disposeront pas nécessairement d’un centre des opérations de sécurité ni des outils de reporting associés requis pour s’y conformer. De plus, il est peu probable qu’elles possèdent les compétences et les ressources nécessaires pour concevoir et développer ces outils en interne.
Il va sans dire que la pression est forte pour déployer des mécanismes faciles à mettre en œuvre afin de respecter les obligations de NIS2, sans pour autant nuire à l’expérience de leurs clients et partenaires.
Ils auront notamment besoin d’une console centralisée leur permettant de gérer l’ensemble de leur portefeuille d’applications. Les offres cloud de sécurité et de mise à disposition des applications, telles que F5 Distributed Cloud Services, peuvent répondre à ce besoin.
La tâche n’est pas aisée non plus pour les grandes organisations. L’un des principaux défis posés par le renforcement de la surveillance réglementaire en matière de sécurité réside dans la complexité accrue de la sécurisation et de la supervision d’une infrastructure numérique qui s’étend de plus en plus sur plusieurs clouds et centres de données internes.
Aujourd’hui, de nombreuses organisations exécutent leurs applications et les microservices qui les composent dans plusieurs environnements. Si l’interface d’une application peut fonctionner dans un cloud public, son back-end peut se trouver dans un centre de données interne. Parallèlement, les employés se connectent de plus en plus aux systèmes et aux applications depuis de nombreux endroits différents, notamment leur domicile et des espaces de coworking.
Afin de sécuriser ce paysage numérique de plus en plus complexe dans le respect de la directive NIS2, de nombreuses entreprises auront besoin d’un service managé capable de couvrir différents environnements cloud, informatiques et réseau. Là encore, F5 dispose de l’expertise nécessaire.
Même si l’échéance approche à grands pas, il est encore temps d’agir.
Les États membres de l’UE doivent transposer la nouvelle directive dans leur droit national d’ici au 18 octobre 2024. Toutes les organisations concernées doivent donc agir sans tarder pour s’assurer que leurs capacités de sécurité et de surveillance sont suffisamment robustes afin d’éviter les amendes et, surtout, l’atteinte à leur réputation qu’entraînerait tout manquement aux obligations de conformité.
Heureusement, la technologie dont elles ont besoin pour prospérer dans ce nouvel environnement réglementaire est d’ores et déjà opérationnelle.
Nous entrerons plus en détail dans un prochain article de blog consacré à la manière dont F5 aide déjà ses clients à se conformer à la directive NIS2. Restez à l’écoute !
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.