La loi sur la cybersécurité se profile
La Première Chambre n’a toujours pas adopté de version définitive de la loi néerlandaise sur la cybersécurité. Mais elle va entrer en vigueur, quoi qu’il arrive. Cependant, toutes les entreprises ne s’y préparent pas encore activement : « Tant que la loi n’est pas publiée, nous ne savons pas exactement ce qu’elle contient, c’est pourquoi de nombreuses entreprises attendent encore de voir. » Les choses pourraient toutefois évoluer très rapidement dès que la loi sera définitive. Les 6 et 7 juillet, la Première Chambre se réunira pour débattre de la loi sur la cybersécurité (Cbw). C’est à cette occasion que le projet de loi sera soumis au vote. Si la Première Chambre adopte le projet de loi, la Cbw devrait entrer en vigueur le 15 août 2026. Les organisations soumises à cette loi devront alors se conformer à de nouvelles obligations en matière de résilience numérique. La mise en conformité d’une organisation prend souvent beaucoup de temps. C’est pourquoi il est si important que les organisations réfléchissent dès maintenant à leur sécurité de l’information. Une certification ISO 27001 constituerait un excellent point de départ pour la plupart des organisations. À partir de là, vous pourrez continuer à renforcer votre conformité à la directive NIS2.
Une meilleure prise de conscience des risques
L’un des principaux avantages du parcours menant à la certification ISO 27001 est que les collaborateurs de ces organisations prennent beaucoup plus conscience des risques existants en matière de cybersécurité. Moniek le constate également dans la pratique : « Une analyse des risques a déjà été réalisée, les “joyaux de la couronne” sont clairement identifiés, un travail de sensibilisation est en cours et des mesures techniques ont été mises en place. Cette prise de conscience est particulièrement importante ; le comportement s’avère en effet souvent l’une des principales causes d’un incident. On constate que certaines entreprises ont véritablement établi un lien technique entre cette sensibilisation et celle des collaborateurs : dès qu’un collaborateur ne fait pas preuve d’une sensibilisation suffisante et, par exemple, se fait trop souvent piéger par des e-mails de hameçonnage ou suit trop peu de formations, son accès au système est restreint, voire supprimé. En tant qu’auditeurs, nous évaluons également cette sensibilisation. Moniek précise : « Que sait un collaborateur de la certification ISO 27001, des cyber-risques et des mesures de protection ? Comment ces éléments se répercutent-ils sur son travail et comment les met-il en pratique ? »
« Si vous disposez de la certification ISO 27001, vous disposez d’une très bonne base. »
— Moniek Steegers, ISO Auditor Normec Certification Institute
Améliorer continuellement les mesures
Il n’est pas possible de déterminer de manière très tranchée quels sont les points à améliorer pour être conforme à la directive NIS2 une fois que l’on est certifié ISO 27001, explique Moniek : « Si vous disposez de la certification ISO 27001, vous disposez d’une très bonne base. Vous disposez d’un système de gestion de la sécurité de l’information, un SGSI, qui vous aide à mettre en place une structure, à respecter certaines lois et réglementations et à sensibiliser l’ensemble de l’organisation. En adoptant une approche axée sur les risques (en partant du principe : quels sont les « joyaux de la couronne »), vous mettez en place une analyse des risques et vous mettez en œuvre des mesures que vous ne cessez d’améliorer. Cette approche fondée sur les risques et cette amélioration continue font également partie intégrante de la directive NIS2. Divers sujets, tels que la gestion des incidents, la continuité des activités et la gestion des fournisseurs, s’inscrivent également dans le cadre de la directive NIS2. Après tout, nous parlons de sécurité de l’information ; il serait donc tout à fait absurde qu’il s’agisse de sujets totalement différents. »
La direction devient personnellement responsable
Mais la directive NIS aborde ces sujets de manière plus spécifique, poursuit Moniek : « Par exemple, la norme ISO 27001 stipule que la direction doit être impliquée dans la sécurité de l’information. La directive NIS 2 va plus loin en ce sens : elle engage la responsabilité personnelle des dirigeants, ce qui peut même entraîner des amendes. La gestion des incidents est un autre sujet de ce type. Dans le cadre de la norme ISO 27001, cela relève de la politique. On examine la manière dont elle est mise en œuvre. Mais avec la NIS2, on est réellement tenu de signaler les incidents majeurs via un point de contact central. La gestion des fournisseurs est également très importante dans le cadre de la norme ISO 27001. Il faut examiner ses fournisseurs et imposer des exigences à sa propre organisation ; la norme NIS 2 approfondit légèrement cet aspect. La responsabilité tout au long de la chaîne d’approvisionnement y revêt une importance capitale. Les fournisseurs doivent eux-mêmes satisfaire à certaines exigences et en apporter la preuve. La norme NIS2 a défini 10 mesures de devoir de diligence. Celles-ci figurent également, à des degrés divers, dans la norme ISO 27001, mais en fonction de votre analyse des risques, les exigences sont légèrement plus strictes dans le cadre de la norme NIS2. »
« Mais le simple fait de se conformer à la directive européenne NIS 2 ne suffit pas nécessairement. »
— Moniek Steegers, ISO Auditor Normec Certification Institute
Commencez par une analyse des risques approfondie et une analyse des écarts
Mais par où commencer, en tant qu’organisation, lorsque l’on souhaite identifier les points à améliorer alors que l’on est déjà certifié ISO 27001, mais que l’on souhaite également se conformer à la directive NIS2 ? Moniek constate dans la pratique que les organisations commencent souvent par une évaluation critique de leur analyse des risques et par la réalisation d’une analyse des écarts : « Commencez par examiner de manière vraiment critique votre analyse des risques et par réaliser une analyse des écarts. Examinez-la vraiment attentivement : qu’est-ce que la norme NIS2 exige exactement de nous ? Comment avons-nous interprété et mis en œuvre la norme ISO 27001 ? Peut-être en êtes-vous déjà au point de satisfaire en grande partie aux exigences de la norme NIS2. Mais ce ne sera pas toujours le cas. Une bonne analyse des risques, suivie d’une analyse des écarts, est donc essentielle. Cela permet tout d’abord de démontrer que vous vous êtes penché sur la question, notamment auprès de la direction et des autres services. Étudiez la question et consignez vos conclusions. Ce n’est qu’alors que vous pourrez vous y atteler concrètement. Le site web du Centre national de cybersécurité, ncsc.nl, propose des conseils, des modèles, des guides et des informations très utiles à ce sujet. »
En conclusion : qu’une organisation soit ou non soumise à la législation NIS2, la cybersécurité reste un enjeu majeur pour toutes les organisations. Réfléchissez de manière réfléchie à la sécurité de l’information, identifiez les risques pertinents et mettez en place une approche adaptée à votre organisation.
Se préparer à la directive NIS 2 Pour les organisations susceptibles d’être soumises à la directive NIS 2, il est important de dresser en temps utile un état des lieux de leur dispositif actuel de sécurité de l’information. Une analyse des risques et, pour les organisations certifiées ISO 27001, une analyse des écarts peuvent constituer un point de départ précieux à cet égard. Un audit ISO 27001 indépendant permet aux organisations de mieux comprendre la manière dont la sécurité de l’information est mise en place et garantie. Pour de nombreuses organisations, cela constitue également une base importante pour la suite de leur préparation à la directive NIS2.